Anonymisierung nach DSGVO: Unterschied zur Pseudonymisierung
Anonym und pseudonym sind keine austauschbaren Begriffe. Ob eine Person mit vertretbaren Mitteln identifiziert werden kann, entscheidet darüber, ob die DSGVO weiterhin anwendbar bleibt.
Kurzantwort
Anonyme Informationen beziehen sich nicht auf eine identifizierte oder identifizierbare Person. Für sie gilt die DSGVO nicht. Diese Schwelle ist hoch: Auch Kombinationen, Zusatzwissen, seltene Merkmale und realistisch verfügbare technische Mittel sind zu berücksichtigen.
Pseudonymisierte Daten bleiben für den Verantwortlichen regelmäßig personenbezogene Daten, wenn er sie mithilfe gesondert aufbewahrter Zusatzinformationen wieder zuordnen kann. Pseudonymisierung ist eine wichtige Schutzmaßnahme, aber keine Rechtsgrundlage und keine automatische Entlassung aus der DSGVO.
Die Bewertung ist kontextbezogen und muss dokumentiert werden. Das Entfernen von Namen, das Kürzen einer IP-Adresse oder die Vergabe einer laufenden Nummer genügt allein nicht.
Begriffe
Was ist der Unterschied zwischen Anonymisierung und Pseudonymisierung?
Bei einer wirksamen Anonymisierung ist eine Person unter Berücksichtigung aller vernünftigerweise einsetzbaren Mittel nicht mehr identifizierbar. Die verbleibenden Informationen fallen dann nicht unter die DSGVO. Der Vorgang der Anonymisierung selbst ist jedoch eine Verarbeitung personenbezogener Daten und braucht eine rechtliche Grundlage.
Bei einer Pseudonymisierung können die Daten ohne zusätzliche Informationen nicht mehr einer bestimmten Person zugeordnet werden. Die Zuordnung bleibt aber möglich, wenn eine getrennt aufbewahrte Referenztabelle, ein Schlüssel oder andere Zusatzinformationen verwendet werden. Deshalb bleiben pseudonymisierte Daten grundsätzlich geschützt.
Identifizierung ist mit vernünftigerweise zu erwartenden Mitteln nicht mehr möglich; die DSGVO gilt für die anonymen Informationen nicht.
Zuordnung ist nur mit gesonderten Zusatzinformationen möglich; die DSGVO bleibt grundsätzlich anwendbar.
Daten werden mit einem Schlüssel unlesbar gemacht. Solange Entschlüsselung möglich ist, sind sie nicht anonym.
Rechtlicher Rahmen
Was sagt die DSGVO zur Anonymisierung?
Art. 4 Nr. 1 DSGVO definiert personenbezogene Daten über die Identifizierbarkeit einer natürlichen Person. Erwägungsgrund 26 verlangt dabei eine realistische Betrachtung: Zu berücksichtigen sind alle Mittel, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um eine Person direkt oder indirekt zu identifizieren.
Für die Beurteilung zählen insbesondere Kosten, Zeitaufwand, verfügbare Technologie und technische Entwicklungen. Eine rein theoretische Identifizierungsmöglichkeit genügt nicht automatisch. Umgekehrt ist eine Zuordnung nicht deshalb ausgeschlossen, weil sie Mühe verursacht oder Daten aus mehreren Quellen zusammengeführt werden müssen.
Pseudonymisierung ist in Art. 4 Nr. 5 DSGVO ausdrücklich definiert. Sie wird unter anderem in Art. 25 und Art. 32 DSGVO als mögliche Maßnahme genannt. Ihr Einsatz kann Risiken deutlich verringern und die Einhaltung der Datenschutzgrundsätze unterstützen. Er ersetzt aber weder eine Rechtsgrundlage noch Informations-, Lösch- oder Sicherheitsanforderungen.
Hohe Schwelle
Wann gelten Daten tatsächlich als anonym?
Die Prüfung darf sich nicht auf direkte Kennzeichen wie Name, E-Mail-Adresse oder Personalnummer beschränken. Auch Alter, Wohnort, Beruf, seltene Ereignisse, Zeitstempel, Geodaten und Freitext können zusammen eine Person erkennbar machen. Kleine Gruppen und ungewöhnliche Merkmalskombinationen erhöhen das Risiko.
Drei Angriffsrichtungen sind besonders relevant: Kann eine Person in einem Datensatz herausgegriffen werden? Können mehrere Datensätze derselben Person miteinander verknüpft werden? Lassen sich Eigenschaften mit hinreichender Wahrscheinlichkeit einer Person ableiten? Eine wirksame Anonymisierung muss diese Risiken im konkreten Nutzungskontext ausreichend begrenzen.
Absolute Irreversibilität unter allen denkbaren Umständen ist kein praxistauglicher Maßstab. Notwendig ist aber eine belastbare Bewertung der vernünftigerweise zu erwartenden Mittel. Dazu gehört auch, welche Zusatzdaten ein Empfänger bereits besitzt, erwerben oder öffentlich recherchieren kann.
Wichtig: „Ohne Namen“ bedeutet nicht „anonym“. Der einzige Bauhofmitarbeiter einer kleinen Gemeinde, ein exaktes Ereignisdatum und eine seltene Verletzung können eine Person auch ohne Namensangabe erkennbar machen.
Schutzmaßnahme
Wie funktioniert eine wirksame Pseudonymisierung?
Direkte Identifikatoren werden durch ein Pseudonym ersetzt oder von den übrigen Daten getrennt. Die Zuordnungsinformation wird gesondert gespeichert und durch technische und organisatorische Maßnahmen geschützt. Nur festgelegte Personen oder Systeme dürfen die Zuordnung wiederherstellen.
Die Sicherheit hängt nicht allein vom verwendeten Verfahren ab. Stabile, aus bekannten Ausgangsdaten berechnete Kennzeichen können erraten oder durch Wörterbuchangriffe rekonstruiert werden. Fortlaufende Nummern können Zusammenhänge offenbaren. Freitexte enthalten häufig weiterhin Namen, Funktionen oder Sachverhalte, die eine direkte Zuordnung ermöglichen.
Eine wirksame Lösung trennt Schlüssel und Nutzdaten, begrenzt Zugriffe, protokolliert Re-Identifizierungen und legt fest, wann eine Zuordnung zulässig ist. Unterschiedliche Zwecke können unterschiedliche Pseudonyme erfordern, damit Datensätze nicht unnötig über Systeme hinweg verknüpft werden.
Werkzeuge
Welche Methoden kommen in Betracht?
Einzelwerte werden zu Gruppen, Zeiträumen oder statistischen Kennzahlen zusammengefasst.
Exaktes Alter, Datum oder Ortsangaben werden durch größere Kategorien ersetzt.
Seltene oder besonders identifizierende Merkmale und Datensätze werden entfernt.
Werte werden kontrolliert verändert, um direkte Rückschlüsse zu erschweren.
Identifikatoren werden durch zufällige Kennzeichen ersetzt; die Zuordnung wird gesondert geschützt.
Für unterschiedliche Nutzungskontexte werden nicht verknüpfbare Kennzeichen erzeugt.
Keine Methode ist allein für jeden Datensatz ausreichend. Die Auswahl hängt von Datenart, Gruppengröße, Veröffentlichungsform, Empfängern, benötigter Genauigkeit und möglichem Zusatzwissen ab. Häufig ist eine Kombination mehrerer Verfahren notwendig.
Schwärzen ist nur dann Anonymisierung, wenn die entfernten Inhalte technisch nicht wiederherstellbar sind und die verbleibenden Angaben keine Identifizierung ermöglichen. In PDF-Dateien muss deshalb geprüft werden, ob Text unter einer sichtbaren Fläche kopiert, gesucht oder aus Metadaten rekonstruiert werden kann.
Bewertung
Wie wird das Re-Identifikationsrisiko geprüft?
Die Prüfung beginnt mit dem vorgesehenen Empfängerkreis und Nutzungszweck. Eine interne Auswertung in einer abgeschotteten Umgebung ist anders zu bewerten als eine Veröffentlichung im Internet. Öffentlich bereitgestellte Daten können dauerhaft kopiert, mit neuen Quellen verknüpft und mit künftig besseren Methoden analysiert werden.
Zu dokumentieren sind verfügbare Zusatzdaten, bekannte Angriffswege, Größe und Besonderheiten der Gruppe, technische Hürden, organisatorische Verbote und die Folgen einer erfolgreichen Zuordnung. Vertragliche Verbote können das Risiko reduzieren, ersetzen aber keine ausreichende technische und inhaltliche Entkopplung.
Die Bewertung ist regelmäßig zu überprüfen. Neue öffentlich zugängliche Register, Datenlecks, leistungsfähigere Analysewerkzeuge oder eine veränderte Datennutzung können eine frühere Einschätzung überholen.
Direkte und indirekte Identifikatoren vollständig erfassen.
Empfänger, Zusatzwissen und realistische Verknüpfungsquellen bestimmen.
Herausgreifen, Verknüpfen und Ableiten als Angriffsszenarien prüfen.
Methoden kombinieren und verbleibenden Informationswert bewerten.
Ergebnis, Restrisiko und Überprüfungszeitpunkt dokumentieren.
Aktuelle Rechtsprechung
Kann die Einordnung vom Empfänger abhängen?
Der Europäische Gerichtshof hat 2025 in der Rechtssache EDPS gegen SRB klargestellt, dass pseudonymisierte Daten nicht ausnahmslos für jede Person personenbezogene Daten sein müssen. Maßgeblich kann sein, ob der konkrete Empfänger über rechtliche und tatsächliche Mittel verfügt, die betroffenen Personen zu identifizieren.
Für den Verantwortlichen, der den Zuordnungsschlüssel oder andere realistische Identifizierungsmittel besitzt, bleiben die Daten regelmäßig personenbezogen. Die Entscheidung ist deshalb kein Freibrief, pseudonymisierte Datensätze pauschal als anonym zu behandeln. Erforderlich ist eine empfängerbezogene, nachprüfbare Analyse der Identifizierungsmöglichkeiten.
Auch Informationspflichten dürfen nicht erst aus der späteren Empfängersicht betrachtet werden. Der EuGH betonte, dass der Verantwortliche den Personenbezug und die Informationspflichten zum Zeitpunkt der Datenerhebung beurteilen muss.
Anwendungsfälle
Praxisbeispiele für Kommunen und Unternehmen
Statistik aus Bürgeranfragen
Eine Tabelle ohne Namen kann weiterhin personenbezogen sein, wenn ein genauer Ort, ein seltenes Anliegen und ein Datum die anfragende Person erkennbar machen. Für eine Veröffentlichung sollten Fälle ausreichend gruppiert und seltene Merkmale unterdrückt werden.
Sitzungsunterlagen
Nummern statt Namen sind häufig nur Pseudonyme, wenn die Verwaltung eine Zuordnungsliste besitzt. Für die interne Bearbeitung kann das sinnvoll sein. Bei einer öffentlichen Vorlage müssen zusätzlich Sachverhalt und Begleitumstände so reduziert werden, dass Zuschauer die Person nicht erkennen können.
Mitarbeiterbefragung
Eine Umfrage ist nicht anonym, wenn kleine Organisationseinheiten, Funktion, Alter und Freitext eine Zuordnung ermöglichen. Der Hinweis „anonyme Umfrage“ ist nur zulässig, wenn Technik, Merkmalsauswahl und Auswertung dieses Versprechen tatsächlich tragen.
Test- und Schulungsdaten
Eine Kopie der Produktivdaten mit entfernten Namen bleibt riskant. Für Tests sollten synthetische Daten bevorzugt oder echte Datensätze mit einem geprüften Verfahren weitgehend anonymisiert werden.
Vorgehensmodell
Wie wird Anonymisierung organisatorisch umgesetzt?
Zuerst sind Zweck, erforderlicher Informationsgehalt und vorgesehene Empfänger festzulegen. Danach werden Identifikatoren und mögliche Zusatzquellen erfasst. Die gewählten Methoden müssen den Datenwert so weit erhalten wie nötig, zugleich aber das Identifizierungsrisiko ausreichend reduzieren.
Die Wirksamkeitsprüfung sollte nicht ausschließlich durch die Person erfolgen, die den Datensatz erstellt hat. Eine kontrollierte Gegenprüfung mit typischem Zusatzwissen kann versteckte Identifikatoren und Freitextprobleme aufdecken. Bei hohem Risiko sind fachkundige statistische oder technische Prüfungen sinnvoll.
Für wiederkehrende Veröffentlichungen braucht es Standards: Mindestgruppengrößen, Regeln für seltene Merkmale, Prüfung von Metadaten, Freigabezuständigkeit und Reaktion auf neue Re-Identifikationsrisiken. Das Verfahren und nicht nur das Endergebnis gehört zur Rechenschaftsdokumentation.
Praxisfehler
Typische Fehler bei anonymisierten Daten
Ort, Funktion, Datum und seltener Sachverhalt identifizieren die Person weiterhin.
Pseudonym und Zuordnungstabelle liegen im selben Ordner oder Berechtigungskreis.
Statistische Ergebnisse erlauben Rückschlüsse auf einzelne Personen.
Kommentare enthalten Namen, Rollen oder einzigartige Ereignisse.
Verdeckter PDF-Text bleibt kopierbar oder in Metadaten erhalten.
Neue Datenquellen und technische Entwicklungen werden nicht berücksichtigt.
Häufige Fragen
FAQ zur Anonymisierung nach DSGVO
Reicht es aus, Namen zu entfernen?
Nein. Auch indirekte Merkmale und Kombinationen können eine Person identifizieren. Der gesamte Datensatz und realistisches Zusatzwissen sind zu prüfen.
Gelten pseudonymisierte Daten als personenbezogen?
Für Stellen mit realistischen Zuordnungsmöglichkeiten grundsätzlich ja. Beim konkreten Empfänger kann die Bewertung anders ausfallen, wenn ihm rechtliche und tatsächliche Identifizierungsmittel fehlen.
Ist Verschlüsselung eine Anonymisierung?
Nein. Solange eine Entschlüsselung mit einem vorhandenen oder realistisch beschaffbaren Schlüssel möglich ist, bleiben die Daten personenbezogen.
Braucht die Anonymisierung selbst eine Rechtsgrundlage?
Ja. Solange personenbezogene Ausgangsdaten verarbeitet werden, ist auch deren Umwandlung in anonyme Informationen eine Verarbeitung, die rechtmäßig sein muss.
Sind aggregierte Statistiken immer anonym?
Nein. Kleine Gruppen, seltene Merkmale und ergänzendes Wissen können Rückschlüsse auf Einzelpersonen erlauben. Aggregation muss im Kontext geprüft werden.
Kann ein Vertrag Daten anonym machen?
Ein vertragliches Re-Identifikationsverbot kann das Risiko verringern, bewirkt allein aber keine Anonymität. Technische, inhaltliche und organisatorische Faktoren müssen zusammenpassen.
Ergebnis
Fazit
Anonymisierung ist eine belastbare Risikobewertung, kein einzelner Löschbefehl. Namen zu entfernen oder Kennnummern einzusetzen reicht nur, wenn auch indirekte Merkmale, Zusatzwissen und realistische Verknüpfungsmöglichkeiten beherrscht werden.
Pseudonymisierung bleibt trotzdem ein zentrales Datenschutzinstrument. Sie begrenzt Risiken, unterstützt Datenminimierung und ermöglicht zweckgebundene Auswertungen. Entscheidend sind getrennte Zusatzinformationen, begrenzte Zugriffe und eine dokumentierte Prüfung des konkreten Empfängerkontexts.
Weiterlesen
Passende interne Verlinkung
Nachweise
Quellen
Daten sicher anonymisieren oder pseudonymisieren?
Die Compliance Werkstatt unterstützt bei Verfahrenswahl, Risikobewertung, Dokumentation und datenschutzgerechter Veröffentlichung.
Unverbindlich anfragen