Welche Daten darf ein Unternehmen aus der EUDI-Wallet abfragen?

Ein Unternehmen darf aus der EUDI-Wallet nur die Daten abfragen, die es bei der Registrierung für den jeweiligen Zweck angegeben hat. So steht es in Art. 5b Abs. 3 der eIDAS-Verordnung. Eine Behörde genehmigt die Abfragen nicht vorab. Die Wallet prüft aber bei jeder Anfrage, ob sie zur Registrierung passt, und der Nutzer sieht, wer was wofür haben will. Dieser Ratgeber zeigt, welche Daten es gibt, welche Regeln gelten und wie Sie Ihre Abfragen sinnvoll zuschneiden.

Welche Daten es in der Wallet gibt

Die Wallet enthält die Personenidentifizierungsdaten (PID), also die digitalen Ausweisdaten, und beliebig viele Attributsbescheinigungen, etwa Führerschein, Studierendenausweis oder Berufsnachweis. Welche Angaben die PID einer natürlichen Person enthält, legt die DVO 2024/2977 in der Fassung der DVO 2026/1731 fest:

Jede Angabe ist einzeln freigebbar (selektive Offenlegung). Ein Feld „über 18“ sehen die PID-Tabellen nicht vor. Altersnachweise kommen über eigene Bescheinigungen oder zusätzliche Angaben des Ausstellers; wie d-you das umsetzt, ist noch nicht veröffentlicht ungeprüft.

Die Regeln

1. Registrieren, was Sie brauchen. Bei der Registrierung geben Sie für jeden Zweck an, welche Daten Sie abfragen wollen, mit verständlichem und technischem Namen, sowie eine Beschreibung des Zwecks (Art. 5b Abs. 2 Buchst. c eIDAS, Anhang I Nr. 9 und 10 DVO 2025/848). Wie das abläuft: Registrierung als vertrauende Partei.
2. Nur das Registrierte abfragen. Mehr als angegeben dürfen Sie nicht verlangen (Art. 5b Abs. 3 eIDAS).
3. Keine Vorabgenehmigung. Seit der Änderung durch die DVO 2026/1730 erfasst die Registrierungsstelle Daten und Zwecke nur zur Transparenz und darf sie nicht vorab genehmigen (Art. 6 Abs. 3a DVO 2025/848). Ob eine Abfrage zulässig ist, verantworten Sie selbst.
4. Die Wallet gleicht ab. Das Registrierungszertifikat enthält jeden registrierten Zweck und eine einheitliche Zugriffsregel. Fragt ein Unternehmen Daten ab, die dort nicht stehen, weist die Wallet den Nutzer darauf hin (Art. 8 Abs. 2 Buchst. c und d DVO 2025/848). Außerdem müssen Sie für jeden Zweck einen Link zur Datenschutzerklärung angeben (Buchst. g).
5. Verstöße haben Folgen. Die Registrierungsstelle kann die Registrierung aussetzen oder aufheben, wenn ein Unternehmen mehr Angaben abfragt als registriert (Art. 9 Abs. 2 Buchst. c DVO 2025/848). Dann werden auch die Zertifikate widerrufen; ohne gültiges Zugangszertifikat funktionieren keine Abfragen mehr.
6. Pseudonyme akzeptieren. Wo das Recht keine Identifizierung verlangt, dürfen Sie Pseudonyme nicht ablehnen (Art. 5b Abs. 9 eIDAS).

Auf der Seite der Nutzer sorgt die Wallet für Kontrolle: Sie zeigt im Dashboard, wer welche Daten bekommen hat, ermöglicht Löschanträge nach Art. 17 DSGVO und lässt Nutzer verdächtige Anfragen direkt der Datenschutzbehörde melden (Art. 5a Abs. 4 Buchst. d eIDAS).

Registriert heißt nicht automatisch erlaubt

Die eIDAS-Regeln setzen nur den Rahmen. Ob Sie eine Angabe tatsächlich abfragen dürfen, richtet sich nach der DSGVO: Sie brauchen eine Rechtsgrundlage (Art. 6), und es gilt die Datenminimierung – nur so viele Daten wie für den Zweck nötig (Art. 5 Abs. 1 Buchst. c). Eine großzügige Registrierung „auf Vorrat“ ändert daran nichts; sie fällt außerdem öffentlich auf, denn die Register sind für jeden einsehbar.

Einige Beispiele, wie sich Abfragen zuschneiden lassen:

Die Beispiele sind Orientierung, keine Rechtsberatung. Welche Angaben ein Vorgang wirklich braucht, hängt vom Fachrecht und Ihrem Prozess ab.

Typische Fehler

• Zu breit registriert: Ein Zweck „Kundenservice“ mit der ganzen PID wirkt unverhältnismäßig. Besser mehrere enge Zwecke mit jeweils wenigen Angaben.
• Neue Abfrage ohne Nachmeldung: Ändern sich Prozess oder Datenbedarf, zuerst die Registrierung ändern (Art. 5b Abs. 6 eIDAS), dann die Abfrage. Sonst warnt die Wallet.
• Optionale Angaben fest eingeplant: Anschrift, E-Mail oder Mobilnummer sind optional; nicht jeder Mitgliedstaat stellt sie aus. Prozesse brauchen einen Weg ohne diese Angaben.
• Lichtbild ohne Not: Für das Lichtbild gelten Warnhinweis, ausdrückliche Bestätigung und ein Speicherverbot. Details: Lichtbild in der EUDI-Wallet.

Wie Anfrage, Freigabe und Prüfung technisch ablaufen, zeigt So funktioniert die EUDI-Wallet.