Ist eine IBAN personenbezogen? DSGVO-Einordnung und Praxis
Eine IBAN wirkt auf den ersten Blick wie eine technische Kontonummer. Ist sie einer natürlichen Person zugeordnet, kann sie diese Person jedoch direkt oder indirekt identifizieren. Dann ist die IBAN ein personenbezogenes Datum im Sinne der DSGVO. Für Unternehmen folgt daraus keine Pflicht, jede IBAN immer zu schwärzen — wohl aber die Pflicht, Verarbeitung, Weitergabe und Aufbewahrung auf einen legitimen Zweck zu begrenzen.
Warum ist eine IBAN personenbezogen?
Art. 4 Nr. 1 DSGVO erfasst alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Europäische Gerichtshof betont regelmäßig die weite Auslegung dieses Begriffs. Eine persönliche IBAN ist eine eindeutige Kennung für ein Zahlungskonto und lässt sich über Bank- und Vertragsdaten einer Person zuordnen.
Bei einer reinen Geschäftskontonummer einer juristischen Person kann die Einordnung anders ausfallen. Sobald die IBAN aber mit einem Einzelunternehmer, Freiberufler, Beschäftigten, Kunden oder Ansprechpartner verknüpft ist, besteht regelmäßig Personenbezug.
Ist die IBAN ein besonders sensibles Datum?
Eine IBAN gehört nicht automatisch zu den besonderen Kategorien nach Art. 9 DSGVO. Sie bleibt dennoch schutzbedürftig. Kontoangaben können in Verbindung mit Namen, Zahlungszwecken und Transaktionsdaten ein detailliertes Bild wirtschaftlicher oder privater Verhältnisse ergeben.
Das bedeutet: Die Schutzmaßnahme richtet sich nach Kontext und Risiko. Eine IBAN auf einer Rechnung an den Zahlungspflichtigen ist zweckbezogen. Dieselbe IBAN in einem öffentlichen Bericht, einer frei zugänglichen PDF-Datei oder einer Aktenauskunft kann unnötig sein.
Wann sollte eine IBAN geschwärzt werden?
Schwärzung ist sinnvoll, wenn der Empfänger die vollständige Bankverbindung für seinen Zweck nicht benötigt. Typische Fälle sind öffentliche Dokumente, Auskunftskopien mit Daten Dritter, Gerichts- oder Behördenakten, Bewerbungsunterlagen, Kontoauszüge als bloßer Einkommensnachweis und interne Berichte mit breitem Empfängerkreis.
Eine praktische Entscheidungshilfe:
- Muss der Empfänger eine Zahlung an dieses Konto ausführen?
- Muss er die Kontoinhaberschaft prüfen?
- Reichen die letzten vier Zeichen oder ein anderer Nachweis?
- Wird das Dokument öffentlich, dauerhaft oder an viele Personen verteilt?
- Enthält es zusätzlich Name, Anschrift oder sensible Buchungstexte?
Je weniger der Zweck die vollständige IBAN benötigt und je größer der Empfängerkreis, desto stärker spricht Art. 5 Abs. 1 lit. c DSGVO für Schwärzung oder Kürzung.
Unternehmen: IBANs im Dokumentenworkflow
Unternehmen sollten IBANs nicht nur in strukturierten Datenbanken betrachten. Sie stecken häufig in Rechnungen, Verträgen, E-Mail-Anhängen, Kontoauszügen und eingescannten Formularen. Ein belastbarer Prozess umfasst Erkennung, Zweckprüfung, menschliche Freigabe, irreversible Schwärzung und Dokumentation.
Datenmaske erkennt IBAN-Muster in PDFs automatisch. Die Vorschläge müssen anschließend geprüft werden: Auf einer Zahlungsrechnung kann die Bankverbindung erforderlich sein, in einer Veröffentlichung nicht. Der Mensch entscheidet; die Software reduziert die Sucharbeit.
Lesen Sie auch den Praxisbeitrag IBAN in PDFs schwärzen und testen Sie den Free-Check für ein konkretes Dokument.
Fazit
Eine einer natürlichen Person zugeordnete IBAN ist personenbezogen. Sie muss nicht pauschal aus jedem Dokument entfernt werden, sondern zweckbezogen geschützt werden. Wo die vollständige Bankverbindung für den Empfänger nicht erforderlich ist, sind Kürzung oder irreversible Schwärzung die datensparsame Lösung.
FAQ
Ist eine IBAN ein personenbezogenes Datum?
Ja, wenn sie einer identifizierten oder identifizierbaren natürlichen Person zugeordnet ist. Sie ist dann eine individuelle Kennung im Sinne des weiten Begriffs aus Art. 4 Nr. 1 DSGVO.
Ist eine IBAN ein besonderes personenbezogenes Datum nach Art. 9 DSGVO?
Nein, eine IBAN gehört nicht allein aufgrund ihrer Funktion zu den besonderen Kategorien des Art. 9 DSGVO. Kontext und Verbindung mit weiteren Finanz- oder Transaktionsdaten können das Risiko aber erhöhen.
Muss eine IBAN immer geschwärzt werden?
Nein. Ist sie für den Zweck erforderlich, etwa damit ein Rechnungsempfänger zahlen kann, darf sie sichtbar sein. Bei Veröffentlichung oder Weitergabe ohne Zahlungszweck sollte geprüft werden, ob Kürzung oder Schwärzung genügt.
Reicht es, nur einen Teil der IBAN zu zeigen?
Oft ja, wenn lediglich ein Konto wiedererkannt oder ein Vorgang zugeordnet werden soll. Ob eine gekürzte Darstellung ausreicht, hängt vom konkreten Zweck ab.