Aufbewahrung & Löschung von KYC-Kopien: was Gegenstellen dürfen

Das Onboarding ist durch, das Konto offen, das Geschäft erledigt – und irgendwo auf der Gegenseite liegt eine Kopie Ihres Reisepasses. Die Frage, die Praktiker wirklich beantwortet brauchen, ist nicht „habe ich ein Löschrecht“, sondern die schärfere: Wie lange darf die Gegenstelle diese KYC-Kopie behalten, und wann ist sie zur Vernichtung verpflichtet? Die Antwort ist ein Aushandeln zwischen zwei Gesetzen, die in entgegengesetzte Richtungen zeigen – und genau zu wissen, wo sie sich treffen, lässt Sie die Löschung im richtigen statt im falschen Moment verlangen.

Das ist die Grenze zwischen Aufbewahrung und Löschung, kartiert für die Seite, die Ihre Daten tatsächlich hält.

Zwei Gesetze, entgegengesetzte Richtungen

KYC-Aufbewahrung sitzt auf einer Bruchlinie zwischen Geldwäsche-Aufzeichnung und Datenschutz-Minimierung.

• Das Geldwäschegesetz (GwG) verpflichtet verpflichtete Stellen, Identifizierungsnachweise eine definierte Frist nach Ende der Beziehung aufzubewahren. Der Zweck ist Prüfbarkeit: Eine Aufsicht muss rekonstruieren können, wer wie verifiziert wurde.
• Die DSGVO verpflichtet alle, personenbezogene Daten nach Zweckerfüllung zu löschen, und gewährt Ihnen ein Löschrecht nach Art. 17.

Diese widersprechen sich weniger, als dass sie sich abwechseln. Solange die GwG-Pflicht läuft, überlagert sie die Löschung (DSGVO Art. 17 Abs. 3 lit. b bewahrt die Rechtspflicht-Aufbewahrung ausdrücklich). Sobald die Pflicht endet, fällt die Überlagerung weg und die Lösch-im-Zweifel-Regel der DSGVO setzt sich wieder durch. Das ganze Spiel besteht darin zu wissen, in welcher Phase eine Kopie steht.

Was die Aufbewahrungspflicht tatsächlich umfasst

Eine Aufbewahrungspflicht ist enger, als Gegenstellen oft so tun. Sie erlaubt das Behalten eines Nachweises, der die Identifizierung belegt, für den AML-Zweck. Sie gewährt nicht:

• eine Lizenz, Ihren Ausweis für fremde Zwecke wiederzuverwenden (Marketing, Profiling, Scoring),
• ein Recht, die Kopie an Parteien ohne eigene Grundlage weiterzugeben,
• eine Rechtfertigung, mehr aufzubewahren, als die Pflicht verlangt (ein voller ungeschwärzter Scan, wo extrahierte Felder plus ein Prüfprotokoll genügten),
• unbegrenzte Aufbewahrung – jede Frist hat ein Ende.

Das zählt, weil die häufigste Überdehnung nicht das Zu-lange-Behalten ist, sondern das Behandeln von „wir dürfen die Identifizierung aufbewahren“ als Blankoerlaubnis für alles. Das ist es nicht. Die breitere Karte, welche DSGVO-Rechte wann greifen, steht in die DSGVO-Rechte, die bei KYC tatsächlich greifen.

Wie lange ist „lange genug“?

Genaue Fristen hängen von Dokumenttyp und Rechtsraum ab, behandeln Sie die Tabelle also als Form der Regel, nicht als Zitat. Im DACH-Raum pendelt sich die AML-Aufzeichnung in ein Mehrjahresfenster ein – häufig genannt als etwa fünf Jahre nach Ende der Geschäftsbeziehung, in definierten Fällen verlängerbar.

Empfängertyp	Grundlage	Realistische Aufbewahrung
Bank / verpflichtete Stelle, aktive Beziehung	GwG-Identifizierungspflicht	Dauer der Beziehung + gesetzliche Frist
Verpflichtete Stelle, Beziehung beendet	GwG-Aufzeichnung	Mehrere Jahre nach Beendigung, dann löschen
PSP / regulierter Intermediär	AML-Pflicht (variiert)	Vergleichbares Mehrjahresfenster
Marktplatz, Vermieter, Broker (keine AML-Pflicht)	Keine / berechtigtes Interesse	Bis Zweckerfüllung – oft sofort danach

Die Linie, die die oberen drei Zeilen von der untersten trennt, nutzen Sie. Eine Partei ohne gesetzliche Aufbewahrungsgrundlage hat keine Frist auszusitzen – ihre rechtmäßige Aufbewahrung endet oft in dem Moment, in dem der Prüfzweck erfüllt ist.

Wann eine Gegenstelle löschen muss – und wie Sie es verlangen

Es gibt zwei saubere Auslösepunkte, an denen Löschung verlangbar wird:

Auslöser eins: nie eine Aufbewahrungsgrundlage. Ist die Gegenstelle keine verpflichtete Stelle und erhob Ihren Ausweis unter dünner „aus Sicherheitsgründen“-Begründung, war der Zweck mit Abschluss der Prüfung erfüllt. Verlangen Sie jetzt Löschung nach Art. 17. Ein taugliches Verlangen:

Der Zweck, zu dem Sie mein Ausweisdokument am [Datum] erhoben haben, ist erfüllt. Da Sie keiner gesetzlichen Aufbewahrungspflicht für diese Daten unterliegen, verlange ich deren Löschung nach DSGVO Art. 17 sowie eine schriftliche Bestätigung. Falls Sie eine Aufbewahrungspflicht geltend machen, nennen Sie bitte die konkrete Rechtsgrundlage und das Fristende.

Der letzte Satz ist der Hebel. Er zwingt die Gegenstelle, entweder zu löschen oder sich schriftlich auf eine konkrete gesetzliche Grundlage und ein Fristende festzulegen – was aus einem vagen „wir führen Aufzeichnungen“ eine datierte Pflicht macht, die Sie vormerken können.

Auslöser zwei: die Aufbewahrungsfrist ist abgelaufen. Bei verpflichteten Stellen sitzen Sie die Frist aus und schlagen dann zu. Sobald die gesetzliche Frist endet, ist die Rechtspflicht-Überlagerung weg, und fortgesetzte Aufbewahrung braucht eine frische Grundlage, die die Gegenstelle meist nicht hat. Merken Sie das Fristende aus Ihrer Auskunft vor und senden Sie dasselbe Art.-17-Verlangen, wenn es kommt.

Die Aufzeichnungen, die Sie kontrollieren, und die, die Sie nicht kontrollieren

Es gibt eine Kategorie, die diese Verlangen nicht erreichen: Kopien, die Sie als reine Anhänge oder Messenger-Bilder geschickt haben. Sie können deren Löschung verlangen, aber nicht verifizieren und nicht erzwingen. Das ist das praktische Argument, von vornherein keine unkontrollierte Kopie zu erzeugen – die einzige Aufbewahrung, die Sie wirklich steuern, ist die einer Kopie, die Ihre Kontrolle nie verlassen hat.

Ein begrenzter, widerrufbarer Link kehrt den Standard um. Statt die Löschung einer von jemandem gehaltenen Kopie zu verlangen, widerrufen Sie schlicht den Zugriff auf eine Kopie, die nur je in Ihrem Vault lag. Die Gegenstelle hatte nie eine Datei zum Aufbewahren; ist ihr Zweck erfüllt oder die Beziehung beendet, kappen Sie den Link. Die Mechanik dazu – und was ein Widerruf erreicht und nicht erreicht – steht in Zugriff im Nachhinein entziehen.

Was „löschen“ tatsächlich bedeuten muss

Bestätigt eine Gegenstelle die Löschung, lohnt es zu wissen, was eine vollständige Löschung umfasst – um eine Bestätigung zu beurteilen und um eine Halblösung zurückzuweisen.

Echte Löschung erreicht jeden Ort, an dem die Daten liegen, nicht nur den Hauptdatensatz:

• die Arbeitskopie im Hauptsystem,
• Replikate in Suchindizes, Caches und Data Warehouses,
• Backups (hier ist die Praxis nuanciert – Backups dürfen oft im normalen Zyklus auslaufen statt chirurgisch bearbeitet zu werden, sofern die Daten nicht in den aktiven Gebrauch zurückgespielt werden),
• weitergegebene Kopien an Auftragsverarbeiter oder Dritte, die die Gegenstelle ihrerseits zur Löschung anweisen muss.

Eine Gegenstelle, die den sichtbaren Datensatz löscht, Ihren Ausweis aber in einem Data Lake oder bei einem Drittverarbeiter belässt, hat die Pflicht nicht erfüllt. Sie dürfen in Ihrem Löschverlangen verlangen, dass sie die Löschung einschließlich aus Backups und bei allen Empfängern, denen die Daten offengelegt wurden, bestätigt. Anonymisierung kann eine legitime Alternative zur Löschung sein – aber nur, wenn sie wirklich unumkehrbar ist, was ein leicht geschwärzter Ausweis-Scan nicht ist.

Hier beißt auch die Lücke zwischen kontrollierbaren und unkontrollierbaren Freigaben am stärksten. Bei einer Kopie in Ihrem eigenen Vault ist „löschen“ eindeutig und sofortig: Sie widerrufen, und der Zugriff endet. Bei einer über fremde Systeme verstreuten Kopie ist „löschen“ ein Versprechen, dessen Einhaltung Sie über eine Infrastruktur hinweg vertrauen, die Sie nicht sehen. Diese Asymmetrie ist das ganze Argument, die verstreute Kopie gar nicht erst zu erzeugen – siehe Zugriff im Nachhinein entziehen.

In eine Routine einbauen

Fristenden sind nutzlos, wenn Sie sie vergessen, weshalb Löschung in einen wiederkehrenden Prozess gehört, nicht in einen Einzelfall. Jährlich:

• das Fristende jeder Kopie bei verpflichteten Stellen per Auskunft abrufen oder aktualisieren,
• Art.-17-Verlangen an jeden nicht verpflichteten Empfänger mit erfülltem Zweck abfeuern,
• die nächste Charge ablaufender Aufbewahrungsfristen vormerken,
• jeden Link zu einer beendeten Beziehung widerrufen.

Diese Taktung ist das Rückgrat einer richtigen KYC-Hygiene-Routine, und hier hören Aufbewahrungsregeln auf, abstrakt zu sein, und fangen an, Ihre Daten planmäßig aus Systemen zu räumen.

Das ist auch das Modell, um das ShareKYC gebaut ist: Ihre verifizierten Daten AES-256-verschlüsselt in einem EU-gehosteten Vault, geteilt über Links, die Sie bei Zweckende widerrufen – sodass für jeden Empfänger ohne Aufbewahrungspflicht die Antwort auf „was halten sie?“ schlicht „nichts Eigenständiges“ lautet.

Die Grenze, klar gesagt

Eine Gegenstelle darf Ihre KYC-Kopie genau so lange behalten, wie eine gesetzliche Pflicht es zwingt – nicht länger, zu keinem anderen Zweck und nie mehr, als die Pflicht verlangt. Außerhalb dessen ist der Standard Löschung, und die können Sie verlangen. Wissen Sie, auf welcher Seite der Linie jede Kopie sitzt, merken Sie die Fristenden vor – und die Aufbewahrung der Gegenseite ist nicht mehr unbegrenzt, sondern eine Uhr, die Sie beobachten.

Die sauberste Variante ist, gar keine eigenständige Kopie herauszugeben. Das ist der Standard, den ShareKYC leicht machen soll.