Wie muss ich mich bei einer Datenschutzanfrage ausweisen?

Unternehmen versuchen immer wieder, unliebsame Datenschutzanfragen von Nutzer_innen abzuwehren. Dies geschieht häufig, indem die Unternehmen von den Nutzer_innen detaillierte Nachweise über ihre Identität verlangen. Teilweise fordern die Unternehmen sogar Ausweiskopien an. Solche Identitätsnachweise sind vor allem dann ein Problem, wenn man sich als Nutzer_in nicht mit dem richtigen Namen oder nur mit solchen Kontaktinformationen angemeldet hat, aus denen die Anbieter_in nicht ohne Weiteres auf die Person der Nutzer_in schließen kann. In diesen Fällen würde die Anbieter_in durch den Identitätsnachweis weitere persönliche Daten erhalten. Auf der anderen Seite haben die Unternehmen jedoch ein Interesse daran, die Daten nur an die betreffenden Nutzer_innen herauszugeben, um sich nicht selbst eines Datenschutzverstoßes schuldig zu machen.

Grundsätzlich gilt immer, dass die Anbieter_in der Nutzer_in die Ausübung seiner_ihrer Rechte nicht unmöglich gemacht werden darf. Die Anbieter_in kann sich nur dann einer Auskunft verweigern, wenn er_sie glaubhaft macht, dass sie nicht in der Lage ist, den Betroffene_n zu identifizieren, Art. 12 II 2 DSGVO. Identifizierung meint in diesem Kontext, dass die Anbieter_in sicherstellt, dass es wirklich die Nutzer_in ist, die für den entsprechenden Account Datenschutzrechte geltend macht. Es ist nicht nötig, dass die Anbieter_in den Account einer natürlichen Person zuordnen kann. Konkret reicht es, wenn die Nutzer_in nachweist, dass ihm_ihr der Account gehört,¹ beispielsweise durch die hinterlegte Mailadresse, Benutzername und Kundennummer. In keinem Fall sollten Passwörter weitergegeben werden.

Ausweiskopien sind hauptsächlich in den Fällen erforderlich, in denen die Nutzer_in Rechte gegen eine_n Verantwortliche_n geltend machen möchte, mit dem er_sie zuvor noch nicht selbst in Kontakt stand. Außerdem müssen “begründete Zweifel"² an der Identität der Nutzer_in herrschen. In diesen Fällen hat die Verantwortliche meist keine andere Möglichkeit die Nutzer_in zu identifizieren. Klassischerweise sind das Situationen in denen die Rechte gegen eine Auskunftei gerichtet sind. Entgegen häufig anderslautender Gerüchte, ist die Ausweisinhaber_in berechtigt, eine Kopie seines_ihres Personalausweises zu erstellen, § 20 II PAuswG. Auch hier sind nur diejenigen Informationen erforderlich, die es der Anbieter_in erlauben, die Person, die den Anspruch geltend macht, eindeutig dem vorhandenen Datensatz zuzuordnen. Nicht erforderlich sind in aller Regel Ausweisnummer, Lichtbild, persönliche Merkmale und Staatsangehörigkeit. Die Anbieter_in darf die Ausweiskopie nur dazu nutzen, die Identität zu überprüfen. Danach muss die Kopie wieder vernichtet werden.³ Es empfiehlt sich, die nicht benötigten Ausschnitte des Ausweises bereits beim Scannen abzudecken. So läuft man später nicht Gefahr, dass Daten aus einem retuschierten Bild doch wieder herstellbar sind. Die verantwortliche Datenverarbeiter_in ist dazu verpflichtet, der Nutzer_in in der Wahrnehmung seiner Rechte aktiv zu unterstützen. Daraus folgt, dass die Anbieter_in den Identitätsnachweis nicht unter einem Medienbruch verlangen kann. Handelt es sich um eine internetbasierte Plattform, dürfen auch die Identitätsnachweise online erbracht werden (z.B. per Mail).

---

1. Jahresbericht des Berliner Datenschutzbeauftragten, S. 132, https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/publikationen/jahresbericht/BlnBDI-Jahresbericht-2017-Web.pdf ↩︎

2. Personalausweis und Datenschutz, LfDI NRW, https://www.ldi.nrw.de/datenschutz/wirtschaft/personalausweis-und-datenschutz ↩︎

3. Beifügung einer Personalausweiskopie bei Auskunftsrechten, Bundesdatenschutzbeauftragter (archiviert), https://web.archive.org/web/20200314022901/https://www.bfdi.bund.de/SharedDocs/Publikationen/AusweiskopieAuskunftsersuchen.html ↩︎