Warum muss ein Unternehmen wissen, wo Personendaten liegen?
Fast jede Pflicht aus dem Datenschutzrecht setzt dieses Wissen voraus. Das Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG, Art. 30 DSGVO) beschreibt, welche Daten wo bearbeitet werden. Eine Auskunft (Art. 25 DSG, Art. 15 DSGVO) muss alle Daten einer Person umfassen. Und Personendaten sind zu löschen oder zu anonymisieren, sobald sie für den Zweck nicht mehr erforderlich sind (Art. 6 Abs. 4 DSG, Art. 5 Abs. 1 lit. e DSGVO).
Wer nur die bekannten Systeme betrachtet, übersieht Kopien, Exporte und alte Ablagen. Genau dort liegen oft die heikelsten Daten – und die grössten Risiken bei einer Datenschutzverletzung.
Wo liegen Personendaten typischerweise?
In gewachsenen IT-Landschaften liegen Personendaten nicht nur in den Fachanwendungen:
- Fachanwendungen und ihre Datenbanken, etwa für Kunden, Verträge, Personal oder Fälle.
- Dateiablagen mit Exporten, Listen, Tabellen und gescannten Dokumenten.
- Postfächer, in denen Unterlagen als Anhang hin- und hergehen.
- SharePoint, OneDrive und Teams – oft breiter geteilt als beabsichtigt.
- Test- und Analyseumgebungen mit Kopien produktiver Daten.
- KI-Dienste: Prompts, Chatverläufe und Meeting-Transkripte.
Welche Angaben gelten als Personendaten?
Personendaten sind nicht nur Namen. Auch Kennungen, über die sich eine Person bestimmen lässt, gehören dazu. Eine Übersicht:
| Art | Beispiele |
|---|---|
| Kennungen | AHV-Nummer, IBAN, Ausweis-, Versicherten-, Kunden- und Policennummer |
| Person und Kontakt | Name, Adresse, Geburtsdatum, E-Mail-Adresse, Telefonnummer, Personalnummer |
| Besonders schützenswert (Art. 5 lit. c DSG) | Gesundheit, religiöse, weltanschauliche oder politische Ansichten, Gewerkschaft, Intimsphäre, Ethnie, genetische Daten, biometrische Daten zur eindeutigen Identifizierung, verwaltungs- und strafrechtliche Verfolgungen und Sanktionen, Massnahmen der sozialen Hilfe |
Die DSGVO kennt eine ähnliche Liste als «besondere Kategorien personenbezogener Daten» (Art. 9 DSGVO).
Wie findet man Personendaten zuverlässig?
Zuverlässig wird die Suche erst durch eine Kombination von Verfahren. Regeln erkennen Kennungen mit festem Aufbau, etwa die AHV-Nummer oder eine IBAN. Eine Erkennung für freien Text findet Namen und Adressen. Texterkennung macht gescannte Dokumente durchsuchbar. Eigene Suchmuster ergänzen, was nur im eigenen Unternehmen vorkommt, zum Beispiel Kunden- oder Vertragsnummern.
Ebenso wichtig ist der Umgang mit den Ergebnissen: Fehlalarme müssen sich dauerhaft unterdrücken lassen, und wiederholte Suchläufe sollten zeigen, was neu dazugekommen und was verschwunden ist. Und weil die Suche die Inhalte liest, gehört sie in die eigene Umgebung – die Daten sollten dafür das Haus nicht verlassen.
Data Discovery: was ein Scanner leisten muss
Werkzeuge für Data Discovery und Klassifizierung gibt es viele. Für den Datenschutz zählen vor allem diese Punkte:
- Breite der Quellen: Ablagen, Datenbanken und Microsoft 365, nicht nur ein einzelnes System.
- Schweizer und europäische Kennungen, nicht nur amerikanische.
- Nur lesen: In den Quellen wird nichts verändert.
- Funde speichern, nicht die Inhalte.
- Funde bestätigen oder als Fehlalarm unterdrücken – und die Entscheidung beim nächsten Lauf beibehalten.
- Funde weiterverwenden: für das Verzeichnis, für Auskünfte und für die Löschung.