Was steht in einer Datenanfrage, und was entscheidest du?
Die Wallet schickt nicht von sich aus Daten los. Ein Dienst, im Gesetz «vertrauender Beteiligter» genannt, stellt eine Anfrage, und du gibst sie frei oder nicht. Nach der eIDAS-Verordnung, geändert durch die Verordnung (EU) 2024/1183, muss sich der Anbieter dir gegenüber identifizieren. Die Wallet muss eine selektive Offenlegung ermöglichen: Du teilst einzelne Angaben statt eines ganzen Ausweises.
Für die deutsche Wallet «d-you», die laut Bundesministerium für Digitales und Staatsmodernisierung am 2. Januar 2027 startet, nennt die Projektseite drei Grundsätze. Daten werden nur übertragen, wenn du sie aktiv freigibst. Übermittelt wird nur, was für einen konkreten Zweck erforderlich ist. Und nur staatlich registrierte Organisationen dürfen anfragen; die Wallet prüft automatisch deren Zertifikat. Den Überblick gibt EUDI-Wallet: was die EU-Brieftasche kann und wann sie kommt.
Tipp: Ein geprüftes Zertifikat zeigt dir, dass ein registrierter Anbieter fragt. Ob die Datenmenge zu deinem Anlass passt, beurteilst trotzdem du.
Was darf ein Anbieter überhaupt verlangen?
Wer Daten aus der Wallet abfragen will, registriert sich in seinem EU-Staat und gibt dabei an, welche Daten er für welche Verwendung anfordern wird. Andere Daten darf er nicht verlangen. Die Staaten veröffentlichen diese Angaben online.
Die Einzelheiten regelt die Durchführungsverordnung (EU) 2025/848, die ab dem 24. Dezember 2026 gilt. Setzt ein Staat Registrierungszertifikate ein, muss die Wallet dich informieren, wenn ein Anbieter Daten abfragt, die nicht in seinem Zertifikat stehen. Fragt ein Anbieter mehr Merkmale ab als registriert, kann seine Registrierung ausgesetzt oder aufgehoben werden.
- Pseudonym: Schreibt kein Gesetz eine Identifizierung vor, darf der Anbieter ein Pseudonym nicht ablehnen.
- Grosse Plattformen: Verlangt eine sehr grosse Online-Plattform eine Anmeldung, muss sie auf deinen Wunsch auch die Wallet akzeptieren, und zwar nur für die Mindestdaten, die der Dienst braucht.
- Freiwilligkeit: Wer die Wallet nicht nutzt, darf nicht benachteiligt werden; andere Wege der Identifizierung müssen möglich bleiben.
Überidentifikation erkennen: Passt die Anfrage zum Zweck?
Überidentifikation heisst: Ein Dienst will mehr über dich wissen, als sein Zweck verlangt. Die Registrierung verhindert das nicht immer, denn ein Anbieter kann mehrere Verwendungen mit unterschiedlichen Daten anmelden. Vergleiche deshalb jede Anfrage mit deinem Anlass.
| Anlass | Was in der Regel genügt | Hier wirst du stutzig |
|---|---|---|
| Altersprüfung beim Onlinekauf ab 18 | Bestätigung der Volljährigkeit; d-you sieht dafür einen Nachweis ohne exaktes Geburtsdatum und ohne Anschrift vor | Adresse, Ausweisnummer oder vollständiges Geburtsdatum |
| Plattform ohne gesetzliche Pflicht zur Identifizierung | Ein Pseudonym oder wenige Angaben | Vollständige Identität ohne erkennbaren Grund |
| Kontoeröffnung, Vertrag mit Identitätsprüfung, Antrag bei einer Behörde | Die Identitätsdaten, die das Verfahren verlangt | Angaben ohne Bezug zum Vertrag oder ein unpassender Anbietername |
Dieselbe Frage hilft bei App-Berechtigungen: Braucht diese App deine Kontakte? Berechtigungen bewusst prüfen.
Was tust du, wenn eine Anfrage nicht passt?
- Brich ab. Ohne deine Freigabe werden keine Daten übertragen.
- Vergleiche den Anbieternamen mit dem Dienst, den du selbst geöffnet hast. Kam die Anfrage über einen Link in einer unerwarteten Nachricht, öffne den Dienst lieber selbst über einen bekannten Weg.
- Frag den Anbieter, wozu er die zusätzlichen Angaben braucht. Wo Registrierungszertifikate eingesetzt werden, muss er auf seine Datenschutzerklärung für die angemeldete Verwendung verlinken.
- Zeigt die Wallet eine Warnung, gib nicht trotzdem frei.
- Nutze einen anderen Weg, wenn es ihn gibt, etwa die Prüfung vor Ort.
Erst lesen, dann bestätigen: Das gilt hier wie bei der Freigabe in der Banking-App.
Schon freigegeben? Übersicht, Löschung und Beschwerde
Jede EUDI-Wallet muss ein gemeinsames Dashboard bieten, mit einer aktuellen Liste der Anbieter, mit denen du verbunden warst, und einem Protokoll deiner Transaktionen. Von dort verlangst du auf einfache Weise die Löschung deiner Daten nach Artikel 17 DSGVO. Oder du meldest einen Anbieter der Datenschutzbehörde, wenn eine Anfrage mutmasslich unrechtmässig oder verdächtig war. Notiere dafür Datum, Anbieter und angefragte Daten. Hast du die Löschung zuerst beim Anbieter beantragt, will die österreichische Datenschutzbehörde mit der Beschwerde eine Kopie dieses Antrags und, falls vorhanden, der Antwort.
| Land | Wallet | Beschwerde | Gut zu wissen |
|---|---|---|---|
| Deutschland | d-you ab 2. Januar 2027; EU-Registrierungsregeln ab 24. Dezember 2026 | Bei Unternehmen meist die Datenschutzbehörde deines Bundeslands; bei Bundesbehörden, Telekommunikations- und Postunternehmen die BfDI | Die Behörde informiert dich spätestens nach drei Monaten über den Stand |
| Österreich | EU-Recht; Wallet bis Ende 2026 vorgesehen | Datenschutzbehörde: Online-Formular, E-Mail oder Post, auf Deutsch | Grundsätzlich kostenlos; Frist ein Jahr ab Kenntnis, höchstens drei Jahre nach dem Ereignis |
| Schweiz | Kein EU-Recht; E-ID mit der swiyu Wallet, Einführung verschoben | Geplant: Missbrauchsmeldung beim Bundesamt für Justiz (BJ) | Geplant: öffentliches Register der Datenabfragen und Warnung in der Wallet |
Ein Beispiel: Jonas prüft eine Altersabfrage
Fiktives Beispiel: Jonas aus Kassel bestellt im Frühling 2027 ein Computerspiel ab 18. Der Shop prüft das Alter über die Wallet und fragt dabei Vorname, Nachname, Geburtsdatum, Anschrift und Ausweisnummer ab.
Der Shopname stimmt, die Datenmenge nicht. Jonas bricht ab und fragt über das Kontaktformular, wozu Adresse und Ausweisnummer nötig seien. Der Shop räumt einen Einstellungsfehler ein und fragt beim zweiten Versuch nur noch die Volljährigkeit ab. Im Dashboard sieht Jonas danach, dass nur diese Angabe übertragen wurde. Eingerichtet hatte er die Wallet nach Deutsche EUDI-Wallet ab 2. Januar: Schritt für Schritt einrichten.
Häufige Fehler
- Freigeben, weil der Anbietername vertraut klingt, ohne ihn mit dem geöffneten Dienst zu vergleichen.
- Für eine Altersprüfung Geburtsdatum, Adresse und Ausweisnummer mitschicken.
- Eine Warnung der Wallet wegtippen, um schneller fertig zu sein.
- Eine Datenanfrage über einen Link aus einer unerwarteten Nachricht starten.
- Nach einer fragwürdigen Freigabe weder das Protokoll ansehen noch die Löschung verlangen.
Deine Checkliste
Die Häkchen dienen nur deiner Übersicht. Hier werden keine Eingaben an uns gesendet. Zum Aufbewahren kannst du die Seite über das Browsermenü drucken oder als PDF speichern.
Häufige Fragen
Muss ich jede Datenanfrage in der Wallet bestätigen?
Nein. Die Nutzung der EUDI-Wallet ist nach EU-Recht freiwillig, und du entscheidest bei jeder Anfrage selbst. Für d-you gilt laut Projektseite: Daten werden nur übertragen, wenn du sie aktiv freigibst. Lehnst du ab, bekommst du den Dienst auf diesem Weg vielleicht nicht. Andere Wege der Identifizierung müssen aber möglich bleiben, und wer die Wallet nicht nutzt, darf nicht benachteiligt werden.
Darf ein Shop für eine Altersprüfung mein Geburtsdatum verlangen?
Er darf nach EU-Recht nur Daten anfragen, die er bei der Registrierung angegeben hat; diese Angaben werden öffentlich. Für eine reine Altersprüfung sieht die deutsche Wallet einen Nachweis vor, der weder dein genaues Geburtsdatum noch deine Anschrift preisgibt. Fragt ein Shop mehr ab, brich ab und frag nach dem Grund. Ob eine Abfrage im Einzelfall rechtmässig ist, klärt die Datenschutzbehörde oder eine Beratungsstelle.
Was gilt in der Schweiz?
Die EU-Verordnung gilt in der Schweiz nicht. Der Bund führt eine eigene E-ID mit der swiyu Wallet ein; Ende Juni 2026 hat er die Einführung verschoben und dabei kein neues Datum genannt. Geplant ist, dass Anbieter ihre Datenabfragen und deren Zweck in einem öffentlichen Register hinterlegen. Verlangt eine Anbieterin zu viel, soll die Wallet warnen, und du sollst beim Bundesamt für Justiz einen Missbrauch melden können.
Quellen und weiterführende Informationen
Primärquellen von Behörden, Verbraucherschutz und Anbietern. Eine Quelle kann in einer anderen Sprache vorliegen; massgeblich sind die Hinweise für deinen Dienst und deinen Wohnort.
- EUR-Lex: eIDAS-Verordnung (EU) Nr. 910/2014, konsolidierte Fassung mit Artikel 5a, 5b und 5fQuellenstand:
- EUR-Lex: Durchführungsverordnung (EU) 2025/848 zur Registrierung vertrauender BeteiligterQuellenstand:
- Europäische Kommission: Europäische digitale IdentitätQuellenstand:
- EUDI-Wallet-Projekt der Bundesregierung: Die staatliche EUDI-WalletQuellenstand:
- BMDS: EUDI-Wallet d-youQuellenstand:
- BfDI: Beschwerde über Datenschutzverstösse bei den AufsichtsbehördenQuellenstand:
- Österreichische Datenschutzbehörde: BeschwerdeQuellenstand:
- EJPD: Akzeptanz der E-ID mit zusätzlichen Massnahmen stärken (25. Februar 2026)Quellenstand:
- Bund, E-ID: Neuer Zeitplan für die Einführung der E-ID und der VertrauensinfrastrukturQuellenstand:
