Im Ringen um eine Reform der Datenschutzgrundverordnung (DSGVO) unterstützt die deutsche Bundesregierung offenbar den Vorschlag der EU-Kommission für eine weitergehende Aufweichung. Konkret setzt sich Deutschland im Rat der EU-Mitgliedstaaten dafür ein, personenbezogene Daten unter Umständen von der DSGVO auszunehmen. Das berichtet MLex [Paywall] unter Berufung auf einen Kompromissvorschlag der Deutschen.

Der Rat verhandelt derzeit über seine Position zu einem Gesetzespaket, mit dem die EU-Kommission Teile ihrer Digitalregulierung überarbeiten will, um Europas Wettbewerbsfähigkeit zu erhöhen. Das „Digitaler Omnibus“ genannte Sammelgesetz soll unter anderem sich überlappende Datennutzungsgesetze zusammenführen, die Anwendung von KI-Regeln aufschieben und die DSGVO reformieren.

Während die EU-Kommission behauptet, es handle sich dabei lediglich um Vereinfachungen und technische Anpassungen, gehen einzelne Vorschläge faktisch weit darüber hinaus.

Umkämpfte Definition

Besonders umstritten ist der Vorschlag, pseudonymisierte Daten teilweise von der DSGVO auszunehmen. Unter Pseudonymisierung versteht man das Ersetzen direkter Identifikationsmerkmale wie Namen oder Telefonnummern durch ein Pseudonym, etwa eine Buchstaben- oder Zahlenkombination. Bislang gelten unter der DSGVO in der Regel auch pseudonymisierte Daten als personenbezogen. Erst bei einer Anonymisierung fallen Daten aus dem Geltungsbereich der Verordnung, also wenn sie nicht mehr einer Person zuzuordnen sind.

Die Kommission will hier einen sogenannten relativen Personenbezug einführen. Vereinfacht gesagt bedeutet das: Daten sollen für Verarbeiter dann nicht mehr als personenbezogen gelten sollen, wenn es unwahrscheinlich ist, dass sie Personen hinter Pseudonymen re-identifizieren.

Der Europäische Datenschutzausschuss, in dem die nationalen Aufsichtsbehörden organisiert sind, und der Europäische Datenschutzbeauftragte, übten an dem Vorhaben scharfe Kritik. Sie sehen darin eine Schwächung des Schutzniveaus der DSGVO und fürchten Rechtsunsicherheiten.

Von Big Techs Wunschliste

Die Databroker-Files-Recherchen von netzpolitik.org und Bayerischem Rundfunk hatten erst kürzlich erneut gezeigt, dass unter anderem pseudonymisierte Standortdaten aus der Online-Werbung bei Datenhändlern angeboten werden und sich damit sehr leicht Personen re-identifizeren lassen – auch hochrangige Beamte der EU-Kommission. Solche vermeintlich durch Pseudonymisierung geschützten Daten können für Betroffene erhebliche Risiken bedeuten.

In ihrem Vorschlag beruft sich die EU-Kommission auf die jüngste Rechtsprechung des Europäischen Gerichtshofes. Kritiker:innen wie die Berliner Datenschutzbeauftragte Maike Kamp merkten jedoch an, dass dies auf einer selektiven Auslegung der EuGH-Rechtsprechung beruhe. Der Vorschlag der Kommission könne dazu führen, dass etwa Daten aus Online-Tracking nicht mehr der DSGVO unterliegen würden.

Der Datenschutzaktivist Max Schrems und die Organisation noyb warnen zudem davor, dass die Änderung die Arbeit von Aufsichtsbehörden weiter erschweren und kleine sowie mittlere Unternehmen ohne große Rechtsabteilungen überfordern könnte. Eine Aufweichung der Regeln zu pseudonymisierten Daten hatten unter anderem große Tech-Konzerne jahrelang gefordert.

Selbst Bundesregierung warnt vor Rechtsunsicherheiten

Nach ersten Verhandlungen in der Arbeitsgruppe Vereinfachung hatte die zypriotische Ratspräsidentschaft Ende Februar vorgeschlagen, den umstrittenen Passus und weitere Vorschläge der Kommission ganz zu streichen. Statt einer geänderten Definition sollten lieber Richtlinien des Europäischen Datenschutzausschusses klären, wann pseudonymisierte Daten möglicherweise nicht der DSGVO unterliegen.

MLex zufolge unterstützt eine Reihe von Staaten den Vorschlag der Ratspräsidentschaft, darunter Österreich, Belgien, Kroatien, Bulgarien und die Niederlande. Dagegen wendet sich dem Bericht zufolge Deutschland, unterstützt von Dänemark.

Die Bundesregierung, in der Arbeitsgruppe vertreten durch das CDU-geführte Digitalministerium, betone die Notwendigkeit eines relativen Personenbezugs beziehungsweise einer relativen Anonymisierung, so MLex. Sie schlage eine Änderung der Definition personenbezogener Daten unter Verweis auf den bereits bestehenden Erwägungsgrund 26 der DSGVO vor.

Dort heißt es: „Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern.“ Tatsächlich ist der relative Personenbezug in dieser Fußnote bereits angelegt, indem auf die Fähigkeiten und die Motivation des Verarbeiters zur Re-Identifizierung abgestellt wird.

Dass der Schritt, den Erwägungsgrund für die Definition personenbezogener Daten zu nutzen, ein Risiko für kleine und mittlere Unternehmen birgt, sieht allerdings offenbar auch die Bundesregierung. Laut MLex schreibt sie, der Text müsse „sorgfältig formuliert werden, damit er nicht zu weiteren Unsicherheiten führt und es für Verantwortliche, Auftragsverarbeiter und betroffene Personen schwieriger macht, ihre Rechte und Pflichten zu verstehen.“

Canonical hat den Authentication-Daemon Authd in die offiziellen Paketquellen des kommenden Ubuntu 26.04 LTS aufgenommen. Damit können Nutzer erstmals direkt über die Standardpaketquellen auf die Software zugreifen, mit der sich Ubuntu-Systeme bei Cloud-basierten Providern authentifizieren können. Bislang war Authd nur über ein PPA (Personal Package Archive) oder durch manuelle Kompilierung verfügbar.

Authd ist ein Authentication-Daemon, der die Integration von Ubuntu Desktop und Server mit Cloud-basierten Identity-Providern ermöglicht. Die Software nutzt dazu standardisierte Protokolle wie OpenID Connect (OIDC) und den OAuth 2.0 Device Authorization Grant Flow (RFC 8628). Das Besondere: Authd verfolgt eine modulare Broker-Architektur, bei der für jeden Identity-Provider ein eigener Broker als Snap-Paket bereitsteht.

Aktuell unterstützt Authd Microsoft Entra ID und Google Cloud IAM direkt. Neu in Ubuntu 26.04 LTS ist ein generischer OIDC-Broker, der die Anbindung beliebiger OIDC-kompatibler Provider erlaubt. Damit können Administratoren nun auch Dienste wie Okta, Auth0, Ping Identity oder selbst gehostete Software wie Keycloak einbinden. Canonical bezeichnet dies als Antwort auf den Bedarf nach flexibler Identity-Provider-Integration: „Dieses neue Broker-Snap ist unsere Antwort auf diese Nachfrage und ermöglicht es Ubuntu Desktop und Server, sich mit jedem Identitätsanbieter zu integrieren, der einen standardmäßigen OIDC-Flow unterstützt“, heißt es im offiziellen Blog.

Universe statt Main: Community-Fokus bei der Paketierung

Canonical hat Authd ins Universe-Repository gepackt, nicht ins Main-Repository. Der Unterschied: Während Main-Pakete direkt von Canonical mit garantierten Sicherheitsupdates versorgt werden, gelten Universe-Pakete als Community-maintained. Im Fall von Authd bedeutet dies jedoch nicht mangelnden Support: Canonical selbst pflegt das Paket und liefert Sicherheitsupdates über den gesamten LTS-Zyklus von fünf Jahren (mit Ubuntu Pro sogar bis zu zehn Jahre).

Für Unternehmen bietet die Integration in das offizielle Ubuntu-Archiv erhebliche Vorteile gegenüber dem bisherigen Weg via PPA. Die Installation erfolgt nun über standardisierte Kanäle, was Compliance-Anforderungen erleichtert. Zudem entfällt der Wartungsaufwand für manuelle Updates, Sicherheitspatches erreichen die Systeme automatisch über die regulären Ubuntu-Update-Mechanismen.

Installation

Die Installation von Authd in Ubuntu 26.04 LTS ist unkompliziert: Nach Aktivierung des Universe-Repositorys mit add-apt-repository universe lässt sich das Paket über apt install authd einrichten. Die eigentlichen Provider-Broker werden als separate Snap-Pakete installiert, beispielsweise snap install authd-msentra für Microsoft Entra ID oder snap install authd-oidc-generic für den generischen OIDC-Broker.

Canonical sieht die Entwicklung noch am Anfang: „Authd wird in das offizielle Ubuntu-Archiv aufgenommen – und das ist erst der Anfang.“ Geplant sind Erweiterungen der Broker-Unterstützung und zusätzliche Management-Werkzeuge basierend auf Feedback aus der Praxis.

Weitere Details zur Authd-Integration finden sich im Ubuntu Community Hub.

(fo)

Wer eine Flasche Wein kaufen möchte, muss dafür im Laden unter Umständen den Personalausweis zücken. Erst nach einem prüfenden Blick des Kassierers auf das Geburtsdatum können Kund:innen dann bezahlen – oder nicht.

Weit mehr Daten könnten schon bald bei der geplanten EUDI-Wallet ausgetauscht werden, warnt die Nichtregierungsorganisation epicenter.works in einer Stellungnahme. Wer die digitale Brieftasche künftig einsetzt, könnte dann sogar gezwungen sein, die eigenen biometrischen Gesichtsdaten an Unternehmen weiterzugeben.

Verantwortlich dafür sind Änderungen der Europäischen Kommission, so die österreichische Nichtregierungsorganisation. Die Kommission höhle im Nachhinein die rechtlich vorgegebenen Schutzgarantien aus, auf die sich EU-Parlament und der Rat geeinigt hatten.

Mit der „European Digital Identity Wallet“ sollen sich künftig Bürger:innen und Organisationen online und offline ausweisen können. Die Bundesregierung hat ihren Start in Deutschland zum 2. Januar 2027 angekündigt.

Wenn soziale Plattformen Gesundheitsdaten abfragen

Konkret bezieht sich die Kritik von epicenter.works auf drei aktuelle Konsultationsentwürfe von sogenannten Durchführungsrechtsakten. Diese Rechtsvorschriften regeln die praktische Umsetzung von EU-Verordnungen. Insgesamt 40 von ihnen will die Kommission erlassen, bevor die digitale Brieftasche verfügbar ist.

Als besonders problematisch bewertet epicenter.works die Regelung, wonach „relying parties“ (zu deutsch: „vertrauenswürdige Parteien“) je nach Mitgliedstaat sogenannte Registrierungszertifikate nicht verpflichtend, sondern nur optional erhalten sollen.

Vertrauenswürdige Parteien können Unternehmen und öffentliche Einrichtungen sein. Sie müssen sich laut eIDAS-Verordnung, die der europäischen Wallet zugrundeliegt, vorab in einem EU-Mitgliedstaat registrieren. Dabei müssen sie darlegen, welche Daten sie zu welchem Zweck von den Nutzer:innen anfordern werden.

Diese Datenbeschränkung lässt sich technisch mit Registrierungszertifikaten kontrollieren. Sie dienen als eine Art Datenausweis, mit dem sich die vertrauenswürdigen Parteien gegenüber den Wallets legitimieren und die Abfragekategorien beschränken. Registrieren sich Nutzer:innen etwa mit Hilfe der Wallet bei einem sozialen Netzwerk, soll das so erst gar keine Gesundheitsdaten abfragen können.

Die eIDAS-Verordnung sieht solche Registrierungszertifikate zwar nicht explizit vor. Allerdings könne eine Wallet ohne diese technisch nicht ohne weiteres überprüfen, ob Informationsanfragen angemessen sind, schreibt epicenter.works. Und das widerspreche Artikel 5b Abs. 3 der Verordnung, wonach vertrauenswürdige Parteien nur jene Daten abfragen dürfen, die sie auch bei ihrer Registrierung angegeben haben.

Die Nichtregierungsorganisation plädiert daher für technische Kontrolle statt nur für Vertrauen. Andernfalls könnten etwa Unternehmen die vorgesehenen Schutzmaßnahmen relativ leicht umgehen, indem sie einen Mitgliedstaat als Niederlassungsort wählen, der keine Registrierungszertifikate ausstellt. „Unternehmen aus Ländern wie Irland könnten Schutzmechanismen der Wallet umgehen, so dass illegale Anfragen nach zu vielen Informationen möglich werden“, sagt Thomas Lohninger von epicenter.works.

EU-Kommission handelt „unprofessionell“

Es ist nicht das erste Mal, dass die Kommission die rechtlichen Vorgaben aus Sicht zivilgesellschaftlicher Organisationen untergraben will.

Bereits im November 2024 hatte die Kommission versucht, die Registrierung von vertrauenswürdigen Parteien freiwillig zu machen. Damals hatte sie die zweite Charge an Durchführungsrechtsakten veröffentlicht. Nachdem mehrere Organisationen gefordert hatten, die dort aufgemachten „Schlupflöcher“ zu schließen, korrigierte die Kommission vorübergehend ihre Position, nur um wenige Wochen später zu ihrer ursprünglichen Forderung zurückzukehren.

„Dieses inkonsequente Vorgehen der […] EU-Kommission in einer so wichtigen Angelegenheit ist unprofessionell“, schreibt epicenter.works in der aktuellen Stellungnahme, „und es untergräbt das Vertrauen der Öffentlichkeit in das künftige eIDAS-Ökosystem erheblich.“ Die Nichtregierungsorganisation fordert die Kommission erneut dazu auf, „die Registrierung von vertrauenswürdigen Parteien verbindlich vorzuschreiben“. Nur so sei ein einheitliches Schutzniveau in der gesamten EU zu gewährleisten.

Die wichtigsten Fragen und Antworten zur digitalen Brieftasche

Kommission will Recht auf Pseudonymität beschneiden

Die eIDAS-Verordnung sieht außerdem vor, dass sich Wallet-Nutzer:innen im Alltag auch mit selbstgewählten Pseudonymen gegenüber Unternehmen und Behörden ausweisen können, sofern aus rechtlicher Sicht keine weiteren Daten erforderlich sind. So sollen sie ihre Identität und ihre persönlichen Daten vor übermäßigen Zugriff schützen. Dieses Recht auf Pseudonymität greife die Kommission auf zweierlei Art an, kritisiert epicenter.works.

Zum einen unterscheide die Kommission nicht klar zwischen Anwendungsfällen der Wallet, in denen die vertrauenswürdige Partei gesetzlich dazu verpflichtet ist, Nutzer:innen zu identifizieren, und solchen, in denen eine solche Verpflichtung nicht besteht. Dabei sei diese Unterscheidung essentiell, um die Rechte der Nutzer:innen zu wahren.

Zum anderen beschränke die Kommission den Gebrauch von Pseudonymen auf Authentifizerungsmaßnahmen – also etwa auf die Verwendung von pseudonymen Logins bei Webdiensten. „Die Kommission legt die eIDAS-Verordnung sehr einseitig aus“, schreibt epicenter.works. „Und sie übersieht dabei, dass die vertrauenswürdigen Parteien dazu verpflichtet sind, Pseudonyme generell zu akzeptieren, unabhängig von der Authentifizierungsfunktion der Wallet.“Damit könnten Unternehmen die rechtliche Identität von Nutzer:innen abfragen, ohne dass dies erforderlich ist.

Gerade vor dem Hintergrund der aktuellen Debatte um Alterskontrollen sei diese Verengung fahrlässig: „Soziale Medienplattformen, Pornografie-Websites, Glücksspiel- und andere Online-Anbieter werden derzeit als potenzielle vertrauende Parteien diskutiert“, mahnt epicenter.works. „Diese Anbieter seien möglicherweise sehr daran interessiert, Identitätsdaten von Nutzer:innen zu erhalten, verfügen jedoch über keine Rechtsgrundlage, um eine solche Identifizierung zu verlangen.“

Biometrische Gesichtsdaten sollen ebenfalls in die Wallet

Die übermittelten Informationen könnten sogar biometrische Gesichtsdaten enthalten. Die Kommission will diese verpflichtend in jenen Datensatz aufnehmen, der zur Identifizierung von Nutzer:innen verwendet wird. Bislang soll dieses „Minimum-Datenset“ den vollen Name, das Geburtsdatum und den Geburtsort sowie die Nationalität enthalten.

Unternehmen wie Amazon könnten damit nicht nur Namen und Anschrift ihrer Kund:innen erhalten, sondern auch eine Bilddatei mit deren Gesicht. Die Kommission nehme hier eine „massive Verschiebung“ vor, kritisiert epicenter.works, die der Gesetzestext explizit nicht vorsehe. Gleichzeitig würde damit „die gesamte Verarbeitung über die EUDI-Wallet unter Artikel 9 der Datenschutzgrundverordnung fallen, was wesentlich strengere Schutzmaßnahmen erfordern würde.“

„Wir sind wirklich entsetzt, welche Änderungen vor dem Start der digitalen Brieftasche nun vorgebracht werden“, sagt Thomas Lohninger. „Verpflichtende Gesichtsbilder würden ganz neue Gefahren durch biometrische Daten bei Online-Plattformen mit sich bringen. Offenbar ist die Akzeptanz in der Industrie für die Politik relevanter als das Vertrauen aus der Bevölkerung.“

epicenter.works fordert die Kommission auf, die entsprechende Stelle aus dem Entwurf ersatzlos zu streichen. Gleichzeitig mahnt sie, dass die Kommission das gesamte Projekt gefährde, indem sie kurz vor dem Start der Wallet derart weitreichende Änderungen an den technischen Spezifikationen vornehme.

Offener Brief erinnert Kommission an rechtliche Vorgaben

An die Kritik von epicenter.works knüpfen zehn europäische Organisationen an, die heute gemeinsam einen offenen Brief publiziert haben. Sie richten sich darin unter anderem an die Vizepräsidentin der EU-Kommission, Henna Virkkunen. Initiiert hat das Schreiben die Vereinigung von Bürgerrechtsorganisationen European Digital Rights, zu den Unterzeichnern zählen unter anderem der Chaos Computer Club und die Digitale Gesellschaft aus Deutschland, Homo Digitalis aus Griechenland, IT-Pol aus Dänemark, ApTI aus Rumänien und Vrijschrift.org aus den Niederlanden.

Die Organisationen zeigen sich „zutiefst besorgt“ darüber, dass die Kommission die Grundrechte von Millionen EU-Bürger:innen aushöhlen wolle. Die aktuell vorliegenden Entwürfe der Durchführungsrechtsakte „bergen die Gefahr, einige der zentralen Schutzmaßnahmen zu schwächen, die die eIDAS-Verordnung vorsieht.“ Das sei umso dramatischer, weil derzeit auch darüber diskutiert wird, die Wallet für Alterskontrollen zu verwenden.

Der offene Brief ruft die Kommission und die Mitgliedsstaaten dazu auf, die Befürchtungen der Zivilgesellschaft ernstzunehmen und die rechtlichen Vorgaben der eIDAS-Verordnung einzuhalten. Die digitale Brieftasche könne nur dann erfolgreich sein, wenn sie einen starken Datenschutz und Rechtssicherheit böte – und zwar in allen EU-Staaten gleichermaßen.