Drei Definitionen von PII, die nicht zusammenpassen

Was ist PII?

Drei getrennte Texte definieren PII, und keiner von ihnen deckt dieselben Identifikatoren ab. NIST Special Publication 800-122 schreibt die Definition, die in der gesamten US-Bundesverwaltung gilt, die DSGVO verwendet den Begriff nie und definiert stattdessen "personenbezogene Daten" in Artikel 4(1), und Kalifornien definiert "personal information" in Civil Code Abschnitt 1798.140(v). Ein Feld, das außerhalb der einen Definition liegt, sitzt mitten in einer anderen, und genau deshalb hat das Kästchen "Erheben Sie PII?" in einem Sicherheitsfragebogen für Anbieter so lange keine richtige Antwort, bis jemand sagt, welcher Text gemeint ist.

Was definiert NIST SP 800-122 als PII?

NIST SP 800-122 definiert PII in zwei Teilen, einem zur Identifikation und einem zur Verknüpfbarkeit. Die Publikation Guide to Protecting the Confidentiality of Personally Identifiable Information (PII) erschien im April 2010. Ihre Zusammenfassung hält fest, PII sei:

any information about an individual maintained by an agency, including (1) any information that can be used to distinguish or trace an individual's identity, such as name, social security number, date and place of birth, mother's maiden name, or biometric records; and (2) any other information that is linked or linkable to an individual, such as medical, educational, financial, and employment information.

Eine Fußnote hält fest, woher der Wortlaut stammt: Er ist "the GAO expression of an amalgam of the definitions of PII from OMB Memorandums 07-16 and 06-19", übernommen aus dem GAO-Bericht 08-536 vom Mai 2008. Die kanonische technische US-Definition von PII ist also die Paraphrase einer Rechnungsprüfungsbehörde zu zwei Haushaltsmemoranden und kein Gesetz.

Abschnitt 2.2 listet Beispiele auf: Name, persönliche Identifikationsnummer, Adressangaben einschließlich E-Mail-Adresse, Telefonnummern, persönliche Merkmale einschließlich Lichtbild und biometrischer Vorlagen sowie Fahrzeugzulassungsdaten. Der Eintrag, auf den es für ein Web-Team ankommt, lautet: "Asset information, such as Internet Protocol (IP) or Media Access Control (MAC) address or other host-specific persistent static identifier that consistently links to a particular person or small, well-defined group of people." Lesen Sie die Einschränkung mit. Eine Cookie-ID, eine Geräte-ID und eine wechselnde dynamische IP kommen in Abschnitt 2.2 nirgendwo vor.

NIST tut dann etwas, was keines der beiden Gesetze tut: Es stuft PII ein. Abschnitt 3 weist jedem Datenbestand eine PII-Vertraulichkeitsstufe von niedrig, mittel oder hoch zu, anhand von sechs Faktoren, nämlich Identifizierbarkeit, Menge der PII, Sensibilität der Datenfelder, Verwendungskontext, Pflichten zum Schutz der Vertraulichkeit sowie Zugriff auf die PII und ihr Speicherort. NIST räumt außerdem ein, dass manche PII überhaupt keinen Vertraulichkeitsschutz braucht, und nennt als Beispiel das öffentliche Telefonverzeichnis einer Organisation. Weder die DSGVO noch die CCPA kennt eine vergleichbare Abstufung.

Die Zeile zum Anwendungsbereich zählt genauso viel wie die Definition. Die Empfehlungen sind "intended primarily for U.S. Federal government agencies and those who conduct business on behalf of the agencies". Ein privates Unternehmen, das NIST SP 800-122 gegenüber einem Prüfer zitiert, leiht sich ein Vokabular und beruft sich nicht auf eine Pflicht.

Was deckt DSGVO Artikel 4(1) stattdessen ab?

Die DSGVO erfasst alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen, und sie verwendet die Abkürzung PII nie. Artikel 4(1) lautet:

"personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann

"Online-Kennung" ist die Wendung, die Web-Analytics hineinzieht, und Erwägungsgrund 30 sagt, was sie bedeutet: "Natürlichen Personen können Online-Kennungen zugeordnet sein, die von ihren Geräten, Anwendungen, Werkzeugen und Protokollen bereitgestellt werden, z. B. IP-Adressen, Cookie-Kennungen oder andere Kennungen wie Funkfrequenzkennzeichen." Keine Einschränkung auf statisch, keine Anforderung an Dauerhaftigkeit.

Erwägungsgrund 26 legt den Maßstab für die Identifizierbarkeit fest. Zu berücksichtigen sind "alle Mittel, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern", abgewogen gegen "die Kosten der Identifizierung und den dafür erforderlichen Zeitaufwand". Derselbe Erwägungsgrund bestätigt, dass pseudonymisierte Daten personenbezogene Daten bleiben, und dieser Unterschied trennt Pseudonymisierung von Anonymisierung in der Praxis.

Die sensible Stufe der DSGVO ist Artikel 9, der die Verarbeitung von Daten untersagt, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, dazu genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Diese Liste ist das, was besondere Kategorien personenbezogener Daten unter der DSGVO ausmacht, und sie enthält weder eine nationale Ausweisnummer noch ein Passwort noch einen genauen Standort.

Was zählt die CCPA als personenbezogene Informationen?

Die CCPA definiert personenbezogene Informationen rund um einen Verbraucher oder einen Haushalt, was kein anderes Rahmenwerk hier tut. Abschnitt 1798.140(v)(1) definiert sie in der seit dem 1. Januar 2026 geltenden Fassung nach der Änderung durch AB 1170 als "information that identifies, relates to, describes, is reasonably capable of being associated with, or could reasonably be linked, directly or indirectly, with a particular consumer or household".

Das Gesetz zählt danach zwölf Kategorien auf, mit (A) bis (L) gekennzeichnet. Unterabsatz (A) nennt "Internet Protocol address" ohne jede Einschränkung, neben echtem Namen, Alias, Postanschrift, eindeutiger persönlicher Kennung, Online-Kennung, E-Mail-Adresse, Kontoname, Sozialversicherungsnummer, Führerscheinnummer und Passnummer. Unterabsatz (F) nennt "browsing history, search history, and information regarding a consumer's interaction with an internet website application, or advertisement". Unterabsatz (K) nennt Schlussfolgerungen, die "drawn from any of the information identified in this subdivision to create a profile about a consumer" sind.

Getrennt davon definiert Absatz (aj) eine eindeutige persönliche Kennung so, dass sie "cookies, beacons, pixel tags, mobile ad identifiers, or similar technology" einschließt. Der gesamte Tracking-Stack ist im Gesetzestext selbst nach Produktkategorien benannt.

Zwei Ausnahmen ziehen Daten wieder heraus. Absatz (v)(2) nimmt öffentlich verfügbare Informationen aus, definiert als Behördenakten und Informationen, die der Verbraucher ohne Beschränkung des Publikums allgemein zugänglich gemacht hat. Absatz (v)(3) nimmt deidentifizierte und aggregierte Verbraucherinformationen aus. Absatz (ae) definiert anschließend eine eigene sensible Stufe, die Sozialversicherungsnummer, Anmeldedaten für Konten, genauen Standort, genetische Daten und neuronale Daten umfasst, wobei am genauen Standort eine Zahl hängt: alle Daten, mit denen sich ein Verbraucher innerhalb "a circle with a radius of 1,850 feet" verorten lässt.

Die CCPA gilt außerdem nur für ein Unternehmen, das eine von drei Schwellen in Absatz (d)(1) reißt: Bruttoumsatz über $25,000,000, Kauf, Verkauf oder Weitergabe der personenbezogenen Informationen von 100,000 oder mehr Verbrauchern oder Haushalten, oder 50 Prozent und mehr des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Informationen. Die DSGVO hat keine Umsatzuntergrenze. Eine ausführlichere Gegenüberstellung beider Regime steht im Vergleich von CCPA und DSGVO.

Wo widersprechen sich die drei Definitionen?

Sie widersprechen sich beim Schutzsubjekt, bei den Identifikatoren und dabei, was wieder herausfällt. Diese Tabelle liest jeden Identifikator gegen den Text, der ihn nennt.

Aus diesem Raster folgen drei strukturelle Brüche. Das Subjekt unterscheidet sich: NIST schützt eine Einzelperson, die DSGVO eine natürliche Person, und nur die CCPA schützt den Haushalt als Einheit, weshalb Daten zu geteilten Geräten und geteilten Adressen in Kalifornien reguliert sind und anderswo nicht. Öffentlich verfügbare Informationen bleiben unter der DSGVO personenbezogene Daten und hören unter der CCPA auf, personenbezogene Informationen zu sein. Und die sensiblen Stufen überschneiden sich kaum: Artikel 9 erfasst politische Meinungen, die auf der CCPA-Liste nicht auftauchen, während die CCPA Anmeldedaten, genauen Standort und neuronale Daten erfasst, von denen keines in Artikel 9 steht.

Ist eine IP-Adresse PII?

Eine IP-Adresse ist unter der DSGVO ein personenbezogenes Datum, wenn die Stelle, die sie hält, einen rechtlichen Weg zur Identifizierung der dahinterstehenden Person hat. Der Gerichtshof hat das in der Rechtssache C-582/14, Patrick Breyer gegen Bundesrepublik Deutschland, am 19. Oktober 2016 entschieden. Der Tenor hält fest, dass eine dynamische IP-Adresse, die von einem Anbieter von Online-Mediendiensten gespeichert wird,

für den Anbieter ein personenbezogenes Datum im Sinne der genannten Bestimmung darstellt, wenn er über rechtliche Mittel verfügt, die es ihm erlauben, die betreffende Person anhand der Zusatzinformationen, über die der Internetzugangsanbieter dieser Person verfügt, bestimmen zu lassen.

Randnummer 43 kommt zu dem Schluss, dass es "nicht erforderlich ist, dass sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden". Randnummer 46 zieht die Grenze und schließt eine Identifizierung aus, die gesetzlich verboten oder praktisch nicht durchführbar ist, weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft verlangen würde.

Unter der CCPA braucht es diese Prüfung nicht, weil die IP-Adresse dort namentlich gelistet ist. Unter NIST SP 800-122 deckt das Beispiel eine dauerhafte statische Kennung ab, eine wechselnde Privatanschluss-IP liegt damit außerhalb der Illustration, auch wenn die Hälfte der Definition zu verknüpften oder verknüpfbaren Daten sie weiterhin erfassen kann. Die gesamte Divergenz sitzt in einem einzigen Feld, das in der Frage, ob eine IP-Adresse ein personenbezogenes Datum ist, weiter aufgedröselt wird.

Privacy-First-Analytics berichtet Traffic und Conversions ohne Cookies und ohne Erhebung personenbezogener Daten, was die Identifikatorfrage aus der Reporting-Schicht entfernt, statt sie zu beantworten, und Maskierung im Session Replay ist die Stelle, an der dieselbe Frage auf DOM-Ebene wieder auftaucht.

Häufig gestellte Fragen

Verwendet die DSGVO den Begriff PII?

Nein. Die DSGVO spricht durchgehend von "personenbezogenen Daten" und verwendet die Abkürzung PII nie. Artikel 4(1) enthält die Definition, und die Erwägungsgründe 26 und 30 liefern den Identifizierbarkeitsmaßstab und die Beispiele für Online-Kennungen. Wer beide als Synonyme behandelt, unterschätzt den Anwendungsbereich der DSGVO, denn personenbezogene Daten reichen bis zu Schlussfolgerungen, pseudonymisierten Datensätzen und Online-Kennungen, die die NIST-Beispielliste nicht nennt.

Sind gehashte Daten weiterhin PII?

Hashing ist Pseudonymisierung und keine Anonymisierung, sobald der Hash mit Zusatzinformationen zusammengeführt werden kann. Erwägungsgrund 26 der DSGVO stellt fest, dass Daten, die "einer natürlichen Person durch die Heranziehung zusätzlicher Informationen zugeordnet werden könnten, als Informationen über eine identifizierbare natürliche Person betrachtet werden" sollten. Die CCPA definiert Pseudonymisierung in Absatz (aa) und nimmt in (v)(3) nur deidentifizierte und aggregierte Verbraucherinformationen aus, sodass ein umkehrbarer Hash personenbezogene Information bleibt.

Gilt die CCPA für jedes Unternehmen?

Nein. Abschnitt 1798.140(d)(1) setzt drei Schwellen, von denen ein Unternehmen mindestens eine erfüllen muss: Bruttoumsatz über $25,000,000 im vorangegangenen Kalenderjahr, Kauf, Verkauf oder Weitergabe der personenbezogenen Informationen von 100,000 oder mehr Verbrauchern oder Haushalten, oder 50 Prozent und mehr des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Informationen.

Was ist der Unterschied zwischen PII und sensiblen personenbezogenen Informationen?

Sensible personenbezogene Informationen sind eine benannte Teilmenge, die zusätzliche Pflichten auslöst. Die CCPA definiert sie in Absatz (ae): Sozialversicherungsnummer, Anmeldedaten für Konten, genauer Standort, rassische oder ethnische Herkunft, genetische Daten und neuronale Daten. Das Gegenstück der DSGVO ist Artikel 9, aufgebaut um rassische oder ethnische Herkunft, politische Meinungen, Religion, Gewerkschaftszugehörigkeit, Genetik, Biometrie zur Identifizierung, Gesundheit und Sexualleben.

Sind aggregierte Analytics-Daten PII?

Unter der CCPA nicht, denn sie nimmt aggregierte Verbraucherinformationen in Absatz (v)(3) aus und definiert sie in Absatz (b) als Informationen, "from which individual consumer identities have been removed, that is not linked or reasonably linkable to any consumer or household". Die DSGVO kommt über Erwägungsgrund 26 zum selben Ergebnis, allerdings nur, wenn keine nach allgemeinem Ermessen wahrscheinlich genutzten Mittel eine Person wieder aussondern könnten.

Wie genau muss ein Standort sein, damit die CCPA ihn sensibel nennt?

Absatz (w) definiert den genauen Standort als Daten, mit denen sich ein Verbraucher innerhalb "a geographic area that is equal to or less than the area of a circle with a radius of 1,850 feet" verorten lässt. Ein aus einer IP-Adresse abgeleiteter Standort auf Stadtebene liegt deutlich außerhalb dieses Radius und ist nach dem Gesetz kein genauer Standort.

Gilt NIST SP 800-122 für private Unternehmen?

NIST SP 800-122 richtet sich in erster Linie an US-Bundesbehörden und an die Auftragnehmer, die im Auftrag dieser Behörden tätig sind, nicht an private Unternehmen im Allgemeinen. Ein Anbieter, der die Publikation in einem Sicherheitsfragebogen zitiert, leiht sich damit ein Vokabular des Bundes, verweist aber nicht auf eine Pflicht, die für ihn gilt. Die Publikation begründet keine Verpflichtung, wie es DSGVO Artikel 4(1) oder CCPA 1798.140(v) für die von ihnen erfassten Stellen tun.

Zählt der Browserverlauf als PII?

Die CCPA nennt Browserverlauf und Suchverlauf ausdrücklich in Unterabsatz (v)(1)(F), sodass er ohne weitere Prüfung als personenbezogene Information gilt. Die DSGVO kommt über die allgemeine Definition in Artikel 4(1) zum gleichen Ergebnis, da Browseraktivität sich auf eine identifizierbare Person bezieht. Die Beispiele in Abschnitt 2.2 von NIST SP 800-122 erwähnen Browserverlauf gar nicht.

Bewertet die DSGVO PII nach Risikostufen wie NIST?

Eine Bewertung nach Risikostufen ist eine Besonderheit von NIST, die weder die DSGVO noch die CCPA übernehmen. NIST SP 800-122 vergibt für jeden PII-Bestand eine Vertraulichkeitseinstufung von niedrig, mittel oder hoch, anhand von sechs Faktoren wie Identifizierbarkeit und Sensibilität der Datenfelder. DSGVO und CCPA legen ihre Pflichten stattdessen nach Datenkategorie fest, etwa über die sensiblen Kategorien in Artikel 9 und CCPA-Unterabschnitt (ae), statt über eine Punkteskala.

Fallen Haushaltsdaten unter PII?

Nur nach der CCPA, die neben einer einzelnen Verbraucherin oder einem Verbraucher auch einen Haushalt schützt und Haushalt in Unterabschnitt (q) definiert. NIST SP 800-122 und DSGVO Artikel 4(1) enden beide bei der Einzelperson, sodass Daten zu einem gemeinsamen Gerät oder einer gemeinsamen Adresse in Kalifornien reguliert sind und bei den anderen beiden Rahmenwerken nicht. Das ist einer von drei strukturellen Widersprüchen, die aus den drei Definitionen folgen.