Grundsatzbeschluss der Datenschutzbehörde (KVKK) zur Erfassung von Ausweiskopien im Beherbergungssektor: Ein neuer Standard für die Branche
1. Einleitung
Der im Amtsblatt Nr. 33102 vom 6. November 2025 veröffentlichte „Grundsatzbeschluss der Datenschutzbehörde („Behörde“) „Grundsatzbeschluss über die Speicherung von Kopien der türkischen Personalausweise von Personen, die Beherbergungsdienstleistungen in Anspruch nehmen“ hat einen wichtigen Rahmen für die Datenverarbeitungspraktiken geschaffen, die in der Tourismus- und Hotelbranche seit langem diskutiert werden. In diesem Zusammenhang haben insbesondere die Bewertungen hinsichtlich der Erfassung und Speicherung von Kopien des Personalausweises entscheidende Neuerungen mit sich gebracht, die auf eine stärkere Übereinstimmung mit dem Gesetz zum Schutz personenbezogener Daten Nr. 6698 („KVKK“) sowie auf die Unterwerfung der Datenverarbeitungsaktivitäten im Beherbergungssektor unter klare, verhältnismäßige und zweckgebundene Regeln abzielen.
Die vorliegende Entscheidung des Ausschusses stellt sowohl hinsichtlich der Klärung der Grenzen der gesetzlichen Verpflichtungen als auch im Hinblick auf den Schutz der Rechte und Freiheiten der betroffenen Personen einen wichtigen Meilenstein dar; sie erfordert eine Überprüfung der Datenverarbeitungsprozesse durch alle Beherbergungsbetriebe wie Hotels, Pensionen und ähnliche Einrichtungen.
2. Rechtliche Bewertung der Voraussetzungen für die Verarbeitung personenbezogener Daten im Rahmen von Art. 5 KVKK
In der Entscheidung des Ausschusses nimmt zunächst Art. 5 KVKK eine zentrale Stellung ein. Nach dieser Bestimmung unterliegt die Verarbeitung personenbezogener Daten grundsätzlich der ausdrücklichen Einwilligung der betroffenen Person. Die Datenverarbeitung ist jedoch auch ohne ausdrückliche Einwilligung zulässig, wenn sie gesetzlich ausdrücklich vorgesehen ist, in direktem Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags steht, für die Erfüllung einer rechtlichen Verpflichtung des für die Datenverarbeitung Verantwortlichen erforderlich ist, für die Begründung, Ausübung oder Wahrung eines Rechts erforderlich ist oder wenn im Rahmen der berechtigten Interessen des für die Datenverarbeitung Verantwortlichen zwingende Gründe vorliegen.
Die Einbeziehung dieses Artikels in die Entscheidung durch den Ausschuss macht eine Analyse erforderlich, unter welcher Verarbeitungsvoraussetzung die Praxis der Anfertigung von Kopien von Ausweisdokumenten zu sehen ist. Denn während die Überprüfung von Identitätsdaten gemäß Gesetz Nr. 1774 eine dem für die Datenverarbeitung Verantwortlichen auferlegte Verpflichtung darstellt, ist die Anfertigung einer Kopie des Ausweisdokuments nicht Teil einer solchen Verpflichtung. Daher wird deutlich, dass die betreffende Praxis nicht unter die Verarbeitungsvoraussetzung „Erfüllung einer rechtlichen Verpflichtung“ fallen kann. Der Ausschuss betont aus diesem Grund, dass die Praxis der Anfertigung von Kopien von Ausweisdokumenten mit keiner Verarbeitungsvoraussetzung rechtlich in Verbindung gebracht werden kann, und weist darauf hin, dass sie in dieser Hinsicht einen Verstoß gegen das Gesetz darstellt.
- Bewertung der Risiken im Zusammenhang mit personenbezogenen Daten besonderer Art
Einer der in der Entscheidung hervorgehobenen kritischen Punkte ist die Wahrscheinlichkeit der Verarbeitung von personenbezogenen Daten besonderer Art, wie Religion und Blutgruppe, die in bestimmten Arten von Ausweisdokumenten enthalten sind, infolge der Vervielfältigung des Ausweisdokuments durch eine Fotokopie. Im Rahmen von Artikel 6 des KVKK werden personenbezogene Daten besonderer Art als Datenkategorien definiert, die das Potenzial für Diskriminierung von Personen erhöhen und daher strengeren Schutzmaßnahmen unterliegen. Die Verarbeitung dieser Daten ist streng an das Vorliegen der im Gesetz vorgesehenen Ausnahmen gebunden, wobei die Verarbeitungsbedingungen außerhalb der ausdrücklichen Einwilligung Ausnahmen darstellen, die eng und restriktiv ausgelegt werden müssen.
Ausgehend von der Tatsache, dass alte Personalausweise nach wie vor in Gebrauch sind, weist der Ausschuss darauf hin, dass die Praxis der Anfertigung von Kopien von Ausweisdokumenten zur Verarbeitung sensibler Daten führen kann, ohne dass dies bewusst geschieht. Diese Feststellung zeigt, dass die betreffende Praxis nicht nur gegen die Grundsätze der Datenminimierung und der Verhältnismäßigkeit verstößt, sondern auch geeignet ist, gegen die rechtlichen Bestimmungen für Informationen der Kategorie der besonderen Daten zu verstoßen. Aus diesem Grund weist der Ausschuss darauf hin, dass Beherbergungsbetriebe ihre derzeitigen Praktiken neu bewerten und so schnell wie möglich Maßnahmen ergreifen müssen, um das Risiko der Verarbeitung sensibler Daten auszuschließen.
4. Das Schicksal von Datensätzen aus früheren Zeiträumen und die Verpflichtung zur Vernichtung
In der Entscheidung wird auch eine umfassende Bewertung des rechtlichen Status von in früheren Zeiträumen angefertigten Kopien von Ausweisdokumenten vorgenommen, und es wird im Rahmen von Artikel 7 des KVKK ausdrücklich festgestellt, dass die Vernichtung dieser Daten obligatorisch ist, sofern sie nicht auf einer rechtmäßigen Verarbeitungsgrundlage beruhen. In diesem Zusammenhang müssen die für die Daten Verantwortlichen die derzeit in ihrem Besitz befindlichen Kopien von Ausweisdokumenten systematisch prüfen und Daten, die nicht mit einer Verarbeitungsgrundlage in Verbindung gebracht werden können, durch Löschen, Vernichten oder Anonymisieren beseitigen. Die Erfüllung dieser Verpflichtung ist nicht nur für die Gewährleistung der Datensicherheit von grundlegender Bedeutung, sondern auch im Hinblick auf die Vermeidung rechtlicher und administrativer Sanktionen, denen der für die Datenverarbeitung Verantwortliche in Zukunft ausgesetzt sein könnte.
In diesem Zusammenhang ist es offensichtlich, dass Beherbergungsbetriebe ihre Vernichtungsmaßnahmen nachweisbar, prüfbar und in Übereinstimmung mit den in den Beschlüssen des Ausschusses und den Leitfäden der Behörde vorgesehenen Grundsätzen durchführen müssen. Die Integration der Vernichtungsprozesse in die Unternehmensrichtlinien, die Aktualisierung der internen Verfahren und die entsprechende Unterweisung des Personals stellen eine natürliche Erweiterung der Rechenschaftspflicht des für die Datenverarbeitung Verantwortlichen dar. Darüber hinaus ist die Überarbeitung der Informationstexte und der betrieblichen Anweisungen für Mitarbeiter im Rahmen dieses Grundsatzbeschlusses sowohl im Hinblick auf die Anforderungen des Transparenzgrundsatzes als auch für die Nachhaltigkeit einer rechtskonformen Datenverarbeitungspraxis unerlässlich.
5. Schlussfolgerung
Zusammenfassend lässt sich sagen, dass dieser Grundsatzbeschluss des Ausschusses in Bezug auf die Verarbeitung personenbezogener Daten im Tourismus- und Beherbergungssektor sowohl die im Gesetz Nr. 1774 über die Identitätsangabe als auch im Gesetz Nr. 6698 zum Schutz personenbezogener Daten vorgesehenen allgemeinen Grundsätze, Verarbeitungsbedingungen und Beschränkungen in Bezug auf besonders schützenswerte personenbezogene Daten konkretisiert, wie diese in diesem Bereich anzuwenden sind. Der Beschluss schreibt vor, dass die Datenverarbeitungsprozesse für Beherbergungsbetriebe ausschließlich auf Identitätsprüfungen und Meldepflichten beschränkt bleiben müssen; dass zu diesem Zweck die Praxis der Anforderung von nicht zwingend erforderlichen Identitätskopien aufgegeben werden muss und dass die erhobenen Daten in jeder Phase zweckgebunden, verhältnismäßig und transparent verwendet werden müssen.