In Projekten fällt oft der Satz: Die Daten sind ja anonymisiert. Häufig stimmt er nicht. Meist sind die Daten pseudonymisiert, und das ist rechtlich etwas anderes. Die Verwechslung führt dazu, dass Pflichten übersehen werden, etwa bei Analysen, Testdaten oder dem Training von KI-Modellen.
Pseudonymisierung
Die DSGVO definiert Pseudonymisierung als Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer bestimmten Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt und technisch-organisatorisch geschützt werden. Typisch ist das Ersetzen von Namen durch Kennungen, deren Zuordnungstabelle getrennt liegt. Für den Verantwortlichen, der die Tabelle hat, bleiben die Daten Personendaten.
Anonymisierung
Anonym sind Daten, wenn die Person nicht oder nicht mehr identifizierbar ist, unter Berücksichtigung aller Mittel, die vernünftigerweise eingesetzt werden könnten. Dann gilt das Datenschutzrecht nicht mehr. Die Hürde ist hoch: Ein Datensatz ohne Namen, aber mit Geburtsdatum, Postleitzahl und Geschlecht kann eine Person oft eindeutig bestimmen. Echte Anonymisierung braucht deshalb Aggregation, Generalisierung oder Verfahren, die Einzelpersonen nicht mehr unterscheidbar machen.
Die Perspektive des Empfängers
Ob Daten für einen Empfänger personenbezogen sind, kann davon abhängen, ob er realistischerweise Zugang zu den Zuordnungsinformationen hat. Der Europäische Gerichtshof hat diese relative Betrachtung im September 2025 bestätigt (Rechtssache C-413/23 P). Für den Verantwortlichen, der die Zuordnung kennt, ändert das nichts; er bleibt in der Pflicht, etwa bei der Information der Betroffenen. Im Schweizer revDSG gilt ein vergleichbarer, an der Bestimmbarkeit orientierter Ansatz.
Warum Pseudonymisierung trotzdem wertvoll ist
Pseudonymisierung ist keine Befreiung, aber eine starke Schutzmassnahme. Sie senkt das Risiko bei einer Datenschutzverletzung, erleichtert Zweckänderungen für Statistik und Forschung und ist ein klassisches Element von Privacy by Design. In SaaS-Produkten bietet sie sich für Analytics, Testumgebungen und Support-Exporte an.
Bei KI-Projekten
Für RAG-Systeme, Fine-Tuning oder Auswertungen mit LLMs stellt sich die Frage besonders scharf. Ein Prompt mit pseudonymisierten Kundendaten an einen externen Anbieter ist eine Bearbeitung von Personendaten durch einen Auftragsbearbeiter, mit Vertrag und gegebenenfalls Auslandbekanntgabe. Anonymisierung vor dem Versand ist möglich, aber schwerer, als es klingt, weil Freitexte Personen oft indirekt identifizieren.