Der Personalausweis ist kein Pfand – was Unternehmen beim Umgang mit Ausweisdaten wissen müssen

Wer ein Fahrrad leiht, ins Hotel eincheckt oder sich gegenüber einer Bank ausweist, kennt die Situation: Der Personalausweis soll kopiert, gescannt oder gleich als Pfand einbehalten werden. Was in vielen Organisationen zur gelebten Praxis gehört, ist datenschutzrechtlich in den meisten Fällen unzulässig und birgt für die Betroffenen erhebliche Risiken. Das Bayerische Landesamt für Datenschutzaufsicht (im Folgenden BayLDA) hat diesem Thema in seinem 15. Tätigkeitsbericht 2025 (S. 34) ein eigenes Kapitel gewidmet und macht dabei deutlich, dass Beschwerden in diesem Bereich nach wie vor häufig vertreten sind. 

Was steht auf dem Personalausweis und warum ist das ein Problem?

Der Personalausweis enthält weit mehr Daten, als für die meisten Zwecke tatsächlich erforderlich sind. Neben Namen, Adresse und Geburtsdatum finden sich dort auch Lichtbild, Staatsangehörigkeit, Körpergröße, Augenfarbe, Zugangsnummer, Seriennummer und die maschinenlesbare Zone (MRZ). Wer eine Kopie oder einen Scan anfertigt, erhält damit zwangsläufig Zugriff auf all diese Informationen, auch auf solche, die für den konkreten Zweck keinerlei Relevanz haben.

Genau hierin liegt ein datenschutzrechtliches Kernproblem: Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verlangt, dass nur solche Daten verarbeitet werden, die für den jeweiligen Zweck auch tatsächlich notwendig sind. Eine vollständige Ausweiskopie oder gar die Hinterlegung des Originals geht regelmäßig weit über das hinaus, was erforderlich ist. 

Darüber hinaus sind Fälschungen bei Kopien oder Scans nicht erkennbar, da diese ungehindert vervielfältigt werden können und die Sicherheitsmerkmale des Personalausweises, die solche Fälschungen zuverlässig verhindern, nicht greifen. So kann mittels einer gut gemachten Personalausweiskopie Identitätsdiebstahl begangen werden, so das BayLDA. 

Kopieren: Nur in engen Ausnahmen zulässig

Aus diesen Gründen ist die Kopie bzw. der Scan des Personalausweises nur mit ausdrücklicher Zustimmung des Ausweisinhabers gemäߧ 20 Abs. 2 Personalausweisgesetz (PAuswG)sowie mit entsprechender Erforderlichkeit datenschutzrechtlich zulässig. Die Kopie muss darüber hinaus eindeutig und dauerhaft als solche erkennbar sein, so auch das LDI NRW in diesem Beitrag zu dem Thema.

Die Erforderlichkeit wird regelmäßig bei Vorliegen einer gesetzlichen Pflicht zur Identifizierung per Ausweiskopie bestehen, etwa aus dem Geldwäschegesetz (GwG). In allen anderen Fällen bleibt die Frage, ob das berechtigte Interesse des Unternehmens den Eingriff in die Privatsphäre der betroffenen Person rechtfertigt, was in aller Regel zu verneinen sein wird.

Außerdem gilt: Eine angefertigte Ausweiskopie ist nach erfolgter Identifizierung unverzüglich zu vernichten. Eine Speicherung ist unzulässig. Sofern eine Protokollierung erforderlich ist, genügt ein einfacher Vermerk wie „Ausweis hat vorgelegen". Das elektronische Scannen und Speichern des Personalausweises hat das Verwaltungsgericht Hannover (Urt. v. 28.11.2013, Az. 10 A 5342/11) für unzulässig erklärt. 

Hotels: Ein Bereich mit besonderem Handlungsbedarf

Besonders häufig werden Ausweiskopien im Beherbergungsbereich angefertigt. Das BayLDA hat sich in seinem Tätigkeitsbericht explizit mit diesem Kontext befasst und betont, dass das Anfertigen von Ausweiskopien bei Hotel-Check-ins regelmäßig gegen die DSGVO verstößt.

Nach dem Bundesmeldegesetz (BMG) sind Hotels nur bei ausländischen Gästen verpflichtet, bestimmte Daten in einer Meldebescheinigung zu erheben und deren Richtigkeit durch Einsehen und Abgleichen eines Identitätsdokuments zu überprüfen. Bei inländischen Personen besteht keine entsprechende Meldepflicht mehr und damit auch keine Grundlage. Personalausweise in irgendeiner Form anzufordern oder einzusehen.  

Die Stiftung Datenschutz weist darauf hin, dass Reisende, die im Hotel zur Vorlage und Kopie ihres Ausweises aufgefordert werden, dem widersprechen sollten, wenngleich sie in der Praxis oft unter erheblichem Druck stehen. Nach dem Aufenthalt sollten Betroffene die Löschung etwaig angefertigter Kopien verlangen und den Vorfall gegebenenfalls der zuständigen Datenschutzaufsichtsbehörde melden.

Auch die spanische Datenschutzbehörde (AEPD) hat in einer eigens veröffentlichten Mitteilung klargestellt, dass das Verlangen einer Ausweiskopie in Beherbergungsbetrieben gegen den Datenminimierungsgrundsatz verstößt. Eine Kopie enthalte mehr Daten als rechtlich erforderlich sei und berge zudem ein unnötiges Risiko des Identitätsdiebstahls, das vermieden oder wirksam minimiert werden müsse. Für die Authentifizierung der Gästedaten genüge eine visuelle Sichtkontrolle des vorgelegten Dokuments.

Dass diese Risiken keine theoretische Konstruktion sind, zeigt ein aktuelles Beispiel: Wie der Spiegel berichtete, haben Hacker Ausweisdaten von Zehntausenden Hotelgästen gestohlen – mit schwerwiegenden Folgen für die Betroffenen, da ihre Ausweisdokumente im Internet zum Kauf angeboten wurden.

Personalausweis als Pfand: Klar verboten

Nochmals klarer ist die Rechtslage beim Einbehalten des Personalausweises als Pfand, etwa bei der Ausleihe eines Fahrrads oder Sportgeräts. Diese Praxis ist schlicht unzulässig. § 1 Abs. 1 S. 3 PAuswG verbietet es ausdrücklich, vom Ausweisinhaber die Hinterlegung seines Ausweises zu verlangen und seine tatsächliche Verfügungsgewalt über das Dokument aufzugeben. Während der Hinterlegung sind sämtliche Daten des Ausweises, einschließlich aller Sicherungsmerkmale, dem vollständigen Zugriff Dritter preisgegeben. Das Missbrauchsrisiko ist entsprechend hoch.

Händlern und Unternehmen stehen ausreichende Alternativen zur Verfügung, wie das Virtuelle Datenschutzbüro festhält: die Hinterlegung eines Wertgegenstandes oder eines Geldbetrags als Pfand, oder die Notierung der für das Vertragsverhältnis erforderlichen Mindestdaten (Vorname, Nachname, Adresse, ggf. Gültigkeitsdauer).

Fazit

Der Umgang mit dem Personalausweis ist rechtlich deutlich enger begrenzt, als viele Organisationen in der Praxis annehmen. Die Leitlinien sind dabei klar: kein Kopieren ohne gesetzliche Grundlage, keine Archivierung von Kopien, kein Scannen und elektronisches Speichern, kein Einbehalten als Pfand, und in jedem Fall muss das Prinzip der Datenminimierung eingehalten werden. 

Das BayLDA macht in seinem aktuellen Tätigkeitsbericht deutlich, dass Beschwerden in diesem Bereich weiterhin häufig auftreten und von der Aufsichtsbehörde ernst genommen werden. Für Unternehmen, insbesondere im Beherbergungsgewerbe, im Verleihgeschäft und überall dort, wo routinemäßig Ausweisdaten erhoben werden, besteht dringender Handlungsbedarf, die eigenen Prozesse zu überprüfen.