Vom Arztbesuch bis zum Fahrschein für öffentliche Verkehrsmittel: Die europäische eID wird unsere sensibelsten persönlichen Daten in einer Vielzahl von alltäglichen Anwendungen verarbeiten. Doch Schnelligkeit scheint der Europäischen Kommission wichtiger zu sein als ein gut funktionierendes und sicheres eID-System.

Im Laufe der letzten drei Jahre haben wir vor den Gefahren für die Sicherheit und die Privatsphäre der Nutzer:innen gewarnt. Wir haben gefordert, dass wichtige Datenschutzbestimmungen in die eIDAS-Verordnung aufgenommen werden, und die Europäische Kommission dazu gedrängt, der Komplexität dieses Systems, das die große Mehrheit der Europäer:innen in ihrem täglichen Leben betreffen wird, in vollem Umfang Rechnung zu tragen.

Nun, da die tatsächliche Umsetzung der Wallet näherrückt, ignoriert die Europäische Kommission wichtige Datenschutzgarantien, die in der im April 2024 fertiggestellten eIDAS-Verordnung vorgeschrieben sind und auf denen das gesamte eID-System basieren wird. Dies ist möglich, weil neben der Verordnung selbst eine Reihe von Durchführungsrechtsakten vorgesehen ist, in denen die Wallet technisch genauer definiert wird. Diese von der Kommission entworfenen Durchführungsrechtsakte scheinen jedoch fast exakt den ursprünglichen Verordnungsvorschlag der Kommission vom Juni 2021 widerzuspiegeln und die zentralen Sicherheitsvorkehrungen, die das Europäische Parlament und der Rat aufgenommen haben, zu ignorieren.

Wir fordern die Mitgliedstaaten auf, die in dieser Analyse aufgezeigten Probleme im Zuge ihrer Verhandlungen bis zur geplanten Verabschiedung der Durchführungsrechtsakte am 21. November 2024 zu beheben.

Der Schutz der Europäer:innen geht in einem überstürzten, undemokratischen Umsetzungsprozesses verloren

Während die Kommission eine unrealistische Deadline verfolgt, wird der gesamte Prozess immer undemokratischer. Erstens müssen die Durchführungsrechtsakte nicht das Europäische Parlament passieren, was die Abgeordneten des Europäischen Parlaments von der Kontrolle über die Details der Umsetzung der europäischen eID ausschließt. Dies ist in diesem Fall besonders problematisch, weil die Kommission im Wesentlichen das Gesetz ignoriert, an das sich auch die Durchführungsrechtsakte halten müssen (die eIDAS-Verordnung).

Zweitens lässt das Tempo, mit dem die Kommission die Einführung der eID vorantreibt, nicht einmal einen angemessenen Überprüfungsprozess zu, geschweige denn die Zeit, die notwendig ist, um die Einzelheiten eines sicheren und grenzüberschreitenden eID-Systems festzulegen, dem die Bürger:innen vertrauen können. Niemand könnte in diesem extrem knappen Zeitrahmen die Rückmeldungen zu einem, und schon gar nicht zu fünf Durchführungsrechtsakten prüfen - ganz zu schweigen davon, den entscheidenden Beitrag von Fach- und Grundrechtsexpert:innen aus Zivilgesellschaft und Wissenschaft tatsächlich zu berücksichtigen.

Enger Zeitrahmen und gravierende Lücken

Aber es kommt noch schlimmer. Es gibt auch fünf Durchführungsrechtsakte, die in der öffentlichen Konsultation noch völlig fehlen. Auch sie sollen am 17. November verabschiedet werden, und mindestens einer von ihnen betrifft entscheidende Schutzmaßnahmen gegen die Gefahr einer zu weitreichenden Identifizierung und Weitergabe personenbezogener Daten - d. h. die Regelung der Frage, wer welche Informationen von den Nutzer:innen anfordern darf. Ohne die Schutzmaßnahmen dieses fehlenden Teils wiederholt die Kommission die „Cookie-Banner-Situation“, bei der die gesamte Last auf den Schultern der Nutzer:innen lastet, die ständig über ihre Privatsphäre entscheiden müssen, ohne jemals eine sinnvolle Wahl zu haben.

Sogar die Europäische Kommission selbst räumt ein, dass die Durchführungsrechtsakte zur Entwicklung des europäischen eID-Systems innerhalb eines Jahres noch einmal geändert werden müssen. Dies bedeutet im Wesentlichen, dass Steuergelder für ein groß angelegtes Softwareprojekt ausgegeben werden, in desen Verlauf sich grundlegende Spezifikationen ändern werden (z. B. für die Interoperabilität der Wallet zwischen den Mitgliedstaaten). Dadurch ändert sich die Wallet-Entwicklung mittendrin, was zu einer groß angelegten Verschwendung von Geld, Zeit und Softwareentwicklungsressourcen führt - und das für die Entwicklung eines eID-Systems, vor dem IT- und Grundrechtsexpert:innen die Öffentlichkeit warnen müssen.

Was wir brauchen: Einen grundlegenden Kurswechsel

Da der Erfolg der europäischen digitalen ID-Wallet in hohem Maße vom Vertrauen der Bürger:innen und einem soliden Schutz vor dem Missbrauch persönlicher Daten abhängt, können wir die Entscheidungen, die zum Entwurf der Kommission geführt haben, nicht nachvollziehen. Wir fordern die Europäische Kommission auf, diesem heiklen Projekt in vollem Umfang gerecht zu werden und die Sicherheit der Europäer:innen nicht für eine unrealistisch schnelle Umsetzung einer die Grundrechte bedrohenden digitalen ID-Wallet zu opfern. Ohne eine Kurskorrektur wäre es besser, wenn die Mitgliedstaaten den Entwurf der Durchführungsrechtsakte in ihrer kommenden Sitzung Mitte Oktober ablehnen würden.

Da du hier bist!

… haben wir eine Bitte an dich. Für Artikel wie diesen analysieren wir Gesetzestexte, bewerten Regierungsdokumente oder lesen Allgemeine Geschäftsbedingungen (wirklich!). Wir sorgen dafür, dass möglichst viele Menschen sich mit komplizierten juristischen und technischen Inhalten befassen und auch verstehen, dass sie große Auswirkungen auf unser Leben haben. Diese Arbeit machen wir aus der festen Überzeugung, dass wir gemeinsam stärker sind als alle Lobbyisten, Machthabende und Konzerne. Dafür brauchen wir deine Unterstützung. Hilf uns, eine starke Stimme für die Zivilgesellschaft zu sein!

Jetzt Fördermitglied werden