Schriftliche Frage 166 von Sonja Lemke (DIE LINKE): Plant die Bundesregierung bei der Entwicklung ihrer EUDI-Wallet Maßnahmen zu ergreifen, die auf technischer Ebene sicherstellen, dass nur so…

Schriftliche Frage 166 von Sonja Lemke (DIE LINKE): Plant die Bundesregierung bei der Entwicklung ihrer EUDI-Wallet Maßnahmen zu ergreifen, die auf technischer Ebene sicherstellen, dass nur so… Frage 166 (Sonja Lemke, Die Linke): Plant die Bundesregierung bei der Entwicklung ihrer EUDI-Wallet Maßnahmen zu ergreifen, die auf technischer Ebene sicherstellen, dass nur solche Institutionen Daten abrufen können, die eine entsprechende Befugnis haben, und wenn ja, welche technischen Maßnahmen sind dies konkret (bitte alle Maßnahmen benennen), und welche Institutionen oder Kategorien von Institutionen sollen diese Befugnis erhalten? Antwort des Parlamentarischen Staatssekretärs Thomas Jarzombek vom 8. Oktober 2025: Ja, die Bundesregierung plant eine entsprechende Regelung. Im Rahmen des Vorhabens ist vorgesehen, dass jede Organisation, die als sogenannte Relying Party (RP) Wallet-Daten abfragen möchte, zuvor in einem nationalen Register (RP-Registrar) registriert werden muss; dabei wird die Identität der juristischen Person und der vertretungsberechtigten Personen sichergestellt. Geplant ist zudem, dass die Angaben über menschen- und maschinenlesbare Transparenz-Schnittstellen zugänglich gemacht werden. Relying Parties dürfen nur die im Registrierungsverfahren angegebenen beabsichtigten Nutzungszwecke („intended use“) abrufen; bei jeder Anfrage werden ein Access Certificate (Identität der RP) und ein Registration Certificate (Zweck und angemeldete Datenabfragen) an die Wallet des Nutzenden übermittelt, die die Wallet beide lokal prüft. Zur Vermeidung unzulässiger Abfragen führt die Wallet einen „Over-Asking-Check“ durch; bei Überschreitung des im Registration Certificate angegebenen Datenumfangs wird der Vorgang abgebrochen. Nutzerinnen und Nutzer können darüber hinaus direkt aus der Wallet eine niedrigschwellige Beschwerde an die zuständige Datenschutzaufsicht übermitteln. Nur falls der Check erfolgreich war, wird die Nutzerin oder der Nutzer nach seiner Zustimmung zum Teilen der Daten gefragt. Zusätzlich haben alle Beteiligten – insbesondere Relying Parties, Issuer und Registrar – die DSGVO uneingeschränkt zu beachten; die Aufsicht führen die zuständigen Datenschutzbehörden. Der Ansatz folgt der eIDAS 2.0 vorgegebenen europäischen Linie zu Transparenz und Interoperabilität.