ÚOOÚ und Rodné Číslo: Geschlechtskodierung unter der DSGVO
Aktualisiert für 2026
Die tschechische Datenschutzbehörde ist ÚOOÚ. Ausgeschrieben: Úřad pro ochranu osobních údajů. Sie erließ 2024 58 Durchsetzungsentscheidungen. Ein Befund taucht in vielen Fällen auf. Das rodné číslo (Geburtsnummer) wurde ohne Erkennung verarbeitet. Das eingesetzte PII-Tool war für Deutsch oder Englisch ausgelegt. Es hatte keine Logik für diesen Bezeichner. ÚOOÚ ist eindeutig: Tools müssen das rodné číslo mit Prüfsummenvalidierung und korrekter Geschlechts-Offset-Behandlung erkennen.
Rodné Číslo: Sonderkategorie-Daten durch Struktur
Das rodné číslo, kurz RČ, verwendet das Format RRMMDD/XXXX.
- RR — letzte zwei Ziffern des Geburtsjahrs.
- MM — Geburtsmonat. Bei Frauen wird 50 addiert. Monat 01 wird zu 51. Monat 12 wird zu 62.
- DD — Geburtstag.
- XXXX — eine kurze Folge von 3–4 Ziffern plus einem Prüfwert (Modulus 11).
Der Monats-Offset für Frauen macht diese Nummer zu einem strukturellen Merkmal für biologisches Geschlecht. Dieser Offset ist nicht zufällig. Das Zivilmeldesystem nutzt ihn für administrative Suchen. DSGVO-Artikel 9 erfasst Daten, die persönliche Merkmale offenbaren. Geschlecht ist eines davon. Laut ÚOOÚ: Jedes Dokument mit einem rodné číslo enthält de facto Daten mit besonderem Schutzbedarf. Erhöhter Schutz gilt.
Wie der Prüfwert funktioniert: Bei 10-stelligen Nummern (ausgegeben nach 1954) muss die 9-stellige Basis durch 11 teilbar sein. Bei 9-stelligen Nummern (vor 1954) existiert kein Prüfwert. Tools müssen beide Varianten unterstützen.
Was ÚOOÚ als Ausreichende Erkennung Bezeichnet
Die technische Leitlinie von ÚOOÚ aus 2024 für PII-Tools legt drei Anforderungen fest.
Geschlechts-Offset-Behandlung: Nummern mit Monatswerten 51–62 sind gültige Bezeichner für Frauen. Ein Tool, das diese als ungültige Datumsangaben behandelt, übersieht etwa die Hälfte der weiblichen Erwachsenenbevölkerung.
Formatvarianten: Geburten vor 1954 erzeugen 9-stellige Nummern ohne Prüfwert. Geburten nach 1954 erzeugen 10-stellige Nummern mit einem. Beide müssen unterstützt werden.
Kontextsignale: In muttersprachlichen Dokumenten erscheint der Bezeichner neben Labels wie "Rodné číslo:", "RČ:" oder "r.č.:". Sprachbewusstes NER hilft, diese Signale auch in Freitexten zu finden.
Das Problem mit der Deutschen Muttergesellschaft
67 % der Unternehmen im Land setzen PII-Tools ein, die für Deutsch oder Englisch konfiguriert sind. ÚOOÚ hat dies in einer Umfrage dokumentiert. Die Fehlerkette im Fertigungsbereich ist vorhersehbar.
Eine deutsche Muttergesellschaft setzt ein Scan-Tool ein. Es ist für deutsche Bezeichner konfiguriert. HR-Daten — Verträge, Gesundheitsakten, Gehaltsabrechnungen — enthalten Geburtsnummern. Das Tool hat keine Logik für diesen Bezeichnertyp. Jede Geburtsnummer wird übersehen. Gesundheits- und Gehaltsdaten der Mitarbeiter werden ohne die von ÚOOÚ geforderten Kontrollen weitergeleitet. Im Falle eines Audits oder Datenschutzvorfalls kann die lokale Filiale keine "angemessenen technischen Maßnahmen" nach DSGVO-Artikel 32 nachweisen.
ÚOOÚ hält den lokalen Verantwortlichen für die Kontrolle verantwortlich. "Unsere Muttergesellschaft hat das Tool ausgewählt" ist keine gültige Verteidigung. Die Rechenschaftspflicht der DSGVO lässt das nicht zu.
Compliance-Checkliste für Fertigungsunternehmen
Diese Kontrollen gelten für Industrieunternehmen mit Tools der deutschen Muttergesellschaft.
- Erkennung von Geburtsnummern: Beide Formate — 9-stellig und 10-stellig. Geschlechts-Offset-Monatsbehandlung (50+). Modulus-11-Prüfwert für 10-stellige Varianten.
- Muttersprachliches NER: spaCy
cs_core_newsoder ein gleichwertiges Modell. Allgemeine Tools zeigen 23 % geringere NER-Genauigkeit für diese Sprache. Sprachspezifische Modelle schließen die Lücke. - Číslo OP-Erkennung: Der občanský průkaz (Personalausweis) ist eine 9-stellige Nummer. Er erscheint neben der Geburtsnummer in vielen Dokumenttypen.
- IČO und DIČ: Unternehmens-ID und Steuernummern erscheinen in Verträgen. Beide brauchen Abdeckung.
- Mehrsprachige Pipeline: Gemischte Umgebungen haben Dokumente in der Landessprache, auf Deutsch und auf Englisch. Eine einsprachige Pipeline übersieht sprachübergreifende Vorkommnisse.
ÚOOÚ-Durchsetzung ist konsistent. Firmen, die technische Nachweise in einem Audit vorlegen, erhalten deutlich geringere Bußgelder. Firmen, die das nicht können, haben ein höheres Risiko.
Einen umfassenderen Überblick darüber, wie nationale Ausweise DSGVO-Risiken erzeugen, bietet unser Leitfaden zur EU-Steuer-ID-Erkennung.
Einen ähnlichen nordischen Bezeichner beschreibt unser Datatilsynet CPR-Leitfaden.