Sichere Übermittlung biometrischer Lichtbilder seit Mai 2025Neue Vorgaben für Fotografen und Kunden ab 2025

Seit dem 1. Mai 2025 gelten in Deutschland neue Regelungen für digitale Passbilder für Pässe und Personalausweise. Sie betreffen insbesondere Fotografen, die biometrische Passfotos für Ausweisdokumente anfertigen, sowie deren Kunden. Ziel ist es, Manipulationen wie Bild-Morphing zu erschweren und die Übermittlung der Lichtbilder abzusichern.

Rechtliche Anforderungen an digitale Passbilder

• Dienstleister müssen das Lichtbild elektronisch fertigen und anschließend über ein sicheres Verfahren an die zuständige Behörde übermitteln.
• Bei der Übermittlung über einen Cloudanbieter erhält die antragstellende Person einen Code, mit dem die Behörde das Lichtbild abruft.
• Die Übermittlung vom Dienstleister an die Behörde muss Ende-zu-Ende-verschlüsselt erfolgen. Eine Entschlüsselung durch den Cloudanbieter ist auszuschließen.
• Für die Übermittlung dürfen nur die vorgeschriebenen zertifizierten Systemkomponenten verwendet werden.
• Der eingebundene Cloudanbieter muss im Gebiet der Europäischen Union ansässig sein. Die Verarbeitung der personenbezogenen Daten darf ausschließlich im Gebiet der Europäischen Union erfolgen.

Diese Vorgaben ergeben sich insbesondere aus § 5b der Personalausweisverordnung und den entsprechenden Regelungen der Passverordnung.

Sind US-amerikanische Anbieter automatisch ausgeschlossen?

Entscheidend ist nicht allein die Konzernzugehörigkeit oder der Standort eines einzelnen Servers. Maßgeblich ist, ob der konkrete Cloudanbieter die gesetzlichen Voraussetzungen erfüllt: Er muss im Gebiet der Europäischen Union ansässig sein, die Verarbeitung muss ausschließlich in der Europäischen Union erfolgen und die vorgeschriebenen zertifizierten Komponenten und Sicherheitsanforderungen müssen eingehalten werden.

Ein pauschales Verbot jedes Dienstes eines US-amerikanischen Konzerns lässt sich aus den Passbildvorschriften deshalb nicht ableiten. Zugriffe aus Drittländern, Unterauftragnehmer und mögliche Verpflichtungen nach ausländischem Recht müssen aber in der konkreten Anbieter- und Vertragsprüfung berücksichtigt werden.

Die DSGVO verlangt nicht generell, dass personenbezogene Daten ausschließlich innerhalb der Europäischen Union verarbeitet werden. Für digitale Passbilder gelten hier jedoch die besonderen und strengeren Vorgaben der Pass- und Personalausweisverordnung.

Empfehlung für Kunden

• Fragen Sie den Fotografen, ob er an das vorgeschriebene sichere Übermittlungsverfahren angeschlossen ist.
• Achten Sie darauf, dass Sie den erforderlichen Code für den Abruf des Lichtbilds durch die Behörde erhalten.
• Verwenden Sie für Pass- und Personalausweisanträge keine einfache Übermittlung per E-Mail oder einen privaten Upload an einen beliebigen Cloudspeicher.

Hinweise für Fotografen

• Verwenden Sie ausschließlich die für das Verfahren vorgesehenen zertifizierten Komponenten.
• Prüfen Sie, welcher Cloudanbieter und welche weiteren Dienstleister tatsächlich eingebunden sind.
• Stellen Sie sicher, dass der Cloudanbieter in der Europäischen Union ansässig ist und die Verarbeitung ausschließlich in der Europäischen Union erfolgt.
• Informieren Sie Ihre Kunden verständlich über die Datenverarbeitung.
• Regeln Sie Zugriffe, Aufbewahrung und Löschung entsprechend den gesetzlichen Vorgaben und den tatsächlichen Abläufen.

Stand: 1. November 2026.