Pseudonymisierung und Anonymisierung nach DSGVO: Abgrenzung, Verfahren und Umsetzung im Unternehmen

Pseudonymisierung und Anonymisierung nach DSGVO sind zwei Verfahren, die häufig verwechselt werden, obwohl sie rechtlich grundverschieden behandelt werden. Pseudonymisierte Daten bleiben personenbezogene Daten und unterliegen weiterhin der gesamten Verordnung, anonymisierte Daten fallen dagegen nicht mehr in deren Anwendungsbereich. Diese Unterscheidung entscheidet darüber, ob ein Datensatz für Analysen, Tests, Entwicklung oder die Weitergabe an Dritte genutzt werden darf und welche Pflichten dabei bestehen. Für Geschäftsführer und Fachverantwortliche ist sie damit keine akademische Feinheit, sondern eine Weichenstellung für Datenstrategie, Haftungsrisiko und Auditfähigkeit.

Der Beitrag ordnet die Begriffe anhand von Art. 4 Nr. 5 DSGVO und Erwägungsgrund 26 ein, erläutert gängige Verfahren wie Tokenisierung, Hashing, Generalisierung und Aggregation und zeigt, warum viele vermeintlich anonyme Datenbestände bei genauer Prüfung nur pseudonymisiert sind. Ein Vorgehensmodell in sieben Schritten, eine Checkliste und typische Stolperfallen ergänzen die rechtliche Einordnung. Ziel ist eine belastbare, dokumentierte Entscheidungsgrundlage für den Einsatz im Unternehmen.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Titelbild: Foto von Rapha Wilde auf Unsplash.

Pseudonymisierung und Anonymisierung nach DSGVO: Begriffe und Rechtsrahmen

Die Datenschutz-Grundverordnung definiert in Art. 4 Nr. 1 personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist eine Person bereits dann, wenn sie direkt oder indirekt, etwa durch Zuordnung zu einer Kennung, einem Standortdatum oder besonderen Merkmalen, bestimmt werden kann. Auf dieser weiten Definition bauen beide Verfahren auf, denn sie setzen an der Identifizierbarkeit an, wirken aber rechtlich völlig unterschiedlich.

Pseudonymisierung nach Art. 4 Nr. 5 DSGVO

Art. 4 Nr. 5 DSGVO beschreibt die Pseudonymisierung als Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können. Voraussetzung ist, dass diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die Daten nicht einer identifizierten oder identifizierbaren Person zugewiesen werden. Typisches Beispiel ist die Ersetzung von Namen und Kundennummern durch Zufallskennungen, wobei die Zuordnungstabelle in einem getrennten, besonders geschützten System liegt.

Entscheidend ist der Umkehrbarkeitsgedanke: Wer den Schlüssel besitzt, kann die Personen wieder identifizieren. Deshalb bleiben pseudonymisierte Daten nach Erwägungsgrund 26 Satz 2 ausdrücklich personenbezogen. Alle Grundsätze des Art. 5, die Prüfung der Rechtsgrundlage nach Art. 6, die Betroffenenrechte der Art. 15 bis 22 sowie die Dokumentationspflichten gelten unverändert. Die Pseudonymisierung ist damit eine Schutzmaßnahme und kein Ausstieg aus dem Datenschutzrecht.

Anonymisierung nach Erwägungsgrund 26

Der Begriff Anonymisierung wird im Verordnungstext nicht definiert, ergibt sich aber aus Erwägungsgrund 26. Danach gelten die Grundsätze des Datenschutzes nicht für anonyme Informationen, also Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, sowie für Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Zur Beurteilung sind alle Mittel zu berücksichtigen, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die Person direkt oder indirekt zu identifizieren.

Dabei sind objektive Faktoren wie die Kosten der Identifizierung, der erforderliche Zeitaufwand und die verfügbare Technologie samt technologischer Entwicklungen einzubeziehen. Anonymität ist daher kein absoluter Zustand, sondern das Ergebnis einer Risikobewertung, die regelmäßig überprüft werden muss. Ein Datensatz, der heute als anonym gelten kann, wird durch neue Verknüpfungsmöglichkeiten oder zusätzliche öffentliche Datenquellen unter Umständen morgen wieder identifizierbar.

Die Fachwelt diskutiert, ob für die Bewertung ein absoluter oder ein relativer Maßstab gilt, ob also allein die Möglichkeiten des jeweiligen Verantwortlichen oder auch die Möglichkeiten beliebiger Dritter maßgeblich sind. Die europäische Rechtsprechung neigt zu einem relativen Ansatz, der die realistischen Mittel des konkreten Empfängers berücksichtigt. Für die Unternehmenspraxis empfiehlt sich dennoch ein vorsichtiger Maßstab, weil im Streitfall der Verantwortliche die Einhaltung nachweisen muss (Art. 5 Abs. 2 DSGVO).

Abgrenzung im Überblick: Wo die Unterschiede liegen

Die folgende Gegenüberstellung fasst die wichtigsten rechtlichen und technischen Unterschiede zusammen. Sie dient als Orientierung für die Entscheidung, welcher Zielzustand für ein konkretes Vorhaben angemessen ist.

Kriterium	Pseudonymisierung	Anonymisierung
Rechtsstatus der Daten	Personenbezogen (Erwägungsgrund 26 Satz 2)	Nicht personenbezogen, DSGVO nicht anwendbar
Umkehrbarkeit	Mit zusätzlicher Information möglich	Praktisch ausgeschlossen
Rechtsgrundlage	Erforderlich nach Art. 6, bei sensiblen Daten zusätzlich Art. 9	Für den Anonymisierungsvorgang erforderlich, für die anonymen Daten nicht
Betroffenenrechte	Bestehen fort, soweit Zuordnung möglich ist	Entfallen bei echter Anonymität
Nutzen für Analysen	Hoch, Verknüpfung über das Pseudonym möglich	Eingeschränkt, Detailtiefe sinkt
Typische Verfahren	Tokenisierung, Hashing mit Schlüssel, Verschlüsselung	Aggregation, Generalisierung, Rauschen

Besonders wichtig ist die Zeile zur Rechtsgrundlage: Der Anonymisierungsvorgang selbst ist eine Verarbeitung personenbezogener Daten und braucht deshalb eine tragfähige Rechtsgrundlage sowie eine Vereinbarkeit mit dem ursprünglichen Erhebungszweck. Nach verbreiteter Auffassung lässt sich dies über die Zweckvereinbarkeitsprüfung nach Art. 6 Abs. 4 DSGVO abbilden, wobei Pseudonymisierung und Verschlüsselung dort als geeignete Garantien genannt werden (Art. 6 Abs. 4 lit. e).

Verfahren der Pseudonymisierung in der Praxis

Pseudonymisierung ist kein einzelnes Verfahren, sondern eine Familie technischer Ansätze. Die Wahl richtet sich nach Datenart, Verwendungszweck und Schutzbedarf.

Tokenisierung und Zufallskennungen

Bei der Tokenisierung werden Klardaten wie Namen, IBAN oder Kundennummern durch zufällig erzeugte Token ersetzt. Die Zuordnung zwischen Token und Klardatum wird in einem separaten Tresorsystem gehalten (Token-Vault), auf das nur wenige, protokollierte Rollen zugreifen dürfen. Weil die Token keinen mathematischen Bezug zum Original haben, lässt sich aus ihnen ohne den Vault nichts ableiten. Das Verfahren eignet sich für Test- und Entwicklungsumgebungen, Zahlungsdaten und Analyseprojekte, bei denen Datensätze über mehrere Systeme hinweg verknüpfbar bleiben müssen.

Hashing mit Salt und Pepper

Kryptografische Hashfunktionen wie SHA-256 erzeugen aus einem Eingabewert einen Prüfwert fester Länge. Ungesalzene Hashes von E-Mail-Adressen oder Telefonnummern sind jedoch keine ausreichende Pseudonymisierung, weil sich die Eingabewerte über Wörterbuch- und Brute-Force-Angriffe oft rekonstruieren lassen. Sicherer sind schlüsselabhängige Verfahren wie HMAC, bei denen ein geheimer Schlüssel (Pepper) getrennt vom Datenbestand aufbewahrt wird. Der Schlüssel entspricht dann der zusätzlichen Information im Sinne von Art. 4 Nr. 5 DSGVO, und seine Verwaltung ist Teil des Schutzkonzepts.

Verschlüsselung und Schlüsseltrennung

Auch Verschlüsselung kann als Pseudonymisierung wirken, sofern der Schlüssel organisatorisch und technisch getrennt verwaltet wird. Verschlüsselte Felder in Datenbanken verhindern, dass Administratoren oder Auswertungsteams Klardaten sehen, ohne dass die Struktur des Datenbestands verloren geht. Maßgeblich sind Schlüsselhierarchie, Rotation, Zugriffsprotokollierung und die Frage, wer Schlüssel und Daten gleichzeitig kontrollieren kann. Die Trennung der Verantwortungsbereiche ist dabei wichtiger als die Wahl des konkreten Algorithmus.

Verfahren der Anonymisierung und das Re-Identifizierungsrisiko

Anonymisierung zielt darauf, die Rückführbarkeit dauerhaft zu beseitigen. Dazu werden Merkmale entfernt, vergröbert oder statistisch verändert. Die gebräuchlichsten Techniken sind in der folgenden Übersicht zusammengefasst.

Verfahren	Funktionsweise	Typisches Restrisiko
Aggregation	Zusammenfassung zu Gruppenwerten wie Summen oder Mittelwerten	Kleine Gruppen lassen Rückschlüsse auf Einzelne zu
Generalisierung	Vergröberung von Merkmalen, etwa Altersgruppe statt Geburtsdatum	Kombination mehrerer Merkmale bleibt eindeutig
Datenunterdrückung	Entfernung seltener oder besonders identifizierender Werte	Informationsverlust und Lücken im Datensatz
Rauschen (Differential Privacy)	Gezielte Verfälschung von Werten oder Abfrageergebnissen	Zu geringe Rauschstärke, Mehrfachabfragen
Synthetische Daten	Künstlich erzeugte Datensätze mit statistisch ähnlichen Eigenschaften	Übernahme seltener Originalmuster

Quasi-Identifikatoren und k-Anonymität

Das größte praktische Risiko liegt in sogenannten Quasi-Identifikatoren. Das sind Merkmale wie Postleitzahl, Geburtsjahr, Geschlecht oder Berufsbezeichnung, die einzeln harmlos wirken, in Kombination aber eine Person eindeutig machen. Das Modell der k-Anonymität verlangt, dass jede Kombination solcher Merkmale in mindestens k Datensätzen vorkommt. Ergänzende Modelle wie l-Diversität und t-Closeness verhindern, dass sensible Merkmale innerhalb einer Gruppe gleichförmig sind und dadurch trotzdem Rückschlüsse erlauben.

Eine Beispielrechnung verdeutlicht das Problem: Ein Bestand von 5.000 Datensätzen enthält 200 Postleitzahlgebiete, 60 Geburtsjahrgänge und 2 Geschlechtsangaben. Das ergibt 24.000 mögliche Kombinationen, also deutlich mehr als Datensätze, sodass sehr viele Gruppen nur einen einzigen Eintrag enthalten. Werden die Postleitzahlen zu 20 Regionen und die Geburtsjahre zu 6 Altersgruppen zusammengefasst, bleiben 240 Kombinationen mit durchschnittlich rund 21 Datensätzen je Gruppe. Entscheidend ist dann nicht der Durchschnitt, sondern die kleinste Gruppe, die weiter vergröbert oder entfernt werden muss.

Anonym ist ein Datensatz nicht deshalb, weil der Name fehlt, sondern weil auch mit realistischem Zusatzwissen niemand mehr herausgegriffen werden kann.

Neben dem Herausgreifen einzelner Personen (Singling out) bewerten Aufsichtsbehörden und europäische Gremien regelmäßig zwei weitere Angriffsarten: die Verknüpfbarkeit mit anderen Datensätzen und die Inferenz, also das Ableiten von Merkmalen aus statistischen Zusammenhängen. Ein belastbarer Anonymisierungsnachweis prüft alle drei Aspekte.

Bedeutung für Art. 25, Art. 32 und weitere Normen

Die DSGVO nennt die Pseudonymisierung an mehreren Stellen ausdrücklich als Schutzmaßnahme. Art. 25 Abs. 1 führt sie als Beispiel für technische und organisatorische Maßnahmen an, mit denen die Datenschutzgrundsätze, insbesondere die Datenminimierung, wirksam umgesetzt werden. Art. 32 Abs. 1 lit. a zählt die Pseudonymisierung und Verschlüsselung personenbezogener Daten zu den Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten sollen.

Weitere Anknüpfungspunkte sind Art. 6 Abs. 4 lit. e (Kriterium bei der Prüfung von Zweckänderungen), Art. 89 Abs. 1 (Garantien für Forschung und Statistik, wobei anonymisierten Daten der Vorrang gebührt, wenn der Zweck damit erreichbar ist) und Art. 34 Abs. 3 lit. a (keine Benachrichtigungspflicht gegenüber Betroffenen, wenn die Daten durch geeignete Vorkehrungen wie Verschlüsselung für Unbefugte unzugänglich sind). Im deutschen Recht verlangt § 27 BDSG für besondere Kategorien personenbezogener Daten, die zu Forschungs- oder Statistikzwecken verarbeitet werden, eine Anonymisierung, sobald der Zweck dies zulässt. Den Verordnungstext der DSGVO auf EUR-Lex finden Sie im Amtsblatt der Europäischen Union, das BDSG unter gesetze-im-internet.de.

Umsetzung in sieben Schritten

Ein strukturiertes Vorgehen verhindert, dass die Entscheidung für ein Verfahren aus dem Bauch heraus getroffen wird. Die folgenden Schritte lassen sich in ein bestehendes Datenschutzmanagement integrieren.

1. Zweck und Datenbedarf klären: Legen Sie fest, welche Analyse, welcher Test oder welche Weitergabe ermöglicht werden soll und welche Merkmale dafür tatsächlich erforderlich sind (Datenminimierung nach Art. 5 Abs. 1 lit. c).
2. Datenbestand inventarisieren und klassifizieren: Unterscheiden Sie direkte Identifikatoren, Quasi-Identifikatoren, sensible Merkmale und unkritische Merkmale und gleichen Sie das Ergebnis mit dem Verzeichnis von Verarbeitungstätigkeiten ab.
3. Zielzustand festlegen: Entscheiden Sie, ob eine Verknüpfbarkeit über das Pseudonym erforderlich ist oder ob eine Auswertung ohne Personenbezug genügt.
4. Verfahren auswählen und konfigurieren: Wählen Sie Tokenisierung, HMAC, Generalisierung, k-Anonymität oder Rauschen und bestimmen Sie Parameter wie den k-Wert oder die Schlüssellänge.
5. Zusatzinformationen trennen und schützen: Verwalten Sie Schlüssel und Zuordnungstabellen in einem getrennten System mit eigenem Berechtigungskonzept, Protokollierung und Vier-Augen-Prinzip.
6. Re-Identifizierungstest durchführen: Prüfen Sie Herausgreifen, Verknüpfbarkeit und Inferenz anhand einer dokumentierten Angriffssimulation mit realistischem Zusatzwissen.
7. Dokumentieren und regelmäßig überprüfen: Halten Sie Entscheidung, Parameter und Restrisiko schriftlich fest und überprüfen Sie diese bei neuen Datenquellen, geänderten Zwecken oder technologischen Entwicklungen.

Typische Stolperfallen

In Audits und Beschwerdeverfahren fallen immer wieder dieselben Fehler auf, die sich mit überschaubarem Aufwand vermeiden lassen.

• Namen entfernt, Datensatz gilt als anonym: Das Löschen direkter Kennungen führt in aller Regel nur zur Pseudonymisierung, solange eindeutige Merkmalskombinationen bestehen.
• Ungesalzene Hashes: Hashwerte von E-Mail-Adressen oder Kundennummern lassen sich häufig durch Ausprobieren umkehren und sind kein wirksamer Schutz.
• Schlüssel im selben System: Liegt die Zuordnungstabelle neben dem Datenbestand oder kontrollieren dieselben Administratoren beides, fehlt die gesonderte Aufbewahrung im Sinne von Art. 4 Nr. 5 DSGVO.
• Einmalige Prüfung: Anonymität wird nicht dauerhaft festgestellt, denn neue Datenquellen und Analysemethoden können Verknüpfungen ermöglichen.
• Freitext und Metadaten: Kommentarfelder, Dateinamen, Zeitstempel, IP-Adressen und Geodaten enthalten häufig versteckte Identifikatoren.
• Ausreißer in kleinen Beständen: Seltene Merkmale, etwa ungewöhnliche Berufe oder Funktionen, machen einzelne Personen auch nach der Generalisierung erkennbar.
• Fehlende Dokumentation: Ohne nachvollziehbare Bewertung lässt sich die Einstufung als anonym gegenüber einer Aufsichtsbehörde nicht belegen.

Checkliste für die Praxis

• Zweck der Datennutzung und erforderliche Merkmale sind schriftlich festgelegt.
• Direkte Identifikatoren, Quasi-Identifikatoren und sensible Merkmale sind klassifiziert.
• Die Entscheidung zwischen Pseudonymisierung und Anonymisierung ist begründet dokumentiert.
• Rechtsgrundlage und Zweckvereinbarkeit für den Anonymisierungsvorgang sind geprüft.
• Schlüssel und Zuordnungstabellen sind getrennt, zugriffsbeschränkt und protokolliert.
• Ein k-Wert oder gleichwertiges Schutzkriterium ist definiert und geprüft.
• Ein Re-Identifizierungstest wurde durchgeführt und das Restrisiko bewertet.
• Wiederholungsprüfung und Verantwortlichkeiten sind im Datenschutzmanagement verankert.

Praxisbeispiel: Testdaten für eine ERP-Migration

Ein mittelständischer Maschinenbauer migriert sein ERP-System und möchte die Migration mit realistischen Daten testen. Die Entwicklungsumgebung wird von einem externen Dienstleister betrieben. Statt Produktivdaten zu kopieren, werden Kundennamen, Ansprechpartner, E-Mail-Adressen und Bankverbindungen durch Tokenisierung ersetzt, Freitextfelder werden maskiert und Geburts- und Eintrittsdaten der Beschäftigten auf Jahre vergröbert. Der Token-Vault verbleibt beim Unternehmen und ist für den Dienstleister nicht erreichbar.

Rechtlich bleibt der Testdatenbestand zunächst pseudonymisiert, weil das Unternehmen die Zuordnung herstellen könnte. Für den Dienstleister kann die Bewertung abweichen, wenn er realistischerweise weder Zugriff auf den Vault noch Zusatzwissen hat. Solange dies nicht zweifelsfrei dokumentiert ist, sollte das Unternehmen vorsorglich einen Vertrag nach Art. 28 DSGVO abschließen. Die Entscheidung samt Begründung gehört in die Dokumentation des Verfahrens.

FAQ

Sind pseudonymisierte Daten noch personenbezogene Daten?
Ja. Nach Erwägungsgrund 26 Satz 2 gelten pseudonymisierte Daten, die durch Hinzuziehung zusätzlicher Informationen einer Person zugeordnet werden könnten, als Informationen über eine identifizierbare natürliche Person. Die DSGVO bleibt daher vollständig anwendbar. Die Pseudonymisierung senkt Risiken und unterstützt die Pflichten aus Art. 25 und 32, ersetzt aber keine Rechtsgrundlage.

Wann sind Daten wirklich anonym?
Wenn unter Berücksichtigung aller Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, eine Identifizierung nicht mehr möglich ist. Praktisch erfordert das eine dokumentierte Risikobewertung zu Herausgreifen, Verknüpfbarkeit und Inferenz sowie eine regelmäßige Überprüfung.

Braucht die Anonymisierung eine Rechtsgrundlage?
Ja, der Vorgang der Anonymisierung ist selbst eine Verarbeitung personenbezogener Daten. Es sind eine Rechtsgrundlage und die Vereinbarkeit mit dem ursprünglichen Zweck zu prüfen. Nach erfolgreicher Anonymisierung unterliegen die entstandenen Daten nicht mehr der DSGVO.

Reicht das Hashing von E-Mail-Adressen aus?
In der Regel nicht. Ungesalzene Hashes lassen sich über Wörterbuchangriffe oft umkehren. Besser geeignet ist ein schlüsselabhängiges Verfahren wie HMAC mit einem getrennt verwahrten Schlüssel, wobei das Ergebnis weiterhin als pseudonymisiert gilt.

Besteht eine Pflicht zur Pseudonymisierung?
Eine allgemeine Pflicht besteht nicht. Art. 25 und Art. 32 DSGVO verlangen jedoch Maßnahmen, die dem Risiko angemessen sind, und nennen die Pseudonymisierung ausdrücklich als mögliche Maßnahme. Bei risikoreichen Verarbeitungen ist sie häufig ein naheliegender Baustein.