KYC-Hygiene: die jährliche Routine für Ausweiskopien

Wer seinen Ausweis ein paar Mal im Jahr teilt, hat ein Problem, das er fast nie ansieht: einen langsam wachsenden Stapel von Kopien in Postfächern, geteilten Laufwerken, Ticketsystemen und Chatverläufen, die längst vergessen sind. Jede einzelne ist eine dauerhafte Belastung, die Sie nicht mehr verfolgen. Eine KYC-Hygiene-Routine ist die jährliche Disziplin, die aus diesem unsichtbaren Stapel eine Liste macht, mit der Sie tatsächlich arbeiten können – inventarisieren, bereinigen, was geht, und sichern, was bleiben muss.

Denken Sie daran wie an das Rotieren von Passwörtern oder das Prüfen von Daueraufträgen. Es ist mühsam, kostet einen Nachmittag und entscheidet darüber, ob Sie genau wissen, wo Ihre Ausweiskopien liegen – oder es auf die harte Tour erfahren, wenn eine davon irgendwo auftaucht, wo sie nicht hingehört.

Warum ein jährlicher Durchgang besser ist als Panik im Einzelfall

Die meisten denken nur in zwei Momenten an eine geteilte Ausweiskopie: beim Versenden und wenn etwas schiefläuft. Die Jahre dazwischen sind ein blinder Fleck. Dokumente laufen ab, Geschäfte platzen, Anbieter werden übernommen, Support-Postfächer archiviert – und Ihre Daten reisen mit, ungetrackt, in Systeme, in die Sie keinerlei Einblick haben.

Eine jährliche Routine löst das Taktproblem. Sie verlassen sich nicht mehr auf Ihr Gedächtnis, sondern auf einen wiederkehrenden Kalendereintrag. Das Ziel ist nicht Perfektion, sondern den Abstand zwischen „existierenden Kopien“ und „Kopien, von denen Sie wissen“ einmal pro Jahr zu verkleinern.

Schritt 1: Jede geteilte Kopie inventarisieren

Sie können nicht bereinigen, was Sie nicht sehen. Der erste Durchgang ist reine Rekonstruktion. Gehen Sie Quelle für Quelle vor:

• Gesendet-Ordner im E-Mail-Postfach – suchen Sie nach Ausweis, Reisepass, ID, passport, üblichen Anhangsformaten und den Namen der Banken oder Plattformen, bei denen Sie sich verifiziert haben.
• Messenger und Chat – WhatsApp, Signal, Slack, Teams. Hier werden Passfotos weit beiläufiger verschickt.
• Cloud-Speicher und geteilte Links – Google Drive, Dropbox, OneDrive. Prüfen Sie Ihre Dateien und von anderen erstellte Links.
• Plattform-Konten – überall, wo Sie einen KYC-Prozess durchlaufen haben: Banken, Broker, Krypto-Börsen, PSPs, Marktplätze.

Notieren Sie jede Fundstelle. Eine einfache Tabelle reicht – und sie ist der Keim eines dauerhaften Verzeichnisses, das Sie pflegen statt jährlich neu aufzubauen. Falls Sie noch keines führen, ist ein persönliches KYC-Datenregister die natürliche Ergänzung zu dieser Routine.

Empfänger	Was geteilt	Kanal	Datum	Noch nötig?	Maßnahme
Bank A	Reisepass + Meldezettel	Upload-Portal	2024-03	Ja (aktives Konto)	Belassen, Aufbewahrung notieren
Marktplatz B	Ausweis vorne/hinten	E-Mail	2024-07	Nein	Löschung verlangen
Alter Broker C	Reisepass	ShareKYC-Link	2025-01	Nein	Link widerrufen

Schritt 2: Alte Freigaben widerrufen, die Sie noch kontrollieren

Das ist der wirkungsvollste Schritt, also erledigen Sie ihn vor den langsamen. Jede Freigabe, die Sie über einen kontrollierbaren Kanal erteilt haben – einen begrenzten Link, eine Portal-Freigabe, eine Plattform-Berechtigung – lässt sich einseitig kappen. Keine Anfrage, kein Warten, keine Mitwirkung der Gegenstelle.

Gehen Sie Ihr Inventar durch und beenden Sie jeden Link und jede Freigabe, die zu einer abgeschlossenen Beziehung gehört: das geplatzte Geschäft, die nicht mehr genutzte Börse, das halb abgebrochene Onboarding. Wenn Sie Kopien als reine E-Mail-Anhänge verschickt haben, hilft dieser Schritt nicht – und genau diese Lücke ist der Kern von Zugriff im Nachhinein entziehen. Bei kontrollierbaren Freigaben ist der Widerruf sofortig und endgültig.

Das ist das praktische Argument dafür, von vornherein über begrenzte Links zu teilen: die Bereinigung ein Jahr später ist ein Klick, keine Löschanfrage, um die Sie betteln müssen.

Schritt 3: Für den Rest Löschungen verlangen

Jetzt der langsame Teil – die Kopien in Postfächern und Systemen, die Sie nicht kontrollieren. Senden Sie für jede vom Inventar als „nicht mehr nötig“ markierte Kopie eine Löschanfrage. Kurz, konkret, datiert:

Gemäß DSGVO Art. 17 verlange ich die Löschung der Kopie meines Ausweisdokuments, die ich am [Datum] zum Zweck [Zweck] übermittelt habe. Bitte bestätigen Sie die Löschung schriftlich oder nennen Sie die Rechtsgrundlage für eine etwaige Aufbewahrung.

Rechnen Sie mit zwei Arten von Antwort. Manche löschen und bestätigen – erledigt. Andere berufen sich auf eine Aufbewahrungspflicht, typischerweise die mehrjährige Aufzeichnungspflicht des GwG. Diese Weigerung ist nicht zwangsläufig unberechtigt, hat aber Grenzen: Eine Aufbewahrungspflicht rechtfertigt das Behalten eines Nachweises, keine unbegrenzte Weiterverwendung – und sie endet. Die Grenze zwischen Behaltenmüssen und Löschenmüssen behandelt Aufbewahrung & Löschung von KYC-Kopien.

Protokollieren Sie jede Antwort. Eine bestätigte Löschung schließt die Zeile; eine Aufbewahrungsberufung parkt sie mit Wiedervorlagedatum.

Schritt 4: Dokumente rotieren und neu zuschneiden

Der letzte Durchgang blickt nach vorn. Zwei Punkte:

Dokumentwechsel. Haben Sie Ihren Reisepass erneuert, einen Ausweis ersetzt, sind umgezogen oder haben den Namen geändert, ist jede alte kursierende Kopie nun veraltete Daten zu einem überholten Dokument. Notieren Sie, welche Empfänger veraltete Kopien halten – das sind Priorität bei der Löschung, weil die Daten exponiert und falsch sind.

Scope-Creep. Sehen Sie sich an, was Sie typischerweise versenden, und fragen Sie, ob es mehr ist, als nötig. Viele schicken standardmäßig den ganzen Reisepass, wo Name und Geburtsdatum auf einer geschwärzten Karte genügten. Den Standard-Scope enger zu fassen ist der günstigste langfristige Gewinn – siehe welche Felder Sie tatsächlich teilen sollten.

Mit den Kopien umgehen, die Sie nicht bereinigen können

Manche Zeilen Ihres Inventars schließen nicht – und das ist in Ordnung. Aufgabe der Routine ist, die offenen sichtbar und gesteuert zu halten, nicht alles auf null zu zwingen. Zwei Kategorien werden sich sperren:

Aufbewahrungsgebundene Kopien. Eine Bank oder andere verpflichtete Stelle verweigert die Löschung, solange die GwG-Frist läuft. Werten Sie das nicht als Scheitern. Notieren Sie das genannte Fristende und merken Sie eine Löschanfrage für den Ablauf vor. Der Durchgang im nächsten Jahr greift sie automatisch auf. Wovor Sie sich schützen, ist eine Kopie, die über ihre rechtmäßige Frist hinaus aufbewahrt wird, weil nie jemand nachfasste – Ihr Register schließt diese Lücke.

Nicht verifizierbare Kopien. Ein E-Mail-Anhang oder ein Messenger-Bild, das Sie vor Jahren verschickt haben, kann zur Löschung verlangt, aber nie bestätigt werden. Markieren Sie diese ehrlich als „verlangt, nicht verifizierbar“, statt zu tun, als wären sie weg. Sie sind zugleich Ihr stärkstes Argument, das Teilen künftig zu ändern: Jede unkontrollierte Kopie, die Sie dieses Jahr erzeugen, wird nächstes Jahr zur nicht bereinigbaren Zeile.

Eine kurze Regel hält die Routine vernünftig: bereinigen, was geht, vormerken, was aufbewahrungsgebunden ist, und aufhören, Kopien zu erzeugen, deren Löschung Sie nie verifizieren können.

Eine Routine, die Sie wirklich durchhalten

Das Ganze passt in eine wiederkehrende Checkliste. Blocken Sie einmal jährlich neunzig Minuten und arbeiten Sie von oben nach unten:

• Inventar aus E-Mail, Chat, Cloud und Plattform-Konten rekonstruieren
• Jeden noch kontrollierten alten Link bzw. jede Freigabe widerrufen
• Datierte DSGVO-Art.-17-Löschanfragen für unkontrollierte Kopien senden
• Bestätigungen und Aufbewahrungsberufungen mit Wiedervorlage protokollieren
• Kopien zu abgelaufenen oder ersetzten Dokumenten markieren
• Standard-Scope fürs nächste Jahr enger fassen

Hier zahlt sich auch Werkzeug aus. ShareKYC existiert, um das meiste davon in die Freigabe selbst zu verlagern: Daten einmal verifiziert und AES-256-verschlüsselt in einem EU-gehosteten Vault, geteilt über Links mit Ablauf, Zugriffslimit, deaktiviertem Download, sofortigem Widerruf und vollständigem Audit-Log. Wenn jede Freigabe ohnehin begrenzt und widerrufbar ist, besteht Ihr jährlicher Hygiene-Durchgang vor allem aus „Widerrufen“-Klicks entlang einer sichtbaren Liste – statt aus Archäologie über ein Dutzend Postfächer.

Worum es bei der Übung geht

KYC-Hygiene ist keine Paranoia, sondern das Schließen der Lücke zwischen den existierenden Kopien und den Kopien, über die Sie Rechenschaft ablegen können. Einmal durchgeführt, ist das zweite Jahr deutlich schneller, weil die halbe Arbeit darin besteht, ein Register zu pflegen statt neu aufzubauen.

Fangen Sie klein an: Öffnen Sie Ihren Gesendet-Ordner, finden Sie die erste Ausweiskopie und entscheiden Sie, ob Sie sie widerrufen oder ihre Löschung verlangen. Wenn künftig jede Freigabe von vornherein für genau diese Bereinigung gebaut sein soll, ist das der Standard, den ShareKYC liefern soll.