Stand: 26.08.2026. Wenn Plattformen eine Identität prüfen, geht es nicht nur um ein blaues Häkchen oder einen sicheren Shop. Die DSGVO regelt, wann personenbezogene Daten verarbeitet werden dürfen; biometrische Daten wie Gesichtsmerkmale sind besonders sensibel, wenn sie zur eindeutigen Identifizierung genutzt werden. Sie lassen sich nach einem Datenleck nicht wie ein Passwort austauschen. Genau deshalb ist entscheidend, wer beim Verifizieren Ausweis, Selfie und Gesichtsgeometrie sieht, speichert oder an Dienstleister weitergibt.

Bild: Pexels, https://www.pexels.com/photo/3861969/, CC0-Lizenz.

Was der heutige Fall praktisch zeigt

netzpolitik.org beschreibt am 26. August 2026, wie Plattformen wie Etsy, LinkedIn, Reddit, Roblox, OpenAI und Anthropic Identitäts- oder Altersprüfungen an den US-Dienstleister Persona auslagern. Der Datenschutzkern liegt nicht darin, dass Plattformen Betrug verhindern wollen. Brisant wird die Umsetzung: Nutzerinnen und Nutzer geben Ausweisdaten und Live-Selfies ab, während der eigentliche Prüfer für sie oft erst in Datenschutzhinweisen oder Prozessschritten sichtbar wird.

Der Beitrag schildert unter anderem zwei Etsy-Fälle aus Europa. Eine Verkäuferin brach die Verifizierung ab, weil sie Ausweisfoto und biometrische Selfie-Daten nicht an Persona geben wollte. Eine andere Verkäuferin scheiterte laut Bericht mehrfach an der Dokumentenprüfung, verlor zeitweise die Sichtbarkeit ihres Shops und damit Einnahmen. Damit wird Identitätsprüfung nicht nur zur Sicherheitsmaßnahme, sondern zur Zugangsvoraussetzung für wirtschaftliche Teilhabe auf einer Plattform.

Warum Gesichtsscans mehr sind als normale Profildaten

Ein Name, eine E-Mail-Adresse oder eine Rechnungsanschrift können missbraucht werden. Biometrische Merkmale verschärfen das Risiko, weil sie den Körper selbst betreffen. Wer aus einem Ausweisbild und einem Echtzeit-Selfie eine Gesichtsgeometrie bildet, verarbeitet Daten, die besonders eng mit einer Person verbunden sind. Selbst wenn Anbieter Schutzmaßnahmen zusagen, bleibt für Datenschutzteams die Frage, ob Zweck, Rechtsgrundlage, Speicherdauer, Drittlandbezug und Zugriffsketten sauber geklärt sind.

LinkedIn beschreibt Verifizierungen als Möglichkeit, Authentizität auf dem Profil zu signalisieren. Freiwilligkeit klingt zunächst entlastend. Praktisch können aber Plattformanreize entstehen: Wer sichtbar verifiziert ist, wirkt vertrauenswürdiger, bekommt möglicherweise mehr Reichweite oder wird von anderen als seriöser wahrgenommen. Dann müssen Unternehmen sehr genau prüfen, ob eine Einwilligung wirklich frei bleibt oder ob sozialer und wirtschaftlicher Druck die Entscheidung verschiebt.

Etsy stellt Verkäuferverifizierung als Teil der Angaben und Prüfungen rund um Verkäuferinformationen dar. Für Shops ist das deutlich härter als ein optionales Profilabzeichen. Wenn ein Marktplatz die Prüfung zur Voraussetzung macht, muss der Prozess transparent, erreichbar und korrigierbar sein. Wer wegen einer automatischen Fehlprüfung wochenlang im Supportkreislauf landet, hat nicht nur ein Komfortproblem. Dann berührt Verifizierung Geschäftsmodell, Einkommen und Beschwerderechte.

Welche Fragen Datenschutzteams jetzt stellen sollten

Für Unternehmen, die externe Identitätsdienste einbinden, reicht ein kurzer Verweis auf Betrugsprävention nicht aus. Sie brauchen eine saubere Rollenklärung: Ist der Dienstleister Auftragsverarbeiter, eigenständiger Verantwortlicher oder beides in verschiedenen Prozessphasen? Welche Daten werden aus Ausweis, Selfie, Gerät und Interaktion erhoben? Welche Teile landen in Trainings-, Qualitäts- oder Missbrauchserkennungssystemen? Und welche Rechte können Betroffene direkt gegenüber Plattform und Dienstleister durchsetzen?

Der heutige Bericht beschreibt Persona als spezialisierten Anbieter für Identitätsprüfungen. Solche Anbieter können technische Schutzmaßnahmen, Missbrauchserkennung und Prozessdokumentation bereitstellen. Das ersetzt aber keine konkrete Prüfung des eingebundenen Workflows. Datenschutzteams sollten dokumentieren, ob biometrische Templates gespeichert werden, wie lange Nachweise bleiben, welche Unterauftragnehmer beteiligt sind und ob Daten in die USA übertragen werden. Besonders bei Minderjährigen, Verkäuferkonten, Berufsprofilen oder KI-Diensten wird aus einer technischen Identitätsprüfung schnell ein hochsensibler Zugangskontrollprozess.

Der heutige Fall ist deshalb ein Warnsignal für jede Plattformstrategie. Identitätsprüfung kann Betrug reduzieren und Vertrauen schaffen. Sie kann aber auch neue Abhängigkeiten erzeugen, wenn Menschen ihre Gesichter scannen lassen müssen, um zu verkaufen, zu arbeiten, zu spielen oder sichtbar glaubwürdig zu sein. Die praktische Frage lautet: Bleibt die Verifizierung ein kontrollierter Sicherheitsprozess, oder entsteht eine Infrastruktur, in der immer mehr Alltagszugänge an biometrische Prüfungen externer Anbieter geknüpft werden?