Source: https://www.haufe.de/immobilien/wohnungswirtschaft/wohnungswirtschaftliche-urteile-mietrecht-juni-2014/verbot-des-scannens-von-personalausweisen_260_235490.html
Timestamp: 2020-06-07 10:41:22
Document Index: 392577421

Matched Legal Cases: ['§ 1', '§ 14', '§ 38', '§ 38', '§ 38', '§ 38', '§ 28', '§ 1', '§ 1', '§ 1', '§ 28', '§ 14', '§ 15', '§ 18', '§ 14', '§ 14', '§ 20', '§ 20', '§ 20', '§ 3', '§ 14', '§ 3', '§ 3', '§ 20', '§ 14', '§ 14', '§ 14', '§ 20', '§ 3', '§ 16', '§ 3', '§ 4', '§ 8', '§ 95', '§ 64', '§ 4', '§ 4', '§ 38', '§ 38', '§ 38', '§ 14', '§ 20', '§ 150', '§ 150']

Verbot des Scannens von Personalausweisen | Immobilien | Haufe
Top-Thema 26.05.2014 Wohnungswirtschaftliche Urteile: Mietrecht Juni 2014
BDSG §§ 1 Abs. 3, 3, 28, 38 Abs. 5 und 6, PAuswG §§ 14, 20 Verbot des Scannens von Personalausweisen VG Hannover, Urteil vom 28.11.2013, 10 A 5342/11
2. Das Scannen und Speichern von Personalausweisen durch nicht öffentliche Stellen – z. B. Vermieter, Makler, Verwalter, sonstige Dienstleister – ist nach den datenschutzrechtlichen Bestimmungen des Personalausweisgesetzes unzulässig.
Die Beteiligten streiten um die Rechtmäßigkeit einer datenschutzrechtlichen Anordnung des Beklagten. Die Klägerin ist eine Logistikdienstleisterin. Um den Speditionsvorgang zu überwachen, werden die Personalausweise der Abholer eingescannt und auf einem Rechner gespeichert.
Rechtsgrundlage für die vom Beklagten getroffenen Anordnungen ist § 38 Abs. 5 Satz 2 BDSG. Nach § 38 Abs. 5 Satz 1 BDSG kann die Aufsichtsbehörde zur Gewährleistung der Einhaltung des Bundesdatenschutzgesetzes und anderer Vorschriften über den Datenschutz gegenüber nichtöffentlichen Stellen Maßnahmen u. a. zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten anordnen. Gemäß § 38 Abs. 5 Satz 2 BDSG kann sie bei schwerwiegenden Verstößen oder Mängeln, insbesondere solchen, die mit einer besonderen Gefährdung des Persönlichkeitsrechts verbunden sind, die Erhebung, Verarbeitung oder Nutzung oder den Einsatz einzelner Verfahren untersagen, wenn die Verstöße oder Mängel entgegen der Anordnung nach Satz 1 und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden. Die Anordnung des Beklagten, das Verfahren „Einscannen von Personalausweisen“ einzustellen und die bisher rechtswidrig erhobenen Daten zu löschen, stellt eine Maßnahme im Sinne der letztgenannten Vorschrift dar.
Die von dem Beklagten angeordneten Maßnahmen sind inhaltlich nicht zu beanstanden. Das von der Klägerin praktizierte Scannen und Speichern von Personalausweisen stellt einen schwerwiegenden Verstoß gegen datenschutzrechtliche Vorschriften dar, so dass es der Beklagte auf der Grundlage von § 38 Abs. 5 Satz 2 BDSG verbieten und die Löschung der bisher rechtswidrig erhobenen Daten anordnen kann.
Die Zulässigkeit des Scannens und Speicherns von Personalausweisen beurteilt sich nach den in Abschnitt 3 des Gesetzes über Personalausweise und den elektronischen Identitätsnachweis – Personalausweisgesetz – (PAuswG) getroffenen Regelungen über den Umgang mit personenbezogenen Daten; die von den Beteiligten herangezogene Vorschrift des § 28 BDSG über die Datenerhebung und -speicherung für eigene Geschäftszwecke durch nichtöffentliche Stellen ist hingegen nicht anwendbar.
Nach § 1 Abs. 2 Nr. 3 BDSG gilt das Bundesdatenschutzgesetz zwar grundsätzlich auch für die Datenerhebung, -nutzung und -verarbeitung durch nichtöffentliche Stellen. Soweit aber andere Rechtsvorschriften des Bundes auf personenbezogene Daten einschließlich deren Veröffentlichung anzuwenden sind, gehen sie den Vorschriften des Bundesdatenschutzgesetzes vor (§ 1 Abs. 3 Satz 1 BDSG). Die Konkurrenz von Rechtsvorschriften des Bundes innerhalb und außerhalb des Bundesdatenschutzgesetzes, deren Gegenstand die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten ist, wird durch diese Regelung im Sinne des Vorrangs der spezielleren – bereichsspezifischen – Norm geklärt (vgl. Dix in Simitis, Bundesdatenschutzgesetz, 7. Aufl., Rn. 158 zu § 1). Inwieweit sich der Vorranggrundsatz konkret auswirkt, bestimmt sich nach dem Inhalt der mit dem Bundesdatenschutzgesetz konkurrierenden Vorschrift. Soweit diese eine abweichende Regelung für einen Sachverhalt trifft, der ebenfalls im Bundesdatenschutzgesetz geregelt ist, verdrängt sie die Normen dieses Gesetzes.
Soweit es um die Erhebung und Verwendung personenbezogener Daten aus dem Personalausweis oder mithilfe des Personalausweises geht, enthalten die Vorschriften des dritten Abschnitts des Personalausweisgesetzes eine abschließende, § 28 BDSG verdrängende Regelung. Denn § 14 PAuswG mit der amtlichen Überschrift „Erhebung und Verwendung personenbezogener Daten“ bestimmt, dass die Erhebung und Verwendung personenbezogener Daten aus dem Ausweis oder mithilfe des Ausweises ausschließlich erfolgen darf durch 1. zur Identitätsfeststellung berechtigte Personen nach Maßgabe der §§ 15 bis 17, 2. öffentliche Stellen und nichtöffentliche Stellen nach Maßgabe der §§ 18 bis 20.
Damit ist diese Norm die zentrale bereichsspezifische Datenschutzvorschrift des Personalausweisrechts (so Möller in Hornung/Möller, PassG – PAuswG, Kommentar 2011, Rn. 1 zu § 14), die keinen Raum für eine vorrangige oder auch nur ergänzende Heranziehung der Regelungen des dritten Abschnitts des Bundesdatenschutzgesetzes über die Datenverarbeitung nichtöffentlicher Stellen lässt.
Die Klägerin ist unstreitig keine zur Identitätsfeststellung berechtigte Behörde im Sinne von § 14 Nr. 1 PAuswG. Maßgeblich für die Zulässigkeit des beanstandeten Verfahrens ist daher § 20 PAuswG. Absatz 1 dieser Norm bestimmt, dass der Inhaber den Personalausweis bei öffentlichen und nichtöffentlichen Stellen als Identitätsnachweis und Legitimationspapier verwenden kann und ist damit die Grundlage für die Verwendung als Ausweis und Legitimationspapier auch im privaten Rechtsverkehr (Möller in Hornung/Möller, PassG – PAuswG, Kommentar 2011, Rn. 3 zu § 20). Dem entsprechend gesteht der Beklagte der Klägerin auch ohne Weiteres zu, dass sie sich von den Fahrzeuge abholenden Personen den Personalausweis zeigen lässt und darin enthaltene Daten (Namen, Geburtsdatum, Adresse) herausschreibt.
Das mit der angefochtenen Verfügung beanstandete Verfahren hingegen ist § 20 Abs. 2 PAuswG zuzuordnen, wonach außer zum elektronischen Identitätsnachweis der Personalausweis durch öffentliche oder nichtöffentliche Stellen weder zum automatisierten Abruf personenbezogener Daten noch zur automatisierten Speicherung personenbezogener Daten verwendet werden darf. Nach der zur Konkretisierung der datenschutzrechtlichen Bestimmungen des Personalausweisgesetzes heranzuziehenden Begriffsbestimmung in § 3 Abs. 2 Satz 1 BDSG (vgl. BT-Drs. 16/10489, S. 40 zu § 14) ist eine automatisierte Verarbeitung die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen, wobei zum Verarbeiten das Speichern von personenbezogenen Daten gehört (§ 3 Abs. 4 Satz 1 BDSG). Ungeachtet der dabei angewendeten Verfahren ist Speichern das Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf einem Datenträger zum Zwecke ihrer weiteren Verarbeitung oder Nutzung (§ 3 Abs. 4 Satz 2 Nr. 1 BDSG). Angesichts dieses Regelungsgefüges kann es nicht ernsthaft zweifelhaft sein, dass das von der Klägerin praktizierte Verfahren, bei dem Personalausweise gescannt und unter Verwendung einer speziellen Software auf einem Rechner gespeichert werden, um im Bedarfsfall verwendet zu werden, als automatisierte Speicherung personenbezogener Daten im Sinne von § 20 Abs. 2 PAuswG zu qualifizieren ist; auch die Klägerin hat substantiierte Einwände insoweit nicht erhoben.
Dieses Ergebnis wird durch die Entstehungsgeschichte von §§ 14 und 20 PAuswG bestätigt. So heißt es in der Begründung des Regierungsentwurfs zu § 14, der unverändert Gesetz geworden ist, u. a. (BT-Drs. 16/10498, S. 40):
„§ 14 stellt klar, dass die Erhebung und Verwendung personenbezogener Daten aus oder mithilfe des Ausweises künftig nur über die dafür vorgesehenen Wege erfolgen darf. Dies sind für nichtöffentliche und öffentliche Stellen der elektronische Identitätsnachweis und für zur hoheitlichen Identitätsfeststellung berechtigte Behörden der Abruf der elektronisch gespeicherten Daten einschließlich der biometrischen Daten. Weitere Verfahren z. B. über die optoelektronische Erfassung („scannen“) von Ausweisdaten oder den maschinenlesbaren Bereich sollen ausdrücklich ausgeschlossen werden.“
Dem entsprechend wird in der Begründung zu § 20 Absätze 2 und 3, der ebenfalls im Gesetzgebungsverfahren nicht verändert wurde, ausgeführt (BT-Drs. 16/10498, S. 42):
„Die Vorschrift ist erforderlich, weil der Einsatz des elektronischen Identitätsnachweises sowohl zu einem automatischen Abruf von Daten (z. B. bei der erneuten Anmeldung bei einem Dienstekonto) als auch zur automatischen Speicherung personenbezogener Daten (z. B. nach Übermittlung von Daten zur Anlage eines Dienstekontos) führen kann. Jenseits dieser engen Ausnahmen – die der Ausweisinhaber über die Eingabe seiner Geheimnummer steuern kann – bleiben die Verwendungsverbote der bisherigen Fassung von § 3 Abs. 4 Satz 1 PersAuswG und § 16 Abs. 4 Satz 1 PassG, § 3a Abs. 1 Satz 1 und Abs. 2 erster Halbsatz und § 4 Abs. 2 und 3 des Personalausweisgesetzes erhalten. Von der Vorschrift erfasst sind alle Formen des automatischen Abrufs, insbesondere Scannen, Fotokopieren und Ablichten der Daten. …“
Ob tatsächlich schon das bloße Kopieren von Personalausweisen – von ausdrücklich gesetzlich zugelassenen Ausnahmen wie in § 8 Abs. 1 Satz 3 Geldwäschegesetz, § 95 Abs. 4 Satz 2 Telekommunikationsgesetz und § 64 Abs. 1 Nr. 2 Fahrerlaubnisverordnung abgesehen – nach Wortlaut sowie Sinn und Zweck der datenschutzrechtlichen Vorschriften des Personalausweisgesetzes verboten ist, bedarf hier keiner Entscheidung, da das von der angefochtenen Verfügung erfasste Scannen und automatisierte Speichern mit der Möglichkeit der Weiterverarbeitung und Nutzung eine andere rechtliche Qualität aufweist. Lediglich vorsorglich ist deshalb darauf hinzuweisen, dass nach dem vom Beklagten vorgelegten Schreiben des Bundesministeriums des Innern an den Bundesbeauftragten für den Datenschutz vom 1.2.2013 zwar kein grundsätzliches rechtliches Kopierverbot (mehr) besteht, für das Anfertigen von Kopien des Personalausweises (bzw. des Reisepasses) aus sicherheits- und datenschutzrechtlichen Gründen jedoch strenge Maßstäbe gelten sollen. Bei einer Identifizierung unter Anwesenden sei die Erstellung einer Kopie grundsätzlich unzulässig, weil regelmäßig kein Bedarf dafür bestehe.
Ohne Einfluss auf die rechtliche Zulässigkeit des von der Klägerin praktizierten Verfahrens ist die Frage, ob im Einzelfall eine wirksame Einwilligung des Personalausweisinhabers vorliegt. Das Scannen und Speichern von Personalausweisen ist nach den zuvor dargestellten Normen gesetzlich verboten, ohne dass dem Ausweisinhaber die Möglichkeit eingeräumt worden wäre, das Verbot durch sein Einverständnis zu suspendieren. Eine die Erhebung, Verarbeitung und Nutzung personenbezogener Daten rechtfertigende Einwilligung des Betroffenen, wie sie in § 4 Abs. 1, § 4a BDSG geregelt ist, sieht das Personalausweisgesetz als hier einschlägige Spezialvorschrift nicht vor.
Das von der Klägerin praktizierte Verfahren des Scannens und Speicherns von Personalausweisen stellt einen schwerwiegenden Verstoß gegen die datenschutzrechtlichen Bestimmungen des Personalausweisgesetzes dar, so dass der Beklagte hiergegen auf der Grundlage von § 38 Abs. 5 Satz 2 BDSG einschreiten kann. Grundsätzlich setzt eine Untersagung nach dieser Vorschrift zwar voraus, dass zuvor nach § 38 Abs. 5 Satz 1 BDSG vergeblich die Beseitigung des Mangels verlangt wurde und auch die Festsetzung eines Zwangsgeldes nicht zum Erfolg geführt hat. Steht jedoch die Unmöglichkeit der Fehlerbeseitigung von vornherein fest, kann ausnahmsweise unmittelbar das Datenverarbeitungsverfahren untersagt werden (Petri in Simitis, Bundesdatenschutzgesetz, 7. Aufl., Rn. 75 zu § 38). So verhält es sich hier, da eine Legalisierung des von der Klägerin praktizierten Verfahrens durch bloße Modifikationen nicht möglich ist.
Der Verwalter ist keine zur Identitätsfeststellung berechtigte Behörde im Sinne von § 14 Nr. 1 PAuswG. Ein praktiziertes Verfahren, bei dem Personalausweise gescannt und unter Verwendung einer speziellen Software auf einem Rechner gespeichert werden, um im Bedarfsfall verwendet zu werden, ist eine automatisierte Speicherung personenbezogener Daten im Sinne von § 20 Abs. 2 PAuswG. Wichtig: Irrelevant ist, ob im Einzelfall eine wirksame Einwilligung des Personalausweisinhabers vorliegt. Das Scannen und Speichern von Personalausweisen ist gesetzlich schlicht verboten, ohne dass dem Ausweisinhaber die Möglichkeit eingeräumt worden wäre, das Verbot durch sein Einverständnis zu suspendieren. Auch wenn kein grundsätzliches Kopierverbot besteht, ist die Erstellung einer bloßen Kopie zur Identitätsfeststellung für den Makler oder Verwalter grundsätzlich unzulässig, weil regelmäßig kein Bedarf dafür besteht.
Gewerbeordnung / § 150e Elektronische Antragstellung
(1) 1Erfolgt die Antragstellung abweichend von § 150 Absatz 2 oder Absatz 3 elektronisch, ist der Antrag unter Nutzung des im Internet angebotenen Zugangs unmittelbar bei der Registerbehörde zu stellen. 2Der Antragsteller kann sich bei der Antragstellung ...