Verordnung über den Testbetrieb eines elektronischen Identitätsverwaltungssystems und eines Service-Portals

Diese Verordnung regelt für eine befristete Testphase den Betrieb und die Nutzung eines elektronischen Identitätsverwaltungssystems und eines Service-Portals, mit deren Hilfe die Behörden elektronische Dienstleistungen erbringen können.

Diese Verordnung gilt für die Behörden, soweit sie unter Verwendung des Identitätsverwaltungssystems oder des Service-Portals elektronische Dienstleistungen anbieten.

Behörden im Sinn dieser Verordnung sind:

1. der Regierungsrat, die Departemente, die Staatskanzlei und die Dienststellen der kantonalen Verwaltung,

2. das Kantonsgericht, die erstinstanzlichen Gerichte, die Schlichtungsbehörden, die Betreibungs- und Konkursämter sowie die Grundbuchämter,

3. die Organe der Gemeinden des Kantons Luzern,

4. weitere Personen und Organisationen des öffentlichen und des privaten Rechts, soweit ihnen die Erfüllung kantonaler oder kommunaler Aufgaben übertragen ist.

Vorbehalten bleiben die Regelungen zum elektronischen Behördenverkehr des Zivil- und Strafprozessrechts sowie des Verwaltungsverfahrensrechts.

Die Behörden können vorsehen, dass sich natürliche Personen für die Nutzung einer elektronischen Dienstleistung mit einem elektronischen Identitätsnachweis (E-ID) authentisieren müssen.

Als E-ID können elektronische Identitätsnachweise von Ausstellerinnen und Ausstellern anerkannt werden, die gemäss Bundesgesetz über das elektronische Patientendossier vom 19. Juni 2015³ zertifiziert sind.

Die bei der Ausstellung der E-ID eingesetzten Identifikationsverfahren müssen den Anforderungen entsprechen, die in Artikel 23 und 24 der Verordnung über das elektronische Patientendossier vom 22. März 2017⁴ oder im Anhang der Verordnung des BAKOM über Zertifizierungsdienste im Bereich der elektronischen Signatur und anderer Anwendungen digitaler Zertifikate vom 23. November 2016⁵ beschrieben sind.

Der Regierungsrat entscheidet auf Antrag des Finanzdepartements über die Anerkennung von E-ID. Er kann zusätzliche E-ID anerkennen, die den Anforderungen der Absätze 2 und 3 nicht entsprechen, sofern sie vom Bund ausgestellt und gleichwertige Voraussetzungen an das Ausstellungsverfahren erfüllt sind.

Die anerkannten E-ID und die jeweils erforderliche Vertrauensstufe werden im Anhang zu dieser Verordnung aufgeführt.

Die Dienststelle Informatik betreibt ein Identitätsverwaltungssystem, um Nutzerinnen und Nutzer, die sich mit einer E-ID authentisiert haben, eindeutig zu authentifizieren und deren identifizierende Personendaten zu verwalten.

Mit dem Identitätsverwaltungssystem ist sicherzustellen, dass die Ausstellerinnen und Aussteller der E-ID keine Daten über die genutzten elektronischen Dienstleistungen sammeln können.

Um Nutzerinnen und Nutzer eindeutig zu authentifizieren und ihre Personendaten abzurufen, darf das Identitätsverwaltungssystem auf die Daten der kantonalen Einwohnerplattform gemäss § 9 des Registergesetzes vom 25. Mai 2009⁶ zugreifen.

Im Identitätsverwaltungssystem werden die folgenden Personendaten der Nutzerinnen und Nutzer gespeichert:

1. amtlicher Name,

2. Geburtsdatum,

3. AHV-Nummer gemäss Artikel 50c des Bundesgesetzes über die Alters- und Hinterlassenenversicherung⁷,

4. E-Mail-Adresse,

5. Mobiltelefonnummer.

Jedem Nutzer und jeder Nutzerin wird nach der erstmaligen Anmeldung automatisch ein eindeutiger Identifikator zugeteilt.

Die Personendaten gemäss Absatz 1 und 2 werden einer Behörde zugänglich gemacht, soweit dies für deren elektronische Dienstleistung erforderlich ist.

Das Service-Portal verschafft Zugang zu elektronischen Dienstleistungen der Behörden.

Die Nutzerinnen und Nutzer können auf dem Service-Portal:

1. Informationen über die elektronischen Dienstleistungen der Behörden einsehen,

2. elektronische Dienstleistungen von Behörden in Anspruch nehmen,

3. den Verlauf der bisher genutzten elektronischen Dienstleistungen einsehen und

4. eine personalisierte Nutzungsoberfläche gestalten.

Hat ein Nutzer oder eine Nutzerin sich mit einer E-ID authentisiert, werden folgende Personendaten gespeichert:

1. die Personendaten gemäss § 5 Absatz 1,

2. die genutzten Funktionen und Dienstleistungen,

3. die Konfigurationsdaten der personalisierten Nutzungsoberfläche.

Sofern es für die Nutzung einer elektronischen Dienstleistung erforderlich ist, ruft das Service-Portal die Wohnadresse oder Zustelladresse des Nutzers oder der Nutzerin auf der kantonalen Einwohnerplattform gemäss § 9 des Registergesetzes vom 25. Mai 2009⁸ ab und leitet sie an die Fachanwendung der dienstleistenden Behörde weiter, ohne sie dauerhaft zu speichern.

Die Nutzung des Identitätsverwaltungssystems und des Service-Portals für den Behördenverkehr ist freiwillig und kostenlos.

Die Behörden haben ihre Dienstleistungen weiterhin auch in nicht-elektronischer Form anzubieten.

Allfällige Gebühren für die in Anspruch genommenen Dienstleistungen richten sich nach den jeweiligen Erlassen.

Die Rechte und Pflichten der Nutzerinnen und Nutzer werden in Nutzungsbedingungen festgelegt. Sie sind insbesondere verpflichtet:

1. das Identitätsverwaltungssystem und das Service-Portal bestimmungsgemäss zu nutzen,

2. Massnahmen zum Schutz ihrer Informatikmittel zu treffen, namentlich gegen unbefugten Zugriff und vor Computerviren sowie Schadsoftware.

Die Nutzungsbedingungen werden auf dem Service-Portal veröffentlicht. Vor der ersten Nutzung müssen die Nutzerinnen und Nutzer den Nutzungsbedingungen zustimmen.

Die Nutzerinnen und Nutzer sind über jede Änderung der Nutzungsbedingungen rechtzeitig zu informieren. Die Nutzung kann für einzelne Nutzerinnen und Nutzer eingeschränkt werden, wenn sie den geänderten Nutzungsbedingungen nicht zustimmen.

Verstösst ein Nutzer oder eine Nutzerin vorsätzlich gegen die Nutzungsbedingungen, entscheidet das Finanzdepartement über die Aussetzung oder den Widerruf der Zugriffsberechtigung. Sofern erforderlich kann die Dienststelle Informatik bereits vor dem Entscheid vorsorgliche Massnahmen treffen.

Verstösse gegen die Nutzungsbedingungen sind insbesondere die Versuche,

1. auf fremde Daten zuzugreifen,

2. Sicherheitsmassnahmen zu durchbrechen oder

3. die Funktionalität des Identitätsverwaltungssystems oder des Service-Portals zu stören.

Nutzerinnen und Nutzer, die Unterstützung bei der Nutzung des Identitätsverwaltungssystems oder des Service-Portals benötigen, können sich an die Supportstelle der Dienststelle Informatik wenden.

Die Supportstelle darf für diesen Zweck Personendaten der Nutzerinnen und Nutzer bearbeiten und der zuständigen Behörde bekanntgeben.

Die Zugriffe der Nutzerinnen und Nutzer auf das Identitätsverwaltungssystem und das Service-Portal werden protokolliert.

Die Protokolldaten werden zwei Jahre aufbewahrt, oder spätestens bis zum Abschluss eines mit ihnen zusammenhängenden Straf-, Zivil- oder Verwaltungsverfahrens.

Die Zugriffe der Mitarbeiterinnen und Mitarbeiter der Dienststelle Informatik auf das Identitätsverwaltungssystem und das Service-Portal werden protokolliert. Die Aufbewahrung der Protokolldaten richtet sich nach § 32 der Informatiksicherheitsverordnung vom 22. November 2016.⁹

Alle Zugriffe auf die kantonale Einwohnerplattform werden protokolliert.

Haben sich Nutzerinnen und Nutzer mehr als zwei Jahre nicht mehr angemeldet, werden die im Identitätsverwaltungssystem und auf dem Service-Portal gespeicherten Personendaten nach Vorankündigung gelöscht.

Nutzerinnen und Nutzer können jederzeit veranlassen, dass ihre im Identitätsverwaltungssystem und auf dem Service-Portal gespeicherten Personendaten gelöscht werden.

Im Falle des Widerrufs der Zugriffsberechtigung wegen eines Verstosses gegen die Nutzungsbedingungen werden die Personendaten spätestens nach Abschluss eines mit ihnen zusammenhängenden Straf-, Zivil- oder Verwaltungsverfahrens gelöscht.

Die Dienststelle Informatik ist für den technischen Betrieb und die technische Sicherheit des Identitätsverwaltungssystems und des Service-Portals zuständig. Sie besitzt die dafür erforderlichen Zugriffs- und Bearbeitungsrechte.

Die elektronische Dienstleistung wird im System der Behörde erbracht.

Die Anfechtung von Entscheiden, die in Anwendung dieser Verordnung erlassen werden, richtet sich nach dem Gesetz über die Verwaltungsrechtspflege vom 3. Juli 1972¹⁰.

Das Finanzdepartement orientiert den Regierungsrat und den Beauftragten oder die Beauftragte für den Datenschutz jährlich über den Stand der Entwicklung des Identitätsverwaltungssystems und des Service-Portals und über die Notwendigkeit der Weiterführung des Testbetriebs.

Die Verordnung tritt am 1. April 2024 in Kraft und gilt bis zum 31. März 2027.