Anwendungsbereich

Nachforderung eines Identitätsnachweises bei einer Anfrage nach Art. 15 DSGVO (oder anderen Betroffenenrechten), wenn berechtigte Zweifel an der Identität der anfragenden Person bestehen. Art. 12 Abs. 6 DSGVO lässt diesen Schritt ausdrücklich zu — er darf aber nicht reflexartig erfolgen. Bei jeder anonymen Mail nach Identifikation zu fragen, ist eine unzulässige Hürde.

Voraussetzungen

• TPL-003 (Eingangsbestätigung) wurde bereits versandt oder wird parallel verschickt. Identitätsnachforderung darf den Eingang nicht ersetzen.
• Konkrete, dokumentierte Zweifel an der Identität — z. B. abweichende E-Mail-Adresse, ungewöhnliche Angaben, Indizien für eine Drittperson.
• Die nachgeforderten Nachweise sind angemessen und nicht überzogen — bei einer reinen Auskunft über Newsletter-Abonnements ist eine Ausweiskopie unverhältnismäßig.
• Datenschutzkonforme Speicherung des Identitätsnachweises ist geklärt (gesonderter Ordner, Lösch­fristen nach Vorgangsabschluss).

Variablen

Vorlagentext

{anrede} {name_anfragender},

wir nehmen Bezug auf Ihre Anfrage mit dem Aktenzeichen {aktenzeichen}.

Um Ihre Anfrage rechtmäßig bearbeiten zu können, benötigen wir vorab einen Nachweis Ihrer Identität. Hintergrund:

{zweifel_begruendung}

Wir bitten Sie deshalb, einen der folgenden Nachweise zu erbringen:

{nachweis_optionen}

Bitte senden Sie den Nachweis an {kontakt_dsb} unter Angabe des Aktenzeichens {aktenzeichen}.

Die Identitätsprüfung dient ausschließlich Ihrem Schutz. Wir vermeiden so, dass personenbezogene Daten an unberechtigte Dritte herausgegeben werden. Die für den Nachweis übermittelten Daten werden nach Abschluss der Identitätsprüfung gelöscht und nicht in andere Geschäfts­prozesse übernommen.

Die Monatsfrist für die Bearbeitung Ihrer ursprünglichen Anfrage (Art. 12 Abs. 3 DSGVO) beginnt erst mit Eingang des Identitäts­nachweises erneut.

Mit freundlichen Grüßen

{unterzeichner} {verantwortlicher}

Verbotene Inhalte

Folgendes darf NICHT in die Nachforderung aufgenommen werden:

• Pauschale Forderung nach Ausweiskopie. Eine vollständige unkenntlich­ gemachte Ausweiskopie ist nur in Ausnahmefällen verhältnismäßig. Bei Online-Kontoanfragen ist die Antwort von der hinterlegten Mail- Adresse oder ein Bestätigungs­link in der App vorrangig.
• Nicht-amtliche Daten als Identitäts­nachweis. Sozialversicherungs­ nummer, Bankverbindung oder Kennworte sind keine geeigneten Nachweise — sie wären entweder unverhältnismäßig oder sicherheits­kritisch.
• Drohungen. Sätze wie „Ohne Identitäts­nachweis betrachten wir die Anfrage als zurückgezogen” sind unzulässig. Bei ausbleibendem Nachweis ist eine begründete Ablehnung nach TPL-010 zu erstellen.
• Erbitten unverhältnismäßiger Zusatz­daten. „Bitte teilen Sie uns zusätzlich Ihr Geburtsdatum, Ihre Anschrift, Ihre Telefonnummer und Ihren Beruf mit” — das ist überzogene Datenerhebung.

Beispiel einer fehlerhaften Formulierung (nicht verwenden):

„Bitte übersenden Sie uns eine Kopie Ihres Personalausweises (beidseitig, ungeschwärzt) sowie eine aktuelle Meldebescheinigung. Eine Beantwortung ohne diese Unterlagen ist nicht möglich.”

Begründung: unverhältnismäßiger Umfang (Ausweis komplett ungeschwärzt, Meldebescheinigung), absoluter Charakter („nicht möglich”), keine Hinweise auf datenschutzschonende Alternativen.

Versandhinweise

• Versand­kanal: Antwort auf den Eingangskanal der Anfrage.
• Verschlüsselung: Wenn möglich Ende-zu-Ende-verschlüsselt (PGP / S/MIME); andernfalls Hinweis, dass die Übermittlung sensibler Identitätsdaten über unverschlüsselte E-Mail nicht empfohlen wird.
• Frist: Keine Befristung des Nachweises in der Nachricht selbst — Art. 12 DSGVO sieht hier keine Ausschluss­frist vor. Intern kann ein Wiedervorlage-Datum gesetzt werden (30 Tage).

Aufbewahrung

• Versendete Fassung im DSAR-Vorgangs­ordner unter dem Aktenzeichen.
• Der zurückerhaltene Identitäts­nachweis wird gesondert (mandatorisch zugriffs­beschränkt) abgelegt und nach Abschluss des Vorgangs gelöscht bzw. vernichtet — ein Vorhalten als „Beweis künftiger Anfragen” ist unzulässig.
• Aufbewahrung der DSAR-Korrespondenz: 3 Jahre nach Erledigung.

Changelog