Kurzdefinition: Die Pseudonymisierung ist eine Schutzmaßnahme, die den Personenbezug erschwert, ohne ihn aufzuheben. Nach Art. 4 Nr. 5 DSGVO werden Daten so verarbeitet, dass sie ohne Hinzuziehung gesondert aufbewahrter Zusatzinformationen keiner spezifischen Person mehr zugeordnet werden können. [N-DSGVO-4]
Der Normwortlaut
Art. 4 Nr. 5 DSGVO definiert Pseudonymisierung als „die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können“, sofern diese Zusatzinformationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen. [N-DSGVO-4]
Was ist der Unterschied zur Anonymisierung?
Die Umkehrbarkeit. Bei der Pseudonymisierung bleibt eine Zuordnung mithilfe der gesondert aufbewahrten Zusatzinformationen möglich; die Daten sind daher weiterhin personenbezogen. Anonyme Daten lassen sich dagegen keiner Person mehr zuordnen und fallen nicht unter die DSGVO. Pseudonymisierung ist also Schutz, nicht Ausstieg aus dem Datenschutzrecht. [N-DSGVO-4]
Sind pseudonyme Daten personenbezogen?
Ja. Weil der Personenbezug mithilfe der Zusatzinformationen wiederhergestellt werden kann, bleiben pseudonyme Daten personenbezogene Daten im Sinne der DSGVO. Die Verordnung gilt für sie in vollem Umfang; die Pseudonymisierung senkt lediglich das Risiko. [N-DSGVO-4]
Wozu dient die Pseudonymisierung?
Als anerkannte Schutzmaßnahme. Die DSGVO nennt die Pseudonymisierung ausdrücklich als geeignete technische und organisatorische Maßnahme, etwa im Rahmen von Datenschutz durch Technikgestaltung und der Sicherheit der Verarbeitung. Sie ist ein Baustein, um Risiken für die betroffenen Personen zu verringern. [N-DSGVO-4]
Welche Anforderungen stellt die DSGVO an die Zusatzinformationen?
Zwei. Nach Art. 4 Nr. 5 DSGVO müssen die zur Zuordnung nötigen zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die Daten keiner identifizierten oder identifizierbaren Person zugewiesen werden. Erst diese Trennung und Sicherung machen die Verarbeitung zu einer Pseudonymisierung im Rechtssinn. [N-DSGVO-4]
Ist die Pseudonymisierung eine ausdrücklich anerkannte Maßnahme?
Ja. Die DSGVO nennt sie ausdrücklich als geeignete technische und organisatorische Maßnahme — etwa im Rahmen von Datenschutz durch Technikgestaltung und der Sicherheit der Verarbeitung. Sie ist damit kein bloßes Best-Practice-Konzept, sondern ein von der Verordnung benannter Baustein der Risikosenkung. [N-DSGVO-4]
Häufige Fehlannahmen
- „Pseudonyme Daten fallen nicht unter die DSGVO.“ Nein. Sie bleiben personenbezogen. [N-DSGVO-4]
- „Pseudonymisierung ist dasselbe wie Anonymisierung.“ Nein. Die Zuordnung bleibt mit Zusatzinformationen möglich. [N-DSGVO-4]
- „Pseudonymisierung ist nur Verschlüsselung.“ Nicht deckungsgleich. Entscheidend ist die getrennte Aufbewahrung der Zuordnungsinformationen. [N-DSGVO-4]
- „Pseudonymisierung heißt, dass niemand die Person mehr zuordnen kann.“ Nein. Sie bedeutet, dass die Daten ohne Hinzuziehung gesondert aufbewahrter zusätzlicher Informationen nicht mehr einer bestimmten Person zugeordnet werden können. [N-DSGVO-4]
- „Pseudonymisierung bringt keinen rechtlichen Vorteil.“ Nicht ganz. Sie kann die Risiken senken und die Einhaltung der Datenschutzpflichten unterstützen, ersetzt diese aber nicht. [N-DSGVO-4]
- „Es genügt, die Namen durch Kennungen zu ersetzen.“ Nein. Die Zuordnungsinformationen müssen gesondert aufbewahrt und durch technische und organisatorische Maßnahmen geschützt werden. [N-DSGVO-4]
Was die Geschäftsleitung tun sollte
- Zuordnungsdaten trennen. Zusatzinformationen gesondert und geschützt aufbewahren.
- Als Maßnahme einplanen. Pseudonymisierung in Schutzkonzepte aufnehmen.
- Personenbezug beachten. Pseudonyme Daten weiter als personenbezogen behandeln.
- Nicht mit Anonymisierung verwechseln. Nur echte Anonymisierung führt aus der DSGVO.
Für die Geschäftsleitung
Die Pseudonymisierung ist ein wirksamer, von der DSGVO ausdrücklich anerkannter Schutz — aber kein Freifahrtschein: Pseudonyme Daten bleiben personenbezogen und unterliegen der Verordnung. Für das Unternehmen ist sie ein Baustein zur Risikosenkung, während nur die echte Anonymisierung den Anwendungsbereich verlässt.
Quellen
- [N-DSGVO-4] Art. 4 DSGVO (Begriffsbestimmungen, Nr. 5 Pseudonymisierung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
