Es gibt diesen einen Moment in fast jedem DSGVO-Projekt, in dem alles kippt. Man hat den Datenkatalog aufgebaut, die Verzeichnisse gepflegt, die Prozesse dokumentiert. Und dann findet jemand in einer alten Excel-Tabelle im Vertriebslaufwerk eine Spalte mit dem harmlosen Namen “Kommentar”, in der seit vier Jahren Telefonnummern, Geburtsdaten und in einem Fall sogar eine Krankmeldung stehen. Niemand wusste davon. Niemand hat es dokumentiert. Und genau diese Daten wären es, nach denen ein Prüfer als Erstes fragt.
Das ist das eigentliche Problem der PII-Erkennung. Nicht die Daten, die man kennt. Sondern die, die man nicht kennt.
PII steht für “Personally Identifiable Information” – im deutschen Recht schlicht personenbezogene Daten nach Art. 4 Nr. 1 DSGVO. Alles, was sich auf eine identifizierte oder identifizierbare natürliche Person bezieht. Name, E-Mail, IP-Adresse, Kundennummer, Standortdaten. Und die besonders heiklen Kategorien nach Art. 9 DSGVO: Gesundheitsdaten, religiöse Überzeugung, Gewerkschaftszugehörigkeit. Die Aufgabe eines PII-Erkennungstools klingt simpel: finde diese Daten in deinen Systemen. In der Praxis scheitern die meisten Unternehmen genau daran.
📷 BILD-PLATZHALTER: Screenshot einer unscheinbaren Excel-Tabelle mit einer Freitextspalte “Kommentar”, in der einzelne Zellen rot markiert sind, weil sie Telefonnummern und Geburtsdaten enthalten.
1. Die Dateninventur, die niemand freiwillig macht
Art. 30 DSGVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten. Das setzt voraus, dass man weiß, welche personenbezogenen Daten überhaupt wo liegen. Klingt nach einer Fleißaufgabe. Ist es auch – wenn man sie manuell macht.
Der typische Ansatz: Eine Tabelle, in die jede Abteilung einträgt, welche Daten sie verarbeitet. Der Vertrieb trägt das CRM ein, die Personalabteilung die Gehaltsabrechnung, das Marketing die Newsletter-Liste. Fertig. Nur ist diese Tabelle ab dem Moment ihrer Fertigstellung veraltet und lückenhaft. Sie erfasst, was die Leute glauben zu verarbeiten – nicht das, was tatsächlich in den Systemen liegt.
Die Realität sieht anders aus. Personenbezogene Daten wandern. Sie landen in Backup-Kopien, in Exporten auf lokalen Laufwerken, in Freitextfeldern, die für ganz andere Zwecke gedacht waren. Ein PII-Erkennungstool ist nur so gut wie seine Fähigkeit, dorthin zu schauen, wo niemand hinschaut. Ein Fragebogen kann das nicht leisten. Ein Tool, das die tatsächlichen Daten scannt, schon.
2. Warum Muster allein nicht reichen
Die einfachste Form der PII-Erkennung ist Mustererkennung. Eine E-Mail-Adresse hat ein “@” und einen Punkt. Eine deutsche IBAN beginnt mit “DE” gefolgt von zwanzig Ziffern. Eine Postleitzahl hat fünf Stellen. Regex – reguläre Ausdrücke – können solche Formate zuverlässig finden.
Das Problem: Deutsche Daten sind voller Fallen, die reine Mustererkennung nicht versteht.
Eine fünfstellige Zahl kann eine Postleitzahl sein – oder eine Kundennummer, ein Gehalt, eine Bestellmenge. Ein Feld namens “Werk” mit Werten wie “DE01” sieht für einen schlecht kalibrierten Klassifikator aus wie eine Umsatzsteuer-ID und landet fälschlich im Verzeichnis als steuerliches Merkmal. Das SAP-Kürzel “stell” in “Bestellpreis” verführt manches Tool dazu, eine Preisspalte als Berufsbezeichnung zu klassifizieren, weil “Stelle” nach Arbeitsplatz klingt.
Ohne Verständnis für deutsche Feldbezeichnungen, SAP-Konventionen und die Eigenheiten des DACH-Raums produziert ein PII-Tool entweder Fehlalarme oder übersieht echte Risiken. Ein US-amerikanisches Tool, das primär auf “Social Security Number” und “ZIP Code” trainiert ist, erkennt eine Steuer-Identifikationsnummer oder eine Sozialversicherungsnummer nach deutschem Muster oft schlicht nicht. Und was es nicht erkennt, taucht in keinem Verzeichnis auf.
📷 BILD-PLATZHALTER: Vergleichsdarstellung zweier Klassifizierungen derselben Spalte “Bestellpreis” – einmal falsch als “Berufsbezeichnung”, einmal korrekt als “Preis” erkannt.
3. Das Sprachproblem ist kein Detail
Es klingt banal, ist aber der Kern vieler gescheiterter Projekte: Wenn das Tool Englisch spricht, sprechen die Menschen davor nicht mit.
Ein Compliance-Beauftragter im Mittelstand, der ein Verzeichnis nach Art. 30 für die Aufsichtsbehörde erstellt, braucht deutsche Kategorien. “Gesundheitsdaten”, nicht “health data”. “Rechtsgrundlage”, nicht “legal basis”. Ein Prüfbericht, der halb auf Englisch und halb auf Deutsch ausgegeben wird, ist kein Nachweis – er ist ein zweiter Fehler. Die Datenschutz-Grundverordnung wird in Deutschland auf Deutsch geprüft, dokumentiert und im Zweifel vor Gericht verhandelt.
Deshalb ist “PII-Erkennung auf Deutsch” mehr als eine Übersetzung der Benutzeroberfläche. Es bedeutet, dass die Erkennungslogik deutsche Header versteht, dass die Ausgabe auf deutschen Feldern und deutschen Rechtsbegriffen basiert, und dass der Nachweis am Ende so aussieht, wie eine deutsche Aufsichtsbehörde ihn erwartet. Genau hier setzt datamastr an: Der Klassifikator ist auf deutsche und DACH-typische Datenstrukturen ausgelegt, und die erzeugten Verzeichnisse sind auf Deutsch dokumentiert.
4. Die versteckten Datenlecks in Freitextfeldern
Die gefährlichste Kategorie personenbezogener Daten ist die, die dort steht, wo sie nicht hingehört. Ein Kommentarfeld in einer Support-Datenbank. Eine Notizspalte im CRM. Ein Freitextfeld in einem Formular. Menschen schreiben dort hinein, was ihnen gerade einfällt – und das ist erschreckend oft eine Telefonnummer, eine E-Mail-Adresse oder ein Name.
Eine spaltenbasierte Klassifizierung übersieht das komplett. Die Spalte heißt “Anmerkung”, also wird sie als Freitext eingestuft, nicht als personenbezogen. Erst ein Tool, das den Inhalt der Zellen durchsucht – nicht nur die Spaltenüberschrift – findet die IBAN, die jemand mitten in einen Kommentar getippt hat, oder die E-Mail im Rückruf-Vermerk.
Warum das zählt? Weil ein solches Leck bei einer Datenpanne nach Art. 33 DSGVO meldepflichtig sein kann. Und weil ein Betroffener nach Art. 15 DSGVO Auskunft über alle seine Daten verlangen darf – auch über die, die versteckt in einem Freitextfeld liegen. Wer sie nicht findet, kann sie nicht beauskunften. Und wer nicht beauskunften kann, verletzt die Betroffenenrechte.
5. Vom Fund zum Nachweis – der Schritt, an dem die meisten Tools aufhören
Ein PII-Tool, das nur eine Liste ausspuckt, hat die halbe Arbeit getan. Die eigentliche Pflicht beginnt danach. Die gefundenen personenbezogenen Daten müssen in ein Verzeichnis nach Art. 30 einfließen, mit Verarbeitungszweck, Rechtsgrundlage nach Art. 6, Löschfristen und – falls besondere Kategorien nach Art. 9 dabei sind – der zusätzlichen Rechtfertigung nach Art. 9 Abs. 2.
Hier liegt der praktische Wert. Ein guter Erkennungsprozess führt von der Rohdatenspalte direkt zum prüffähigen Dokument. Man scannt die tatsächliche Datenquelle, das Tool schlägt Klassifizierung und Kategorien vor, und daraus entsteht ein Verzeichnis-Entwurf, den ein Mensch nur noch prüfen und um die Rechtsgrundlage ergänzen muss. Aus einer Aufgabe von Wochen wird eine von Minuten – und das Ergebnis ist ein Nachweis, kein Bauchgefühl.
Die Bußgelddimension macht deutlich, warum sich das lohnt. Verstöße gegen die Dokumentationspflichten aus Art. 30 fallen unter Art. 83 Abs. 4 DSGVO: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen die Grundprinzipien und gegen Art. 9 wiegen nach Art. 83 Abs. 5 noch schwerer. Ein Verzeichnis, das die Hälfte der personenbezogenen Daten nicht kennt, ist in diesem Licht kein Formfehler.
📷 BILD-PLATZHALTER: Ansicht eines fertigen Verzeichnisses von Verarbeitungstätigkeiten auf Deutsch, mit einer hervorgehobenen Zeile “Besondere Kategorien (Art. 9 DSGVO)”.
6. Worauf man beim Tool-Vergleich wirklich achten sollte
Der Markt für PII-Erkennung teilt sich grob in Kategorien. Es gibt fragebogenbasierte Compliance-Werkzeuge, die abfragen, was man zu verarbeiten glaubt – schnell aufgesetzt, aber blind für unbekannte Daten. Es gibt große Enterprise-Datenkataloge, die tief scannen, aber Budgets und Einführungsprojekte im sechsstelligen Bereich voraussetzen und selten auf deutsche Verhältnisse zugeschnitten sind. Und es gibt spezialisierte Werkzeuge dazwischen.
Drei Fragen trennen die Spreu vom Weizen. Erstens: Scannt das Tool die tatsächlichen Daten oder nur eine Selbstauskunft? Zweitens: Versteht es deutsche und DACH-typische Datenstrukturen, oder rät es bei “Steuerklasse” und “Versichertennummer”? Drittens: Endet es bei einer Liste, oder führt es bis zum prüffähigen Verzeichnis?
Für den Mittelstand kommt ein vierter Punkt dazu, der oft unterschätzt wird: der Ort der Verarbeitung. Wer personenbezogene Daten scannt, um sie zu schützen, sollte sie nicht durch einen US-Cloud-Dienst schleusen. datamastr wird in Deutschland gehostet und ist im Einstieg kostenlos – der FREE-Einstieg umfasst einen Nutzer und drei Datenbestände. Für Teams beginnt die kostenpflichtige Stufe bei 399 Euro/Monat bei jährlicher Abrechnung. Damit liegt der Einstieg deutlich unter dem, was Enterprise-Kataloge aufrufen.
Der einfachste erste Schritt
Man muss nicht mit einem Großprojekt anfangen. Der ehrlichste Test für den Stand der eigenen PII-Erkennung ist ein kurzer, strukturierter Blick auf die eigenen Pflichten – bevor man überhaupt ein Tool auswählt.
Genau dafür gibt es den kostenlosen DSGVO-Schnellcheck: 12 Fragen, 3 Minuten, ein sofortiges Ergebnis mit den konkreten Lücken. Er zeigt, wo die größten Risiken liegen, und ob das Thema PII-Erkennung bei Ihnen ein akutes oder ein latentes Problem ist. Machen Sie den Check unter https://app.datamastr.com/dsgvo-check/ – und finden Sie heraus, was in Ihren Freitextfeldern steht, bevor es der Prüfer tut.