Was ist PII (Personally Identifiable Information)?

Personally identifiable information (PII) sind alle Daten, mit denen sich, allein oder in Verbindung mit anderen Angaben, eine bestimmte Person identifizieren lässt. Der Begriff stammt aus der US-amerikanischen Regulierungs- und Informationssicherheitssprache, wird heute aber weltweit in Datenschutz, Sicherheit und Data Governance verwendet, oft als Beinahe-Synonym für das, was das europäische Recht unter der DSGVO „personenbezogene Daten“ nennt.

Zu PII gehört das Naheliegende, also Name, staatliche Ausweisnummer, E-Mail-Adresse, Telefonnummer, Wohnanschrift, aber auch eine lange Liste weniger naheliegender Daten: IP-Adressen, Cookie-Kennungen, Geräte-Fingerabdrücke, MAC-Adressen, biometrische Vorlagen, Verhaltensmuster, Standortverläufe und Kombinationen demografischer Merkmale, die eine Person im Kontext eindeutig bestimmen. Moderne Datenschutzregulierung baut auf dem Grundsatz auf, dass es auf die Identifizierbarkeit ankommt und nicht auf den Datentyp. Zwei für sich harmlose Angaben können zusammen zu PII werden, auch wenn es keine von beiden allein ist.

PII im Überblick

Eine weit verbreitete Definition von PII stammt aus der NIST Special Publication 800-122 (April 2010), die sie aus dem GAO Report 08-536 übernimmt: „Alle Informationen über eine Person, die eine Behörde vorhält, einschließlich (1) aller Informationen, mit denen sich die Identität einer Person unterscheiden oder zurückverfolgen lässt, etwa Name, Sozialversicherungsnummer, Geburtsdatum und Geburtsort, Mädchenname der Mutter oder biometrische Aufzeichnungen, und (2) aller weiteren Informationen, die mit einer Person verknüpft oder verknüpfbar sind, etwa medizinische, Bildungs-, Finanz- und Beschäftigungsinformationen.“

Zwei Gedanken dieser Definition zählen im Betrieb. Der erste ist „unterscheiden oder zurückverfolgen“: PII umfassen sowohl direkte Identifikatoren (eine Passnummer bestimmt eine Person) als auch indirekte (Geburtsdatum plus Postleitzahl plus Geschlecht bestimmen eine Handvoll Menschen, in einer kleinen Grundgesamtheit oft genau eine). Der zweite ist „verknüpft oder verknüpfbar“: Informationen, die zu PII werden, sobald sie mit anderen Informationen zusammengeführt werden, die einem vernünftigen Akteur zugänglich sind. Die Folge: Ob ein Feld PII ist, ist nicht immer eine Eigenschaft des Feldes für sich. Es ist eine Eigenschaft des Feldes plus des übrigen Datenökosystems, mit dem es kombiniert werden kann.

Kategorien von PII

PII werden üblicherweise in Kategorien gruppiert, die unterschiedliche Schutzanforderungen und Governance-Behandlungen nach sich ziehen.

Direkte Identifikatoren

Datenpunkte, die eine Person für sich genommen bestimmen. Beispiele: vollständiger Name, staatliche Ausweisnummern (Sozialversicherungsnummer, Personalausweis, Reisepass, Führerschein), E-Mail-Adresse, Telefonnummer, Wohn- oder Arbeitsanschrift, eindeutige Kontokennungen, biometrische Aufzeichnungen (Fingerabdrücke, Gesichtsgeometrie, Irismuster, DNA-Profile), Fotos und Videos, auf denen die Person erkennbar ist.

Indirekte Identifikatoren oder Quasi-Identifikatoren

Datenpunkte, die allein niemanden bestimmen, in Kombination aber schon. Beispiele: Geburtsdatum, Postleitzahl, Geschlecht, ethnische Herkunft, Beruf, Arbeitgeber, Bildungsstand, Verhaltensmuster. Klassische Forschung zur Re-Identifizierung hat gezeigt, wie klein eine ausreichende Kombination von Quasi-Identifikatoren sein kann: Geburtsdatum, fünfstellige ZIP-Postleitzahl und Geschlecht reichten zusammen voraussichtlich aus, um etwa 87 % der US-Bevölkerung eindeutig zu bestimmen (Sweeney, 2000). Datensätze ohne direkte Identifikatoren, aber reich an Quasi-Identifikatoren sind nicht anonym.

Online- und Gerätekennungen

Kennungen, die in digitalen Systemen entstehen, aber regelmäßig auf Personen zurückgeführt werden: IP-Adressen, MAC-Adressen, IMEI-Nummern, Werbe-IDs (AAID, IDFA), Cookie-Kennungen, Geräte-Fingerabdrücke, dauerhafte Sitzungs-IDs. Die DSGVO ordnet Online-Kennungen ausdrücklich als personenbezogene Daten ein, und in den USA zählt die COPPA Rule der FTC dauerhafte Kennungen wie Cookies und IP-Adressen zu den personenbezogenen Informationen (16 CFR 312.2).

Finanz-PII

Zahlungskartennummern, Bankkontonummern, IBANs, Transaktionshistorien, die identifizierbaren Personen zugeordnet sind. Für Karteninhaberdaten gilt PCI-DSS, dazu kommen Finanzdatenschutzvorschriften wie GLBA in den USA.

Gesundheits-PII (PHI)

Protected Health Information in der US-Terminologie (definiert in 45 CFR 160.103), also Gesundheitszustand, Krankengeschichte, Behandlung und Zahlungsinformationen, die einer Person zugeordnet sind. In den USA gilt dafür HIPAA, in der EU der besondere Schutz nach Art. 9 DSGVO.

Genetische und biometrische PII

Genetische Profile, Fingerabdrücke, Gesichtsgeometrie, Stimmprofile, Gangmuster, Netzhautscans. Sie gelten unter den meisten großen Datenschutzregimen als besonders sensibel, weil sie unveränderlich sind: Ein kompromittiertes Passwort lässt sich ändern, ein kompromittierter Fingerabdruck nicht.

Verhaltensbezogene und abgeleitete PII

Zunehmend werden auch Daten, die über Personen abgeleitet werden, also vorhergesagte Gesundheitszustände, vorhergesagte politische Ansichten, vorhergesagte sexuelle Orientierung, nach modernem Datenschutzrecht als PII behandelt. Der kalifornische CCPA schließt ausdrücklich Schlussfolgerungen ein, die zur Erstellung eines Profils über einen Verbraucher dienen (California Attorney General). Dass die Daten abgeleitet und nicht erhoben wurden, ändert nichts an ihrer Identifizierbarkeit oder Sensibilität. KI- und Machine-Learning-Systeme erzeugen erhebliche Mengen abgeleiteter PII, die dieselbe Governance brauchen wie erhobene.

PII und personenbezogene Daten

„PII“ und „personenbezogene Daten“ werden oft austauschbar gebraucht, aber der fachliche Umfang unterscheidet sich, und der Unterschied zählt für die Compliance:

• PII (US-Terminologie) - Verankert in der US-Informationssicherheit und den NIST-Leitlinien. Historisch enger gefasst, mit Blick auf Informationen, mit denen sich eine Identität „unterscheiden oder zurückverfolgen“ lässt. Die genaue Grenze hat sich mit der Zeit geweitet, bleibt aber weniger förmlich als das europäische Gegenstück.
• Personenbezogene Daten (EU-Terminologie) - In Art. 4 DSGVO definiert als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Das ist bewusst weit gefasst, weiter als die historische US-Definition von PII, und schließt Online-Kennungen und Standortdaten ausdrücklich ein.

In der praktischen Governance ist die sicherere Arbeitsdefinition die weitere: alle Informationen, die sich auf eine identifizierbare Person beziehen, allein oder in Kombination, einschließlich Online-Kennungen und abgeleiteter Merkmale. Wer Governance gegen diese Obermenge baut, ist unter beiden Regimen abgedeckt. Wer sie gegen eine engere Definition im US-Stil baut, steht unter der DSGVO, der UK-DSGVO und einer wachsenden Zahl US-bundesstaatlicher Gesetze ungeschützt da, die eine Definition nach EU-Vorbild übernommen haben.

Sensible PII

Innerhalb der PII benennen die meisten Vorschriften eine Teilmenge, die zusätzlichen Schutz verdient. Die genauen Kategorien unterscheiden sich (die besonderen Kategorien der DSGVO stehen in Art. 9), aber der typische Satz „sensibler“ Daten oder „besonderer Kategorien“ umfasst:

• Rassische oder ethnische Herkunft
• Politische Meinungen, religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische Daten sowie biometrische Daten zur eindeutigen Identifizierung einer Person
• Gesundheitsdaten, einschließlich psychischer Gesundheit
• Sexualleben und sexuelle Orientierung
• Strafrechtliche Verurteilungen und Straftaten (in der DSGVO gesondert geregelt, in Art. 10)
• Staatliche Ausweisnummern in vielen Rechtsräumen
• Zugangsdaten zu Finanzkonten und Zahlungskartendaten
• Genaue Standortdaten
• Daten von Kindern

Die Verarbeitung sensibler PII verlangt in der Regel eine stärkere Rechtsgrundlage (ausdrückliche Einwilligung, Erfordernisse aus Beschäftigung oder Sozialversicherung, lebenswichtige Interessen und so weiter) sowie stärkere technische Kontrollen. Aus Sicht der Governance lautet die praktische Anforderung, dass sich sensible PII-Felder im gesamten Katalog verlässlich erkennen lassen, damit Richtlinien ausnahmslos konsistent greifen: Verschlüsselung, Maskierung, Zugriffsbeschränkung, Aufbewahrungsfristen.

Vorschriften für PII

Der Umgang mit PII wird von einer dichten Schicht sich überlagernder Gesetze und Standards geregelt. Die folgenreichsten im Jahr 2026:

• DSGVO (EU) - Das weltweit umfassendste Regime für personenbezogene Daten. Die vollständige Aufschlüsselung steht unter Datenschutz.
• UK-DSGVO und Data Protection Act 2018 - Das Pendant des Vereinigten Königreichs nach dem Brexit, inhaltlich der EU-DSGVO ähnlich, mit einigen Abweichungen.
• CCPA / CPRA (Kalifornien) - Regelt Verkauf, Weitergabe und Nutzung personenbezogener Informationen von Einwohnern Kaliforniens; das einflussreichste Gesetz eines US-Bundesstaats.
• HIPAA (USA) - Bundesgesetz für Protected Health Information bei erfassten Einrichtungen und deren Dienstleistern.
• GLBA (USA) - Bundesgesetz zum Finanzdatenschutz für Finanzinstitute, die nicht öffentliche personenbezogene Informationen verarbeiten.
• PCI-DSS - Branchenstandard für Stellen, die Zahlungskartendaten verarbeiten. Kein Gesetz, aber vertraglich verbindlich.
• Datenschutzgesetze der US-Bundesstaaten - Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Texas (TDPSA), Oregon (OCPA) und etwa ein Dutzend weitere, die meisten nach dem Vorbild Virginias.
• LGPD (Brasilien), PIPL (China), POPIA (Südafrika), India DPDPA, Quebec Law 25 - Große Regime außerhalb der USA und der EU mit ähnlichen strukturellen Pflichten, aber eigenen Rechtsgrundlagen und Rechten.

Multinationale Organisationen haben selten den Luxus, ein Regime für sich zu erfüllen. Das praktische Muster ist, ein einziges PII-Inventar und eine einzige Behandlungsrichtlinie aufzubauen, die für jede Datenkategorie die strengste anwendbare Regel erfüllen, und verschiedenen Aufsichtsbehörden dann fokussierte Sichten auf diese eine zugrunde liegende Wahrheit zu geben.

PII im Maßstab steuern

PII-Governance wird nicht von einer Datenschutzerklärung auf der Website gelöst. Gelöst wird sie im Betrieb von einer Infrastruktur, die vier Fragen verlässlich beantwortet:

1. Wo liegen die PII? Datenklassifizierung, festgehalten in einem vollständigen Datenkatalog. Der Klassifizierungsprozess muss strukturierte Systeme (Datenbanken, Warehouses, Lakehouses), halbstrukturierte Speicher und zunehmend auch unstrukturierte Daten abdecken, also Dokumente, E-Mails, Support-Tickets, Transkripte, wo PII oft schwerer zu finden sind.
2. Wie fließen sie? Lineage auf System- und Spaltenebene, damit der Katalog bei einem Löschverlangen jede nachgelagerte Kopie findet. Ohne Lineage bleibt Löschung ein Versuch nach bestem Bemühen.
3. Wer darf darauf zugreifen? Rollen- und attributbasierte Zugriffskontrolle, durchgesetzt in den Datenplattformen und gesteuert über die im Katalog erfasste Klassifizierung, sodass PII-Felder und PII-tragende Bestände bei jeder Weiterverwendung angemessen geschützt bleiben. Data Masking für nicht privilegierte Zugriffe senkt sowohl die regulatorische Angriffsfläche als auch den Schadensradius einer Verletzung.
4. Wer verantwortet sie? Dokumentierte Verantwortung für Daten, sodass jeder PII-tragende Bestand eine namentlich benannte verantwortliche Person oder Einheit hat, für die Reaktion auf Verletzungen, für Auskunftsersuchen, für Entscheidungen zur Aufbewahrung und für laufende Risikoprüfungen.

Diese vier Fähigkeiten zusammen machen PII-Governance von einer Papierübung zu einem durchsetzbaren Betriebsmodell. Dasselbe Inventar stützt auch das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO und speist die Arbeit an den Bestandsverzeichnissen, die NIS2 und DORA verlangen.

Fazit

PII sind keine Kategorie von Feldern. Sie sind eine Eigenschaft von Informationen in einem Kontext, eine Eigenschaft, die wächst, wenn Daten kombiniert, verknüpft, abgeleitet und geteilt werden. Wer PII-Governance als Liste getaggter Spalten behandelt, verfehlt den größten Teil des tatsächlichen Risikos. Wer sie als Infrastrukturaufgabe behandelt, also Erkennung, Klassifizierung, Lineage, Verantwortung, Zugriffskontrolle, Protokollierung, skaliert. Die Organisationen mit glaubwürdigen PII-Programmen sind die, die diese Infrastruktur für ihre allgemeine Data Governance gebaut haben. Die Organisationen, die PII-Inventare noch aus Tabellen zusammensetzen, sind die, die jede Verletzung und jedes Auskunftsersuchen überrascht.

Quellen

Gesetze und Verordnungen sind nach ihren amtlichen oder gängigen Referenztexten zitiert; gdpr-info.eu gibt den amtlichen Text der DSGVO Artikel für Artikel wieder.

• NIST, SP 800-122, Guide to Protecting the Confidentiality of Personally Identifiable Information (PII) (April 2010; die Definition von PII, übernommen aus dem GAO Report 08-536).
• Latanya Sweeney, Simple Demographics Often Identify People Uniquely (Data Privacy Lab, 2000; der Befund zu 87 %).
• Federal Trade Commission, 16 CFR 312.2, COPPA Rule definitions (dauerhafte Kennungen als personenbezogene Informationen).
• US Department of Health and Human Services, 45 CFR 160.103, Definitions (Protected Health Information).
• California Attorney General, California Consumer Privacy Act (CCPA) (personenbezogene Informationen einschließlich Schlussfolgerungen zur Profilbildung).
• Amt für Veröffentlichungen der EU (EUR-Lex), Regulation (EU) 2016/679, General Data Protection Regulation (amtlicher Text).
• GDPR Article 4, Definitions (personenbezogene Daten, Online-Kennungen, Standortdaten).
• GDPR Article 9, Processing of special categories of personal data.
• GDPR Article 10, Processing of personal data relating to criminal convictions and offences.
• GDPR Article 30, Records of processing activities.