Digitale Identität sicher teilen: Was passiert mit Ihren Ausweisdaten und wie schützt Sie die DSGVO?
Ob beim Eröffnen eines Bankkontos, beim Abschließen eines Mobilfunkvertrags oder beim Verifizieren eines Online-Profils – das digitale Vorzeigen des Personalausweises gehört für viele Menschen längst zum Alltag. Doch kaum jemand fragt sich dabei: Wo landen meine Daten eigentlich? Wer speichert sie, wie lange, und was passiert, wenn ein Anbieter gehackt wird? Dieser Artikel erklärt, wie Ausweisdaten im digitalen Raum verarbeitet werden und welchen konkreten Schutz die DSGVO Ihnen dabei bietet.
Was passiert beim digitalen Identitätsnachweis technisch gesehen?
Wenn Sie Ihre digitale Identität über einen Online-Dienst verifizieren, durchläuft Ihr Ausweis in der Regel mehrere technische Schritte. Zunächst fotografieren Sie das Dokument – oft mit dem Smartphone – oder nutzen die integrierte NFC-Funktion moderner Ausweise. Eine Verifikationssoftware liest dann automatisch die sichtbaren Daten aus: Name, Geburtsdatum, Ausstellungsdatum und Ablaufdatum.
Viele Anbieter setzen dabei auf sogenannte Identity-Verification-Dienste (IDV-Dienste), die als Drittanbieter zwischengeschaltet sind. Diese Dienstleister vergleichen Ihr Ausweisfoto mit einem Selfie, das Sie in Echtzeit aufnehmen – ein Verfahren, das als Liveness-Detection bezeichnet wird. Dabei entstehen biometrische Daten, die laut DSGVO als besonders schützenswert gelten.
Ein wichtiger Unterschied besteht zwischen der reinen Verifikation und der dauerhaften Speicherung: Seriöse Anbieter prüfen Ihre Identität, löschen die Rohdaten des Ausweises anschließend und speichern nur das Ergebnis – etwa ein „Identität bestätigt"-Signal mit einem anonymisierten Referenzwert. Weniger transparente Dienste hingegen archivieren vollständige Ausweiskopien, manchmal ohne klaren Löschprozess.
Was die DSGVO konkret für Ihre Ausweisdaten bedeutet
Die Datenschutz-Grundverordnung (DSGVO) stellt klare Anforderungen an jeden, der personenbezogene Daten – und Ausweisdaten sind eindeutig personenbezogen – verarbeitet. Folgende Rechte stehen Ihnen dabei zu:
- Recht auf Auskunft (Art. 15 DSGVO): Sie können jederzeit anfragen, welche Daten ein Unternehmen über Sie gespeichert hat. Das gilt ausdrücklich auch für Ausweiskopien oder biometrische Vergleichsdaten.
- Recht auf Löschung (Art. 17 DSGVO): Sobald der ursprüngliche Zweck der Verarbeitung entfallen ist – also die Identität einmal erfolgreich verifiziert wurde – haben Sie das Recht, die Löschung der Rohdaten zu verlangen.
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Wenn die Verarbeitung auf Ihrer Einwilligung beruht, können Sie verlangen, Ihre Daten in einem maschinenlesbaren Format zu erhalten.
- Recht auf Widerspruch (Art. 21 DSGVO): In bestimmten Fällen können Sie der weiteren Verarbeitung widersprechen, ohne Ihre Vertragsbeziehung zwingend zu beenden.
Besonders relevant ist Artikel 9 der DSGVO, der die Verarbeitung biometrischer Daten grundsätzlich verbietet – es sei denn, es liegt eine ausdrückliche Einwilligung vor oder die Verarbeitung ist aus vertraglichen Gründen zwingend notwendig. Viele IDV-Dienste holen diese Einwilligung über lange Nutzungsbedingungen ein, die kaum jemand liest. Tipp: Suchen Sie aktiv nach dem Begriff „biometrische Daten" oder „Liveness-Check" in der Datenschutzerklärung eines Anbieters.
Praktische Tipps zum sicheren Teilen Ihrer digitalen Identität
Technische und rechtliche Kenntnis hilft nur, wenn Sie sie aktiv einsetzen. Hier sind konkrete Maßnahmen, mit denen Sie Ihre Ausweisdaten besser schützen können:
1. Minimalprinzip anwenden
Teilen Sie immer nur die Daten, die tatsächlich notwendig sind. Der neue Personalausweis erlaubt in bestimmten Szenarien das selektive Weitergeben einzelner Attribute – etwa nur die Altersbestätigung ohne Übermittlung des vollständigen Geburtsdatums. Nutzen Sie diese Funktion, wenn ein Dienst sie unterstützt.
2. Anbieter vor der Verifikation prüfen
Bevor Sie Ihren Ausweis digital vorzeigen, lohnt sich ein kurzer Check: Ist der Anbieter in der EU ansässig oder zumindest dem EU-Datenschutzniveau verpflichtet? Gibt es eine klare Datenschutzerklärung mit Angaben zur Speicherdauer? Ist ein Datenschutzbeauftragter benannt? Fehlen diese Informationen, ist Vorsicht geboten.
3. Fotos und Kopien nicht selbst versenden
Vermeiden Sie es, Ausweiskopien per E-Mail oder über Messenger-Dienste zu übermitteln, die keine Ende-zu-Ende-Verschlüsselung bieten. Wenn ein Anbieter eine solche Übermittlung verlangt, ist das bereits ein Warnsignal – legitime Identitätsprüfungen nutzen gesicherte Upload-Kanäle.
4. Löschbestätigung anfordern
Nach einer erfolgreichen Verifikation können Sie schriftlich – per E-Mail genügt – anfragen, ob und wann Ihre Ausweiskopie gelöscht wurde. Seriöse Unternehmen antworten darauf innerhalb der gesetzlichen Frist von einem Monat.
5. Datenpannen im Blick behalten
Abonnieren Sie Benachrichtigungsdienste, die Sie über bekannte Datenlecks informieren. Falls ein Dienst, bei dem Sie sich verifiziert haben, einen Sicherheitsvorfall meldet, haben Sie als betroffene Person das Recht auf unverzügliche Information nach Artikel 34 DSGVO.
Fazit: Informierte Nutzer schützen sich am besten
Die digitale Ident