Eine Ausweiskopie ist für eine DSGVO-Auskunft nicht grundsätzlich erforderlich. Ein Unternehmen darf zusätzliche Angaben zur Identität nur verlangen, wenn es begründete Zweifel hat, dass die Anfrage wirklich von Ihnen stammt (Art. 12 Abs. 6 DSGVO). Auch dann muss die Prüfung verhältnismäßig sein. Häufig genügen mildere Mittel, etwa eine Anfrage von der bei ihm hinterlegten E-Mail-Adresse oder die Angabe einer Kundennummer. Wenn Sie eine Ausweiskopie schicken, schwärzen Sie alles, was für die Identifizierung nicht nötig ist, und übermitteln Sie sie nicht ungeschützt.

Warum Unternehmen überhaupt nach der Identität fragen

Die Prüfung soll verhindern, dass Ihre Daten an eine fremde Person herausgegeben werden. Das schützt Sie. Gleichzeitig darf die Identitätsprüfung nicht dazu führen, dass Sie zur Ausübung Ihres Rechts mehr Daten preisgeben müssen, als das Unternehmen ohnehin über Sie hat. Der Grundsatz der Datenminimierung gilt auch hier (Art. 5 Abs. 1 lit. c DSGVO).

Der Europäische Datenschutzausschuss betont in seinen Leitlinien 01/2022 zum Auskunftsrecht, dass die Anforderung einer Ausweiskopie in der Regel unverhältnismäßig ist, wenn sich die Identität auf anderem Weg klären lässt. Das gilt besonders, wenn Sie ein Kundenkonto haben und das Unternehmen Sie ohnehin über Anmeldedaten oder eine hinterlegte E-Mail-Adresse identifizieren kann.

Wann eine Ausweiskopie verlangt werden kann

Es gibt Situationen, in denen eine weitergehende Prüfung nachvollziehbar ist:

  • Die Anfrage kommt von einer E-Mail-Adresse oder Anschrift, die das Unternehmen nicht kennt.
  • Es geht um besonders sensible Daten, etwa Gesundheits-, Finanz- oder Glücksspieldaten.
  • Es gibt Hinweise auf einen Täuschungsversuch oder Namensverwechslungen.
  • Ein Bevollmächtigter stellt die Anfrage, und es ist zu klären, für wen.

Auch in diesen Fällen sollte das Unternehmen begründen, warum es Zweifel hat, und nur die Daten verlangen, die es für die Prüfung braucht. Kann es Sie trotz zusätzlicher Angaben nicht identifizieren, muss es Ihnen das mitteilen (Art. 11 Abs. 2 und Art. 12 Abs. 2 DSGVO).

Mögliche Alternativen zur Ausweiskopie

  • Anfrage von der beim Unternehmen hinterlegten E-Mail-Adresse,
  • Angabe von Kunden-, Vertrags- oder Bestellnummer,
  • Beantwortung einer Kontrollfrage zu bekannten Vertragsdaten,
  • Bestätigung über das eingeloggte Kundenkonto,
  • Zusendung der Auskunft an die bekannte Postanschrift.

Schlägt Ihnen ein Unternehmen eine dieser Möglichkeiten nicht von sich aus vor, können Sie sie anbieten.

Wenn Sie doch eine Ausweiskopie schicken

Schwärzen, was nicht gebraucht wird

Für die Identifizierung reichen in der Regel Name, Geburtsdatum, Anschrift und gegebenenfalls die Gültigkeit. Schwärzen Sie insbesondere die Zugangsnummer (CAN) und die Ausweisnummer, außerdem Angaben wie Größe und Augenfarbe, wenn sie nicht benötigt werden. Auch das Lichtbild ist für einen Abgleich mit Daten, die das Unternehmen ohnehin hat, oft entbehrlich.

Als Kopie kennzeichnen

Eine Ablichtung des Personalausweises ist nur mit Zustimmung des Inhabers zulässig und muss eindeutig und dauerhaft als Kopie erkennbar sein (§ 20 PAuswG). Ein Vermerk wie „Kopie – nur für die DSGVO-Auskunft bei [Unternehmen], [Datum]“ quer über das Bild erfüllt diesen Zweck und erschwert den Missbrauch. Die Verbraucherzentrale beschreibt, wie Sie solche Ausweiskopien mit Wasserzeichen erstellen.

Sicher übermitteln

Eine unverschlüsselte E-Mail ist für Ausweisdokumente kein guter Weg. Besser sind ein Upload-Portal des Unternehmens, ein verschlüsselter Weg oder der Postweg. Fragen Sie nach, wann die Kopie wieder gelöscht wird.

Fiktives Beispiel: Frau R. fordert bei einem Onlinehändler Auskunft an, und zwar von der E-Mail-Adresse, mit der sie dort seit Jahren bestellt. Der Händler verlangt eine vollständige Ausweiskopie. Frau R. antwortet, dass die Anfrage von ihrer hinterlegten Adresse kommt, nennt zusätzlich die Nummer ihrer letzten Bestellung und bittet um Begründung, falls dennoch Zweifel bestehen. Der Händler akzeptiert das und erteilt die Auskunft ohne Ausweiskopie.

Identitätsprüfung bei Datenschutzabfrage.de

Bei unserem Dienst sind zwei Dinge zu unterscheiden.

Was wir selbst benötigen: Für die Anfrage geben Sie Name, Anschrift und E-Mail-Adresse an und unterschreiben eine Vollmacht am Bildschirm. Damit senden wir die Anfrage in Ihrem Namen. Einen Ausweis brauchen wir dafür nicht für eigene Zwecke.

Was das angeschriebene Unternehmen verlangt: Für jedes Unternehmen ist hinterlegt, ob es nach unserer Kenntnis einen Identitätsnachweis fordert. Ist das der Fall, ist der Ausweis-Upload im Formular Pflicht, sonst ist er optional. Eine Ausweiskopie versenden wir nie per E-Mail. Das Unternehmen erhält stattdessen einen gesicherten Link, der 30 Tage gültig ist. Die Kopie wird automatisch 14 Tage nach Eingang der Auskunftsunterlagen gelöscht, spätestens aber mit Ablauf des Antwortfensters. Die Einzelheiten stehen in unserer Datenschutzerklärung. Ob das Unternehmen den Ausweis tatsächlich benötigt, entscheidet das Unternehmen; unser Formular kann das nicht abschließend beurteilen.

Datenschutzabfrage starten, Ausweis nur bei Bedarf einmalig 3,99 € inkl. MwSt. je Anfrage

Der Service kostet einmalig 3,99 € inkl. MwSt. je Anfrage. Wie der Ablauf insgesamt aussieht, beschreibt unser Beitrag Datenschutzabfrage stellen. Was das Unternehmen danach liefern muss, lesen Sie im Beitrag zum DSGVO-Auskunftsrecht.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.