Pseudonymisierung und Anonymisierung werden im Alltag oft synonym verwendet — datenschutzrechtlich sind sie das Gegenteil voneinander. Der Unterschied entscheidet darüber, ob die DSGVO überhaupt noch anwendbar ist. Wer die beiden verwechselt, trifft falsche Annahmen über seine Pflichten: Manche glauben, sie hätten Daten anonymisiert und damit aus dem Anwendungsbereich der DSGVO entlassen, obwohl sie nur pseudonymisiert haben und die volle DSGVO weiter gilt. Dieser Beitrag schärft die Abgrenzung und zeigt den richtigen Einsatz.
Anonymisierung: raus aus der DSGVO
Anonymisierung bedeutet, dass ein Personenbezug irreversibel beseitigt wird — die Daten lassen sich keiner identifizierbaren Person mehr zuordnen, weder direkt noch durch Kombination mit anderen Informationen, und zwar mit allen Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden. Echt anonymisierte Daten sind keine personenbezogenen Daten mehr; die DSGVO findet auf sie keine Anwendung. Das ist der entscheidende Effekt: Anonyme Daten dürfen frei verarbeitet, ausgewertet und aufbewahrt werden. Genau deshalb ist Anonymisierung so attraktiv — und so anspruchsvoll.
Pseudonymisierung: drin in der DSGVO
Pseudonymisierung ersetzt identifizierende Merkmale durch ein Pseudonym — etwa eine Kennnummer —, wobei die Zuordnung mithilfe zusätzlicher, separat aufbewahrter Informationen wiederhergestellt werden kann. Genau diese Wiederherstellbarkeit ist der Kern: Pseudonymisierte Daten bleiben personenbezogene Daten, weil der Bezug mit dem Schlüssel wiederhergestellt werden kann. Die DSGVO gilt also vollständig weiter. Pseudonymisierung ist trotzdem wertvoll — sie ist eine ausdrücklich genannte Schutzmassnahme nach Art. 32 und reduziert das Risiko erheblich —, aber sie befreit nicht von den Pflichten.
Warum echte Anonymisierung schwer ist
Der Grund, warum so viele vermeintliche Anonymisierungen in Wahrheit Pseudonymisierungen sind, liegt in der Re-Identifizierbarkeit. Schon wenige scheinbar harmlose Merkmale — Postleitzahl, Geburtsdatum, Geschlecht — können in Kombination eine Person eindeutig identifizieren. Das blosse Entfernen des Namens genügt deshalb nicht. Echte Anonymisierung verlangt, dass auch die Kombination der verbleibenden Merkmale keinen Rückschluss erlaubt, selbst wenn ein Angreifer Zusatzwissen oder öffentlich verfügbare Datensätze hinzuzieht. Techniken wie Aggregation, Generalisierung, Rauschen oder Verfahren wie k-Anonymität und Differential Privacy adressieren genau das — aber sie kosten Datenqualität.
Der Zielkonflikt: Nutzen versus Schutz
Hier liegt der unvermeidliche Zielkonflikt. Je stärker man Daten anonymisiert, desto sicherer ist der Schutz — aber desto geringer ihr analytischer Wert. Ein vollständig aggregierter Datensatz schützt perfekt, sagt aber über das einzelne Verhalten nichts mehr aus. Die Kunst liegt darin, das Anonymisierungsverfahren am tatsächlichen analytischen Bedarf auszurichten: gerade so viel Schutz, dass keine Re-Identifizierung mehr möglich ist, und gerade so viel erhaltene Information, dass die Auswertung noch sinnvoll bleibt. Diese Balance ist datensatzspezifisch und verlangt eine bewusste Entscheidung, keine pauschale Methode.
Der richtige Einsatz beider Techniken
In der Praxis ergänzen sich beide. Pseudonymisierung ist das Werkzeug für laufende Verarbeitungen, bei denen der Personenbezug grundsätzlich erhalten bleiben muss, das Risiko aber gesenkt werden soll — etwa in einer Datenbank, in der direkte Identifikatoren von den übrigen Daten getrennt und durch Schlüssel ersetzt werden. Anonymisierung ist das Werkzeug, wenn der Personenbezug endgültig nicht mehr gebraucht wird — etwa für langfristige Statistik, Forschung oder das Training von Modellen, wo aus pseudonymen oder personenbezogenen Daten ein wirklich anonymer Auswertungsbestand werden soll.
Anonymisierung als Löschalternative
Ein praktisch wertvoller Aspekt: Echte Anonymisierung kann eine zulässige Alternative zur Löschung sein. Wo Sie Daten für Statistik weiter nutzen möchten, der Personenbezug aber gelöscht werden müsste, erlaubt die irreversible Anonymisierung, den analytischen Wert zu erhalten und zugleich die Speicherbegrenzung zu erfüllen. Wichtig ist, dass die Anonymisierung tatsächlich irreversibel ist — eine blosse Pseudonymisierung erfüllt diese Funktion nicht, weil die Daten dann weiterhin personenbezogen und damit löschpflichtig bleiben.
Fazit
Der Unterschied zwischen Pseudonymisierung und Anonymisierung ist keine begriffliche Spitzfindigkeit, sondern entscheidet über die Anwendbarkeit der gesamten DSGVO. Pseudonymisierte Daten bleiben personenbezogen und voll reguliert; echt anonymisierte Daten fallen aus dem Anwendungsbereich. Prüfen Sie ehrlich, welche der beiden Sie tatsächlich erreicht haben — der Test ist die Re-Identifizierbarkeit unter realistischen Annahmen, nicht das blosse Entfernen des Namens. Setzen Sie Pseudonymisierung als Schutzmassnahme im laufenden Betrieb ein und echte Anonymisierung dort, wo der Personenbezug endgültig entfallen soll. Dies ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.
Der Test in der Praxis
Wie stellt man fest, ob man tatsächlich anonymisiert hat? Der praktische Test ist ein Gedankenexperiment aus der Angreiferperspektive: Könnte jemand mit realistischem Aufwand und realistisch verfügbarem Zusatzwissen aus den verbleibenden Daten eine Person re-identifizieren? Berücksichtigen Sie dabei nicht nur Ihre eigenen Datenbestände, sondern auch öffentlich verfügbare Quellen und die Möglichkeit, Datensätze zu kombinieren. Wenn die ehrliche Antwort „ja" oder „vielleicht" lautet, haben Sie pseudonymisiert, nicht anonymisiert — mit allen Konsequenzen für die Anwendbarkeit der DSGVO. Dieser Test sollte dokumentiert werden, denn er ist Ihr Nachweis, die Anonymisierung sorgfältig geprüft zu haben.
Vorsicht ist besonders bei kleinen Datensätzen und seltenen Merkmalskombinationen geboten. In einer grossen Menge geht eine einzelne Person in der Masse unter; in einem kleinen Datensatz oder bei ungewöhnlichen Merkmalen genügen oft wenige Attribute zur eindeutigen Identifikation. Eine Methode, die bei einer Million Datensätzen sicher anonymisiert, kann bei tausend Datensätzen versagen. Die Anonymisierung ist deshalb nie eine universelle Methode, sondern immer eine Bewertung des konkreten Datensatzes in seinem konkreten Kontext.