Am 4. Mai 2026 hat der rumänische Ministerrat ein Memorandum of Understanding mit Mastercard Europe S.A. beschlossen. Lieferziel: nationale EUDI-Wallet bis Dezember 2026, konform mit der EU-Frist aus Verordnung (EU) 2024/1183. Es ist der erste Fall, in dem ein EU-Mitgliedstaat den Betrieb seiner staatlichen digitalen Identitätsinfrastruktur an einen US-Zahlungskonzern vergibt.
Mastercard war zuvor Berater des NOBID-Konsortiums und laut Biometric Update “partner in the NOBID project and the WE BUILD Consortium” — zwei der vier EU-finanzierten Large Scale Pilots, deren Ergebnisse als Referenzarchitektur für die nationalen Wallets gelten. Im Rahmen dieser Programme entstanden die Spezifikationen — das Architecture and Reference Framework (ARF), das PID Rulebook und das EUDI Wallet Rulebook —, die nun den Bauplan vorgeben.
Was vergeben wurde#
Die EUDI-Wallet bündelt nach Art. 5a(4) eIDAS 2.0 Person Identification Data und Electronic Attestations of Attributes: Personalausweis-Identität, Führerschein, Gesundheitskarte, Bildungsabschlüsse, Sozialversicherungsdaten. Die Wallet ist nicht eine App unter vielen — sie wird das technische Substrat, mit dem der Bürger sich gegenüber Behörden, Banken und privaten Anbietern ausweist.
Der MoU umfasst nach Biometric Update vier Säulen: die EUDI-Wallet selbst, die nationale PID-Infrastruktur, die Integration in bestehende Identitätsflüsse und laufende Entwicklungsunterstützung. Vertragslaufzeit: fünf Jahre. Der MoU-Text ist nicht öffentlich; ein rumänisches Vergabeverfahren ist in öffentlichen Quellen nicht dokumentiert.
Der Rechtsrahmen erlaubt das#
eIDAS 2.0 sieht in Art. 5a(2) drei Modelle für die Bereitstellung einer nationalen Wallet vor:
| Modell | Träger |
|---|---|
| (a) | direkt durch den Mitgliedstaat |
| (b) | im Auftrag des Mitgliedstaats |
| (c) | unabhängig, aber vom Mitgliedstaat anerkannt |
Die rumänische Konstruktion lässt sich aus den verfügbaren Quellen Modell (b) zuordnen: Biometric Update beschreibt sie als “the Romanian state will retain ownership and administration of the ecosystem, while Belgian-incorporated Mastercard Europe SA will be limited to serving as a technical service provider”. Eigentümer bleibt der Staat, Betreiber wird der Konzern. Die drei Modelle stehen im Verordnungstext gleichberechtigt nebeneinander; Modus (c) — “unabhängig, vom Staat anerkannt” — bleibt eine offene Option für andere Mitgliedstaaten.
Cui Bono#
| Akteur | Position vorher | Nutzen jetzt |
|---|---|---|
| Mastercard Europe | Berater NOBID, Partner WE BUILD — Mitwirkung an den LSP-Spezifikationen | Auftrag zum Bau eines nationalen Systems nach diesen Spezifikationen; Verknüpfung von Zahlungs- und Identitätsdaten; Präzedenzfall für weitere Mitgliedstaaten |
| EU-Kommission | Verordnungsgeberin, hat private Trägerschaft in Art. 5a(2) offengelassen | Termingerechte Umsetzung in Rumänien; Validierung des LSP-Modells; Industrieller Anschluss an US-Player |
| Rumänische Regierung | EU-Frist Dezember 2026, knappe Zeit | Konformität, externe technische Kapazität, bestehende Mastercard-Infrastruktur im Land |
| Bürger | — | Bekommt eine Wallet, deren Betreiber gleichzeitig sein Zahlungsdienstleister ist |
Die Tabelle wertet nicht. Sie strukturiert. Wer die Architektur mit ausarbeitet und dann die Ausführung übernimmt, hat zweimal verdient.
Der parallele Vorgang in Brüssel#
Während Rumänien den Auftrag vergibt, arbeitet die EU-Kommission an den Durchführungsrechtsakten, die festlegen, welche technischen Schutzmechanismen die Wallets enthalten müssen.
Im Zentrum stehen die sogenannten Registrierungszertifikate. Sie sind das Werkzeug, das verhindern soll, dass eine Wallet-Abfrage über den registrierten Zweck hinausgeht: Wer als Hotel den Ausweis prüft, soll nicht zugleich den Führerschein und die Gesundheitskarte abfragen können. Der Verordnungstext sieht das vor; der Durchführungsrechtsakt entscheidet, ob es verpflichtend oder optional ist.
Die digitale Bürgerrechtsorganisation epicenter.works dokumentiert im März 2026 fünf zentrale Probleme der aktuellen Entwürfe — getragen von einem zeitgleich veröffentlichten offenen Brief mehrerer Digital-Rights- und Verbraucherschutzorganisationen. Zwei davon stehen direkt im Zusammenhang mit der Rumänien-Vergabe:
- “Loopholes for registration certificates allow over-asking” — die technische Beschränkung der Wallet-Abfragen wird durch Schlupflöcher entwertet.
- “Mandatory biometric facial images in the minimum data set” — biometrische Gesichtsbilder sollen verpflichtender Bestandteil jeder Wallet werden.
Epicenter.works fasst die Beobachtung aus vier Jahren Verfolgung des Dossiers in einem Satz zusammen: “the Commission has no qualms about reversing protections it just agreed to introduce.” Das ist keine Spekulation über eine Absicht. Es ist eine Beobachtung über eine Sequenz: Die technischen Beschränkungen, die das Modell “private Wallet-Betreiber” handhabbar machen würden, werden in dem Moment entschärft, in dem die ersten Verträge laufen.
Der Elefant im Raum#
Mastercard verwaltet bereits die Zahlungstransaktionen großer Teile der EU-Bevölkerung. Mit der EUDI-Wallet kommen Person Identification Data und attestierte Attribute hinzu. Im selben System. Bei demselben Konzern.
Welche Datentransfers Mastercard Europe S.A. (Belgien) an Mastercard Inc. (USA) vornimmt oder nicht — der MoU-Text liegt nicht öffentlich vor. Die eIDAS-Verordnung schreibt Open Source für die Wallet-Software vor (Art. 5a(3)), nicht für die dahinterliegenden Betriebsprozesse, nicht für die Logging-Infrastruktur, nicht für die Datenflüsse zwischen Konzerntochter und Mutter.
Die Debatte über das Verhältnis von EU-Bürgerdaten und US-Konzernen ist nicht neu. Schrems I, Schrems II, der Privacy Shield, der EU-US Data Privacy Framework — sie alle drehen sich um die Frage, ob personenbezogene Daten unter US-Zugriffsbefugnis (FISA 702, EO 12333) europäischen Schutzstandard genießen können. Diese Frage wurde im Bereich Cloud-Hosting jahrelang verhandelt. Sie taucht in der EUDI-Berichterstattung über Rumänien nicht auf.
Was das Modell absichert — und was nicht#
Verteidigen lässt sich die Konstruktion mit drei strukturellen Argumenten: Die Open-Source-Pflicht aus Art. 5a(3) schafft technische Inspizierbarkeit. Die Zertifizierungspflicht durch akkreditierte Konformitätsbewertungsstellen aus Art. 5c bedeutet, dass die Wallet nicht im rechtsfreien Raum betrieben wird. Selektive Offenbarung — die Wallet gibt nur das Attribut frei, das angefragt wird — ist nach Art. 5a(4) technisch erzwungen.
Diese Argumente stimmen. Sie greifen am Endgerät. Sie greifen nicht für die Auswahl des Betreibers, nicht für die Datenflüsse in der Betriebsinfrastruktur, nicht für die Frage, wer als Mitwirkender an den Spezifikationen anschließend in den Auftragnehmer-Pool kommt.
Wer den Tisch baut, an dem verhandelt wird, sitzt nicht zufällig daran.
Einschränkung#
Der Ökonom Norbert Häring hat am 17. Mai 2026 die These vertreten, die Mastercard-Vergabe stehe in Zusammenhang mit dem Digitalen Euro. Diese Verknüpfung lässt sich in den Primärquellen (EUR-Lex, Biometric Update, Agerpres, EU-Kommission) nicht belegen — Häring verweist ausschließlich auf transition-news.org. Die hier dargestellte Strukturanalyse kommt ohne diese These aus.
Ebenfalls offen: ob die Mastercard-Vergabe Präzedenzcharakter für andere Mitgliedstaaten hat. Belgien, Tschechien und Italien haben eigene Wallet-Strategien gestartet, ohne dass derzeit ein vergleichbarer Privatträger-Vertrag dokumentiert wäre.
Die Zuordnung zu Modell (b) stützt sich auf die Darstellung in Biometric Update; eine rumänische Primärquelle mit dem vollständigen MoU-Text liegt nicht vor. Sollte sich aus dem MoU-Text eine andere rechtliche Konstruktion ergeben, wäre die Modell-Zuordnung anzupassen — die strukturellen Befunde (privater Betreiber, US-Konzern, Daten-Bündelung, parallel entschärfte Durchführungsrechtsakte) bleiben davon unberührt.
Befund#
Mastercard hat in den EU-Pilotprogrammen mitgewirkt, in denen die Architektur für die nationalen EUDI-Wallets ausgearbeitet wurde. Mastercard baut nun die erste nationale EUDI-Wallet eines Mitgliedstaats. Die EU-Kommission entschärft parallel die Durchführungsrechtsakte, die das Wallet-Modell auf Datensparsamkeit festlegen würden.
Drei Vorgänge, drei Quellen, ein Bild. Die staatliche digitale Identität wird zur Plattform — die Frage, wer sie betreibt und unter welcher Rechtsordnung er steht, wird vom Verordnungstext offengelassen und vom ersten Vergabevorgang beantwortet.
Das ist nicht das Ergebnis einer Verschwörung. Es ist das Ergebnis einer Sequenz, in der jeder Schritt für sich legal war und das Gesamtbild trotzdem nicht zufällig aussieht.
