{"id":45836,"date":"2026-11-06T09:00:47","date_gmt":"2026-11-06T08:00:47","guid":{"rendered":"https:\/\/2b-advice.com\/?p=45836"},"modified":"2026-11-05T15:12:59","modified_gmt":"2026-11-05T14:12:59","slug":"identitaetspruefung-dsgvo-auskunft","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/en\/2026\/11\/06\/identitaetspruefung-dsgvo-auskunft\/","title":{"rendered":"Identit\u00e4tspr\u00fcfung bei DSGVO-Auskunft: Wann ist ein Ausweis n\u00f6tig?"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Identit\u00e4tspr\u00fcfung bei Auskunftsersuchen<\/h1>

Auskunft per E-Mail: Brauchen wir wirklich einen Ausweis?<\/h2>

Kurzantwort<\/h2>

Zus\u00e4tzliche Informationen zur Identit\u00e4tsbest\u00e4tigung kommen bei begr\u00fcndeten Zweifeln infrage. Eine Anfrage per E-Mail l\u00f6st keine pauschale Ausweispflicht aus. Ma\u00dfgeblich sind die vorhandene Authentifizierung, konkrete Unstimmigkeiten und das Risiko einer falschen Offenlegung. Unternehmen sollten den erforderlichen Nachweis auf den jeweiligen Fall begrenzen und die Entscheidung nachvollziehbar festhalten. Eine bekannte Absenderadresse allein ersetzt dabei nicht die Pr\u00fcfung des Zusammenhangs.<\/p>

Welche Zweifel bestehen tats\u00e4chlich?<\/h2>

Eine Kundin schreibt dem Kundenservice. Sie verwendet dieselbe E-Mail-Adresse wie bei ihren bisherigen Anfragen und m\u00f6chte wissen, welche personenbezogenen Daten das Unternehmen \u00fcber sie verarbeitet. Die erste Antwort ist schon vorbereitet: Bitte senden Sie uns eine Kopie Ihres Personalausweises.<\/p>

Dieser Beispielfall ist fiktiv. Er zeigt eine Entscheidung, die sich im Tagesgesch\u00e4ft leicht hinter einem Textbaustein versteckt. Bevor die Nachricht versendet wird, sollte die bearbeitende Person erkl\u00e4ren k\u00f6nnen, welche Unsicherheit die Ausweiskopie ausr\u00e4umen soll. Fehlt diese Erkl\u00e4rung, ist zun\u00e4chst der Pr\u00fcfweg zu kl\u00e4ren.<\/p>

Art. 12 Abs. 6 DSGVO erlaubt zus\u00e4tzliche, zur Identit\u00e4tsbest\u00e4tigung erforderliche Informationen bei begr\u00fcndeten Zweifeln. Gleichzeitig verlangt Art. 12 Abs. 2, die Aus\u00fcbung der Betroffenenrechte zu erleichtern. Eine interne Vorgabe kann diese Voraussetzungen nicht durch eine allgemeine Ausweispflicht ersetzen.<\/p>

Im Beispiel beginnt die Pr\u00fcfung deshalb mit dem vorhandenen Vorgang. Passt die Anfrage zum Kundenkonto? Wird eine andere Empf\u00e4ngeradresse genannt? Gibt es Hinweise auf einen kompromittierten Zugang oder widerspr\u00fcchliche Angaben? Ein allgemeiner Hinweis auf m\u00f6gliche Missbr\u00e4uche erkl\u00e4rt noch nicht, weshalb gerade diese Ausweiskopie erforderlich sein soll.<\/p>

Dabei sind zwei Fragen auseinanderzuhalten: Zu welchem Datensatz geh\u00f6rt das Ersuchen, und ist die anfragende Person berechtigt, die betreffenden Informationen zu erhalten? Eine Kundennummer kann bei der Zuordnung helfen. Sie ist damit noch kein belastbarer Identit\u00e4tsnachweis. Ebenso wenig beweist ein passender Name, dass die Person hinter einer Nachricht die betroffene Kundin ist.<\/p>

Welche vorhandenen Signale helfen bei der Pr\u00fcfung?<\/h2>

F\u00fcr die Kundin kann bereits ein gesicherter Zugang bestehen. Dann lohnt sich zun\u00e4chst der Blick auf dessen Authentifizierung und auf den Zusammenhang mit der Anfrage. Die EDPB-Leitlinien zum Auskunftsrecht nennen vorhandene Anmeldeverfahren als m\u00f6glichen Weg der Best\u00e4tigung; eine zus\u00e4tzliche Ausweiskopie ist bei bereits hinreichender Authentifizierung unverh\u00e4ltnism\u00e4\u00dfig.<\/p>

F\u00fcr die operative Bearbeitung empfiehlt sich ein kurzer Abgleich zwischen Kundenservice und der zust\u00e4ndigen Stelle f\u00fcr Betroffenenrechte. Der Kundenservice kennt den bisherigen Kontakt. Privacy Operations f\u00fchrt den Auskunftsvorgang. Falls technische Fragen offenbleiben, erl\u00e4utert die IT, welches Signal das System tats\u00e4chlich liefert. Ein sichtbarer Kontoname und eine erfolgreich abgeschlossene Authentifizierung sind unterschiedliche Informationen.<\/p>

Im Beispielfall sollte deshalb im Vorgang stehen, ob lediglich die Absenderadresse \u00fcbereinstimmt oder ob eine geeignete Best\u00e4tigung \u00fcber den vorhandenen Zugang erfolgt ist. Diese Unterscheidung hilft auch bei einer Vertretung: Die n\u00e4chste bearbeitende Person muss nicht aus einer Mailkette rekonstruieren, was bereits gepr\u00fcft wurde.<\/p>

Ein vertrauter Kontaktweg ist allerdings kein Freibrief. Wenn gleichzeitig eine neue Zustelladresse verlangt wird oder konkrete Sicherheitsauff\u00e4lligkeiten vorliegen, kann eine weitere Kl\u00e4rung notwendig sein. Eine erneute Nachricht an denselben m\u00f6glicherweise kompromittierten Kanal l\u00f6st dieses Problem nicht ohne Weiteres. Entscheidend ist, ob die gew\u00e4hlte Ma\u00dfnahme die konkrete Unsicherheit tats\u00e4chlich reduziert.<\/p>

Wie werden zus\u00e4tzliche Nachweise begrenzt?<\/h2>

Die Zusatzfrage sollte dort ansetzen, wo eine Information fehlt. F\u00fcr die Zuordnung kann eine bereits vorhandene Vertragsreferenz hilfreich sein. F\u00fcr die Authentifizierung kann ein geeignetes bestehendes Verfahren infrage kommen. Beide Schritte sollten im Prozess getrennt benannt werden, damit aus einer Suchhilfe nicht versehentlich eine Freigabe wird.<\/p>

Unsere organisatorische Empfehlung lautet: Vor jeder zus\u00e4tzlichen Anforderung im Vorgang einen Satz zum Anlass und einen Satz zur Eignung der gew\u00fcnschten Information festhalten. Das verhindert keine Fehler automatisch. Es macht aber sichtbar, ob die Anforderung aus dem Fall abgeleitet wurde oder nur aus dem Formular stammt.<\/p>

Eine Ausweiskopie bleibt eine M\u00f6glichkeit f\u00fcr begr\u00fcndete Einzelf\u00e4lle, keine Standardantwort. Die EDPB-Leitlinien verlangen Eignung, Erforderlichkeit, Verh\u00e4ltnism\u00e4\u00dfigkeit und die Beachtung nationaler Vorgaben. Gerade bei besonders schutzbed\u00fcrftigen Informationen k\u00f6nnen st\u00e4rkere Nachweise gerechtfertigt sein. Auch dann muss gekl\u00e4rt werden, wie das Dokument die Verbindung zur betroffenen Person und zu den angefragten Daten belegt.<\/p>

Wird eine Kopie erforderlich, sind die ben\u00f6tigten Angaben zu bestimmen und Hinweise zur Schw\u00e4rzung nicht ben\u00f6tigter Daten vorzusehen. Das Bayerische Landesamt f\u00fcr Datenschutzaufsicht weist zudem auf die Risiken einer \u00dcbersendung \u00fcber herk\u00f6mmliche, nicht Ende-zu-Ende-verschl\u00fcsselte E-Mail hin. Ein geeignet gesch\u00fctzter \u00dcbermittlungsweg geh\u00f6rt deshalb zur Pr\u00fcfung.<\/p>

Auch die weitere Ablage ist zu entscheiden. Die Kopie sollte nicht vorsorglich zum dauerhaften Anhang des Kundenkontos werden. Zweck, Zugriffsberechtigung und L\u00f6schung sind gesondert zu behandeln. Nach erfolgreicher Pr\u00fcfung kann ein geeigneter Pr\u00fcfvermerk gen\u00fcgen; die weitere Speicherung einer Kopie braucht eine eigene tragf\u00e4hige Grundlage. Die Aufbewahrung des Auskunftsvorgangs rechtfertigt nicht automatisch die Aufbewahrung s\u00e4mtlicher Identit\u00e4tsunterlagen.<\/p>

Entscheidungsmatrix f\u00fcr die Bearbeitung<\/h2>

Die folgende Matrix ist eine organisatorische Arbeitshilfe, keine gesetzlich vorgeschriebene Form und keine automatische Freigabelogik. Alle Zeilen sind Beispiele ohne reale personenbezogene Daten. Zust\u00e4ndige Rollen und zul\u00e4ssige Verfahren sind an die eigene Organisation anzupassen.<\/p>

Pr\u00fcfpunkt<\/th>Ben\u00f6tigte Information<\/th>Zust\u00e4ndige Rolle<\/th>Entscheidung \/ n\u00e4chster Schritt<\/th>Nachweis<\/th><\/tr><\/thead>
Beispiel: bekannte Kundin, vorhandener gesicherter Zugang<\/td>Ergebnis der bestehenden Authentifizierung; Bezug zum Ersuchen; m\u00f6gliche Auff\u00e4lligkeiten<\/td>Kundenservice und zust\u00e4ndige Sachbearbeitung Betroffenenrechte<\/td>Vorhandene Grundlage bewerten; bei ausreichender Best\u00e4tigung ohne zus\u00e4tzliche Ausweiskopie weiterarbeiten<\/td>Pr\u00fcfvermerk mit Verfahren, Ergebnis, Datum und bearbeitender Person<\/td><\/tr>
Beispiel: bekannte E-Mail-Adresse, neue Zustelladresse<\/td>Anlass der Abweichung; geeigneter unabh\u00e4ngig best\u00e4tigter Kontaktweg<\/td>Sachbearbeitung Betroffenenrechte, bei Bedarf IT-Sicherheit<\/td>Konkreten Zweifel festhalten; passende Zusatzbest\u00e4tigung w\u00e4hlen; keine Daten an ungekl\u00e4rte neue Adresse senden<\/td>Dokumentierter Zweifel, gew\u00e4hlte Ma\u00dfnahme und Ergebnis<\/td><\/tr>
Beispiel: Datensatz noch nicht eindeutig zugeordnet<\/td>Bereits vorhandene Referenz, die eine gezielte Suche erm\u00f6glicht<\/td>Kundenservice beziehungsweise zust\u00e4ndiger Fachbereich<\/td>Minimale Suchinformation erfragen; Authentifizierung davon getrennt bewerten<\/td>Suchkriterium und Zuordnung, ohne unn\u00f6tige Zusatzdaten<\/td><\/tr>
Beispiel: notwendige Ausweispr\u00fcfung nach Einzelfallbewertung<\/td>Nur erforderliche Merkmale; geeigneter \u00dcbermittlungsweg<\/td>Befugte Sachbearbeitung, Beratung durch Datenschutz\/Legal bei Zweifeln<\/td>Erforderlichkeit und Alternativen pr\u00fcfen; Schw\u00e4rzung erl\u00e4utern; Aufbewahrung gesondert entscheiden<\/td>Begr\u00fcndung, Pr\u00fcfergebnis und dokumentierte L\u00f6schentscheidung<\/td><\/tr><\/tbody><\/table><\/div>

Im Ausgangsfall f\u00fchrt die erste Zeile zu einer konkreten Aufgabe: Der Kundenservice liefert die bereits vorhandenen Authentifizierungsinformationen. Die zust\u00e4ndige Sachbearbeitung bewertet sie und h\u00e4lt fest, ob noch ein begr\u00fcndeter Zweifel besteht. Die Matrix fordert nicht, dass jede Kundin s\u00e4mtliche Zeilen durchl\u00e4uft.<\/p>

Wie werden Frist und Kommunikation behandelt?<\/h2>

Der Eingang des Ersuchens geh\u00f6rt sofort in die Fristensteuerung. Nach Art. 12 Abs. 3 DSGVO sind die Informationen \u00fcber die auf den Antrag ergriffenen Ma\u00dfnahmen unverz\u00fcglich, sp\u00e4testens innerhalb eines Monats nach Eingang bereitzustellen. Eine blo\u00dfe Eingangsbest\u00e4tigung erf\u00fcllt das Auskunftsbegehren nicht.<\/p>

Eine Verl\u00e4ngerung um bis zu zwei weitere Monate kommt bei entsprechender Erforderlichkeit unter Ber\u00fccksichtigung der Komplexit\u00e4t und Anzahl der Antr\u00e4ge infrage; dar\u00fcber und \u00fcber die Gr\u00fcnde ist innerhalb eines Monats zu informieren.<\/p>

Bei einer notwendigen Identit\u00e4tskl\u00e4rung ist die Fristbehandlung gesondert zu pr\u00fcfen. Der EDPB beschreibt eine m\u00f6gliche Aussetzung bis zum Erhalt der ben\u00f6tigten Informationen, sofern die zus\u00e4tzliche Information unverz\u00fcglich angefordert wurde. Eine routinem\u00e4\u00dfige Ausweisforderung rechtfertigt daher keinen pauschalen Fristneustart.<\/p>

F\u00fcr die Arbeitsorganisation empfiehlt sich, den urspr\u00fcnglichen Eingang unver\u00e4ndert zu erhalten und daneben den Anlass der R\u00fcckfrage, ihren Versand, den Antwortzeitpunkt und die begr\u00fcndete Fristberechnung zu dokumentieren. Eine Status\u00e4nderung auf \u201eWarten auf Kundin\u201c sollte die Kontrolle des Vorgangs nicht beenden. Auch w\u00e4hrend einer Kl\u00e4rung braucht er eine zust\u00e4ndige Person und einen n\u00e4chsten Pr\u00fcftermin.<\/p>

Die Kundin ben\u00f6tigt eine verst\u00e4ndliche Erkl\u00e4rung. Wenn tats\u00e4chlich eine Abweichung besteht, sollte die Nachricht den Kl\u00e4rungsbedarf und einen geeigneten Weg zur Best\u00e4tigung benennen, ohne dabei bereits gesch\u00fctzte Informationen offenzulegen. Ein allgemeines \u201eaus Datenschutzgr\u00fcnden\u201c hilft ihr wenig bei der Frage, was sie konkret tun soll.<\/p>

Im Ausgangsfall darf eine unberechtigte Standardanforderung auch korrigiert werden. Stellt die zust\u00e4ndige Person fest, dass die vorhandene Authentifizierung ausreicht, sollte sie die zus\u00e4tzliche Ausweiskopie nicht weiter verlangen und den Vorgang fortsetzen. Der interne Pr\u00fcfvermerk h\u00e4lt fest, warum die urspr\u00fcngliche R\u00fcckfrage entfallen ist.<\/p>

Standardreaktion und gezielter Pr\u00fcfprozess im Vergleich<\/h2>
Situation<\/th>Ungepr\u00fcfte Reaktion<\/th>Besserer Arbeitsschritt<\/th>Nachweis \/ Entscheidung<\/th><\/tr><\/thead>
Anfrage \u00fcber bekannten Kontaktweg<\/td>Ausweiskopie automatisch verlangen<\/td>Vorhandene Authentifizierung und Auff\u00e4lligkeiten pr\u00fcfen<\/td>Begr\u00fcndete Entscheidung \u00fcber zus\u00e4tzlichen Bedarf<\/td><\/tr>
Abweichende Zustelladresse<\/td>Neue Adresse ungepr\u00fcft \u00fcbernehmen<\/td>Abweichung kl\u00e4ren und sicheren Zustellweg festlegen<\/td>Best\u00e4tigter Empf\u00e4nger und gew\u00e4hlter Kanal<\/td><\/tr>
Zusatzinformation erforderlich<\/td>Vollst\u00e4ndiges Standardformular abfragen<\/td>Information auf den konkreten Kl\u00e4rungsbedarf begrenzen<\/td>Zweck und Umfang der Anforderung<\/td><\/tr>
R\u00fcckfrage versendet<\/td>Frist pauschal zur\u00fccksetzen<\/td>Rechtliche Fristwirkung gesondert bewerten<\/td>Urspr\u00fcnglicher Eingang und begr\u00fcndete Berechnung<\/td><\/tr>
Identit\u00e4t best\u00e4tigt<\/td>Kopie dauerhaft im Kundenkonto ablegen<\/td>Pr\u00fcfergebnis festhalten; Speicherbedarf gesondert pr\u00fcfen<\/td>Pr\u00fcfvermerk und L\u00f6schentscheidung<\/td><\/tr><\/tbody><\/table><\/div>

Wer entscheidet und welcher Nachweis bleibt?<\/h2>

Die Verantwortung liegt beim datenschutzrechtlich Verantwortlichen. F\u00fcr die Bearbeitung sollte intern bestimmt sein, wer gew\u00f6hnliche F\u00e4lle entscheidet und wann Datenschutz<\/a>, Legal oder IT-Sicherheit hinzugezogen werden. Der Datenschutzbeauftragte ber\u00e4t und \u00fcberwacht; er wird durch diese Arbeitshilfe nicht automatisch zum operativen Freigeber jedes Auskunftsersuchens.<\/p>

Im Beispiel sollte die Entscheidung sp\u00e4ter auch ohne R\u00fcckfrage bei der urspr\u00fcnglichen Sachbearbeitung verst\u00e4ndlich sein. Ein knapper Vermerk kann dazu den Anlass, die bewertete Authentifizierung, verbleibende Zweifel, die Entscheidung und den n\u00e4chsten Schritt verbinden. Die Dokumentation soll die \u00dcberlegung nachvollziehbar machen. Eine Ansammlung zus\u00e4tzlicher Dokumente ersetzt diese Begr\u00fcndung nicht.<\/p>

F\u00fcr den Einstieg empfiehlt sich eine Stichprobe abgeschlossener F\u00e4lle: Ist erkennbar, warum weitere Informationen verlangt oder bewusst nicht verlangt wurden? Lassen sich Fristberechnung und Zustellung nachvollziehen? Diese Fragen pr\u00fcfen die tats\u00e4chliche Bearbeitung. Die blo\u00dfe Anzahl vorhandener Ausweiskopien sagt dar\u00fcber wenig aus.<\/p>

F\u00fcnf h\u00e4ufige Fragen<\/h2>

Wann ist eine zus\u00e4tzliche Identit\u00e4tspr\u00fcfung erforderlich?<\/h3>

Zus\u00e4tzliche Informationen nach Art. 12 Abs. 6 DSGVO kommen bei begr\u00fcndeten Zweifeln an der Identit\u00e4t infrage. Vorhandene Authentifizierung und konkrete Umst\u00e4nde sind zu ber\u00fccksichtigen. Eine E-Mail-Anfrage allein begr\u00fcndet keine allgemeine Ausweispflicht.<\/p>

Welche Informationen brauchen die Beteiligten im Beispielfall?<\/h3>

Der Kundenservice liefert den Bezug zum bestehenden Kundenkonto und die vorhandenen Authentifizierungsinformationen. Die Sachbearbeitung ben\u00f6tigt au\u00dferdem m\u00f6gliche Abweichungen und den vorgesehenen Zustellweg. So kann sie pr\u00fcfen, ob \u00fcberhaupt eine zus\u00e4tzliche Information fehlt.<\/p>

Wer entscheidet \u00fcber den n\u00e4chsten Schritt?<\/h3>

Die intern befugte Stelle entscheidet f\u00fcr den Verantwortlichen innerhalb ihrer Zust\u00e4ndigkeit. Unklare rechtliche oder technische Fragen werden an die daf\u00fcr bestimmten Fachstellen gegeben. Eine automatische Freigabepflicht des Datenschutzbeauftragten folgt daraus nicht.<\/p>

Welche Grenzen gelten trotz best\u00e4tigter Identit\u00e4t?<\/h3>

Die Pr\u00fcfung der Identit\u00e4t ersetzt weder die Pr\u00fcfung von Vertretungsbefugnissen noch die Ber\u00fccksichtigung der Rechte Dritter nach Art. 15 Abs. 4 DSGVO. Rechte Dritter rechtfertigen keine pauschale Ablehnung des gesamten Ersuchens. Inhalt, Vertretungsbefugnis, Empf\u00e4nger und sichere Bereitstellung bleiben gesondert zu beurteilen.<\/p>

Woran zeigt sich, dass die Entscheidungsmatrix funktioniert?<\/h3>

An nachvollziehbar bearbeiteten F\u00e4llen: Anlass, ben\u00f6tigte Information, zust\u00e4ndige Person, Ergebnis und n\u00e4chster Schritt passen zusammen. Ob die Organisation daf\u00fcr eine Tabelle, ein Ticketsystem oder eine Fachanwendung nutzt, ist f\u00fcr diese konkrete Pr\u00fcflogik nachrangig.<\/p>

Einordnung f\u00fcr die Praxis<\/h2>

Im Beispielfall beginnt eine angemessene Identit\u00e4tspr\u00fcfung mit dem, was das Unternehmen bereits wei\u00df und verl\u00e4sslich best\u00e4tigen kann. Zus\u00e4tzliche Nachweise m\u00fcssen eine konkrete L\u00fccke schlie\u00dfen. Ein sinnvoller erster Schritt ist deshalb, den Standardtext f\u00fcr Auskunftsersuchen gemeinsam mit den tats\u00e4chlichen Bearbeitungsregeln zu pr\u00fcfen.<\/p>

Fordern Sie einen Ausweis, weil Zweifel bestehen \u2013 oder weil das Formular es so vorsieht?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t