Darf eine Firma die Ausweiskopie speichern?

„Wir brauchen eine Kopie Ihres Ausweises für unsere Unterlagen.“ Der Satz ist so alltäglich, dass fast niemand die naheliegende Rückfrage stellt: Für welche Unterlagen, und wie lange? In der EU haben diese beiden Fragen rechtliches Gewicht.

Die Frage ist nicht „dürfen die fragen“, sondern „wofür und wie lange“

Ein Unternehmen darf sich grundsätzlich vergewissern, dass Sie die Person sind, die Sie zu sein angeben. Es darf aber nicht automatisch ein dauerhaftes, unbearbeitetes Abbild des Dokuments behalten, das diesen Nachweis führt. Das sind zwei verschiedene Dinge, und in der Lücke dazwischen entsteht fast jede Übererhebung: Die ganze Seite zu fotografieren ist schlicht einfacher, als die eine Angabe zu notieren, um die es eigentlich ging.

Was die DSGVO verlangt

Drei Grundsätze aus Art. 5 DSGVO tragen hier die Hauptlast:

Rechtmäßigkeit. Es braucht überhaupt eine gültige Grundlage nach Art. 6 — Vertrag, rechtliche Verpflichtung oder ein berechtigtes Interesse, das Ihre Rechte nicht überwiegt.
Datenminimierung (Art. 5 Abs. 1 lit. c). Daten müssen dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein. Wenn Name und Lichtbild den Zweck erfüllen, ist eine Kopie, die zusätzlich Dokumentennummer, maschinenlesbare Zone und Geburtsdatum trägt, mehr als notwendig.
Speicherbegrenzung (Art. 5 Abs. 1 lit. e). Daten dürfen nicht länger gespeichert werden, als der Zweck es verlangt. „Unsere Unterlagen“ ist keine Aufbewahrungsfrist.

In der Praxis heißt das oft: Eine Mitarbeiterin sieht Ihr Dokument an und vermerkt, dass die Prüfung erfolgt ist — das passt besser zum Gesetz als ein Scan auf einem Netzlaufwerk.

Die deutsche Zusatzschicht

In Deutschland kommt § 20 Abs. 2 Personalausweisgesetz hinzu, und der ist an einer Stelle deutlicher als die DSGVO: Andere als der Ausweisinhaber dürfen die Kopie nicht an Dritte weitergeben. Außerdem dürfen Daten, die durch die Ablichtung erhoben werden, nur mit Ihrer Einwilligung verarbeitet werden. Wenn ein Unternehmen Ihre Ausweiskopie an einen Dienstleister durchreicht, ist das also nicht nur eine Frage der Auftragsverarbeitung, sondern zusätzlich eine des Ausweisrechts.

In Österreich und der Schweiz fehlt diese Norm; dort greift stattdessen die allgemeine Zweckbindung des jeweiligen Datenschutzrechts. Mehr dazu in Ausweiskopie in Österreich und der Schweiz.

Wo eine vollständige Kopie wirklich verlangt ist

Manche Anfragen haben eine harte Grundlage, und es lohnt sich, sie zu erkennen, statt reflexhaft zu widersprechen:

Banken und Finanzdienstleister müssen nach § 8 Geldwäschegesetz eine vollständige Kopie anfertigen und fünf Jahre aufbewahren. Siehe Identitätsprüfung bei der Bank.
Arbeitgeber müssen bei Beschäftigten aus Drittstaaten nach § 4a Aufenthaltsgesetz eine Kopie des Aufenthaltstitels vorhalten — siehe Arbeitgeber verlangt eine Ausweiskopie.
Beherbergungsbetriebe in Ländern mit Meldepflicht müssen bestimmte Angaben erfassen und melden — aber gerade keine Kopie anfertigen.

Beachten Sie, was diese Fälle gemeinsam haben: eine benannte Pflicht mit einer bestimmten Frist. Das ist etwas völlig anderes als eine Hausverwaltung, bei der ein Ausweisscan in einem Ordner liegt, weil ihn nie jemand gelöscht hat.

Drei Fragen, die sich lohnen

Wenn jemand eine Kopie verlangt, sind diese Fragen angemessen — und freundlich gestellt schrumpft die Anfrage meistens:

Was genau müssen Sie prüfen? Die Antwort ist oft enger als die Anfrage.
Brauchen Sie eine Kopie oder genügt die Einsichtnahme? Viele Abläufe brauchen nur Letzteres.
Wie lange bewahren Sie sie auf, und wo liegt sie? Wer das nicht beantworten kann, hat nicht darüber nachgedacht.

So verlangen Sie die Löschung

Ist der Zweck erfüllt — Vertrag unterschrieben, Aufenthalt beendet, Bewerbung abgeschlossen —, können Sie nach Art. 17 DSGVO die Löschung verlangen. Schreiben Sie an das Unternehmen oder dessen Datenschutzbeauftragten, nennen Sie, was gelöscht werden soll und warum der Zweck entfallen ist, und bitten Sie um schriftliche Bestätigung. Wird das ohne Rechtsgrundlage verweigert, können Sie sich an die Aufsichtsbehörde wenden: in Deutschland an die zuständige Landesbehörde oder die BfDI, in Österreich an die Datenschutzbehörde, in der Schweiz an den EDÖB.

Der einfachere Weg: eine Kopie schicken, die man behalten darf

All das ist Ihr gutes Recht, aber es ist Arbeit, und es passiert im Nachhinein. Die Variante, die eine Minute dauert und niemandes Mitwirkung braucht, ist, von vornherein weniger zu schicken: Dokumentennummer, maschinenlesbare Zone, Geburtsdatum, Unterschrift und Anschrift verdecken, Name und Lichtbild sichtbar lassen und die Kopie für genau diese Anfrage mit einem Wasserzeichen versehen. Dann ist es fast gleichgültig, wie lange sie in irgendeinem Ordner liegt.

Anonymize my ID erledigt das offline auf Ihrem Handy — welche Felder Sie verdecken, steht in Ausweis oder Reisepass schwärzen.

Häufige Fragen

Darf eine Firma überhaupt eine Ausweiskopie verlangen?

In der Regel ja, wenn sie einen echten Grund hat — Identität vor einem Mietvertrag, einem Vertrag oder einem Konto zu prüfen. Was die DSGVO begrenzt, ist nicht das Fragen, sondern die Erforderlichkeit: Sie muss sagen können, wofür sie die Kopie braucht, und darf nicht mehr erheben, als dieser Zweck verlangt.

Darf eine Firma meine Ausweiskopie unbefristet aufbewahren?

Nicht standardmäßig. Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO verlangt, dass personenbezogene Daten nicht länger aufbewahrt werden, als es der Zweck erfordert. Ist die Bewerbung entschieden oder der Vertrag geschlossen, lässt sich eine unbefristete Kopie kaum rechtfertigen — es sei denn, ein Gesetz schreibt die Aufbewahrung vor.

Welche Unternehmen müssen die Kopie tatsächlich behalten?

Vor allem regulierte. Banken und andere Verpflichtete nach dem Geldwäschegesetz müssen die Kopie fünf Jahre aufbewahren; Arbeitgeber müssen bei Beschäftigten aus Drittstaaten nach § 4a Aufenthaltsgesetz eine Kopie des Aufenthaltstitels für die Dauer der Beschäftigung vorhalten. Diese Pflichten setzen eigene Fristen, die dem allgemeinen Grundsatz vorgehen.

Wie verlange ich die Löschung?

Schriftlich an das Unternehmen oder dessen Datenschutzbeauftragten: Nennen Sie, was gelöscht werden soll, warum der Zweck entfallen ist, und bitten Sie um eine Bestätigung. Verweigert man das ohne Rechtsgrundlage, können Sie sich bei der Aufsichtsbehörde beschweren — in Deutschland bei der zuständigen Landesbehörde oder der BfDI, in Österreich bei der Datenschutzbehörde, in der Schweiz beim EDÖB.

Darf der Empfänger meine Ausweiskopie weitergeben?

Nein. § 20 Abs. 2 Personalausweisgesetz verbietet anderen als dem Ausweisinhaber ausdrücklich, die Kopie an Dritte weiterzugeben. Diese Vorschrift gilt in Deutschland zusätzlich zur DSGVO; in Österreich und der Schweiz greift stattdessen die allgemeine Zweckbindung.