Auskunftsbegehren: Identifikation des Betroffenen?

Im Zuge von Auskunftsbegehren nach Art 15 DSGVO kommt der eindeutigen Identifikation der betroffenen Person eine zentrale Bedeutung zu. Die Feststellung der Personalien dient zur Abwehr von missbräuchlichen Auskunftsbegehren und soll gewährleisten, dass Auskünfte nur an befugte Personen erteilt werden.

Identifikation bei begründetem Zweifel

Hat der Verantwortliche begründete Zweifel an der Identität der anfragenden Person, so können zur eindeutigen Identifikation der betroffenen Person weitere Informationen angefordert werden. Eine Überprüfung der Identität wird in der Regel nicht erforderlich sein, wenn die Anfrage von einer der betroffenen Person zugeordneten Anschrift oder E-Mail-Adresse kommt.

Mittel zur Identifikation

Wenn Zweifel an der Identität des Antragstellers vorliegen, stellt sich die Frage, welche zusätzlichen Informationen zur Identifizierung angefordert werden können.

Mögliche Verfahren zur Identifikation sind ua die telefonische Abfrage von personenbezogenen Daten wie Geburtsdatum, Mobilfunknummer, Datum und Höhe der letzten Bestellung. Die Vereinbarung einer Sicherheitsabfrage oder die Verwendung einer bereits bekannten postalischen Adresse wie der Rechnungsanschrift kann der Identifizierung dienen. Die Auswahl der Mittel zur Identifizierung des Antragstellers wird wohl auch von der Art der verarbeiteten Daten abhängig sein.

Kann der Verantwortliche anhand der von ihm verarbeiteten personenbezogenen Daten einen Antragsteller nicht identifizieren, so sollte er nicht verpflichtet sein, zusätzliche Daten einzuholen. Allerdings sollte er sich nicht weigern, zusätzliche Informationen entgegenzunehmen, die von der betroffenen Person angeboten werden. Die Überprüfung sollte auch digitale Authentifizierungsverfahren bei dem von dem Verantwortlichen bereitgestellten Online-Dienst einschließen.

Ausweiskopien zur Identifikation

Die Erforderlichkeit von Ausweiskopien, vor allem Kopie von Personalausweis oder Pass, bedarf gesonderter Prüfung und in der Regel der Einwilligung des Betroffenen. Gegebenenfalls genügt bereits die Vorlage des Ausweises und ein entsprechender Vermerk. Nach deutscher Rechtslage ist eine etwaige Ablichtung (auch Scan) des Ausweises eindeutig und dauerhaft als Kopie zu kennzeichnen. Die Ausweiskopie darf vom Verantwortlichen nicht an Dritte weiter gegeben werden und ist nach Überprüfung der Daten bzw erfolgter Identifikation zu vernichten. Der Betroffene ist darauf hinzuweisen, dass für die Identifikation nicht benötigte Informationen geschwärzt werden können.

Anmerkung: Aus persönlicher Sicht halte ich die Anforderung von Ausweiskopien zur Identitätsfeststellung für problematisch. In der Regel stellt dies eine zusätzliche Datenerhebung statt, wobei rechtlich unklar ist, ob neben der Einwilligung des Betroffenen auch andere Erlaubnistatbestände für die Verarbeitung der Ausweisdaten herangezogen werden können. In Hinblick auf bestehende alternative Möglichkeiten zur Identitätsfeststellung könnte bei der Verarbeitung der Ausweisdaten möglicherweise auch ein Verstoß gegen den Grundsatz auf Datenminimierung vorliegen.

Keine Identifizierung bei Negativauskünften

Bei reinen Negativauskünften ( dh keine personenbezogenen Daten zu möglichen Identitäten gespeichert) ist eine Identifizierung nicht erforderlich.

Keine Auskunft bei fehlender Identifizierung

Kann der Verantwortliche die betroffene Person nicht identifizieren, dann kann er sich weigern, das Auskunftsbegehren zu erfüllen.