Checkliste · DSGVO-Checkliste
Checkliste: Dokumente DSGVO-konform anonymisieren
Anonimatum-Team
Kurz gesagt
Eine Checkliste in drei Phasen (vorher, während, danach), um Dokumente nachvollziehbar zu anonymisieren, jede Entscheidung zu dokumentieren und sie gegenüber der Aufsichtsbehörde nach der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO belegen zu können.
Ein Dokument zu anonymisieren heißt nicht, Namen mit einem schwarzen Balken zu überdecken. Die DSGVO ist erst dann nicht mehr anwendbar, wenn eine Person unter Berücksichtigung aller Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, nicht mehr identifizierbar ist (Erwägungsgrund 26). Dazu gehören indirekte Identifikatoren, Metadaten und versteckter Text.
Diese Checkliste fasst zusammen, was in jeder Phase zu prüfen ist. Sie richtet sich an Teams, die Bescheide, Akten, Gutachten oder Verträge vor der Veröffentlichung oder Weitergabe schwärzen, und endet mit einer Vorlage für ein Entscheidungsprotokoll.
Vorher: Zweck, Rechtsgrundlage und Risiko
Die Anonymisierung ist selbst eine Verarbeitung personenbezogener Daten; der BfDI hat das in seinem Positionspapier zur Anonymisierung betont. Halten Sie deshalb vor dem ersten Dokument fest, wozu anonymisiert wird, wer das Ergebnis erhält und welches Restrisiko einer Re-Identifizierung in diesem Kontext vertretbar ist.
Vor dem Start
- Der Zweck ist schriftlich festgelegt (Veröffentlichung, Weitergabe an Dritte, Forschung, Schulung …).
- Die Rechtsgrundlage der ursprünglichen Verarbeitung ist bekannt und die Vereinbarkeit der Anonymisierung geprüft.
- Es ist geprüft, ob die Verarbeitung insgesamt eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordert, etwa bei umfangreicher Verarbeitung besonderer Kategorien.
- Es ist entschieden, ob Pseudonymisierung genügt (umkehrbar, weiterhin personenbezogen) oder eine irreversible Anonymisierung nötig ist.
- Für diesen Dokumenttyp gibt es eine Liste direkter und indirekter Identifikatoren.
- Der Grundsatz der Datenminimierung ist angewendet: Was für den Zweck nicht nötig ist, kommt heraus, auch wenn es kein Name ist.
- Eine verantwortliche Person und eine zweite prüfende Person sind benannt.
Indirekte Identifikatoren, die oft übersehen werden
- Einmalige Funktionen („die Leiterin der einzigen Grundschule im Ort“), Verwandtschaftsverhältnisse, Spitznamen.
- Genaue Geburts-, Aufnahme-, Unfall- oder Kündigungsdaten in Verbindung mit einem Ort.
- Anschriften, Flurstücke, Kfz-Kennzeichen, Akten- oder Versicherungsnummern.
- Sehr konkrete Beträge, etwa eine ungewöhnliche Abfindung.
- Unterschriften, Stempel, QR-Codes und Prüfcodes, die auf das Original verweisen.
- Inhalte in Kopf- und Fußzeilen, Kommentaren, Änderungsverfolgung und Dateieigenschaften.
Während: Methode, Whitelist und Konsistenz
Faustregel: Gleiches gleich behandeln. Taucht „Max Müller“ (fiktiv) auf Seite 2 als „Herr Müller“ und auf Seite 14 als „M. M.“ auf, müssen alle drei Nennungen geschwärzt oder durch dasselbe Pseudonym ersetzt werden. Das Vorgehen sollte dokumentiert und wiederholbar sein, nicht von der Tagesform abhängen.
Während der Bearbeitung
- Die Technik ist gewählt und begründet: Entfernen (irreversible Schwärzung), Generalisieren (Jahr statt vollständigem Datum) oder konsistentes Ersetzen.
- Eine Whitelist legt fest, was sichtbar bleibt (Name der Behörde, Amtsträger in dienstlicher Funktion, zitierte Normen).
- Alle Varianten eines Namens werden im ganzen Dokument und in allen Dokumenten derselben Akte gleich behandelt.
- Besondere Kategorien (Gesundheit, ethnische Herkunft, sexuelle Orientierung, Weltanschauung, genetische oder biometrische Daten) und Daten über Straftaten werden besonders sorgfältig geprüft.
- Gescannte Dokumente durchlaufen vor der Suche eine Texterkennung (OCR); was die OCR nicht liest (Handschrift, Stempel), wird über Bereiche geschwärzt.
- Bilder, Diagramme und eingebettete Tabellen werden zusätzlich zum Fließtext geprüft.
- Die Schwärzung entfernt den Inhalt darunter; keine aufgelegten schwarzen Rechtecke, kein weißer Text.
Danach: Prüfung und Rechenschaftspflicht
Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Einhaltung der Grundsätze nachweisen können. Praktisch heißt das: Die Endfassung wird mit einfachen, aber systematischen Tests geprüft, und Grenzfälle werden mit Begründung festgehalten.
Abschlussprüfung
- Suchtest: Namen, Kennnummern und E-Mail-Adressen aus der Liste werden in der Enddatei gesucht und nicht gefunden.
- Kopiertest: Der Text unter jeder Schwärzung wird markiert und in einen Editor eingefügt; es erscheint nichts.
- Metadaten entfernt: Autor, Titel, Versionsverlauf, Kommentare, frühere Fassungen (siehe Metadaten aus einem PDF entfernen).
- Der Dateiname enthält keine personenbezogenen Daten („Widerspruch_Mueller_Max.pdf“ verrät, was der Inhalt verbirgt).
- Eine zweite Person hat je nach Risiko eine Stichprobe oder das gesamte Dokument geprüft.
- Das verbleibende Re-Identifizierungsrisiko wurde mit öffentlich verfügbaren Informationen abgeglichen.
- Entscheidungen sind protokolliert; das Original wird zugriffsbeschränkt aufbewahrt oder fristgerecht gelöscht.
Vorlage: Entscheidungsprotokoll
Drucken Sie die Tabelle aus oder übernehmen Sie sie in Ihre Nachverfolgung. Die Beispiele sind fiktiv; entscheidend ist, dass jede Zeile festhält, was getan wurde, warum und wer es geprüft hat.
| Datum | Dokument oder Stapel | Angabe oder Kategorie | Entscheidung | Begründung | Verantwortlich / Prüfer |
|---|---|---|---|---|---|
| 03.11.2026 | Bescheid 45/2026 | Name des Widerspruchsführers | Schwärzen | Privatperson ohne öffentliche Rolle | A. M. / L. R. |
| 03.11.2026 | Bescheid 45/2026 | Name der unterzeichnenden Referatsleitung | Belassen | Handelt in dienstlicher Funktion | A. M. / L. R. |
| 04.11.2026 | Stapel Arztbriefe | Aufnahmedatum | Auf Monat und Jahr generalisieren | Für Studie nötig; genaues Datum identifiziert | P. S. / L. R. |
| 04.11.2026 | Stapel Arztbriefe | Diagnose | Belassen | Forschungszweck; Rest anonymisiert | P. S. / DSB |
Wie Anonimatum diese Checkliste unterstützt
Anonimatum kombiniert eine eigene KI auf Servern in der EU mit Mustern für Kennnummern, IBAN oder Telefonnummern, einer Whitelist und manuellen Bereichen. Eine Vorschau erlaubt die menschliche Prüfung, bevor die irreversible Schwärzung angewendet wird. Dazu kommen OCR für Scans, das Entfernen von Metadaten, konsistente Pseudonymisierung und ein Audit-Protokoll pro Gruppe. Das ersetzt weder die menschliche Prüfung noch Ihr Entscheidungsprotokoll, beschleunigt aber beides. Mehr dazu beim PDF-Anonymisierer.
Häufige Fragen
Gilt die DSGVO für ein anonymisiertes Dokument noch?
Wenn die Anonymisierung wirksam ist und niemand mit vernünftigerweise einsetzbaren Mitteln identifiziert werden kann, nein. Nur pseudonymisierte Daten, etwa Namen, die per Zuordnungstabelle durch Codes ersetzt wurden, bleiben personenbezogen.
Brauche ich für die Anonymisierung eine Datenschutz-Folgenabschätzung?
Nicht immer. Maßgeblich ist die Verarbeitung insgesamt: Bei der Veröffentlichung sensibler Daten oder umfangreicher Verarbeitung von Gesundheitsdaten ist sie oft erforderlich. Art. 35 DSGVO und das Kurzpapier Nr. 5 der DSK helfen bei der Einschätzung.
Reichen Initialen statt des Namens?
Meist nicht. Initialen zusammen mit Funktion, Datum oder Ort lassen oft auf die Person schließen. Sicherer ist es, den Namen zu entfernen oder ein neutrales Pseudonym zu verwenden und den Kontext zu prüfen.
Wer sollte die Anonymisierung prüfen?
Eine andere Person als die bearbeitende, mindestens stichprobenartig. Bei Veröffentlichungen oder sensiblen Daten empfiehlt sich eine vollständige Prüfung.
Checkliste schneller umsetzen
Sehen Sie sich die Tarife an und starten Sie mit KI-Erkennung, Prüfung vor dem Anwenden und Audit-Protokoll für Ihre Datenschutzbeauftragten.