Pseudonymisierung in klinischer Forschung und Versorgungsdaten: Schlüssel, Rollen, Risiken
Klinische Forschung arbeitet mit Daten, die Menschen identifizieren: Patientenakten, Entlassbriefe, Laborbefunde, Bildgebung. Zunehmend kommen Versorgungsdaten (Real-World-Daten) hinzu, die aus der Behandlung für Beobachtungsstudien, Register oder die Nutzenbewertung weiterverwendet werden. Die Technik, mit der Forschende diese Daten nutzen können, ohne Patientinnen und Patienten offenzulegen, und trotzdem einen kontrollierten Rückweg behalten, heißt Pseudonymisierung.
Wichtig vorab: Pseudonymisierte Daten sind weiterhin personenbezogene Daten im Sinne der DSGVO (Art. 4 Nr. 5 und Erwägungsgrund 26). Es ändert sich das Risiko, nicht die Anwendbarkeit des Datenschutzrechts. Die Leitlinien 01/2025 des Europäischen Datenschutzausschusses zur Pseudonymisierung betonen genau das und stellen darauf ab, wer Zugriff auf die zusätzlichen Informationen hat.
Pseudonymisieren ist nicht anonymisieren
| Pseudonymisierung | Anonymisierung | |
|---|---|---|
| Noch personenbezogen? | Ja, für jeden, der sie umkehren kann | Nein, wenn niemand die Person vernünftigerweise identifizieren kann |
| Rückweg zur Person? | Ja, über Zuordnungstabelle oder Schlüssel | Nein |
| Typischer Einsatz | Studien, Kohorten, Längsschnitt, Register | Ergebnisveröffentlichung, offene Daten, Lehre |
| DSGVO-Pflichten | Gelten vollständig, bei geringerem Risiko | Gelten für den Ergebnisdatensatz nicht |
Studien und Kohorten brauchen meist Pseudonymisierung: Visiten müssen verknüpft, unerwünschte Ereignisse an das Zentrum gemeldet und Zufallsbefunde an die Behandelnden zurückgespielt werden. Mehr zum Begriff im Glossar zur Pseudonymisierung.
Der deutsche Rechtsrahmen
- § 27 BDSG erlaubt die Verarbeitung besonderer Kategorien für wissenschaftliche Forschung auch ohne Einwilligung, wenn sie erforderlich ist und die Interessen des Verantwortlichen erheblich überwiegen. Nach Absatz 3 sind die Daten zu anonymisieren, sobald der Forschungszweck es zulässt; bis dahin sind die Merkmale, mit denen Einzelangaben einer Person zugeordnet werden können, gesondert zu speichern und dürfen nur zusammengeführt werden, soweit der Zweck es erfordert.
- Das Gesundheitsdatennutzungsgesetz (GDNG) erlaubt Gesundheitseinrichtungen in § 6, eigene Versorgungsdaten für Qualitätssicherung, Forschung und Statistik weiterzuverarbeiten. Die Daten sind dabei zu pseudonymisieren, zu anonymisieren, sobald möglich, und es braucht ein Rechte- und Rollenkonzept mit Protokollierung.
- § 7 GDNG verbietet Datennutzenden, bereitgestellte Daten zur Herstellung eines Personenbezugs zu verarbeiten; § 9 stellt Verstöße unter Strafe.
- Daneben gelten je nach Konstellation Landeskrankenhausgesetze und Landesdatenschutzgesetze, die Verordnung (EU) 536/2014 über klinische Prüfungen und künftig die Verordnung (EU) 2025/327 zum Europäischen Gesundheitsdatenraum, die stufenweise anwendbar wird.
Für Abrechnungsdaten der gesetzlichen Krankenversicherung gibt es mit dem Forschungsdatenzentrum Gesundheit beim BfArM zudem eine zentrale Stelle, über die berechtigte Forschende pseudonymisierte Daten in einer gesicherten Umgebung auswerten können. Das zeigt das Grundprinzip, das auch für eigene Projekte gilt: Wer mit den Daten rechnet, sieht keine Identitäten, und wer die Identitäten kennt, wertet nicht aus.
Zuordnungsschlüssel und Rollentrennung
Praktisch zerlegt Pseudonymisierung die Daten in zwei Teile: den Forschungsdatensatz, in dem die Identität durch ein Pseudonym ersetzt ist, und die zusätzlichen Informationen (Zuordnungstabelle oder kryptografischer Schlüssel). Wer diesen zweiten Teil verwahrt, entscheidet über die Wirksamkeit.
- Treuhandstelle getrennt vom Forschungsteam, etwa ein Datenintegrationszentrum, eine unabhängige Vertrauensstelle oder die Studienzentrale mit klarer Rollentrennung.
- Bedeutungslose Pseudonyme: zufällig oder mit geheimem Schlüssel erzeugt. Keine Initialen plus Geburtsdatum, keine gekürzte Fallnummer.
- Projektspezifische Pseudonyme, damit Datensätze verschiedener Studien nicht ohne die Treuhandstelle verknüpft werden können.
- Zugriffsschutz, Verschlüsselung und Protokollierung jeder Reidentifizierung mit Anlass.
- Dokumentiertes Verfahren für zulässige Rückmeldungen, etwa bei klinisch relevanten Zufallsbefunden.
Welche Technik passt?
In der Praxis haben sich drei Verfahren bewährt. Zufallspseudonyme mit Zuordnungstabelle sind einfach und gut nachvollziehbar; die Tabelle muss aber wie ein Schlüssel behandelt werden. Schlüsselbasierte Hashfunktionen (etwa HMAC) erzeugen aus einer Kennung immer dasselbe Pseudonym, ohne dass eine Tabelle gespeichert werden muss; ohne den geheimen Schlüssel lässt sich das Pseudonym nicht nachrechnen. Ungeschützte Hashes über Namen oder Geburtsdaten sind dagegen leicht per Wörterbuchangriff umkehrbar. Bei mehrstufigen Projekten, etwa wenn ein Register Daten mehrerer Kliniken zusammenführt, wird häufig doppelt pseudonymisiert: Die Klinik ersetzt die Identität durch ein erstes Pseudonym, die Treuhandstelle dieses durch ein zweites, sodass keine einzelne Stelle beide Seiten kennt.
Wo die Reidentifizierung zurückkommt
Den Namen durch einen Code zu ersetzen, ist der einfache Teil. Das eigentliche Risiko liegt in Quasi-Identifikatoren und vor allem im Freitext.
| Quelle | Beispiel (fiktiv) | Maßnahme |
|---|---|---|
| Exakte Datumsangaben | Aufnahme am 14.03., OP am 16.03. | Datumsverschiebung je Patient oder relative Intervalle |
| Seltene Erkrankungen, Einzelfälle | Einzige Patientin mit dieser Mutation am Standort | Aggregation, Mindestfallzahlen |
| Freitext in Befunden | „Apothekerin im Ort, ihr Bruder ist Bürgermeister“ | Entitätenerkennung und einheitliche Ersetzung im Text |
| Postleitzahl, kleine Standorte | Ortsteil mit wenigen hundert Einwohnern | Auf Kreis oder Region vergröbern |
| Metadaten und Header | Patientenname im DICOM-Header oder in den PDF-Eigenschaften | Metadaten vor der Weitergabe entfernen |
Bewertet wird das Risiko für den gesamten Datensatz und für das, was Empfangende realistischerweise verknüpfen können, nicht Dokument für Dokument. Siehe unseren Glossareintrag zur Reidentifizierung.
Checkliste für das Studienprotokoll
Bevor pseudonymisierte Daten an das Forschungsteam gehen
- Rechtsgrundlage geklärt (Einwilligung, § 27 BDSG, GDNG, Landesrecht) und Votum der Ethikkommission eingeholt.
- Datenschutz-Folgenabschätzung mit ausdrücklicher Bewertung des Reidentifizierungsrisikos.
- Treuhandstelle organisatorisch und technisch vom Forschungsteam getrennt.
- Zufällige oder schlüsselbasierte, möglichst projektspezifische Pseudonyme.
- Datumsangaben, Orte und Freitext behandelt, nicht nur direkte Identifikatoren.
- Verpflichtung auf Vertraulichkeit und Verbot der Reidentifizierung unterschrieben.
Klinische Dokumente mit Anonimatum pseudonymisieren
Viele Versorgungsdaten liegen als Dokumente vor: Entlassbriefe, gescannte Akten, Überweisungen, Prüfbögen. Anonimatum unterstützt eine einheitliche Pseudonymisierung: Jede Patientin, jeder Arzt und jede Einrichtung erhält im ganzen Dokument und, bei gleicher Projektkennung, in allen Dokumenten der Studie denselben Ersatzwert. Datumsangaben lassen sich projektweit um dieselbe Anzahl Tage verschieben, damit Intervalle erhalten bleiben, und die Zuordnungstabelle wird verschlüsselt gespeichert, sodass nur die verwahrende Stelle die Ersetzung rückgängig machen kann. Das passt zur Rollentrennung: Die pseudonymisierende Stelle behält die Tabelle, das Forschungsteam erhält nur die umgewandelten Dokumente.
Die Erkennung kombiniert eigene KI (Namen, Anschriften, Datumsangaben, Organisationen) mit Mustern für E-Mail-Adressen, Telefonnummern und ähnliche Kennungen; eigene reguläre Ausdrücke decken Fallnummern oder lokale Patienten-IDs ab. Scans werden per OCR verarbeitet, alles läuft auf Servern in der Europäischen Union, ohne Texte an externe Sprachmodell-APIs zu senden. Mehr dazu unter Patientenakten anonymisieren.
Häufige Fragen
Fallen pseudonymisierte Daten aus der DSGVO heraus?
Nein. Sie bleiben personenbezogen, alle Pflichten gelten weiter. Pseudonymisierung senkt aber das Risiko und ist als geeignete Garantie für Forschung anerkannt.
Kann die Fallnummer des Krankenhauses als Pseudonym dienen?
Davon ist abzuraten. Wer Zugriff auf das Krankenhausinformationssystem hat, kann sie zurückführen. Pseudonyme sollten zufällig oder mit einem geheimen Schlüssel erzeugt werden, den eine Stelle außerhalb des Forschungsteams verwahrt.
Was verlangt § 27 Abs. 3 BDSG konkret?
Anonymisierung, sobald der Forschungszweck es erlaubt, und bis dahin die getrennte Speicherung der identifizierenden Merkmale, die nur bei Bedarf mit den Einzelangaben zusammengeführt werden dürfen.
Dürfen Forschende pseudonymisierte Daten selbst reidentifizieren?
Nein, das ist gerade nicht ihre Rolle. Nach dem GDNG ist es Datennutzenden ausdrücklich untersagt, einen Personenbezug herzustellen, und Verstöße sind strafbar. Notwendige Rückmeldungen an Patientinnen und Patienten laufen über die Stelle, die den Schlüssel verwahrt.