Pseudonymisierte Daten lassen sich nur mit Zusatzwissen einer Person zuordnen, etwa über eine getrennt gespeicherte Zuordnungstabelle. Sie bleiben personenbezogene Daten, und die DSGVO gilt weiter (Art. 4 Nr. 5, EG 26 DSGVO). Anonymisierte Daten lassen sich dagegen mit vernünftigem Aufwand keiner Person mehr zuordnen. Für sie gilt die DSGVO nicht. Der Unterschied entscheidet also darüber, ob Sie Datenschutzpflichten haben.
Was ist Pseudonymisierung?
Die DSGVO definiert Pseudonymisierung als Verarbeitung, nach der die Daten ohne zusätzliche Informationen nicht mehr einer bestimmten Person zugeordnet werden können. Diese Zusatzinformationen müssen gesondert aufbewahrt und durch technische und organisatorische Maßnahmen geschützt werden (Art. 4 Nr. 5 DSGVO).
Typisch ist, dass Namen, E-Mail-Adressen oder Personalnummern durch Kennungen ersetzt werden. Wer die Zuordnung kennt, kann die Person jederzeit wieder bestimmen. Deshalb bleiben pseudonymisierte Daten für den Verantwortlichen personenbezogen (EG 26 Satz 2 DSGVO).
Was ist Anonymisierung?
Anonym sind Informationen, die sich nicht auf eine identifizierte oder identifizierbare Person beziehen, oder Daten, die so verändert wurden, dass die Person nicht oder nicht mehr identifiziert werden kann (EG 26 DSGVO). Maßstab sind alle Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die Person zu bestimmen. Dabei zählen Kosten, Zeitaufwand und die verfügbare Technik.
Anonymisierung muss also nicht gegen jede theoretische Möglichkeit schützen. Sie muss aber auch Verknüpfungen mit anderen verfügbaren Datenquellen berücksichtigen.
Was versteht man unter einem Pseudonym?
Ein Pseudonym ist ein Kennzeichen, das an die Stelle eines identifizierenden Merkmals tritt, etwa eine Zufallsnummer statt eines Namens. Im Alltag kennen Sie Pseudonyme als Nutzernamen oder Künstlernamen. Im Datenschutzrecht kommt es darauf an, dass die Zuordnung zwischen Pseudonym und Person getrennt verwahrt und geschützt ist. Ein Nutzername, der den echten Namen enthält, ist kein wirksames Pseudonym.
Übliche Verfahren sind:
- Zuordnungstabelle: Eine Liste verbindet Kennung und Person und liegt getrennt, mit eigenen Zugriffsrechten.
- Schlüsselbasierte Hashfunktion: Aus dem Namen wird mit einem geheimen Schlüssel ein Wert berechnet. Ohne den Schlüssel lässt er sich nicht zurückrechnen.
- Verschlüsselung einzelner Felder: Nur Berechtigte mit dem Schlüssel sehen die Klardaten.
- Tokenisierung: Sensible Werte wie Kartennummern werden durch Platzhalter ersetzt, die ein separater Dienst verwaltet.
Der Unterschied auf einen Blick
| Merkmal | Pseudonymisiert | Anonymisiert |
|---|---|---|
| Personenbezug | bleibt bestehen, über Zusatzwissen herstellbar | mit vernünftigem Aufwand nicht mehr herstellbar |
| DSGVO anwendbar | ja | nein |
| Umkehrbar | ja, für den, der die Zuordnung kennt | nein |
| Typische Technik | Kennnummer statt Name, Hash mit geheimem Schlüssel, Tokenisierung | Aggregation, Generalisierung, Entfernen von Merkmalen, statistisches Rauschen |
| Typischer Einsatz | Forschung, interne Auswertungen, Testdaten mit Rückbezug | Statistiken, Veröffentlichungen, Benchmarks |
Kommt es auf die Sicht des Empfängers an?
Ja, das kann entscheidend sein. Der EuGH hat 2025 entschieden, dass pseudonymisierte Daten nicht in jedem Fall für jede Person personenbezogen sind. Kann ein Empfänger die betroffenen Personen mit den ihm vernünftigerweise verfügbaren Mitteln nicht identifizieren, sind die Daten für ihn unter Umständen keine personenbezogenen Daten. Für den Verantwortlichen, der die Zuordnung kennt, bleiben sie es. Seine Informationspflichten richten sich nach seiner Sicht zum Zeitpunkt der Erhebung (EuGH, Urteil vom 04.09.2025, C-413/23 P, EDSB/SRB).
Schon 2016 hatte der EuGH ähnlich argumentiert: Eine dynamische IP-Adresse ist für einen Website-Betreiber personenbezogen, wenn er rechtliche Mittel hat, die Person über Zusatzwissen des Internetanbieters zu bestimmen (EuGH, Urteil vom 19.10.2016, C-582/14, Breyer).
Für die Praxis heißt das: Geben Sie pseudonymisierte Daten an einen Dienstleister weiter, bleiben Sie selbst voll an die DSGVO gebunden. Ob die Daten beim Empfänger personenbezogen sind, hängt von dessen tatsächlichen Möglichkeiten ab.
Warum sich Pseudonymisierung lohnt
Auch wenn die DSGVO weiter gilt, bringt Pseudonymisierung handfeste Vorteile:
- Sie ist eine ausdrücklich genannte Schutzmaßnahme für Datenschutz durch Technikgestaltung (Art. 25 Abs. 1 DSGVO) und für die Sicherheit der Verarbeitung (Art. 32 Abs. 1 lit. a DSGVO).
- Sie spricht bei der Prüfung einer Zweckänderung für die Vereinbarkeit (Art. 6 Abs. 4 lit. e DSGVO).
- Sie ist eine typische Garantie für Forschung und Statistik (Art. 89 Abs. 1 DSGVO).
- Sie senkt das Risiko bei einer Datenpanne und kann die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO zu Ihren Gunsten beeinflussen.
- Bei sensiblen Daten ist sie eine der Maßnahmen, die § 22 Abs. 2 BDSG nennt.
Der Europäische Datenschutzausschuss hat im Januar 2025 Leitlinien 01/2025 zur Pseudonymisierung veröffentlicht, zunächst zur öffentlichen Konsultation. Sie beschreiben Techniken und Anforderungen an die Trennung der Zusatzinformationen.
Typische Fehler bei der Anonymisierung
- Nur den Namen löschen: Postleitzahl, Geburtsdatum und Geschlecht zusammen reichen oft aus, um eine Person zu erkennen.
- Einfacher Hash: Ein Hash einer E-Mail-Adresse ohne geheimen Schlüssel lässt sich durch Ausprobieren bekannter Adressen zurückrechnen. Das ist allenfalls Pseudonymisierung.
- Kleine Gruppen: Eine Auswertung "Abteilung Recht, weiblich, über 50" betrifft womöglich genau eine Person.
- Freitextfelder: Kommentare und Notizen enthalten oft Namen oder eindeutige Umstände.
- Zuordnungstabelle nicht gelöscht: Solange die Tabelle existiert, sind die Daten nur pseudonymisiert.
Beispiele aus Unternehmen
Mitarbeiterbefragung: Die Antworten werden mit einer Zufalls-ID gespeichert, die Zuordnung liegt beim externen Dienstleister. Ausgewertet werden nur Gruppen ab einer Mindestgröße, zum Beispiel zehn Personen. Die Ergebnisse, die die Geschäftsführung erhält, sind dann regelmäßig anonym.
Testdaten in der Softwareentwicklung: Echte Kundendaten werden vor dem Import in die Testumgebung pseudonymisiert oder durch synthetische Daten ersetzt. So sinkt das Risiko, wenn die Testumgebung schwächer geschützt ist.
Web-Analyse: IP-Adressen werden vor der Speicherung gekürzt. Ob die Daten dadurch anonym werden, hängt davon ab, welche weiteren Merkmale gespeichert werden.
Ist Anonymisieren selbst eine Verarbeitung?
Ja. Nach verbreiteter Auffassung der Aufsichtsbehörden ist das Anonymisieren selbst eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage. Häufig trägt dieselbe Grundlage wie für die ursprüngliche Verarbeitung, weil die Anonymisierung mit dem Zweck vereinbar ist oder der Löschpflicht dient. Dokumentieren Sie Verfahren und Ergebnis, damit Sie nachweisen können, dass die Daten wirklich anonym sind (Art. 5 Abs. 2 DSGVO).
Checkliste
- Zweck festlegen: Brauchen Sie später noch den Personenbezug? Dann pseudonymisieren, sonst anonymisieren.
- Zusatzinformationen getrennt speichern und den Zugriff beschränken.
- Wiedererkennungsrisiko prüfen, auch durch Kombination mit anderen Daten.
- Verfahren im Verzeichnis von Verarbeitungstätigkeiten beschreiben.
- Ergebnis regelmäßig überprüfen, denn neue Datenquellen können anonyme Daten wieder personenbeziehbar machen.
Welche Daten in Ihrem Unternehmen pseudonymisiert oder anonymisiert werden können, lässt sich in einem Datenschutz-Audit klären.