Von der Öffentlichkeit kaum bemerkt scannt die Deutsche Post AG seit einigen Monaten die im Zuge des PostIdent-Verfahrens vorgelegten Ausweise und speichert sie elektronisch. Ich habe bei der nordrhein-westfälischen Landesdatenschutzbeauftragten am 15. September Beschwerde gegen diese Praxis eingelegt:
Sehr geehrte Damen und Herren,
hiermit möchte ich mich darüber beschweren, dass die Deutsche Post AG im Rahmen des „PostIdent durch Postfiliale“-Verfahrens den vorgelegten Ausweis abfotografiert (mithilfe eines Scanners), obwohl ich anwesend war. Dies ist mir in zwei Filialen in Kiel passiert; es ging um nach dem Geldwäschegesetz vorgeschriebene Identifizierungen. Ich habe in das Abfotografieren nicht eingewilligt, ich wurde darüber auch nur in einem Fall und nur zufällig durch eine Bemerkung informiert.
Unter https://www.deutschepost.de/de/p/postident/sicherheit.html [1] heißt es dazu: „Ab November 2015 Bereitstellung der gescannten Kopie des Ausweisdokumentes“. Dies lässt eine Weitergabe der erhobenen Kopie befürchten. Nach einem weiteren Bericht [2] setzt die Weitergabe eine gesonderte Vereinbarung mit dem Kunden voraus; jedoch wird auch ohne eine solche Vereinbarung gescannt und mindestens zwei Tage lang elektronisch gespeichert.
Die Datenerhebung verstößt in jedem Fall gegen Datenschutzrecht, weil sie nicht erforderlich ist. Zur Feststellung der Identität einer anwesenden Person genügt die Einsichtnahme in den Ausweis und das Abschreiben der Daten (VG Hannover, 28.11.2013 – 10 A 5342/11 [3]).
Die Datenerhebung verstößt daneben auch gegen die §§ 14, 20 PAuswG (Gesetzesbegründung: „Weitere Verfahren z.B. über die optoelektronische Erfassung (’scannen‘) von Ausweisdaten oder dem maschinenlesbaren Bereich sollen ausdrücklich ausgeschlossen werden.“ Vgl. auch VG Hannover, 28.11.2013 – 10 A 5342/11 [3]). Durch den Scan wird der Ausweis automatisiert gespeichert.
Was das GwG angeht, rechtfertigt dies die Praxis nicht: Zum Einen wird der Scan nicht von demjenigen angefertigt und gespeichert, den die Identifizierungspflicht trifft. Zum anderen scannt die Post mehr Daten als nach dem GwG überhaupt zu erheben sind. Schließlich gilt eine Ausweiskopie zwar nach § 8 GwG [4] als Datenerhebung, jedoch ist es nicht erforderlich, sowohl die Daten zu erheben als auch eine Kopie anzufertigen. Vielmehr genügt eine Aufzeichnung der Daten durch Niederschrift (vgl. Herzog, Geldwäschegesetz § 8, Rn. 11). Das VG Hannover weist im Übrigen zurecht darauf hin, dass das Scannen und automatisierte Speichern mit der Möglichkeit der Weiterverarbeitung eine „andere rechtliche Qualität aufweist“ als die im GwG zugelassene Fotokopie.
Bitte unterbinden Sie daher das Einscannen von Ausweisdokumenten im Rahmen des PostIdent durch Postfiliale-Verfahrens in Filialen der Deutschen Post AG.
Ich wende mich an Sie, nachdem sich die Bundesdatenschutzbeauftragte für unzuständig erklärt hat.
Mit freundlichem Gruß
Auch die Verbraucherzentrale hat sich des Problems angenommen. Ihr gegenüber hat die Post nun eine Stellungnahme [5] abgegeben, in der sie ihre Praxis unter Berufung auf das Geldwäschegesetz verteidigt. Aus meiner Erwiderung:
Aus meiner Sicht entkräftet die Antwort nicht meine rechtliche Argumentation zur Unzulässigkeit der Datenerhebung:
- Die Datenerhebung verstößt gegen das Erforderlichkeitsgebot und Datenminimierungsgebot im Datenschutzrecht, weil sie nicht erforderlich ist. Zur Feststellung der Identität einer anwesenden Person genügt die Einsichtnahme in den Ausweis und das Abschreiben der Daten (VG Hannover, 28.11.2013 – 10 A 5342/11 [3]).
- Die Datenerhebung verstößt daneben auch gegen die §§ 14, 20 PAuswG (Gesetzesbegründung: „Weitere Verfahren z.B. über die optoelektronische Erfassung (’scannen‘) von Ausweisdaten oder dem maschinenlesbaren Bereich sollen ausdrücklich ausgeschlossen werden.“)
- Das Geldwäschegesetz ist in vielen Fällen nicht einschlägig. Die Deutsche Post scannt Ausweise unabhängig davon, ob dieses Gesetz anwendbar ist und der Kunde (z.B. Bank) überhaupt einen Ausweisscan wünscht.
- Schließlich gilt eine Ausweiskopie zwar nach § 8 GwG [4] und dem Rundschreiben der Bafin als Datenerhebung, jedoch ist es nicht erforderlich, wie die Post sowohl die Daten zu erheben (also abzuschreiben) als auch eine Kopie anzufertigen. Vielmehr genügt eine Aufzeichnung der Daten durch Niederschrift dem Geldwäschegesetz (vgl. Herzog, Geldwäschegesetz § 8, Rn. 11).
- Das VG Hannover weist im Übrigen zurecht darauf hin, dass das Scannen und automatisierte Speichern mit der Möglichkeit der Weiterverarbeitung eine „andere rechtliche Qualität aufweist“ als die im GwG zugelassene Fotokopie. Daran ändert das Rundschreiben der Bafin nichts. Die Auskünfte oder Rundschreiben, auf die sich die Post beruft, haben keine Rechtsqualität und können Gesetzesrecht nicht ändern.
Ergänzung vom 22.05.2017:
Meine Beschwerde ist abgewiesen worden. Immerhin ist geplant die nicht benötigten Teile des Ausweises beim Scannen zu schwärzen. Geprüft werde auch, ob ein Scan verzichtbar ist, wenn andere Unternehmen als Banken eine Identifizierung anfordern (weil dann keine Geldwäschegefahr besteht).
Ich bleibe dennoch dabei: Meines Erachtens sind Ausweisdaten viel zu sensibel als dass ein Einscannen zugelassen werden sollte. Solche Scans können z.B. zur Ausweisfälschung missbraucht werden. Ein Gericht hat bereits zurecht darauf hingewiesen, dass ein elektronisches Einscannen eine ganz andere Qualität aufweist als eine Fotokopie, weil elektronische Daten viel leichter verloren gehen und verkauft werden können. Ich bezweifele, dass die Praxis der Deutschen Post einer gerichtlichen Überprüfung Stand halten würde. Der Datenschutz steht nicht zur Disposition von Behörden, sondern ist gesetzlich verbrieft.
Hier die Korrespondenz im Wortlaut:
Schreiben der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen vom 02.11.2016 (Aktenzeichen 53.8 – 3085/16):
Sehr geehrter Herr […],
vielen Dank für Ihre Eingabe. Das Postidentverfahren ist von der LDI NRW bereits geprüft worden. Hinsichtlich einiger Aspekte steht die LDI NRW allerdings noch in Kontakt mit der Deutschen Post AG.
Bei einer Identifizierung im Rahmen einer Kontoeröffnung sind sowohl die Belange des Geldwäschegesetzes als auch des Datenschutzes zu beachten. Die Deutsche Post AG wird in dieser Hinsicht sowohl von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) als auch von der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) kontrolliert.
Von Seiten der BaFin ist die Deutsche Post AG seit einigen Monaten gehalten, Personalausweise im Rahmen des Postidentverfahrens einzuscannen. Dies diene der Geldwäscheprävention und damit der Bekämpfung von organisierter Kriminalität und Terrorismus. Die LDI NRW ist der Auffassung, dass diese Vorgehensweise vom Geldwäschegesetz gedeckt ist (und damit datenschutzrechtlich konform ist, da dieses als Spezialgesetz dem PAuswG vorgeht), solange die nicht für die Identifizierung benötigten Angaben geschwärzt werden. Rechtsgrundlage ist § 8 Abs. 1 Satz 3, Abs. 2 [4] Geldwäschegesetz i.V.m. § 6 Abs. 2 Nr. 2 [6] Geldwäschegesetz und § 4 Abs. 1 [7] Bundesdatenschutzgesetz. Unter einer Kopie ist auch eine elektronische/digitale Kopie zu verstehen. Das von Ihnen zitierte Urteil betrifft einen Sachverhalt, der nicht unter das Geldwäschegesetz fällt und ist hier nicht anwendbar.Für die Schwärzungen muss die Deutsche Post AG jedoch für alle ihrer Filialen besondere Scanner anschaffen. Verständlicherweise ist dies ein Vorgang, der einige Monate in Anspruch nimmt, der aber bereits begonnen wurde und nahezu abgeschlossen ist.
Die Deutsche Post AG ist sehr bestrebt, sowohl die Belange des Geldwäschegesetzes als auch des Datenschutzes optimal umzusetzen. Da sie aber nicht beides gleichzeitig erfüllen kann, ist eine gewisse Übergangszeit in Kauf zu nehmen.Die Deutsche Post stellt der betreffenden Bank den Scan auf einem gesicherten Portal zur Verfügung und löscht die Daten bei sich, nachdem diese von der Bank abgerufen wurden. Die Daten werden auch dann gelöscht, wenn eine Bank sie nicht abrufen sollte.
Mit freundlichen Grüßen
Im Auftrag
Nachfrage vom 13.10.2016:
Sehr geehrte Frau […],
folgende Nachfragen habe ich zu Ihrer Mitteilung:
1. Sie schreiben, die Deutsche Post sei von der BaFin zum Einscannen „gehalten“. In welcher Verfügung oder aus welchem Schreiben soll dies hervor gehen? Nach meiner Kenntnis beruft sich die Deutsche Post selbst nicht darauf, zu der Maßnahme angehalten worden oder dazu verpflichtet zu sein.
2. Sie schreiben, das Einscannen sei vom Geldwäschegesetz gedeckt. Was sagen Sie zu den von mir genannten Gegenargumenten:
a) Die Deutsche Post scannt auch, wo das Geldwäschegesetz nicht anwendbar ist (z.B. bei Handyverträgen). Hier taugt das Gesetz von vornherein nicht als Rechtsgrundlage.
b) Eine Aufzeichnung der Daten durch Niederschrift genügt dem Geldwäschegesetz (vgl. Herzog, Geldwäschegesetz § 8, Rn. 11). Ein zusätzliches Einscannen ist also nicht erforderlich.
c) Der Abruf der Ausweisscans setzt den Abschluss einer Vereinbarung durch den PostIdent-Auftraggeber voraus. Die Deutsche Post scannt aber auch, wenn der Kunde eine Vereinbarung weder abschließt noch dies wünscht. Hier ist der Scan schlichtweg eine nicht erforderliche Datenerhebung.Ich bitte um Stellungnahme.
Schreiben der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen vom 02.11.2016 (Aktenzeichen 53.8 – 3085/16):
Sehr geehrter Herr […],
Sie baten in Ihrer o.g. Mail um weitere Ausführungen.
Meine Angabe, dass die Deutsche Post AG von der BaFin gehalten ist, Ausweise einzuscannen, beruht auf Angaben der Deutschen Post AG uns gegenüber. Außerdem stehen die Aufsichtsbehörden über die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit in regelmäßigem Kontakt mit BaFin und Bundesfinanzministerium. Auch aus diesen Gesprächen ist bekannt, dass beide Behörden aus Gründen der Geldwäscheprävention und Terrorbekämpfung die Anforderungen an die Identifizierung stark erhöht haben und dafür auch eine Notwendigkeit sehen.
Wie ich bereits ausgeführt habe, stehen wir hinsichtlich einiger Aspekte noch in Kontakt mit der Deutschen Post AG. Ihren Hinweis auf das Einscannen bei Handyverträgen nehme ich hierfür gerne auf.
In § 8 Abs. 1 Satz 3 [4] Geldwäschegesetz heißt es ausdrücklich, dass die Anfertigung einer Kopie als Aufzeichnung gilt. Wie bereits mitgeteilt sind wir der Auffassung, dass damit auch eine elektronische Kopie gemeint sein kann. Eine Niederschrift gilt ebenfalls als Aufzeichnung. Herzog bezeichnet die Aufzeichnungsarten als gleichrangig. Die Niederschrift wurde aber gerade von den zuständigen Behörden in Bezug auf die Ziele des Geldwäschegesetzes als nicht ausreichend bezeichnet und ist damit kein gleich geeignetes Mittel. Nach unserer Auffassung ist das Einscannen daher durchaus erforderlich und auch konform mit dem Geldwäschegesetz.
Die Deutsche Post AG ist selbst verantwortliche Stelle für die Durchführung des Postidentverfahrens. Sie ist verpflichtet, die Scans den Banken zur Verfügung zu stellen, damit diese ihren Aufzeichnungspflichten nachkommen können. Wenn die Bank einen Scan nicht abruft, kommt die Bank ihrer eigenen Verpflichtung nicht nach. Dies ist ein bankenaufsichtsrechtliches Thema, für das die BaFin zuständig ist. Daraus können aber keine Rückschlüsse auf die Erforderlichkeit hinsichtlich des Einscannens bei der Deutschen Post AG gezogen werden.
Mit freundlichen Grüßen
Im Auftrag