Source: http://www.daten-speicherung.de/index.php/beschwerde-gegen-ausweis-scans-der-deutschen-post-ag/
Timestamp: 2019-02-19 11:40:06+00:00

Document:
Daten-Speicherung.de – minimum data, maximum privacy » Beschwerde gegen Ausweis-Scans der Deutschen Post AG [ergänzt]
Unter https://www.deutschepost.de/de/p/postident/sicherheit.html heißt es dazu: „Ab November 2015 Bereitstellung der gescannten Kopie des Ausweisdokumentes“. Dies lässt eine Weitergabe der erhobenen Kopie befürchten. Nach einem weiteren Bericht setzt die Weitergabe eine gesonderte Vereinbarung mit dem Kunden voraus; jedoch wird auch ohne eine solche Vereinbarung gescannt und mindestens zwei Tage lang elektronisch gespeichert.
Die Datenerhebung verstößt in jedem Fall gegen Datenschutzrecht, weil sie nicht erforderlich ist. Zur Feststellung der Identität einer anwesenden Person genügt die Einsichtnahme in den Ausweis und das Abschreiben der Daten (VG Hannover, 28.11.2013 – 10 A 5342/11).
Die Datenerhebung verstößt daneben auch gegen die §§ 14, 20 PAuswG (Gesetzesbegründung: „Weitere Verfahren z.B. über die optoelektronische Erfassung (’scannen‘) von Ausweisdaten oder dem maschinenlesbaren Bereich sollen ausdrücklich ausgeschlossen werden.“ Vgl. auch VG Hannover, 28.11.2013 – 10 A 5342/11). Durch den Scan wird der Ausweis automatisiert gespeichert.
Was das GwG angeht, rechtfertigt dies die Praxis nicht: Zum Einen wird der Scan nicht von demjenigen angefertigt und gespeichert, den die Identifizierungspflicht trifft. Zum anderen scannt die Post mehr Daten als nach dem GwG überhaupt zu erheben sind. Schließlich gilt eine Ausweiskopie zwar nach § 8 GwG als Datenerhebung, jedoch ist es nicht erforderlich, sowohl die Daten zu erheben als auch eine Kopie anzufertigen. Vielmehr genügt eine Aufzeichnung der Daten durch Niederschrift (vgl. Herzog, Geldwäschegesetz § 8, Rn. 11). Das VG Hannover weist im Übrigen zurecht darauf hin, dass das Scannen und automatisierte Speichern mit der Möglichkeit der Weiterverarbeitung eine „andere rechtliche Qualität aufweist“ als die im GwG zugelassene Fotokopie.
Auch die Verbraucherzentrale hat sich des Problems angenommen. Ihr gegenüber hat die Post nun eine Stellungnahme abgegeben, in der sie ihre Praxis unter Berufung auf das Geldwäschegesetz verteidigt. Aus meiner Erwiderung:
Die Datenerhebung verstößt gegen das Erforderlichkeitsgebot und Datenminimierungsgebot im Datenschutzrecht, weil sie nicht erforderlich ist. Zur Feststellung der Identität einer anwesenden Person genügt die Einsichtnahme in den Ausweis und das Abschreiben der Daten (VG Hannover, 28.11.2013 – 10 A 5342/11).
Von Seiten der BaFin ist die Deutsche Post AG seit einigen Monaten gehalten, Personalausweise im Rahmen des Postidentverfahrens einzuscannen. Dies diene der Geldwäscheprävention und damit der Bekämpfung von organisierter Kriminalität und Terrorismus. Die LDI NRW ist der Auffassung, dass diese Vorgehensweise vom Geldwäschegesetz gedeckt ist (und damit datenschutzrechtlich konform ist, da dieses als Spezialgesetz dem PAuswG vorgeht), solange die nicht für die Identifizierung benötigten Angaben geschwärzt werden. Rechtsgrundlage ist § 8 Abs. 1 Satz 3, Abs. 2 Geldwäschegesetz i.V.m. § 6 Abs. 2 Nr. 2 Geldwäschegesetz und § 4 Abs. 1 Bundesdatenschutzgesetz. Unter einer Kopie ist auch eine elektronische/digitale Kopie zu verstehen. Das von Ihnen zitierte Urteil betrifft einen Sachverhalt, der nicht unter das Geldwäschegesetz fällt und ist hier nicht anwendbar.
In § 8 Abs. 1 Satz 3 Geldwäschegesetz heißt es ausdrücklich, dass die Anfertigung einer Kopie als Aufzeichnung gilt. Wie bereits mitgeteilt sind wir der Auffassung, dass damit auch eine elektronische Kopie gemeint sein kann. Eine Niederschrift gilt ebenfalls als Aufzeichnung. Herzog bezeichnet die Aufzeichnungsarten als gleichrangig. Die Niederschrift wurde aber gerade von den zuständigen Behörden in Bezug auf die Ziele des Geldwäschegesetzes als nicht ausreichend bezeichnet und ist damit kein gleich geeignetes Mittel. Nach unserer Auffassung ist das Einscannen daher durchaus erforderlich und auch konform mit dem Geldwäschegesetz.
9.416mal gelesen
Das kann doch nicht wahr sein. — 28. September 2016 @ 16.43 Uhr
Das Scannen des Ausweises durch die Deutsche Post für PostIdent-Verfahren muss nicht sein und darf nicht sein.
Wer weiß denn, wer alles Zugriff auf diese Daten (Kopien) hat.
Identitätsdiebstahl ist dann sehr leicht möglich.
Eingang, Folgen, Rat — 28. September 2016 @ 17.10 Uhr
Vielen Dank für diese Beschwerde. Hat Ihnen der LDI NRW den Eingang mittlerweile bestätigt und vor allem einen Zeitraum für seine eigene Prüfung genannt, nachdem mit einem Ergebnis zu rechnen wäre?
Was sollte denn ggf. aus dieser Beschwerde, abgesehen von der Änderung der Praxis für die Zukunft und der Sperrung/Löschung folgen? Jeder Betroffene müsste ja für sich nachweisen, ob ihm/ihr ein Schaden entstanden wäre, korrekt?
Zudem, was würden Sie als Sachverständiger raten, wenn man aktuell nicht auf das PostIdent verzichten kann? Gleich einen Protestvermerk in der Poststelle aufnehmen lassen, soweit möglich?
Dürfte/sollte man sich mit Ihrem Text selbst noch einmal beschweren?
Eine Eingangsbestätigung habe ich von der Landesdatenschutzbeauftragten erhalten, aber keine Information zur Verfahrensdauer. Die Landesdatenschutzbeauftragte könnte die Ausweisscans untersagen. Wegen der Stellungnahme der Post befürchte ich allerdings, dass die Praxis im Vorfeld mit der Landesdatenschutzbeauftragten abgestimmt worden sein könnte. In diesem Fall hätte meine Beschwerde keine sehr hohen Erfolgsaussichten. Als einzige Möglichkeit verbliebe dann noch eine Unterlassungsklage vor Gericht.
Schadensersatz dürfte eher nicht in Betracht kommen.
Mein Rat, um den Scan zu vermeiden: Entweder man identifiziert sich direkt beim Unternehmen oder man nutzt – wo möglich – das PostIdent-Verfahren, bei dem der Postbote an die Haustür kommt (da wird offenbar noch nicht gescannt).
Sie können sich als Betroffener beim Filialleiter beschweren. Auch eine eigene Beschwerde beim LDI ist möglich – ob es sinnvoll ist, ist Ihre Entscheidung.
David gegen Goliath — 28. September 2016 @ 21.39 Uhr
Danke Herr Breyer. Ohne Sie wäre die Welt ein ärmerer Ort. Meine Hoffnung gilt Ihrer Beschwerde. Mögen Sie im Kampf David gegen Goliath gewinnen und den Datenschutz für hunderttausende PostIdent-Kunden stärken.
PostIdent | Roberts Blog — 29. September 2016 @ 0.00 Uhr
[…] Wie Breyer auf seinem Blog berichtet, war er vor kurzem in zwei Postfilialen für das PostIdent. Dabei hätten ihn die Mitarbeiter nicht darüber informiert, dass sie seinen Ausweis scannen. Das habe er nur durch eine zufällige Bemerkung mitgekriegt. […]
Vielen Dank — 29. September 2016 @ 21.13 Uhr
Wow, davon wusste ich gar nichts! Vielen Dank für Ihre Mühe und ich hoffe auf schnellstmögliche Stellungnahme seitens der Landesdatenschutzbeauftragten.
Postident-Verfahren: Deutsche Post AG scannt Personalausweise – dieDatenschützer Rhein Main — 29. September 2016 @ 22.49 Uhr
[…] elektronische Kopie für einen nicht näher bekannten Zeitraum gespeichert. Wie Breyer auf einem Blog berichtet, war er vor kurzem in zwei Postfilialen für das PostIdent. Dabei hätten ihn die […]
Piratenpartei Herzogenrath – Piraten-Mitglied Patrick Breyer legt Beschwerde gegen Ausweisscans der Deutschen Post ein. — 18. Oktober 2016 @ 15.55 Uhr
[…] Beschwerde gegen Ausweis-Scans der Deutschen Post AG – Patrick Breyer (Piratenpartei). Stellungnahme zum aktuellen PostIdent-Verfahren durch die deutsche Post AG nach Anfrage durch die Verbraucherzentrale. […]
Neues — 14. Februar 2017 @ 21.19 Uhr
Webmaster — 17. Februar 2017 @ 7.37 Uhr
Ja, Beschwerde wurde abgelehnt, mehr dazu später.
Neu — 25. Februar 2017 @ 15.57 Uhr
Und, was gibt es jetzt Neues?
Update? — 14. April 2017 @ 14.19 Uhr
gibt’s ein Update von Dir? Ich hatte nämlich auch vor, mich über diese Praxis der Deutschen Post zu beschweren, bin dann auf Deine Beschwerde gestoßen.
Ein Hinweis übrigens bzgl. des „Backups“, was die Post angeblich nach kurzer Zeit vernichtet: Da würde es sich auch lohnen anzugreifen. Denn es ist in der Praxis oft gar nicht so leicht, ein Backup tatsächlich zu „vernichten“ bzw. den Zugriff zu sperren. Die Deutsche Post möge einmal darlegen, wie sie das Backup durchführt und dann die Backups löscht. 🙂

References: § 8
 § 8
 § 8
 § 6
 § 4
 § 8