Die Unsicherheit der Unternehmen darüber wann der Personalausweis kopieren werden darf ist groß. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) hat eine Empfehlung zum Umgang mit dem Personalausweis mit Fallbeispielen aus der Praxis herausgegeben. Im Folgenden werden einige wichtige Punkte zusammengefasst.
Die Grundsätze der Datenminimierung und Speicherbegrenzung in der DSGVO
Beim Erheben oder Speichern der personenbezogenen Daten aus einem Personalausweis, sind immer die Grundsätze für die Verarbeitung personenbezogener Daten zu beachten (Art. 5 DSGVO). Dabei sind die Grundsätze der Datenminimierung und Speicherbegrenzung von einer besonderen Bedeutung.
Der Grundsatz der Datenminimierung besagt, dass personenbezogene Daten dem Zweck angemessen und erheblich, sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen.
Der Grundsatz der Speicherbegrenzung besagt, dass personenbezogene Daten in einer Form gespeichert werden sollen, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.
D.h. Ausweiskopien sind unverzüglich nach Feststellung der erforderlichen Angaben zu löschen oder zu vernichten. Aus spezialgesetzlichen Aufbewahrungsfristen können sich ggf. Ausnahmen hierzu ergeben.
Das Kopieren vom Personalausweis ist rechtswidrig, wenn nicht erforderlich
Häufig ist das Kopieren vom Personalausweis oder Reisepass nicht erforderlich, da das Vorzeigen des Dokuments zur Identifizierung ausreicht. Die Anfertigung und Aufhebung einer Ausweiskopie verstößt gegen den Grundsatz der Datenminimierung, da der Verarbeitungszweck sich auch ohne Kopieren und Speichern erreichen lässt. In solchen Fällen sollte demnach konsequent auf die Anfertigung einer Ausweiskopie verzichten werden.
Die LDI NRW nennt folgende aus den genannten Grundsätzen abgeleitete Anforderungen an die Erhebung und Speicherung von Ausweiskopien:
- Kopie muss erforderlich sein
Die Anfertigung einer Ausweiskopie muss im Einzelfall erforderlich sein. Wenn der Personalausweis ohne großen Aufwand vor Ort vorgezeigt bzw. eingesehen werden kann, ist das Anfertigen einer Kopie nicht erforderlich. - Zweckbindung der Identifizierung
Die Ausweiskopie darf nur zum Zwecke der Identitätsprüfung verwendet werden, eine Nutzung für andere Zwecke ist rechtswidrig. - Erkennbarkeit als Kopie
Gemäß § 20 Absatz 2 des Personalausweisgesetzes muss die Ausweiskopie zum Schutz des Rechtsverkehrs als solche erkennbar sein - Schwärzung von Angaben
Angaben, die für die Identifizierung nicht notwendig sind (z.B. Seriennummer, Größe, Augenfarbe etc.), sind zu schwärzen. - Sofortige Vernichtung
Die Ausweiskopie ist nach erfolgter Identifizierung unverzüglich zu vernichten. Eine Archivierung ist unzulässig. Sofern eine Protokollierung erforderlich ist, genügt die Speicherung eines Vermerks: „Ausweiskopie hat vorgelegen“. - Kein Scannen des Personalausweises mit anschließender Speicherung
Die LDI NRW führt in ihrer Empfehlung ausgewählte Beispiele aus der Praxis zum Kopieren von Personalausweisen auf.
Folgende Fälle werden in der Broschüre beleuchtet:
- Identitätsprüfung nach dem neuen Geldwäschegesetz
- Altmetallhändler
- Telekommunikationsanbieter
- Fahrerlaubnis
- Selbstauskunftsersuchen gegenüber Wirtschaftsauskunfteien oder anderen Unternehmen zu gespeicherten persönlichen Daten
- Abschluss eines Vertrages und Reklamation
- Check-In am Flughafen
- Vermietung von Wohnraum
- Hotelübernachtung
- Jugendschutz
- Güterkraftverkehr
- Fahrzeugzulassung
- Hinterlegung als Pfand
- Online-Identifizierung
Die Datenerhebung ist in diesen Fällen neben den Anforderungen aus dem Personalausweisgesetz auch nach den Datenschutzgesetzen zu bewerten. Dabei haben die Grundsätze der Datenminimierung und Speicherbegrenzung eine große Wichtigkeit. Daraus ergibt sich im Regelfall auch die richtige Vorgehensweise bei der Erhebung der Daten aus dem Personalausweis. Die Broschüre der LDI verschafft zudem Klarheit über gängige Fälle aus der Praxis.