Welche Daten müssen geschwärzt werden? DSGVO-Übersicht

Die DSGVO verpflichtet Organisationen, personenbezogene Daten zu schützen. Wenn Dokumente weitergegeben werden — etwa bei Akteneinsicht, Auskunftsersuchen oder Veröffentlichungen — müssen personenbezogene Daten Dritter in der Regel geschwärzt werden. Welche Daten dies genau sind, hängt vom Kontext ab, aber die Grundlagen sind in der Verordnung klar geregelt.

Schwärzung ist die irreversible Entfernung von Text aus einem Dokument. Im Gegensatz zur Löschung des gesamten Dokuments bleibt das Dokument erhalten, aber die personenbezogenen Daten werden physisch entfernt. Dies ist relevant, wenn Dokumente aus rechtlichen Gründen aufbewahrt oder weitergegeben werden müssen, aber bestimmte Daten darin nicht zugänglich sein dürfen.

Die DSGVO nennt dies nicht ausdruecklich 'Schwaerzung', sondern regelt die Pflicht zur Datenminimierung (Art. 5 Abs. 1 lit. c), das Recht auf Loeschung (Art. 17) und die Pflicht zu technischen und organisatorischen Massnahmen (Art. 32). Schwaerzung ist eine dieser Massnahmen.

Nicht alle Daten in einem Dokument sind personenbezogen. Die folgende Tabelle zeigt die häufigsten Datenarten und ihre Einordnung:

Die Grundregel: Alle Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO), sind personenbezogen und müssen vor unbefugter Weitergabe geschützt werden.

Schwärzungspflichten ergeben sich aus verschiedenen Rechtsgrundlagen:

Art. 15 DSGVO — Auskunftsrecht: Wenn eine betroffene Person Auskunft über ihre Daten verlangt, müssen die Daten Dritter in den Dokumenten geschwärzt werden, bevor die Auskunft erteilt wird. Der BFH hat 2025 klargestellt, dass dieser Anspruch nicht wegen zu hohen Aufwands verweigert werden darf.

Art. 17 DSGVO — Recht auf Löschung: Wenn personenbezogene Daten gelöscht werden müssen, das Dokument aber aus anderen rechtlichen Gründen aufbewahrt werden muss, kann Schwärzung ein geeignetes Mittel sein.

IFG / Informationsfreiheitsgesetz: Behörden müssen personenbezogene Daten Dritter schwärzen, bevor sie Dokumente im Rahmen von Informationsfreiheitsanträgen herausgeben.

§ 203 StGB — Berufsgeheimnisträger: Rechtsanwälte, Ärzte, Steuerberater und Notare unterliegen einer gesetzlichen Verschwiegenheitspflicht. Bei Weitergabe von Dokumenten müssen sie Daten schwärzen, die unter diese Pflicht fallen.

Löschung bedeutet, dass das gesamte Dokument oder die Datensätze unwiderruflich entfernt werden. Schwärzung bedeutet, dass das Dokument erhalten bleibt, aber bestimmte darin enthaltene personenbezogene Daten irreversibel entfernt werden.

• In der Praxis ist Schwärzung oft die bessere Wahl, wenn:
• Das Dokument aus rechtlichen Gründen aufbewahrt werden muss (z.B. Rechnungen, Verträge)
• Nur bestimmte Daten entfernt werden sollen, der Rest aber relevant bleibt
• Das Dokument im Rahmen einer Akteneinsicht oder eines Auskunftsersuchs weitergegeben wird

Die manuelle Schwärzung von Dokumenten ist fehleranfällig und zeitaufwändig. Studien zeigen, dass 65% der manuell geschwärzten PDFs weiterhin versteckte Informationen enthalten. Automatische Erkennungswerkzeuge nutzen eine Kombination aus:

• Regelbasierten Mustern (Regex): Erkennen IBANs, E-Mail-Adressen, Telefonnummern, Kreditkartennummern und Sozialversicherungsnummern anhand festgelegter Formate.
• Named Entity Recognition (NER): Machine-Learning-Modelle erkennen Eigennamen, Orte, Organisationen und andere Entitäten im Textkontext.

Datenmaske kombiniert beide Ansätze und verarbeitet alle Daten ausschließlich auf EU-Servern — ohne externe KI-Dienste.

1. Dokument in ein Schwärzungstool laden
2. Automatische Erkennung der personenbezogenen Daten starten
3. Jede Erkennung einzeln prüfen — nicht blind bestätigen
4. Manuelle Schwärzungen ergänzen, wenn Daten übersehen wurden
5. Geschwärztes Dokument exportieren
6. Prüfen, ob die Schwärzung irreversibel ist (Text darf nicht kopierbar sein)

Wichtig: Die DSGVO fordert nicht, dass Sie jedes einzelne Datum schwärzen. Sie fordert, dass Sie die Datenminimierung beachten und nur die Daten weitergeben, die für den jeweiligen Zweck erforderlich sind.