Signatur- und Vertrauensdienstegesetz

Dieses Bundesgesetz führt die Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG, ABl. Nr. L 257 vom 28.08.2014 S. 73, in der Fassung der Berichtigung ABl. Nr. L 257 vom 29.01.2015 S. 19, mit Ausnahme ihres Kapitels II durch. Vertrauensdienste im Sinne dieses Bundesgesetzes sind elektronische Dienste, die in der Regel gegen Entgelt erbracht werden und aus Elementen des Art. 3 Z 16 dieser Verordnung bestehen, das sind insbesondere elektronische Signaturen, elektronische Siegel, elektronische Zeitstempel, die Zustellung elektronischer Einschreiben, die Website-Authentifizierung sowie deren Zertifikate, soweit diese Dienste in den Anwendungsbereich dieser Verordnung fallen.

Alle in diesem Bundesgesetz verwendeten personenbezogenen Bezeichnungen gelten gleichermaßen für Personen sowohl des weiblichen als auch männlichen Geschlechts.

(1) Im Sinn dieses Bundesgesetzes bedeutet:

(2) Die Begriffsbestimmungen des Art. 3 eIDAS-VO gelten auch für dieses Bundesgesetz.

(1) Eine qualifizierte elektronische Signatur erfüllt das rechtliche Erfordernis der Schriftlichkeit im Sinne des § 886 ABGB. Andere gesetzliche Formerfordernisse, insbesondere solche, die die Beiziehung eines Notars oder eines Rechtsanwalts vorsehen, sowie vertragliche Vereinbarungen über die Form bleiben unberührt.

(2) Letztwillige Verfügungen können in elektronischer Form nicht wirksam errichtet werden. Folgende Willenserklärungen können nur dann in elektronischer Form wirksam abgefasst werden, wenn das Dokument über die Erklärung die Bestätigung eines Notars oder eines Rechtsanwalts enthält, dass er den Signator über die Rechtsfolgen seiner Signatur aufgeklärt hat:

(3) Bei Rechtsgeschäften zwischen Unternehmern und Verbrauchern sind Vertragsbestimmungen, nach denen eine qualifizierte elektronische Signatur nicht das rechtliche Erfordernis der Schriftlichkeit erfüllt, für Anzeigen oder Erklärungen, die vom Verbraucher dem Unternehmer oder einem Dritten abgegeben werden, nicht verbindlich, es sei denn, der Unternehmer beweist, dass die Vertragsbestimmungen im Einzelnen ausgehandelt worden sind oder mit dem Verbraucher eine andere vergleichbar einfach verwendbare Art der elektronischen Authentifizierung vereinbart wurde.

Signatoren und Siegelersteller oder von ihnen dazu beauftragte qualifizierte VDA haben bei qualifizierten Signaturen ihre elektronischen Signaturerstellungsdaten oder bei qualifizierten Siegeln ihre elektronischen Siegelerstellungsdaten sorgfältig zu verwahren, soweit zumutbar Zugriffe von Dritten auf ihre elektronischen Signaturerstellungsdaten oder elektronischen Siegelerstellungsdaten zu verhindern und deren Weitergabe an Dritte zu unterlassen. Die Weitergabe von elektronischen Siegelerstellungsdaten an autorisierte Personen ist zulässig. Signatoren oder Siegelersteller haben den Widerruf des qualifizierten Zertifikats zu verlangen, wenn die elektronischen Signaturerstellungsdaten oder die elektronischen Siegelerstellungsdaten abhandenkommen, wenn Anhaltspunkte für deren Kompromittierung bestehen oder wenn sich die im qualifizierten Zertifikat bescheinigten Umstände geändert haben.

(1) Sofern ein qualifizierter VDA ein qualifiziertes Zertifikat für eine elektronische Signatur oder ein elektronisches Siegel nicht widerruft, hat er dieses vorläufig auszusetzen, wenn

(2) Ein qualifizierter VDA hat bei Vorliegen der in Abs. 1 genannten Umstände die Aussetzung zeitnah und in jedem Fall innerhalb von 24 Stunden nach Erhalt des Ersuchens vorzunehmen.

(3) Ist ein qualifiziertes Zertifikat für elektronische Signaturen oder elektronische Siegel vorläufig ausgesetzt worden, so verliert dieses Zertifikat, solange der Status der Aussetzung gemäß Abs. 4 veröffentlicht ist, seine Gültigkeit. Dieser Zeitraum darf zwei Wochen nicht überschreiten.

(4) Ein qualifizierter VDA hat die Dauer der Aussetzung in seiner Zertifikatsdatenbank gemäß Art. 24 Abs. 2 lit. k eIDAS-VO zu registrieren und den Status der Aussetzung während der Dauer der Aussetzung elektronisch jederzeit allgemein zugänglich zu veröffentlichen.

(1) Die Konformität qualifizierter elektronischer Signatur- und Siegelerstellungseinheiten mit den Anforderungen des Anhangs II der eIDAS-VO wird durch eine Bestätigungsstelle oder eine in einem anderen Mitgliedstaat der Europäischen Union gemäß Art. 30 Abs. 1 eIDAS VO benannte Stelle zertifiziert. Sofern eine Zertifizierung gemäß Art. 30 Abs. 3 lit. b eIDAS-VO vorgenommen wird, ist die Gleichwertigkeit des Sicherheitsniveaus von der Bestätigungsstelle oder benannten Stelle nach dem Stand der Technik zu beurteilen. Eine Einrichtung ist zur Wahrnehmung der einer Bestätigungsstelle zugewiesenen Aufgaben geeignet, wenn sie

(2) Eine Bestätigungsstelle kann zur Erfüllung der ihr nach Abs. 1 zugewiesenen Aufgaben von anderen Einrichtungen oder Stellen Prüfberichte zu technischen Komponenten und Verfahren einholen.

(3) Der Bundesminister für Digitalisierung und Wirtschaftsstandort hat mit Verordnung festzustellen, dass eine Einrichtung als Bestätigungsstelle geeignet ist. Die Eignung ist festzustellen, wenn die Einrichtung nach ihren Statuten oder Satzungen oder nach ihrem Gesellschaftsvertrag, nach ihrer Organisation und nach ihrem Sicherheits- und Finanzierungskonzept die in Abs. 1 genannten Anforderungen erfüllt. Eine solche Verordnung darf nur erlassen werden, wenn die Bereitschaft der betreffenden Einrichtung zur Wahrnehmung der Aufgaben besteht.

(1) Ein qualifizierter VDA oder eine in seinem Auftrag tätige Stelle hat die Identität von persönlich anwesenden natürlichen Personen oder Vertretern einer juristischen Person, denen ein qualifiziertes Zertifikat ausgestellt werden soll, anhand eines amtlichen Lichtbildausweises oder durch einen anderen in seiner Zuverlässigkeit gleichwertigen, dokumentierten oder zu dokumentierenden Nachweis festzustellen (Art. 24 Abs. 1 lit. a eIDAS-VO). Vertreter von juristischen Personen haben darüber hinaus einen Nachweis über das Bestehen der Vertretungsbefugnis vorzulegen.

(2) Erfolgt die Ausstellung nicht in persönlicher Anwesenheit, können auch sonstige Identifizierungsmethoden, die eine gleichwertige Sicherheit hinsichtlich der Verlässlichkeit bei der persönlichen Anwesenheit bieten, angewendet werden (Art. 24 Abs. 1 lit. d eIDAS-VO). Dabei ist insbesondere auf eine erfolgte Identifizierung anhand eines Nachweises iSd Abs. 1, die von einer vertrauenswürdigen Stelle durchgeführt wurde, zurückzugreifen.

(1) Ein qualifizierter VDA hat der Aufsichtsstelle zumindest drei Wochen im Vorhinein die geplante Einstellung seiner Tätigkeit anzuzeigen.

(2) Sofern der qualifizierte VDA qualifizierte Zertifikate ausstellt, hat er die im Zeitpunkt der Einstellung seiner Tätigkeit gültigen qualifizierten Zertifikate zu widerrufen oder dafür Sorge zu tragen, dass zumindest seine Zertifikatsdatenbank von einem anderen qualifizierten VDA übernommen werden kann und wird. Auch im Fall des Widerrufs der qualifizierten Zertifikate hat der qualifizierte VDA sicherzustellen, dass die Zertifikatsdatenbank weitergeführt wird; kommt er dieser Verpflichtung nicht nach, so hat die Aufsichtsstelle als Teil ihrer Vertrauensinfrastruktur (§ 14 Abs. 3) für die Weiterführung der Zertifikatsdatenbank auf Kosten des qualifizierten VDA Sorge zu tragen.

(3) Ein Widerruf der gültigen qualifizierten Zertifikate gemäß Abs. 2 ist nur dann zulässig, wenn die Aufsichtsstelle auf Antrag des Bundesministers für Digitalisierung und Wirtschaftsstandort feststellt, dass deren Weiterführung nicht im öffentlichen Interesse gelegen ist. Ist der Widerruf unzulässig, hat der Bund für deren Weiterführung Sorge zu tragen. Der qualifizierte VDA hat zu diesem Zweck dem Bund alle notwendigen Mittel und Informationen zu übergeben.

(4) Die Signatoren und Siegelersteller sind von der Einstellung der Tätigkeit sowie vom Widerruf, der Übernahme oder der Weiterführung unverzüglich zu verständigen.

(1) Auf Ersuchen von Gerichten oder anderen Behörden hat ein qualifizierter VDA Zugang zur Dokumentation nach Art. 24 Abs. 2 lit. h eIDAS-VO und seiner Zertifikatsdatenbank zu gewähren.

(2) Bei Verwendung eines Pseudonyms in einem Zertifikat hat der VDA die personenbezogenen Daten über die Identität des Signators an einen Dritten zu übermitteln, sofern von diesem an der Feststellung der Identität ein überwiegendes berechtigtes Interesse glaubhaft gemacht wird. Die Übermittlung ist zu dokumentieren.

(3) Die Dokumentation ist vom qualifizierten VDA 30 Jahre, gerechnet ab dem im qualifizierten Zertifikat eingetragenen Ende der Gültigkeit oder, mangels eines solchen, 30 Jahre ab dem Zeitpunkt des Anfallens von einschlägigen Informationen über die von dem qualifizierten VDA im Rahmen seiner Tätigkeit ausgegebenen und empfangenen Daten, aufzubewahren.

(1) Abgesehen von Art. 13 Abs. 2 eIDAS-VO kann die Haftung eines VDA nach Art. 13 Abs. 1 eIDAS-VO im Vorhinein weder ausgeschlossen noch beschränkt werden.

(2) Umfang und Ausmaß des nach Art. 13 eIDAS-VO zu ersetzenden Schadens sowie allfällige Rückgriffsrechte gegenüber anderen Personen richten sich nach den auf den Schadensfall sonst anwendbaren Bestimmungen.

(3) Ersatzansprüche gegenüber anderen Personen oder aus einem anderen Rechtsgrund bleiben unberührt.

(1) Aufsichtsstelle gemäß Art. 17 eIDAS-VO ist die Telekom-Control-Kommission (§ 116 TKG 2003).

(2) Die Aufsichtsstelle hat den VDA für ihre Tätigkeit und für die Heranziehung der RTR-GmbH (§ 13) eine mit Verordnung festgelegte kostendeckende Gebühr vorzuschreiben. Die Einnahmen aus dieser Gebühr fließen der Aufsichtsstelle zu und sind nach Heranziehung der RTR-GmbH, der Bestätigungsstelle oder einer anderen gemäß Art. 30 Abs. 1 eIDAS-VO benannten Stelle nach deren Aufwand weiterzuleiten.

(3) Die Aufsichtsstelle kann sich zur Beratung geeigneter Personen oder Einrichtungen wie etwa einer Bestätigungsstelle (§ 7) bedienen. Die Wahrnehmung ihrer Aufgaben in technischen Belangen hat in Abstimmung mit einer Bestätigungsstelle (§ 7) oder einer in einem anderen Mitgliedstaat der Europäischen Union gemäß Art. 30 Abs. 1 eIDAS-VO benannten Stelle zu erfolgen.

(4) Die Mitglieder der Aufsichtsstelle sind gemäß Art. 20 Abs. 2 B-VG bei Ausübung ihres Amtes an keine Weisungen gebunden.

(5) Die Tätigkeit der Aufsichtsstelle nach diesem Bundesgesetz ist von ihrer Tätigkeit nach anderen Bundesgesetzen organisatorisch und finanziell zu trennen.

(1) Die Aufsichtsstelle kann sich bei der Durchführung der Aufsicht der RTR-GmbH (§ 16 KOG) bedienen.

(2) Im Rahmen ihrer Tätigkeit für die Aufsichtsstelle ist das Personal der RTR-GmbH an die Weisungen des Vorsitzenden oder des in der Geschäftsordnung bezeichneten Mitgliedes gebunden.

(3) § 12 Abs. 5 über die organisatorische und finanzielle Trennung ist auf die Tätigkeit der RTR-GmbH anzuwenden.

(1) Die RTR-GmbH erstellt, führt und veröffentlicht für die Aufsichtsstelle auf gesicherte Weise eine von der RTR-GmbH elektronisch unterzeichnete oder besiegelte Vertrauensliste gemäß Art. 22 eIDAS-VO. Nichtqualifizierte VDA und die von ihnen erbrachten Vertrauensdienste sind auf Antrag in die Vertrauensliste aufzunehmen.

(2) Die RTR-GmbH hat für die Aufsichtsstelle im öffentlichen Interesse kostenfrei im Internet ein technisches Service zur Verfügung zu stellen, mit dem qualifizierte elektronische Signaturen oder qualifizierte elektronische Siegel validiert werden können. Nach Maßgabe der technischen Möglichkeiten ist eine Schnittstelle für die automatische Verarbeitung anzubieten. Das Service hat jedenfalls Signaturen und Siegel in jenen Formaten zu prüfen, die im Durchführungsbeschluss (EU) 2015/1506 zur Festlegung von Spezifikationen für Formate fortgeschrittener elektronischer Signaturen und fortgeschrittener elektronischer Siegel, die von öffentlichen Stellen gemäß Artikel 27 Absatz 5 und Artikel 37 Absatz 5 der Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt anerkannt werden, ABl. Nr. L 235 vom 09.09.2015 S. 37, festgelegt wurden und hat dabei die Vertrauenslisten gemäß Art. 22 eIDAS-VO zu berücksichtigen. Das Service hat bei der Validierung einer qualifizierten elektronischen Signatur oder eines qualifizierten elektronischen Siegels die Anforderungen des Art. 32 Abs. 1 eIDAS-VO zu erfüllen.

(3) Die Aufsichtsstelle hat eine Vertrauensinfrastruktur (§ 9) einzurichten, zu unterhalten und laufend zu aktualisieren.

(1) Die VDA haben den im Auftrag der Aufsichtsstelle handelnden Personen das Betreten der Geschäfts- und Betriebsräume während der Geschäftszeiten zu gestatten, die in Betracht kommenden Bücher und sonstigen Aufzeichnungen oder Unterlagen einschließlich der einschlägigen Informationen nach Art. 24 Abs. 2 lit. h eIDAS-VO vorzulegen oder zur Einsicht bereitzuhalten, Auskünfte zu erteilen und jede sonst erforderliche Unterstützung zu gewähren. Bestehende gesetzliche Verschwiegenheits- und Aussageverweigerungsrechte bleiben unberührt.

(2) Die Organe des öffentlichen Sicherheitsdienstes haben der Aufsichtsstelle und den in ihrem Auftrag handelnden Personen über deren Ersuchen zur Durchführung der Aufsicht im Rahmen ihres gesetzmäßigen Wirkungsbereichs Hilfe zu leisten.

(3) Die Durchführung der Aufsicht nach den Abs. 1 und 2 ist unter möglichster Schonung der Betroffenen und ohne unnötiges Aufsehen so durchzuführen, dass dadurch die Sicherheit der Vertrauensdienste nicht verletzt wird.

(1) Eine Verwaltungsübertretung begeht und ist mit Geldstrafe bis zu 5 000 Euro zu bestrafen, wer fremde Signatur- oder Siegelerstellungsdaten ohne Wissen und Willen des Signators oder des Siegelerstellers missbräuchlich verwendet.

(2) Ein VDA begeht eine Verwaltungsübertretung und ist mit Geldstrafe bis zu 10 000 Euro zu bestrafen, wenn er

(3) Ein VDA begeht eine Verwaltungsübertretung und ist mit Geldstrafe bis zu 20 000 Euro zu bestrafen, wenn er

(4) Ein VDA begeht eine Verwaltungsübertretung und ist mit Geldstrafe bis zu 10 000 Euro oder, sofern es sich um einen qualifizierten VDA handelt, mit Geldstrafe bis zu 37 000 Euro zu bestrafen, wenn er entgegen Art. 19 Abs. 2 eIDAS-VO nicht unverzüglich der Aufsichtsstelle alle Sicherheitsverletzungen oder Integritätsverluste, die sich erheblich auf den erbrachten Vertrauensdienst oder die darin vorhandenen personenbezogenen Daten auswirken, meldet.

(5) Eine Verwaltungsübertretung gemäß den Absätzen 1 bis 4 liegt nicht vor, wenn die Tat nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist.

(6) In einem Verwaltungsstrafverfahren, in dem Strafen gemäß Abs. 1 bis 4 zu verhängen sind, hat die Aufsichtsstelle Parteistellung. Sie ist berechtigt, die Einhaltung von Rechtsvorschriften, die dem Schutz der Einhaltung der von ihr wahrzunehmenden öffentlichen Interessen dienen, geltend zu machen.

(7) Im Straferkenntnis können die Gegenstände, mit denen die strafbare Handlung begangen wurde, für verfallen erklärt werden.

(1) Der Bundesminister für Digitalisierung und Wirtschaftsstandort hat mit Verordnung die nach dem jeweiligen Stand der Wissenschaft und Technik zur Durchführung dieses Bundesgesetzes erforderlichen Rechtsvorschriften zu erlassen über

(2) Der Bundesminister für Digitalisierung und Wirtschaftsstandort hat im Einvernehmen mit dem Bundesminister für Verfassung, Reformen, Deregulierung und Justiz mit Verordnung die nach dem jeweiligen Stand der Wissenschaft und Technik zur Durchführung dieses Bundesgesetzes erforderlichen Rechtsvorschriften zu erlassen über

Mit der Vollziehung dieses Bundesgesetzes sind betraut:

(1) Qualifizierte Zertifikate, die gemäß dem Signaturgesetz, BGBl. I Nr. 190/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 75/2010, für natürliche Personen ausgestellt worden sind, gelten als qualifizierte Zertifikate iSd Art. 51 Abs. 2 eIDAS-VO.

(2) Nichtqualifizierte Zertifikate im Sinne des Signaturgesetzes, BGBl. I Nr. 190/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 75/2010, gelten bis zu ihrem Ablauf als nichtqualifizierte Zertifikate für elektronische Signaturen gemäß Art. 3 Z 14 eIDAS-VO, sofern es sich bei dem Zertifikatsinhaber um eine natürliche Person handelt oder als nichtqualifizierte Zertifikate für elektronische Siegel gemäß Art. 3 Z 29 eIDAS-VO, sofern es sich beim Zertifikatsinhaber um eine juristische Person handelt.

(1) Dieses Bundesgesetz tritt mit Ausnahme des 5. Abschnitts mit 1. Juli 2016 in Kraft. Der 5. Abschnitt tritt mit dem der Kundmachung folgenden Tag in Kraft. Das Signaturgesetz, BGBl. I Nr. 190/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 75/2010, tritt mit Ablauf des 30. Juni 2016 außer Kraft.

(2) § 10 Abs. 2 in der Fassung des Materien-Datenschutz-Anpassungsgesetzes 2018, BGBl. I Nr. 32/2018, tritt mit 25. Mai 2018 in Kraft.

(3) § 7 Abs. 3, § 9 Abs. 3, § 17 Abs. 1 und 2 und § 18 Z 1, 3 bis 5 in der Fassung des Bundesgesetzes BGBl. I Nr. 104/2018 treten am 8. Jänner 2018 in Kraft.

Notifikationshinweis

Dieses Gesetz wurde unter Einhaltung der Bestimmungen der Richtlinie (EU) 2015/1535 über ein Informationsverfahren auf dem Gebiet der technischen Vorschriften und der Vorschriften für die Dienste der Informationsgesellschaft (kodifizierter Text), ABl. Nr. L 241 vom 17.09.2015 S. 1, notifiziert (Notifikationsnummer: 2016/142/A).