IMY Schweden: Personnummer und Luhn-Prüfung
Aktualisiert für 2026
Die schwedische Datenschutzbehörde ist IMY — Integritetsskyddsmyndigheten. Sie testete aktiv eingesetzte PII-Tools. Das Ergebnis: 45 % erkannten die Personnummer nicht. Das ist Schwedens wichtigster nationaler Ausweis. Und 79 % der schwedischen Erwachsenen üben ihre DSGVO-Rechte jedes Jahr aus. Das ist die höchste Rate in der EU. Schwache Erkennung schafft eine direkte Compliance-Lücke.
Personnummer-Format und die Luhn-Prüfung
Die Personnummer hat zwei Formen. Kurzform: TTMMJJ-XXXX (10 Stellen). Langform: TTMMJJJJ-XXXX (12 Stellen). Die letzte Stelle ist eine Luhn-Prüfziffer.
Die Luhn-Prüfung: Nehmen Sie die Ziffern von rechts nach links. Verdoppeln Sie jede zweite. Ergibt die Verdopplung zwei Ziffern, addieren Sie diese. Addieren Sie alle Werte. Das Ergebnis muss glatt durch 10 teilbar sein.
Der Luhn-Check kommt auch bei Kreditkarten und der kanadischen SIN vor. Aber die Personnummer enthält in den ersten sechs Stellen ein Datum. Das schafft Regeln, die sich von finanziellen Luhn-Prüfungen unterscheiden. Tools, die diese Datumslogik übergehen, erzeugen falsch-positive Ergebnisse.
Die Samordningsnummer-Lücke
Schweden vergibt an ausländische Einwohner eine Koordinationsnummer — Samordningsnummer. Sie wird benötigt, bevor eine vollständige Personnummer ausgegeben wird. Das Format ist dasselbe. Der Unterschied: Zu den Tagesstellen des Geburtsdatums werden 60 addiert.
- Personnummer, geboren am 15. Januar: Tagesstellen = 15.
- Samordningsnummer, gleiches Datum: Tagesstellen = 75 (15 + 60).
Gültige Tageswerte für eine Samordningsnummer liegen zwischen 61 und 91. Tools, die nur 01 bis 31 akzeptieren, werden jede dieser Nummern übersehen.
Ausländisch geborene Einwohner machen rund 20 % der schwedischen Bevölkerung aus. Für Unternehmen mit nicht-schwedischen Mitarbeitern oder Kunden bedeutet diese Lücke, dass ein großer Teil der Datensätze unentdeckt bleibt.
IMYs Anonymisierungsanforderungen
IMYs Anonymisierungsleitfaden von 2023 ist der detaillierteste aller EU-Datenschutzbehörden. Zwölf weitere Datenschutzbehörden zitieren ihn.
Drei Regeln gelten für schwedische Datensätze:
- k-Anonymität ≥ 5. Jeder Datensatz muss in allen Schlüsselfeldern von mindestens vier anderen nicht zu unterscheiden sein. Alter, Geschlecht, Gemeinde und Beruf sind typische Quasi-Identifikatoren. Schwedens kleine Bevölkerung macht kleine Gruppen leicht isolierbar.
- l-Diversität für Gesundheits- und Finanzdaten. k-Anonymität allein verhindert keine Inferenzangriffe. l-Diversität erfordert, dass jede Gruppe mindestens l verschiedene sensible Werte enthält.
- Formaler Nachweis erforderlich. IMY akzeptiert keine behauptete Compliance. Technische Dokumentation muss belegen, dass die Schwellenwerte eingehalten werden.
Die 79 %-Rate: Was das in der Praxis bedeutet
Für ein Unternehmen mit 50.000 schwedischen Nutzern bedeuten 79 % etwa 39.500 Auskunftsanfragen pro Jahr. Jede muss innerhalb von 30 Tagen beantwortet werden.
Manuelle Bearbeitung kann dieses Volumen nicht bewältigen. Unternehmen brauchen automatisierte PII-Suche in allen Speicherorten: Hauptdatenbanken, Backups, Analysetools und KI-Trainingsdaten. Systeme müssen Personnummer und Samordningsnummer erkennen. Beide erfordern Luhn-Prüfungen und die 60-Tage-Offset-Regel.
Diese technische Genauigkeit ist die Grundvoraussetzung für die Bearbeitung schwedischer Auskunftsanfragen in großem Maßstab. Ohne sie werden automatisierte Systeme einen erheblichen Teil der Datensätze übersehen, die sie finden und zurückgeben müssen.
Unseren IMY DSGVO-Anonymisierungs- und Nordikleitfaden enthält den vollständigen Rahmen und IMYs Durchsetzungsbilanz 2024.
Für den Vergleich mit anderen EU-Staaten lesen Sie unseren BFDI Deutschland DSGVO-Technikleitfaden.