Anonymisierung ist ein Vorgang, der darauf gerichtet ist, den Personenbezug von Daten aufzuheben, sodass die betroffene Person nicht oder nicht mehr identifiziert werden kann; anonyme Informationen beziehen sich auf keine identifizierte oder identifizierbare Person.
Auf einen Blick
Nach Erwägungsgrund 26 DSGVO sollten für die Identifizierbarkeit alle Mittel berücksichtigt werden, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt.
Pseudonymisierte Daten, die durch zusätzliche Informationen einer Person zugeordnet werden könnten, sollten nach Erwägungsgrund 26 DSGVO als Informationen über eine identifizierbare natürliche Person betrachtet werden.
Nach Auffassung des BfDI in einem Positionspapier stellt die Anonymisierung eine Verarbeitung dar und bedarf als solche einer Rechtsgrundlage.
Was ist Anonymisierung?
Für anonyme Informationen sollten die Grundsätze des Datenschutzes nach Erwägungsgrund 26 DSGVO nicht gelten. Anonyme Informationen sind nach diesem Erwägungsgrund solche, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Die Verordnung betrifft die Verarbeitung solcher anonymer Daten somit nicht, auch nicht für statistische oder für Forschungszwecke.
Prüft ein Versicherer, ob weitergegebene Schadendaten anonymisiert sind, sollten nach Erwägungsgrund 26 DSGVO alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die Person direkt oder indirekt zu identifizieren. Nach Erwägungsgrund 26 DSGVO sollten dafür alle Mittel berücksichtigt werden, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, um die Person direkt oder indirekt zu identifizieren, beispielsweise das Aussondern. Als objektive Faktoren sollten unter anderem die Kosten der Identifizierung und der erforderliche Zeitaufwand herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind.
Wie funktioniert Anonymisierung?
Anonymisierung wirkt über ihr Ergebnis: Entscheidend ist, ob die betroffene Person nach der Veränderung nicht oder nicht mehr identifiziert werden kann. Laut Positionspapier des BfDI ist in der Regel ausreichend, dass der Personenbezug derart aufgehoben wird, dass eine Re-Identifizierung praktisch nicht durchführbar ist. Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Nach Auffassung des BfDI stellt die Anonymisierung selbst eine Verarbeitung dar und bedarf als solche einer Rechtsgrundlage.
Eine Pseudonymisierung ist keine Anonymisierung. Nach Art. 4 Nr. 5 DSGVO können die Daten dabei ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden. Pseudonymisierte Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten nach Erwägungsgrund 26 DSGVO als Informationen über eine identifizierbare natürliche Person betrachtet werden.
Anonymisierung im Vergleich
| Kriterium | Anonymisierung | Pseudonymisierung |
|---|---|---|
| Zuordnung zu einer Person | Die betroffene Person kann nicht oder nicht mehr identifiziert werden | Ohne Hinzuziehung zusätzlicher Informationen ist keine Zuordnung zu einer spezifischen Person möglich, sofern diese Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden (Art. 4 Nr. 5 DSGVO) |
| Einordnung nach Erwägungsgrund 26 | Die Grundsätze des Datenschutzes sollten nicht für anonyme Informationen gelten | Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden |
| Einordnung als Verarbeitung | Nach dem BfDI selbst eine Verarbeitung, die als solche einer Rechtsgrundlage bedarf | Nach Art. 4 Nr. 5 DSGVO die Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden |
Anonymisierung prüfen: Wann ist eine Person nicht mehr identifizierbar?
| Prüfpunkt | Worauf es ankommt |
|---|---|
| Mittel der Identifizierung | Sollten alle Mittel berücksichtigt werden, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, um die Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. |
| Objektive Faktoren | Sollten unter anderem die Kosten der Identifizierung und der erforderliche Zeitaufwand herangezogen werden; zu berücksichtigen sind die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen. |
| Ergebnis | Die Grundsätze des Datenschutzes sollten nicht für personenbezogene Daten gelten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. |
| Praktische Durchführbarkeit | Laut Positionspapier des BfDI ist in der Regel ausreichend, dass der Personenbezug derart aufgehoben wird, dass eine Re-Identifizierung praktisch nicht durchführbar ist. |
Schutz im Ernstfall
Vorbeugen
- Vor der Weitergabe prüfen, ob die betroffene Person mit den Mitteln, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, noch identifiziert werden kann; nach Erwägungsgrund 26 DSGVO sollten dabei alle diese Mittel berücksichtigt werden.
- Kosten der Identifizierung, erforderlichen Zeitaufwand, die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen in die Prüfung einbeziehen; nach Erwägungsgrund 26 DSGVO sollten objektive Faktoren dieser Art herangezogen werden.
- Pseudonymisierte Daten nicht als anonym behandeln: Wenn sie durch zusätzliche Informationen einer natürlichen Person zugeordnet werden könnten, sollten sie nach Erwägungsgrund 26 DSGVO als Informationen über eine identifizierbare natürliche Person betrachtet werden.
Beispiele aus der Praxis
- Ein Datensatz soll für statistische oder für Forschungszwecke weitergegeben werden: Sind die Informationen anonym, betrifft die DSGVO ihre Verarbeitung nach Erwägungsgrund 26 somit nicht.
- Eine Auswertung nutzt Daten, die durch zusätzliche Informationen einer natürlichen Person zugeordnet werden könnten; solche pseudonymisierten Daten sollten nach Erwägungsgrund 26 DSGVO als Informationen über eine identifizierbare natürliche Person betrachtet werden.
- Ein Verantwortlicher beurteilt, ob eine Re-Identifizierung praktisch durchführbar ist, und berücksichtigt dabei die Kosten der Identifizierung, den erforderlichen Zeitaufwand, die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen.
- Ein Versicherer gibt Schadendaten für eine Statistik weiter; bei der Frage, ob die betroffene Person noch identifizierbar ist, sollten nach Erwägungsgrund 26 DSGVO alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden.
