Beschwerde gegen Ausweis-Scans der Deutschen Post AG [ergänzt]

Von der Öffentlichkeit kaum bemerkt scannt die Deutsche Post AG seit einigen Monaten die im Zuge des PostIdent-Verfahrens vorgelegten Ausweise und speichert sie elektronisch. Ich habe bei der nordrhein-westfälischen Landesdatenschutzbeauftragten am 15. September Beschwerde gegen diese Praxis eingelegt:

Sehr geehrte Damen und Herren,

hiermit möchte ich mich darüber beschweren, dass die Deutsche Post AG im Rahmen des „PostIdent durch Postfiliale“-Verfahrens den vorgelegten Ausweis abfotografiert (mithilfe eines Scanners), obwohl ich anwesend war. Dies ist mir in zwei Filialen in Kiel passiert; es ging um nach dem Geldwäschegesetz vorgeschriebene Identifizierungen. Ich habe in das Abfotografieren nicht eingewilligt, ich wurde darüber auch nur in einem Fall und nur zufällig durch eine Bemerkung informiert.

Unter https://www.deutschepost.de/de/p/postident/sicherheit.html heißt es dazu: „Ab November 2015 Bereitstellung der gescannten Kopie des Ausweisdokumentes“. Dies lässt eine Weitergabe der erhobenen Kopie befürchten. Nach einem weiteren Bericht setzt die Weitergabe eine gesonderte Vereinbarung mit dem Kunden voraus; jedoch wird auch ohne eine solche Vereinbarung gescannt und mindestens zwei Tage lang elektronisch gespeichert.

Die Datenerhebung verstößt in jedem Fall gegen Datenschutzrecht, weil sie nicht erforderlich ist. Zur Feststellung der Identität einer anwesenden Person genügt die Einsichtnahme in den Ausweis und das Abschreiben der Daten (VG Hannover, 28.11.2013 – 10 A 5342/11).

Die Datenerhebung verstößt daneben auch gegen die §§ 14, 20 PAuswG (Gesetzesbegründung: „Weitere Verfahren z.B. über die optoelektronische Erfassung (’scannen‘) von Ausweisdaten oder dem maschinenlesbaren Bereich sollen ausdrücklich ausgeschlossen werden.“ Vgl. auch VG Hannover, 28.11.2013 – 10 A 5342/11). Durch den Scan wird der Ausweis automatisiert gespeichert.

Was das GwG angeht, rechtfertigt dies die Praxis nicht: Zum Einen wird der Scan nicht von demjenigen angefertigt und gespeichert, den die Identifizierungspflicht trifft. Zum anderen scannt die Post mehr Daten als nach dem GwG überhaupt zu erheben sind. Schließlich gilt eine Ausweiskopie zwar nach § 8 GwG als Datenerhebung, jedoch ist es nicht erforderlich, sowohl die Daten zu erheben als auch eine Kopie anzufertigen. Vielmehr genügt eine Aufzeichnung der Daten durch Niederschrift (vgl. Herzog, Geldwäschegesetz § 8, Rn. 11). Das VG Hannover weist im Übrigen zurecht darauf hin, dass das Scannen und automatisierte Speichern mit der Möglichkeit der Weiterverarbeitung eine „andere rechtliche Qualität aufweist“ als die im GwG zugelassene Fotokopie.

Bitte unterbinden Sie daher das Einscannen von Ausweisdokumenten im Rahmen des PostIdent durch Postfiliale-Verfahrens in Filialen der Deutschen Post AG.

Ich wende mich an Sie, nachdem sich die Bundesdatenschutzbeauftragte für unzuständig erklärt hat.

Mit freundlichem Gruß

Auch die Verbraucherzentrale hat sich des Problems angenommen. Ihr gegenüber hat die Post nun eine Stellungnahme abgegeben, in der sie ihre Praxis unter Berufung auf das Geldwäschegesetz verteidigt. Aus meiner Erwiderung:

Aus meiner Sicht entkräftet die Antwort nicht meine rechtliche Argumentation zur Unzulässigkeit der Datenerhebung:

  • Die Datenerhebung verstößt gegen das Erforderlichkeitsgebot und Datenminimierungsgebot im Datenschutzrecht, weil sie nicht erforderlich ist. Zur Feststellung der Identität einer anwesenden Person genügt die Einsichtnahme in den Ausweis und das Abschreiben der Daten (VG Hannover, 28.11.2013 – 10 A 5342/11).
  • Die Datenerhebung verstößt daneben auch gegen die §§ 14, 20 PAuswG (Gesetzesbegründung: „Weitere Verfahren z.B. über die optoelektronische Erfassung (’scannen‘) von Ausweisdaten oder dem maschinenlesbaren Bereich sollen ausdrücklich ausgeschlossen werden.“)
  • Das Geldwäschegesetz ist in vielen Fällen nicht einschlägig. Die Deutsche Post scannt Ausweise unabhängig davon, ob dieses Gesetz anwendbar ist und der Kunde (z.B. Bank) überhaupt einen Ausweisscan wünscht.
  • Schließlich gilt eine Ausweiskopie zwar nach § 8 GwG und dem Rundschreiben der Bafin als Datenerhebung, jedoch ist es nicht erforderlich, wie die Post sowohl die Daten zu erheben (also abzuschreiben) als auch eine Kopie anzufertigen. Vielmehr genügt eine Aufzeichnung der Daten durch Niederschrift dem Geldwäschegesetz (vgl. Herzog, Geldwäschegesetz § 8, Rn. 11).
  • Das VG Hannover weist im Übrigen zurecht darauf hin, dass das Scannen und automatisierte Speichern mit der Möglichkeit der Weiterverarbeitung eine „andere rechtliche Qualität aufweist“ als die im GwG zugelassene Fotokopie. Daran ändert das Rundschreiben der Bafin nichts. Die Auskünfte oder Rundschreiben, auf die sich die Post beruft, haben keine Rechtsqualität und können Gesetzesrecht nicht ändern.

Ergänzung vom 22.05.2017:

Meine Beschwerde ist abgewiesen worden. Immerhin ist geplant die nicht benötigten Teile des Ausweises beim Scannen zu schwärzen. Geprüft werde auch, ob ein Scan verzichtbar ist, wenn andere Unternehmen als Banken eine Identifizierung anfordern (weil dann keine Geldwäschegefahr besteht).

Ich bleibe dennoch dabei: Meines Erachtens sind Ausweisdaten viel zu sensibel als dass ein Einscannen zugelassen werden sollte. Solche Scans können z.B. zur Ausweisfälschung missbraucht werden. Ein Gericht hat bereits zurecht darauf hingewiesen, dass ein elektronisches Einscannen eine ganz andere Qualität aufweist als eine Fotokopie, weil elektronische Daten viel leichter verloren gehen und verkauft werden können. Ich bezweifele, dass die Praxis der Deutschen Post einer gerichtlichen Überprüfung Stand halten würde. Der Datenschutz steht nicht zur Disposition von Behörden, sondern ist gesetzlich verbrieft.

Hier die Korrespondenz im Wortlaut:

Schreiben der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen vom 02.11.2016 (Aktenzeichen 53.8 – 3085/16):

Sehr geehrter Herr […],

vielen Dank für Ihre Eingabe. Das Postidentverfahren ist von der LDI NRW bereits geprüft worden. Hinsichtlich einiger Aspekte steht die LDI NRW allerdings noch in Kontakt mit der Deutschen Post AG.

Bei einer Identifizierung im Rahmen einer Kontoeröffnung sind sowohl die Belange des Geldwäschegesetzes als auch des Datenschutzes zu beachten. Die Deutsche Post AG wird in dieser Hinsicht sowohl von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) als auch von der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) kontrolliert.
Von Seiten der BaFin ist die Deutsche Post AG seit einigen Monaten gehalten, Personalausweise im Rahmen des Postidentverfahrens einzuscannen. Dies diene der Geldwäscheprävention und damit der Bekämpfung von organisierter Kriminalität und Terrorismus. Die LDI NRW ist der Auffassung, dass diese Vorgehensweise vom Geldwäschegesetz gedeckt ist (und damit datenschutzrechtlich konform ist, da dieses als Spezialgesetz dem PAuswG vorgeht), solange die nicht für die Identifizierung benötigten Angaben geschwärzt werden. Rechtsgrundlage ist § 8 Abs. 1 Satz 3, Abs. 2 Geldwäschegesetz i.V.m. § 6 Abs. 2 Nr. 2 Geldwäschegesetz und § 4 Abs. 1 Bundesdatenschutzgesetz. Unter einer Kopie ist auch eine elektronische/digitale Kopie zu verstehen. Das von Ihnen zitierte Urteil betrifft einen Sachverhalt, der nicht unter das Geldwäschegesetz fällt und ist hier nicht anwendbar.

Für die Schwärzungen muss die Deutsche Post AG jedoch für alle ihrer Filialen besondere Scanner anschaffen. Verständlicherweise ist dies ein Vorgang, der einige Monate in Anspruch nimmt, der aber bereits begonnen wurde und nahezu abgeschlossen ist.
Die Deutsche Post AG ist sehr bestrebt, sowohl die Belange des Geldwäschegesetzes als auch des Datenschutzes optimal umzusetzen. Da sie aber nicht beides gleichzeitig erfüllen kann, ist eine gewisse Übergangszeit in Kauf zu nehmen.

Die Deutsche Post stellt der betreffenden Bank den Scan auf einem gesicherten Portal zur Verfügung und löscht die Daten bei sich, nachdem diese von der Bank abgerufen wurden. Die Daten werden auch dann gelöscht, wenn eine Bank sie nicht abrufen sollte.

Mit freundlichen Grüßen
Im Auftrag

Nachfrage vom 13.10.2016:

Sehr geehrte Frau […],

folgende Nachfragen habe ich zu Ihrer Mitteilung:

1. Sie schreiben, die Deutsche Post sei von der BaFin zum Einscannen „gehalten“. In welcher Verfügung oder aus welchem Schreiben soll dies hervor gehen? Nach meiner Kenntnis beruft sich die Deutsche Post selbst nicht darauf, zu der Maßnahme angehalten worden oder dazu verpflichtet zu sein.

2. Sie schreiben, das Einscannen sei vom Geldwäschegesetz gedeckt. Was sagen Sie zu den von mir genannten Gegenargumenten:
a) Die Deutsche Post scannt auch, wo das Geldwäschegesetz nicht anwendbar ist (z.B. bei Handyverträgen). Hier taugt das Gesetz von vornherein nicht als Rechtsgrundlage.
b) Eine Aufzeichnung der Daten durch Niederschrift genügt dem Geldwäschegesetz (vgl. Herzog, Geldwäschegesetz § 8, Rn. 11). Ein zusätzliches Einscannen ist also nicht erforderlich.
c) Der Abruf der Ausweisscans setzt den Abschluss einer Vereinbarung durch den PostIdent-Auftraggeber voraus. Die Deutsche Post scannt aber auch, wenn der Kunde eine Vereinbarung weder abschließt noch dies wünscht. Hier ist der Scan schlichtweg eine nicht erforderliche Datenerhebung.

Ich bitte um Stellungnahme.

Schreiben der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen vom 02.11.2016 (Aktenzeichen 53.8 – 3085/16):

Sehr geehrter Herr […],

Sie baten in Ihrer o.g. Mail um weitere Ausführungen.

Meine Angabe, dass die Deutsche Post AG von der BaFin gehalten ist, Ausweise einzuscannen, beruht auf Angaben der Deutschen Post AG uns gegenüber. Außerdem stehen die Aufsichtsbehörden über die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit in regelmäßigem Kontakt mit BaFin und Bundesfinanzministerium. Auch aus diesen Gesprächen ist bekannt, dass beide Behörden aus Gründen der Geldwäscheprävention und Terrorbekämpfung die Anforderungen an die Identifizierung stark erhöht haben und dafür auch eine Notwendigkeit sehen.

Wie ich bereits ausgeführt habe, stehen wir hinsichtlich einiger Aspekte noch in Kontakt mit der Deutschen Post AG. Ihren Hinweis auf das Einscannen bei Handyverträgen nehme ich hierfür gerne auf.

In § 8 Abs. 1 Satz 3 Geldwäschegesetz heißt es ausdrücklich, dass die Anfertigung einer Kopie als Aufzeichnung gilt. Wie bereits mitgeteilt sind wir der Auffassung, dass damit auch eine elektronische Kopie gemeint sein kann. Eine Niederschrift gilt ebenfalls als Aufzeichnung. Herzog bezeichnet die Aufzeichnungsarten als gleichrangig. Die Niederschrift wurde aber gerade von den zuständigen Behörden in Bezug auf die Ziele des Geldwäschegesetzes als nicht ausreichend bezeichnet und ist damit kein gleich geeignetes Mittel. Nach unserer Auffassung ist das Einscannen daher durchaus erforderlich und auch konform mit dem Geldwäschegesetz.

Die Deutsche Post AG ist selbst verantwortliche Stelle für die Durchführung des Postidentverfahrens. Sie ist verpflichtet, die Scans den Banken zur Verfügung zu stellen, damit diese ihren Aufzeichnungspflichten nachkommen können. Wenn die Bank einen Scan nicht abruft, kommt die Bank ihrer eigenen Verpflichtung nicht nach. Dies ist ein bankenaufsichtsrechtliches Thema, für das die BaFin zuständig ist. Daraus können aber keine Rückschlüsse auf die Erforderlichkeit hinsichtlich des Einscannens bei der Deutschen Post AG gezogen werden.

Mit freundlichen Grüßen

Im Auftrag

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne (6 Bewertungen, durchschnittlich: 5,00 von 5)
Loading...
15.204mal gelesen

Beitrag per E-Mail versenden Beitrag per E-Mail versenden Seite drucken Seite drucken

Verwandte Artikel

Weitere Artikel zum Thema Datenschutz im Privatsektor, Juristisches, Metaowl-Watchblog

11 Kommentare »


  1. Das kann doch nicht wahr sein. — 28. September 2016 @ 16.43 Uhr

    Das Scannen des Ausweises durch die Deutsche Post für PostIdent-Verfahren muss nicht sein und darf nicht sein.

    Wer weiß denn, wer alles Zugriff auf diese Daten (Kopien) hat.

    Identitätsdiebstahl ist dann sehr leicht möglich.
    https://de.wikipedia.org/wiki/Identit%C3%A4tsdiebstahl


  2. Eingang, Folgen, Rat — 28. September 2016 @ 17.10 Uhr

    Sehr geehrter Herr Breyer,

    Vielen Dank für diese Beschwerde. Hat Ihnen der LDI NRW den Eingang mittlerweile bestätigt und vor allem einen Zeitraum für seine eigene Prüfung genannt, nachdem mit einem Ergebnis zu rechnen wäre?

    Was sollte denn ggf. aus dieser Beschwerde, abgesehen von der Änderung der Praxis für die Zukunft und der Sperrung/Löschung folgen? Jeder Betroffene müsste ja für sich nachweisen, ob ihm/ihr ein Schaden entstanden wäre, korrekt?

    Zudem, was würden Sie als Sachverständiger raten, wenn man aktuell nicht auf das PostIdent verzichten kann? Gleich einen Protestvermerk in der Poststelle aufnehmen lassen, soweit möglich?
    Dürfte/sollte man sich mit Ihrem Text selbst noch einmal beschweren?

    Beste Grüße

    Webmaster:

    Eine Eingangsbestätigung habe ich von der Landesdatenschutzbeauftragten erhalten, aber keine Information zur Verfahrensdauer. Die Landesdatenschutzbeauftragte könnte die Ausweisscans untersagen. Wegen der Stellungnahme der Post befürchte ich allerdings, dass die Praxis im Vorfeld mit der Landesdatenschutzbeauftragten abgestimmt worden sein könnte. In diesem Fall hätte meine Beschwerde keine sehr hohen Erfolgsaussichten. Als einzige Möglichkeit verbliebe dann noch eine Unterlassungsklage vor Gericht.

    Schadensersatz dürfte eher nicht in Betracht kommen.

    Mein Rat, um den Scan zu vermeiden: Entweder man identifiziert sich direkt beim Unternehmen oder man nutzt – wo möglich – das PostIdent-Verfahren, bei dem der Postbote an die Haustür kommt (da wird offenbar noch nicht gescannt).

    Sie können sich als Betroffener beim Filialleiter beschweren. Auch eine eigene Beschwerde beim LDI ist möglich – ob es sinnvoll ist, ist Ihre Entscheidung.


  3. David gegen Goliath — 28. September 2016 @ 21.39 Uhr

    Danke Herr Breyer. Ohne Sie wäre die Welt ein ärmerer Ort. Meine Hoffnung gilt Ihrer Beschwerde. Mögen Sie im Kampf David gegen Goliath gewinnen und den Datenschutz für hunderttausende PostIdent-Kunden stärken.


  4. PostIdent | Roberts Blog — 29. September 2016 @ 0.00 Uhr

    […] Wie Breyer auf seinem Blog berichtet, war er vor kurzem in zwei Postfilialen für das PostIdent. Dabei hätten ihn die Mitarbeiter nicht darüber informiert, dass sie seinen Ausweis scannen. Das habe er nur durch eine zufällige Bemerkung mitgekriegt. […]


  5. Vielen Dank — 29. September 2016 @ 21.13 Uhr

    Wow, davon wusste ich gar nichts! Vielen Dank für Ihre Mühe und ich hoffe auf schnellstmögliche Stellungnahme seitens der Landesdatenschutzbeauftragten.

    Beste Grüße


  6. Postident-Verfahren: Deutsche Post AG scannt Personalausweise – dieDatenschützer Rhein Main — 29. September 2016 @ 22.49 Uhr

    […] elektronische Kopie für einen nicht näher bekannten Zeitraum gespeichert. Wie Breyer auf einem Blog berichtet, war er vor kurzem in zwei Postfilialen für das PostIdent. Dabei hätten ihn die […]


  7. Piratenpartei Herzogenrath – Piraten-Mitglied Patrick Breyer legt Beschwerde gegen Ausweisscans der Deutschen Post ein. — 18. Oktober 2016 @ 15.55 Uhr

    […] Beschwerde gegen Ausweis-Scans der Deutschen Post AG – Patrick Breyer (Piratenpartei). Stellungnahme zum aktuellen PostIdent-Verfahren durch die deutsche Post AG nach Anfrage durch die Verbraucherzentrale. […]


  8. Neues — 14. Februar 2017 @ 21.19 Uhr

    Gibt es hier etwas Neues?


  9. Webmaster — 17. Februar 2017 @ 7.37 Uhr

    Ja, Beschwerde wurde abgelehnt, mehr dazu später.


  10. Neu — 25. Februar 2017 @ 15.57 Uhr

    @Webmaster

    Und, was gibt es jetzt Neues?


  11. Update? — 14. April 2017 @ 14.19 Uhr

    Hi Patrick,

    gibt’s ein Update von Dir? Ich hatte nämlich auch vor, mich über diese Praxis der Deutschen Post zu beschweren, bin dann auf Deine Beschwerde gestoßen.

    Ein Hinweis übrigens bzgl. des „Backups“, was die Post angeblich nach kurzer Zeit vernichtet: Da würde es sich auch lohnen anzugreifen. Denn es ist in der Praxis oft gar nicht so leicht, ein Backup tatsächlich zu „vernichten“ bzw. den Zugriff zu sperren. Die Deutsche Post möge einmal darlegen, wie sie das Backup durchführt und dann die Backups löscht. 🙂

    Viele Grüße,

    Ralf

RSS-feed für Kommentare zu diesem Beitrag · TrackBack-URI

Kommentieren Sie diesen Artikel


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: