Ein Personalausweis ist schnell gescannt und bei Anbieter XY hochgeladen, aber ist das auch erlaubt? Lange Zeit durften Ausweise nicht gescannt werden, was in der Praxis freilich häufig ignoriert wurde. Als Identitätsnachweis, zur Altersverifikation oder zur Überprüfung der Meldeadresse ist der „Perso“ einfach zu verlockend. Jetzt hat auch der Gesetzgeber erkannt, dass ein generelles Scan-Verbot für Ausweise nicht praxisgerecht ist und hat die entsprechenden Vorschriften geändert. Unser Beitrag zeigt die neuen Möglichkeiten und Grenzen auf, wenn es um das einscannen von Personalausweis und Reisepass geht.
Ein missbräuchlicher Umgang mit einem Ausweis oder Reisepass kann schwere Folgen nach sich ziehen. Gleichzeitig eröffnet der Ausweis eine einfache und praxisgerechte Möglichkeit, eine Person zu identifizieren, beispielsweise zum Nachweis eines bestimmten Alters. Nachdem lange Zeit das Scannen eines Ausweises nicht zulässig war, erlauben Gesetzesänderungen des Personalausweisgesetzes (PAuswG) und des Passgesetzes (PaßG) seit dem 15.07.2017 das Ablichten des Ausweises.
Alte Rechtslage
Nach der alten Rechtslage, die bis zum 14.07.2017 galt, war das Scannen oder elektronische Abspeichern (z.B. als PDF) von Ausweisen grundsätzlich unzulässig. Fotokopien waren unter bestimmten Voraussetzungen erlaubt, hingen aber hinsichtlich der Rechtmäßigkeit vom jeweiligen Einzelfall ab. Für Unternehmen war es häufig schwierig, hier die richtige Linie zu fahren.
Neu: Ablichtung des Ausweises ist erlaubt
Diese missliche Lage hat sich sowohl für Personalausweise durch die Neufassung des § 20 Abs. 2 PAuswG, als auch für Reisepässe und amtliche Pässe (§ 18 Abs. 3 PaßG) geändert.
Der Ausweis darf nur vom Ausweisinhaber oder von anderen Personen mit Zustimmung des Ausweisinhabers in der Weise abgelichtet werden, dass die Ablichtung eindeutig und dauerhaft als Kopie erkennbar ist. Andere Personen als der Ausweisinhaber dürfen die Kopie nicht an Dritte weitergeben. Werden durch Ablichtung personenbezogene Daten aus dem Personalausweis erhoben oder verarbeitet, so darf die datenerhebende oder -verarbeitende Stelle dies nur mit Einwilligung des Ausweisinhabers tun. Die Vorschriften des allgemeinen Datenschutzrechts über die Erhebung und Verwendung personenbezogener Daten bleiben unberührt.
Der Pass darf nur vom Passinhaber oder von anderen Personen mit Zustimmung des Passinhabers in der Weise abgelichtet werden, dass die Ablichtung eindeutig und dauerhaft als Kopie erkennbar ist. Andere Personen als der Passinhaber dürfen die Kopie nicht an Dritte weitergeben. Werden durch Ablichtung personenbezogene Daten aus dem Pass erhoben oder verarbeitet, so darf die datenerhebende oder -verarbeitende Stelle dies nur mit Einwilligung des Passinhabers tun. Die Vorschriften des allgemeinen Datenschutzrechts über die Erhebung und Verwendung personenbezogener Daten bleiben unberührt.
Die Neuregelungen trennen zwischen der Ablichtung des Ausweises und der Erhebung und Verarbeitung der auf dem Ausweis vorhandenen Daten. Unter „Ablichten“ versteht sich nun das Fotokopieren, Fotografieren und Scannen des Ausweises.
Für die Ablichtung gelten folgende Regeln:
- Der Ausweis darf nur vom Inhaber oder von anderen Personen mit Zustimmung des Inhabers abgelichtet werden.
- Die Ablichtung muss als Kopie erkennbar sein. Der Gesetzgeber empfiehlt, die Ablichtung in Monochromstufen (bspw. schwarz-weiß) zu erstellen oder den Hinweis „Kopie“ auf der Ablichtung anzubringen. Dies kann auch nach Erstellung der Ablichtung erfolgen.
- Die Ablichtung des Ausweises darf nur vom Ausweisinhaber an Dritte weitergegeben werden, d.h. selbst mit Zustimmung des Ausweisinhabers darf keine Weitergabe an Dritte erfolgen. Nicht als Dritte gelten Personen, die derselben Organisation angehören, gegenüber der der Ausweisinhaber seine Zustimmung erklärt hat. Innerhalb eines Unternehmens kann deshalb grundsätzlich eine Weitergabe der Ablichtung erfolgen, z.B. von Abteilung zu Abteilung.
Jetzt eLearning buchen //Datenschutz für Beschäftigte //Datensicherheit im Home-Office
Einwilligung in die Datenverarbeitung
Die Zustimmung zur Ablichtung allein erlaubt noch nicht die Verarbeitung der Daten. Für die Erhebung und Verarbeitung personenbezogener Daten aus der Ablichtung ist die gesonderte (datenschutzrechtliche) Zustimmung des Inhabers erforderlich.
Da naturgemäß jede Ausweis-Ablichtung personenbezogene Daten enthält, finden datenschutzrechtliche Vorgaben Anwendung. So werden bei der Ablichtung eines Personalausweises meist der Name, das Lichtbild, die Serien- oder Zugangsnummer, die Unterschrift, die Adresse oder die maschinenlesbare Zone erkennbar sein. Um die datenschutzrechtliche Einwilligung des Ausweisinhabers wirksam einzuholen, ist der Ausweisinhaber insbesondere ausreichend über die Datenerhebung und -verarbeitung zu informieren.
Darf die Ablichtung teilweise geschwärzt werden?
Nach der alten Rechtslage haben die Datenschutzaufsichtsbehörden verlangt, dass der Ausweisinhaber darauf hingewiesen werden muss, dass er die Teile der Ausweiskopie, die nicht benötigt werden, schwärzen darf. Eine solche Hinweispflicht besteht nach dem Wortlaut der geänderten Vorschriften zwar nicht, ein entsprechender Hinweis schadet aber aus datenschutzrechtlicher Sicht nicht. Das Schwärzen von Teilen des Ausweises, die nicht für den jeweiligen Zweck benötigt werden, ist dem Ausweisinhaber stets gestattet – unabhängig davon, ob er zuvor darauf hingewiesen wurde oder nicht.
Scan ohne Einwilligung?
Neben der Einwilligung bietet das Datenschutzrecht weitere Erlaubnistatbestände, etwa eine Interessenabwägung. Nach der alten Rechtslage waren die Erlaubnistatbestände des BDSG jedoch gesperrt, weil die Regelungen des alten § 14 PAuswG vorsahen, dass die Erhebung und Verwendung personenbezogener Daten aus dem Ausweis oder mithilfe des Ausweises ausschließlich in den nach §§ 15 bis 20 PAuswG geregelten Fällen erfolgen durfte. Nach Auffassung des Verwaltungsgerichts Hannover war diese Regelung als abschließend zu verstehen. Der neue § 20 Abs. 2 PAuswG enthält nun jedoch die Regelung, dass Vorschriften des allgemeinen Datenschutzrechts über die Erhebung und Verwendung personenbezogener Daten unberührt bleiben. Mit diesem Satz könnte der Gesetzgeber eine alternative datenschutzrechtliche Rechtfertigung eröffnet haben. Es ist abzuwarten, wie Gerichte diese Neuregelung bewerten.
Sind alte Scans von Ausweisen jetzt legal?
Sofern Ausweisscans vor dem 15.07.2017 rechtswidrig angefertigt wurden, tritt durch die Gesetzesänderung keine Legalisierung ein. Sollten Scans von Ausweisen aus dieser Zeit noch gespeichert sein, ist zu überprüfen, ob diese rechtmäßig erstellt wurden. Im Zweifel sind entsprechende Dateien zu löschen.
Weitere Rechtsgrundlagen
Neben den Regelungen des Personalausweis- und des Passgesetzes erlauben Spezialgesetze das Kopieren und/oder Scannen von Ausweisdokumenten. Rechtsgrundlagen finden sich unter anderem für Finanz- oder Versicherungsunternehmen bei der Bekämpfung der Geldwäsche nach § 8 Abs. 2 GwG oder für Telekommunikationsanbieter beim Abschluss eines Mobilfunkvertrages nach dem TKG. Dabei sind die besonderen Anforderungen zu beachten.
Dr. Malte Kröger