In zahlreichen Fällen des praktischen Lebens kommt es vor, dass Ausweisdokumente – an vorderster Front natürlich der Personalausweis, dicht gefolgt von dem Reisepass oder Führerschein – aus Nachweisgründen vorgezeigt werden müssen. Doch häufig werden diese darüber hinaus auch kopiert/gescannt und gespeichert/aufbewahrt. Nicht selten wird der Ausweis dafür mit in ein „Hinterzimmer“ genommen und ist aus unserem Blickfeld verschwunden. Und wer hat nicht bereits seinen Ausweis als Pfand hinterlegt oder auf einen Stapel an der Rezeption des Hotels zu Gunsten eines schnelleren Check-Ins gelegt? Gleichzeitig ist der Umgang mit Ausweisdokumenten seit Jahrzehnten ein häufiger Gegenstand von Beschwerden bei den Aufsichtsbehörden und Gerichten.
WO LIEGT DAS PROBLEM?
Zunächst einmal befinden sich auf einem Ausweis viele Informationen zu der betreffenden Person, welche in den meisten Fällen für den Zweck der Identitätsfeststellung nicht benötigt werden. Darüber hinaus können Kopien durch Identitätsbetrüger genutzt werden. Entsprechend wurde in der Vergangenheit (bis Anfang 2011) von Aufsichtsbehörden, BMI und Rechtsprechung davon ausgegangen, dass das Kopieren und Scannen von Personalausweisen grundsätzlich verboten sei. Dies wurde insbesondere auch auf die damaligen Regeln des Personalausweisgesetzes (PAuswG) gestützt. Ausnahmen sollten nur im Rahmen ausdrücklicher gesetzlicher Erlaubnistatbestände gelten. Die herrschende Meinung hat sich aber zwischenzeitlich dahingehend verändert, dass eine Kopie unter Berücksichtigung des neuen § 20 PAuswG sowie unter Einhaltung strenger datenschutzrechtlicher Vorschriften zulässig sei. Entsprechende Vorschriften finden sich auch im § 18 Passgesetz (PassG) z.B. in Bezug auf Reisepässe.
Zweck der Erstellung einer Kopie in der Praxis soll regelmäßig der Nachweis der Identitätsfeststellung sein. Eine Verwendung der Kopie über die Identifizierung hinaus ist jedoch unzulässig. Entsprechend ist eine Kopie unverzüglich zu löschen, sobald diese nicht mehr erforderlich ist („Speicherbegrenzung“). Dies ist grundsätzlich nach Feststellung der erforderlichen Angaben der Fall, insoweit keine spezialgesetzlichen Aufbewahrungsfristen bestehen. Für spätere Nachweiszwecke reicht in der Regel ein entsprechender Vermerk der Kontrolle sowie gegebenenfalls die Notiz der entsprechenden Daten des Ausweises.
Die Erstellung der Kopie muss im konkreten Fall erforderlich sein. Das heißt, es bedarf immer der Prüfung im Einzelfall, ob es mildere Mittel gibt, welche ebenfalls zum Erreichen des Zwecks geeignet wären. Davon ausgehend bedarf es in vielen Fällen des Alltags eigentlich keiner Kopie, sondern es wäre ausreichend, die Prüfung des Ausweises mittels eines Vermerks zu notieren. Ist eine Kopie hingegen erforderlich, muss diese jederzeit als solche erkennbar sein. Nicht erforderliche Daten sind – entsprechend dem Grundsatz der Datenminimierung – zu schwärzen. (z.B. Zugangs- und Seriennummer, Prüfziffer, Augenfarbe- und Körpergröße, Foto). Der Betroffene kann dies grundsätzlich im Vorfeld der Übermittlung der Kopie bereits tun. Die Betroffenen sollten im Rahmen der Informationspflichten auf diese Möglichkeit hingewiesen werden. Gleichzeitig sollten die erforderlichen Angaben durch die erhebende Stelle benannt werden. Gemäß § 20 PAuswG darf eine Kopie nur mit Zustimmung des Ausweisinhabers erfolgen und eine Übermittlung an Dritte ist nur durch diesen selbst zulässig.
Darüber hinaus gibt es Fälle, in denen bereits gesetzlich eine Kopie geboten ist. Im vorliegenden sollen einige praxisrelevante Fälle – ohne Anspruch auf Vollständigkeit – dargestellt werden. Bereichsspezifische Regelungen finden sich darüber hinaus z.B. im Telekommunikationsgesetz (TKG) für Diensteanbieter.
FALLBEISPIEL 1: DATENSCHUTZRECHTLICHES AUSKUNFTSERSUCHEN
Will ein Betroffener von seinem Auskunftsanspruch nach Art. 15 DS-GVO Gebrauch machen, muss der Verantwortliche sicherstellen, dass es sich bei dem Anfragenden tatsächlich um die betroffene Person handelt und keine Daten an einen unbefugten Dritten herausgegeben werden. Bei Zweifeln kann die Anforderung einer Ausweiskopie gerechtfertigt sein. Diese ist nach der Prüfung und einem entsprechenden Vermerk zu vernichten.
FALLBEISPIEL 2: VERTRAGSPARTNER
Außerhalb von „Massengeschäften“ kann es im Einzelfall erforderlich sein, die Identität des Vertragspartners mittels Ausweisdokument sicherzustellen (z.B. Mietvertrag, Reklamation). Eine Kopie ist hier jedoch in der Regel nicht zulässig, vielmehr reicht es aus, die erforderlichen Daten zu notieren. Bei der Verleihung eines Gegenstandes sind dies beispielsweise der vollständige Name und die Adresse, sowie gegebenenfalls die Gültigkeitsdauer des Dokuments bei Darlegung der Erforderlichkeit. Hinsichtlich der Einholung von Selbstauskünften bei Mietinteressen berücksichtigen Sie bitte auch die entsprechende Orientierungshilfe der Datenschutzkonferenz.
FALLBEISPIEL 3: GELDWÄSCHEGESETZ
Ein praktischer Anwendungsfall ist das POST-IDENT-Verfahren der Deutschen Post AG, welches z.B. häufig im Rahmen von digitalen Kontoeröffnungen genutzt wird. Doch neben Banken gehören z.B. auch Treuhänder, Immobilienmakler, Wirtschaftsprüfer und Steuerberater zu dem umfangreichen Katalog der „Verpflichteten“ gemäß § 2 Abs. 1 Geldwäschegesetz (GwG). Diese müssen für die Begründung einer Geschäftsbeziehung ihren Vertragspartner durch Erfassung umfangreicher Daten identifizieren. Gemäß § 8 Abs. 2 Satz 2 GwG kann diese Aufzeichnungspflicht auch durch eine Vorlage des Ausweises erfolgen. Dabei haben die Verpflichteten das Recht und die Pflicht, eine vollständige Kopie des Ausweises anzufertigen oder diesen vollständig optisch digitalisiert zu erfassen. Die Aufbewahrungsfrist ergibt sich aus § 8 Abs. 4 GwG und beträgt in der Regel zwischen 5 und 10 Jahren.
FALLBEISPIEL 4: FUHRPARK
Arbeitgeber müssen sicherstellen, dass die Autos nur an zuverlässige Fahrer herausgegeben werden. Dies ergibt sich aus der Halterhaftung nach § 21 Straßenverkehrsordnung (StVO). Hierfür ist regelmäßig (in der Regel mindestens zweimal jährlich) der Führerschein zu kontrollieren. Bei der Ersterfassung können die erforderlichen Daten erfasst werden. Dies kann – abhängig vom Einzelfall – folgende Daten umfassen: Name und Anschrift des Fahrers, Führerscheinnummer, Fahrzeugklassen, Ausstellungsdatum, -ort und Ausstellungsbehörde, Beschränkungen, Gültigkeit des Führerscheins, Datum der Erstkontrolle und Unterschrift. Bei späteren Kontrollen genügt der Vermerk, dass ein gültiger Führerschein vorgezeigt wurde sowie gegebenenfalls eine Notiz der von der Ersterfassung zwischenzeitlich abweichenden Daten. Eine Kopie des Ausweises dürfte hingegen seitens der Aufsichtsbehörden als nicht erforderlich und unzulässig bewertet werden, auch wenn dies von entsprechenden Diensteanbietern häufig anders suggeriert wird.
FALLBEISPIEL 5: GÄSTEHÄUSER
Bei der Beherbergung von Personen, z.B. im Rahmen von eigenen Gästehäusern oder Wohnheimen großer Einrichtungen, sind die Anforderungen des Bundesmeldegesetzes (BMG) zu berücksichtigen. Die gemäß § 29 Abs. 2 BMG erforderlichen Angaben müssen in einem Meldeschein dokumentiert werden. Es besteht jedoch keine Prüfpflicht durch Vorlage von Ausweisdokumenten und erst recht keine Rechtsgrundlage zur Anfertigung einer Kopie. Etwas anderes gilt für ausländische Personen. Diese müssen gemäß § 29 Abs. 3 BMG ein gültiges Identitätsdokument (Pass oder Passersatz) vorzeigen. Eine Kopie ist hingegen nicht zulässig.
Hinweis: Weitere Fallbeispiele können Sie der Broschüre des Landesbeauftragten für Datenschutz und Informationsfreiheit von Nordrhein-Westfalen von Juli 2019 entnehmen.
ACHTUNG BEIM SCANNEN UND BEI DER ANNAHME ALS PFAND
Eine automatisierte Speicherung der Kopie wie dies beim Scannen der Fall ist, birgt weitere Risiken, da die Möglichkeiten der Weiterverarbeitung noch erhöht sind. Hier ist in der Regel von einer Unzulässigkeit nach § 20 PAuswG auszugehen (vgl. VG Hannover, Urt. v. 28. November 2013, Az. 10 A 5342/11). Dies gilt grundsätzlich auch, wenn das Einscannen durch den Inhaber des Ausweises selbst erfolgt. Eine Alternative ist der „Elektronische Identitätsnachweis“ nach § 18 PAuswG. Hierfür wird ein entsprechendes Zertifikat nach § 21 PAuswG benötigt. Die Vergabe erfolgt durch das Bundesverwaltungsamt. Hier wird bereits technisch sichergestellt, dass grundsätzlich nur erforderliche Daten übermittelt werden und ist insoweit – auch im Vergleich zur Ausweiskopie – zu bevorzugen.
Auch die Annahme des Personalausweises als Pfand ist unzulässig. Gemäß § 1 Abs. 1 PAuswG besteht ein sog. „Hinterlegungsverbot“.
Über den Autor: Das DID Dresdner Institut für Datenschutz unterstützt Unternehmen und Behörden bei allen Fragen rund um die Themen Datenschutz und Informationssicherheit. Regelmäßig erscheinen an dieser Stelle Beiträge zu praxisrelevanten Themen und Entwicklungen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie das DID Dresdner Institut für Datenschutz gern per E-Mail kontaktieren.
