Was sind personenbezogene Daten? Alles, was Sie wissen müssen

Die Definition „personenbezogener Daten“ in der DSGVO ist weiter gefasst als der US-amerikanische Begriff „PII“. Nach der DSGVO zählen dazu alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das schließt Online-Kennungen wie IP-Adressen und Cookie-Kennungen ein. US-Definitionen von PII unterscheiden sich je nach Bereich und Bundesstaat. Sie sind im Allgemeinen enger gefasst und verlangen häufig, dass die Daten eine Person direkt identifizieren. Eine Anonymisierung nach dem Anwendungsbereich der DSGVO erfasst in der Praxis meist auch Datenarten, die unter US-Definitionen von PII fallen. Sie erfüllt für sich genommen jedoch nicht die gesonderten Pflichten aus HIPAA, CCPA/CPRA, FERPA oder einzelstaatlichem Recht. Diese müssen eigenständig geprüft werden.

In den meisten Fällen ja. Die E-Mail-Adresse einer Person ist meist ein direkter Identifikator, weil sie eine bestimmte Person ohne weitere Informationen eindeutig identifizieren kann. Das gilt sowohl nach der DSGVO (als personenbezogenes Datum) als auch nach US-Datenschutzvorschriften (als PII). Selbst eine allgemeine geschäftliche Adresse wie info@company.com kann darunterfallen, wenn sie sich einer bestimmten Person zuordnen lässt. Eine persönliche Adresse wie firstname.lastname@provider.com gilt nach wichtigen Datenschutzregelungen wie der DSGVO und dem CCPA/CPRA als personenbezogenes Datum oder PII.

Nach der DSGVO ja: IP-Adressen gelten ausdrücklich als personenbezogene Daten, weil sich damit eine Person identifizieren lässt, insbesondere zusammen mit Daten eines Internetanbieters. Der Gerichtshof der Europäischen Union bestätigte dies 2016 in der Rechtssache Breyer gegen Bundesrepublik Deutschland. In den USA kommt es auf den Zusammenhang an. Der CCPA zählt IP-Adressen zu personenbezogenen Informationen. Andere Regelungen auf Bundesebene stufen sie möglicherweise erst dann als PII ein, wenn eine direkte Verbindung zu einer bestimmten Person besteht. Als bewährte Praxis sollten Sie IP-Adressen unabhängig vom Rechtsraum als PII behandeln.

Die Folgen sind schwerwiegend und vielschichtig. Bußgelder: Die DSGVO sieht Geldbußen von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen € vor, je nachdem, welcher Betrag höher ist. Rechtliche Haftung: Sammelklagen, individuelle Schadensersatzansprüche und Meldungen an die Aufsichtsbehörde innerhalb von 72 Stunden, wenn die Verletzung voraussichtlich die Rechte von Personen gefährdet (Art. 33 DSGVO). In den USA gelten je nach Bundesstaat unterschiedliche Fristen. Rufschäden: verlorenes Kundenvertrauen, negative Berichterstattung und langfristige Auswirkungen auf die Marke. Betriebskosten: forensische Untersuchungen, Abhilfemaßnahmen, Überwachung der Kreditwürdigkeit betroffener Personen und höhere Versicherungsprämien.

Der gehostete Dienst anonym.legal deckt 267 Arten personenbezogener Daten in 48 Sprachen ab. Seine kombinierte Erkennung verbindet die Erkennung benannter Einheiten durch Sprachverarbeitung (25 spaCy-Sprachen + 7 Stanza + 16 XLM-RoBERTa) mit Mustererkennern einschließlich Prüfsummenprüfung (Luhn für Kreditkarten, MOD-97 für IBANs, Formatregeln für SSN). Die Datenarten umfassen Identität, Kontakt, Finanzen, Gesundheit, digitale Kennungen, Biometrie, Beschäftigung und Bildung. Damit decken sie das gesamte Spektrum von PII ab, wie es wichtige Vorschriften einschließlich der DSGVO definieren.

Anonymisieren Sie die Daten vor der Verarbeitung: Erkennen und entfernen Sie personenbezogene Daten, bevor sie das große Sprachmodell erreichen. So beseitigen Sie das Risiko an der Quelle, statt sich auf die Regeln des KI-Anbieters zur Datenverarbeitung zu verlassen. Nutzen Sie eine regelgebundene, wiederholbare Erkennung und kein weiteres großes Sprachmodell. So vermeiden Sie einen Zirkelschluss, bei dem Sie sensible Daten an eine KI senden, um sie vor einer anderen zu schützen. Achten Sie darauf, dass die Anonymisierung umkehrbare Token unterstützt, damit berechtigte Nutzer Daten in KI-Antworten bei Bedarf wieder zuordnen können. Für die Einbindung eignen sich ein MCP-Server für Entwicklungsumgebungen, eine Chrome-Erweiterung für KI-Chats im Browser oder eine REST-API für automatisierte Abläufe.

Weiterführend: Wie die Anonymisierung personenbezogener Daten Datenschutzverletzungen verhindert →