Die EUDI-Wallet und die European Business Wallet

Die EUDI-Wallet im Überblick

Die EUDI-Wallet – die Europäische Brieftasche für die Digitale Identität – wird allen Bürgern, Einwohnern und Unternehmen der EU die Möglichkeit einer sicheren App bieten, mit der sie sich online und offline identifizieren, digitale Nachweise wie Führerscheine, Zeugnisse oder Unternehmensbescheinigungen speichern und vorlegen sowie Dokumente mit qualifizierten elektronischen Signaturen unterzeichnen können. Sie ist das Kernstück der überarbeiteten eIDAS-Verordnung (Verordnung (EU) 2024/1183, „eIDAS 2“), die am 20.5.2024 in Kraft getreten ist und die Verordnung (EU) Nr. 910/2014 geändert hat.

Jeder Mitgliedstaat muss innerhalb von 24 Monaten nach dem Inkrafttreten der Durchführungsrechtsakte der Kommission zu Integrität, Kernfunktionen und Zertifizierung der Wallet mindestens eine EUDI-Wallet bereitstellen (Art. 5a Abs. 1 eIDAS-Verordnung).

Diese Durchführungsrechtsakte wurden am 28.11.2024 erlassen, am 4.12.2024 veröffentlicht und sind 20 Tage später in Kraft getreten, womit die Frist für die Wallets Ende Dezember 2026 abläuft. Im Einklang damit gilt die Durchführungsverordnung über die Registrierung vertrauender Beteiligter (Durchführungsverordnung (EU) 2025/848) ab dem 24.12.2026. Für Unternehmen in Deutschland lauten die zentralen Fragen, wann sie die Wallet akzeptieren müssen, was sie tun müssen, um registrierter vertrauender Beteiligter zu werden, und wie die geplante European Business Wallet den Umgang mit Behörden verändern wird.

Was die EUDI-Wallet kann

Nach Art. 5a Abs. 4 eIDAS-Verordnung muss jede EUDI-Wallet es den Nutzern ermöglichen, unter ihrer alleinigen Kontrolle

• Personenidentifizierungsdaten und elektronische Attributsbescheinigungen anzufordern, zu erhalten, zu speichern, zu kombinieren und vorzulegen, wobei nur die jeweils benötigten Daten selektiv offengelegt werden;
• Pseudonyme für die Nutzung von Diensten zu erzeugen;
• sich gegenüber vertrauenden Beteiligten online und gegebenenfalls offline zu authentifizieren;
• ein Protokoll aller Transaktionen und aller vertrauenden Beteiligten, mit denen sie in Verbindung standen, einzusehen, die Löschung von Daten zu verlangen und verdächtige Datenanfragen der Datenschutzaufsichtsbehörde zu melden;
• mit qualifizierten elektronischen Signaturen zu unterzeichnen, die natürliche Personen für nicht berufliche Zwecke kostenlos nutzen können müssen.

Für Unternehmen bedeutet dies in der Praxis, dass Kundenonboarding, Altersprüfung, Nachweis von Qualifikationen oder Anschrift und Vertragsunterzeichnung künftig über eine einzige, standardisierte und EU-weit akzeptierte Schnittstelle abgewickelt werden könnten.

Wer die EUDI-Wallet akzeptieren muss und ab wann

Die Pflicht für private vertrauende Beteiligte ist in der Praxis besonders bedeutsam: Eine Bank, ein Versicherer, ein Energieversorger, ein Telekommunikationsanbieter oder ein Online-Dienst, der eine starke Kundenauthentifizierung verwendet, weil Gesetz oder Vertrag dies verlangen, muss die EUDI-Wallet bis Ende 2027 als Option akzeptieren, sofern es sich nicht um ein Kleinst- oder Kleinunternehmen handelt. Nach dem Digital Services Act benannte sehr große Online-Plattformen müssen die Wallet für die Nutzerauthentifizierung akzeptieren, wenn die Nutzer dies verlangen.

Vertrauender Beteiligter werden

Vertrauende Beteiligte, die sich auf EUDI-Wallets stützen wollen, müssen sich in dem Mitgliedstaat registrieren, in dem sie niedergelassen sind, und den beabsichtigten Verwendungszweck der Wallet einschließlich der angeforderten Daten angeben (Art. 5b eIDAS-Verordnung). Die Einzelheiten der Registrierung sind in der Durchführungsverordnung (EU) 2025/848 festgelegt, die hierfür ein einheitliches Verfahren vorsieht. Vertrauende Beteiligte erhalten Zugangszertifikate und gegebenenfalls Registrierungszertifikate, mit denen Wallets ihre Identität und die Daten, die sie anfordern dürfen, überprüfen können. Es ist ausdrücklich nicht zulässig, mehr Daten anzufordern, als bei der Registrierung angegeben wurden, und Nutzer können in ihrer Wallet sehen, welcher vertrauende Beteiligte welche Daten angefordert hat.

Für deutsche Unternehmen hat dies mehrere praktische Folgen, die frühzeitig bedacht werden sollten:

• Datenminimierung durch Technikgestaltung: Onboarding-Abläufe müssen so gestaltet werden, dass nur die benötigten Attribute angefordert werden, möglichst durch selektive Offenlegung statt eines vollständigen Identitätsdatensatzes.
• Geldwäscheprävention: Die Wallet kann die Identifizierung von Kunden nach dem Geldwäschegesetz (GwG) unterstützen, interne Verfahren müssen aber an die neue Identifizierungsmethode und ihr Vertrauensniveau angepasst werden.
• Verträge und Signaturen: Mit der Wallet erstellte qualifizierte elektronische Signaturen erfüllen die Schriftform, soweit das deutsche Recht die elektronische Form nach § 126a des Bürgerlichen Gesetzbuchs zulässt, was den Vertragsschluss vereinfachen kann.
• Haftung: Das Vertrauen auf das hohe Vertrauensniveau der Wallet verteilt bestimmte Risiken anders als Video-Ident- oder Post-Ident-Verfahren; Bedingungen und interne Kontrollen sollten dies abbilden.

Fallbeispiel

Fallbeispiel (hypothetisch): Eine deutsche Online-Bank identifiziert Neukunden derzeit per Video-Ident. Spätestens ab Ende 2027 muss sie auf Wunsch des Kunden auch die Wallet akzeptieren, weil sie gesetzlich zur starken Kundenauthentifizierung verpflichtet ist. Die Bank registriert sich als vertrauender Beteiligter und gibt an, dass sie zur Identifizierung Name, Geburtsdatum, Staatsangehörigkeit und Anschrift anfordern wird.

Ein Neukunde öffnet daraufhin die App der Bank, wählt die Wallet-Option, sieht genau, welche Daten die Bank anfordert, und stimmt zu. Die Bank erhält geprüfte Daten mit hohem Vertrauensniveau, dokumentiert die Identifizierung für Zwecke der Geldwäscheprävention und lässt den Kunden den Kontovertrag mit einer qualifizierten elektronischen Signatur aus der Wallet unterzeichnen. Das bisherige Video-Ident-Verfahren bleibt für Kunden, die die Wallet nicht nutzen möchten, als Alternative verfügbar.

Datenschutz und Altersprüfung

Die Wallet ist von Grund auf auf die Kontrolle durch den Nutzer ausgelegt. Nutzer sehen jede Transaktion und jeden vertrauenden Beteiligten in einem Dashboard, können vertrauende Beteiligte zur Löschung von Daten auffordern und verdächtige Anfragen der Datenschutzaufsichtsbehörde melden. Vertrauende Beteiligte bleiben für die erhaltenen Daten Verantwortliche im Sinne der DSGVO, sodass Datenschutzhinweise, Rechtsgrundlagen und Speicherfristen den neuen Kanal abdecken müssen. Die selektive Offenlegung ermöglicht es zudem auf sehr einfache Weise, ein einzelnes Attribut nachzuweisen, etwa die Volljährigkeit, ohne das Geburtsdatum preiszugeben. Das ist für Online-Shops, die altersbeschränkte Produkte verkaufen, und für Online-Plattformen relevant, die Maßnahmen zum Schutz Minderjähriger nach Art. 28 des Digital Services Act umsetzen.

Elektronische Attributsbescheinigungen

Über die Identität hinaus kann die Wallet elektronische Attributsbescheinigungen (Electronic Attestations of Attributes, EAA) speichern – digitale Bescheinigungen über Tatsachen wie berufliche Qualifikationen, Lizenzen, Mitgliedschaften, Alter oder Anschrift. Qualifizierte elektronische Attributsbescheinigungen, die von beaufsichtigten qualifizierten Vertrauensdiensteanbietern ausgestellt werden, haben dieselbe Rechtswirkung wie rechtmäßig ausgestellte Bescheinigungen in Papierform. Sowohl Behörden als auch private Aussteller, einschließlich Hochschulen, Kammern und Unternehmen, können Aussteller werden. Für Unternehmen eröffnen solche Bescheinigungen ganz neue praktische Möglichkeiten im Geschäftsverkehr: die Lizenz eines Lieferanten, die Qualifikation eines Beschäftigten oder das Alter eines Kunden ohne manuelle Prüfung zu verifizieren.

Aussteller von Bescheinigungen müssen je nach Art der Bescheinigung unterschiedliche rechtliche und technische Anforderungen erfüllen. Qualifizierte Bescheinigungen dürfen nur von qualifizierten Vertrauensdiensteanbietern ausgestellt werden, die beaufsichtigt werden und Attribute, soweit gesetzlich vorgesehen, anhand authentischer Quellen überprüfen müssen. Nicht qualifizierte Bescheinigungen können von jedem Anbieter ausgestellt werden, genießen aber nicht dieselbe Rechtswirkung. Unternehmen, die die Ausstellung von Bescheinigungen erwägen – etwa Schulungsnachweise für Beschäftigte oder einen Treuestatus für Kunden –, sollten prüfen, welches Niveau angemessen ist, wie ein Widerruf funktioniert und wie die Haftung für fehlerhafte Bescheinigungen verteilt wird.

Neue Vertrauensdienste

eIDAS 2 erweitert darüber hinaus auch den bestehenden Rahmen für Vertrauensdienste. Die Verordnung führt elektronische Attributsbescheinigungen, qualifizierte elektronische Archivierungsdienste für die langfristige Aufbewahrung elektronischer Dokumente und qualifizierte elektronische Ledger ein, die eine rechtliche Vermutung für die eindeutige und genaue chronologische Reihenfolge und die Integrität von Datensätzen begründen. Außerdem verschärft sie die Regeln für qualifizierte Zertifikate für die Website-Authentifizierung. Für Unternehmen können diese neuen Vertrauensdienste insbesondere die digitale Aufbewahrung von Dokumenten, Aufzeichnungen in der Lieferkette und die Authentifizierung ihrer Websites gegenüber Kunden unterstützen.

Die European Business Wallet

Am 19.11.2025 hat die Kommission eine Verordnung zur Einrichtung Europäischer Unternehmens-Wallets (COM(2025) 838) vorgeschlagen. Der Vorschlag würde Unternehmen und öffentlichen Stellen eine Wallet zur Identifizierung und Authentifizierung, zum Signieren und Siegeln, zum Austausch amtlicher Dokumente und zum Empfang von Mitteilungen sowie zur Verwaltung von Vertretungsrechten und Vollmachten geben, aufbauend auf dem EUDI-Rahmen. In der vorgeschlagenen Fassung müssten öffentliche Stellen es Wirtschaftsakteuren innerhalb von 24 Monaten nach Inkrafttreten ermöglichen, sich für Meldepflichten und Verwaltungsverfahren mit European Business Wallets zu identifizieren, zu unterzeichnen, Dokumente einzureichen und Mitteilungen zu senden oder zu empfangen.

Im Rat hat der damalige Vorsitz einen Kompromisstext für eine allgemeine Ausrichtung auf der Tagung des Rates Telekommunikation am 9.6.2026 vorbereitet (Ratsdokument 9684/26); der Berichterstatter des Europäischen Parlaments hat am 20.3.2026 einen Berichtsentwurf veröffentlicht. Nach den jüngsten von uns ausgewerteten Quellen war die Verordnung noch nicht angenommen. Für deutsche Unternehmen könnte die Business Wallet den Umgang mit Registern, Steuer- und Zollbehörden sowie grenzüberschreitende Verfahren erheblich vereinfachen, und sie würde mit gesellschaftsrechtlichen Vorgängen wie Anmeldungen zum Handelsregister zusammenwirken.

In Deutschland erfordern viele Anmeldungen zum Handelsregister weiterhin die Mitwirkung eines Notars. Nach dem Kompromisstext des Rates würden nationale Verwaltungs- und Verfahrensvorschriften weiter gelten, sodass solche Anforderungen nicht einfach wegfallen würden. Ihr Nutzen liegt vielmehr im Alltag: im Nachweis der Identität eines Unternehmens und seiner Vertreter, in der Vorlage von Registerauszügen und Steuerbescheinigungen als überprüfbare Nachweise, in der Verwaltung von Vollmachten für Beschäftigte und im Empfang amtlicher Mitteilungen über einen qualifizierten Dienst für die Zustellung elektronischer Einschreiben. Unternehmen mit grenzüberschreitender Tätigkeit in mehreren Mitgliedstaaten könnten von der Business Wallet am meisten profitieren, weil dieselben Nachweise in allen Mitgliedstaaten anerkannt würden.

Ein Fahrplan für Unternehmen

1. Prüfen Sie, ob das Unternehmen ein privater vertrauender Beteiligter ist, der der Akzeptanzpflicht unterliegt, unter Berücksichtigung der Ausnahme für Kleinst- und Kleinunternehmen.
2. Ermitteln Sie die Prozesse, in denen die Nutzung der Wallet sinnvoll ist: Onboarding, Login, Altersprüfung, Signaturen, Qualifikationsnachweise.
3. Legen Sie für jeden einzelnen Anwendungsfall den minimal erforderlichen Datensatz fest und bereiten Sie die Registrierung als vertrauender Beteiligter vor.
4. Passen Sie Verfahren zur Geldwäscheprävention, allgemeine Geschäftsbedingungen und Datenschutzhinweise an.
5. Planen Sie rechtzeitig die technische Integration in bestehende Authentifizierungs- und Kundenbeziehungssysteme.
6. Verfolgen Sie die deutsche nationale Wallet und ihren Zeitplan sowie Leitlinien der zuständigen deutschen Behörden.
7. Prüfen Sie, ob das Unternehmen als Aussteller von Bescheinigungen auftreten könnte, etwa für Qualifikationen von Beschäftigten oder einen Kundenstatus.

Frühe Anwender können die Pflicht in einen Vorteil verwandeln: Schnelleres Onboarding, weniger abgebrochene Registrierungen und ein geringeres Betrugsrisiko gehören zu den Vorteilen, die der Rahmen für eine europäische digitale Identität bringen soll.

So unterstützt TRW & Co bei der EUDI-Wallet

Wir beraten Banken, Versicherer, Energie-, Telekommunikations- und Digitalunternehmen zu den Akzeptanzpflichten für die EUDI-Wallet, zur Registrierung als vertrauender Beteiligter, zu Onboarding- und Authentifizierungsprozessen, zur Identifizierung nach dem Geldwäscherecht, zu elektronischen Signaturen und zum Datenschutz. Außerdem beraten wir Aussteller elektronischer Bescheinigungen und Unternehmen, die sich auf die European Business Wallet vorbereiten. Siehe unsere Seiten zu Daten und Digitalisierung und zu DSGVO und Datenschutz oder kontaktieren Sie uns.