20260311 EUDI-Wallet mit Hintertüren für Datensammler

Biometrische Daten künftig für umsonst?

Dass man beim Kauf von alkoholischen Getränken u.U. seinen Personalausweis zur Alterskontrolle vorzeigen muss, können wir gut nachvollziehen. Dabei werden auch keine Daten - nicht mal das Alter - vom Ausweis gespeichert. Doch nun droht uns der absolute Ausverkauf unserer Daten. Bei der geplanten EUDI-Wallet werden unsere persönlichen Daten den Konzernen (und dem Staat) auf dem Silbertablett geliefert. Im Herbst hatten wir dazu einen Flyer gemacht.

Netzpolitik.org verweist zu den Gefahren der EUDI-Wallet auf die epicenter.works:

Für die Nutzung der digitalen Brieftasche wird die EU Kommission 40 EU-Rechtsvorschriften erlassen. Erst ein Teil davon ist bisher schriftlich verfügbar. Besonders problematisch ist dabei der Begriff der "vertrauenswürdigen Partnern" (relying parties). Das können staatliche Stellen aber auch Privatunternehmen sein. Eigentlich sollten sich diese alle zertifizieren lassen. Solche Registrierungszertifikate werden nun nicht mehr verpflichtend für die Nutzung der EUDI-Wallet, sondern nur noch optional notwendig sein.

Ohne solche Zertifizierung gibt es keinen Anhaltspunkt mehr, ob eine Datenweitergabe (beim Zahlungsvorgang) wirklich berechtigt oder notwendig ist. Thomas Lohninger von epicenter.works warnt laut Netzpolitik.org: "Unternehmen aus Ländern wie Irland könnten Schutzmechanismen der Wallet umgehen, so dass illegale Anfragen nach zu vielen Informationen möglich werden." So ein Vorgehen ist unprofessionell und datenschutzmäßig für Jeden eine Hintertür.

Auch die in der eIDAS-Verordnung vorgesehene Möglichkeit sich für die Wallet auch mit selbstgewählten Pseudonymen zu identifizieren wird auf mehreren Wegen durch die Kommissionsvorschläge infrage gestellt (s. verlinkten Artikel). Darüber hinaus könnten "neugierige" Partner sogar biometrische Gesichtsdaten aus der Wallet abfragen, denn nach den aktuellen Entwürfen sollen diese verpflichtend in jenen Datensatz zur Identifizierung von Nutzer:innen aufgenommen werden. Bisher enthielt der "Minimum-Datenset" lediglich den vollen Name, das Geburtsdatum und den Geburtsort sowie die Nationalität des Nutzers.

10 europäische NGOs haben einen offenen Brief an die EU-Kommission geschrieben, in dem sie an die Kritik von epicenter.works anknüpfen.

Kommentar abgeben