Was sind personenbezogene Daten (PII)? Arten, Beispiele und die Abgrenzung zu personenbezogenen Daten nach DSGVO
PII (personenbezogene Daten, „personally identifiable information“) sind alle Informationen, die eine bestimmte Person identifizieren können — für sich allein, etwa eine Passnummer, oder in Kombination mit anderen Daten, etwa einer Postleitzahl zusammen mit einem Geburtsdatum. Der US-Standard NIST SP 800-122 fasst dies in zwei Teilen: Informationen, die eine Identität unterscheiden oder zurückverfolgen, sowie alle sonstigen Informationen, die mit dieser Person verknüpft oder verknüpfbar sind.
Was zählt als PII? Die offizielle Definition
Eine einzige abschließende Liste gibt es nicht — was zählt, hängt von der Rechtsordnung ab. Die am häufigsten zitierte US-Definition stammt aus der NIST Special Publication 800-122, die PII in (1) Informationen unterteilt, mit denen sich die Identität einer Person unterscheiden oder zurückverfolgen lässt — ein Name, eine Sozialversicherungsnummer, Geburtsdatum und -ort, der Mädchenname der Mutter oder biometrische Aufzeichnungen — und (2) alle sonstigen Informationen, die mit einer Person verknüpft oder verknüpfbar sind, etwa Gesundheits-, Bildungs-, Finanz- oder Beschäftigungsdaten. (Quelle: NIST SP 800-122.) Der entscheidende Gedanke steckt in diesem Kriterium „verknüpft oder verknüpfbar“: Daten müssen niemanden namentlich nennen, um PII zu sein — es genügt, dass sie zur Identifizierung der Person beitragen.
Arten von PII, mit Beispielen
NIST gruppiert PII in diese Beispielkategorien (illustrativ, nicht abschließend):
| Kategorie | Beispiele |
|---|---|
| Namen | Vollständiger Name, Geburtsname, Mädchenname der Mutter, Alias |
| Persönliche Kennnummern | Sozialversicherungsnummer, Reisepass, Führerschein, Steuer-ID, Patienten-ID, Finanz- oder Kreditkartennummer |
| Adressangaben | Postanschrift oder E-Mail-Adresse |
| Geräte- / Online-Kennungen | IP-Adresse, MAC-Adresse, Cookie- und Geräte-Kennungen |
| Telefonnummern | Mobil, Festnetz, Fax |
| Persönliche Merkmale | Gesichtsfoto, Fingerabdrücke, Netzhaut-Scan, Stimmprofil, weitere biometrische Daten |
| Kennungen für Eigentum | Fahrzeugkennzeichen oder Fahrzeug-Identifizierungsnummer, Geräte-Seriennummer |
Kategorien aus NIST SP 800-122 §2.2. Occlira erkennt 40+ solcher Arten in Dokumenten, Tabellen, E-Mails, Audio und Bildern.
Direkte Identifikatoren, indirekte Identifikatoren und Quasi-Identifikatoren
Datenschutz-Teams klassifizieren PII danach, wie sie eine Person identifizieren — es ist die Unterscheidung, die den meisten Klassifizierungsschemata zugrunde liegt:
- Direkte Identifikatoren heben eine Person für sich allein heraus — ein Reisepass oder eine Sozialversicherungsnummer, eine E-Mail-Adresse, eine Telefonnummer.
- Indirekte Identifikatoren (Quasi-Identifikatoren) identifizieren für sich genommen niemanden, in Kombination jedoch sehr wohl. Das Beispiel des NIST selbst: Eine Liste von Kreditscores identifiziert niemanden, doch sobald man Alter, Adresse und Geschlecht hinzunimmt, werden die Personen identifizierbar. (Quelle: NISTIR 8053.)
Die klassische Veranschaulichung stammt von Latanya Sweeney, die die „de-identifizierte“ Patientenakte eines US-Gouverneurs allein anhand von Geburtsdatum, Postleitzahl und Geschlecht re-identifizierte — und schätzte, dass eben diese drei Angaben rund 87 % der US-Bevölkerung eindeutig identifizieren (eine spätere Replikation kam auf etwa 63 %). (Quelle: Golle 2006, unter Berufung auf Sweeney.) Deshalb reicht es nicht, die offensichtlichen Namen zu entfernen: Verbleibende Quasi-Identifikatoren können Personen re-identifizieren, weshalb eine gute Schwärzung beides erfassen muss.
PII vs. personenbezogene Daten vs. PHI
| Begriff | Rahmen | Umfang | Beispiel |
|---|---|---|---|
| PII | US-Praxis (z. B. NIST SP 800-122) | Informationen, die eine Person unterscheidbar machen oder zurückverfolgen lassen, sowie alles, was mit ihr verknüpft oder verknüpfbar ist | Sozialversicherungsnummer, Name, E-Mail, IP-Adresse |
| Personenbezogene Daten | EU-/UK-DSGVO, Art. 4 Abs. 1 | Alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, direkt oder indirekt — schließt Online-Kennungen ausdrücklich ein | Name, Standortdaten, Cookie-ID, IP-Adresse |
| PHI | US-HIPAA | Gesundheitsdaten, die mit einer von 18 Kennungen verbunden sind und von einer erfassten Stelle gehalten werden | Eine Diagnose neben einem Namen oder einer Patientenaktennummer |
Die drei überschneiden sich stark, und die praktische Aufgabe ist dieselbe — die Identifikatoren aufspüren und entfernen. Der wesentliche Unterschied liegt in der Reichweite: DSGVO Art. 4 Abs. 1 erfasst jede „direkt oder indirekt“ identifizierbare Person, und Erwägungsgrund 30 stellt klar, dass Online-Kennungen — IP-Adressen, Cookie-IDs, RFID-Tags — personenbezogene Daten sind. Damit ist die DSGVO deutlich weiter gefasst als der klassische US-Begriff der PII.
Sensible vs. nicht sensible PII (und besondere Kategorien nach DSGVO)
Nicht alle PII bergen dasselbe Risiko, daher ist eine Zweiteilung sinnvoll:
- Sensible PII können bei Offenlegung tatsächlichen Schaden anrichten und bedürfen des stärksten Schutzes — nationale Ausweisnummern, Finanz- und Zahlungsdaten, Gesundheitsakten, biometrische Daten und präzise Standortangaben.
- Nicht sensible PII sind für sich genommen oft öffentlich oder weniger heikel — ein Name, eine Berufsbezeichnung oder eine geschäftliche E-Mail-Adresse — und werden vor allem dann riskant, wenn sie mit anderen Feldern kombiniert werden.
Die DSGVO kennt eine strengere, namentlich benannte Stufe, die besonderen Kategorien personenbezogener Daten, deren Verarbeitung standardmäßig untersagt ist (Art. 9): Daten, aus denen rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung einer Person hervorgehen. „Besondere Kategorie“ ist der Begriff der DSGVO; „sensible PII“ ist das unschärfere US-Pendant.
Die 18 HIPAA-Kennungen (Safe Harbor)
Für US-Gesundheitsdaten existiert das konkreteste Verzeichnis dessen, was als Kennung gilt. Um einen Datensatz nach der Safe-Harbor-Methode von HIPAA zu de-identifizieren, muss eine erfasste Stelle alle 18 Kennungen entfernen und darf keine tatsächliche Kenntnis davon haben, dass die verbleibenden Daten die Person weiterhin identifizieren könnten: (Quelle: 45 CFR 164.514(b)(2).)
- Namen
- Geografische Angaben unterhalb der Bundesstaatsebene (nur die ersten 3 Ziffern der ZIP-Postleitzahl, und nur wenn das Gebiet mehr als 20.000 Einwohner hat)
- Alle Datumsangaben außer dem Jahr (Geburt, Aufnahme, Entlassung, Tod); Altersangaben über 89 werden als „90 oder älter“ zusammengefasst
- Telefonnummern
- Faxnummern
- E-Mail-Adressen
- Sozialversicherungsnummern
- Patientenaktennummern
- Nummern von Krankenversicherten
- Kontonummern
- Zertifikats-/Lizenznummern
- Fahrzeugkennungen und Kfz-Kennzeichen
- Gerätekennungen und Seriennummern
- Web-URLs
- IP-Adressen
- Biometrische Kennungen, einschließlich Finger- und Stimmabdrücke
- Gesichtsfotos und vergleichbare Bilder
- Jede sonstige eindeutig identifizierende Nummer, Eigenschaft oder Kennung
Der zweite Weg von HIPAA, die Expert Determination, verlangt stattdessen, dass eine qualifizierte sachverständige Person bestätigt, dass das Risiko einer Re-Identifizierung „sehr gering“ ist — ein Maßstab des Restrisikos, kein Anspruch auf ein Nullrisiko. (Quelle: HHS.)
Anonymisierung vs. Pseudonymisierung vs. Schwärzung
Die drei Begriffe werden oft synonym verwendet, doch das Recht behandelt sie sehr unterschiedlich:
| Verfahren | Umkehrbar? | Weiterhin personenbezogen? | Ziel |
|---|---|---|---|
| Schwärzung (Redaction) | Die Daten werden entfernt oder unkenntlich gemacht | Aus diesem Dokument entfernt | Kennungen aus einer Datei entfernen, bevor sie geteilt wird |
| Pseudonymisierung | Umkehrbar — anhand der separat aufbewahrten Zuordnung | Ja — weiterhin personenbezogene Daten (DSGVO Art. 4 Abs. 5) | Das Risiko senken und die Daten zugleich nutzbar und wiederherstellbar halten |
| Anonymisierung | Unumkehrbar — niemand kann re-identifiziert werden | Nein — außerhalb der DSGVO, sofern wirklich anonym (Erwägungsgrund 26) | Eine Re-Identifizierung unmöglich machen |
Diese Unterscheidung ist rechtlich entscheidend. Nach DSGVO Art. 4 Abs. 5 sind pseudonymisierte Daten — umkehrbar mithilfe separat aufbewahrter Informationen — weiterhin personenbezogene Daten; nur wirklich anonyme Daten (Erwägungsgrund 26) fallen aus dem Anwendungsbereich der DSGVO. Die Pseudonymisierungs-Leitlinien des EDSA von 2025 bestätigen dies: Eine umkehrbare Tokenisierung senkt das Risiko, hält die Daten aber im Anwendungsbereich.
Warum das Entfernen von Namen nicht genügt
Selbst eine sorgfältige De-Identifizierung lässt ein gewisses Restrisiko zurück. Eine Untersuchung von HIPAA Safe Harbor ergab, dass sich weniger als 1 % der Datensätze re-identifizieren ließen, wenn nur Geburtsjahr, Geschlecht und die 3-stellige Postleitzahl verblieben — gering, aber nicht null. (Quelle: NISTIR 8053.) Zusammen mit Sweeneys 87-%-Wert ist die Lehre eindeutig: Namen zu entfernen ist der leichte Teil; die eigentliche Arbeit besteht darin, die indirekten Identifikatoren zu erfassen, die Personen unbemerkt herausstellen — genau das muss ein gutes Schwärzungswerkzeug leisten, nicht nur Namen abgleichen.
Wie Sie PII aus Ihren Dateien entfernen — lokal
Sobald Sie wissen, wonach Sie suchen müssen, ist der sicherste Weg des Entfernens, den gesamten Vorgang auf Ihrem eigenen Rechner zu belassen. Occlira ist eine Desktop-App für Windows und macOS, die 40+ Arten von PII erkennt und entfernt — Namen, nationale Ausweisnummern, E-Mails, Finanzkennungen, Gesundheitsdaten und mehr — in Dokumenten, Tabellen, E-Mails, Audio und Bildern, zu 100 % auf dem Gerät, ohne Cloud und ohne Konto. Da sie nicht nur Namen, sondern auch indirekte Identifikatoren markiert, schließt sie die oben beschriebene Re-Identifizierungslücke.
Die Anonymisierung ist umkehrbar: Die App ersetzt jeden Identifikator durch einen neutralen Platzhalter und bewahrt die Zuordnung auf Ihrem Gerät auf, sodass Sie die Originale wiederherstellen können. Im Sinne der DSGVO ist das eine Pseudonymisierung — ein wirksamer Schritt zur Risikominderung, doch wie oben dargelegt bleibt das Ergebnis ein personenbezogenes Datum, weshalb Sie es als Maßnahme der Datenminimierung behandeln sollten und nicht als Ausweg aus den Vorschriften. Siehe Anonymisieren vor ChatGPT oder wie man Word, PDF und Excel schwärzt für die Schritt-für-Schritt-Anleitung.
Häufig gestellte Fragen
PII (personenbezogene Daten, „personally identifiable information“) sind alle Informationen, die eine bestimmte Person identifizieren können — für sich allein oder in Kombination mit anderen Daten. Das NIST definiert sie in zwei Teilen: Informationen, die eine Identität unterscheiden oder zurückverfolgen (ein Name, eine Sozialversicherungsnummer, Geburtsdatum und -ort, biometrische Daten), sowie alle sonstigen Informationen, die mit dieser Person verknüpft oder verknüpfbar sind (Gesundheits-, Finanz-, Beschäftigungs- oder Bildungsdaten).
„PII“ ist der gängige US-Begriff; „personenbezogene Daten“ ist der Begriff der DSGVO und weiter gefasst — er umfasst alles, was sich direkt oder indirekt auf eine identifizierbare Person bezieht, und schließt Online-Kennungen wie IP-Adressen und Cookie-IDs ausdrücklich ein. Das meiste, was PII ist, ist zugleich ein personenbezogenes Datum; die DSGVO zieht das Netz nur weiter.
PHI (geschützte Gesundheitsdaten, „protected health information“) ist die HIPAA-Teilmenge: Gesundheitsdaten, die mit einer von 18 bestimmten Kennungen verbunden sind und von einer erfassten Stelle wie einem Krankenhaus oder einer Krankenversicherung gehalten werden. Alle PHI sind PII, aber viele PII (etwa eine geschäftliche E-Mail) sind keine PHI.
Ja. Eine E-Mail-Adresse verweist auf eine bestimmte Person — vor allem eine namensbezogene geschäftliche Adresse — und gilt daher in den USA als PII und nach der DSGVO als personenbezogenes Datum.
Nach der DSGVO ja: Erwägungsgrund 30 nennt IP-Adressen ausdrücklich unter den Online-Kennungen, die eine Person identifizierbar machen, weshalb sie personenbezogene Daten darstellen. US-Definitionen behandelten sie früher nur in Kombination als PII, rechnen sie inzwischen aber zunehmend ebenfalls dazu.
Ein direkter Identifikator hebt eine Person für sich allein heraus (eine Sozialversicherungsnummer, eine Passnummer, eine E-Mail-Adresse). Indirekte oder Quasi-Identifikatoren identifizieren für sich genommen niemanden, in Kombination jedoch sehr wohl — Geburtsdatum, Postleitzahl, Geschlecht, Berufsbezeichnung. Das NIST weist darauf hin, dass eine Liste von Kreditscores niemanden identifiziert; nimmt man jedoch Alter, Adresse und Geschlecht hinzu, werden die Personen identifizierbar.
Die Pseudonymisierung ersetzt Kennungen durch umkehrbare Platzhalter, wobei die Zuordnung separat aufbewahrt wird — nach DSGVO Art. 4 Abs. 5 bleibt das Ergebnis ein personenbezogenes Datum. Die Anonymisierung zielt darauf ab, eine Re-Identifizierung unmöglich zu machen; erst dann (Erwägungsgrund 26) fallen die Daten aus dem Anwendungsbereich der DSGVO. Die Pseudonymisierungs-Leitlinien des EDSA von 2025 bestätigen, dass pseudonymisierte Daten im Anwendungsbereich verbleiben.
Ja. Da sie sich mithilfe der separat aufbewahrten zusätzlichen Informationen wieder einer Person zuordnen lassen, bleiben pseudonymisierte Daten nach der DSGVO personenbezogene Daten. Sie senken das Risiko und erlauben die Umkehrbarkeit, sind aber nicht mit einer Anonymisierung gleichzusetzen.
Oft ja. Eine wegweisende Studie von Latanya Sweeney schätzte, dass sich rund 87 % der US-Bevölkerung allein anhand von Postleitzahl, vollständigem Geburtsdatum und Geschlecht eindeutig identifizieren lassen; eine spätere Replikation kam auf etwa 63 %. Deshalb anonymisiert das bloße Entfernen von Namen einen Datensatz nicht — die Quasi-Identifikatoren können Personen weiterhin herausstellen.
PII lokal finden und entfernen
Erkennen und entfernen Sie personenbezogene Daten in Ihren Dateien, auf Ihrem eigenen Computer. 14 Tage kostenlos auf Windows und macOS.
Mehr: KI nutzen, ohne die DSGVO zu verletzen · personenbezogene Daten aus Audio entfernen · wie Ihre Daten verarbeitet werden