Datenschutz-Folgenabschätzung (DSFA) für ein Projekt zur Anonymisierung von Dokumenten

Dokumente zu anonymisieren klingt nach einer Schutzmaßnahme, nicht nach einem Risiko. Doch die Anonymisierung ist selbst eine Verarbeitung personenbezogener Daten: Jemand – oder ein Werkzeug – muss vollständige Urteile, Patientenakten, Verwaltungsvorgänge oder Gehaltsabrechnungen lesen, um zu entscheiden, was entfernt wird, oft mit KI und in großem Umfang. Wird das Ergebnis veröffentlicht oder weitergegeben, legt ein Fehler Daten dauerhaft offen. Deshalb brauchen viele Anonymisierungsprojekte eine Datenschutz-Folgenabschätzung (DSFA). Dieser Beitrag zeigt, wann sie Pflicht ist und wie Sie sie Schritt für Schritt durchführen.

Braucht Ihr Projekt eine DSFA?

Art. 35 DSGVO verlangt eine DSFA, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, insbesondere bei Verwendung neuer Technologien. Die Leitlinien WP248 rev.01, vom Europäischen Datenschutzausschuss bestätigt, nennen neun Kriterien; sind zwei oder mehr erfüllt, ist in der Regel eine DSFA nötig. Anonymisierungsprojekte erfüllen oft mehrere zugleich:

• Sensible oder höchstpersönliche Daten: Gesundheit, Strafverfahren, Kinder, Opfer, finanzielle Verhältnisse.
• Umfangreiche Verarbeitung: ganze Archive, Tausende Entscheidungen, historische Bestände.
• Innovative Technologie: automatische Erkennung personenbezogener Daten mit KI.
• Schutzbedürftige Betroffene: Patienten, Kinder, Verfahrensbeteiligte, Beschäftigte.
• Zusammenführung von Datenbeständen: wenn das anonymisierte Dokument veröffentlicht und mit anderen Quellen verknüpft werden kann.

Die Datenschutzkonferenz hat nach Art. 35 Abs. 4 DSGVO eine Muss-Liste der Verarbeitungen veröffentlicht, für die stets eine DSFA durchzuführen ist; der BfDI stellt ergänzend eigene Hinweise und Listen zur DSFA bereit. Auch wenn Sie zu dem Ergebnis kommen, dass keine DSFA erforderlich ist: Dokumentieren Sie die Schwellwertanalyse, denn die Rechenschaftspflicht (Art. 5 Abs. 2) verlangt eine nachvollziehbare Begründung. Eine Kurzdefinition finden Sie im Glossar unter Folgenabschätzung.

Schritt 1: Verarbeitung und Umfang beschreiben

Art. 35 Abs. 7 legt den Mindestinhalt fest: systematische Beschreibung der Verarbeitung und ihrer Zwecke, Bewertung von Notwendigkeit und Verhältnismäßigkeit, Risikobewertung und geplante Abhilfemaßnahmen. Für ein Anonymisierungsprojekt sollte die Beschreibung diese Fragen genau beantworten:

• Welche Dokumente: Arten (Urteile, Arztbriefe, Verträge), Formate (natives PDF, Scans, Word, E-Mails mit Anhängen) und geschätztes Volumen.
• Wozu: Veröffentlichung, Informationszugang nach IFG, Weitergabe an Forschende, Übermittlung an Dritte, Nachnutzung für Modelltraining, Archivierung.
• Welches Ergebnis: irreversible Anonymisierung oder umkehrbare Pseudonymisierung. Das ist nicht dasselbe: Pseudonymisierte Daten bleiben personenbezogen.
• Wer beteiligt ist: Prüfteam, Anbieter des Werkzeugs (Auftragsverarbeiter), Empfänger des Ergebnisses.
• Wo und wie lange: Serverstandort, Aufbewahrung der Originale, der anonymisierten Fassungen und der Zuordnungstabellen.

Unter Notwendigkeit und Verhältnismäßigkeit erklären Sie, warum es nicht genügt, weniger zu veröffentlichen, und warum das gewählte Anonymisierungsniveau zum Zweck passt. Holen Sie den Rat der oder des Datenschutzbeauftragten ein; Art. 35 Abs. 2 schreibt das vor, sofern eine solche Person benannt ist.

Schritt 2: Anonymisierungsspezifische Risiken erkennen

Allgemeine Risiken wie unbefugter Zugriff oder Datenpannen bleiben bestehen, doch ein Anonymisierungsprojekt hat eigene Risiken, die die DSFA benennen sollte. Die Tabelle ist beispielhaft; Eintrittswahrscheinlichkeit und Schwere hängen vom Kontext ab:

Vergessen Sie nicht das umgekehrte Risiko: Zu starke Schwärzung kann ein veröffentlichtes Urteil oder einen Forschungsdatensatz unbrauchbar machen. Das ist kein Datenschutzrisiko, gefährdet aber den Zweck, und die DSFA sollte die Abwägung begründen. Beim Risiko der Re-Identifizierung lohnt es sich, konkret zu werden: Mit welchen öffentlichen Quellen ließe sich das Dokument verknüpfen, und wer hätte ein Interesse daran?

Schritt 3: Maßnahmen und Restrisiko

Beschreiben Sie für jedes Risiko die technischen und organisatorischen Maßnahmen und bewerten Sie das verbleibende Risiko. Diese Maßnahmen machen meist den Unterschied:

Unsere Checkliste zur DSGVO-konformen Anonymisierung hilft, keine Kontrolle zu vergessen. Ist das Restrisiko vertretbar, endet die DSFA mit der Freigabe durch den Verantwortlichen und einem Überprüfungsplan.

Schritt 4: Ist eine vorherige Konsultation nötig?

Art. 36 DSGVO verlangt, die Aufsichtsbehörde vor Beginn der Verarbeitung zu konsultieren, wenn die DSFA ein hohes Risiko ergibt, das sich nicht ausreichend eindämmen lässt. Zuständig ist je nach Stelle der BfDI oder die Landesdatenschutzbehörde. Die Behörde hat bis zu acht Wochen Zeit, bei komplexen Verarbeitungen verlängerbar um sechs Wochen. In der Praxis sollte ein gut geplantes Anonymisierungsprojekt selten so weit kommen: Ein hohes Restrisiko zeigt meist, dass Maßnahmen verstärkt werden müssen – mehr Prüfung, weniger veröffentlichte Daten, stärkere Generalisierung. Ist die Konsultation dennoch nötig, reichen Sie die vollständige DSFA und die Angaben nach Art. 36 Abs. 3 ein.

Was Anonimatum zur DSFA beiträgt

Die Wahl des Werkzeugs ist Teil der DSFA. Anonimatum erleichtert den Nachweis mehrerer der genannten Maßnahmen: Die eigene KI läuft auf Servern in der Europäischen Union, ohne den Text an externe Sprachmodell-APIs zu senden; KI- und Mustererkennung werden kombiniert; vor dem Anwenden ist eine Vorschau mit menschlicher Prüfung vorgesehen; die Schwärzung entfernt den Inhalt, Metadaten lassen sich löschen; Zuordnungstabellen der Pseudonymisierung werden verschlüsselt gespeichert; das Gruppen-Dashboard enthält ein Audit-Protokoll. Politeia Soft ist nach dem spanischen Sicherheitsstandard ENS (Stufe mittel) zertifiziert, Anonimatum eingeschlossen; mehr auf unserer Seite zur Sicherheit. Vergleichen Sie die Tarife und starten Sie online.