Personenbezogene Daten zu anonymisieren bedeutet mehr, als Namen durch Nummern zu ersetzen. Entscheidend ist, ob die betroffenen Menschen im maßgeblichen Verarbeitungskontext noch identifiziert werden können. Dabei zählen auch Kombinationen aus seltenen Merkmalen, externen Informationen und aufeinanderfolgenden Veröffentlichungen.
Eine belastbare Entscheidung betrifft deshalb einen bestimmten Ergebnisdatensatz, einen Zweck und einen Empfängerkreis. Dieser Leitfaden zeigt, wie Sie das Ziel festlegen, geeignete Transformationen auswählen und ein Ergebnis vor der Weitergabe prüfen. Das ausgefüllte Beispiel betrifft eine öffentliche Statistik über Veranstaltungen; es ist keine universelle Freigabe für jede Tabelle mit entfernten Namensspalten.
1. Anonymisierung und Pseudonymisierung auseinanderhalten
Die DSGVO, insbesondere Artikel 4 und Erwägungsgrund 26, stellt auf identifizierte oder identifizierbare natürliche Personen ab. Bei der Beurteilung sind die vernünftigerweise zu erwartenden Identifizierungsmittel zu berücksichtigen, einschließlich Aufwand, Kosten, verfügbarer Technik und technischer Entwicklung. Eine rein hypothetische Identifizierung mit unbegrenzten Mitteln ist ebenso wenig der alleinige Maßstab wie die Frage, ob ein Name direkt im Ergebnis steht.
Bei der Pseudonymisierung mit getrenntem Zuordnungsschlüssel wird die unmittelbare Zuordnung erschwert. Wer den Schlüssel oder andere geeignete Zusatzinformationen besitzt, kann die Daten aber weiterhin einer Person zuordnen. Für einen Verantwortlichen mit entsprechender Zuordnungsmöglichkeit wird die eigene Datei daher nicht allein durch den Austausch der Namen anonym.
Auch ein Hashwert ist kein automatischer Anonymitätsnachweis. Bei einer begrenzten Menge vorhersehbarer Ausgangswerte können Vergleichsberechnungen eine Zuordnung ermöglichen. Ein stabiler Code kann außerdem Datensätze über mehrere Veröffentlichungen hinweg verbinden. Verschlüsselung schützt dagegen den Zugang zu Daten; bei vorhandener Entschlüsselungsmöglichkeit handelt es sich nicht einfach um Anonymisierung.
2. Den konkreten Empfänger berücksichtigen
Im Urteil C-413/23 P vom 4. September 2025 stellt der EuGH klar, dass pseudonymisierte Informationen nicht in jedem Fall für jede Person personenbezogene Daten sein müssen. Die Entscheidung betrifft die Verordnung für EU-Organe, erläutert aber ausdrücklich die einheitliche Auslegung des im Wesentlichen gleichen Personenbezugsbegriffs. Zu prüfen ist unter anderem, ob ein Empfänger die Schutzmaßnahmen aufheben oder die Informationen mit anderen verfügbaren Mitteln einer Person zuordnen kann.
Daraus folgt keine Freigabe allein aufgrund der Aussage „Der Empfänger erhält den Schlüssel nicht“. Seine eigenen Daten, erreichbare Zusatzinformationen, tatsächliche Rechte und weitere Übermittlungen müssen in die Bewertung einfließen. Wenn ein späterer Empfänger mit vernünftigerweise verfügbaren Mitteln identifizieren kann, muss auch dieser Weitergabekontext berücksichtigt werden. Eine Beschränkung auf einen kontrollierten Empfängerkreis und eine Veröffentlichung im offenen Internet sind daher unterschiedliche Entscheidungen.
Bei einem Antrag auf Zugang zu einer amtlichen Unterlage des Bundes ist die Prüfung von Schwärzung und Teilzugang nach dem IFG gesondert vorzunehmen. Ob personenbezogene Angaben rechtmäßig offengelegt werden dürfen, ist eine andere Frage als die technische Feststellung, ob die verbleibende Fassung noch identifizierbar ist.
Das Urteil beseitigt außerdem nicht rückwirkend die Informationspflicht des ursprünglichen Verantwortlichen. Für die dort geprüfte Information bei der Erhebung kommt es auf dessen Perspektive im Erhebungszeitpunkt an. Eine spätere Pseudonymisierung beim Empfänger macht eine vorher erforderliche Information nicht überflüssig.
Beschreiben Sie in der Freigabe deshalb ausdrücklich, wessen Verarbeitung geprüft wird. Die knappe Erklärung „Datei anonym“ lässt diese notwendige Zuordnung offen. Die Abgrenzung der datenschutzrechtlichen Rollen hilft dabei, Verantwortlichkeiten und tatsächliche Zugriffsmöglichkeiten getrennt zu dokumentieren.
3. Das benötigte Ergebnis festlegen
Beginnen Sie nicht mit einer Liste aller vorhandenen Felder, sondern mit der Frage, welches Ergebnis benötigt wird. Für eine Statistik über die Auslastung von Kursarten sind Namen, genaue Geburtstage und Kontaktadressen möglicherweise gar nicht erforderlich. Auch ein dauerhaftes Teilnehmerkennzeichen kann entbehrlich sein, wenn keine individuellen Verläufe untersucht werden sollen.
Legen Sie fest, ob das Ergebnis einmalig intern genutzt, an einen bestimmten Partner übergeben oder öffentlich veröffentlicht werden soll. Bei wiederkehrenden Auswertungen gehört die geplante Veröffentlichungsreihe zum Prüfumfang. Ein einzelner unauffälliger Stand kann zusammen mit früheren Tabellen Informationen offenlegen.
Die Verarbeitung der Quelldaten für die Anonymisierung bleibt rechtlich zu prüfen. Zweck, Rechtsgrundlage, gegebenenfalls besondere Datenkategorien, Sicherheit und Aufbewahrung der Quellen verschwinden nicht durch das angestrebte anonyme Ergebnis. Verbinden Sie diesen Schritt mit der Datenminimierung auf Feldebene, damit unnötige Angaben möglichst früh aus dem Arbeitsdatensatz entfallen.
4. Drei praktische Angriffsfragen stellen
Die ältere Orientierung der CNIL zur Anonymisierung erläutert drei nützliche Prüfperspektiven: Individualisierung, Verknüpfung und Schlussfolgerung. Sie ist zusammen mit der aktuellen Rechtsprechung einzuordnen. Das bloße Anwenden einer benannten Technik ersetzt keine Bewertung des konkreten Identifizierungsrisikos.
| Prüfperspektive | Frage an das Ergebnis | Fiktives Warnsignal |
|---|---|---|
| Individualisierung | Lässt sich eine einzelne Person oder ihr Verlauf herausheben? | Eine ungewöhnliche Kombination aus Alter, Ort und Termin kommt nur einmal vor |
| Verknüpfung | Kann das Ergebnis mit anderen Informationen verbunden werden? | Eine veröffentlichte Teilnehmerliste enthält dieselbe seltene Kombination |
| Schlussfolgerung | Lassen sich Informationen über eine bekannte Person mit hoher Sicherheit ableiten? | Alle Angehörigen einer bekannten kleinen Gruppe haben denselben sensiblen Wert |
Eine größere Gruppe behebt nicht jedes Problem. Wenn jemand weiß, dass eine bestimmte Person zu einer Gruppe gehört, und sämtliche Gruppenmitglieder denselben Gesundheitswert aufweisen, kann die Information ableitbar bleiben. Umgekehrt ist nicht jede einzelne seltene Angabe ohne weitere Prüfung automatisch eine erfolgreiche Identifizierung. Halten Sie das tatsächlich plausible Szenario und seine Voraussetzungen fest.
5. Transformationen anhand des Problems auswählen
Das Entfernen direkter Identifikatoren ist häufig ein erster Schritt. Danach können eine gröbere Darstellung, die Zusammenfassung von Kategorien, die Unterdrückung einzelner Werte oder statistische Verfahren nötig sein. Jede Veränderung beeinflusst die Nutzbarkeit; deshalb sollten Fachbereich und fachkundige technische Bewertung gemeinsam festlegen, welche Information wirklich erhalten bleiben muss.
Eine Altersgruppe kann geeigneter sein als ein exakter Geburtstag. Ein Quartal kann einen genauen Veranstaltungstag ersetzen. Bei einem seltenen Angebot kann aber auch die Kombination aus grobem Alter und Kursart noch zu viel verraten. Die Transformation ist deshalb am gesamten Ergebnis zu prüfen, nicht nur an jeder Spalte für sich.
K-Anonymität betrachtet gleiche Kombinationen ausgewählter Quasi-Identifikatoren. Sie bietet allein keinen allgemeinen Schutz gegen jede Schlussfolgerung und erfasst nur die gewählten Merkmale. Auch synthetische Daten oder mit Rauschen versehene Ergebnisse sind nicht allein aufgrund ihres Namens anonym. Bei anspruchsvollen Verfahren müssen Annahmen, Parameter und Grenzen fachkundig bewertet werden.
Wenn die erforderliche Genauigkeit nicht mit einem ausreichend geschützten öffentlichen Ergebnis vereinbar ist, kann eine weniger detaillierte Veröffentlichung oder ein kontrollierter Zugang die passendere Gestaltung sein. Das ist eine echte Produktentscheidung: Nicht jede gewünschte Auswertung muss als frei herunterladbare Einzelzeilendatei erscheinen.
6. Ausgefülltes Beispiel einer Veranstaltungsstatistik
Ein fiktiver Verein möchte öffentlich darstellen, welche Workshoparten im letzten Halbjahr genutzt wurden. Die Quelldatei enthält Namen, Kontaktdaten, genaues Alter, Wohnort, Workshoptermin und Freitextbemerkungen. Das Ziel ist eine Übersicht über Angebotsarten, kein Vergleich einzelner Personen.
| Ausgangsinformation | Entscheidung für den Veröffentlichungsentwurf | Konkrete Prüfung |
|---|---|---|
| Name und Kontaktdaten | Nicht im Ergebnis enthalten | Auch Dateinamen, ausgeblendete Spalten und Metadaten kontrollieren |
| Exaktes Alter | Nur benötigte größere Altersgruppen | Seltene Kombinationen mit Kursart und Region prüfen |
| Einzelner Wohnort | Größerer regionaler Bezug, soweit überhaupt nötig | Öffentliche lokale Meldungen als mögliche Zusatzquelle berücksichtigen |
| Genauer Termin | Halbjahresbezug | Einmalige öffentlich bekannte Veranstaltungen gesondert betrachten |
| Freitext | Kein Freitext im öffentlichen Ergebnis | Keine identifizierenden Zitate in Begleittexten übernehmen |
| Teilnehmercode | Keine stabile individuelle Kennung veröffentlichen | Verknüpfbarkeit mit früheren Tabellen untersuchen |
Die erste Prüfung entdeckt, dass eine bestimmte Workshopart nur einmal stattfand und öffentlich mit einem Foto der kleinen Teilnehmergruppe angekündigt wurde. Selbst ohne Namensspalte kann eine Aufschlüsselung nach eng gewähltem Alter Informationen über bekannte Personen liefern. Der Verein fasst diese Workshopart deshalb mit einer sachlich passenden größeren Kategorie zusammen und verzichtet auf die zusätzliche Altersunterteilung dieser Kategorie.
Anschließend prüft das Team, ob Summen oder frühere Veröffentlichungen die unterdrückte Zahl dennoch errechenbar machen. Das Weglassen einer Zelle hilft nicht, wenn Zeilen- und Spaltensummen genau ihren Wert verraten. Der Entwurf wird deshalb als Ganzes einschließlich erläuternder Texte betrachtet.
7. Eine konkrete Freigabeentscheidung dokumentieren
Ein ausgefüllter Vermerk zum Beispiel könnte lauten: „Geprüft wurde Ergebnisversion V3 für die öffentliche Halbjahresübersicht. Personenzeilen, Freitext und stabile Kennungen wurden entfernt. Die seltene Workshopkategorie wurde zusammengefasst; die Altersunterteilung entfällt dort. Geprüfte Zusatzquellen waren die bisherigen Veröffentlichungen und die öffentlichen Veranstaltungsankündigungen. Die fachliche Aussage über die Nutzung der Angebotsarten bleibt erhalten. Eine spätere feinere Aufteilung ist nicht von dieser Freigabe umfasst.“
Dieser Vermerk ist nur ein Beispiel für die Struktur. Die tatsächliche Schlussfolgerung über Identifizierbarkeit benötigt die konkrete Untersuchung und ausreichend fachliche Kompetenz. Bei offenen Fragen darf der Freigabestatus nicht automatisch auf „anonym“ gesetzt werden, nur weil der Veröffentlichungstermin erreicht ist.
Halten Sie Quelle, Ergebnisversion, Empfänger, Transformationen, relevante Zusatzinformationen, geprüfte Szenarien und verbleibende Unsicherheiten zusammen. Die Nachweise zur Rechenschaftspflicht sollten die Entscheidung nachvollziehbar machen, ohne den gesamten sensiblen Quelldatensatz unnötig weiterzugeben. Der DSB berät im Rahmen seiner Aufgaben; die verantwortliche Organisation bleibt für ihre Entscheidung zuständig.
8. Quellen, Kopien und spätere Veröffentlichungen mitprüfen
Ein hinreichend anonymes Ergebnis erlaubt nicht automatisch die unbegrenzte Aufbewahrung personenbezogener Quellen. Legen Sie den Umgang mit Originaldateien, Arbeitskopien, Zuordnungsinformationen und Prüfunterlagen gesondert fest. Eine frei erreichbare Arbeitskopie kann Menschen offenlegen, obwohl die veröffentlichte Tabelle gut gestaltet ist.
Prüfen Sie bei weiteren Ausgaben die Unterschiede zum bisherigen Ergebnis. Wenn eine neue Ausgabe genau eine weitere Teilnahme enthält, kann die Differenz zusätzliche Informationen verraten. Ein Freigabeprozess muss deshalb auch die Veröffentlichungshistorie und neue externe Informationsquellen berücksichtigen. Es gibt dafür kein universelles gesetzliches Intervall, das jede Datenart gleichermaßen abdeckt.
Die EDSA-Leitlinien 02/2026 zur Anonymisierung befinden sich am Prüfstand dieses Beitrags noch in öffentlicher Konsultation bis zum 30. Oktober 2026. Sie sind als Entwurf zu kennzeichnen und nicht als bereits endgültige neue Vorgabe zu behandeln. Beobachten Sie die weitere Entwicklung und prüfen Sie, ob sich daraus Anpassungsbedarf für Ihre dokumentierte Methode ergibt.
Wenn nach einer Veröffentlichung eine konkrete Identifizierungsmöglichkeit entdeckt wird, begrenzen Sie den weiteren Zugriff soweit möglich und untersuchen Sie den Vorfall. Bei einer Verletzung des Schutzes personenbezogener Daten sind die Voraussetzungen der Meldung und gegebenenfalls der Benachrichtigung betroffener Personen zu prüfen. Ein Download-Link kann entfernt werden; bereits verbreitete Kopien verschwinden dadurch nicht zuverlässig.
Häufige Fragen
Reicht das Löschen der Namensspalte? Nein. Andere Merkmale und Verknüpfungen können Personen weiterhin identifizierbar machen. Prüfen Sie den ganzen Datensatz und seine Verwendung.
Sind pseudonymisierte Daten für jeden Empfänger automatisch personenbezogen? Nein. Nach der aktuellen EuGH-Rechtsprechung ist der konkrete Kontext zu prüfen. Für den Verantwortlichen mit Zuordnungsmöglichkeit bleiben sie personenbezogen; beim Empfänger sind seine tatsächlichen Identifizierungsmittel entscheidend.
Ist eine bestimmte Mindestgruppengröße gesetzlich immer ausreichend? Nein. Ein einzelner Schwellenwert berücksichtigt weder sämtliche Zusatzinformationen noch alle Schlussfolgerungs- und Verknüpfungsmöglichkeiten. Dokumentieren Sie die tatsächliche Risikobewertung des Ergebnisses.