Checkliste für Datenschutzbeauftragte: Dokumentenanonymisierung in 15 Punkten

Als Datenschutzbeauftragte bzw. Datenschutzbeauftragter müssen Sie bei der Bewertung eines Anonymisierungsprozesses technische, rechtliche und organisatorische Aspekte prüfen. Mit dieser Checkliste aus 15 Punkten können Sie jeden Anonymisierungsablauf – manuell oder automatisiert – auditieren und Risiken erkennen, bevor daraus Vorfälle oder Bußgelder werden.

Technische Bewertung

• Ist die Anonymisierung irreversibel? Wurde sie mit Re-Identifizierungsversuchen getestet?
• Wird der zugrunde liegende Inhalt des PDFs entfernt oder nur die sichtbare Ebene?
• Werden die Metadaten der Datei bereinigt (Autor, Versionsverlauf, verborgene Kommentare)?
• Erkennt das Tool alle relevanten Arten personenbezogener Daten (Ausweisnummer, Telefon, E-Mail, IBAN, Adresse)?
• Wird für jede Verarbeitung die verwendete Modell- oder Tool-Version protokolliert?

Rechtliche und organisatorische Bewertung

• Gibt es eine dokumentierte Rechtsgrundlage für die Verarbeitung vor der Anonymisierung?
• Wurde eine DSFA durchgeführt, wenn die Verarbeitung KI oder sensible Daten betrifft?
• Enthält der Auftragsverarbeitungsvertrag (falls zutreffend) Klauseln zur Anonymisierung?
• Gibt es ein Protokoll für die menschliche Prüfung von Dokumenten mit hohem Risiko?
• Werden die Originale mit eingeschränktem Zugriff und festgelegter Aufbewahrungsfrist verwahrt?

Bewertung der Infrastruktur

Nächste Schritte

Wenn ein Punkt dieser Checkliste nicht erfüllt ist, priorisieren Sie die Korrekturmaßnahmen nach Risiko: zuerst die technische Irreversibilität, dann den Verarbeitungsort und schließlich die organisatorische Dokumentation. Ein gut auditierter Anonymisierungsprozess ist Ihre beste Verteidigung bei einer Prüfung durch die Aufsichtsbehörde.