Pseudonymisierung: Identitäten ersetzen, Zusammenhänge erhalten

Was Art. 4 Nr. 5 DSGVO sagt

Die DSGVO definiert Pseudonymisierung als Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die die Zuordnung verhindern.

Es gibt also zwei Bestandteile: die umgewandelten Daten (das Pseudonym) und die zusätzlichen Informationen, mit denen sich der Bezug wiederherstellen lässt, etwa eine Zuordnungstabelle oder ein geheimer Schlüssel. Liegen diese neben dem Dokument, ist das keine wirksame Pseudonymisierung, sondern nur eine Umbenennung.

Warum die Daten personenbezogen bleiben

Erwägungsgrund 26 DSGVO ist eindeutig: Pseudonymisierte Daten, die durch Heranziehung zusätzlicher Informationen einer Person zugeordnet werden könnten, sind als Informationen über eine identifizierbare Person zu betrachten. Für die Stelle mit der Tabelle gelten alle Pflichten weiter: Rechtsgrundlage, Information, Betroffenenrechte und Sicherheit.

Eine Präzisierung brachte das Urteil C-413/23 P (EDSB gegen SRB, 4. September 2025): Der Gerichtshof erkannte an, dass pseudonymisierte Daten für einen Empfänger ohne vernünftige Mittel zur Re-Identifizierung keine personenbezogenen Daten sein müssen. Für den pseudonymisierenden Verantwortlichen bleiben sie es aber, einschließlich der Pflicht, über Empfänger zu informieren.

Eine Garantie, die die DSGVO mehrfach nennt

Eine allgemeine Pflicht zur Pseudonymisierung kennt die DSGVO nicht, sie nennt sie aber an mehreren Stellen als Beispiel einer geeigneten Maßnahme:

• Art. 25: Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.
• Art. 32: Sicherheit der Verarbeitung, neben der Verschlüsselung.
• Art. 6 Abs. 4: Kriterium für die Vereinbarkeit einer Weiterverarbeitung.
• Art. 89: Garantien für Archiv-, Forschungs- und Statistikzwecke.

Im Januar 2025 hat der Europäische Datenschutzausschuss die Leitlinien 01/2025 zur Pseudonymisierung als Fassung für die öffentliche Konsultation angenommen. Sie führen die Pseudonymisierungsdomäne ein: den Kreis von Personen oder Stellen, gegenüber denen das Pseudonym die Zuordnung verhindern soll.

Beispiele für Pseudonymisierung in Dokumenten

In Dokumenten ist die konsistente Ersetzung die nützlichste Technik: Jede Person erhält im ganzen Text, und bei Stapelverarbeitung im ganzen Stapel, immer dasselbe Pseudonym.

Weitere Techniken sind Zähler, Zufallszahlen oder Hashing mit geheimem Schlüssel. Ein häufiger Fehler ist Hashing ohne geheimen Schlüssel bei einer Kennnummer mit bekanntem Format, etwa einer Steuer-ID oder Personalnummer: Alle möglichen Werte lassen sich durchrechnen und zuordnen. Zudem können indirekte Merkmale wie Funktion, Adresse oder Datum die Person weiterhin verraten.

Praktisch bewährt hat sich, vor der Pseudonymisierung festzulegen, wer die Zuordnungstabelle verwalten darf, wo sie liegt und wann sie gelöscht wird. Wird die Tabelle später vernichtet, sind die Daten damit nicht automatisch anonym: Ob dann noch ein Personenbezug besteht, muss nach dem Maßstab der vernünftigerweise einsetzbaren Mittel neu geprüft werden. Gerade in Fließtexten bleiben oft Details zurück, die eine Person für Kolleginnen, Nachbarn oder die Presse erkennbar machen.

Pseudonymisieren mit Anonimatum

Die Pseudonymisierung in Anonimatum erkennt personenbezogene Daten mit eigener KI auf EU-Servern und ersetzt sie konsistent anhand von Profilen, etwa einem Profil „Justiz“ für Entscheidungen. Die Zuordnungstabelle wird verschlüsselt gespeichert und erlaubt bei Bedarf die Rückführung. Zur Wahl zwischen beiden Verfahren hilft der Vergleich Anonymisieren oder Pseudonymisieren.