- Daten-Speicherung.de – minimum data, maximum privacy - http://www.daten-speicherung.de -

Selbstauskunft: Ausweiskopie darf nicht verlangt werden [ergänzt am 28.02.2015]

Jeder hat das Recht [1] auf Auskunft über die zu seiner Person gespeicherten Daten (§ 34 BDSG [2]). Wohl um von den kostenlosen Auskunftsanfragen abzuschrecken, machen Auskunfteien Auskünfte oft von der Angabe von Daten oder der Vorlage von Dokumenten abhängig. Teilweise weisen sie ausdrücklich darauf hin, dass sie diese Angaben in ihre Datenbanken aufnehmen [3]. Um herauszufinden, was eine Auskunftei über uns weiß, sollen wir ihr also noch mehr Daten geben. Ist diese Praxis zulässig?

Ein juristisches Standardwerk sagt dazu (Simitis, § 34 BDSG [2], Randnummer 37):

Weicht bei schriftlichen Auskunftsersuchen die Adresse, an die die Auskunft gesandt werden soll, von den Angaben in der Datei ab, so sollte die verantwortliche Stelle von der anfragenden Person nähere Angaben erbitten. Bleiben Zweifel, so sollte verlangt werden, dass diese ihre Identität durch eine beglaubigte Unterschrift nachweist.

Soll eine Auskunft telefonisch erteilt werden, so ist zu Kontrollzwecken ein Rückruf bei der betroffenen Person nach vorheriger Prüfung der Telefonnummer erforderlich.

Auskunfteien können bei persönlicher Vorsprache nach § 4 Abs. 1 PAuswG grundsätzlich die Vorlage eines Personalausweises oder einer Kopie verlangen. Da zur Identifizierung aber Name, Anschrift und Geburtsdatum ausreichen, können Betroffene alle anderen Daten auf der Kopie schwärzen (LDI Nordrhein-Westfalen, Datenschutzbericht 2003 [4], 78 f.).

Fazit: Wer schriftlich Auskunft über die zu seiner Person gespeicherten Daten verlangt, muss nur seinen Namen und seine Anschrift angeben. Seine Identität oder seinen Wohnort muss man nur dann nachweisen (z.B. durch Ausweiskopie oder Meldebescheinigung), wenn die als Absender angegebenen Daten nicht mit den bei dem Unternehmen bereits gespeicherten Daten überein stimmen. Wenn keine Übereinstimmung vorliegt, kann eine Ausweiskopie oder Meldebescheinigung verlangt werden, die aber nur Name, Anschrift und Geburtsdatum ungeschwärzt erkennen lassen muss.

Wird eine Selbstauskunft zu Unrecht verweigert oder von unnötigen Angaben abhängig gemacht, kann man sich bei der Datenschutzaufsicht am Sitz des Unternehmens [5] beschweren oder bei dem Amtsgericht am Sitz des Unternehmens Klage auf Auskunfterteilung einreichen.

Siehe auch: Auskunftsrecht [6]

Ergänzung vom 12.10.2012:

Auch der Berliner Datenschutzbeauftragte schreibt [7] nun zu dieser Problematik:

Die verantwortliche Stelle hat im Rahmen des Auskunftsersuchens nach § 34 BDSG [2] die Identität des Auskunft Begehrenden zu überprüfen, um nicht Daten an einen Unbefugten gelangen zu lassen. Stimmen allerdings die vom Betroffenen angegebene Postadresse mit der gespeicherten Adresse bei der verantwortlichen Stelle überein, gibt es regelmäßig keinen Anlass zu weiteren Nachforschungen oder sogar zur Vorlage einer Kopie des Personalausweises.

Ergänzung vom 28.02.2015:

Der Landesdatenschutzbeauftragte Nordrhein-Westfalens hat nun eine Handreichung [8] zu der Frage veröffentlicht. Er vertritt darin folgende Meinung:

Häufig verlangen Unternehmen, insbesondere Auskunfteien (z. B. Creditreform Boniversum), eine Kopie Ihres Personalausweises, wenn Sie Ihren Auskunftsanspruch nach § 34 [2] Bundesdatenschutzgesetz (BDSG) geltend machen. Diese Vorschrift gibt jeder Person das Recht, von einem Unternehmen eine Auskunft darüber zu verlangen, welche personenbezogenen Daten es über sie gespeichert hat.

Allerdings dürfen die Unternehmen die Auskunft nur an die betroffene Person erteilen und nicht an unbefugte Dritte. Um zu verhindern, dass neugierige Dritte unberechtigt Informationen zu Ihren finanziellen Verhältnissen abrufen, kann es unter Umständen erforderlich sein, dass Sie dem Unternehmen Ihre Identität nachweisen müssen, bevor dieses eine Auskunft erteilen kann. Eine ausdrückliche gesetzliche Erlaubnisnorm zur Anforderung einer Kopie eines Personalausweises in diesem Fall gibt es nicht. Daher ist die Anforderung von Ausweiskopien nur ausnahmsweise im Einzelfall unter Beachtung der folgenden strengen Voraussetzungen zulässig:

• Kopie muss erforderlich sein
Die Anfertigung einer Ausweiskopie muss im Einzelfall erforderlich sein. Sie ist dann nicht erforderlich, wenn der Personalausweis ohne großen Aufwand vor Ort vorgezeigt und eingesehen werden kann.

Sofern aufgrund der Entfernung ein Vorzeigen des Ausweises am Sitz oder einer Nebenstelle des Unternehmens nicht möglich ist, kann eine Ausweiskopie in Betracht kommen. Dies gilt aber nur dann, wenn das Unternehmen vernünftige Zweifel an Ihrer Identität hat.

Eine Personalausweiskopie ist nicht erforderlich, wenn
- Sie innerhalb eines Zeitraums von vier Wochen nach einer datenschutzrechtlichen Benachrichtigung (§ 33 BDSG [9]) des Unternehmens Ihren Auskunftsanspruch geltend machen oder
- das Unternehmen keine Daten zu Ihnen gespeichert hat.

• Zweckbindung der Identifizierung
Das Unternehmen darf die Ausweiskopie nur zum Zwecke der Identitätsprüfung verwenden, eine weitergehende Nutzung ist rechtswidrig.

• Erkennbarkeit als Kopie
Die Ausweiskopie muss auch als Kopie zu erkennen sein (z. B. Aufdruck „Kopie“). Die Kopie darf nicht den Eindruck erwecken, es handele sich dabei selbst um ein Ausweisdokument.

• Schwärzung von Angaben
Grundsätzlich sind nur der Vor- und Nachname und die Anschrift zur Identifizierung erforderlich. Die übrigen Daten dürfen und sollen von Ihnen geschwärzt werden (z. B. die Zugangs- und Seriennummer, die Staatsangehörigkeit, die Größe, die Augenfarbe, das Lichtbild und die maschinenlesbare Zone). Die Angabe des Geburtsdatums und ggf. -ortes kann nur erforderlich sein, wenn trotz der vorgenannten Angaben eine Personenverwechslung möglich ist und das Unternehmen in seinem bisherigen Datenbestand überhaupt das Geburtsdatum oder den -ort als Referenzdatum gespeichert hat. Sie sind im Vorfeld auf die Schwärzungsmöglichkeit hinzuweisen. Anstelle der Schwärzung der genannten Datenfelder auf der Kopie ist auch eine Schablonenlösung denkbar. In diesem Fall wird auf den Ausweis eine Schablone gelegt, die nur die erlaubten Datenfelder sichtbar lässt und die anderen abdeckt. Mit dieser Schablone wird dann das Ausweisdokument fotokopiert.

• Sofortige Vernichtung
Das Unternehmen hat die Ausweiskopie nach erfolgter Identifizierung unverzüglich zu vernichten. Eine Archivierung ist unzulässig. Sofern eine Protokollierung erforderlich ist, genügt die Speicherung eines entsprechenden Vermerks „Ausweiskopie hat vorgelegen“.