OZG § 8

§ 8 Rechtsgrundlagen der Datenverarbeitung in Nutzerkonten und zu Identifizierungszwecken [1]

(1) 1Zur Feststellung der Identität des Nutzers eines Bürgerkontos dürfen, soweit dies erforderlich ist, folgende Daten verarbeitet werden:

  1. Daten nach § 18 Absatz 3 des Personalausweisgesetzes,

  2. die eindeutige Kennung sowie die spezifischen Daten, die von notifizierten elektronischen Identifizierungsmitteln nach der Verordnung (EU) Nr. 910/2014 vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (ABl L 257 vom , S. 73), die zuletzt durch die Richtlinie (EU) 2022/2555 (ABl L 333 vom , S. 80) geändert worden ist, übermittelt werden,

  3. die eindeutige Kennung, die von sonstigen anerkannten elektronischen Identifizierungsmitteln übermittelt wird, und

  4. die Postfachreferenz des Nutzerkontos.

2Bei späterer Nutzung des Nutzerkontos mit dem elektronischen Identitätsnachweis nach § 18 des Personalausweisgesetzes, nach § 12 des eID-Karte-Gesetzes oder nach § 78 Absatz 5 des Aufenthaltsgesetzes sind grundsätzlich das dienste- und kartenspezifische Kennzeichen und die Anschrift zu übermitteln, bei elektronischen Identifizierungsmitteln nach Satz 1 Nummer 2 und 3 nur die jeweilige eindeutige Kennung.

(2) 1Zur Feststellung der Identität des Nutzers eines Organisationskontos und zur Feststellung der Vertretungs- oder Handlungsbefugnis einer für die Organisation handelnden natürlichen oder juristischen Person dürfen, soweit dies erforderlich ist, folgende Daten verarbeitet werden:

  1. Unternehmensbasisdaten nach § 3 des Unternehmensbasisdatenregistergesetzes,

  2. Daten nach § 139b Absatz 4a und § 139c Absatz 6a der Abgabenordnung,

  3. die eindeutige Kennung sowie spezifische Daten, die von notifizierten elektronischen Identifizierungsmitteln nach der Verordnung (EU) Nr. 910/2014 übermittelt werden,

  4. die eindeutige Kennung, die von sonstigen anerkannten elektronischen Identifizierungsmitteln übermittelt wird,

  5. die Postfachreferenzen des Nutzerkontos,

  6. Daten zur Vertretungs- oder Handlungsbefugnis sowie Daten nach Absatz 1 der für eine Organisation handelnden natürlichen Personen und

  7. Daten der Mitglieder des Vertretungsorgans oder der gesetzlichen Vertreter.

2Ist ein Mitglied des Vertretungsorgans oder der gesetzliche Vertreter eine juristische Person, so können deren Daten nach diesem Absatz verwendet werden.

(3) Zur Feststellung der Identität eines Nutzers darf die Finanzbehörde, die im Auftrag der obersten Finanzbehörden des Bundes und der Länder das sichere Verfahren nach § 87a Absatz 6 der Abgabenordnung betreibt,

  1. die in § 139b Absatz 4a und § 139c Absatz 6a der Abgabenordnung aufgeführten Daten des Bundeszentralamts für Steuern sowie entsprechende, für das Besteuerungsverfahren gespeicherte Daten der Finanzämter bei diesen Finanzbehörden im automatisierten Verfahren auf Veranlassung des Nutzers abrufen und

  2. die abgerufenen Daten auf Veranlassung des Nutzers an dessen Nutzerkonto übermitteln.

(4) Daten im Sinne der Absätze 1 und 2 dürfen auf Veranlassung des Nutzers auch zwischen den Nutzerkonten im Portalverbund ausgetauscht werden.

(5) Zur Kommunikation mit dem Nutzer dürfen zusätzlich folgende Daten verarbeitet werden:

  1. Anrede,

  2. weitere Anschriften,

  3. De-Mail-Adresse oder vergleichbare Adresse eines Zustelldienstes eines Mitgliedstaats der Europäischen Union oder eines anderen Vertragsstaats des Abkommens über den Europäischen Wirtschaftsraum nach der Verordnung (EU) Nr. 910/2014,

  4. E-Mail-Adresse,

  5. Telefon- oder Mobilfunknummer,

  6. Telefaxnummer und

  7. Kommunikationsinhaltsdaten.

(6) Auf Veranlassung des Nutzers dürfen elektronische Dokumente zu Verwaltungsvorgängen und Status- und Verfahrensinformationen an das Nutzerkonto übermittelt und für Zwecke des Nutzerkontos verarbeitet werden, soweit dies erforderlich ist.

(7) 1Auf Veranlassung des Nutzers ist eine dauerhafte Speicherung der Daten nach den Absätzen 1, 2, 5 und 6 zulässig. 2Im Falle der dauerhaften Speicherung muss der Nutzer jederzeit die Möglichkeit haben, das Nutzerkonto und alle gespeicherten Daten selbständig zu löschen. 3Das Bürgerkonto wird bei zweijähriger Inaktivität des Nutzers automatisch gelöscht. 4Der Nutzer wird zwei Monate vorher automatisch elektronisch über die anstehende Löschung benachrichtigt. 5Die elektronische Identifizierung kann jeweils mittels einer einmaligen Abfrage der Identitätsdaten erfolgen.

(8) 1Die für den jeweiligen Zweck erforderlichen Daten nach den Absätzen 1, 2, 5 und 6 sowie nach § 9 Absatz 1 dürfen auf Veranlassung des Nutzers an die für die Verwaltungsleistung zuständige Behörde, ein Verwaltungsportal oder einen Onlinedienst übermittelt werden und durch diese verarbeitet werden, soweit dies für die Zwecke der Unterstützung bei der Inanspruchnahme elektronischer Verwaltungsleistungen oder deren Abwicklung erforderlich ist. 2Die Verantwortung für die Zulässigkeit der Übermittlung trägt der Dritte, an den die Daten übermittelt werden. 3Soweit gesetzlich nichts anderes bestimmt ist, darf der Dritte die Daten nur für den Zweck verarbeiten, zu dessen Erfüllung sie ihm übermittelt werden.

(9) Soweit nach den Absätzen 5 bis 8 Daten verarbeitet werden dürfen, gilt dies auch für besondere Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 der Verordnung (EU) 2016/679. § 22 Absatz 2 des Bundesdatenschutzgesetzes gilt entsprechend.

(10) 1Für die Verarbeitung personenbezogener Daten im Nutzerkonto nach den Absätzen 1 bis 9 ist die für das Nutzerkonto jeweils zuständige Stelle nach Artikel 4 Nummer 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl L 119 vom , S. 1; L 314 vom , S. 72; L 127 vom , S. 2; L 74 vom , S. 35) ausschließlich verantwortlich. 2Teilen sich mehrere Stellen die Zuständigkeit für ein Nutzerkonto, sind diese nach Artikel 26 der Verordnung (EU) 2016/679 gemeinsam verantwortlich.

Fundstelle(n):
zur Änderungsdokumentation
CAAAG-72817

1Anm. d. Red.: § 8 i. d. F. des Gesetzes v. (BGBl 2024 I Nr. 245) mit Wirkung v. .