Die EU-Kommission bleibt am Ball – und ihr gelingt ein Hattrick. Bereits zum dritten Mal innerhalb weniger Wochen hagelt es für ihre Vorschläge zur Ausgestaltung der europäischen digitalen Brieftasche Kritik.
Konkret geht es um die technischen Vorgaben für die „European Digital Identity Wallet“ (EUDI-Wallet). Mit ihr sollen sich Bürger:innen und Organisationen künftig on- und offline ausweisen können. In der digitalen Brieftasche lassen sich Identitätsdaten und amtliche Dokumente speichern und verwalten. Um derart sensible Daten von Millionen Menschen zu schützen, sind wirksame Schutzvorkehrungen essenziell.
Bevor die Wallet wie geplant im Herbst 2026 starten kann, wird die EU-Kommission insgesamt 40 Durchführungsrechtsakte für eine einheitliche Umsetzung der eIDAS-Reform erlassen. Die zweite Charge dieser Rechtsakte verhandelt am 6. Februar das eIDAS-Komitee, dem Vertreter:innen aller EU-Staaten angehören. Für dieses Treffen hat die Kommission aus Sicht von epicenter.works ein besonders fieses Foulspiel begangen.
BMI: Durchführungsrechtsakt muss rechtlichen Anforderungen „gerecht werden“
Die österreichische Nichtregierungsorganisation wirft der Kommission vor, ein Schlupfloch in eine gesetzlich fixierte Übereinkunft zu reißen. Am 22. Januar hat die Kommission den Verhandlungsführer:innen des eIDAS-Komitees den Entwurf eines Durchführungsrechtsakts zugesandt. Wie uns das Bundesinnenministerium (BMI) auf Anfrage bestätigte, sieht dieser Entwurf vor, dass Privatunternehmen unter bestimmten Voraussetzungen bei grenzüberschreitenden Aktivitäten die Personenkennziffer abfragen können.
Das geht für epicenter.works zu weit. Mit ihrem Versuch, die Personenkennziffer auch für Unternehmen nutzbar zu machen, weite die Kommission die strikten rechtlichen Vorgaben der eIDAS-Verordnung im Nachhinein aus und überschreite damit eine „rote Linie“, so epicenter.works in ihrer Analyse.
Innerhalb der Bundesregierung sei die rechtliche Bewertung zu dieser Frage noch nicht abgeschlossen, sagt ein Sprecher des Bundesinnenministeriums. Allerdings müsse der Durchführungsrechtsakt den Anforderungen der revidierten eIDAS-Verordnung „gerecht werden“.
„Die Bundesregierung hat sich in den Verhandlungen zur Revision der eIDAS-Verordnung stets für ein hohes Datenschutzniveau eingesetzt und hält auch im Kontext der Durchführungsrechtsakte daran fest“, so der Sprecher weiter. Diese Anforderungen an den Datenschutz sollten auch „bei der Architektur für die deutschen Wallets Berücksichtigung finden“.
Streit um den „Super-Cookie“
Um den „Grenzüberschreitenden Identitätsabgleich“ aus Artikel 11a schwelte bereits während der Trilog-Verhandlungen vor rund zwei Jahren ein heftiger Streit. Die Kommission wollte eine eindeutige, dauerhafte Personenkennziffer einführen, die nicht nur Behörden, sondern auch Privatunternehmen für den Identitätsabgleich mit der Wallet nutzen können. Mit Hilfe eines solchen „Super-Cookies“, warnten hingegen Datenschützer:innen, könnten Unternehmen das Nutzungsverhalten Einzelner „mit ungekannter Genauigkeit“ erfassen.
Nach zähen Verhandlungen beschränkte das EU-Parlament den Einsatz der Personenkennziffer auf grenzüberschreitende Verwaltungsdienste. Laut der reformierten eIDAS-Verordnung soll die Personenkennziffer nur dann aus der EUDI-Wallet abgefragt werden, wenn etwa eine deutsche Staatsbürgerin in Belgien mit der dortigen Verwaltung kommuniziert und die Angabe der Nummer rechtlich gefordert wird. Privatunternehmen dürfen die Kennziffer hingegen unter keinen Umständen abfragen.
Identitätsdaten für Unternehmen
Die Organisation epicenter.works kritisiert zwei weitere Aspekte an dem aktuellen Vorgehen der Kommission: Erstens habe diese die monierten Änderungen an den Entwürfen erst vorgenommen, nachdem die öffentliche Konsultation durch Bürger:innen und Unternehmen abgeschlossen war.
Und zweitens komme die Kommission mit ihrem intransparenten Vorgehen ausgerechnet einer Aufforderung von Visa nach. Im Rahmen des Konsultationsprozesses hatte das Kreditkartenunternehmen die Kommission explizit dazu aufgefordert, die grenzüberschreitende Personenkennziffer auch für Privatunternehmen verfügbar zu machen.
Epicenter.works fordert die Kommission auf, die im Nachhinein hinzugefügten Bestimmungen zu entfernen. Nur so könne „das Vertrauen in das eIDAS-Ökosystem und in den demokratischen Prozess“ gewahrt werden.
Aller Versuche sind drei
Es ist nicht das erste Mal, dass Vertreter:innen der Zivilgesellschaft die Kommission dafür kritisieren, Schlupflöcher in die EUDI-Wallet zu reißen, die Unternehmen den Datenabgriff erleichtern.
Die ersten fünf Entwürfe für Durchführungsrechtsakte hatte die Kommission im vergangenen August vorgelegt. Aus Sicht der Zivilgesellschaft hätten sie es den Unternehmen ermöglicht, mehr private Daten als erforderlich aus den Wallets abzufragen.
Und auch mit der zweiten Charge an Durchführungsrechtsakten hätte die Kommission überbordende Datenanfragen von Unternehmen ermöglicht, ohne dass sich die Nutzenden der Brieftasche wirksam dagegen hätten wehren könnten – und damit einen „zentralen Schutzpfeiler des eIDAS-Ökosystems“ eingerissen – so die Warnung von epicenter.works vor wenigen Wochen.
Mindestens dreißig Durchführungsrechtsakte muss die Kommission in den kommenden Monaten noch vorlegen. Es bleibt zu hoffen, dass sie nicht jedes Mal versucht, weitere Schlupflöcher in die digitale Brieftasche zu reißen.
Update, 6.2.2025, 15 Uhr: Wir haben den Text um die Antwort des Bundesinnenministeriums ergänzt, die heute bei uns einging.
