Gilt die Akzeptanzpflicht für die EUDI-Wallet auch für kleine Unternehmen?

Nein. Kleinst- und kleine Unternehmen sind von der Pflicht ausgenommen, die EUDI-Wallet zu akzeptieren. Das steht ausdrücklich in Art. 5f Abs. 2 der eIDAS-Verordnung, der für die Definition auf die EU-Empfehlung 2003/361/EG verweist. Kurz gesagt: Unternehmen mit weniger als 50 Beschäftigten und höchstens 10 Mio. € Jahresumsatz oder Jahresbilanzsumme sind ausgenommen. Freiwillig dürfen sie die Wallet trotzdem anbieten.

Die Ausnahme steht in der EU-Verordnung und gilt deshalb in allen Mitgliedstaaten. Die Mitgliedstaaten können eigene Regeln ergänzen; Unternehmen sollten daher auch das Recht ihres Sitzlandes prüfen.

Die Schwellenwerte

Art. 2 des Anhangs der Empfehlung 2003/361/EG definiert:

Die Beschäftigtenzahl muss immer eingehalten werden; beim Geld genügt einer der beiden Werte („Jahresumsatz bzw. Jahresbilanz”). Mittlere Unternehmen sind nicht ausgenommen.

Konzerne und Beteiligungen

Die EU-Definition schaut über die einzelne Gesellschaft hinaus (Anhang, Art. 3 und 6):

• Verbundene Unternehmen (zum Beispiel Mehrheit der Stimmrechte oder Recht, die Mehrheit der Geschäftsführung oder des Aufsichtsgremiums zu bestellen) werden voll hinzugerechnet.
• Partnerunternehmen (Beteiligung ab 25 %, ohne Kontrolle) werden anteilig nach der Höhe der Beteiligung hinzugerechnet.
• Öffentliche Beteiligung: Ein Unternehmen gilt grundsätzlich nicht als KMU, wenn 25 % oder mehr seines Kapitals oder seiner Stimmrechte von öffentlichen Stellen kontrolliert werden (Art. 3 Abs. 4; Ausnahmen u. a. für kleine Gebietskörperschaften nach Art. 3 Abs. 2).

Eine kleine Tochtergesellschaft eines großen Energieversorgers oder einer Bank gilt deshalb in der Regel nicht als kleines Unternehmen. Nach unserer Einschätzung kann das auch für kleine kommunale Versorger oder Verkehrsbetriebe gelten ungeprüft. Art. 5f Abs. 2 verweist zwar nur auf Art. 2 des Anhangs; dass die Rechenregeln der Art. 3 bis 6 dabei mitgelten, ist naheliegend, aber für die eIDAS-Verordnung nicht ausdrücklich bestätigt ungeprüft. Wer nahe an den Schwellen liegt, sollte die Zuordnung prüfen lassen.

Für wen die Ausnahme keine Rolle spielt

• Öffentliche Stellen sind nach Art. 5f Abs. 1 verpflichtet; dieser Absatz enthält keine Ausnahme nach Größe.
• Sehr große Online-Plattformen nach dem Digital Services Act fallen unter Art. 5f Abs. 3, der ebenfalls keine Ausnahme für kleine Unternehmen enthält.
• Mittlere und große Unternehmen in den in Art. 5f Abs. 2 genannten Bereichen sind verpflichtet. Welche das sind, steht auf der Seite Welche Unternehmen müssen die EUDI-Wallet akzeptieren?.

Warum sich die Wallet auch für kleine Unternehmen lohnen kann

Die Ausnahme ist kein Verbot. Für manche kleine Unternehmen kann die Wallet trotzdem interessant sein:

• Altersnachweis im Onlinehandel, ohne Ausweiskopie
• Kundenidentifizierung mit geprüften Daten statt Formular und Foto
• Weniger Daten speichern: Abgefragt werden nur die registrierten Merkmale

Wer die Wallet freiwillig nutzt, wird zur vertrauenden Partei und muss sich vorher in seinem Mitgliedstaat registrieren (Art. 5b Abs. 1). Außerdem braucht es ein Zugangszertifikat. Ob sich der Aufwand lohnt, hängt vom Einzelfall ab. Der Gesetzentwurf der Bundesregierung (DIdG) schätzt den Aufwand einer Erstregistrierung auf rund 40 Stunden; für spätere Registrierungen, bei denen er überwiegend kleinere Unternehmen erwartet, auf rund 32 Stunden.

Eine einfachere Lösung können Dienstleister sein, die als Intermediär die Anbindung übernehmen. Auch Intermediäre gelten rechtlich als vertrauende Parteien und dürfen keine Daten über den Inhalt der Transaktion speichern (Art. 5b Abs. 10).

Schnell-Check: Ist mein Unternehmen ausgenommen?

1. Beschäftigte zählen: Maßgeblich sind Jahresarbeitseinheiten, also Vollzeitäquivalente; Teilzeit- und Saisonarbeit zählen anteilig. Auszubildende werden nicht mitgezählt (Anhang, Art. 5).
2. Finanzzahlen prüfen: Jahresumsatz (ohne Mehrwertsteuer) oder Bilanzsumme des letzten Rechnungsabschlusses (Anhang, Art. 4).
3. Verbundene und Partnerunternehmen einbeziehen und öffentliche Beteiligungen prüfen, wie oben beschrieben.
4. Ergebnis: Unter 50 Beschäftigten und höchstens 10 Mio. € Umsatz oder Bilanzsumme – ausgenommen. Darüber – verpflichtet, sofern ein Prozess in einem der genannten Bereiche eine starke Nutzerauthentifizierung für die Online-Identifizierung verlangt.

Der Status kippt nicht nach einem einzelnen Jahr: Ein Unternehmen verliert oder erwirbt ihn erst, wenn es die Schwellen in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschreitet (Anhang, Art. 4 Abs. 2).

Was wachsende Unternehmen beachten sollten

Wer heute klein ist, aber wächst, fällt irgendwann unter die Pflicht. Da die Pflicht spätestens ab 24. Dezember 2027 gilt (berechnet, siehe Alle EUDI-Fristen), ist eine frühe Planung sinnvoll: Eine Anbindung über einen Dienstleister ist meist schneller umgesetzt als eine eigene Entwicklung, und die Registrierung braucht Zeit.

Rein inländische Fälle in Deutschland

Der Entwurf des Digitale Identitätengesetzes (DIdG) will Art. 5f Abs. 1 bis 3 entsprechend auf Sachverhalte ohne Grenzüberschreitung anwenden (§ 15 Abs. 1 DIdG-E). Da der Verweis den ganzen Absatz 2 einschließlich der Ausnahme umfasst, dürfte die Ausnahme auch dort gelten (eigene Einschätzung, ungeprüft). Das DIdG ist bisher nur ein Entwurf der Bundesregierung (BT-Drucksache 21/7408); die 2./3. Lesung im Bundestag ist für den 15. Oktober 2026 angesetzt, danach muss der Bundesrat zustimmen (Stand 12.10.2026).

Eudigo gibt keine Rechtsberatung. Ob ein Unternehmen ausgenommen ist, hängt vom Einzelfall ab.