Pseudonymisierung bezeichnet eine Verarbeitung, bei der personenbezogene Daten ohne zusätzliche Informationen keiner bestimmten Person mehr zugeordnet werden können, sofern die Zusatzinformationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die eine Zuweisung zu einer identifizierbaren Person verhindern.
Auf einen Blick
Pseudonymisierte Daten sind laut EDPB nach wie vor personenbezogene Daten und unterliegen der DSGVO.
Anonym sind nach Erwägungsgrund 26 Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen; pseudonymisierte Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten dagegen als Informationen über eine identifizierbare natürliche Person betrachtet werden.
Nach Art. 4 Nr. 5 DSGVO setzt Pseudonymisierung voraus, dass die Zusatzinformationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.
Was ist Pseudonymisierung?
Pseudonymisierung kann in der Praxis bedeuten, dass Angaben wie Name, Vorname oder Telefonnummer in einem Datensatz durch einen Alias oder eine fortlaufende Nummer ersetzt werden. Art. 4 Nr. 5 DSGVO knüpft die fehlende Zuordnung ohne Zusatzinformationen an eine Bedingung: Die zusätzlichen Informationen werden gesondert aufbewahrt und unterliegen technischen und organisatorischen Maßnahmen, die gewährleisten, dass die Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden. Nach Erwägungsgrund 26 sollten bei der Frage, ob eine natürliche Person identifizierbar ist, alle Mittel berücksichtigt werden, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern.
Verarbeitet ein Versicherer Schadendaten so, dass sie ohne die gesondert aufbewahrte und technischen und organisatorischen Maßnahmen unterliegende Zuordnung keiner Person mehr zuzuordnen sind, sind sie pseudonymisiert, bleiben aber Informationen über eine identifizierbare natürliche Person. Nach Erwägungsgrund 26 sollten die Grundsätze des Datenschutzes nicht für anonyme Informationen gelten, das heißt für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Wie funktioniert Pseudonymisierung?
Bei pseudonymisierten Daten kann nach dem BfDI der berechtigte Inhaber der zusätzlichen Informationen mit diesen den Personenbezug wiederherstellen. Bei anonymen Daten ist die Wiederherstellung des Personenbezugs nach dem BfDI dagegen für jedermann zumindest praktisch unmöglich. Die Anwendung der Pseudonymisierung kann nach den Erwägungsgründen der DSGVO die Risiken für die betroffenen Personen senken und die Verantwortlichen und die Auftragsverarbeiter bei der Einhaltung ihrer Datenschutzpflichten unterstützen.
Nach Auffassung der Datenschutzkonferenz bleibt der Personenbezug pseudonymisierter Daten erhalten, wenn der Verantwortliche weiterhin in der Lage ist, die betroffenen Personen zu identifizieren. Beruht die Verarbeitung zu einem anderen Zweck nicht auf der Einwilligung der betroffenen Person oder auf einer in Art. 6 Abs. 4 DSGVO genannten Rechtsvorschrift, berücksichtigt der Verantwortliche bei der Prüfung der Vereinbarkeit unter anderem das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann. Bei ordnungsgemäßer Umsetzung der Anonymisierung gilt die DSGVO nach dem EDPB nicht mehr für die anonymisierten Daten, während pseudonymisierte Daten nach wie vor personenbezogene Daten sind und der DSGVO unterliegen.
Pseudonymisierung im Vergleich
| Kriterium | Pseudonymisierung | Anonymisierung |
|---|---|---|
| Wiederherstellung des Personenbezugs | Nach dem BfDI kann der berechtigte Inhaber der zusätzlichen Informationen den Personenbezug mit diesen wiederherstellen. | Nach dem BfDI ist die Wiederherstellung des Personenbezugs für jedermann zumindest praktisch unmöglich. |
| Einordnung nach Erwägungsgrund 26 | Pseudonymisierte Daten, die durch zusätzliche Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden. | Die Grundsätze des Datenschutzes sollten nicht für anonyme Informationen gelten, das heißt für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen. |
| Maßstab der Identifizierbarkeit | Nach Erwägungsgrund 26 sollten alle Mittel berücksichtigt werden, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, um die natürliche Person direkt oder indirekt zu identifizieren. | Nach Erwägungsgrund 26 sind das personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. |
Woran erkenne ich, ob eine Pseudonymisierung vorliegt?
| Merkmal | Worauf es ankommt |
|---|---|
| Keine Zuordnung ohne Zusatzinformationen | Die Daten können ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden, sofern die Merkmale der folgenden Zeilen erfüllt sind. |
| Zusatzinformationen gesondert aufbewahrt | Die zusätzlichen Informationen, mit denen die Daten einer Person zugeordnet werden könnten, werden gesondert aufbewahrt. |
| Maßnahmen für die Zusatzinformationen | Technische und organisatorische Maßnahmen gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden. |
| Ergebnis: weiterhin personenbezogen | Nach Erwägungsgrund 26 sollten pseudonymisierte Daten, die durch zusätzliche Informationen einer natürlichen Person zugeordnet werden könnten, als Informationen über eine identifizierbare natürliche Person betrachtet werden. |
Schutz im Ernstfall
Vorbeugen
- Die zusätzlichen Informationen, mit denen sich eine Zuordnung zu einer Person herstellen ließe, gesondert aufbewahren (Art. 4 Nr. 5 DSGVO).
- Die zusätzlichen Informationen technischen und organisatorischen Maßnahmen unterwerfen, die gewährleisten, dass die Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden (Art. 4 Nr. 5 DSGVO).
- Bei der Prüfung, ob eine natürliche Person identifizierbar ist, sollten nach Erwägungsgrund 26 alle Mittel berücksichtigt werden, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, wie beispielsweise das Aussondern; pseudonymisierte Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten nach Erwägungsgrund 26 als Informationen über eine identifizierbare natürliche Person betrachtet werden.
Beispiele aus der Praxis
- In einem Datensatz ersetzt eine fortlaufende Nummer die persönliche Nummer, während die zusätzlichen Informationen, mit denen sich die Zuordnung herstellen ließe, gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen.
- Eine Auswertung nutzt statt des Namens einen Alias; lassen sich die Daten ohne zusätzliche Informationen keiner bestimmten betroffenen Person mehr zuordnen, bleiben sie dennoch nach dem EDPB nach wie vor personenbezogen.
- Ein Versicherer ersetzt in Schadendaten die Namen durch Kennungen; eine Pseudonymisierung nach Art. 4 Nr. 5 DSGVO setzt zudem voraus, dass die Zuordnung gesondert aufbewahrt wird und technischen und organisatorischen Maßnahmen unterliegt. Solche Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten nach Erwägungsgrund 26 DSGVO als Informationen über eine identifizierbare natürliche Person betrachtet werden.
