Nach der Identitätsprüfung: was mit dem Ausweis passiert und wer haftet, wenn er durchsickert
Sobald die Identitätsprüfung auf Ihrem Portal tatsächlich läuft, hat man das Gefühl, der schwierige Teil sei erledigt. Das Upload-Formular funktioniert, die Erfolgs- und Ablehnungsquoten wirken plausibel, die wichtigen Inserenten kommen durch. Was einem in diesem Moment niemand mitgibt, ist ein Plan für den Berg an Dokumenten, den die Prüfung gerade erzeugt hat. Ein Verifizierungssystem nimmt ein Ausweisdokument nämlich nicht einfach entgegen und lässt es dann verschwinden. Es erzeugt ein Foto eines Gesichts und ein Foto eines amtlichen Ausweises, und beide existieren jetzt irgendwo, auf irgendwelchen Servern, für eine Dauer, die niemand bewusst festgelegt hat.
Das ist kein Argument gegen die Verifizierung. Diese Frage hat der Gesetzgeber längst entschieden, und die Prüfung auszulassen ist mit Abstand der teurere Fehler. Es geht um das, was direkt nach dem grünen Häkchen passiert, denn genau dieser Teil hat mehreren Unternehmen 2025 und 2026 erheblich geschadet, und keines davon hatte auf die Prüfung verzichtet. Sie hatten sie korrekt durchgeführt und die entstandene Datei anschließend irgendwo liegen lassen, wo am Ende die falsche Person sie fand.
Das Dokument verschwindet nicht, wenn die Prüfung bestanden ist
Aus Sicht des Inserenten wirkt der Ablauf simpel: ein Selfie machen, den Ausweis fotografieren, ein paar Sekunden warten, freigeschaltet werden. Darunter erzeugt dieser Vorgang ein Artefakt, nämlich die eigentlichen Bilder, das von einem Upload-Formular zu einer Vergleichs-Engine wandert und mit einem Ergebnis zurückkommt. Ob dieses Artefakt in dem Moment gelöscht wird, in dem der Abgleich abgeschlossen ist, oder ob es einen Tag, einen Monat oder unbegrenzt aufbewahrt wird, ist eine Design-Entscheidung. Die meisten Systeme neigen von sich aus dazu, Dinge zu behalten, denn planmäßiges Löschen ist eine Funktion, die jemand bauen und pflegen muss, während Nichtstun nichts kostet.
Was dieses Standardverhalten kosten kann, wurde im Juli 2025 öffentlich, als bei der Dating-Sicherheits-App Tea ein Datenleck rund 72.000 Bilder offenlegte, darunter etwa 13.000 Aufnahmen von amtlichen Ausweisen und Verifizierungs-Selfies, die vor Februar 2024 eingereicht worden waren. In Teas eigener Datenschutzerklärung stand, dass Verifizierungsfotos sofort nach der Nutzung gelöscht würden. Das stimmte nicht: Die Bilder lagen in einem ungesicherten Cloud-Speicher, einem alten System, das niemand mehr geleert hatte, nachdem das Produkt auf eine neuere Lösung umgestiegen war.
Die Lehre daraus hat nichts speziell mit Dating-Apps zu tun, sondern mit dem Mechanismus dahinter, der für jedes Unternehmen gilt, das eine Prüfung hinter einem Widget an einen Dritten auslagert. Eine Datenschutzerklärung ist ein Versprechen, keine Tatsache über die eigene Infrastruktur. Wer nicht die genaue Anzahl von Tagen nennen kann, die zwischen dem Hochladen eines Ausweises durch einen Inserenten und dessen vollständiger Löschung aus jedem System, das ihn berührt hat, einschließlich Backups, vergehen, kennt seine eigene Richtlinie in Wirklichkeit nicht, sondern nur das, was auf dem Papier steht.
Ein zweiter Vorfall im selben Jahr zeigte die andere typische Art, wie so etwas schiefgeht: sensible Daten über ein allgemeines System statt über ein dediziertes System zu leiten. Das Datenleck bei Discord im Oktober 2025 ging auf einen kompromittierten externen Kundendienst-Dienstleister zurück, weil Einsprüche gegen die Altersverifizierung, einschließlich hochgeladener Fotos amtlicher Ausweise, durch dasselbe Ticketsystem liefen, das auch für gewöhnliche Beschwerden genutzt wurde. Discord bestätigte, dass rund 70.000 Ausweisbilder und Selfies offengelegt wurden, zusammen mit Namen, Benutzernamen, E-Mail-Adressen und eingeschränkten Rechnungsdaten. Seitdem leitet Discord Dokumente nicht mehr über den allgemeinen Support.
Warum ein Ausweis mit Bezug zu Ihrem Portal im Fall eines Lecks mehr wert ist als der Ausweis allein
Ein durchgesickerter amtlicher Ausweis allein ist bereits ein echtes Problem für die abgebildete Person, aber ein Ausweis, den ein Datensatz zusätzlich als zu einem verifizierten Inserenten auf einer Erotik-Kleinanzeigenseite gehörig kennzeichnet, ist ein Problem anderer Größenordnung, denn genau diese Kennzeichnung ist der eigentliche Schaden. Sie verknüpft die Person mit einer Tatsache über ihr Leben, die sie nie öffentlich machen wollte, und genau diese Kombination macht aus einer routinemäßigen Datenschutzmeldung eine Klage oder, in einigen dokumentierten Fällen, eine Erpressung, die sich gegen die Person richtet, deren Daten durchgesickert sind, und nicht gegen das Unternehmen, das sie verloren hat.
Aufsichtsbehörden behandeln diese Art der Verknüpfung bereits für sich genommen als sensibel, unabhängig von einem einzelnen Foto oder einer einzelnen Nachricht. Nach der DSGVO gehören Daten, die das Sexualleben oder die sexuelle Orientierung einer Person offenlegen, zu den wenigen besonderen Kategorien, für deren Verarbeitung überhaupt eine deutlich höhere rechtliche Hürde gilt. Norwegens Datenschutzbehörde belegte die Dating-App Grindr im Dezember 2021 mit einem Bußgeld von rund 6,5 Millionen Euro, das 2025 im Berufungsverfahren bestätigt wurde, und zwar gerade deshalb, weil bereits die Weitergabe der bloßen Tatsache, dass jemand Grindr-Nutzer war, an Werbepartner als geeignet galt, die sexuelle Orientierung offenzulegen. Für das Bußgeld musste weder eine Nachricht noch ein Foto durchsickern, die Mitgliedschaft allein war die sensible Tatsache.
Diese Logik lässt sich fast unverändert auf ein Kleinanzeigenportal übertragen. Ein amtlicher Ausweis, den ein durchgesickerter Datensatz zusätzlich als zu einem verifizierten Inserenten auf Ihrer Plattform gehörig markiert, ist personenbezogene Daten plus eine daraus abgeleitete Lebenstatsache, deren Veröffentlichung die betroffene Person nie zugestimmt hat. Jedes Haftungsregime rund um Datenschutzverletzungen bewertet diese Kombination als schwerwiegender als ein gewöhnliches Datenleck von Kartennummern bei einem Händler. Das erklärt zu einem großen Teil, warum Bußgelder und Klagen in dieser Ecke des Internets höher ausfallen, als die meisten Betreiber annehmen, die glauben, die üblichen Datenleck-Schlagzeilen beträfen sie nicht.
In der Praxis sollte das ändern, was auf Ihrer Seite als angemessene Sicherheit gilt, selbst wenn der Dienstleister die Datei verwahrt. Eine Datenbank mit Passwörtern und eine Datenbank, die einen amtlichen Ausweis mit der Mitgliedschaft auf Ihrer Plattform verknüpft, unterliegen nicht derselben Sorgfaltspflicht, und weder eine Aufsichtsbehörde noch ein Journalist wird beide nach einem Vorfall gleich behandeln. Es lohnt sich, schon vor einem Vorfall festzulegen, dass die zweite Kategorie einen höheren Standard bekommt als das, was Ihre allgemeine Richtlinie derzeit auf Kundendaten anwendet, denn nach einem Vorfall trifft man diese Entscheidung nicht mehr gut.
Die Aufbewahrungsfalle: Bußgeld für das, was Sie gespeichert haben, egal ob es je durchgesickert ist
Sowohl bei Tea als auch bei Discord handelt es sich um Datenlecks, das heißt, ein externer Angreifer musste aktiv werden. Spaniens Datenschutzbehörde zeigte im März 2026 den anderen Weg zum selben Ergebnis, als sie Yoti, einen der spezialisierten Anbieter für Identitäts- und Altersverifizierung, mit 950.000 Euro Bußgeld belegte, und zwar ganz ohne jedes Datenleck. Yoti wurde schlicht dafür bestraft, was das Unternehmen aufbewahrt hatte, auf Vorrat, ohne dass jemand danach gefragt hätte.
Es lohnt sich, die Aufschlüsselung genau zu lesen, denn jede einzelne Position beschreibt eine gewöhnliche, gut gemeinte Geschäftspraxis und kein offensichtliches Fehlverhalten. 500.000 Euro betrafen die Verarbeitung biometrischer Daten nach den Sonderregeln der DSGVO für besondere Kategorien personenbezogener Daten. 200.000 Euro betrafen die Gestaltung der Einwilligung: Nutzer konnten den Bildschirm mit der Datenschutzerklärung anklicken, ohne ihn je geöffnet zu haben, und waren standardmäßig damit einverstanden, dass ihre biometrischen Daten für interne Forschung weiterverwendet wurden, sofern sie nicht ein entsprechendes Kästchen fanden und deaktivierten. Die verbleibenden 250.000 Euro betrafen eine als überzogen bewertete Aufbewahrungsdauer, darunter Geodaten, die fünf Jahre lang aufbewahrt wurden, nachdem sie ihre einzige Aufgabe, nämlich bei der Anmeldung die geltende Altersregel zu bestimmen, längst erfüllt hatten, sowie biometrische Vorlagen, die so lange aufbewahrt wurden, wie ein Konto aktiv blieb, plus drei weitere Jahre nach der letzten Nutzung.
Jede dieser Aufbewahrungsentscheidungen hatte eine plausibel klingende Begründung: Geodaten für den Fall, dass eine Regel erneut geprüft werden musste, biometrische Vorlagen für den Fall, dass ein wiederkehrender Inserent erneut verifiziert werden musste, Forschungszugriff zur Produktverbesserung. Eine plausibel klingende Begründung ist aber nicht dasselbe wie eine Aufbewahrungsfrist, die an einen konkret benannten Zweck gebunden ist, und die Behörde bestrafte ausgerechnet ein Unternehmen, das auf korrekte Verifizierung spezialisiert ist, dafür, beides verwechselt zu haben. Yoti legt Rechtsmittel ein, und die Vollstreckung wurde Berichten zufolge im April 2026 bis zur Entscheidung über diesen Einspruch ausgesetzt. Betrachten Sie den Fall daher als aktuelle Warnung und nicht als abgeschlossenen Vorgang, aber die Argumentation, dass eine Aufbewahrungsfrist einem Zweck folgen muss und keiner Bequemlichkeit, ist nicht der Teil, gegen den Einspruch eingelegt wurde.
Die praktische Konsequenz ist einfach zu formulieren und leicht zu übersehen: Ihr Vertrag mit dem Dienstleister sollte für jede Kategorie von Daten, die die Prüfung erzeugt, eine Aufbewahrungsfrist in Tagen nennen, gebunden an einen ausdrücklich genannten Zweck. Kann Ihnen ein Dienstleister diese Zahl nicht schriftlich nennen, hat er sie selbst auch nicht festgelegt, und keiner von Ihnen beiden wird sie später verteidigen können, weder gegenüber einer Aufsichtsbehörde noch gegenüber einem Inserenten, der fragt, wo sein Ausweis geblieben ist.
Was Sie einen Verifizierungsdienstleister vor Vertragsabschluss wirklich fragen sollten
In den meisten Fällen betreiben Sie die Verifizierungssoftware nicht selbst. Das übernimmt ein spezialisierter Dienstleister, und das ist auch die richtige Aufgabenteilung: Identitätsprüfungen, die gefälschte Anzeigen tatsächlich erkennen sind eine eng umrissene, haftungsintensive Disziplin, die ein kleines Team nicht selbst von Grund auf aufbauen sollte. Nach dem Datenschutzrecht bleibt jedoch meist der Betreiber, der die Prüfung eingeführt hat, der Verantwortliche, während der Dienstleister als Auftragsverarbeiter gilt, und ein Fehler des Auftragsverarbeiters fällt trotzdem auf die Haftung des Verantwortlichen gegenüber der Person zurück, deren Dokument durchgesickert ist. Deshalb gehören diese Fragen in den Vertrag mit dem Dienstleister, nicht in ein Support-Ticket, das erst gestellt wird, nachdem etwas schiefgelaufen ist.
Fragen Sie zuerst, ob die Prüfung nur ein Bestanden oder Nicht bestanden plus einen Konfidenzwert zurückliefert, oder ob das eigentliche Bild irgendwann auch auf Ihrer eigenen Infrastruktur landet. Ein Dienstleister, der auf ein Prinzip von Prüfen und sofort Löschen setzt, also das Dokument vergleicht und innerhalb derselben Transaktion löscht statt es für später zu speichern, beseitigt einen Großteil dieses Risikos durch die Architektur selbst und nicht durch ein Richtlinienversprechen, dem man vertrauen und das man immer wieder nachprüfen muss.
Fragen Sie nach dem genauen Löschzeitraum in Tagen, festgeschrieben im Vertrag und nicht nur aus einer Marketingseite zitiert, und fragen Sie, was mit Backups passiert. Ein System, das die aktive Kopie planmäßig löscht, aber ein 90-Tage-Backup behält, hat in der Praxis eine Aufbewahrungsfrist von 90 Tagen, ganz gleich, was die offiziell genannte Zahl behauptet, und genau in dieser Lücke haben die Tea-Bilder ihre angebliche Löschung überdauert.
Fragen Sie, wer wen benachrichtigt und innerhalb welcher Frist in Stunden, wenn der Dienstleister selbst von einem Datenleck betroffen ist. Nicht der Dienstleister, sondern Sie schulden einer Aufsichtsbehörde möglicherweise eine Meldung, und eine Meldefrist von 72 Stunden lässt sich nicht einhalten, wenn Sie von einem Leck erst in der dritten Woche erfahren. Halten Sie die Antwort bereit, bevor Sie sie brauchen: Es ist fast dieselbe Unterlage, die ein Zahlungsdienstleister ohnehin verlangt, bevor er Ihr Konto genehmigt, sodass Sie sie nur einmal schriftlich festhalten müssen und sie beiden Zwecken dient. Vereinbaren Sie mit dem Dienstleister eine kürzere vertragliche Frist als die, die Sie selbst gegenüber Ihrer Aufsichtsbehörde einhalten müssen, damit noch Zeit zum Handeln bleibt, bevor Ihre eigene Frist abläuft.
Fragen Sie schließlich, was der Dienstleister mit dem Bild über die eigentliche Prüfung hinaus macht: Modelltraining, gemeinsam genutzte Betrugsdatenbanken mit anderen Kunden, interne Forschung. Verlangen Sie ein klares schriftliches Ja oder Nein, statt Schweigen als Antwort zu akzeptieren, denn genau ein als Standard-Opt-in getarntes Schweigen war es, das Yotis Einwilligungskonstruktion für die Forschung so lange bestehen ließ, bevor eine Aufsichtsbehörde genauer hinsah.
Was in diesem Quartal konkret zu tun ist
Nichts davon ist ein Grund, weniger sorgfältig zu prüfen. Es ist ein Grund, genauso bewusst damit umzugehen, wie die Daten Ihre Systeme und die Ihres Dienstleisters wieder verlassen, wie Sie es bereits beim Hereinkommen der Daten lernen mussten. Die Betreiber, die bei der nächsten Welle von Bußgeldern und Datenleck-Schlagzeilen zu Schaden kommen, werden nicht diejenigen sein, die nie einen Ausweis geprüft haben, sondern diejenigen, die korrekt geprüft, aber nie gefragt haben, was danach passiert.
Fordern Sie noch diesen Monat schriftlich den Aufbewahrungsplan Ihres aktuellen Dienstleisters an, in Tagen angegeben, für jede Kategorie von Daten, die die Prüfung erzeugt, und nicht in Formulierungen wie kurzfristig oder nach Bedarf. Kann der Dienstleister diese Zahl nicht liefern, ist genau diese Unfähigkeit zu antworten schon das Ergebnis, und sie sagt mehr über das Risiko aus, das Sie tragen, als jede Broschüre es je könnte.
Schließen Sie jeden Arbeitsablauf, bei dem ein Support-Mitarbeiter, jemand, der Einsprüche bearbeitet, oder Sie selbst am Ende ein Ausweisfoto per E-Mail oder über ein allgemeines Ticketsystem erhalten, statt über die dafür vorgesehene Verifizierungs-Pipeline. Wenn ein solcher Ablauf irgendwo in Ihrem Betrieb existiert, ist das mit hoher Wahrscheinlichkeit Ihr größtes einzelnes Risiko, und anders als die meisten Korrekturen in diesem Geschäft kostet das Schließen dieser Lücke nichts außer der Entscheidung, es zu tun.
Nehmen Sie bei der nächsten Vertragsverlängerung eine maximale Aufbewahrungsfrist und eine Frist für die Meldung von Datenlecks schriftlich mit auf, und tragen Sie sich alle zwei Quartale eine Überprüfung der tatsächlichen Praxis des Dienstleisters ein, nicht nur seiner Richtlinienseite. Ein Versprechen, das am Tag der Unterschrift zutraf, muss ein Jahr später nicht mehr zutreffen, und die Unternehmen, die 2025 und 2026 Bußgelder kassierten oder von Lecks betroffen waren, haben das meist von einer Aufsichtsbehörde oder einem Hacker erfahren und nicht aus der eigenen Überprüfung.
