Die DSGVO-Rechte, die bei KYC tatsächlich greifen

Wenn eine Bank, ein Broker oder ein PSP eine Kopie Ihres Reisepasses hält, ist Ihr Instinkt, dass die DSGVO auf Ihrer Seite steht. Das stimmt – aber nicht so pauschal, wie die meisten annehmen. Die DSGVO-Rechte, die bei KYC greifen, sind real und durchsetzbar, doch mehrere kollidieren frontal mit dem Aufbewahrungsrecht der Geldwäschebekämpfung, und welches Recht gewinnt, hängt ganz von der Rechtsgrundlage der Verarbeitung ab. Zu wissen, welches Recht wo greift, ist der Unterschied zwischen einer wirksamen Anfrage und einem höflichen Ablehnungsschreiben.

Das ist eine praxisnahe Karte der vier Rechte, die im KYC-Kontext zählen, wo jedes stark ist und wo es an eine Wand stößt.

Warum die Rechtsgrundlage über alles entscheidet

Jedes DSGVO-Recht ist davon abhängig, warum eine Organisation Ihre Daten verarbeitet. Bei KYC beruht die Verarbeitung fast immer auf Art. 6 Abs. 1 lit. c – einer rechtlichen Verpflichtung: Die verpflichtete Stelle muss Sie nach dem Geldwäschegesetz identifizieren und überprüfen. Diese eine Tatsache verändert, welche Rechte Zähne haben.

• Rechte, die unabhängig von der Rechtsgrundlage wirken: Auskunft (Art. 15), Berichtigung (Art. 16).
• Rechte, die durch eine Rechtspflicht-Grundlage blockiert werden: Löschung (Art. 17) während der Aufbewahrungsfrist, Widerspruch (Art. 21) vollständig.

Bevor Sie also eine Forderung abfeuern, fragen Sie: Verarbeitet diese Organisation meinen Ausweis, weil das Gesetz sie zwingt, oder weil sie es so gewählt hat? Eine Bank beim Onboarding: rechtliche Verpflichtung. Ein Marktplatz, der „aus Sicherheitsgründen“ ohne gesetzliche Grundlage einen Pass verlangte: vermutlich berechtigtes Interesse, eine deutlich weichere Basis.

Auskunftsrecht – Art. 15, Ihr Aufklärungswerkzeug

Auskunft ist das nützlichste Recht bei KYC, gerade weil es bedingungslos ist. Wer Ihre personenbezogenen Daten hält, muss Ihnen auf Anfrage mitteilen:

• welche Datenkategorien er hält (die Ausweiskopie, extrahierte Felder, Prüfergebnisse),
• die Zwecke der Verarbeitung,
• die Empfänger oder Empfängerkategorien,
• die geplante Speicherdauer,
• die Herkunft, falls nicht bei Ihnen erhoben.

Nutzen Sie es als Aufklärung. Bevor Sie über Löschung oder Berichtigung entscheiden, kartiert eine Art.-15-Anfrage das Gelände: Wer hält Ihren Ausweis, warum, und wie lange will man ihn behalten. Die genannte Speicherdauer ist die aufschlussreichste Zeile – sie sagt Ihnen, ob ein späteres Löschverlangen an eine GwG-Wand stößt oder durchgeht.

Eine taugliche Anfrage ist kurz:

Gemäß DSGVO Art. 15 verlange ich eine Kopie aller über mich gespeicherten personenbezogenen Daten, die Verarbeitungszwecke, die Empfänger, die Speicherdauer und die Herkunft. Bitte antworten Sie innerhalb eines Monats.

Der Verantwortliche hat einen Monat, in komplexen Fällen um zwei verlängerbar. Die erste Kopie ist kostenlos.

Recht auf Löschung – Art. 17 versus GwG-Aufbewahrung

Hier passiert die Kollision. Art. 17 gibt ein Recht auf Löschung – aber Art. 17 Abs. 3 lit. b nimmt aus, wo die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Das GwG begründet genau eine solche Pflicht: Verpflichtete müssen Identifizierungsnachweise aufbewahren, typischerweise mehrere Jahre nach Ende der Geschäftsbeziehung.

Daraus folgt eine harte Reihenfolgeregel:

Situation	Greift die Löschung nach Art. 17?
Aktive Geschäftsbeziehung, verpflichtete Stelle	Nein – Aufbewahrungspflicht gilt
Beziehung beendet, innerhalb der GwG-Frist	Nein – Pflicht besteht für die gesetzliche Frist fort
Aufbewahrungsfrist abgelaufen	Ja – keine verbleibende Rechtsgrundlage
Empfänger ohne gesetzliche Grundlage (z. B. beiläufige Anfrage)	Ja – meist gar kein Grund zur Aufbewahrung

Der praktische Zug ist nicht, eine gültige Aufbewahrungspflicht zu bekämpfen – das verlieren Sie –, sondern festzunageln, wann sie endet und was genau sie umfasst. Eine Aufbewahrungspflicht rechtfertigt das Behalten eines Identifizierungsnachweises; sie erlaubt keine Weiterverwendung, kein Weitergeben und kein Behalten von mehr, als die Pflicht verlangt. Die vollständige Grenze, samt wie Sie die Löschung verlangen, sobald die Frist abläuft, steht in Aufbewahrung & Löschung von KYC-Kopien.

Bei Empfängern ohne gesetzliche Grundlage – ein Vermieter, ein Marktplatz, ein Broker, der „nur eine Kopie wollte“ – ist Art. 17 am stärksten, weil es häufig gar keine rechtmäßige Grundlage gibt, Ihren Ausweis überhaupt zu behalten.

Widerspruchsrecht – Art. 21, eng, aber scharf

Widerspruch ist das am meisten missverstandene Recht bei KYC. Es gilt nur, wo die Verarbeitung auf berechtigtem Interesse (Art. 6 Abs. 1 lit. f) oder öffentlicher Aufgabe (Art. 6 Abs. 1 lit. e) beruht. Es gilt nicht für eine Verarbeitung auf Basis einer rechtlichen Verpflichtung – und das ist die meiste AML-Verarbeitung.

Einer GwG-vorgeschriebenen Identitätsprüfung einer Bank zu widersprechen, ist daher aussichtslos. Aber dem „wir hätten Ihren Pass gern aus Sicherheitsgründen in der Akte“ einer nicht verpflichteten Partei zu widersprechen, kann gelingen, weil diese Verarbeitung wahrscheinlich auf berechtigtem Interesse beruht – und nach Ihrem Widerspruch muss der Verantwortliche überwiegende Gründe nachweisen oder aufhören. Dieses Recht greifen Sie, wenn ein Empfänger unter dünner Begründung statt gesetzlicher Pflicht über-erhebt – und es passt zum Zurückweisen des Scopes, bevor Sie das Dokument überhaupt herausgeben. Siehe welche Felder Sie tatsächlich teilen sollten.

Berichtigung und der stille fünfte Hebel

Art. 16 – Berichtigung – wird übersehen, zählt aber, wenn sich Ihre Dokumente ändern. Hält ein Empfänger eine Kopie zu einem überholten Reisepass, einer alten Adresse oder einem früheren Namen, können Sie die Korrektur verlangen. In der Praxis wird daraus oft Löschen-und-neu-Liefern: Die veraltete Kopie geht, eine aktuelle, begrenzte ersetzt sie. Es ist auch ein sauberer Anlass, beim jährlichen Aufräumen zu prüfen, wer veraltete Daten hält.

Wenn ein Verantwortlicher abblockt – und was zu tun ist

Die meisten KYC-Anfragen bekommen kein klares Ja oder Nein, sondern Reibung. Die üblichen Ablehnungen zu kennen und zu wissen, welche legitim sind, bewahrt Sie davor, klein beizugeben, wenn Sie es nicht sollten.

• „Wir können nicht prüfen, dass Sie es sind.“ Ein Verantwortlicher darf vor Beantwortung einer Art.-15-Anfrage eine angemessene Identitätsbestätigung verlangen – das ist zulässig. Er darf aber keine frische volle Ausweiskopie als Preis für die Auskunft fordern; das wäre unverhältnismäßig. Bieten Sie das Minimum, um Sie einem bestehenden Datensatz zuzuordnen.
• „Das dauert zu lange.“ Die Monatsfrist ist verbindlich. Eine Zwei-Monats-Verlängerung ist nur bei echt komplexen oder zahlreichen Anfragen zulässig, und der Verantwortliche muss Ihnen innerhalb des ersten Monats mitteilen, dass er verlängert und warum. Schweigen über einen Monat hinaus ist ein Verstoß, den Sie eskalieren können.
• „Wir haben eine Aufbewahrungspflicht“ – als Antwort auf ein Löschverlangen. Mal wahr, mal reflexhaft. Erzwingen Sie Konkretheit: welche gesetzliche Vorschrift, welche Frist, welches Fristende. Ein Verantwortlicher, der die Grundlage nicht nennen kann, über-bewahrt wahrscheinlich auf.
• „Diese Daten sind erforderlich.“ Gegen eine Minimierungs- oder Widerspruchs-Forderung ist das die Standardantwort. Drängen Sie auf das Warum jedes einzelnen Feldes, nicht des Bündels als Ganzes. Die Linie, was wirklich erforderlich ist, steht in was Banken bei KYC tatsächlich verlangen dürfen.

Der Eskalationspfad zählt. Versäumt ein Verantwortlicher die Frist, lehnt ohne gültige Grundlage ab oder mauert, können Sie Beschwerde bei der zuständigen Datenschutzbehörde einlegen – in Österreich die Datenschutzbehörde, in Deutschland die zuständige Landesdatenschutzbehörde. Eine dokumentierte, datierte Anfrage gefolgt von einer klaren Ablehnung ist genau der Nachweis, den diese Behörden sehen wollen.

Die Rechte in der richtigen Reihenfolge ausüben

Eine bewährte Sequenz:

1. Art.-15-Auskunft senden, um zu kartieren, wer was auf welcher Aufbewahrungsgrundlage hält.
2. Empfänger nach Rechtsgrundlage sortieren – rechtliche Verpflichtung versus berechtigtes Interesse. Das entscheidet, welche weiteren Rechte überhaupt verfügbar sind.
3. Bei Empfängern mit berechtigtem Interesse nach Art. 21 widersprechen oder nach Art. 17 Löschung verlangen – beides dürfte gelingen.
4. Bei Empfängern mit rechtlicher Verpflichtung noch keine Löschung verlangen; das Fristende und den genauen Scope festnageln und die Löschung auf den Ablauf der Frist vormerken.
5. Bei geänderten Dokumenten Art.-16-Berichtigung nutzen, um veraltete Kopien auszuspülen.

Diese Kartierung ist außerdem deutlich leichter, wenn Sie nicht von vornherein ganze Kopien verstreut haben. ShareKYC hält Ihre verifizierten Daten in einem einzigen EU-gehosteten, AES-256-verschlüsselten Vault und teilt sie über begrenzte, widerrufbare Links – damit „wer hält was“ eine Frage bleibt, die Sie auf einen Blick beantworten können, und die Antwort für jeden ohne Aufbewahrungspflicht meist „gar keine eigenständige Kopie“ lautet.

Was Ihnen das bringt

Die DSGVO gibt Ihnen keinen magischen Löschknopf über Ihre KYC-Daten, und so zu tun, als gäbe es ihn, führt zu vergeudeten Anfragen und Ablehnungsschreiben. Was sie Ihnen gibt, ist ein präzises Werkzeug: bedingungslose Sichtbarkeit über Art. 15, Hebel gegen Über-Erheber über Art. 17 und Art. 21, und einen sauberen Weg zur Löschung, sobald eine Aufbewahrungspflicht endet.

Kennen Sie die Rechtsgrundlage, wählen Sie das passende Recht – und Sie hören auf zu streiten und fangen an, Ergebnisse zu erzielen. Und je weniger unkontrollierte Kopien Sie ausgegeben haben, desto kürzer wird diese Übung – das ist die Arbeitsannahme hinter ShareKYC.