Synopse aller Änderungen der PAuswV am 01.05.2025

PAuswV a.F. (alte Fassung)
in der vor dem 01.05.2025 geltenden Fassung

PAuswV n.F. (neue Fassung)
in der am 01.05.2025 geltenden Fassung
durch Artikel 7 V. v. 30.10.2023 BGBl. 2023 I Nr. 290

(Textabschnitt unverändert)

Gliederung

Eingangsformel
Kapitel 1 Allgemeine Vorschriften
    § 1 Begriffsbestimmungen
    § 2 Technische Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik
    § 3 Zertifizierung von Systemkomponenten
    § 4 Dokumentationspflichten
    § 5 Speicherung und Löschung

(Text alte Fassung)

Kapitel 2 Übermittlung der Ausweisantragsdaten

(Text neue Fassung)

Kapitel 2 Übermittlung des Lichtbilds durch Dienstleister
    § 5a Fertigung und Übermittlung des Lichtbilds durch ein sicheres Verfahren
    § 5b Übermittlung des Lichtbilds unter Einbindung eines Cloudanbieters
    § 5c Registrierung und Identifizierung eines Dienstleisters bei einem Cloudanbieter
    § 5d Pflichten des Cloudanbieters
    § 5e Übermittlung des Lichtbilds von einem Lichtbildaufnahmegerät eines Dienstleisters
Kapitel 3 Übermittlung der Ausweisantragsdaten

(Textabschnitt unverändert)

    § 6 Erfassung der Anschrift

(Text neue Fassung)

    § 6a Fertigung des Lichtbilds durch die Personalausweisbehörde

(Textabschnitt unverändert)

    § 7 Qualitätssicherung des Lichtbildes und der Fingerabdrücke
    § 8 Übermittlung
    § 9 Qualitätsstatistik

(Text alte Fassung)

Kapitel 3 Produktion des Personalausweises

(Text neue Fassung)

Kapitel 4 Produktion des Personalausweises

(Textabschnitt unverändert)

    § 10 Eingang der Antragsdaten
    § 11 Muster für den Personalausweis
    § 12 Muster für den vorläufigen Personalausweis
    § 12a Muster für den Ersatz-Personalausweis
    § 13 Schnittstelle des Chips
    § 14 Speicherung von personenbezogenen Daten; Zugriffsschutz
    § 15 Übermittlung und Übersendung des Sperrkennworts an die Personalausweisbehörde
    § 16 Übermittlung der Sperrsumme, des Sperrschlüssels und des letzten Tages der Gültigkeitsdauer an den Sperrlistenbetreiber
    § 17 Erhalt der Geheimnummer und der Entsperrnummer

(Text alte Fassung)

Kapitel 4 Ausgabe und Versand des Personalausweises; Braille-Aufkleber

(Text neue Fassung)

Kapitel 5 Ausgabe und Versand des Personalausweises; Braille-Aufkleber

(Textabschnitt unverändert)

    § 18 Ausgabe und Versand des Personalausweises und des Sperrkennworts
    § 18a Aufkleber mit Brailleschrift

(Text alte Fassung)

Kapitel 5 Änderung von Daten des Personalausweises; nachträgliches Einschalten

(Text neue Fassung)

Kapitel 6 Änderung von Daten des Personalausweises; nachträgliches Einschalten

(Textabschnitt unverändert)

    § 19 Änderung der Anschrift
    § 20 Neusetzung und Änderung der Geheimnummer für den elektronischen Identitätsnachweis mit dem Personalausweis
    § 21 Nachträgliches Einschalten

(Text alte Fassung)

Kapitel 6 Elektronischer Identitätsnachweis mit einem mobilen Endgerät

(Text neue Fassung)

Kapitel 7 Elektronischer Identitätsnachweis mit einem mobilen Endgerät

(Textabschnitt unverändert)

    § 22 Einrichtung
    § 23 Speicherung von personenbezogenen Daten; Zugriffsschutz
    § 23a Neusetzen und Änderung der Geheimnummer für den elektronischen Identitätsnachweis mit einem mobilen Endgerät
    § 23b Gültigkeitsdauer

(Text alte Fassung)

Kapitel 7 Sperrung und Entsperrung des elektronischen Identitätsnachweises

(Text neue Fassung)

Kapitel 8 Sperrung und Entsperrung des elektronischen Identitätsnachweises

(Textabschnitt unverändert)

    § 24 Referenzliste; allgemeine Sperrliste
    § 25 Sperrung des elektronischen Identitätsnachweises mit dem Personalausweis
    § 25a Sperrung des elektronischen Identitätsnachweises mit einem mobilen Endgerät
    § 26 Entsperrung des elektronischen Identitätsnachweises mit dem Personalausweis
    § 26a Entsperrung des elektronischen Identitätsnachweises mit mobilem Endgerät
    § 27 Auskunft über Sperrung

(Text alte Fassung)

Kapitel 8 Beantragung von Berechtigungen

(Text neue Fassung)

Kapitel 9 Beantragung von Berechtigungen

(Textabschnitt unverändert)

    § 28 Antrag auf Erteilung einer Berechtigung für Vor-Ort-Diensteanbieter und sonstige Diensteanbieter
    § 29 Antrag auf Erteilung einer Berechtigung für Identifizierungsdiensteanbieter; Vorgaben zu Datenschutz und Datensicherheit bei Identifizierungsdiensteanbietern
    § 29a Einholung von Stellungnahmen der Datenschutzaufsichtsbehörden
    § 30 Öffentliche Liste der Berechtigungen

(Text alte Fassung)

Kapitel 9 Ausgabe von Berechtigungszertifikaten

(Text neue Fassung)

Kapitel 10 Ausgabe von Berechtigungszertifikaten

(Textabschnitt unverändert)

    § 31 Angaben vor der Ausgabe von Berechtigungszertifikaten
    § 32 Beachtung der Anforderungen des Inhabers der Wurzelzertifikate
    § 33 Beachtung der Berechtigung durch den Berechtigungszertifikateanbieter
    § 34 Gültigkeitsdauer von Berechtigungszertifikaten
    § 35 Speicherung, Abruf und Verwendung von Daten durch Berechtigungszertifikateanbieter
    § 36 Ausgabe von hoheitlichen Berechtigungszertifikaten
    § 36a Ausgabe von Berechtigungszertifikaten für öffentliche Stellen anderer Mitgliedstaaten

(Text alte Fassung)

Kapitel 10 eID-Karte für Unionsbürger und Angehörige des Europäischen Wirtschaftsraums

(Text neue Fassung)

Kapitel 11 eID-Karte für Unionsbürger und Angehörige des Europäischen Wirtschaftsraums

(Textabschnitt unverändert)

    § 36b Entsprechende Anwendung der Vorschriften über den Personalausweis
    § 36c Nicht auf die eID-Karte entsprechend anwendbare Vorschriften
    § 36d Abweichende Regelung für die eID-Karte
    § 36e Muster der eID-Karte

(Text alte Fassung)

Kapitel 11 Schlussvorschriften

(Text neue Fassung)

Kapitel 12 Schlussvorschriften

(Textabschnitt unverändert)

    § 37 Übergangsregelungen
    § 38 Inkrafttreten
    Schlussformel
    Anhang 1 Muster des Personalausweises
    Anhang 1a Muster des Aufklebers zur Anschriftenänderung des Personalausweises
    Anhang 1b Muster des Aufklebers zur Anschriftenänderung des Personalausweises nach elektronischer Anmeldung nach § 23a des Bundesmeldegesetzes
    Anhang 1c Muster des Aufklebers mit Brailleschrift für den Personalausweis und die eID-Karte
    Anhang 2 Muster des vorläufigen Personalausweises
    Anhang 2a Muster des Ersatz-Personalausweises
    Anhang 3 Formale Anforderungen an die Einträge in Ausweisen im Sinne des § 2 Absatz 1 des Personalausweisgesetzes
    Anhang 3a Muster der eID-Karte
    Anhang 4 Übersicht über die zu zertifizierenden Systemkomponenten

§ 2 Technische Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik

¹ Nach dem Stand der Technik sind zu erfüllen

1. die technischen Anforderungen an

a) die Speicherung des Lichtbildes und der Fingerabdrücke,

b) den Zugriffsschutz auf die im Chip des Personalausweises abgelegten Daten,

c) den Zugriffsschutz auf die in dem Chip eines mobilen Endgeräts abgelegten Daten sowie

2. die technischen und organisatorischen Anforderungen an

a) die Erfassung, Echtheitsbewertung und Qualitätssicherung des Lichtbildes und der Fingerabdrücke,

b) die Übermittlung sämtlicher Ausweisantragsdaten und die in § 8 Absatz 1 Satz 2 genannten Daten von den Personalausweisbehörden an den Ausweishersteller,

c) den elektronischen Identitätsnachweis und das Vor-Ort-Auslesen,

d) die Geheimnummer, die Sperrung und Entsperrung des elektronischen Identitätsnachweises durch den Ausweisinhaber und die Speicherung und Löschung der Sperrmerkmale und des Sperrkennwortes, insbesondere an die dabei einzusetzenden technischen Systeme und Kommunikationswege,

e) das Zurücksetzen und Neusetzen der Geheimnummer durch den Ausweishersteller nach elektronisch gestelltem Antrag und

f) das Ändern der Anschrift auf dem Personalausweis unter Verwendung eines Aufklebers nach Anhang 1 sowie auf dem Chip des Personalausweises nach einer elektronischen Anmeldung nach § 23a des Bundesmeldegesetzes,

(Text alte Fassung)

g) die Übermittlung der Daten nach § 10a Absatz 1 Satz 1 des Personalausweisgesetzes und

h) den elektronischen Identitätsnachweis mit einem mobilen Endgerät.

(Text neue Fassung)

g) die Übermittlung der Daten nach § 10a Absatz 1 Satz 1 des Personalausweisgesetzes,

h) den elektronischen Identitätsnachweis mit einem mobilen Endgerät und

i) das sichere Verfahren der Übermittlung von Lichtbildern von einem Dienstleister an eine Personalausweisbehörde.

(Textabschnitt unverändert)

² Der Stand der Technik ist als niedergelegt zu vermuten in den Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik. ³ Die Übersicht über die Technischen Richtlinien wird im Bundesanzeiger veröffentlicht; die jeweils geltende Fassung der Technischen Richtlinien wird im Bundesanzeiger durch Verweis auf die Internetseite des Bundesamtes für Sicherheit in der Informationstechnik bekannt gemacht.

§ 3 Zertifizierung von Systemkomponenten

(Text alte Fassung)

(1) ¹ Die Systemkomponenten der Personalausweisbehörden, des Ausweisherstellers, der Diensteanbieter und ihrer Auftragnehmer nach § 11 des Bundesdatenschutzgesetzes, deren Zertifizierung verpflichtend oder optional ist, ergeben sich aus dem Anhang 5. ² Die Art und die Einzelheiten der Zertifizierung sind den Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik zu entnehmen.

(Text neue Fassung)

(1) ¹ Aus Anhang 4 ergeben sich die Systemkomponenten

1. der Personalausweisbehörden,

2. des Ausweisherstellers,

3. der Cloudanbieter,

4. der Dienstleister, die Lichtbildaufnahmegeräte im Sinne des § 5a Absatz 2 Nummer 2 verwenden,

5. der Diensteanbieter und ihrer Auftragsverarbeiter nach Artikel 4 Nummer 8 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2; L 74 vom 4.3.2021, S. 35), deren jeweilige Zertifizierung verpflichtend oder optional ist.

² Die Art und die Einzelheiten der Zertifizierung sind den Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik zu entnehmen.

(Textabschnitt unverändert)

(2) Für die Zertifizierung gelten § 9 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 1 des Gesetzes vom 23. Juni 2017 (BGBl. I S. 1885) geändert worden ist, sowie die BSI-Zertifizierungs- und Anerkennungsverordnung vom 17. Dezember 2014 (BGBl. I S. 2231), die durch Artikel 40 des Gesetzes vom 29. März 2017 (BGBl. I S. 626) geändert worden ist, in der jeweils geltenden Fassung.

(Text alte Fassung)

(3) ¹ Die Kosten der Zertifizierung trägt der Antragsteller. ² Die BSI-Kostenverordnung vom 3. März 2005 (BGBl. I S. 519) in der jeweils geltenden Fassung findet Anwendung.

(Text neue Fassung)

(3) Die Kosten der Zertifizierung trägt der Antragsteller.

(Textabschnitt unverändert)

§ 4 Dokumentationspflichten

(1) Die Personalausweisbehörde dokumentiert für die Zwecke des elektronischen Identitätsnachweises mit dem Personalausweis:

1. Erklärungen des Ausweisinhabers, die im Rahmen der Antragstellung und Ausweisverwaltung erfolgt sind;

2. das Datum und die Uhrzeit der Ausgabe des Personalausweises;

3. das Datum und die Uhrzeit der Übergabe des Briefes mit der Geheimnummer, der Entsperrnummer und dem Sperrkennwort, falls die Personalausweisbehörde den Brief übergibt;

4. die Einschaltung des elektronischen Identitätsnachweises mit Datum und Uhrzeit der Einschaltung sowie die Personalausweisbehörde, die den elektronischen Identitätsnachweis eingeschaltet hat;

5. den Sperrantrag durch den Ausweisinhaber, die Übermittlung der Sperrsumme an den Sperrlistenbetreiber sowie das Datum und die Uhrzeit von Antrag und Übermittlung;

6. den Entsperrantrag des Ausweisinhabers, die Übermittlung der Sperrsumme an den Sperrlistenbetreiber sowie das Datum und die Uhrzeit von Antrag und Übermittlung.

(2) Der Sperrnotruf dokumentiert für die Zwecke des elektronischen Identitätsnachweises den Sperrantrag durch den Ausweisinhaber, die Übermittlung der Sperrsumme an den Sperrlistenbetreiber sowie das Datum und die Uhrzeit von Antrag und Übermittlung.

(3) Der Sperrlistenbetreiber dokumentiert

1. im Zusammenhang mit der Sperrung des elektronischen Identitätsnachweises

a) den Eingang des Sperrantrages mit der Sperrsumme sowie das Datum und die Uhrzeit des Eingangs,

b) die Aufnahme des allgemeinen Sperrmerkmals in die Sperrliste sowie das Datum und die Uhrzeit der Sperrung,

c) die Anfrage zur Erzeugung der Sperrliste sowie das Datum und die Uhrzeit der Erzeugung und

d) den tatsächlichen Abruf sowie das Datum und die Uhrzeit des tatsächlichen Abrufs;

2. im Zusammenhang mit der Entsperrung des elektronischen Identitätsnachweises eines Personalausweises

a) den Eingang des Entsperrantrages mit der Sperrsumme sowie das Datum und die Uhrzeit des Eingangs,

b) die Entfernung des allgemeinen Sperrmerkmals aus der Sperrliste sowie das Datum und die Uhrzeit der Entfernung,

c) die Bereitstellung der Sperrliste zum Abruf sowie das Datum und die Uhrzeit der Bereitstellung sowie

d) den tatsächlichen Abruf sowie das Datum und die Uhrzeit des tatsächlichen Abrufs sowie

3. im Zusammenhang mit der Löschung des Sperreintrags des elektronischen Identitätsnachweises nach § 10 Absatz 8 Satz 1 des Personalausweisgesetzes

a) die Sperrsumme sowie das Datum und die Uhrzeit der Löschung,

b) die Entfernung des allgemeinen Sperrmerkmals aus der Sperrliste sowie das Datum und die Uhrzeit der Entfernung,

c) die Bereitstellung der Sperrliste zum Abruf sowie das Datum und die Uhrzeit der Bereitstellung sowie

d) den tatsächlichen Abruf sowie das Datum und die Uhrzeit des tatsächlichen Abrufs.

(Text neue Fassung)

(4) Der Cloudanbieter dokumentiert zum Zwecke der Nachverfolgbarkeit des Übermittlungsvorgangs eines erstellten und übermittelten Lichtbilds

1. die Übermittlung eines verschlüsselten Lichtbilds durch einen Dienstleister, das Datum und die Uhrzeit der Übermittlung sowie

2. den Abruf eines verschlüsselten Lichtbilds durch die Personalausweisbehörde sowie das Datum und die Uhrzeit des Abrufs.

(Textabschnitt unverändert)

§ 5 Speicherung und Löschung

(Text alte Fassung)

(1) Für die Speicherung personenbezogener Daten nach dieser Verordnung bei den Personalausweisbehörden gilt § 23 Absatz 4 des Personalausweisgesetzes entsprechend.

(Text neue Fassung)

(1) ¹ Für die Speicherung personenbezogener Daten nach dieser Verordnung bei den Personalausweisbehörden gilt § 23 Absatz 4 des Personalausweisgesetzes entsprechend. ² Lichtbilder, die nach § 6a durch Lichtbildaufnahmegeräte der Personalausweisbehörde gefertigt wurden, sind unverzüglich nach Abruf durch die Personalausweisbehörde von dem Lichtbildaufnahmegerät zu löschen.

(Textabschnitt unverändert)

(2) Personenbezogene Daten beim Sperrnotruf sind ein Jahr nach ihrer Erhebung zu löschen.

(3) Für die Speicherung beim Sperrlistenbetreiber gelten folgende Fristen:

1. Sperrschlüssel und Sperrsumme sowie der letzte Tag der Gültigkeitsdauer eines elektronischen Identitätsnachweises mit einem Personalausweis sind spätestens einen Monat nach Ablauf der Gültigkeitsdauer aus der Referenzliste zu löschen;

2. Sperrschlüssel und Sperrsumme sowie der letzte Tag der Gültigkeitsdauer eines elektronischen Identitätsnachweises mit einem mobilen Endgerät sind spätestens einen Monat nach Ablauf der Gültigkeitsdauer aus der Referenzliste zu löschen;

3. Aktualisierungen der Sperrliste werden gespeichert, damit eine Sperrung oder Entsperrung von elektronischen Identitätsnachweisen nachgewiesen werden kann; solche Aktualisierungen der Sperrliste werden spätestens einen Monat nach Ablauf der Gültigkeitsdauer eines elektronischen Identitätsnachweises gelöscht;

4. ein allgemeines Sperrmerkmal wird aus der Sperrliste spätestens einen Monat nach Ablauf der Gültigkeitsdauer eines elektronischen Identitätsnachweises entfernt oder wenn die Personalausweisbehörde eine Entsperrung vorgenommen hat;

5. die nach § 4 Absatz 3 erzeugten Protokolldaten werden 20 Wochen nach ihrer Erzeugung gelöscht.

(4) ¹ Der Ausweishersteller speichert die Daten, die im Rahmen des Produktionsverfahrens erlangt oder erzeugt worden sind und der antragstellenden Person zugeordnet werden können, höchstens aber so lange, bis der Sperrlistenbetreiber den Empfang der Sperrsumme und des Sperrschlüssels und die Personalausweisbehörde den Eingang des Sperrkennworts bestätigt haben. ² Im Übrigen sind die Daten sicher zu löschen. ³ Der Ausweishersteller führt zur Vermeidung von Doppelungen eine Liste mit Sperrsummen sowie den jeweiligen letzten Tag der Gültigkeitsdauer von hergestellten Personalausweisen sowie von eingerichteten elektronischen Identitätsnachweisen mit einem mobilen Endgerät. ⁴ Die Sperrsummen sowie der jeweilige letzte Tag der Gültigkeitsdauer von hergestellten Personalausweisen in dieser Liste sind spätestens einen Monat nach Ablauf der Gültigkeitsdauer eines elektronischen Identitätsnachweises zu löschen. ⁵ Der Sperrlistenbetreiber informiert hierzu den Ausweishersteller über Löschvorgänge nach Absatz 3 Nummer 1 und 2. ⁶ § 26 Absatz 3 Satz 1 des Personalausweisgesetzes bleibt unberührt. ⁷ Die Sperrsummen sowie der letzte Tag der Gültigkeitsdauer eines elektronischen Identitätsnachweises mit einem mobilen Endgerät in dieser Liste sind spätestens einen Monat nach Ablauf der Gültigkeitsdauer zu löschen.

(5) ¹ Der Ausweishersteller löscht die zur Bearbeitung von elektronischen Anträgen nach § 20 Absatz 2 und § 21 Absatz 2 zu erhebenden personenbezogenen Daten, sobald er die Benachrichtigung bekommen hat, dass der Antragsteller die zufällig neu generierte Geheimnummer erhalten hat, spätestens aber nach 30 Tagen. ² Satz 1 gilt nicht für das dienste- und kartenspezifische Kennzeichen, welches spätestens nach 90 Tagen zu löschen ist.

(6) Abgesehen von der im Personalausweisregister zu speichernden Anschrift löscht die Personalausweisbehörde alle personenbezogenen Daten, die zur Änderung der Anschrift nach einer elektronischen Anmeldung nach § 23a des Bundesmeldegesetzes erhoben werden, nach Vollzug der Änderung der Anschrift auf dem Chip sowie Erstellung und Versand des Aufklebers, spätestens aber 30 Tage nach Erhalt der personenbezogenen Daten durch die Personalausweisbehörde.

(Text alte Fassung)

§ 5a (neu)

§ 5b (neu)

§ 5c (neu)

§ 5d (neu)

§ 5e (neu)

§ 6a (neu)

(Text neue Fassung)

(7) ¹ Der Cloudanbieter ist verpflichtet, das Lichtbild unverzüglich nach Abruf durch die Personalausweisbehörde, spätestens aber sechs Monate nach Empfang des Lichtbilds von einem Dienstleister, zu löschen, es sei denn, die Personalausweisbehörde hat auf Veranlassung der antragstellenden Person vermerkt, dass das Lichtbild für einen Zeitraum von höchstens sechs Monaten ab Antragstellung nicht gelöscht werden soll. ² Im Übrigen ist der Cloudanbieter verpflichtet, die bei ihm gespeicherten Daten für folgende Fristen zu speichern; nach Fristablauf sind die Daten zu löschen:

1. die Protokolldaten nach § 4 Absatz 4 für zehn Jahre und sechs Monate nach ihrer Erstellung;

2. die personenbezogenen Daten der Dienstleister sowie die diesen Personen zuzuordnenden Pseudonyme für sechs Monate, ab dem Zeitpunkt, ab dem der Kontoinhaber von dem Cloudanbieter die Auflösung seines Nutzerkontos verlangt hat;

3. abweichend von Nummer 2 die dort genannten Daten für zehn Jahre und sechs Monate seit der Übermittlung des Lichtbilds an die zuständige Personalausweisbehörde, wenn dieses für die Personalausweisbeantragung durch eine dem Nutzerkonto zuzuordnende Person übermittelt wurde.

§ 5a Fertigung und Übermittlung des Lichtbilds durch ein sicheres Verfahren

(1) ¹ In Fällen, in denen ein Personalausweis bei einer Personalausweisbehörde nach § 8 Absatz 1 des Personalausweisgesetzes beantragt wird, kann die antragstellende Person einen Dienstleister mit der Fertigung des Lichtbilds beauftragen. ² Der Dienstleister hat das Lichtbild elektronisch zu fertigen und im Anschluss durch ein sicheres Verfahren an die Personalausweisbehörde zu übermitteln. ³ Dienstleister ist jede natürliche oder juristische Person, die gewerbsmäßig Lichtbilder von anderen Personen anfertigt, die zur Vorlage bei einer Personalausweisbehörde bestimmt sind.

(2) Ein sicheres Verfahren im Sinne des Absatzes 1 Satz 2 ist:

1. die Übermittlung des Lichtbilds an die Personalausweisbehörde von einem Dienstleister unter Einbindung eines Cloudanbieters oder

2. die Übermittlung des Lichtbilds an die Personalausweisbehörde von einem zertifizierten Lichtbildaufnahmegerät eines Dienstleisters, das unmittelbar an das Behördennetz einer Personalausweisbehörde angeschlossen ist.

§ 5b Übermittlung des Lichtbilds unter Einbindung eines Cloudanbieters

(1) Bei einer Übermittlung nach § 5a Absatz 2 Nummer 1 übermittelt der Dienstleister das Lichtbild an einen Cloudanbieter und übergibt der antragstellenden Person anschließend einen Code, den diese im Rahmen der Antragstellung der Personalausweisbehörde übergibt.

(2) ¹ Mit diesem Code ruft die Personalausweisbehörde das Lichtbild bei dem Cloudanbieter ab. ² Durch den Abruf wird das Lichtbild gemeinsam mit dem Pseudonym des Dienstleisters an die Personalausweisbehörde übermittelt.

(3) ¹ Die Übermittlung des Lichtbilds vom Dienstleister an die Personalausweisbehörde erfolgt verschlüsselt als Ende-zu-Ende-Verschlüsselung; eine Entschlüsselung durch den Cloudanbieter ist auszuschließen. ² Eine Übermittlung des Lichtbilds vom Dienstleister zum Cloudanbieter ist nur unter Verwendung von zertifizierten Komponenten nach Maßgabe von § 3 Absatz 1 Satz 1 zulässig.

(4) Die Verarbeitung der personenbezogenen Daten darf ausschließlich durch einen im Gebiet der Europäischen Union ansässigen Cloudanbieter und ausschließlich im Gebiet der Europäischen Union erfolgen.

§ 5c Registrierung und Identifizierung eines Dienstleisters bei einem Cloudanbieter

(1) ¹ Dienstleister haben sich bei einem Cloudanbieter mit einem Nutzerkonto zu registrieren. ² Bei der Registrierung ist ein Nachweis über die Dienstleistereigenschaft sowie ein Nachweis über die Identität des Dienstleisters zu erbringen.

(2) Der Nachweis über die Dienstleistereigenschaft ist zu erbringen durch Übermittlung:

1. eines Nachweises über die Gewerbeanmeldung;

2. durch einen Auszug aus dem Unternehmensregister;

3. durch eine Bescheinigung der Mitgliedschaft in der Handwerkskammer oder

4. einer Bestätigung eines Finanzamtes über die Anmeldung einer freiberuflichen Tätigkeit als Fotografin oder Fotograf.

(3) ¹ Bei der Registrierung erfolgt der Nachweis der Identität des Dienstleisters durch

1. einen elektronischen Identitätsnachweis gemäß § 18 des Personalausweisgesetzes, gemäß § 12 des eID-Karte-Gesetzes oder gemäß § 78 Absatz 5 des Aufenthaltsgesetzes oder

2. ein anderes elektronisches Identifizierungsmittel, das nach Artikel 6 der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (ABl. L 257 vom 28.8.2014, S. 73; L 23 vom 29.1.2015, S. 19; L 155 vom 14.6.2016, S. 44) auf dem Sicherheitsniveau 'hoch' im Sinne des Artikels 8 Absatz 2 Buchstabe c der Verordnung (EU) Nr. 910/2014 notifiziert worden ist.

² Einem Nutzerkonto können mehrere Personen zugeordnet werden, wenn diese vom Dienstleister auf Dauer angelegt beschäftigt werden. ³ Personen nach Satz 2 müssen sich bei der Registrierung in einem Nutzerkonto ebenfalls mittels eines der in Satz 1 genannten Identifizierungsmittel in dem Nutzerkonto registrieren.

(4) Für jede Person, die sich in einem Nutzerkonto nach Absatz 3 registriert hat, wird durch den Cloudanbieter ein Pseudonym erzeugt.

(5) ¹ Vor jeder Übermittlung eines Lichtbilds an den Cloudanbieter hat sich die übermittelnde Person des Dienstleisters erneut mit einem der in Absatz 3 Satz 1 genannten Identifizierungsmittel zu identifizieren. ² Bei jeder Übermittlung wird das Lichtbild durch den Cloudanbieter mit dem Pseudonym der übermittelnden Person dauerhaft verbunden. ³ Die Personalausweisbehörde trägt im Personalausweisregister als lichtbildaufnehmende Stelle gemäß § 23 Absatz 3 Nummer 20 des Personalausweisgesetzes das übermittelte Pseudonym ein.

§ 5d Pflichten des Cloudanbieters

¹ Wenn bestimmte Tatsachen die Annahme begründen, dass ein beim Cloudanbieter abgerufenes Lichtbild auf unzulässige Weise erstellt worden ist, kann die Personalausweisbehörde vom Cloudanbieter verlangen, Auskunft darüber zu geben, welcher Person das mit dem Lichtbild verbundene Pseudonym zuzuordnen ist. ² Dies gilt auch für den Fall, dass ein Cloudanbieter seinen Betrieb einstellt und solange, bis die Daten durch den Cloudanbieter gelöscht werden.

§ 5e Übermittlung des Lichtbilds von einem Lichtbildaufnahmegerät eines Dienstleisters

(1) Bei einer Übermittlung nach § 5a Absatz 2 Nummer 2 fertigt der Dienstleister das Lichtbild durch sein Lichtbildaufnahmegerät an, das mit Zustimmung der jeweiligen Personalausweisbehörde unmittelbar an ihr Behördennetzwerk angeschlossen ist.

(2) ¹ Mit dem Lichtbild wird der Name des Dienstleisters, der das Lichtbildaufnahmegerät zur Verfügung gestellt hat, sowie die Kennung des verwendeten Lichtbildaufnahmegeräts der Personalausweisbehörde übermittelt. ² Die Personalausweisbehörde trägt im Personalausweisregister als lichtbildaufnehmende Stelle gemäß § 23 Absatz 3 Nummer 20 des Personalausweisgesetzes den Namen des Dienstleisters und die Kennung des verwendeten Lichtbildaufnahmegeräts ein.

§ 6a Fertigung des Lichtbilds durch die Personalausweisbehörde

(1) ¹ Wird das Lichtbild von der Personalausweisbehörde mit einem eigenen Lichtbildaufnahmegerät gefertigt, trägt die Personalausweisbehörde im Personalausweisregister als lichtbildaufnehmende Stelle gemäß § 23 Absatz 3 Nummer 20 des Personalausweisgesetzes die Personalausweisbehörde ein. ² Die Anfertigung des Lichtbilds mit einem eigenen Lichtbildaufnahmegerät ist nur zulässig, wenn das Lichtbildaufnahmegerät als Systemkomponente im Sinne des § 3 Absatz 1 Satz 1 zertifiziert worden ist.

(2) ¹ Das nach Absatz 1 gefertigte Lichtbild ist unverzüglich durch die Personalausweisbehörde vom Lichtbildaufnahmegerät zu löschen, wenn es durch die Personalausweisbehörde abgerufen wurde. ² Wird das gefertigte Lichtbild nicht sofort durch die Personalausweisbehörde abgerufen, so ist dieses bis zum Abruf zu speichern, längstens jedoch für 96 Stunden nach dessen Anfertigung.

(Textabschnitt unverändert)

§ 7 Qualitätssicherung des Lichtbildes und der Fingerabdrücke

(Text alte Fassung)

(1) ¹ Von der Person, für die ein Ausweis im Sinne des § 2 Absatz 1 des Personalausweisgesetzes auszustellen ist, ist der Personalausweisbehörde ein aktuelles Lichtbild ohne Rand vorzulegen, das 45 Millimeter hoch und 35 Millimeter breit ist. ² Wenn die Personalausweisbehörde die technischen Voraussetzungen geschaffen hat, kann das Lichtbild auch

1. von Dritten elektronisch verschlüsselt und signiert an die Personalausweisbehörde übermittelt werden, soweit diese Form der Übermittlung durch eine Technische Richtlinie des Bundesamtes für Sicherheit in der Informationstechnik vorgesehen ist, oder

2. durch die Personalausweisbehörde gefertigt werden.

(2) ¹ Die Personalausweisbehörde stellt durch geeignete technische und organisatorische Maßnahmen die erforderliche Qualität der Erfassung des Lichtbildes und der Fingerabdruckbilder sicher. ² Dazu hat sie die Fingerabdruckbilder und das Lichtbild mit einer zertifizierten Qualitätssicherungssoftware zu prüfen und in dem für den Ausweis verwendeten Format zu speichern. ³ Darüber hinaus hat auch die Erfassung der Fingerabdruckbilder mit zertifizierter Hardware zu erfolgen.

(Text neue Fassung)

(1) Ein Lichtbild, das nach § 9 Absatz 3 Satz 3 des Personalausweisgesetzes gefertigt wird, muss aktuell sein und den Vorgaben der Technischen Richtlinie TR-03121 des Bundesamtes für Sicherheit in der Informationstechnik in der jeweils geltenden Fassung entsprechen.

(2) Abweichend von Absatz 1 kann für einen Personalausweis, der im Ausland bei der Personalausweisbehörde nach § 8 Absatz 2 Personalausweisgesetz beantragt wird, auch ein aktuelles Lichtbild in der Größe von 45 Millimeter x 35 Millimeter im Hochformat und ohne Rand vorgelegt werden, sofern die elektronische Fertigung mittels Geräten der Behörde zur Lichtbildaufnahme nicht möglich ist.

(Textabschnitt unverändert)

(3) ¹ Das Lichtbild muss die Person in einer Frontalaufnahme, ohne Kopfbedeckung und ohne Bedeckung der Augen zeigen. ² Im Übrigen muss das Lichtbild den Vorgaben des Anhangs 3 Abschnitt 2 entsprechen. ³ Die Personalausweisbehörde kann von diesen Vorgaben aus medizinischen Gründen, die nicht nur vorübergehender Art sind, Ausnahmen zulassen. ⁴ Vom Verbot der Kopfbedeckung kann sie auch aus religiösen Gründen Ausnahmen zulassen.

§ 36b Entsprechende Anwendung der Vorschriften über den Personalausweis

(Text alte Fassung)

(1) Soweit dieses Kapitel keine besonderen Regelungen enthält, gelten für die die eID-Karte betreffenden Angelegenheiten die Vorschriften der Kapitel 1 bis 9 entsprechend.

(Text neue Fassung)

(1) Soweit dieses Kapitel keine besonderen Regelungen enthält, gelten für die die eID-Karte betreffenden Angelegenheiten die Vorschriften des Kapitels 1 sowie der Kapitel 3 bis 10 entsprechend.

(Textabschnitt unverändert)

(2) An die Stelle von Ausweis und Ausweisinhaber treten die eID-Karte und ihr Inhaber, an die Stelle der Personalausweisbehörden treten die eID-Karte-Behörden, an die Stelle des Personalausweisregisters tritt das eID-Kartenregister.

Anhang 4 Übersicht über die zu zertifizierenden Systemkomponenten

Nr. | Bezeichnung der Systemkomponente | Verpflichtung/Option

1 | Chip auf der Ausweiskarte (Hard- und Software) | Verpflichtung für den Ausweishersteller

2 | Hardware zur Erfassung und Echtheitsbewertung von Fingerabdrücken | Verpflichtung für die Anbieter dieser Geräte
Verpflichtung für den Ausweishersteller
Verpflichtung für die Personalausweisbehörden

3 | Software zur Erfassung, Echtheitsbewertung und Qualitätssicherung des
Lichtbildes und der Fingerabdrücke | Verpflichtung für den Ausweishersteller
Verpflichtung für die Personalausweisbehörden

(Text alte Fassung)

4 | System zur sicheren Übermittlung des Lichtbildes von
Dritten an die Personalausweisbehörde | Verpflichtung für die Personalausweisbehörden, wel-
che das Lichtbild gemäß § 7 Absatz 1 Satz 2
Nummer 1 von Dritten erhalten

5 | Erfassungsstation zur Fertigung des Lichtbildes | Verpflichtung für die Personalausweisbehörden, die
das Lichtbild gemäß § 7 Absatz 1 Satz 2 Nummer 2
selbst fertigen

(Text neue Fassung)

4 | (aufgehoben)

|

5 | Erfassungsstation zur Fertigung des Lichtbildes | Verpflichtung für die Personalausweisbehörden, die
das Lichtbild gemäß §§ 6a, 7 Absatz 1 Satz 3 selbst
fertigen oder für Dienstleister, die
Lichtbildaufnahmegeräte im Sinne des § 5a
Absatz 2 Nummer 2 verwenden

(Textabschnitt unverändert)

6 | Modul für die Datenübermittlung von den Personal-
ausweisbehörden an den Ausweishersteller | Verpflichtung für den Ausweishersteller
Verpflichtung für die Personalausweisbehörden

7 | Modul zur Sicherung der Authentizität und Vertrau-
lichkeit der Antragsdaten | Verpflichtung für den Ausweishersteller
Verpflichtung für die Personalausweisbehörden

8 | Änderungs- und Visualisierungmodul für den Ände-
rungs- und Visualisierungsdienst in den Personal-
ausweisbehörden | Verpflichtung für den Ausweishersteller
Verpflichtung für die Personalausweisbehörden

9 | Kartenlesegeräte für die Nutzung im Rahmen des § 18
des Personalausweisgesetzes | Optionale Durchführung durch den Anbieter dieser
Geräte.

10 | eID-Client | Optionale Durchführung durch den Anbieter dieser
Software. Empfehlung des Einsatzes zertifizierter
Software an den Ausweisinhaber

11 | Hard- und Software zur Durchführung des elektro-
nischen Identitätsnachweises oder des
Vor-Ort-Auslesens *) bei den Diensteanbie-
tern oder ihrer Auftragnehmer (eID-Server) | Verpflichtung für den Diensteanbieter oder dessen
Auftragnehmer

(Text neue Fassung)

12 | Hard- und Software zum Betrieb der Cloud | Verpflichtung für den Cloudanbieter

13 | Software zur Verschlüsselung und Übertragung
der Lichtbilder von Dienstleistern an die Cloud | Verpflichtung für die Softwarehersteller

(Textabschnitt unverändert)

---
*) Anm. d. Red.: Die nicht durchführbare Änderung in Artikel 1 Nr. 18 Buchstabe e V. v. 28. September 2017 (BGBl. I S. 3521) wurde sinngemäß konsolidiert.