Was ist Anonymisierung?
Anonymisierung bezeichnet die Verarbeitung personenbezogener Daten zu Informationen, die sich nicht mehr auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Rechtliche Einordnung: Entscheidend ist nicht allein die eingesetzte Technik. Maßgeblich ist, ob die Person unter Berücksichtigung aller Mittel, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich einsetzen wird, nicht oder nicht mehr identifiziert werden kann. Eine absolute Irreversibilitätsgarantie verlangt dieser kontextbezogene Maßstab nicht.
Der Normwortlaut
Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden. Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Um festzustellen, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind. Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten, d. h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Diese Verordnung betrifft somit nicht die Verarbeitung solcher anonymer Daten, auch für statistische oder für Forschungszwecke.
Normtext und Rechtsfolge: Der Erwägungsgrund beschreibt den Maßstab der Identifizierbarkeit und ordnet ein, dass die Datenschutzgrundsätze sowie die DSGVO nicht für tatsächlich anonyme Informationen gelten. Das gilt auch für deren Verarbeitung zu statistischen oder Forschungszwecken. Der Erwägungsgrund begründet jedoch keine eigenständige operative Anonymisierungspflicht.
Wann gilt die DSGVO bei einer Anonymisierung?
Artikel 2 Absatz 1 erfasst die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nichtautomatisierte Verarbeitung solcher Daten, wenn sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Die Anonymisierung beginnt mit personenbezogenen Daten und ist eine Verarbeitung im Sinne von Artikel 4 Nummer 2. Deshalb unterliegt dieser Vorgang der DSGVO. Diese Einordnung betrifft Verantwortliche und Auftragsverarbeiter, soweit sie personenbezogene Daten verarbeiten. Erst die weitere Verarbeitung wirksam anonymisierter Informationen fällt nach Erwägungsgrund 26 nicht unter die Verordnung.
Wann ist die Identifizierbarkeit zu prüfen?
Die Prüfung wird relevant, sobald Daten als anonym eingestuft, genutzt oder offengelegt werden sollen. Einzubeziehen sind direkte und indirekte Identifizierung sowie Zusatzinformationen und alle Mittel, die der Verantwortliche oder eine andere Person wahrscheinlich einsetzen wird. Objektive Faktoren sind insbesondere Kosten, Zeitaufwand, die zum Verarbeitungszeitpunkt verfügbare Technologie und technologische Entwicklungen. Das Entfernen direkter Kennungen allein belegt daher keine Anonymisierung.
Wie unterscheidet sich Anonymisierung von Pseudonymisierung?
Pseudonymisierung nach Artikel 4 Nummer 5 liegt vor, wenn personenbezogene Daten ohne gesondert aufbewahrte zusätzliche Informationen nicht mehr einer bestimmten Person zugeordnet werden können und diese Zusatzinformationen technischen sowie organisatorischen Schutzmaßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden. Bleibt die Zuordnung mithilfe dieser Informationen möglich, handelt es sich weiterhin um personenbezogene Daten. Anonym sind Informationen erst, wenn die Person nach dem Maßstab des Erwägungsgrundes 26 nicht identifizierbar ist.
Reichen Verschlüsselung oder entfernte Identifikatoren aus?
Nein. Verschlüsselung und das Entfernen einzelner Identifikatoren können Risiken mindern, bewirken für sich genommen aber keine Anonymität. Die Einstufung hängt vom Ergebnis der vollständigen Identifizierbarkeitsprüfung ab. Können wahrscheinlich einsetzbare Mittel oder Zusatzinformationen die Zuordnung wiederherstellen, bleiben die Daten personenbezogen.
Woran lässt sich die technische Wirksamkeit erkennen?
Behördenpraxis und technische Einordnung: Nach den Hinweisen des Europäischen Datenschutzausschusses ist Anonymisierung in der Praxis nicht immer möglich oder leicht zu erreichen. Belastbar anonymisierte Daten dürfen mit vernünftigerweise wahrscheinlich einsetzbaren Mitteln weder durch Aussondern noch durch Verknüpfen getrennter Datenstücke oder belastbare Ableitungen einer Person zugeordnet werden können. Die Bewertung muss sich auf den konkreten Verarbeitungskontext beziehen und darf nicht bei direkten Identifikatoren enden.
Gibt es Fristen oder feste Schwellenwerte?
Die DSGVO bestimmt für die Anonymisierung keine allgemeine Frist, keinen einheitlichen Startpunkt und keinen numerischen Schwellenwert. Stattdessen verlangt der Maßstab des Erwägungsgrundes 26 eine kontextbezogene Bewertung der wahrscheinlich nutzbaren Identifizierungsmittel. Aus diesem Erwägungsgrund folgt auch keine eigenständige Frist zur erneuten Prüfung.
Häufige Fehlannahmen
- „Namen entfernt bedeutet anonym.“ Auch indirekte Merkmale, Verknüpfungen und Zusatzinformationen können eine Person identifizierbar machen.
- „Pseudonymisierte Daten fallen nicht unter die DSGVO.“ Ermöglichen zusätzliche Informationen weiterhin die Zuordnung, bleiben sie personenbezogene Daten.
- „Verschlüsselung schafft automatisch Anonymität.“ Verschlüsselung ist nicht allein wegen der eingesetzten Technik eine Anonymisierung.
- „Anonymisierung erfordert eine absolute technische Irreversibilität.“ Maßgeblich sind die Mittel, die nach allgemeinem Ermessen wahrscheinlich eingesetzt werden, bewertet anhand objektiver Faktoren.
- „Schon der Anonymisierungsvorgang liegt außerhalb der DSGVO.“ Er beginnt mit personenbezogenen Daten; erst wirksam anonymisierte Informationen fallen bei ihrer weiteren Verarbeitung nicht unter die DSGVO.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind Empfehlungen und keine aus Erwägungsgrund 26 abgeleitete besondere Fristpflicht.
- Vor einer Einstufung, Nutzung oder Offenlegung als anonym eine dokumentierte, fallbezogene Bewertung der direkten und indirekten Identifizierungsmöglichkeiten veranlassen.
- Den Verarbeitungskontext, verfügbare Zusatzinformationen, mögliche Verknüpfungen sowie Kosten, Zeitaufwand und verfügbare Technologie nachvollziehbar festhalten.
- Die Bewertung bei relevanten technischen oder tatsächlichen Änderungen erneut prüfen und Daten bis zu einem belastbaren Ergebnis nicht allein aufgrund einer eingesetzten Technik als anonym behandeln.
- Bei komplexen Fällen je nach Fragestellung rechtliche oder technische Expertise einbeziehen und die Grenzen der gewählten Verfahren dokumentieren.
Allgemeine Pflicht des Verantwortlichen: Solange personenbezogene Daten verarbeitet werden, setzt der Verantwortliche nach Artikel 24 Absatz 1 unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß der DSGVO erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert. Artikel 24 Absatz 1 begründet jedoch keine besondere Anonymisierungspflicht oder Anonymisierungsfrist.
Für die Geschäftsleitung
Anonymisierung ist eine ergebnis- und kontextbezogene Einordnung, kein Etikett für eine einzelne Technik. Die zentrale Entscheidung lautet, ob eine Person mit wahrscheinlich einsetzbaren Mitteln direkt oder indirekt identifiziert werden kann. Vor der Behandlung als anonym sollten Annahmen, Zusatzinformationen, technische Möglichkeiten und objektive Faktoren dokumentiert werden. Die Dokumentation sollte erkennen lassen, weshalb die Informationen als anonym eingestuft und ihre weitere Verarbeitung als außerhalb der DSGVO liegend bewertet wird; relevante Veränderungen sollten eine Neubewertung auslösen.
