PII (Personally Identifiable Information)

Was als PII zählt

Die meisten Datenschutz-Frameworks teilen PII in zwei Stufen:

Direkte Identifier, identifizieren eine Person für sich allein eindeutig:

• Vollständiger Name
• E-Mail-Adresse
• Telefonnummer
• Amtliche Ausweise (Sozialversicherungsnummer, Reisepass, Personalausweis)
• Physische Adresse
• Geburtsdatum in Kombination mit dem Namen

Indirekte (Quasi-)Identifier, identifizieren in Kombination mit anderen Daten:

• IP-Adresse
• Device-ID (IDFA, AAID)
• Cookie-ID
• Gehashte E-Mail oder Telefonnummer
• Browser-Fingerprint
• Präzise Standortdaten
• An einen Nutzer geknüpfte Verhaltensdaten

Die DSGVO nutzt „personenbezogene Daten“ als breiteren Oberbegriff, der beide Stufen umfasst, alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Warum PII im Marketing-Tech-Umfeld zählt

Drei Stellen, an denen es auftaucht:

1. Tracking, je mehr PII in deine Pixel und serverseitigen Events fließt, desto stärker bist du durch Consent- und Datenweitergaberegeln eingeschränkt.
2. Ad-Plattform-Syncs, das Senden von Kundenlisten an Meta oder Google erfordert das Hashen der PII. Im Klartext zu senden ist nicht regelkonform.
3. KI- und Analytics-Zugriff, einem LLM oder BI-Tool Zugriff auf Kundendaten zu geben, wirft die Frage auf, wer oder was PII im Rohformat sehen darf.

Hashing als Standard-Mittelweg

Das dominante Muster, um PII mit Plattformen zu teilen: SHA-256-Hash vor der Übertragung.

E-Mail jane@example.com → SHA-256 → c47c3a9c..

Meta, Google, TikTok erwarten alle gehashte PII für das Audience-Matching. Der Hash ist nur per Brute Force umkehrbar (ist der Eingaberaum klein, wie bei E-Mails, ist er für einen entschlossenen Angreifer umkehrbar, der Hash ist also keine echte Anonymisierung, schützt aber vor beiläufigem Leaken).

Für die meisten Zwecke ist der Hash das richtige Übertragungsformat. PII im Klartext sollte innerhalb deines Perimeters bleiben.

PII vs. anonyme Daten

Echte anonyme Daten sind selten. Aggregierte Metriken („3.200 Besucher diese Woche“) sind anonym. Eine Zeile in einer Datenbank mit einer gehashten E-Mail ist pseudonym, mit dem Schlüssel re-identifizierbar. Die DSGVO behandelt pseudonyme Daten als personenbezogene Daten, auch wenn sie sicherer sind als rohe PII.

Für Analytics-Fälle, die keine Granularität auf Nutzerebene brauchen, solltest du so designen, dass auf Aggregaten gearbeitet wird. Viele „Insights auf Nutzerebene“ lassen sich über Statistiken auf Kohortenebene abbilden, und die Datenschutzlage ist dramatisch einfacher.

PII und KI-Agenten

Ein spezifisches Thema 2026: rohe PII in LLM-Tools zu füttern. Was sich an Best Practices herausbildet:

• Nutze Read-Only-Zugriffsmuster, damit KI-Tools Fragen beantworten können, ohne rohe PII zu exfiltrieren
• Aggregiere oder pseudonymisiere Daten, bevor du sie einer KI zugänglich machst
• Auditiere und logge jede KI-Abfrage gegen Kundendaten

Das ist ein Grund, warum MCP-artige Architekturen zählen, sie beschränken, was ein KI-Tool sehen und tun kann, statt pauschalen Datenzugriff zu gewähren.

Häufige Fehler

• IP-Adressen als nicht-PII behandeln. Sie sind es, in den meisten Rechtsordnungen.
• PII unbegrenzt speichern. Die DSGVO verlangt Speicherbegrenzung. Lege Aufbewahrungsfristen pro Datenkategorie fest und setze sie durch.
• Identifier über Systeme hinweg unterschiedlich hashen. Ein Hash ohne Salt vs. ein gesalzener Hash vs. eine andere Hash-Funktion = drei verschiedene Identifier für dieselbe Person. Wähle einen Ansatz pro Identifier.

FAQ zu PII (Personally Identifiable Information)

Was ist PII?

PII (Personally Identifiable Information) sind alle Daten, die eine bestimmte Person identifizieren können, direkt oder in Kombination mit anderen verfügbaren Daten. Es deckt offensichtliche Identifier (Name, E-Mail, Telefon) und indirekte ab (IP-Adresse, Device-ID, Cookie-ID).

Was ist sensible PII?

Sensible PII sind eine Teilmenge, die zusätzlichen Schutz erfordert, amtliche Ausweise, Finanzkontonummern, Gesundheitsdaten, biometrische Daten, religiöse oder politische Zugehörigkeit. Die meisten Datenschutzgesetze wenden strengere Regeln auf sensible PII an.

Ist eine gehashte E-Mail immer noch PII?

Ja, in den meisten Rechtsordnungen. Hashing schützt vor beiläufigem Leaken, aber der Hash ist umkehrbar (deterministisch erzeugt) und identifiziert eine Person weiterhin eindeutig. Die DSGVO behandelt pseudonymisierte Daten als personenbezogene Daten.

Darf ich PII an Ad-Plattformen senden?

Nur gehasht (SHA-256) und nur mit ordentlichem Consent. Meta, Google, TikTok erwarten alle gehashte PII für das Audience-Matching. Die Übertragung von PII im Klartext an Ad-Plattformen ist nicht regelkonform.