TL;DR
Personenbezogene Daten (PII) umfassen alle Daten, die verwendet werden können, um eine Person zu identifizieren oder ein Profil von ihr zu erstellen – von E-Mail-Adressen und Sozialversicherungsnummern bis hin zu IP-Adressen und Benutzernamen. Die Definition ist bewusst weit gefasst, sodass Organisationen Einzelfallprüfungen durchführen müssen, um festzustellen, was darunter fällt. Mehrere Vorschriften regeln den Umgang mit PII: Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union (EU) ist die bekannteste. Sie räumt Verbraucher:innen Rechte auf Schutz, Auskunft, Benachrichtigung und Löschung ihrer Daten ein – und gilt für jede Organisation, die Geschäfte mit europäischen Verbraucher:innen macht, nicht nur für Unternehmen mit Sitz in der EU. In den USA erlegen Gesetze wie HIPAA Organisationen im Gesundheitswesen zusätzliche Verpflichtungen auf. Jede Organisation, die Benutzerdaten erfasst – einschließlich Website-Betreiber:innen –, muss die geltenden Vorschriften zu personenbezogenen Daten verstehen und einhalten, um hohe Geldstrafen und Datenschutzverletzungen zu vermeiden. Praktische Risiken erstrecken sich auch auf alltägliche Tools: Marketing-Cookies und die Cloud-Migration können beide PII-Compliance-Risiken mit sich bringen, wenn sie nicht sorgfältig verwaltet werden.
Definition von PII und seine Auswirkungen
Personenbezogene Daten (PII) sind Daten, die jemand verwenden könnte, um Sie zu identifizieren. Wenn jemand Zugriff auf Ihre PII hätte, könnte diese Person mit etwas Zeit und Geschick herausfinden, wer Sie sind. Und manchmal sind diese Nachforschungen mit einem großen Risiko für Ihre Privatsphäre, Ihren Seelenfrieden oder beides verbunden.
Beispielsweise könnten personenbezogene Daten einem Hacker helfen, herauszufinden, dass der Leiter einer großen Nonprofit-Organisation auch Zeit mit Online-Glücksspiel verbringt. Oder personenbezogene Daten könnten einem Reporter helfen, festzustellen, dass ein Gesetzgeber an einer unheilbaren Krankheit leidet.
Vor Jahren konnte jedes digitale Unternehmen Unmengen an Daten über Sie sammeln. Das Blockieren der Erfassung, Manipulation, Weitergabe oder Löschung dieser Informationen war schwierig. Mittlerweile haben viele Länder Gesetze zu personenbezogenen Daten erlassen, die Ihnen Rechte einräumen. Die größte darunter: die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union (EU).
Was ist PII?
Informationen, die Ihnen eindeutig zuzuordnen sind, oder Daten, die zur Erstellung eines Profils von Ihnen verwendet werden könnten, gelten als PII. Wenn die Definition nebulös erscheint, ist das beabsichtigt.
Diese Datenpunkte gelten allgemein als PII:
- Kontonummern
- E-Mail-Adressen
- Formelle Namen (Vor- und Nachname)
- Internet Protocol (IP)-Adressen
- Telefonnummern
- Physische Adressen
- Sozialversicherungsnummern
- Benutzernamen
Oftmals erlaubt die Gesetzgebung es Unternehmen jedoch, zu bestimmen, was PII ist und was nicht. Und die Regeln können sich regelmäßig ändern.
Wie die U.S. General Services Administration es formuliert, bedeutet die Verwaltung von PII die Durchführung von Einzelfallprüfungen. Manchmal kann ein Datenpunkt, der nicht wie PII wirkt, zu einem späteren Zeitpunkt dazu werden. Eine wirkliche Bestandsaufnahme der erfassten Daten und ihrer Relevanz ist eine Vollzeitaufgabe.
Wie schützt die DSGVO Ihre personenbezogenen Daten?
Wie bereits erwähnt, verfügen die meisten Länder über eine Art von Gesetzgebung zu personenbezogenen Daten. Verbraucher:innen wollen die Kontrolle über ihre Daten und verlassen sich darauf, dass Regierungsbehörden angemessene Gesetze erlassen. Eine der größten kommt aus Europa.
Die DSGVO ist ein Gesetz, das europäische Verbraucher:innen schützen soll, wenn sie Online-Transaktionen durchführen oder anderweitig geschäftlich tätig sind. Das Gesetz war jahrelang in Vorbereitung, aber etwa 2018 mussten Unternehmen das Gesetz umsetzen oder die Konsequenzen tragen.
Gemäß der DSGVO haben Verbraucher:innen das Recht auf:
Schutz Unternehmen müssen sicherstellen, dass die von ihnen erfassten personenbezogenen Daten sicher sind. Zugriff Verbraucher:innen können ihre personenbezogenen Daten anfordern und Ungenauigkeiten korrigieren. Benachrichtigung Verbraucher:innen müssen der Datenerfassung aktiv zustimmen. Benachrichtigungen informieren sie darüber, welche personenbezogenen Daten erfasst werden, wofür sie verwendet werden und wie lange sie aufbewahrt werden. Löschung Verbraucher:innen können Unternehmen auffordern, ihre digitalen Daten vollständig zu löschen.
Unternehmen mit Sitz in der EU müssen die DSGVO einhalten. Aber jedes Unternehmen, das mit europäischen Verbraucher:innen arbeitet, muss sich ebenfalls daran halten.
Um ein Beispiel zu nennen, muss ein amerikanisches Unternehmen, das Flugtickets an eine:n irische:n Kund:in verkauft, die DSGVO einhalten. Diese Fluggesellschaft muss eine Vielzahl personenbezogener Daten erfassen, darunter Name, Adresse und Bankdaten der Passagier:innen. Die DSGVO schützt diese irische Familie, und das amerikanische Unternehmen ist verpflichtet, die Vorschriften einzuhalten.
Wer setzt die DSGVO durch und welche Strafen drohen?
Der Europäischer Datenschutzausschuss (EDPB) ist für diese Gesetzgebung zuständig, und dieses Gremium kann gegen Unternehmen, die gegen die Vorschriften verstoßen, Bußgelder verhängen. Die Geldstrafen sind hoch und werden auf der Ebene des Verstoßes verhängt.
Welche weiteren Vorschriften regeln PII neben der DSGVO?
Die DSGVO ist eine der weitreichendsten Vorschriften zum Schutz personenbezogener Daten weltweit, aber sie ist nicht die einzige, die Organisationen berücksichtigen müssen. Je nachdem, wo ein Unternehmen tätig ist oder welche Daten es verarbeitet, können auch zusätzliche Gesetze – einschließlich US-spezifischer Vorschriften – gelten.
In welchem Zusammenhang steht das US-Gesundheitsrecht mit der PII-Compliance?
Amerikanische Unternehmen müssen sich beispielsweise auch mit den Vorschriften des Health Insurance Portability and Accountability Act (HIPAA) auseinandersetzen. Dieses Gesundheitsgesetz schützt vertrauliche Informationen über Patienten und Versicherungsunternehmen, Krankenhäuser und andere Akteure im Gesundheitswesen sind zur Einhaltung verpflichtet.
Welche personenbezogenen Daten erfassen Websites in der Regel?
Wenn Sie zu irgendeinem Zeitpunkt Daten von Verbraucher:innen erfassen, müssen Sie sich Gedanken über PII machen. Wenn Sie eine Website betreiben, gehören Sie zu dieser Gruppe.
Beim Besuch einer Online-Präsenz wie einer Website können deren folgende Daten erfasst werden:
- IP-Adresse
- Benutzernamen
- Adressen (falls Sie Kontaktformulare haben)
- Bankkonten (wenn Zahlungen akzeptiert werden)
Wie verursachen Cookies und Cloud-Dienste PII-Risiken?
Möglicherweise haben Sie auch Online-Tracker installiert. Sogenannte „Cookies“ können Ihnen dabei helfen, sicherzustellen, dass Ihre Marketingpläne funktionieren, sodass Sie in Zukunft noch mehr Kund:innen gewinnen können. Wenn Ihre Cookies nicht PII-konform sind und viele davon es nicht sind, könnten Ihnen Datenschutzverletzungen drohen.
Und die Art und Weise, wie Sie Ihre Dienste verwalten, wie beispielsweise die Nutzung der Cloud, könnte eigene PII-Risiken mit sich bringen.
Wir helfen Ihnen dabei. Lesen Sie unseren Blogbeitrag über den Schutz personenbezogener Daten bei der Migration in die Cloud. Und erfahren Sie, wie Very Good Security es uns ermöglicht, mit sensiblen Daten zu arbeiten, ohne personenbezogene Daten zu gefährden.
Häufig gestellte Fragen
Wann gelten Daten als PII?
PII sind alle Informationen, die eine Person eindeutig identifizieren können oder die mit anderen Daten kombiniert werden können, um ein Profil von ihr zu erstellen. Die Definition ist absichtlich weit gefasst – gängige Beispiele sind Sozialversicherungsnummern, E-Mail-Adressen, IP-Adressen und physische Adressen –, weil sich im Laufe der Zeit ändern kann, was als PII gilt. Organisationen müssen jeden Datenpunkt im Einzelfall bewerten, anstatt sich auf eine feste Liste zu verlassen.
Gilt die DSGVO für Unternehmen außerhalb Europas?
Ja. Die Reichweite der DSGVO erstreckt sich über die EU-Grenzen hinaus – jedes Unternehmen, das Geschäfte mit europäischen Verbraucher:innen tätigt, muss sie einhalten, unabhängig davon, wo sich sein Hauptsitz befindet. Eine in den USA ansässige Fluggesellschaft, die beispielsweise Tickets an eine:n irische:n Kund:in verkauft, ist an die DSGVO gebunden für alle während dieser Transaktion erfassten personenbezogenen Daten.
Welche Rechte räumt die DSGVO Verbrauchern in Bezug auf ihre personenbezogenen Daten ein?
Die DSGVO legt vier zentrale Verbraucherrechte fest: Schutz (Unternehmen müssen erfasste personenbezogene Daten sicher aufbewahren), Auskunft (Verbraucher:innen können ihre Daten einsehen und korrigieren), Information (Verbraucher:innen müssen einwilligen und darüber informiert werden, was erfasst wird, warum und für wie lange) und Löschung (Verbraucher:innen können verlangen, dass ihre Daten gelöscht werden). Gemeinsam geben diese Rechte Einzelpersonen eine wirksame Kontrolle darüber, wie ihre Informationen verwendet werden.
Welche Behörde ist für die DSGVO-Aufsicht zuständig und wie werden die Bußgelder berechnet?
Der Europäische Datenschutzausschuss (EDPB) ist für die Überwachung der Durchsetzung der DSGVO verantwortlich. Wenn Unternehmen gegen die Regeln verstoßen, werden Bußgelder auf Ebene der einzelnen Sicherheitsverletzung verhängt – was bedeutet, dass jeder einzelne Verstoß eine eigene Strafe nach sich ziehen kann, wodurch die Nichteinhaltung potenziell sehr kostspielig wird.
Ist PII-Compliance nur für Unternehmen von Bedeutung, die der DSGVO unterliegen?
Nein. Die Verpflichtungen bezüglich personenbezogener Daten gehen weit über die DSGVO hinaus. In den USA verpflichtet der Health Insurance Portability and Accountability Act (HIPAA) Organisationen im Gesundheitswesen – darunter Krankenhäuser und Versicherungsunternehmen –, Patientendaten zu schützen. Im weiteren Sinne muss jede Organisation, die Benutzerdaten über eine Website, ein Kontaktformular oder ein Zahlungssystem erfasst, ihre Verpflichtungen bezüglich personenbezogener Daten gemäß den für ihre Geschäftstätigkeit geltenden Gesetzen prüfen.
Warum sind Marketing-Cookies eine potenzielle Quelle für PII-Compliance-Verstöße?
Website-Tracking-Cookies werden häufig eingesetzt, um die Marketingeffektivität zu messen, aber die von ihnen erfassten Daten können als personenbezogene Daten gelten. Wenn diese Cookies nicht so konfiguriert sind, dass sie die Compliance-Anforderungen für personenbezogene Daten erfüllen – und das ist bei vielen nicht der Fall –, können Organisationen Datenschutzverletzungen ausgesetzt sein. Die Cloud-Migration stellt eine ähnliche Herausforderung dar, da die Verlagerung von Benutzerdaten in Cloud-Dienste eigene PII-Risiken mit sich bringt, die proaktiv verwaltet werden müssen.
Referenzen
Regeln und Richtlinien zum Schutz personenbezogener Daten. U.S. General Services Administration.
Datenschutz-Grundverordnung (DSGVO): Was Sie wissen müssen, um konform zu bleiben. (Juni 2020). CSO.
Schutz personenbezogener Daten. Europäische Kommission.
Die Entstehung der DSGVO: Was sie ist und was Sie wissen müssen. (Mai 2018). Forbes.
Wer wir sind. Europäischer Datenschutzausschuss.
