Der sächsische Datenschutzbeauftragte musste sich im vergangen Berichtszeitraum mit zwei weniger alltäglichen Fällen auseinandersetzen, in denen Kopien von Personalausweisen gefertigt wurden.
Fall 1 -(8. TB NOB., Ziffer 8.5.3).
In einem Einkaufszentrum kam es zu Schmierereien mit einem Edding-Stift. Nachdem, verkürzt dargestellt, sich der Urheber dem Haussicherheitsdienst stellte, sollte der Sachverhalt an die Polizei übergeben werden. Hierzu wurden die Personalausweise des vermeintlichen Täters und dessen Freunden mittels Handy abfotografiert.
Dieses Vorgehen ist (natürlich) unzulässig. Anstelle des Fotos, das in diesem Fall einer Kopie gleichkommt, die auch eine Vielzahl nicht benötigter Daten umfasst, hätten die erforderlichen Angaben auch schriftlich festgehalten werden können.
Fall 2 – (8. TB NOB., Ziffer 8.5.7).
Beim Handel mit Edelmetallen forderte das agierende Unternehmen Personalausweiskopien von Kunden an, erstellte diese zum Teil selbst und hob diese für einen unbestimmten Zeitraum auf. Hintergrund sei, dass kein Ankauf von Edelmetallen ohne Identifizierung des Kunden erfolgen dürfe.
Auch diese Prozedur ist grundsätzlich unzulässig. Zwar ist der Personalausweis ein taugliches Identifikationsmittel. Besteht ein direkter Kundenkontakt ist es jedoch ausreichend, die zur Identifikation erforderlichen Angaben (Name, Vorname, Anschrift, ggf. Geburtsdatum) zu dokumentieren und einen Bezug zum Personalausweis (z. B. „Personalausweis hat vorgelegen“) mit zu erfassen.
Erfolgt der Kundenkontakt nicht direkt, sondern beispielsweise auf postalischem Weg, kann eine Ausweiskopie nach Ansicht des sächsischen Datenschutzbeauftragten unter bestimmten Voraussetzungen legitim sein. Nach § 20 Abs. 2 PAuswG dürfe ein Ausweis außer in den Fällen des elektronischen Identitätsnachweises weder zum automatisierten Abruf noch zur automatisierten Speicherung personenbezogener Daten verwendet werden. Daraus folge, so auch das VG Hannover (Urteil vom 28. 11.2013, AZ: 10 A 5342/11), dass Ausweise weder durch Dritte noch durch den Ausweisinhaber selbst gescannt und anschließend elektronisch übermittelt werden dürfen. Eine Papierkopie sei daher zulässig, wenn,
- die Kopien als solche erkennbar ist,
- nicht zur Identifizierung benötigte Daten, insbesondere die aufgedruckte Zugangs- und Seriennummer, durch den Ausweisinhaber geschwärzt werde bzw. der Ausweisinhaber zumindest auf sein Recht am Schwärzen hingewiesen wird und
- der Händler die Kopie unverzüglich vernichtet, wenn er die Identitätsprüfung abgeschlossen hat.
Unabhängig vom direkten oder indirekten Kundenkontakt ist eine Ausweiskopie zulässig, wenn Geschäfte mit einem Transaktionsvolumen von mehr als 14.999,99 € abgeschlossen werden. In diesen Fällen schreibt § 3 Abs. 1 Nr. 1 GwG eine Identifizierung des Vertragspartners vor. Zudem muss sich der Händler mittels eines gültigen amtlichen Lichtbildausweises von der Richtigkeit der Identifizierungsdaten vergewissern (§ 4 Abs. 4 Satz 1 Nr. 1 GwG). Über diesen Vorgang hat er entsprechende Aufzeichnungen zu fertigen. Nach Auffassung des sächsischen Datenschutzbeauftragten ist dies auch durch Erstellung und Aufbewahrung einer Ausweiskopie möglich (§ 8 Abs. 1 Satz 3 GwG).
Update 20.04.2018:
Waren Ausweiskopien/Ablichtungen in Deutschland lange Zeit datenschutzrechtlich umstritten, sind sie seit Juli 2017 unter zwei Bedingungen zulässig (§ 20 Abs.2 Personalausweisgesetz):
- Nur der Ausweisinhaber oder eine andere Person mit der Zustimmung des Ausweisinhabers darf die Kopie erstellen.
- Die Kopie muss eindeutig und dauerhaft als solche erkennbar sein.
Zu beachten ist, dass nur der Ausweisinhaber die Kopie an Dritte weitergeben darf und jede Verarbeitung von personenbezogenen Daten aus dem Ausweis der Einwilligung des Ausweisinhabers bedarf. Analog verhält es sich mit Passkopien (§ 18 Abs. 3 Passgesetz).