ÚOOÚ und DSGVO in der tschechischen Industrie
Das Úřad pro ochranu osobních údajů (ÚOOÚ) erließ 2024 58 Durchsetzungsentscheidungen. Fertigungs- und Automobilunternehmen machten 34 % davon aus. Das ist der höchste Anteil aller Sektoren.
Škoda Auto, Toyota, Foxconn und viele Zulieferer sind in Tschechien tätig. Für die DSGVO-Compliance werden dort Werkzeuge benötigt, die lokale Daten verarbeiten können. Die meisten eingesetzten Werkzeuge können das nicht.
Das Problem mit dem Konzerntool
Die ÚOOÚ-Daten zeigen ein klares Fehlermuster. Muttergesellschaften im Ausland setzen fremdkonfigurierte PII-Werkzeuge in ihren lokalen Einheiten ein.
Wenn eine große Unternehmensgruppe ihr Standardwerkzeug in einem Prager Büro einführt:
- Das Werkzeug ist für ausländische Kennungen konfiguriert. Lokale Kennungen werden nicht abgedeckt.
- Arbeitsverträge und Personaldateien sind auf Tschechisch. Das Werkzeug wurde nicht auf tschechischen Texten trainiert.
- Die NER-Genauigkeit für Tschechisch ist 23 % geringer als für gleichwertige Texte in anderen Sprachen. (ÚOOÚ-Technikleitfaden, 2024)
- Das rodné číslo wird in Dateien, die nicht als tschechisch gekennzeichnet sind, übersehen.
- Gesundheits- und Personaldaten von Mitarbeitern werden ohne den von den Behörden geforderten Schutz übertragen.
67 % der lokalen Unternehmen verlassen sich auf Werkzeuge, die länderspezifische Kennungen übersehen. Die ÚOOÚ macht den lokalen Verantwortlichen haftbar. Der Anbieter des Mutterkonzerns wird nicht haftbar gemacht.
Rodné Číslo: Besondere Kategorie von Daten
Das rodné číslo ist eine Geburtsregisternummer. Es wird im Format TTMMJJ/XXXX verwendet.
- Stellen 3–4 codieren den Geburtsmonat. Bei Frauen wird 50 addiert. Eine im Januar geborene Frau zeigt 51, nicht 01.
- Ein Schrägstrich trennt das Datum vom Suffix.
- Das Suffix hat 3–4 Stellen mit einer Prüfziffer nach Modulus 11.
Die Geschlechtskodierung macht diese Nummer zu besonderen Kategorien personenbezogener Daten gemäß DSGVO Artikel 9. Sie gibt das Geschlecht strukturell preis. Ein erhöhter Schutz ist erforderlich.
Drei Aspekte müssen abgedeckt werden. Erstens der Monatsversatz für Frauen — die 50-Regel. Zweitens die Prüfziffernvalidierung nach Modulus 11. Drittens sowohl das 9-stellige (vor 1954) als auch das 10-stellige Format.
Nur Mustererkennung ohne Versatz und Prüfsumme erfüllt den ÚOOÚ-Standard nicht.
Weitere wichtige Kennungen
Číslo občanského průkazu (OP): Nationaler Personalausweis. Neun alphanumerische Zeichen. Auf Verträgen, Besucherlisten und Krankenakten zu finden.
IČO: Achtstellige Unternehmensnummer. Erscheint in Lieferantenverträgen neben personenbezogenen Daten von gesetzlichen Vertretern.
DIČ: Format CZ + Geburtsregisternummer (Privatpersonen) oder CZ + IČO (Unternehmen). Persönliche DIČ erscheint in Freiberuflerverträgen.
IBAN: Format CZ + 22 Stellen. Häufig in Gehaltsabrechnungen und Spesenberichten.
Wo die Industrie exponiert ist
Personalakten: Die Gehaltsabrechnung lokaler Mitarbeiter enthält Geburtsregisternummern, Ausweisdaten und Bankdaten. Grenzüberschreitende HR-Übermittlungen erfordern Transfer Impact Assessments.
Qualitätsverfolgung: Automobilproduktionssysteme verknüpfen Defektdaten oft mit einzelnen Mitarbeitern. Das sind personenbezogene Daten in der Betriebstechnologie. Sie unterliegen der DSGVO auch außerhalb von HR-Systemen.
Händlerdaten: Große Herstellernetzwerke verarbeiten Probefahrtdaten, Finanzierungsformulare und Servicehistorien. Viele davon enthalten Geburtsregisternummern.
Weitere Informationen finden Sie in unserem DSGVO-Compliance-Leitfaden und der Übersicht zur mehrsprachigen PII-Erkennung. Die vollständige Entitätsabdeckung finden Sie in der Entitätsreferenz.
Der Kernbedarf ist klar. Die Erkennung von Geburtsregisternummern muss die Geschlechtsversatz-Behandlung und die Prüfsummenvalidierung umfassen. Native NER für die Textverarbeitung ist ebenfalls erforderlich. Mehrsprachige Pipelines müssen unterstützt werden.