Der Beitrag zeigt anhand einer typischen E-Commerce-Transaktion mittels E-ID auf, welche Akteure Daten bearbeiten und an welche gesetzlichen Rahmenbedingungen diese gebunden sind. Dabei wird ersichtlich, dass klare Unterschiede für die Identity-Provider und die E-ID-verwendenden Dienste in Bezug auf die rechtlichen Anforderungen an die Datenbearbeitung existieren. Während das BGEID einen differenzierten Pflichtenkatalog aufstellt für die Datenbearbeitung der Identity-Provider (z.B. Verbot des Verkaufs von Nutzungsprofilen, Datenbearbeitung in der Schweiz, klare Löschungspflichten), werden die E-ID-verwendenden Dienste im BGEID nur punktuell adressiert. Für Letztere gilt das DSG und somit auch die Pflicht, den Datenschutz durch technische und organisatorische Massnahmen sicherzustellen.