Der Personalausweis zur Altersverifikation im Internet

Die Forderungen nach Altersverifikationen im Internet nehmen weltweit zu. In einigen Ländern setzen Plattformen wie Discord bereits auf Ausweisprüfungen, um Altersgrenzen durchzusetzen. Dabei werden Ausweisdaten digital erfasst und verarbeitet – immer mit dem betonten Ziel, Jugendliche besser zu schützen. Neben dem Jugendschutz müssen jedoch auch die Vorgaben des Datenschutzes sowie spezifische nationale Regelungen beachtet werden. Dieser Beitrag beleuchtet die rechtlichen Rahmenbedingungen in Deutschland.

Wie wird der Personalausweis zur Altersverifikation eingesetzt?

Plattformen wie Discord planen, die Altersverifikation ihrer Nutzer:innen weltweit einzuführen. Diese Maßnahme soll für den Zugriff auf altersbeschränkte Inhalte oder zum Ändern von Sicherheitseinstellungen erforderlich sein. Die globale Einführung war ursprünglich für März 2026 geplant, wurde aber nach starkem Gegenwind auf die zweite Jahreshälfte 2026 verschoben.

In Ländern, in denen eine Altersverifikation gesetzlich vorgeschrieben ist, können Nutzer:innen ihr Alter bereits durch das Hochladen eines Fotos ihres Personalausweises nachweisen. Discord verlangt hierfür eine vollständige Ablichtung des Ausweises und arbeitet mit externen Dienstleistern zusammen, die die Ausweisdaten überprüfen. Für Verifikationen im Vereinigten Königreich wird beispielsweise ein Unternehmen aus Singapur eingesetzt, das auf eine US-amerikanische Technologie zurückgreift. Nach eigenen Angaben werden die Ausweisfotos ausschließlich für die Altersverifikation verwendet und anschließend gelöscht.

Welche Hürden birgt die Altersverifikation per Personalausweis?

In Deutschland setzt das Personalausweisgesetz (PAuswG) klare Grenzen für die Erhebung, Verarbeitung und Nutzung von Daten des Personalausweises. Die zentrale Norm ist § 20 Abs. 2 PAuswG besagt:

„Der Ausweis darf nur vom Ausweisinhaber oder von anderen Personen mit Zustimmung des Ausweisinhabers in der Weise abgelichtet werden, dass die Ablichtung eindeutig und dauerhaft als Kopie erkennbar ist. Andere Personen als der Ausweisinhaber dürfen die Kopie nicht an Dritte weitergeben. Werden durch Ablichtung personenbezogene Daten aus dem Personalausweis erhoben oder verarbeitet, so darf die datenerhebende oder -verarbeitende Stelle dies nur mit Einwilligung des Ausweisinhabers tun. Die Vorschriften des allgemeinen Datenschutzrechts über die Erhebung und Verwendung personenbezogener Daten bleiben unberührt.“

Die Bestimmung regelt die zustimmungsbedürftige Erstellung und Verwendung einer Ausweiskopie als spezialgesetzliche Schranke, nicht jedoch die damit verbundene Erhebung und Verarbeitung personenbezogener Daten. Für Letztere gelten die Bestimmungen der DSGVO. In der Praxis bedeutet dies, dass bei der Altersverifikation die Vorgaben zur Zustimmung bzw. Einwilligung beider Gesetze zu berücksichtigen sind.

Darüber hinaus enthält die Bestimmung ein für die Praxis bedeutsames Weitergabeverbot an Dritte: Andere Personen als der Ausweisinhaber dürfen die Kopie nicht an Dritte weitergeben. Dritte im Sinne dieser Vorschrift sind nicht Personen, die demselben Unternehmen angehören wie diejenige, gegenüber der der Ausweisinhaber seine Zustimmung erklärt hat. Werden vom Unternehmen jedoch externe Dienstleister für die Altersverifikation eingesetzt – wie beispielsweise in der Praxis bei Discord –, besteht Unsicherheit darüber, ob solchen externen Dienstleistern als Auftragsverarbeitern die Kopie weitergegeben werden darf.

Welche Rolle spielt der Datenschutz bei der Altersverifikation?

Neben dem Personalausweisgesetz müssen die strengen Vorgaben der Datenschutz-Grundverordnung (DSGVO) beachtet werden. Für die Altersverifikation sind insbesondere die datenschutzrechtlichen Grundsätze entscheidend:

• Zweckbindung: Der Grundsatz der Zweckbindung besagt, dass personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden dürfen. Ziel dieses Prinzips ist es, eine unkontrollierte oder ausufernde Nutzung von Daten zu verhindern. Bei der Altersverifizierung ist der Zweck klar umrissen: die Überprüfung des Mindestalters. Die Daten aus dem Personalausweis, wie das Geburtsdatum, dürfen ausschließlich dafür verwendet werden.
• Datenminimierung: Der Grundsatz der Datenminimierung verlangt, dass die Verarbeitung personenbezogener Daten dem Zweck angemessen und erheblich ist und auf das für die Verarbeitung notwendige Maß beschränkt bleibt. Ziel ist es, die Erhebung und Verarbeitung von Daten auf das absolut Notwendige zu reduzieren – es sollen also so wenige Daten wie möglich erhoben werden. Gerade bei der Altersverifizierung ist Datenminimierung von zentraler Bedeutung, da ein Personalausweis zahlreiche Informationen enthält, die für die reine Altersüberprüfung irrelevant sind. Der Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat wertvolle Leitlinien aufgestellt, welche Daten erforderlich sind und welche nicht.
• Speicherbegrenzung: Der Grundsatz der Speicherbegrenzung besagt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Ziel dieses Prinzips ist es, eine dauerhafte Speicherung von Daten zu verhindern. Im Idealfall werden die Daten des Personalausweises gar nicht gespeichert: Das System prüft das Alter und verwirft die Informationen unmittelbar danach. Lediglich das Ergebnis der Prüfung (z.B. „Alter ausreichend“ oder „Alter nicht ausreichend“) darf gespeichert werden, nicht jedoch die Daten, in der Regel das Geburtsdatum, selbst.

Nur die konsequente Einhaltung dieser Grundsätze stellt sicher, dass die Privatsphäre der Betroffenen auch bei der Durchführung von Alterskontrollen im Internet so weit wie möglich geschützt wird und der Datenschutz gewahrt bleibt.

Altersverifikation und Datenschutz müssen zusammenspielen

Die Altersverifikation mittels Personalausweis bewegt sich in einem rechtlichen Spannungsfeld. Während der Jugendschutz ein legitimes Ziel darstellt, setzen das Personalausweisgesetz und die DSGVO klare Grenzen, um die Daten der Betroffenen zu schützen. Insbesondere die Grundsätze der Zweckbindung, Datenminimierung und das Weitergabeverbot an Dritte sind zentrale Hürden für die Praxis.

Unternehmen, die solche Verifikationsmethoden einsetzen, müssen sicherstellen, dass ihre Prozesse datenschutzkonform sind. Dies erfordert technische Lösungen, die nur das Nötigste prüfen und Daten sofort wieder löschen. Die künftige Praxis und die Entscheidungen der Aufsichtsbehörden werden zeigen, wie sich der digitale Jugendschutz datenschutzfreundlich gestalten lässt.