Identitätsprüfung bei Auskunftsersuchen

Auskunft per E-Mail: Brauchen wir wirklich einen Ausweis?

Kurzantwort

Zusätzliche Informationen zur Identitätsbestätigung kommen bei begründeten Zweifeln infrage. Eine Anfrage per E-Mail löst keine pauschale Ausweispflicht aus. Maßgeblich sind die vorhandene Authentifizierung, konkrete Unstimmigkeiten und das Risiko einer falschen Offenlegung. Unternehmen sollten den erforderlichen Nachweis auf den jeweiligen Fall begrenzen und die Entscheidung nachvollziehbar festhalten. Eine bekannte Absenderadresse allein ersetzt dabei nicht die Prüfung des Zusammenhangs.

Welche Zweifel bestehen tatsächlich?

Eine Kundin schreibt dem Kundenservice. Sie verwendet dieselbe E-Mail-Adresse wie bei ihren bisherigen Anfragen und möchte wissen, welche personenbezogenen Daten das Unternehmen über sie verarbeitet. Die erste Antwort ist schon vorbereitet: Bitte senden Sie uns eine Kopie Ihres Personalausweises.

Dieser Beispielfall ist fiktiv. Er zeigt eine Entscheidung, die sich im Tagesgeschäft leicht hinter einem Textbaustein versteckt. Bevor die Nachricht versendet wird, sollte die bearbeitende Person erklären können, welche Unsicherheit die Ausweiskopie ausräumen soll. Fehlt diese Erklärung, ist zunächst der Prüfweg zu klären.

Art. 12 Abs. 6 DSGVO erlaubt zusätzliche, zur Identitätsbestätigung erforderliche Informationen bei begründeten Zweifeln. Gleichzeitig verlangt Art. 12 Abs. 2, die Ausübung der Betroffenenrechte zu erleichtern. Eine interne Vorgabe kann diese Voraussetzungen nicht durch eine allgemeine Ausweispflicht ersetzen.

Im Beispiel beginnt die Prüfung deshalb mit dem vorhandenen Vorgang. Passt die Anfrage zum Kundenkonto? Wird eine andere Empfängeradresse genannt? Gibt es Hinweise auf einen kompromittierten Zugang oder widersprüchliche Angaben? Ein allgemeiner Hinweis auf mögliche Missbräuche erklärt noch nicht, weshalb gerade diese Ausweiskopie erforderlich sein soll.

Dabei sind zwei Fragen auseinanderzuhalten: Zu welchem Datensatz gehört das Ersuchen, und ist die anfragende Person berechtigt, die betreffenden Informationen zu erhalten? Eine Kundennummer kann bei der Zuordnung helfen. Sie ist damit noch kein belastbarer Identitätsnachweis. Ebenso wenig beweist ein passender Name, dass die Person hinter einer Nachricht die betroffene Kundin ist.

Welche vorhandenen Signale helfen bei der Prüfung?

Für die Kundin kann bereits ein gesicherter Zugang bestehen. Dann lohnt sich zunächst der Blick auf dessen Authentifizierung und auf den Zusammenhang mit der Anfrage. Die EDPB-Leitlinien zum Auskunftsrecht nennen vorhandene Anmeldeverfahren als möglichen Weg der Bestätigung; eine zusätzliche Ausweiskopie ist bei bereits hinreichender Authentifizierung unverhältnismäßig.

Für die operative Bearbeitung empfiehlt sich ein kurzer Abgleich zwischen Kundenservice und der zuständigen Stelle für Betroffenenrechte. Der Kundenservice kennt den bisherigen Kontakt. Privacy Operations führt den Auskunftsvorgang. Falls technische Fragen offenbleiben, erläutert die IT, welches Signal das System tatsächlich liefert. Ein sichtbarer Kontoname und eine erfolgreich abgeschlossene Authentifizierung sind unterschiedliche Informationen.

Im Beispielfall sollte deshalb im Vorgang stehen, ob lediglich die Absenderadresse übereinstimmt oder ob eine geeignete Bestätigung über den vorhandenen Zugang erfolgt ist. Diese Unterscheidung hilft auch bei einer Vertretung: Die nächste bearbeitende Person muss nicht aus einer Mailkette rekonstruieren, was bereits geprüft wurde.

Ein vertrauter Kontaktweg ist allerdings kein Freibrief. Wenn gleichzeitig eine neue Zustelladresse verlangt wird oder konkrete Sicherheitsauffälligkeiten vorliegen, kann eine weitere Klärung notwendig sein. Eine erneute Nachricht an denselben möglicherweise kompromittierten Kanal löst dieses Problem nicht ohne Weiteres. Entscheidend ist, ob die gewählte Maßnahme die konkrete Unsicherheit tatsächlich reduziert.

Wie werden zusätzliche Nachweise begrenzt?

Die Zusatzfrage sollte dort ansetzen, wo eine Information fehlt. Für die Zuordnung kann eine bereits vorhandene Vertragsreferenz hilfreich sein. Für die Authentifizierung kann ein geeignetes bestehendes Verfahren infrage kommen. Beide Schritte sollten im Prozess getrennt benannt werden, damit aus einer Suchhilfe nicht versehentlich eine Freigabe wird.

Unsere organisatorische Empfehlung lautet: Vor jeder zusätzlichen Anforderung im Vorgang einen Satz zum Anlass und einen Satz zur Eignung der gewünschten Information festhalten. Das verhindert keine Fehler automatisch. Es macht aber sichtbar, ob die Anforderung aus dem Fall abgeleitet wurde oder nur aus dem Formular stammt.

Eine Ausweiskopie bleibt eine Möglichkeit für begründete Einzelfälle, keine Standardantwort. Die EDPB-Leitlinien verlangen Eignung, Erforderlichkeit, Verhältnismäßigkeit und die Beachtung nationaler Vorgaben. Gerade bei besonders schutzbedürftigen Informationen können stärkere Nachweise gerechtfertigt sein. Auch dann muss geklärt werden, wie das Dokument die Verbindung zur betroffenen Person und zu den angefragten Daten belegt.

Wird eine Kopie erforderlich, sind die benötigten Angaben zu bestimmen und Hinweise zur Schwärzung nicht benötigter Daten vorzusehen. Das Bayerische Landesamt für Datenschutzaufsicht weist zudem auf die Risiken einer Übersendung über herkömmliche, nicht Ende-zu-Ende-verschlüsselte E-Mail hin. Ein geeignet geschützter Übermittlungsweg gehört deshalb zur Prüfung.

Auch die weitere Ablage ist zu entscheiden. Die Kopie sollte nicht vorsorglich zum dauerhaften Anhang des Kundenkontos werden. Zweck, Zugriffsberechtigung und Löschung sind gesondert zu behandeln. Nach erfolgreicher Prüfung kann ein geeigneter Prüfvermerk genügen; die weitere Speicherung einer Kopie braucht eine eigene tragfähige Grundlage. Die Aufbewahrung des Auskunftsvorgangs rechtfertigt nicht automatisch die Aufbewahrung sämtlicher Identitätsunterlagen.

Entscheidungsmatrix für die Bearbeitung

Die folgende Matrix ist eine organisatorische Arbeitshilfe, keine gesetzlich vorgeschriebene Form und keine automatische Freigabelogik. Alle Zeilen sind Beispiele ohne reale personenbezogene Daten. Zuständige Rollen und zulässige Verfahren sind an die eigene Organisation anzupassen.

Im Ausgangsfall führt die erste Zeile zu einer konkreten Aufgabe: Der Kundenservice liefert die bereits vorhandenen Authentifizierungsinformationen. Die zuständige Sachbearbeitung bewertet sie und hält fest, ob noch ein begründeter Zweifel besteht. Die Matrix fordert nicht, dass jede Kundin sämtliche Zeilen durchläuft.

Wie werden Frist und Kommunikation behandelt?

Der Eingang des Ersuchens gehört sofort in die Fristensteuerung. Nach Art. 12 Abs. 3 DSGVO sind die Informationen über die auf den Antrag ergriffenen Maßnahmen unverzüglich, spätestens innerhalb eines Monats nach Eingang bereitzustellen. Eine bloße Eingangsbestätigung erfüllt das Auskunftsbegehren nicht.

Eine Verlängerung um bis zu zwei weitere Monate kommt bei entsprechender Erforderlichkeit unter Berücksichtigung der Komplexität und Anzahl der Anträge infrage; darüber und über die Gründe ist innerhalb eines Monats zu informieren.

Bei einer notwendigen Identitätsklärung ist die Fristbehandlung gesondert zu prüfen. Der EDPB beschreibt eine mögliche Aussetzung bis zum Erhalt der benötigten Informationen, sofern die zusätzliche Information unverzüglich angefordert wurde. Eine routinemäßige Ausweisforderung rechtfertigt daher keinen pauschalen Fristneustart.

Für die Arbeitsorganisation empfiehlt sich, den ursprünglichen Eingang unverändert zu erhalten und daneben den Anlass der Rückfrage, ihren Versand, den Antwortzeitpunkt und die begründete Fristberechnung zu dokumentieren. Eine Statusänderung auf „Warten auf Kundin“ sollte die Kontrolle des Vorgangs nicht beenden. Auch während einer Klärung braucht er eine zuständige Person und einen nächsten Prüftermin.

Die Kundin benötigt eine verständliche Erklärung. Wenn tatsächlich eine Abweichung besteht, sollte die Nachricht den Klärungsbedarf und einen geeigneten Weg zur Bestätigung benennen, ohne dabei bereits geschützte Informationen offenzulegen. Ein allgemeines „aus Datenschutzgründen“ hilft ihr wenig bei der Frage, was sie konkret tun soll.

Im Ausgangsfall darf eine unberechtigte Standardanforderung auch korrigiert werden. Stellt die zuständige Person fest, dass die vorhandene Authentifizierung ausreicht, sollte sie die zusätzliche Ausweiskopie nicht weiter verlangen und den Vorgang fortsetzen. Der interne Prüfvermerk hält fest, warum die ursprüngliche Rückfrage entfallen ist.

Standardreaktion und gezielter Prüfprozess im Vergleich

Wer entscheidet und welcher Nachweis bleibt?

Die Verantwortung liegt beim datenschutzrechtlich Verantwortlichen. Für die Bearbeitung sollte intern bestimmt sein, wer gewöhnliche Fälle entscheidet und wann Datenschutz, Legal oder IT-Sicherheit hinzugezogen werden. Der Datenschutzbeauftragte berät und überwacht; er wird durch diese Arbeitshilfe nicht automatisch zum operativen Freigeber jedes Auskunftsersuchens.

Im Beispiel sollte die Entscheidung später auch ohne Rückfrage bei der ursprünglichen Sachbearbeitung verständlich sein. Ein knapper Vermerk kann dazu den Anlass, die bewertete Authentifizierung, verbleibende Zweifel, die Entscheidung und den nächsten Schritt verbinden. Die Dokumentation soll die Überlegung nachvollziehbar machen. Eine Ansammlung zusätzlicher Dokumente ersetzt diese Begründung nicht.

Für den Einstieg empfiehlt sich eine Stichprobe abgeschlossener Fälle: Ist erkennbar, warum weitere Informationen verlangt oder bewusst nicht verlangt wurden? Lassen sich Fristberechnung und Zustellung nachvollziehen? Diese Fragen prüfen die tatsächliche Bearbeitung. Die bloße Anzahl vorhandener Ausweiskopien sagt darüber wenig aus.

Fünf häufige Fragen

Wann ist eine zusätzliche Identitätsprüfung erforderlich?

Zusätzliche Informationen nach Art. 12 Abs. 6 DSGVO kommen bei begründeten Zweifeln an der Identität infrage. Vorhandene Authentifizierung und konkrete Umstände sind zu berücksichtigen. Eine E-Mail-Anfrage allein begründet keine allgemeine Ausweispflicht.

Welche Informationen brauchen die Beteiligten im Beispielfall?

Der Kundenservice liefert den Bezug zum bestehenden Kundenkonto und die vorhandenen Authentifizierungsinformationen. Die Sachbearbeitung benötigt außerdem mögliche Abweichungen und den vorgesehenen Zustellweg. So kann sie prüfen, ob überhaupt eine zusätzliche Information fehlt.

Wer entscheidet über den nächsten Schritt?

Die intern befugte Stelle entscheidet für den Verantwortlichen innerhalb ihrer Zuständigkeit. Unklare rechtliche oder technische Fragen werden an die dafür bestimmten Fachstellen gegeben. Eine automatische Freigabepflicht des Datenschutzbeauftragten folgt daraus nicht.

Welche Grenzen gelten trotz bestätigter Identität?

Die Prüfung der Identität ersetzt weder die Prüfung von Vertretungsbefugnissen noch die Berücksichtigung der Rechte Dritter nach Art. 15 Abs. 4 DSGVO. Rechte Dritter rechtfertigen keine pauschale Ablehnung des gesamten Ersuchens. Inhalt, Vertretungsbefugnis, Empfänger und sichere Bereitstellung bleiben gesondert zu beurteilen.

Woran zeigt sich, dass die Entscheidungsmatrix funktioniert?

An nachvollziehbar bearbeiteten Fällen: Anlass, benötigte Information, zuständige Person, Ergebnis und nächster Schritt passen zusammen. Ob die Organisation dafür eine Tabelle, ein Ticketsystem oder eine Fachanwendung nutzt, ist für diese konkrete Prüflogik nachrangig.

Einordnung für die Praxis

Im Beispielfall beginnt eine angemessene Identitätsprüfung mit dem, was das Unternehmen bereits weiß und verlässlich bestätigen kann. Zusätzliche Nachweise müssen eine konkrete Lücke schließen. Ein sinnvoller erster Schritt ist deshalb, den Standardtext für Auskunftsersuchen gemeinsam mit den tatsächlichen Bearbeitungsregeln zu prüfen.

Fordern Sie einen Ausweis, weil Zweifel bestehen – oder weil das Formular es so vorsieht?