EU-Nationalausweise, die Ihr PII-Tool übersieht
Steuer-IDs gehören zu den sensibelsten Kennungen überhaupt. Sie erscheinen auf Gehaltsabrechnungen, Steuerdokumenten und Bankanträgen. Wenn sie durchsickern, ermöglichen sie Betrug und Identitätsdiebstahl.
Die DSGVO behandelt sie als personenbezogene Daten. Ihr reales Risiko ist hoch. Jedes EU-Land verwendet ein eigenes nationales Identifikatorformat. Die meisten PII-Tools wurden für den US- oder UK-Markt entwickelt. Sie erkennen SSNs und NINOs problemlos. Sie übersehen jedoch oft die Steueridentifikationsnummer, den Codice Fiscale und die BSN. Das sind Formate, die europäische Teams täglich verarbeiten.
Die EU-Steuer-ID-Landschaft
Jedes EU-Land hat sein eigenes Format. Hier sind die wichtigsten.
Deutschland — Steueridentifikationsnummer
Die Steuer-ID ist 11-stellig. Sie wird bei der Geburt vergeben. Die erste Ziffer ist 1–9 (nie 0). Keine drei gleichen Ziffern erscheinen in Folge. Beispiel: 12345678901. Auch die Steuernummer wird verwendet: 10–11 Stellen, Format variiert je nach Bundesland.
Frankreich — Numéro fiscal de référence
Der SPI ist 13-stellig. Er wird von der DGFiP, der französischen Steuerbehörde, ausgestellt. Auf Steuerdokumenten erscheint er als „Identifiant fiscal."
Italien — Codice Fiscale
Der Codice Fiscale ist 16 alphanumerische Zeichen. Er kodiert Nachname, Vorname, Geburtsjahr, Geburtsmonat, Geburtstag und Gemeinde. Beispiel: RSSMRA85M01H501Z. Das Format ist per Prüfsumme verifizierbar.
Spanien — NIF und NIE
Spanische Staatsangehörige verwenden eine DNI-Nummer plus Prüfbuchstaben: 8 Ziffern + Buchstabe, z. B. 12345678A. Ausländische Einwohner verwenden den NIE: Präfix X/Y/Z + 7 Ziffern + Prüfbuchstabe, z. B. X1234567A. Unternehmen verwenden den CIF: Buchstabe + 8 Ziffern, z. B. B12345678.
Niederlande — BSN
Das BSN (Burgerservicenummer) ist 9-stellig. Es verwendet den 11-proef-Prüfziffernalgorithmus. Es ist in Gehalts- und Leistungsdokumenten sehr verbreitet.
Polen — PESEL
Der PESEL ist 11-stellig. Die ersten 6 Stellen kodieren das Geburtsdatum. Die letzten Stellen kodieren Geschlecht und Sequenznummer.
Belgien — Numéro de registre national
Die RN ist 11-stellig. Sie kodiert Geburtsdatum, Sequenz und Prüfziffern.
Portugal — NIF
Der portugiesische NIF (Número de Identificação Fiscal) ist 9-stellig mit einer Prüfziffer. Die Abkürzung ist dieselbe wie beim spanischen NIF, das Format jedoch unterschiedlich.
Schweden — Personnummer
Das Personnummer ist 10 oder 12 Stellen lang. Es kodiert Geburtsdatum und Sequenznummer. Formate: YYYYMMDD-XXXX oder YYMMDD-XXXX.
Finnland — Henkilötunnus
Das HETU ist 11 Zeichen lang. Es kodiert Datum, Trennzeichen, Sequenz und Prüfzeichen. Format: DDMMYY-XXXC.
Was Standardtools übersehen
US- und UK-Tools enthalten standardmäßig folgende Muster:
- US SSN (XXX-XX-XXXX).
- UK NINO (XX 99 99 99 X).
- US-Reisepassnummern.
- US-Führerscheinmuster.
- Gängige Kreditkartennummern.
EU-Nationalausweise fehlen oft. Tools auf Basis von Presidios Standard-Erkennern übersehen sie. Ohne EU-spezifische Erweiterungen gibt es keine EU-Abdeckung.
Eine reale Compliance-Lücke
Ein deutsches Lohnbuchhaltungsunternehmen betreut 500 Kundenfirmen. Sein Workflow entfernt Namen, E-Mails, IBANs und Telefonnummern. Aber er übersieht deutsche Steueridentifikationsnummern. Dieses Format war nie in der Standardkonfiguration enthalten.
Ein DPA-Audit findet ungeschwärzte Steuer-IDs in Gehaltsabrechnungs-PDFs. Das Unternehmen sieht sich Sanierungskosten für vergangene Dokumente gegenüber. Es droht eine DPA-Durchsetzungsmaßnahme nach DSGVO Artikel 83. Es besteht vertragliche Haftung gegenüber seinen Kunden.
Die Lücke wurde nicht vom Unternehmen gefunden. Die Behörde fand sie zuerst.
Sehen Sie sich unseren DSGVO-Leitfaden an, um Ihre eigene Abdeckung zu prüfen.
Prioritätsreihenfolge für EU-Abdeckung
Fügen Sie Identifikatormuster in dieser Reihenfolge hinzu, wenn Sie in mehreren EU-Ländern tätig sind.
Stufe 1 — Höchstes Volumen:
- Deutschland: Steueridentifikationsnummer.
- Frankreich: Numéro fiscal.
- Italien: Codice Fiscale.
- Spanien: NIF/NIE.
- Niederlande: BSN.
Stufe 2 — Bedeutende, aber kleinere Märkte:
- Polen: PESEL.
- Belgien: RN.
- Schweden: Personnummer.
- Portugal: NIF.
- Österreich: Sozialversicherungsnummer.
Stufe 3 — Spezifische Anwendungsfälle:
Die verbleibenden 17 EU-Mitgliedstaaten. Hinzufügen je nachdem, wo Ihr Team Daten verarbeitet.
Hinzufügen der Steueridentifikationsnummer
Die deutsche Steuer-ID ist das beste erste Muster zum Hinzufügen. Ihr Format ist klar und gut dokumentiert.
Die Steuer-ID ist 11-stellig. Die erste Ziffer ist 1–9. Keine drei gleichen Ziffern erscheinen in Folge. Ein benutzerdefinierter Algorithmus validiert die Prüfziffer.
Klartextbeschreibung zur Mustergenerierung: „Deutsche Steuernummern: 11 Stellen. Erste Stelle 1–9. Die anderen 10 Stellen können Nullen enthalten."
Nach der Mustergenerierung gegen Gehaltsabrechnungen und Steuerbescheinigungen testen. Erkennungsrate und Falsch-Positiv-Rate prüfen. Erst nach bestandener Validierung einsetzen.
Das Muster zum deutschsprachigen Preset hinzufügen. Bei gemischten Dokumentensätzen mit Spracherkennung kombinieren. So werden die richtigen Muster auf die richtigen Dokumente angewendet.
Ein Preset oder viele?
Option 1 — Länderspezifische Presets:
Ein Preset pro Land erstellen. Dokumente nach Herkunft routen. Niedrigere Falsch-Positiv-Rate. Erfordert mehr Routing-Logik.
Option 2 — Kombiniertes EU-Preset:
Ein Preset mit allen EU-Kennungsmustern aktiv erstellen. Einfacher zu betreiben. Höheres Falsch-Positiv-Risiko bei generischem Text. Gut geeignet, wenn Kennungen im gesamten Dokument erwartet werden.
Für Lohnabrechnungsdokumente: Option 1 mit Routing nach Herkunft. Für gemischte Dokumentensätze: Option 2 mit Schwellenwertanpassung.
Sehen Sie die Sicherheits- und Compliance-Übersicht für die Integration von Preset-Konfigurationen in einen vollständigen Compliance-Workflow.
Lücke vor dem Audit schließen
Die DSGVO gilt in jedem EU-Mitgliedstaat gleich. US-Tools tun das oft nicht. Codice Fiscale, BSN und Steuer-ID tragen dasselbe Risiko wie eine SSN. Sie erscheinen genauso häufig in gemeinsam genutzten Dokumenten.
Benutzerdefinierte Entitätsmuster schließen die Erkennungslücke in Stunden. Ein Steuer-ID-Muster hinzufügen. Es gegen Musterdaten testen. In alle Workflows einsetzen. Kein Warten auf den Tool-Anbieter. Kein DPA-Audit nötig, um die Lücke zu finden.
anonym.legal ermöglicht das Hinzufügen benutzerdefinierter Entitätstypen über die Preset-Konfigurationsoberfläche. Muster werden gegen Ihre eigenen Beispieldokumente validiert, bevor sie eingesetzt werden.
Quellen
- Bundeszentralamt für Steuern: Steueridentifikationsnummer. VERIFIED-EXTERNAL.
- DSGVO Artikel 4, 9, 32 — gdpr-info.eu. VERIFIED-EXTERNAL.
- EDPB: Leitlinien zur Zuständigkeit der Aufsichtsbehörden. VERIFIED-EXTERNAL.