Datenschutz · Awareness
Personalausweis kopieren – oft gemacht, aber erlaubt?
An der Hotelrezeption, bei der Autovermietung, im Personalbüro: Der Ausweis wird vorgelegt und landet auf dem Kopierer. Was das Personalausweisgesetz dazu sagt, wann eine Kopie zulässig ist und was in den allermeisten Fällen stattdessen genügt.
Sie checken in einem Hotel ein oder holen einen Mietwagen ab, legen Ihren Personalausweis vor — und sehen, wie er kopiert oder mit dem Smartphone abfotografiert wird. Der Vorgang wirkt harmlos und ist weit verbreitet. Rechtlich ist er es nicht: Wer einen Personalausweis kopieren will, braucht dafür eine ausdrückliche Grundlage.
Warum überhaupt kopiert wird
Der Auslöser ist meist banal: Namen sind fehleranfällig. Schon bei gebräuchlichen deutschen Namen ist unklar, ob sich jemand „Maier“, „Mair“ oder „Mayr“ schreibt, bei ausländischen Namen wird es schnell komplizierter. Falsche Schreibweisen führen zu fehlerhaften Rechnungen, im Einzelfall zu peinlichen Verwechslungen. Die Kopie erscheint dann als pragmatische Lösung — man hat den Beleg schwarz auf weiß und kann später nachsehen.
Genau an dieser Stelle entsteht das Problem. Die Kopie erfasst nicht nur die korrekte Schreibweise, sondern den kompletten Ausweisinhalt — und damit deutlich mehr Daten, als der Zweck hergibt.
Was § 20 PAuswG tatsächlich verlangt
Das Personalausweisgesetz regelt die Frage ausdrücklich. Nach § 20 Absatz 2 PAuswG darf der Ausweis von anderen Personen nur mit Zustimmung der Ausweisinhaberin oder des Ausweisinhabers abgelichtet werden. Der Begriff „ablichten“ ist technikneutral gemeint: Er umfasst die klassische Kopie ebenso wie den Scan und das Foto mit dem Mobiltelefon.
Die Vorschrift verlangt darüber hinaus dreierlei, was in der Praxis regelmäßig übersehen wird:
Erkennbar als Kopie
Die Ablichtung muss eindeutig und dauerhaft als Kopie erkennbar sein — sie darf nicht wie ein Original wirken.
Keine Weitergabe
Andere Personen als die Ausweisinhaberin oder der Ausweisinhaber dürfen die Kopie nicht an Dritte weitergeben.
Einwilligung für die Daten
Werden durch die Ablichtung personenbezogene Daten erhoben oder verarbeitet, ist dafür zusätzlich die Einwilligung erforderlich. Das allgemeine Datenschutzrecht gilt daneben unverändert weiter.
Ohne Zustimmung ist das Kopieren also unzulässig. Und eine Zustimmung, die an der Rezeption nebenbei eingeholt wird, trägt nur so weit, wie sie freiwillig ist — wer den Eindruck erweckt, ohne Kopie gebe es kein Zimmer und keinen Wagen, bekommt keine wirksame Einwilligung, sondern ein Dokumentationsproblem.
Der Ausweis enthält mehr, als für die Identität nötig ist
Die gesetzliche Zurückhaltung hat einen nachvollziehbaren Grund. Zur Feststellung der Identität genügen in aller Regel Name, Vorname, Anschrift und Geburtsdatum. Der Ausweis enthält darüber hinaus Geburtsort, Ausweisnummer, ausstellende Behörde, Größe und Augenfarbe. Eine vollständige Kopie erfasst diese Angaben zwangsläufig mit — obwohl niemand sie für den eigentlichen Zweck braucht. Das verstößt gegen den Grundsatz der Datenminimierung aus Artikel 5 Absatz 1 Buchstabe c DSGVO.
Sichtprüfung und Notiz reichen fast immer
Der Personalausweis ist in erster Linie ein Identitätsnachweis; § 20 Absatz 1 PAuswG stellt das ausdrücklich klar. Für diesen Zweck genügt die Vorlage und eine Sichtprüfung: Das Lichtbild wird mit der Person vor Ihnen abgeglichen. Ist eine Dokumentation nötig, werden die erforderlichen Angaben erfasst und gespeichert — abgeschrieben, nicht abfotografiert.
Für ein Hotel, das die Daten seiner Gäste erfasst, und für eine Autovermietung, die Kundendaten dokumentiert, ist das der zulässige Weg. Eine Ausweiskopie ist dafür grundsätzlich nicht erforderlich. Dasselbe gilt im Personalbüro: Die Ausweiskopie in der Personalakte ist ein Klassiker unter den Altlasten — für die Begründung des Arbeitsverhältnisses ist sie nicht nötig. Anders liegt es nur dort, wo ein Verfahren die Erfassung ausdrücklich vorsieht, etwa bei einer Sicherheitsüberprüfung von Beschäftigten im Rahmen sicherheitsrelevanter Aufträge.
Das eigentliche Risiko liegt in der Aufbewahrung
Ausweiskopien sind ein beliebtes Ziel. Sie eignen sich für Identitätsdiebstahl, für Bestellbetrug und für die Eröffnung von Konten auf fremde Namen. Dabei braucht es kein eigenes Interesse des Unternehmens am Missbrauch — es genügt, dass die Kopien vorhanden sind und jemand unbefugt darauf zugreift, sei es durch einen Einbruch, einen Cyberangriff oder eine unzureichend gesicherte Ablage.
Der einfachste Schutz ist deshalb auch der wirksamste: Daten, die gar nicht erst erhoben werden, können nicht missbraucht werden. Wer Altbestände findet, sollte sie nicht einfach weiterführen, sondern die Löschung personenbezogener Daten veranlassen und im Löschkonzept festhalten.
Es gibt echte Ausnahmen — aber sie sind eng
In bestimmten Fällen ist die Kopie gesetzlich vorgesehen oder sogar vorgeschrieben. Das prominenteste Beispiel ist das Geldwäschegesetz: Nach § 8 Absatz 2 GwG haben Verpflichtete das Recht und die Pflicht, die zur Identitätsprüfung vorgelegten Dokumente zu kopieren oder optisch digitalisiert zu erfassen. Betroffen sind unter anderem Banken und bestimmte Finanztransaktionen; auch beim Handel mit Edelmetallen greift ab bestimmten Beträgen eine Identifizierungspflicht einschließlich Dokumentation.
Entscheidend ist die Blickrichtung: Die Ausnahme muss sich aus einer Rechtsnorm ergeben, die für Ihr Unternehmen und für den konkreten Vorgang gilt. „Wir machen das immer so“ und „der Kunde hat nichts gesagt“ sind keine Rechtsgrundlagen. Wer sich auf eine Ausnahme stützt, sollte sie im Verarbeitungsverzeichnis benennen können.
Weiterführende Informationen
§ 20 Personalausweisgesetz im Wortlaut
Die Vorschrift regelt die Verwendung des Ausweises durch öffentliche und nichtöffentliche Stellen: Zustimmungserfordernis für Ablichtungen, Erkennbarkeit als Kopie, Weitergabeverbot und das Verhältnis zum allgemeinen Datenschutzrecht.
Zum Gesetzestext →Was Sie im Betrieb konkret tun sollten
✓ Sichtprüfung zum Standard machen: Ausweis vorlegen lassen, Lichtbild abgleichen, benötigte Angaben notieren — und zurückgeben.
✓ Nur erfassen, was der Zweck trägt: In aller Regel Name, Vorname, Anschrift, Geburtsdatum. Ausweisnummer, Größe und Augenfarbe gehören nicht in Ihre Systeme.
✓ Ausnahmen schriftlich begründen: Wer nach dem Geldwäschegesetz oder einer anderen Norm kopieren muss, hält die Grundlage im Verarbeitungsverzeichnis fest.
✓ Altbestände aufräumen: Ausweiskopien in Personalakten, Vertragsordnern und Postfächern suchen, bewerten und löschen, wenn keine Grundlage besteht.
✓ Beschäftigte am Empfang schulen: Der Kopierer steht dort, wo Gäste und Kunden ankommen. Die Regel muss dort bekannt sein, nicht nur in der Datenschutzdokumentation.
✓ Selbst nichts ungeprüft herausgeben: Wer Sie um eine Ausweiskopie bittet, sollte sagen können, wofür. Unnötige Angaben dürfen Sie schwärzen — mit Ausnahme der Fälle, in denen das Gesetz die vollständige Erfassung verlangt.
Die Ausweiskopie ist ein gutes Beispiel dafür, wie aus einer gut gemeinten Gewohnheit ein dauerhaftes Risiko wird. Der Aufwand, sie abzuschaffen, ist gering — in den meisten Fällen genügt der Blick auf den Ausweis und ein Feld im Formular. Der Gewinn ist ein Datenbestand, der im Schadensfall schlicht nicht da ist.
Liegen bei Ihnen noch Ausweiskopien?
Ich sehe mir mit Ihnen an, wo in Ihren Prozessen Ausweisdaten erhoben werden, welche davon eine Grundlage haben und wie Sie Altbestände geordnet auflösen — einschließlich der Frage, was im Verarbeitungsverzeichnis und im Löschkonzept dazu stehen muss.