Jürgen Taeger - Recht im E-Commerce und Internet

17

Als EU-Verordnung entfaltet die eIDAS-Verordnung gem. Art. 288 Abs. 2 S. 1 AEUV unmittelbare Geltung in den Mitgliedstaaten. Es bedarf für die Geltung keines weiteren Umsetzungsaktes.13

18

Die EU hat allerdings keine Kompetenz, das Recht eines Mitgliedstaates zu verändern oder außer Kraft zu setzen. Soweit sich jedoch die Verordnung und geltendes nationales Recht widersprechen, besteht ein Anwendungsvorrang der Verordnung. Dieser Anwendungsvorrang ist als ungeschriebene Norm des primären Unionsrechts zu verstehen.14 Zur Anpassung an die eIDAS-Verordnung sind deshalb verspätet am 29.7.2017 das SigG und die SigV durch das Vertrauensdienstegesetz (VDG) abgelöst worden, welches die Anforderungen der eIDAS-Verordnung konkretisiert und ergänzt.15

19

Im Bereich der elektronischen Identifizierung beseitigt die eIDAS-Verordnung bestehende Hindernisse. So war es zuvor nicht möglich, nationale Identifizierungsmittel auch international zu gebrauchen. Es mangelte sowohl an der Interoperabilität als auch an der Anerkennung von Identifizierungsmitteln anderer Mitgliedstaaten.16

20

Gemäß Art. 6 eIDAS-Verordnung sind Mitgliedstaaten, die für nationale Online-Dienste die Verwendung eines elektronischen Identifizierungssystems verlangen, verpflichtet, solche Identifizierungssysteme anderer Mitgliedstaaten ebenfalls anzuerkennen. Diese Identifizierungssysteme müssen nach Art. 9 Abs. 2 eIDAS-Verordnung allerdings bei der Kommission notifiziert und in einer Liste veröffentlicht worden sein sowie dem Sicherheitsniveau „substanziell“ oder „hoch“ entsprechen. Eine Notifizierung ist nur dann notwendig, wenn das elektronische Identifizierungssystem unionsweit einsetzbar sein soll.17 Dies ist grundsätzlich möglich, wenn die Anforderungen aus Art. 7 eIDAS-Verordnung erfüllt sind.

21

Im Gegensatz zu dem zuvor in Deutschland geltenden Recht zur Regelung elektronischer Signaturen enthält die Verordnung deutlich weniger Regelungen. Die Verordnung sieht allerdings einen delegierten Rechtsakt sowie Ermächtigungen zum Erlass von Durchführungsrechtsakten vor, mit deren Hilfe die dünnen Regelungen durch die EU konkretisiert werden können.18

22

Im Bereich der Vertrauensdienste werden durch die Verordnung in weiten Teilen erstmals Regelungen getroffen. Im Rahmen der Regelungen zu den Vertrauensdiensten wird zwischen „Vertrauensdiensten“ und „qualifizierten Vertrauensdiensten“ unterschieden.

23

Die allgemeinen Vertrauensdienste müssen gemäß Art. 19 Abs. 1 eIDAS-Verordnung durch „geeignete technische und organisatorische Maßnahmen zur Beherrschung der Sicherheitsrisiken“ geschützt sein, die unter „Berücksichtigung des jeweils neuesten Standes der Technik gewährleisten, dass das Sicherheitsniveau der Höhe des Risikos angemessen ist“. Darüber hinaus sind Sicherheitsverletzungen gemäß Art. 19 Abs. 2 eIDAS-Verordnung durch die Vertrauensdiensteanbieter den zuständigen Aufsichtsstellen zu melden.

24

Qualifizierte Vertrauensdienste sind solche, die alle einschlägigen Anforderungen aus Art. 3 Nr. 17 eIDAS-Verordnung erfüllen. Neben den Anforderungen an Vertrauensdienste sind deshalb noch die allgemeinen Anforderungen für qualifizierte Vertrauensdienste aus den Art. 20 bis 24 sowie die spezifischen Anforderungen aus den Art. 25 bis 45 eIDAS-Verordnung zu erfüllen. Darüber hinaus sind die Vorgaben aus den §§ 9 bis 16 VDG für qualifizierte Vertrauensdienste zu beachten.

25

Neben der elektronischen Signatur, die weiterhin nur für natürliche Personen ausgestellt wird, enthält die eIDAS-Verordnung Regelungen zu sog. elektronischen Siegeln, die juristischen Personen nun elektronische Signaturen ermöglicht.

26

Die Anforderungen an elektronische Signaturen entsprechen weitgehend den Anforderungen aus Art. 2 Nr. 2 Signatur-Richtlinie und § 2 Nr. 2 SigG. Neu ist lediglich, dass die Signatur dem Unterzeichner nicht mehr ausschließlich, sondern lediglich eindeutig zugeordnet sein muss. Darüber hinaus wird nur noch gefordert, dass der Unterzeichner die Signaturerstellungsdaten mit einem hohen Maß an Vertrauen unter seiner alleinigen Kontrolle verwenden kann, die alleinige Kontrolle ist nicht mehr Voraussetzung.

27

Bisher konnte durch die vertretungsberechtigten natürlichen Personen einer juristischen Person lediglich ein Zertifikat verwendet werden, das auf die juristische Person als Pseudonym lautete.19 Nach der eIDAS-Verordnung können nun Zertifikate auch direkt auf die juristische Person lauten, was in Art. 35 bis 38 der Verordnung geregelt wird.

8Roßnagel, NJW 2014, 3686. 9Roßnagel, MMR 2015, 359. 10Verordnung (EU) Nr. 910/2014 über die elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG, ABl. EU L 257/73. 11Sosna, CR 2014, 825. 12Ausführlich zum Datenschutz und zur DSGVO Kap. 8. 13Siehe zur eIDAS-VO Dorndorf/Schneidereit, CR 2017, 21. 14BVerfG, Beschl. v. 8.4.1987 – 2 BvR 687/85, BB 1987, 2111. 15Einen Überblick bietet Söbbing, ITRB 2018, 269; eingehender Roßnagel, MMR 2018, 31. 16Sosna, CR 2014, 825. 17Roßnagel, NJW 2014, 3686, 3688. 18Roßnagel, NJW 2014, 3686, 3687; eine Übersicht der Durchführungsrechtsakte zum elektronischen Identitätsnachweis (sog. eID) findet sich unter https://www.bmi.bund.de/Webs/PA/DE/verwaltung/eIDAS-verordnung-der-EU/verordnung-und-durchfuehrungsakte/verordnung-und-durchfuehrungsakte-node.html. 19Roßnagel, in: Roßnagel, Recht der Telemediendienste, 2013, § 2 SigG Rn. 58.

28

Durch das Signaturgesetz 2001 wurden nur die öffentlich-rechtlichen Voraussetzungen geschaffen, um die qualifizierte elektronische Signatur in ihrer Rechtswirkung der eigenhändigen Unterschrift gleichzustellen. Im SigG selbst war dies nicht geregelt. Deshalb wurde am 13.7.2001 das Gesetz zur Anpassung der Formvorschriften des Privatrechts und anderer Vorschriften an den modernen Rechtsgeschäftsverkehr beschlossen. Das Gesetz sollte, der EU-Richtlinie folgend, das deutsche Recht den Entwicklungen und Erfordernissen des modernen Rechtsverkehrs anpassen. Das Gesetz zur Anpassung der Formvorschriften im Privatrecht bildet noch heute mit dem VDG, dem sog. E-Government-Gesetz vom 25.7.2013 und dem De-Mail-Gesetz vom 28.4.2011 gemeinsam die Grundlage für den elektronischen Rechtsverkehr in Deutschland.

29

Mit dem Formvorschriftenanpassungsgesetz wurde 2001 zunächst § 126 BGB um einen Absatz 3 dahingehend ergänzt, dass die gesetzliche Schriftform durch die elektronische Form ersetzt werden kann, sofern sich nicht aus dem Gesetz etwas anderes ergibt. Zudem wurde § 126a BGB mit der Beschreibung der elektronischen Form eingeführt.

30

§ 126a BGB regelt die Voraussetzungen der elektronischen Form. Haben die Vertragspartner die Ersetzung der Schriftform durch die elektronische Form durch eine (nicht formbedürftige) Vereinbarung zugelassen, so müssen sie die betreffenden (gleichlautenden) Dokumente mit einer qualifizierten elektronischen Signatur nach der eIDAS-Verordnung versehen. § 126a BGB stellt ausdrücklich die rechtliche Gleichwertigkeit von qualifizierter elektronischer Signatur und eigenhändiger Unterschrift fest.20 Durch die technische Ausgestaltung stellt die der elektronischen Form zugrunde liegende qualifizierte elektronische Signatur einen Sicherheitsstandard auf, der nicht hinter dem der gesetzlichen Schriftform zurückbleibt (siehe oben Rn. 13). Sie genügt insofern der Funktion der Schriftform, sodass man auch von Funktionsäquivalenz spricht.