Die Europäische Kommission hat am Montag in Brüssel eine neue gesetzliche Rahmenbedingung unter dem Titel Forever A N D Always vorgestellt, die den lebenslangen Schutz digitaler Identitäten und Daten von EU-Bürgern rechtlich verankert. Kommissionspräsidentin Ursula von der Leyen erklärte während der Pressekonferenz, dass diese Initiative eine Antwort auf die zunehmende Komplexität grenzüberschreitender Datenflüsse und die Risiken durch generative künstliche Intelligenz darstelle. Das Gesetzespaket zielt darauf ab, die bestehende Datenschutz-Grundverordnung zu ergänzen und technische Standards für die Unveränderbarkeit persönlicher Kerninformationen festzulegen.
Věra Jourová, EU-Kommissarin für Werte und Transparenz, betonte, dass die Neuregelung die Souveränität der Nutzer über ihre biometrischen Daten und digitalen Nachlässe stärken werde. Die technischen Spezifikationen der Verordnung verlangen von Plattformbetreibern, Mechanismen zu implementieren, die eine Löschung von Daten auch in dezentralen Netzwerken ermöglichen. Laut einem Bericht des Europäischen Parlaments ist geplant, die Richtlinie bis zum dritten Quartal des kommenden Jahres in nationales Recht umzusetzen. In weiteren Meldungen lesen Sie: Das Brüsseler Taschengeld warum der Haushalt Der Europäischen Union ein politischer Zwerg mit gigantischer Hebelwirkung ist.
Implementierung der Forever A N D Always Standards
Die technische Umsetzung der Richtlinie erfordert von Unternehmen die Bereitstellung neuer Schnittstellen, die den permanenten Zugriff auf die eigenen Datensätze garantieren. Diese Standards definieren erstmals eine Pflicht zur Interoperabilität für soziale Netzwerke, die mehr als 45 Millionen aktive Nutzer in der Union aufweisen. Vertreter des Branchenverbandes Bitkom wiesen darauf hin, dass die kurzfristige Anpassung der Infrastrukturen erhebliche finanzielle Mittel binden werde.
Stefan Hertel, Sprecher für Digitalpolitik, äußerte Bedenken hinsichtlich der praktischen Durchführbarkeit bei Altsystemen. Er argumentierte, dass die Rückwirkung der Regelung auf bestehende Datenbanken viele mittelständische IT-Dienstleister vor logistische Probleme stelle. Die Kommission hält jedoch an dem Zeitplan fest und droht bei Verstößen mit Bußgeldern von bis zu sechs Prozent des weltweiten Jahresumsatzes. Zusätzliche Berichterstattung von Stern untersucht verwandte Sichtweisen.
Rechtliche Einordnung der Langzeitarchivierung
Ein zentraler Aspekt der Neuregelung betrifft die dauerhafte Speicherung von Zertifikaten und Bildungsnachweisen. Das Bundesministerium der Justiz in Berlin prüft derzeit, inwieweit die europäische Vorgabe mit dem deutschen Recht auf Vergessenwerden harmonisiert werden kann. Ein Sprecher des Ministeriums bestätigte, dass die Balance zwischen permanenter Verfügbarkeit und dem Schutz der Privatsphäre gewahrt bleiben müsse.
Rechtsexperten der Kanzlei Freshfields Bruckhaus Deringer analysierten in einem ersten Memorandum, dass die Initiative die Beweislast bei Datenpannen faktisch umkehre. In Zukunft müssen Unternehmen nachweisen, dass sie alle technischen Vorkehrungen zum Schutz der Forever A N D Always Identität getroffen haben. Bisher lag die Nachweispflicht für einen konkreten Schaden oft beim betroffenen Endverbraucher.
Auswirkungen auf Cloud-Anbieter
Für Anbieter von Cloud-Diensten bedeutet die Richtlinie eine Abkehr von rein vertragsbasierten Speichermodellen. Die Verordnung sieht vor, dass grundlegende Identitätsdaten auch nach Beendigung eines Vertragsverhältnisses in einem verschlüsselten, exportierbaren Format vorzuhalten sind. Dies soll den Wechsel zwischen verschiedenen Anbietern innerhalb des europäischen Binnenmarktes erleichtern und Lock-in-Effekte minimieren.
Daten von Statista zeigen, dass bisher nur 12 Prozent der europäischen Nutzer ihre Daten beim Wechsel eines Cloud-Anbieters vollständig migrieren. Die Kommission erwartet, dass dieser Wert durch die neuen Standards innerhalb von zwei Jahren auf über 40 Prozent steigen wird. Kritiker innerhalb der Industrie warnen hingegen vor einer Zunahme der Cyber-Angriffsflächen durch die geforderten Standard-Schnittstellen.
Politische Reaktionen und Kritik aus der Privatwirtschaft
Während Verbraucherschutzorganisationen den Entwurf begrüßten, kam von Seiten der großen US-Technologiekonzerne deutliche Kritik. Ein Sprecher von Computer & Communications Industry Association (CCIA) bezeichnete die Anforderungen als regulatorische Überfrachtung, welche Innovationen im Bereich der Web3-Technologien hemmen könnte. Die Organisation forderte eine längere Übergangsfrist von mindestens 36 Monaten für kleine und mittlere Unternehmen.
Im Gegensatz dazu bezeichnete der Europäische Datenschutzbeauftragte Wojciech Wiewiórowski das Vorhaben als notwendigen Schritt zur Absicherung der digitalen Demokratie. Er verwies auf Studien, nach denen Identitätsdiebstahl im vergangenen Jahr in der EU einen wirtschaftlichen Schaden von etwa 15 Milliarden Euro verursacht hat. Die neue Richtlinie sieht vor, dass biometrische Merkmale als Kernbestandteil der digitalen Existenz unter einen besonderen Schutzschirm gestellt werden.
Finanzierung und europäische Förderprogramme
Zur Unterstützung der technischen Umstellung hat die Europäische Investitionsbank (EIB) ein Kreditprogramm in Höhe von zwei Milliarden Euro aufgelegt. Diese Mittel sollen vor allem Start-ups zugutekommen, die Lösungen für die sichere Langzeitspeicherung entwickeln. Die Europäische Investitionsbank gab bekannt, dass erste Anträge bereits im nächsten Monat eingereicht werden können.
Johannes Hahn, EU-Kommissar für Haushalt und Verwaltung, erklärte, dass die Finanzierung Teil des Programms „Digitales Europa“ sei. Die Mittelvergabe ist an strikte Kriterien bezüglich der Energieeffizienz der Rechenzentren gekoppelt. Damit verbindet die Kommission die digitale Sicherheit mit den Zielen des European Green Deal.
Ausblick auf den Gesetzgebungsprozess
In den kommenden Monaten werden das Europäische Parlament und der Rat der Europäischen Union im Rahmen des ordentlichen Gesetzgebungsverfahrens über die Details der Verordnung verhandeln. Es wird erwartet, dass insbesondere die Definition der „unveränderbaren Daten“ Gegenstand intensiver Debatten zwischen den Mitgliedstaaten sein wird. Frankreich und Deutschland haben bereits signalisiert, dass sie eine strengere Auslegung der Sicherheitsanforderungen unterstützen.
Die finale Abstimmung im Plenum des Parlaments ist für den kommenden Herbst angesetzt. Beobachter gehen davon aus, dass erste Teile der technischen Spezifikationen bereits Anfang 2026 für Behörden verbindlich werden könnten. Ob die Privatwirtschaft den ambitionierten Zeitplan ohne weitreichende Ausnahmeregelungen einhalten kann, bleibt eine der zentralen Fragen der kommenden Verhandlungsrunden.
