Nationale Kennziffern in Dokumenten: die Regeln Land für Land

Für eine nationale Kennziffer in einem Dokument gilt mehr als die DSGVO. Art. 87 DSGVO erlaubt jedem EU-Staat eigene Bedingungen, und mehrere Länder haben strenge Regeln. Die sichere Grundregel ist einfach: Behalten Sie die Nummer nur dort, wo ein Gesetz sie verlangt oder erlaubt, und schwärzen Sie sie überall sonst vollständig.

Dieser Leitfaden deckt acht Länder ab, Stand Oktober 2026. Das ist eine allgemeine Information, keine Rechtsberatung. Fragen Sie im Einzelfall Ihren Datenschutzbeauftragten oder eine Anwältin bzw. einen Anwalt.

Was regelt Art. 87 DSGVO?

Art. 87 besteht aus zwei Sätzen. Erstens können die Mitgliedstaaten „näher bestimmen“, unter welchen „spezifischen Bedingungen“ eine nationale Kennziffer verarbeitet werden darf. Zweitens darf die Nummer dann nur „unter Wahrung geeigneter Garantien“ für die Rechte und Freiheiten der Person verwendet werden.

Einfach gesagt: Die DSGVO setzt den Rahmen, und jedes Land ergänzt eigene Bedingungen. Der Artikel gilt auch für „andere Kennzeichen von allgemeiner Bedeutung“, also Nummern, die viele Stellen nutzen.

Welche Regeln gelten in den einzelnen Ländern?

Spanien: Welche Ziffern dürfen sichtbar bleiben?

Spanien regelt die teilweise Anzeige genau. Die Zusatzbestimmung 7 der LOPDGDD, des spanischen Datenschutzgesetzes von 2018, gilt, wenn eine Behörde einen Verwaltungsakt veröffentlicht. Dieser nennt den Namen und vier zufällige Ziffern der Nummer, nie den Namen mit der vollständigen Nummer.

Im März 2019 veröffentlichten die spanische Datenschutzbehörde (AEPD) und drei regionale Behörden ein vorläufiges Kriterium. Bei einer DNI im Format 12345678X bleiben die vierte bis siebte Ziffer sichtbar: ***4567**. Bei einer NIE im Format L1234567X ergibt das ****4567*.

Warum sind diese Nummern bei einem Datenleck so riskant?

Erstens sind sie dauerhaft. Die Steuer-ID ist nach § 139a AO ein „einheitliches und dauerhaftes Merkmal“. Die österreichische SVNR bleibt meist ein Leben lang gleich, laut einer parlamentarischen Anfragebeantwortung von 2008. Zweitens verknüpfen sie Akten, wie die niederländische Datenschutzbehörde (AP) zur BSN warnt. Drittens stecken in vielen Nummern persönliche Angaben.

• Frankreich: Die NIR zeigt Geschlecht, Geburtsjahr und Geburtsmonat sowie den Geburtsort.
• Belgien: das Geburtsdatum, dann eine laufende Nummer, die bei Frauen gerade und bei Männern ungerade ist.
• Deutschland: Die Versicherungsnummer enthält das Geburtsdatum, den Anfangsbuchstaben des Geburtsnamens und eine Seriennummer, die das Geschlecht angeben darf.
• Österreich und Luxemburg: Die SVNR endet meist mit dem Geburtsdatum, die luxemburgische Nummer beginnt damit.
• Die Steuer-ID ist anders: Sie darf laut Gesetz nicht aus anderen Daten über die Person abgeleitet werden.

Ein geschwärzter Name schützt also wenig, wenn die Nummer bleibt. Eine belgische Nummer neben einer Stellenbezeichnung verrät auf einen Blick Alter und Geschlecht.

Wo verstecken sich nationale Nummern in einem Dokument?

• Kopf- und Fußzeilen, wiederholt auf jeder Seite einer Lohn- oder Versicherungsvorlage.
• Kästchen in Gehaltsabrechnungen und ausgefüllte Felder eines PDF-Formulars.
• Ausweiskopien: In Luxemburg steht die Nummer laut Gesetz von 2013 auf dem Personalausweis.
• Barcodes und QR-Codes, die die Nummer enthalten können. Sie lesen sie nicht, ein Smartphone schon.
• Dateinamen und E-Mail-Betreffzeilen, die die Nummer verraten, bevor jemand die Datei öffnet.

Für Ausweiskopien gelten eigene Regeln. In Deutschland erlaubt § 20 PAuswG eine Kopie nur durch die Inhaberin oder den Inhaber oder mit ihrer bzw. seiner Zustimmung. Sie muss eindeutig als Kopie erkennbar sein, und andere Personen als die Inhaberin oder der Inhaber dürfen sie nicht an Dritte weitergeben. Die niederländische AP rät, die BSN auf einer Kopie unlesbar zu machen, wenn die Stelle sie nicht nutzen darf.

Nehmen wir die Gehaltsabrechnung von Erika Mustermann, die an einen externen Prüfer geht. Ihre Steuer-ID steht in der Kopfzeile, ihre Versicherungsnummer in einem Kästchen. Der Prüfer kontrolliert Summen, keine Identitäten. Also verschwinden beide Nummern überall, wo sie stehen.

ONYRI Sanitize sucht diese Nummern Land für Land. Es prüft die Prüfziffer der belgischen Nationalregisternummer, der Steuer-ID, der deutschen Versicherungsnummer und der österreichischen SVNR. Die BSN erkennt es, wenn ihre Bezeichnung davorsteht oder die Prüfziffer stimmt. NIR, DNI, NIE, Codice fiscale und die luxemburgische Nummer erkennt es am Format. Grenze: Eine Nummer mit falscher Prüfziffer, etwa nach einem schlecht gelesenen Scan, kann sichtbar bleiben. Prüfen Sie die Liste „Erkannte Daten“.

Wie schwärzen Sie eine nationale Nummer richtig?

1. Prüfen Sie, ob ein Gesetz die Nummer für diesen Empfänger verlangt oder erlaubt, etwa für das Finanzamt. Wenn nicht, kommt sie weg.
2. Schwärzen Sie die ganze Nummer, außer eine Regel wie die spanische legt die sichtbaren Ziffern fest.
3. Finden Sie jedes Vorkommen: Kopf- und Fußzeilen, Formularfelder, Anhänge und Scans.
4. Ziehen Sie einen Rahmen über Barcodes, QR-Codes und Fotos von Ausweisen.
5. Exportieren Sie eine flache Datei und versuchen Sie, den geschwärzten Text zu kopieren. Es darf nichts herauskommen.
6. Benennen Sie die Datei um, wenn ihr Name die Nummer oder die Person verrät, und bewahren Sie das Original sicher auf.

Häufige Fragen

Quellen und Verweise