Rechtsanwalt & Spezialist für Kryptorecht & KI-Recht, Zertifizierter Geldwäschebeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
| IT-Recht
Blog News
Die EUDI-Wallet soll ab Januar 2027 die digitale Identifizierung in Deutschland und der EU schrittweise vereinfachen. Bürgerinnen und Bürger sollen sich künftig per Smartphone ausweisen, digitale Nachweise vorlegen und bestimmte Attribute wie Alter, Adresse oder Qualifikationen gezielt bestätigen können.
Für Unternehmen wird die europäische digitale Brieftasche vor allem dort relevant, wo Identifizierung, Registrierung, Vertragsabschluss, Altersprüfung, Zahlungsfreigabe oder Compliance-Prozesse digital ablaufen. Dieser Beitrag erklärt, was die Verordnung (EU) 2024/1183 und eIDAS 2.0 für Unternehmen bedeuten, wann eine Akzeptanzpflicht in Betracht kommt und welche Anforderungen bei Datenschutz, Relying-Party-Registrierung, IT-Sicherheit und technischen Schnittstellen frühzeitig geprüft werden sollten.
Die EUDI-Wallet ist eine europäische digitale Brieftasche für Identitätsdaten und amtliche Nachweise. Bürgerinnen und Bürger sollen damit ihren Personalausweis, Führerschein oder andere digitale Dokumente auf dem Smartphone speichern und gegenüber Behörden oder Unternehmen verwenden können.
Ein zentrales Prinzip ist die Datensouveränität. Nutzer entscheiden selbst, welche Informationen sie weitergeben. Für einen Altersnachweis könnte etwa ausschließlich bestätigt werden, dass eine Person volljährig ist, ohne das vollständige Geburtsdatum oder weitere Ausweisdaten offenzulegen. Hohe Sicherheitsstandards sollen Identitätsmissbrauch verhindern und die Privatsphäre schützen.
Rechtsgrundlage ist die überarbeitete eIDAS-Verordnung in Form der Verordnung (EU) 2024/1183. Sie verpflichtet die Mitgliedstaaten, mindestens eine europäische Wallet-Lösung bereitzustellen. Die Nutzung soll freiwillig und für Bürgerinnen und Bürger kostenlos sein.
Deutschland entwickelt dafür eine eigene, staatliche EUDI-Wallet. Zum Start soll vor allem die digitale Identifizierung möglich sein, indem die Online-Ausweisfunktion auf das Smartphone übertragen wird. Weitere Nachweise und Funktionen sollen schrittweise folgen. Ergänzend können private Anbieter eigene Wallets entwickeln und nach erfolgreicher Anerkennung bereitstellen.
Die EUDI-Wallet soll Verwaltungsprozesse vereinfachen, digitale Vertragsabschlüsse erleichtern und grenzüberschreitende Anwendungen innerhalb der EU ermöglichen. Sie kann künftig etwa beim Kontakt mit Behörden, bei Bankgeschäften, bei Reisen oder beim Nachweis beruflicher Qualifikationen eingesetzt werden.
Der Zeitplan bleibt ambitioniert: Nach den europäischen Vorgaben müssen die Mitgliedstaaten Wallet-Lösungen bereitstellen, während technische Spezifikationen, Zertifizierung und Relying-Party-Registrierung weiter konkretisiert werden. Deutschland plant den Start im Januar 2027 zunächst mit Grundfunktionen; Unternehmen sollten deshalb früh prüfen, ob ihre Identifizierungs- und Authentifizierungsprozesse betroffen sind.
Für die operative Umsetzung der deutschen EUDI-Wallet beauftragte das damals zuständige Bundesinnenministerium im Frühjahr 2024 die Bundesagentur für Sprunginnovationen, kurz SPRIND. Sie sollte verschiedene technische Ansätze prüfen, eine geeignete Lösung entwickeln und das Projekt wirtschaftlich umsetzen. Obwohl SPRIND ursprünglich nicht auf klassische staatliche Großprojekte ausgerichtet ist, übernahm die Agentur diese Aufgabe und stellte dafür ein eigenes Projektteam zusammen.
In die Entwicklung flossen auch Impulse aus dem Umfeld der Open Wallet Foundation ein. Die unter dem Dach der Linux Foundation Europe organisierte Initiative bringt Unternehmen und Fachleute zusammen, die an offenen Technologien für digitale Identitäten arbeiten. Medienberichte und Fachdebatten thematisierten im Projektverlauf auch Fragen zur Governance, zu externem Know-how und zur Abgrenzung öffentlicher Projektsteuerung von privaten Technologieinteressen. Solche Punkte sollten transparent dokumentiert werden, ohne daraus ohne belastbare Grundlage konkrete Interessenkonflikte abzuleiten.
Zugleich führten die personellen Überschneidungen zu Diskussionen darüber, wie Auswahlentscheidungen, externe Expertise und wirtschaftliche Interessen voneinander abgegrenzt werden sollten.
Das Projekt wurde zudem von organisatorischen und technischen Abstimmungen begleitet. Zuständigkeiten wechselten vom Bundesinnenministerium zum neu geschaffenen Bundesdigitalministerium. Im weiteren Verlauf wurden zusätzliche Akteure einbezogen, um Projektsteuerung, Kontrolle und Umsetzung breiter aufzustellen. Mehrere Fristen wurden angepasst, sodass sich der ursprünglich geplante Funktionsumfang zum Start voraussichtlich auf zentrale Basisanwendungen konzentriert.
Anfang 2027 sollen zunächst persönliche Identifikationsdaten wie Name, Geburtsdatum und Adresse verfügbar sein. Hinzukommen können einfache elektronische Attributnachweise, sogenannte Electronic Attestations of Attributes. Damit lässt sich bestätigen, dass eine Person ein bestimmtes Mindestalter erreicht hat, an einer Adresse gemeldet ist oder über eine bestimmte Fahrerlaubnisklasse verfügt.
Zu unterscheiden sind einfache Nachweise von qualifizierten elektronischen Attributnachweisen. Qualifizierte Nachweise unterliegen strengeren Anforderungen an Aussteller, Prüfung und technische Absicherung. Dadurch bieten sie ein höheres Maß an Verlässlichkeit und Rechtssicherheit. Der Unterschied ähnelt vereinfacht dem Verhältnis zwischen einer einfachen schriftlichen Erklärung und einer besonders beglaubigten Bestätigung.
Das Bundesdigitalministerium hat den geplanten Start inzwischen eingeordnet. Die nationale EUDI-Wallet soll im Januar 2027 zunächst mit zentralen Grundfunktionen verfügbar sein. Weitere nach der eIDAS-Verordnung vorgesehene Funktionen werden anschließend schrittweise ergänzt. Der Ansatz ermöglicht es, erste Anwendungen früh bereitzustellen und zusätzliche Features auf einer stabilen technischen Grundlage aufzubauen.
Parallel wird der Funktionsumfang weiterentwickelt. Diskutiert wird unter anderem, künftig auch das Lichtbild aus Personalausweis oder Reisepass in die Wallet einzubinden. Dafür sind zusätzliche technische und rechtliche Lösungen erforderlich, da die bisherige Online-Ausweisfunktion keinen unmittelbaren Zugriff auf das gespeicherte Passfoto bietet.
Der politische Anspruch bleibt hoch. Digitalminister Karsten Wildberger verbindet mit der Wallet das Ziel, digitale Behördengänge, Identitätsnachweise und Transaktionen für Bürgerinnen und Bürger spürbar zu vereinfachen. Der Start Anfang 2027 soll deshalb den Beginn eines schrittweisen Ausbaus markieren. Wesentlich wird sein, dass neue Funktionen kontrolliert ergänzt, Sicherheitsanforderungen eingehalten und praktische Anwendungen zügig verfügbar werden.
Die EUDI-Wallet wird nicht nur Verwaltungsprozesse verändern. Auch Unternehmen müssen prüfen, ob ihre Identifizierungs-, Registrierungs- und Vertragsprozesse künftig an die europäische digitale Identität angebunden werden müssen. Der konkrete Handlungsbedarf hängt von Branche, Unternehmensgröße, gesetzlicher Identifizierungspflicht und Einsatzgebiet der Wallet ab.
Akzeptanzpflicht in bestimmten Bereichen
Eine allgemeine Akzeptanzpflicht für alle Unternehmen besteht nicht. Eine Pflicht zur Akzeptanz der EUDI-Wallet kann aber insbesondere für bestimmte regulierte Dienste, sehr große Online-Plattformen und private Anbieter relevant werden, wenn für den jeweiligen Online-Dienst eine starke Nutzeridentifizierung gesetzlich oder vertraglich vorgeschrieben ist.
Datenschutz bleibt zentrale Voraussetzung
Alle Datenverarbeitungen über die Wallet unterliegen weiterhin der DSGVO. Unternehmen dürfen nur solche Angaben anfordern, die für den jeweiligen Zweck erforderlich sind. Für einen Altersnachweis genügt grundsätzlich die Information, dass eine Person eine bestimmte Altersgrenze erreicht hat. Das vollständige Geburtsdatum oder weitere Ausweisdaten werden dafür regelmäßig nicht benötigt.
Vor der Anbindung sollten Rechtsgrundlage, Zweckbindung, Speicherfristen, Zugriffsrechte und Löschprozesse festgelegt werden. Bei besonders umfangreichen, systematischen oder sensiblen Verarbeitungen kann zusätzlich eine Datenschutz-Folgenabschätzung erforderlich sein.
Registrierung als Relying Party
Unternehmen, die Daten aus einer EUDI-Wallet abfragen, treten als sogenannte Relying Party auf. Sie müssen sich grundsätzlich registrieren und angeben, welche Informationen sie zu welchem Zweck benötigen. Dadurch sollen Wallet-Nutzer erkennen können, wer Daten anfordert und wofür diese verwendet werden.
Für Unternehmen bedeutet das, dass einzelne Datenabfragen vorab fachlich und rechtlich definiert werden müssen. Pauschale Anforderungen vollständiger Identitätsdaten widersprechen dem Grundsatz der Datenminimierung, wenn für den jeweiligen Prozess einzelne Attribute ausreichen.
Pseudonyme und datensparsame Nachweise
Pseudonyme und selektive Nachweise können viele digitale Prozesse datenschutzfreundlicher gestalten. Bei einem Webdienst kann beispielsweise ein wiederkehrender Nutzer erkannt werden, ohne dass dessen vollständiger Name offengelegt wird. Bei altersbeschränkten Angeboten kann allein die Volljährigkeit bestätigt werden.
Unternehmen sollten deshalb prüfen, welche Prozesse tatsächlich eine Klarnamenidentifizierung verlangen. Wo keine gesetzliche Identifizierungspflicht besteht, können pseudonyme oder attributbasierte Verfahren eine rechtssichere und nutzerfreundliche Alternative bieten.
Besondere Vorsicht bei biometrischen Daten
Biometrische Daten gehören nach Art. 9 DSGVO insbesondere dann zu den besonderen Kategorien personenbezogener Daten, wenn sie zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden. Unternehmen sollten solche Daten daher nur bei tragfähiger Rechtsgrundlage, klarer Erforderlichkeit und angemessenen technischen Schutzmaßnahmen einsetzen.
Unternehmen sollten biometrische Angaben nur anfordern, wenn dafür eine belastbare Rechtsgrundlage besteht und der konkrete Zweck keine weniger eingriffsintensive Lösung erlaubt. Zusätzlich sind hohe Anforderungen an Zugriffsschutz, Verschlüsselung, Speicherbegrenzung und Löschung zu beachten.
Technische Schnittstellen rechtzeitig vorbereiten
Die Anbindung an die EUDI-Wallet betrifft nicht nur den Datenschutz. Unternehmen benötigen geeignete Schnittstellen, Prüfmechanismen und interne Prozesse. Dazu gehören die Validierung elektronischer Nachweise, der Umgang mit widerrufenen oder abgelaufenen Attributen sowie die sichere Protokollierung von Transaktionen.
Gerade regulierte Unternehmen sollten ausreichend Zeit für Entwicklung, Testbetrieb und Sicherheitsprüfungen einplanen. Änderungen an europäischen und nationalen technischen Spezifikationen müssen dabei laufend berücksichtigt werden.
Zugang und Compliance dauerhaft absichern
Verstöße gegen Datenschutz-, Sicherheits- oder Registrierungsanforderungen können aufsichtsrechtliche Folgen haben. Je nach Rechtsgrundlage kommen Anordnungen, Datenschutzbußgelder oder Einschränkungen beim Wallet-Zugang in Betracht. Über Wallet-Anwendungen sollen Nutzer zudem nachvollziehen können, welche Daten angefordert wurden, und verdächtige Vorgänge melden können.
Unternehmen brauchen deshalb klare Zuständigkeiten, dokumentierte Freigaben und ein Verfahren für Beschwerden oder Sicherheitsvorfälle. Datenabfragen sollten regelmäßig daraufhin kontrolliert werden, ob sie weiterhin erforderlich und rechtlich zulässig sind.
Datenschutz und IT-Sicherheit gemeinsam planen
Die Einführung der EUDI-Wallet verbindet Identitätsrecht, Datenschutzrecht, IT-Sicherheit und branchenspezifische Regulierung. Eine rein technische Umsetzung greift deshalb zu kurz. Sinnvoll ist ein gemeinsames Projekt von IT, Datenschutz, Compliance, Recht und den betroffenen Fachbereichen.
Externe Expertise kann besonders bei der Rollenbestimmung, Datenschutz-Folgenabschätzung, Schnittstellenprüfung und Gestaltung von Einwilligungs- oder Informationsprozessen helfen. So lässt sich die Wallet frühzeitig in bestehende Abläufe integrieren, ohne unnötige Datenabfragen oder spätere technische Nachbesserungen.
Haben Sie Fragen dazu, ob Ihr Unternehmen die EUDI-Wallet künftig akzeptieren muss? Müssen Identifizierungsprozesse, digitale Vertragsstrecken oder datenschutzrechtliche Abläufe angepasst werden? Oder benötigen Sie Unterstützung bei Relying-Party-Registrierung, Datenminimierung, IT-Sicherheit, eIDAS-Vorgaben oder der rechtssicheren Einbindung digitaler Identitäten?
Als Kanzlei für IT-Recht helfen wir von SBS LEGAL Ihnen bei der rechtssicheren Gestaltung digitaler Geschäftsmodelle und technischer Prozesse. Unser Leistungsspektrum umfasst das IT-Vertragsrecht mit individuellen Verträgen und AGB, E-Commerce-Recht und Internetrecht, Provider-Verträge und Nutzungsbedingungen sowie Fragen des Datenschutzes, der IT-Sicherheit, Verschlüsselung und elektronischen Signaturen. Hinzu kommen Telekommunikationsrecht, Domain- und Kennzeichenrecht, öffentliche IT-Vergaben, internationale Vertragsbezüge sowie die Begleitung bei strafrechtlichen und prozessualen Besonderheiten im IT-Bereich.
Für weitere Rückfragen stehen wir Ihnen jederzeit gerne auch telefonisch zur Verfügung. Wünschen Sie Rechtsberatung durch unser erfahrenes Team aus Fachanwälten und Spezialisten von SBS LEGAL?