Nächste Runde für den digitalen Euro

Plötzlich gehen die Dinge Schlag auf Schlag: Die Europäische Zentralbank ("EZB") hat ihre Entscheidung zur Fortsetzung des Digitale-Euro-Projekts getroffen und leitet mit 1. November 2023 eine zweijährige Vorbereitungsphase ein, welche direkt auf die mit Oktober 2023 beendete Untersuchungsphase folgt.[i] Kurz zuvor äußerten sich der Europäische Datenschutzausschuss ("EDSA") sowie der Europäische Datenschutzbeauftragte ("EDSB") im Rahmen einer umfassenden Stellungnahme zu den datenschutzrechtlichen Aspekten des Projekts.[ii]

Vorbereitungsphase schließt an Untersuchungsphase an

Nachdem der EZB-Rat seine erwartete Entscheidung zur Verlängerung des Projekts getroffen hat, soll mit der nun startenden Vorbereitungsphase der Grundstein für einen – immer noch als "möglich" bezeichneten – digitalen Euro gelegt werden. Parallel wurde zu den Ergebnissen der bisherigen Untersuchungsphase auch ein entsprechender Bericht veröffentlicht.[iii]

Wie auch die Untersuchungsphase ist die Vorbereitungsphase mit 1. November 2023 auf einen Zeitraum von zwei Jahren angelegt, innerhalb dessen das Regelwerk für den digitalen Euro (betreffend die Entwicklung einheitlicher Regeln, Standards und Verfahren) fertiggestellt sowie Dienstleister für die Entwicklung einer Plattform und Infrastruktur für den digitalen Euro ausgewählt werden sollen. Weiters soll getestet und erprobt werden, wie ein digitaler Euro entwickelt werden kann, der sämtliche der propagierten Eigenschaften (wie finanzielle Inklusion und datenschutzrechtliche Unbedenklichkeit) aufweist.

Erst nach Abschluss der Vorbereitungsphase soll die EZB entscheiden, ob das Projekt in die nächste Phase der Vorbereitung übergeht. Ein Beschluss darüber, ob ein digitaler Euro tatsächlich kommt, soll überhaupt erst in Betracht gezogen werden, wenn der begleitende Gesetzgebungsprozess durch den EU-Gesetzgeber abgeschlossen ist (dazu siehe gleich unten).

Verordnung zur Einführung eines digitalen Euro

Bereits im Juni 2023 hat die EU-Kommission einen Gesetzesvorschlag für eine Verordnung zur Einführung des viel diskutierten digitalen Euro ("Verordnungsvorschlag") veröffentlicht und damit einen ersten Blick auf die angedachte rechtliche Regulierung erlaubt.[iv] Besonders im Fokus stand dabei der Datenschutz, auf dessen Wahrung von Anfang an ein besonderes Augenmerk gelegt werden sollte.

Für nähere allgemeine Informationen zum Verordnungsvorschlag und der geplanten Funktionsweise des digitalen Euro vgl schon unseren Beitrag "Verordnungsvorschlag für einen digitalen Euro" unter https://www.sv.law/verordnungsvorschlag-fuer-einen-digitalen-euro. Ein Überblick der datenschutzrechtlichen Aspekte des Verordnungsvorschlags findet sich darüber hinaus in unserem Beitrag "Digitaler Euro & Datenschutz" unter https://www.sv.law/digitaler-euro-datenschutz.

Stellungnahme des EDSA und EDSB zur datenschutzrechtlichen Regulierung

Eine Stellungnahme der EZB zum Verordnungsvorschlag sowie dessen abschließende Evaluierung durch das EU-Parlament sowie den Rat der EU stehen zwar noch aus; der EDSA und der EDSB haben jüngst allerdings eine gemeinsame Stellungnahme zu den datenschutzrechtlichen Elementen des Verordnungsvorschlags veröffentlicht, deren Kernaussagen nachfolgend dargestellt werden.

Allgemeine Anmerkungen

Der EDSA und der EDSB begrüßen die Bemühungen, welche im Rahmen der Ausgestaltung datenschutzrechtlicher Vorkehrungen im Verordnungsentwurf unternommen wurden. Als besonders positiv hervorgehoben wird etwa der grundsätzliche Ansatz, dass jede datenverarbeitende Entität ausdrücklich auf bestimmte, notwendige Verarbeitungsermächtigungen beschränkt wird, die sich wiederum lediglich auf die in den Anhängen zum Verordnungsentwurf ausdrücklich genannten Datenkategorien beziehen. Gleichermaßen begrüßt wird, dass die Einhaltung der DSGVO-Vorgaben "Privacy by Design" sowie "Privacy by Default" als essentiell herausgestrichen wird.

Bemängelt wird hingegen, dass im Detail Definitionen fehlen (zB, welche Datenarten konkret unter den Begriff "Transaktionsdaten" fallen). Auch erinnern EDSA und EDSB daran, dass unter den jeweiligen Voraussetzungen die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung greift. Weiters wird auch die Identifizierung der jeweiligen Rechtsgrundlage, auf deren Basis Verantwortliche (wie die EZB oder Zahlungsdienstleister) personenbezogene Daten verarbeiten dürfen, als wesentlich herausgestrichen.

Wie schon im Rahmen öffentlicher Konsultationen festgestellt, sei der Schutz personenbezogener Daten sowie der Nutzer-Privatsphäre das wichtigste Feature eines möglichen digitalen Euro. Sohin soll auch nicht verkannt werden, wie wesentlich die Implementierung der bestmöglichen verfügbaren datenschutzfreundlichen Technologien idZ ist. Überhaupt müsse jeder Eingriff in die Privatsphäre im Einzelfall verhältnismäßig sein. Die Ausgestaltung des digitalen Euro solle "so dezentralisiert wie möglich" erfolgen – hier seien weitergehende Klarstellungen hinsichtlich der Modalitäten der Verteilung des digitalen Euro im Verordnungstext wünschenswert.

Haltelimits (Verfügungsrahmen)

Eher kritisch betrachtet werden die anvisierten Haltelimits für Nutzer, weil damit notwendigerweise ein Verlust der vollständigen Anonymität sowie ein Mindestmaß an Datenverarbeitung einherginge.

Unter anderem zur Unterstützung der Zahlungsdienstleister bei der Durchsetzung von Haltelimits ist idZ vorgesehen, dass die EZB einen zentralen Zugangspunkt für die Kennungen der Nutzer des digitalen Euro und die entsprechenden Verfügungsrahmen einrichten kann.

EDSA und EDSB weisen darauf hin, dass die Verarbeitung der eindeutigen Nutzerkennungen dabei unbedingt auf das notwendige Mindestmaß reduziert werden und gerade hier besonders stark auf die Einhaltung der DSGVO-Vorgaben "Privacy by Design" und "Privacy by Default" geachtet werden muss.

Allgemeiner Mechanismus zur Aufdeckung und Verhütung von Betrug

Der vorgesehene Betrugspräventionsmechanismus, der vonseiten der EZB etabliert werden könnte, um Zahlungsdienstleistern die Umsetzung ihrer Pflichten idZ zu erleichtern, sei zu wenig vorhersehbar und daher geeignet, die Rechtssicherheit und die Überprüfbarkeit der Notwendigkeit eines solchen Mechanismus zu untergraben.

Es sei nicht klar, welche Aufgaben der EZB und den Zahlungsdienstleistern hier konkret zukommen. Folglich wird angeraten, entweder weiterführende Nachweise für die tatsächliche Erforderlichkeit der Implementierung eines solchen Mechanismus zu erbringen (inkl klarer Vorgaben im Hinblick auf Geltungsbereich und Anwendung) oder stattdessen auf weniger eingriffsintensive Maßnahmen umzuschwenken.

Online-Kleinbetragszahlungen

Besonders begrüßt wird die erhöhte Anonymität iZm Offline-Zahlungen, deren Ausmaß Bargeldzahlungen entsprechen soll. Allerdings empfehlen EDSA und EDSB ausdrücklich, einen solchen erhöhten Schutz der Privatsphäre auch bei Online-Zahlungen zu gewähren, welche einen gewissen Schwellenwert nicht überschreiten – so soll ein verhältnismäßiger Ausgleich zwischen den Anforderungen an die Bekämpfung von Geldwäsche sowie ähnlichen legitimen Zielen und den Interessen und Grundfreiheiten der Nutzer geschaffen werden.

Conclusio

Im Falle der Implementierung eines digitalen Euro innerhalb der EU, die nach den jüngsten Entwicklungen immer wahrscheinlicher wird, darf der Datenschutz keineswegs zu kurz kommen. Weitere Garantien und Absicherungsschritte sind aus unserer Sicht noch zu tun. Dementsprechend ist es essentiell, bereits möglichst früh Konzepte zur Verprobung und Umsetzung zu entwickeln und potentielle Problemfelder so früh wie möglich zu identifizieren.

Die EU-Kommission hat mit dem Verordnungsvorschlag für die Einführung eines digitalen Euro einen ersten Vorschlag für die rechtliche Regulierung unterbreitet, dessen Ideen sowohl vom EDSA als auch vom EDSB begrüßt werden. Nichtsdestotrotz weisen letztere zurecht darauf hin, dass im Detail Schwachstellen bestehen, welche zugunsten eines umfassenden Schutzes der Privatsphäre der Nutzer noch ausgemerzt werden müssen. Es bleibt abzuwarten, inwieweit diese – zugegeben -  sehr sinnvollen Anmerkungen dieser Instanzen bei der weiteren Ausgestaltung der gesetzlichen Regulierung des digitalen Euro Berücksichtigung finden werden.

[i] Vgl dazu die Pressemitteilung der EZB unter
https://www.ecb.europa.eu/press/pr/date/2023/html/ecb.pr231018~111a014ae7.de.html (Stand 18. 10. 2023).

[ii] Europäischer Datenschutzausschuss und Europäischer Datenschutzbeauftragter, Joint Opinion 02/2023 on the Proposal for a Regulation of the European Parliament and of the Council on the establishment of the digital euro, https://edpb.europa.eu/our-work-tools/our-documents/edpbedps-joint-opinion/edpb-edps-joint-opinion-022023-proposal_en (Stand 17. 10. 2023).

[iii] Abrufbar unter: https://www.ecb.europa.eu/paym/digital_euro/investigation/profuse/shared/files/dedocs/ecb.dedocs231018.de.pdf (Stand 18. 10. 2023).

[iv] Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Einführung des digitalen Euro, https://eur-lex.europa.eu/resource.html?uri=cellar:6f2f669f-1686-11ee-806b-01aa75ed71a1.0023.02/DOC_1&format=PDF (Stand 28. 6. 2023).