Was ist eine vertrauende Partei (Relying Party)?

Eine vertrauende Partei (englisch Relying Party, im deutschen Rechtstext vertrauender Beteiligter) ist jede Organisation, die sich auf die EUDI-Wallet verlässt: Sie fragt Daten oder Nachweise aus der Wallet eines Nutzers ab, um ihn zu identifizieren oder etwas zu prüfen, etwa sein Alter. Das kann eine Bank, ein Energieversorger, ein Onlineshop oder eine Behörde sein. Jede vertrauende Partei muss sich vorher registrieren und darf nur die Daten abfragen, die sie dabei angegeben hat (Art. 5b Abs. 1 und 3 eIDAS).

Die Rollen im EUDI-Ökosystem

Pflichten einer vertrauenden Partei

Registrierung

Wer sich auf die Wallet stützen will, registriert sich in dem Mitgliedstaat, in dem er niedergelassen ist (Art. 5b Abs. 1 eIDAS). Anzugeben sind unter anderem Name, gegebenenfalls Registernummer, Kontaktdaten und die beabsichtigte Nutzung einschließlich der abgefragten Daten (Art. 5b Abs. 2). Die Details regelt die Durchführungsverordnung (EU) 2025/848, die ab 24. Dezember 2026 gilt (Art. 11) und durch die Durchführungsverordnung (EU) 2026/1730 geändert wurde. Wie das konkret abläuft: Wie registriert sich ein Unternehmen?.

Nur registrierte Daten abfragen

Eine vertrauende Partei darf von Nutzern keine anderen Daten verlangen als die registrierten (Art. 5b Abs. 3 eIDAS). Ein Onlineshop, der nur das Alter prüfen will, registriert also nur diesen Zweck und bekommt nicht den vollen Namen und die Anschrift. Fragt eine vertrauende Partei mehr Daten ab als registriert, kann der Registrar die Registrierung aussetzen oder aufheben (Art. 9 Abs. 2 Buchst. c DVO 2025/848).

Ausweisen gegenüber der Wallet

Bei jeder Abfrage weist sich die vertrauende Partei gegenüber der Wallet mit einem Zugangszertifikat aus (im Verordnungstext: Zugriffszertifikat). So sieht der Nutzer, wer anfragt (Art. 5b Abs. 8 eIDAS, Art. 7 DVO 2025/848). Dazu kommt ein Registrierungszertifikat, das je Anwendungsfall zeigt, welche Daten registriert sind. Seit der Änderung durch die DVO (EU) 2026/1730 müssen alle Mitgliedstaaten es ausstellen lassen, automatisch und unverzüglich nach der Registrierung (Art. 8 Abs. 1). Die Wallet weist den Nutzer darauf hin, wenn eine Abfrage über die registrierten Daten hinausgeht (Art. 8 Abs. 2 Buchst. d).

Änderungen melden

Ändern sich Angaben, etwa Firmenname oder Zweck, muss die vertrauende Partei das unverzüglich melden (Art. 5b Abs. 6 eIDAS, Art. 5 Abs. 3 DVO 2025/848).

Das Register ist öffentlich

Die Angaben der vertrauenden Parteien werden öffentlich gemacht (Art. 5b Abs. 5 eIDAS). Ab 24. Dezember 2026 muss jeder Mitgliedstaat sein Register menschen- und maschinenlesbar bereitstellen, über eine gemeinsame Schnittstelle und eine nationale Website; abrufbar ohne vorherige Anmeldung (DVO 2025/848, Art. 3 und Anhang II). Jeder kann dann nachsehen, welches Unternehmen welche Daten zu welchem Zweck abfragen will.

Eudigo wertet diese Register aller Mitgliedstaaten aus, sobald sie online sind, und zeigt in Auswertungen, wer die Wallet wofür nutzt.

Intermediäre

Viele Unternehmen werden die Wallet nicht selbst anbinden, sondern über einen Dienstleister. Solche Intermediäre (im Verordnungstext: Vermittler) gelten selbst als vertrauende Parteien und dürfen keine Daten über den Inhalt der Transaktion speichern (Art. 5b Abs. 10 eIDAS). Im Register gibt die vertrauende Partei an, ob und welchen Intermediär sie nutzt (Anhang I Nr. 14 und 15 DVO 2025/848).

Ein Beispiel

Ein Mobilfunkanbieter will Neukunden online identifizieren. Er registriert sich mit dem Anwendungsfall „Identitätsprüfung bei Vertragsabschluss“ und gibt an, dass er dafür Name, Geburtsdatum und Anschrift abfragt. Sein Zugangszertifikat weist ihn gegenüber der Wallet aus. Der Kunde sieht in der Wallet, wer anfragt und welche Daten übermittelt werden, und gibt die Daten frei. Für einen zweiten Zweck, etwa eine Altersprüfung im Shop des Anbieters, braucht er einen weiteren registrierten Anwendungsfall, denn die Daten und ihr Zweck werden je beabsichtigter Nutzung angegeben (Anhang I Nr. 9 und 10 DVO 2025/848). Das Beispiel ist vereinfacht und keine Aussage darüber, welche Daten ein bestimmtes Unternehmen rechtlich erheben darf oder muss.

Wer muss vertrauende Partei werden?

Jeder, der die Wallet nutzen will – freiwillig oder weil er muss. Öffentliche Stellen, die für Online-Dienste eine elektronische Identifizierung verlangen, müssen die Wallet akzeptieren (Art. 5f Abs. 1 eIDAS). Private Unternehmen in regulierten Bereichen müssen sie spätestens ab 24. Dezember 2027 (berechnet) akzeptieren, wenn sie eine starke Nutzerauthentifizierung verlangen; Kleinst- und Kleinunternehmen sind ausgenommen (Art. 5f Abs. 2). Sehr große Online-Plattformen sind ebenfalls verpflichtet; für sie nennt der Text kein eigenes Datum (Art. 5f Abs. 3). Wer genau: Welche Unternehmen müssen die EUDI-Wallet akzeptieren?.

Stand in Deutschland

Laut Entwurf des Digitale Identitätengesetzes (DIdG) soll das Bundesverwaltungsamt (BVA) das zentrale Register führen und auch die Zertifikate ausstellen (§ 2 Abs. 2 Nr. 2 Buchst. b und § 10 Abs. 1 DIdG-E). Stand 12. Oktober 2026 liegt das Gesetz als Kabinettsentwurf vor (BT-Drs. 21/7408); die 2./3. Lesung im Bundestag ist für den 15. Oktober 2026 angesetzt. Ob es bei dieser Zuständigkeit bleibt, steht erst nach der Verabschiedung fest.