Fragen zur ING-Diba Konteneröffnung per Video

Zum Feierabend noch ein kleiner Beitrag zum Tagesthema: Momentan stürmt die Meldung durch dieses Internetz, dass man bei der ING-Diba zukünftig ein Konto per Videositzung eröffnen könne. Hier ein paar Gedanken, u.a. auch zur Frage, welche rechtlichen Fallstricke drohen.

Webcam reicht zur Legitimation

Zur Sache an sich: Es klingt schon cool – man braucht zur Kontoeröffnung kein Post-Identverfahren zu durchlaufen, bei dem man seine Identität an Hand des Ausweises gegenüber einer Postfiliale nachweist. Es reichen eine Webcam, eine Internetleitung und der Ausweis, um sich bei der Kontoeröffnung zu legitimieren. Hier ist die Pressemitteilung der ING-Diba, die dann auch fleißig in deutschen Medien "aufbereitet" wurde. Die ING-Diba schreibt:

Bei der Video-Legitimation arbeitet die ING-DiBa mit einem Dienstleister zusammen, welcher die Legitimierungen täglich zwischen 7 und 22 Uhr, auch an den Wochenenden, durchführt. Die gesamte Video-Legitimation dauert drei bis fünf Minuten. Um sich zu identifizieren, wird der Kunde aufgefordert, einen gültigen Personalausweis oder Reisepass, mit Vorder- und Rückseite vor die Webcam zu halten. Um diesen zu verifizieren, muss er den Ausweis mehrfach kippen und bewegen, sodass das Hologramm und weitere Sicherheitsmerkmale geprüft werden können. Zusätzlich wird die Ausweisnummer erfasst und es werden Fotos vom Kunden angefertigt.

…"Die Video-Legitimation ist ideal, um sich schnell von zu Hause aus zu legitimieren", erklärt Katharina Herrmann, Vorstandsmitglied der ING-DiBa, "außerdem ist die Video-Legitimation eine Erleichterung für alle, die sich temporär im Ausland befinden oder weit weg von einer Postfiliale leben, die Legitimierungen durchführt."

Die Info findet sich sowohl bei heise.de, als auch bei Spiegel Online. Da ist erst einmal nichts gegen einzuwenden. Auch die Begründung klingt gut und vernünftig. Bei mir löst das Ganze aber Bauchschmerzen aus.

Videolegitimation per Ausweis wirklich zulässig?

Bis vor einigen Wochen hätte ich mich keine Gedanken um das obige Verfahren gemacht. In diesem Artikel hatte ich über die Datenschutz-Sammelklage des Österreichers Max Schrems gegen Facebook vor irischen Gerichten berichtet. Da ich im weitesten Sinne des Wortes meine Finger in diesem Vorgang mit drin habe, ist mir auch eine kleine Bemerkung bei der Authentifizierung aufgefallen: Für deutsche Staatsbürger ist die Authorisierung durch einen Scan oder eine Kopie möglicherweise unzulässig. Das hat bei mir dann alle Alarmglocken schellen lassen und ich habe recherchiert.

Es ist in der Tat so, die Anfertigung von Kopien eines bundesdeutschen Personalausweises oder Reisepasses ist unzulässig. Handhabe ist das deutsche Personalausweisgesetz,  zu dem es folgende Regierungsbegründung gibt:

Die Erhebung und Verwendung personenbezogener Daten aus oder mithilfe des Ausweises darf künftig nur über die dafür vorgesehenen Wege erfolgen. (…) Weitere Verfahren z.B. über die optoelektronische Erfassung („scannen") von Ausweisdaten oder dem maschinenlesbaren Bereich sollen ausdrücklich ausgeschlossen werden.

Quelle ist die die Webseite www.datenschutzbeauftragter-info.de, es gibt aber auch ein VGH-Urteil (hier möchte ich auf den Law-Blog von Udo Vetter verweisen). Auf der Webseite www.datenschutzbeauftragter-info.de finden sich aber auch die festlegten Ausnahmen. Ermächtigt sind Banken gilt beispielsweise nach § 8 Abs. 1 S. 3 Geldwäschegesetz.

Die ING-Diba schreibt in der Pressemitteilung "Das eingesetzte Verfahren zur Video-Legitimation ist laut ING-Diba von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) geprüft und genehmigt." Ich bin mir aber trotzdem unsicher, ob das ganze Verfahren in der aktuellen Form wirklich rechtlich zulässig ist. Die ING-Diba bezieht sich zwar auf die im März 2014 erfolgte Neuauslegung von §6 des Geldwäschegesetzes durch das Bundesministerium der Finanzen. Aber man führt die Identprüfung nicht selbst durch, sondern beauftragt einen Dritten und erhebt eine Menge Daten in elektronischer Form.

Nun mal so als Vergleich: Beim Postident-Verfahren trägt ein Mitarbeiter einer Postfiliale nur die Ausweisnummer in das Formular ein und dieses muss in Gegenwart des Mitarbeiters vom Antragsteller unterschrieben werden. Da werden weder Fotos der Person noch Kopien des Ausweises angefertigt. Bei der ING-Diba werden dagegen Fotos der Person elektronisch gespeichert und der Ausweis wird optoelektronisch erfasst.

Ich bin jetzt kein Jurist, aber es wäre mal interessant, eine Bewertung zu bekommen, inwieweit der Berliner Dienstleister WebID Solutions unter §8 des Geldwäschegesetzes fällt. Das Unternehmen wirbt zwar mit Dienstleistungen zur Identitätsfeststellung und führt auch das Gesetz über das Kreditwesen, die Bafin und was weiß ich an. Lese ich mir aber die Liste der Dienstleistungen durch, findet ich neben Personenidentifikation noch Altersprüfung, Online-Vertragsabschluss und so weiter. Das ist imho aber schon "sehr weit weg" vom Gesetz über das Kreditwesen.

Datenschutzbeauftragte werden das möglicherweise kritisch sehen – und ich weiß auch nicht, inwieweit die ganze Konstruktion einer gerichtlichen Überprüfung standhält. Die Argumentation, dass beim Postidentverfahren ja auch ein Dritt-Dienstleister involviert ist, verfängt möglicherweise nicht, werden dort wesentlich weniger persönliche Merkmale erfasst. Könnte also möglicherweise auf eine juristische Spitzfindigkeit hinauslaufen. Wenn also ein Mitbewerber der ING-Diba mal das Wasser testen wollte, ist der "Stein" von mir bereitgelegt. Schade finde ich, dass solche Fragen weder von der Redaktion bei heise.de noch bei Spiegel Online hinterfragt wurden. Oder sehe ich das mal alles wieder zu spitzfindig? Möglicherweise liest ja ein Jurist hier im Blog, der auf diesen Bereich spezialisiert ist, und kann einen Kommentar einstellen.