Ausweiskontrollen ohne Prüfung der Notwendigkeit

Die polnische Datenschutzbehörde (UODO) hat gegen eine Bank eine Geldbuße in Höhe von 18.416.400 PLN (rund 4,3 Millionen Euro) verhängt. Zwischen dem 1. April 2019 und dem 23. September 2020 hat die Bank systematisch Ausweisdokumente sowohl von Bestandskunden als auch von potenziellen Kunden gescannt, ohne in jedem Einzelfall zu prüfen, ob dies tatsächlich zur Erfüllung der Verpflichtungen zur Bekämpfung der Geldwäsche erforderlich war. Das polnische Geldwäschebekämpfungsgesetz räumt eine solche Befugnis ein. Die Behörde stellte jedoch klar, dass diese Befugnis nicht pauschal ausgeübt werden darf, sondern eine Einzelfallprüfung der Notwendigkeit erfordert.

This case demonstrates that data controllers cannot simply invoke legal obligations as a blanket justification for extensive data processing. Even where legal obligations exist, the principles of lawfulness, purpose limitation, and data minimization under Article 5(1) of the GDPR must still be observed. Whether and to what extent an identification document must actually be copied or scanned must therefore be assessed on a case-by-case basis.