Anonymisierung und Pseudonymisierung: Re-Identifizierung vermeiden

Anonymisierte Daten fallen nicht mehr unter die DSGVO, wenn sich eine natürliche Person mit Mitteln, deren Anwendung vernünftigerweise wahrscheinlich ist, nicht mehr identifizieren lässt. Pseudonymisierte Daten bleiben dagegen personenbezogene Daten, wenn eine Zuordnung mit Zusatzinformationen möglich ist. Die Bezeichnung einer Methode entscheidet daher nicht über den Personenbezug.

Dieser Beitrag ordnet die beiden Begriffe für Unternehmen ein. Er erklärt, aus welcher Perspektive die Identifizierbarkeit zu prüfen ist, wie die drei EDPB-Kriterien No Record Isolation, No Linkage und No Inference eingesetzt werden und welche Nachweise vor einer Weitergabe oder einer neuen Nutzung vorliegen sollten. Eine technische Maßnahme allein ersetzt keine fachliche und rechtliche Prüfung.

Personenbezogene Daten sind nach Art. 4 Z 1 DSGVO Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Erwägungsgrund 26 stellt für die Identifizierbarkeit auf Mittel ab, deren Anwendung nach objektiven Faktoren vernünftigerweise wahrscheinlich ist. Dazu zählen auch Mittel, die eine andere Stelle einsetzen oder zugänglich machen könnte.

Pseudonymisierung ist in Art. 4 Z 5 DSGVO als Verarbeitung beschrieben, durch die personenbezogene Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer konkreten Person zugeordnet werden können. Diese Zusatzinformationen müssen gesondert aufbewahrt und geschützt werden. Der Personenbezug bleibt bestehen. Verschlüsselung, Maskierung oder das Ersetzen eines Namens sind deshalb nicht automatisch Anonymisierung.

Anonymisierte Daten liegen erst vor, wenn die Person für die maßgebliche Perspektive nicht mehr identifiziert oder identifizierbar ist. Das Ergebnis hängt von Dateninhalt, Zweck, Empfänger, Zugriffen und verfügbaren Vergleichsdaten ab. Eine Aufbereitung kann für einen Empfänger anonym wirken und für eine andere Stelle weiterhin personenbezogen sein.

Die EDPB Guidelines 02/2026 on Anonymisation konkretisieren die Prüfung aus der Perspektive der jeweils relevanten Stelle. Zuerst ist zu klären, für wen die Daten anonym sein sollen. Das kann der aufbereitende Verantwortliche, ein Empfänger oder eine weitere Stelle mit Zugriff auf die Daten sein.

Zusatzwissen kann aus eigenen Dateien, öffentlichen Quellen, einem Vertragspartner, einem Dienstleister oder einer realistisch erreichbaren technischen Methode stammen. Die Prüfung endet daher nicht beim Entfernen von Namen. Auch Kombinationen aus Alter, Ort, Zeit, Verhalten oder seltenen Ereignissen können eine Person unterscheidbar machen.

Für eine belastbare Entscheidung sind objektive Faktoren festzuhalten: Eigenschaften und Genauigkeit des Datensatzes, Zugriffssituation, mögliche Zusatzinformationen, Zeit und Kosten der Identifizierung sowie die verfügbare Technik. Eine bereits erfolgte Identifizierung bedeutet, dass die Daten für diese Perspektive nicht anonym sind.

Die EDPB Guidelines 02/2026 strukturieren die technische Analyse mit drei Kriterien. No Record Isolation fragt, ob einzelne Personen oder Datensätze aus dem Bestand herausgehoben werden können. Das kann durch seltene Merkmale, eine hohe Auflösung oder eine einzigartige Kombination von Angaben geschehen.

No Linkage prüft, ob Angaben mit anderen Datensätzen oder Beobachtungen verbunden werden können. Dabei sind Verknüpfungen innerhalb des Bestands, mit öffentlichen Quellen und über andere Stellen zu betrachten. No Inference fragt, ob sich zusätzliche Informationen über eine Person aus den verbleibenden Angaben ableiten lassen.

Bestehen bei einem Kriterium Zweifel, ist das Ergebnis nicht automatisch anonym. Die Leitlinien sehen für solche Fälle eine weitere Prüfung vor. Unternehmen sollten deshalb konkrete Angriffe oder Rückschlusswege simulieren, die relevante Perspektive benennen und die Gründe für die abschließende Einordnung aufbewahren.

Eine geeignete Aufbereitung beginnt mit dem Zweck. Aggregation kann einzelne Werte in Gruppen zusammenführen. Generalisierung kann genaue Angaben durch gröbere Kategorien ersetzen. Löschung, Maskierung oder Reduktion können den Datenbestand verkleinern. Welche Kombination ausreicht, hängt von der erforderlichen Aussagekraft und dem verbleibenden Identifizierungsrisiko ab.

Pseudonymisierung ist häufig eine Schutzmaßnahme für interne Auswertungen, Entwicklung oder kontrollierte Zusammenarbeit. Sie kann die direkte Zuordnung erschweren und wird in Art. 25 und Art. 32 DSGVO als geeignete Maßnahme berücksichtigt. Sie schafft aber keinen datenschutzfreien Raum. Schlüssel, Zusatzinformationen, Zugriffsrechte und weitere Kopien sind weiterhin zu kontrollieren.

Die Datenqualität beeinflusst die Prüfung in beide Richtungen. Ungenaue Angaben können direkte Identifizierung erschweren, aber Kombinationen aus vielen scheinbar harmlosen Merkmalen können eine Person dennoch herausheben. Dokumentieren Sie deshalb die Auflösung, die zulässige Nutzung und die Annahmen, unter denen die Methode als ausreichend bewertet wurde.

Art. 5 Abs. 2 DSGVO verlangt den Nachweis der Einhaltung der Grundsätze. Art. 24 und Art. 25 verbinden diese Verantwortung mit geeigneten Maßnahmen und einer Überprüfung ihrer Wirksamkeit. Die Freigabeakte sollte daher Zweck, Ausgangsdaten, Methode, Empfänger, Perspektive, geprüfte Verknüpfungen, Restrisiken und Verantwortlichkeit enthalten.

Bei pseudonymisierten Daten sind die Zuordnungsschlüssel gesondert zu schützen. Rollen, Berechtigungen, Protokollierung, Weitergabe, Löschung und Wiederherstellung müssen zur konkreten Risikolage passen. Bei anonymisierten Daten bleiben Sicherheits- und Governance-Fragen aus dem ursprünglichen Verarbeitungsvorgang relevant, solange Ausgangsdaten oder andere personenbezogene Kopien bestehen.

Eine Neubewertung ist erforderlich, wenn sich Empfänger, Datenumfang, Auflösung, öffentliche Vergleichsdaten, technische Möglichkeiten oder der Zweck ändern. Die EDPB weist auf regelmäßige Neubewertung der Re-Identifizierungswahrscheinlichkeit hin. Eine einmalige Freigabe ist daher kein dauerhafter Beleg für jede spätere Nutzung.

Der Name wird entfernt und der Datensatz freigegeben: Seltene Kombinationen, Zeitangaben oder externe Vergleichsdaten werden nicht geprüft.

Ein Schlüssel wird als Anonymisierung bezeichnet: Die Zuordnung bleibt über Zusatzinformationen möglich und die DSGVO gilt weiter.

Nur die eigene Sicht wird bewertet: Empfänger, Dienstleister oder erreichbare weitere Stellen können über andere Mittel verfügen.

Aggregation wird mit Anonymität gleichgesetzt: Auch Gruppenwerte können Informationen über einzelne Personen offenlegen oder durch Kombinationen Rückschlüsse erlauben.

Die Methode wird ohne Zweckprüfung gewählt: Für eine präzise Auswertung können gröbere Kategorien ausreichen, für einen anderen Zweck aber nicht.

Die Freigabe bleibt unverändert: Neue Datenquellen, bessere Technik oder ein anderer Empfängerkreis können die frühere Bewertung entkräften.

Beginnen Sie mit einer Daten- und Zweckbeschreibung. Welche Aussage soll möglich bleiben, welche Personen sind betroffen und wer erhält Zugriff? Erfassen Sie die Ausgangsdaten, alle Kopien, Schlüssel und Vergleichsquellen. Trennen Sie die Frage, ob eine Schutzmaßnahme sinnvoll ist, von der Frage, ob der Personenbezug endet.

Prüfen Sie danach die drei EDPB-Kriterien aus jeder relevanten Perspektive. Testen Sie seltene Datensätze, realistische Verknüpfungen und mögliche Rückschlüsse. Halten Sie fest, welche Mittel vernünftigerweise wahrscheinlich eingesetzt werden könnten und warum ein Identifizierungsrisiko als unerheblich oder weiter relevant eingestuft wird.

Vor der Freigabe müssen Methode, Zugriffsschutz, Empfänger, Verantwortlichkeit und Neubewertung feststehen. Bei Pseudonymisierung bleiben Rechtsgrundlage, Zweckbindung, Betroffenenrechte, Sicherheit und Löschung anwendbar. Bei Anonymisierung ist zu prüfen, ob die ursprünglichen personenbezogenen Daten und die Aufbereitung getrennt weiter verarbeitet werden.

Wir prüfen mit Ihnen Ausgangsdaten, Zweck, Empfänger, Zusatzinformationen, Aufbereitungsmethode und die drei EDPB-Kriterien. Für die erste Einschätzung helfen eine Datenmatrix, der geplante Datenfluss, vorhandene Schlüssel oder Vergleichsquellen, die technische Beschreibung und die bisherige Freigabe. So lässt sich nachvollziehbar einordnen, ob eine Schutzmaßnahme ausreicht oder der Personenbezug weiter zu behandeln ist.