Digitales Identitätengesetz: Was die EUDI-Wallet für Unternehmen und den Datenschutz bedeutet
Consult
Der Deutsche Bundestag hat am 15. Oktober 2026 das Digitale Identitätengesetz (DIdG) verabschiedet. Damit wird die nationale Umsetzung des europäischen Rahmens für digitale Identitäten weiter vorangetrieben. Die European Digital Identity Wallet soll künftig ermöglichen, Identitäten und elektronische Nachweise europaweit sicher und nutzerkontrolliert bereitzustellen. Für Unternehmen entstehen dadurch neue Möglichkeiten, aber auch konkrete datenschutzrechtliche und organisatorische Anforderungen.
Das Wichtigste auf einen Blick
- Neue europäische Identitätsinfrastruktur: Die EUDI-Wallet soll digitale Identitätsnachweise europaweit nutzbar machen. In Deutschland ist der Start der staatlichen Wallet unter der Bezeichnung „d-you“ für Anfang Januar 2027 vorgesehen.
- Neue Anforderungen für Unternehmen: Organisationen, die Wallet-Daten abfragen, müssen unter anderem Registrierungs- und Transparenzpflichten nach Artikel 5b der geänderten eIDAS-Verordnung beachten.
- Datenschutz bleibt entscheidend: Unternehmen benötigen weiterhin geeignete Rechtsgrundlagen und müssen Zweckbindung, Datenminimierung und Speicherbegrenzung berücksichtigen. Bestehende Identifizierungsprozesse sollten deshalb frühzeitig überprüft werden.
Die EUDI-Wallet als europäische Identitätsinfrastruktur
Grundlage der europäischen digitalen Identität ist die Verordnung (EU) 2024/1183, mit der die bestehende eIDAS-Verordnung erweitert wurde.
Die European Digital Identity Wallet (EUDI-Wallet) soll es natürlichen und juristischen Personen ermöglichen, digitale Identitätsdaten und elektronische Nachweise zu verwalten und gegenüber öffentlichen oder privaten Stellen einzusetzen.
Die möglichen Anwendungsbereiche sind vielfältig. Dazu gehören insbesondere:
Mögliche Einsatzbereiche der EUDI-Wallet
- Elektronische Identifizierung: Digitale Identitätsnachweise gegenüber öffentlichen und privaten Stellen.
- Digitale Vertragsabschlüsse: Identifizierung von Vertragspartnern im Rahmen digitaler Geschäftsprozesse.
- Nachweis einzelner Eigenschaften: Beispielsweise die Bestätigung, dass eine Person ein erforderliches Mindestalter erreicht hat.
Was ändert sich für Unternehmen?
Unternehmen, die digitale Identifizierungsverfahren anbieten oder Identitätsnachweise von Kundinnen und Kunden benötigen, können künftig auf eine europaweit interoperable Infrastruktur zurückgreifen.
Die EUDI-Wallet ist dabei mehr als ein zusätzlicher Authentifizierungsdienst. Der europäische Rechtsrahmen enthält konkrete Anforderungen an Organisationen, die als sogenannte vertrauende Beteiligte (Relying Parties) auf Wallet-Daten zugreifen.
ARTIKEL 5B DER GEÄNDERTEN EIDAS-VERORDNUNG
Registrierungs- und Transparenzpflichten
Artikel 5b sieht für vertrauende Beteiligte insbesondere Registrierungs- und Transparenzpflichten vor. Unternehmen müssen unter anderem:
- Nutzungszwecke angeben: Offenlegen, zu welchen Zwecken die EUDI-Wallet eingesetzt werden soll.
- Benötigte Daten benennen: Festlegen, welche Identitätsdaten und elektronischen Nachweise angefordert werden.
- Datenabfragen begrenzen: Grundsätzlich dürfen keine anderen Daten angefordert werden als die im Rahmen der Registrierung angegebenen.
Datenschutz von Anfang an berücksichtigen
Die Einführung einer Wallet-basierten Identifizierung entbindet Unternehmen nicht von ihren Pflichten aus der Datenschutz-Grundverordnung.
Insbesondere müssen weiterhin geeignete Rechtsgrundlagen für die Verarbeitung personenbezogener Daten vorliegen. Zudem sind die Grundsätze der Zweckbindung, Datenminimierung und Speicherbegrenzung zu beachten.
Drei zentrale Datenschutzanforderungen
1. Rechtsgrundlage und Zweckbindung
Unternehmen müssen prüfen, auf welcher Rechtsgrundlage Identitätsdaten verarbeitet werden dürfen und für welche konkreten Zwecke sie benötigt werden.
2. Datenminimierung
Es sollten nur diejenigen Informationen angefordert und verarbeitet werden, die für den jeweiligen Identifizierungs- oder Nachweisprozess erforderlich sind.
3. Speicherbegrenzung
Personenbezogene Identitätsdaten dürfen nicht länger gespeichert werden, als es für die jeweiligen Zwecke erforderlich ist.
PRAXISBEISPIEL · ALTERSNACHWEIS
Altersprüfung ohne vollständiges Geburtsdatum
Ein wesentlicher Vorteil der neuen Infrastruktur liegt darin, dass sich bestimmte Eigenschaften nachweisen lassen können, ohne sämtliche zugrunde liegenden Identitätsdaten offenzulegen.
Für eine Altersprüfung kann beispielsweise der Nachweis ausreichen, dass eine Person eine bestimmte Altersgrenze erreicht hat. Die Verarbeitung des vollständigen Geburtsdatums ist hierfür nicht in jedem Fall erforderlich.
Welche Maßnahmen sind jetzt sinnvoll?
Für Unternehmen mit digitalen Kunden- und Vertragsprozessen empfiehlt sich eine frühzeitige Bestandsaufnahme.
Dabei sollten insbesondere die bestehenden Identifizierungsverfahren, die eingesetzten Dienstleister und die verarbeiteten Identitätsdaten betrachtet werden.
Fünf Schritte zur Vorbereitung
- Identifizierungsverfahren erfassen: Bestehende Prozesse und eingesetzte technische Lösungen dokumentieren.
- Dienstleister und Daten prüfen: Eingebundene Anbieter sowie die verarbeiteten Identitätsdaten und Datenflüsse bewerten.
- Integrationsmöglichkeiten bewerten: Prüfen, ob und für welche Geschäftsprozesse eine EUDI-Wallet-Anbindung sinnvoll ist.
- Datenschutz und Sicherheit berücksichtigen: Rechtsgrundlagen, Schnittstellensicherheit, Berechtigungen und datenschutzrechtliche Rollenverteilung klären.
- Organisatorische Maßnahmen festlegen: Zuständigkeiten definieren und gegebenenfalls die Erforderlichkeit einer Datenschutz-Folgenabschätzung prüfen.
Anschließend kann bewertet werden, ob eine Integration der EUDI-Wallet sinnvoll ist und welche datenschutzrechtlichen, technischen und organisatorischen Anforderungen hierfür erfüllt werden müssen.
Wie Bitkom Consult unterstützt
Bitkom Consult begleitet Unternehmen bei der datenschutzkonformen Gestaltung digitaler Geschäftsprozesse und der Umsetzung regulatorischer Anforderungen.
Unsere Leistungen im Überblick
- Bewertung neuer Identifizierungsverfahren: Datenschutzrechtliche und organisatorische Einordnung digitaler Identitätslösungen.
- Datenschutzrechtliche Prüfung: Bewertung technischer Lösungen, Datenverarbeitungen und eingebundener Dienstleister.
- Datenschutz-Folgenabschätzungen: Prüfung der Erforderlichkeit sowie Unterstützung bei der Durchführung.
- Organisatorische Maßnahmen: Entwicklung geeigneter Prozesse, Verantwortlichkeiten und interner Vorgaben.
- Informationssicherheit: Beratung zu sicherheitsrelevanten Anforderungen digitaler Geschäftsprozesse.
- Schulungen und Weiterbildung: Praxisorientierte Qualifizierungen zu Datenschutz, IT-Compliance und regulatorischen Anforderungen digitaler Technologien.
Ergänzend unterstützen wir Unternehmen bei Fragen der Informationssicherheit und bieten praxisorientierte Schulungen zu Datenschutz, IT-Compliance und regulatorischen Anforderungen digitaler Technologien an.
