Ob beim Verleih von Gegenständen oder beim Abschluss von Verträgen – Unternehmen kopieren sich gerne den Personalausweis oder Reisepass von Kunden – oder behalten selbige als Pfand ein. Doch in welchem Umfang und wofür sind Kopien, Scans oder Fotos von Personaldokumenten überhaupt erlaubt? Wann darf ein Personalausweis als Pfand einbehalten werden? Wie ist mit den personenbezogenen Daten auf den Dokumenten umzugehen?q
Blick zurück: Das totale Verbot von Kopien und Pfand
Obwohl es der Gesetzgeber bereits mit Inkrafttreten des neuen Personalausweisgesetzes im Mai 2010 verboten hatte, einen Personalausweis zu kopieren oder als Pfand einzubehalten, war dies in der Praxis weiterhin weit verbreitet. Auch auf Konsumentenseite machte man sich oftmals wenig Gedanken, wenn etwa ein Onlinehändler zur Vertragsvorbereitung die Zusendung einer Ausweiskopie verlangte oder im Fitnessstudio der Personalausweis als Schlüsselpfand hinterlegt werden sollte.
Dabei war beides angesichts des im Personalausweisgesetz (PAuswG) generell geregelten Verbots von Ausweiskopien unzulässig. Die Anfertigung von Ausweiskopien war nur aufgrund ausdrücklicher Erlaubnis oder Verlangen eines Gesetzes zulässig.
Neuregelung seit 2017: Erlaubnis bei Einwilligung
Am 15. Juli 2017 wurden § 20 des Personalausweisgesetzes und § 18 des Passgesetzes geändert. Dies erfolgte im Zuge der Förderung des elektronischen Identitätsnachweises. Für Personalausweise und Reispässe gilt nun:
- Ausweise dürfen nur vom Ausweisinhaber selbst oder von anderen Personen nach Zustimmung des Ausweisinhabers abgelichtet werden.
- Die Ablichtung muss eindeutig und dauerhaft als Kopie erkennbar sein.
- Ausweisdaten, die nicht zur Identifizierung benötigt werden, können und sollten auf der Kopie vom Ausweisinhaber geschwärzt werden. Das gilt insbesondere für die auf dem Ausweis aufgedruckte Zugangsnummer sowie die Seriennummer, sofern nicht gesetzliche Regelungen diese Angaben erfordern, wie z. B. das Geldwäschegesetz.
- Der Ausweisinhaber ist auf die Möglichkeit und Notwendigkeit der Schwärzung hinzuweisen.
- Andere Personen als der Ausweisinhaber dürfen die Kopie nicht an Dritte weitergeben.
Im Rahmen der Gesetzesänderung wurde nunmehr auch geklärt, was unter dem Begriff des „Ablichtens“ eigentlich zu verstehen ist. Danach werden alle Handlungsformen – Fotokopieren, Fotografieren und Einscannen – unter dem Begriff des Ablichtens zusammengefasst, das Ergebnis wird als Ablichtung bezeichnet.
Grundsätzlich dienen Ausweise (Personalausweis und Reisepass) ausschließlich der Identifikation. Sofern das Ausweisdokument im Original vorgelegt wird und die Identifizierung erfolgte, genügt oftmals die Anfertigung eines entsprechenden Vermerks, dass ein gültiges Ausweisdokument zwecks Identifikation vorgelegt wurde. Eine zusätzliche Kopie des Ausweises wäre in diesen Fällen nicht unbedingt erforderlich.
Darüber hinaus kann der Inhaber des Ausweises selbst entscheiden, ob er sein Ausweisdokument als Pfand hinterlegen mag. Insbesondere beim neuen Personalausweis ist größere Vorsicht des Ausweisinhabers nachvollziehbar, denn das Dokument besitzt eine kontaktlose Schnittstelle, die zur Authentisierung und Signatur genutzt werden kann.
Zusätzliche Datenschutzregeln bei Datenverarbeitung von Ausweisen
Mit der neuen Regelung wird zwischen der Ablichtung des Ausweises und der Erhebung und Verarbeitung der auf dem Ausweis vorhandenen personenbezogenen Daten getrennt. Die mit der Ablichtung erhobenen personenbezogene Daten aus dem Personalausweis dürfen nur mit gesonderter Einwilligung des Ausweisinhabers weiterverarbeitet werden (Art. 6 Abs. 1 lit. a) Datenschutz-Grundverordnung). Die Vorschriften des allgemeinen Datenschutzrechts über die Erhebung und Verwendung personenbezogener Daten bleiben unberührt.
Achtung: Die bloße Zustimmung zur Ablichtung allein erlaubt also noch nicht die weitere Verarbeitung der Daten. Um die datenschutzrechtliche Einwilligung des Ausweisinhabers wirksam einzuholen, ist der Ausweisinhaber insbesondere nach Art. 13 DSGVO ausreichend über die Datenerhebung und -verarbeitung zu informieren.
Zu beachten ist zudem der Grundsatz der Datenvermeidung und Datensparsamkeit nach Art. 5 Abs. 1 lit. c) DSGVO, wonach nur die Daten entnommen werden dürfen, die auch für den Zweck der Identifikation notwendig sind. Wer die Ablichtung und die darin enthaltenen Daten nur teilweise weitergeben möchte, sollte die Angaben, die er nicht preisgeben möchte, unkenntlich machen z. B. durch Schwärzung.
Weitere Regelungen zur Verarbeitung von Ausweisdaten
Die Erhebung und Verwendung personenbezogener Daten aus dem Ausweis oder mithilfe des Ausweises darf zur Identitätsfeststellung durch berechtigte Behörden nach Maßgabe der §§ 15 bis 17 PAuswG oder durch öffentliche Stellen und nichtöffentliche Stellen nach Maßgabe der §§ 18 bis 20 PAuswG.
Neben den Regelungen des Personalausweis- und des Passgesetzes erlauben Spezialgesetze das Kopieren und/oder Scannen von Ausweisdokumenten. Rechtsgrundlagen finden sich unter anderem für Finanz- oder Versicherungsunternehmen bei der Bekämpfung der Geldwäsche nach § 8 Abs. 2 GwG oder für Telekommunikationsanbieter beim Abschluss eines Mobilfunkvertrages nach § 95 Abs. 4 TKG .
Hierbei sind stets die besonderen spezialgesetzlichen Anforderungen zu beachten: Danach besteht für z.B. für Banken nach § 8 Abs. 1 S. 3 Geldwäschegesetz eine Aufzeichnungs- und Aufbewahrungspflicht. Ein Telekommunikationsanbieter darf gemäß § 95 Abs. 4 S. 2 TKG im Zusammenhang mit einem Vertragsabschluss ebenfalls eine Ausweiskopie erstellen. Das Gesetz sieht aber ebenfalls vor, dass diese Kopie zu vernichten ist, sobald die erforderlichen Daten festgestellt worden sind.
Ausweiskopie zwecks Identifizierung bei Betroffenenanfrage
Laut Bayerischem Landesamt für Datenschutzaufsicht (BayLDA) soll von Verantwortlichen bei Anfragen von Betroffenen auf Ausweiskopien auch verzichtet werden, wenn z.B. ein Auskunftsverlangen in unmittelbarem zeitlichen Zusammenhang (bis zu vier Wochen) mit einer Benachrichtigung steht. Gleiches gilt für reine Negativauskünfte.
Legalisierung rechtswidrig gefertigter Kopien?
Sofern Kopien von Ausweisen vor der Neureglung des § 20 des Personalausweisgesetzes und § 18 des Passgesetzes rechtswidrig angefertigt wurden, tritt durch die Gesetzesänderung keine Legalisierung ein. Sollten rechtswidrig erhobene Ausweisablichtungen aus dieser Zeit noch gespeichert sein, ist zu überprüfen, ob diese rechtmäßig erstellt wurden. Im Zweifel sind diese Dateien bzw. Kopien zu löschen bzw. zu vernichten.
Fazit: Ausweiskopien sind nicht verboten, aber es gibt bessere Alternativen
Mit Ausnahme der zur Identitätsfeststellung berechtigten Behörden darf niemand die Aushändigung von Ausweisdokumenten verlangen. Auch Ablichtungen dürfen nur mit der Einwilligung des Ausweisinhabers geschehen (es gelten wiederum wenige Ausnahmen). Die weitere Erhebung und Verarbeitung von Ausweisdaten bedarf einer gesonderten DSGVO-konformen Einwilligung.
Mit anderen Worten: Sofern keine gesetzlichen Vorgaben Sie dazu zwingen, sollten Sie auf die Ablichtung von Personaldokumenten verzichten und auf weniger invasive Datenerhebungen zurückgreifen.
Dieser aktualisierte Artikel wurde zuerst am 14. Februar 2012 veröffentlicht.
In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.