Organisationen verarbeiten mehrere Kategorien sensibler Informationen, jede mit unterschiedlichen regulatorischen Rahmenbedingungen und Schutzanforderungen. Eine klare Klassifizierung ermöglicht angemessene Schutzmaßnahmen.
Datendefinitionen & Beispiele
1. Personally Identifiable Information (PII)
Jegliche Daten, die eine bestimmte Person identifizieren können.
- Direkte Identifikatoren: Vollständiger Name, SSN, Führerschein, Reisepass, Biometrien, Gesichtsfoto
- Indirekte/quasi-Identifikatoren: Geburtsdatum, Adresse, Telefon, E-Mail, Geschlecht, Rasse, PLZ (Kombinationen können re-identifizieren)
- Digitale Identifikatoren: IP-Adresse, Geräte-ID, Cookies, Anmeldeinformationen
Vorschriften: DSGVO, CCPA/CPRA, staatliche Datenschutzgesetze, FERPA (Bildung), GLBA (Finanzen)
2. Gehaltsabrechnungs- & Vergütungsdaten
Beschäftigungsbezogene finanzielle Informationen.
- Gehalt/Lohnsätze, Arbeitsstunden, Überstunden
- Boni, Provisionen, Aktien, verzögerte Vergütung
- Steuerabzüge (W-4, staatliche Formulare), Steuerstatus
- Leistungswahlen: Kranken-/Zahn-/Sehversicherungsprämien, HSA/FSA-Beiträge, 401(k)/Rente
- Lohnpfändungen, Unterhalt, Pfändungen
- Gehaltsabrechnungen, Direkteinzahlungsinformationen
Vorschriften: FLSA, IRS Pub 15, staatliche Lohnrechte, ERISA, ACA-Arbeitgeberberichterstattung
3. Protected Health Information (PHI)
Individuell identifizierbare Gesundheitsinformationen, die von abgedeckten Einheiten oder Business Associates gehalten/übermittelt werden.
- Medizinische Nummern, Diagnosen (ICD-10), Behandlungspläne, Medikamente
- Laborergebnisse, Bildgebung, genetische Informationen
- Psychotherapie-Notizen (spezieller Schutz)
- Abrechnungs-/Anspruchsdaten (CPT, HCPCS, Erlöscodes)
- Biometrische Identifikatoren (Stimme, Netzhautscans)
Vorschriften: HIPAA Privacy/Security/Breach Rules, 42 CFR Part 2 (SUD), staatliche medizinische Datenschutzgesetze
4. Operative & Geschäftsdaten
Informationen im Zusammenhang mit organisatorischen Prozessen und Leistung.
- Finanzen: Berichte, Budgets, Prognosen, AP/AR, Steuererklärungen, Prüfungsunterlagen
- Vertrieb/CRM: Pipeline, Verträge, Kunden-PII, Kaufhistorie, Propensity Scores
- Produktion/Lieferkette: Stücklisten, Inventar, Lieferantenverträge, Qualitätsaufzeichnungen, IoT-Sensordaten
- HR/Belegschaft: Leistungsbewertungen, Disziplinarmaßnahmen, Engagement-Umfragen, Nachfolgepläne
- IT/Sicherheit: Netzwerktopologie, Zugriffsprotokolle, Schwachstellenscans, Incident-Reports, Verschlüsselungsschlüssel
- IP/Geschäftsgeheimnisse: Patente, Formeln, Algorithmen, Quellcode, F&E-Daten
Vorschriften: SOX (Finanzen), SEC-Regeln, staatliche Geschäftsgeheimnisgesetze, branchenspezifisch (FDA 21 CFR 11, NERC CIP, PCI DSS)
Einheitlicher Schutzrahmen
| Kontrolle | PII | Gehaltsabrechnung | PHI | Operativ |
|---|
| Verschlüsselung (Ruhe/Übertragung) | Erforderlich | Erforderlich | Erforderlich | Risikobasiert |
| Zugriffskontrolle (RBAC/ABAC) | Erforderlich | Erforderlich | Erforderlich | Erforderlich |
| Audit-Protokollierung | Erforderlich | Erforderlich | Erforderlich | Erforderlich |
| Aufbewahrungsfrist | Rechtlich/regulatorisch | 7 Jahre (IRS) / Staat | 6 Jahre HIPAA / Staat | Geschäftlich/rechtlich |
| Datenschutzverletzungsmeldung | Staatliche Gesetze / DSGVO | Staatliche Gesetze | HIPAA 60 Tage | Vertraglich / SEC |
| DSFA / Risikobewertung | DSGVO Art. 35 | Empfohlen | HIPAA SRA | Unternehmens-ERM |
Kategorienübergreifende Risiken
- Gehaltsdaten enthalten oft PII + PHI (Behinderung, FMLA, Wellnessprogramme)
- Operative Systeme (HRIS, ERP) aggregieren alle Kategorien – ein einzelner Verstoß macht alles preis
- De-Identifizierung von PHI für Analysen muss den HIPAA Safe Harbor oder Expert Determination erfüllen
Governance-Imperativ: Dateninventar → Klassifizierung → Kontrollzuordnung → kontinuierliche Überwachung. Privacy by Design, nicht als Nachgedanke.
