Themenseite · Art. 4 DSGVO

Anonymisierung vs. Pseudonymisierung

Anonym oder pseudonym – die Begriffe werden im Alltag oft synonym gebraucht, mit erheblichen rechtlichen Folgen: Pseudonymisierte Daten bleiben personenbezogen im Sinne der DSGVO, anonyme Daten fallen vollständig aus dem Anwendungsbereich heraus. Entscheidend ist dabei nicht nur die verwendete Technik, sondern die Perspektive der verarbeitenden Stelle: Pseudonyme Daten können für einen Empfänger, der den Zuordnungsschlüssel nicht kennt und nicht mit verhältnismäßigen Mitteln beschaffen kann, anonym sein – sofern eine Re-Identifizierung tatsächlich ausgeschlossen ist.

Keine Rechtsberatung, kein Ersatz für Einzelfallprüfung: Diese Seite dient der fachlichen Orientierung und kann eine rechtsverbindliche Einzelfallbewertung nicht ersetzen. Sie stellt keine individuelle Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar. Für konkrete Fragen wenden Sie sich bitte an die Landesbeauftragte für den Datenschutz Sachsen-Anhalt oder an eine auf Datenschutzrecht spezialisierte Rechtsanwaltskanzlei.

Persönliche fachliche Auffassung: Ich bin hauptberuflich als Datenschutzmanager an einer öffentlichen Hochschule in Sachsen-Anhalt tätig. Die hier veröffentlichten Inhalte geben ausschließlich meine persönliche fachliche Auffassung wieder und stellen keine offizielle Position meines Arbeitgebers dar.

Praxisbeispiele als didaktische Fallgruppen: Die auf dieser Seite enthaltenen Praxisbeispiele sind didaktische Fallgruppen zur Veranschaulichung typischer Konstellationen. Sie ersetzen keine Bewertung des konkreten Einzelfalls; abweichende Sachverhaltsmerkmale können zu einer anderen rechtlichen Würdigung führen.

Die beiden Begriffe im Überblick

Pseudonymisierung ist in Art. 4 Nr. 5 DSGVO legaldefiniert: Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer bestimmten Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technisch-organisatorischen Maßnahmen unterliegen. Typisches Beispiel: Ersetzung von Namen durch eine ID, deren Zuordnungsschlüssel in einer getrennten, besonders geschützten Datei liegt.

Anonymisierung ist in der DSGVO nicht legaldefiniert, wird aber in Erwägungsgrund 26 Satz 5 DSGVO charakterisiert: Anonyme Informationen sind solche, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen oder bei denen der Personenbezug in einer Weise entfernt wurde, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Anonyme Daten unterliegen nicht der DSGVO.

Der entscheidende Unterschied ist also nicht technischer, sondern rechtlicher Natur: Pseudonymisierte Daten sind weiterhin personenbezogene Daten im Sinne der DSGVO, weil der Personenbezug durch Hinzuziehung der Zusatzinformationen wiederhergestellt werden kann. Anonymisierte Daten sind es nicht, weil der Personenbezug nach objektiven Maßstäben dauerhaft aufgelöst ist.

Spektrum der Identifizierbarkeit Eigene Darstellung nach Art. 4 Nr. 5, ErwGr 26 DSGVO sowie EuGH C-582/14 (Breyer) und C-413/23 P (EDSB/SRB).

Vergleichsübersicht

Merkmal	Pseudonymisierung	Anonymisierung
Normative Verankerung	Art. 4 Nr. 5 DSGVO (Legaldefinition); Art. 32 Abs. 1 lit. a DSGVO als TOM-Beispiel – keine eigenständige Rechtsgrundlage für die Verarbeitung.	Erwägungsgrund 26 Sätze 5–6 DSGVO (Auslegungshilfe; keine Legaldefinition).
Anwendbarkeit der DSGVO	Ja – pseudonyme Daten sind personenbezogene Daten.	Nein – anonyme Daten liegen außerhalb der DSGVO.
Reversibilität	Grundsätzlich reversibel durch Zugriff auf den Zuordnungsschlüssel.	Irreversibel – Re-Identifizierung nicht mit verhältnismäßigen Mitteln möglich.
Schutzkonzept	Trennung von Nutzdaten und Zuordnungsschlüssel mit abgestuften Zugriffsrechten.	Entfernung sämtlicher direkter und indirekter Identifikatoren; Bewertung des Re-Identifizierungsrisikos.
Typische Verfahren	Hash mit Salt, symmetrische Verschlüsselung der IDs, Token-Vault, Pseudonymisierung im Forschungskontext (§ 27 DSAG LSA).	Aggregation, k-Anonymität, l-Diversity, Differential Privacy, kontrollierte Datensynthese, Zufallsrauschen.
Betroffenenrechte	Bleiben bestehen (Art. 11 DSGVO sieht eingeschränkte Modifikationen vor).	Entfallen, da keine betroffene Person mehr identifizierbar ist.
Typische Einsatzszenarien	Forschung mit dem Bedürfnis der späteren Re-Identifizierung (z. B. klinische Studien), Auftragsverarbeitung mit Mindestschutz.	Veröffentlichung von Statistiken, externe Auswertungen, öffentlich zugängliche Datenprodukte.

Relativer Personenbezug: Die entscheidende Weichenstellung

Ob Daten personenbezogen oder anonym sind, ist nicht abstrakt, sondern kontextabhängig zu beurteilen. Maßgeblich ist, ob die betroffene Person mit Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, identifiziert werden kann (Erwägungsgrund 26 Satz 3 DSGVO). Dabei sind alle objektiven Faktoren zu berücksichtigen: verfügbare Technologie, Zeitaufwand, Kosten, technische Entwicklungen.

Aus dieser Formulierung hat der EuGH in ständiger Rechtsprechung einen relativen Personenbezug entwickelt: Ob Daten personenbezogen sind, hängt davon ab, wer sie in welchem Kontext verarbeitet und über welches Zusatzwissen diese Stelle verfügt oder realistisch verfügen kann.

Leitentscheidungen des EuGH

EuGH C-582/14 – Breyer (19.10.2016): Eine dynamische IP-Adresse ist für den Webseitenbetreiber personenbezogen, wenn dieser rechtliche und praktische Mittel hat, den Internetdienstanbieter einzuschalten und so die Identität festzustellen. Die Einordnung ist also nicht absolut, sondern richtet sich nach den tatsächlichen Möglichkeiten der verarbeitenden Stelle.
EuGH C-413/23 P – EDSB/SRB (Europäischer Datenschutzbeauftragter gegen Single Resolution Board), Urteil v. 04.09.2025: Pseudonymisierte Daten sind nach dieser Linie nicht zwingend für jede beteiligte Stelle als personenbezogene Daten zu betrachten. Daten, die an einen Empfänger übermittelt werden, der den Zuordnungsschlüssel nicht kennt und ihn auch nicht mit verhältnismäßigen Mitteln erhalten kann, können für diesen Empfänger anonym sein – selbst wenn sie für den Übermittler weiterhin personenbezogen sind. Der EuGH schließt damit an die Breyer-Rechtsprechung (C-582/14, 19.10.2016) an: Die Identifizierbarkeit richtet sich nach den Umständen der Datenverarbeitung im Einzelfall. Wichtige Einschränkung: Die Informationspflicht des Verantwortlichen aus Art. 13 und 14 DSGVO über die Empfänger besteht unabhängig davon, weil sie das Rechtsverhältnis zwischen Verantwortlichem und betroffener Person betrifft – nicht das Verhältnis zum Empfänger.

Die Konsequenz dieser Rechtsprechung ist erheblich: Dieselben Datensätze können gleichzeitig beim Übermittler personenbezogen und beim Empfänger nicht personenbezogen sein – mit der Folge, dass die Daten beim Empfänger im konkreten Einzelfall außerhalb des Anwendungsbereichs der DSGVO liegen, sofern die fünf nachfolgend dargestellten Kriterien kumulativ erfüllt sind, während die Verarbeitung beim Übermittler weiterhin der DSGVO unterliegt.

Kontextuelle Anonymität: Wann sind pseudonyme Daten anonym?

Aus der SRB-Entscheidung folgt, dass pseudonyme Daten für einen konkreten Empfänger anonym sein können, wenn bestimmte Voraussetzungen kumulativ erfüllt sind. Diese Prüfung ist in der Praxis der heikelste Teil – weil sie sauber dokumentiert werden muss und nicht mit einer pauschalen Behauptung erledigt ist.

Prüfschema kontextuelle Anonymität

Wird der Zuordnungsschlüssel ausschließlich beim Übermittler geführt und nicht an den Empfänger weitergegeben?
Werden technische und organisatorische Maßnahmen getroffen, die den Schlüssel effektiv schützen (z. B. getrennte Infrastruktur, Zugriffsbeschränkung, Audit-Trail)?
Verfügt der Empfänger über kein Zusatzwissen, mit dem er die Daten durch Kombination mit anderen Quellen re-identifizieren könnte (Hintergrundwissen, öffentliche Register, eigene Datenbestände)?
Bestehen keine realistischen Mittel, mit denen der Empfänger Zugang zum Zuordnungsschlüssel erlangen könnte (Rechtsweg, Vertragsansprüche, Behördenanfragen)?
Ist die Menge und Struktur der übermittelten Daten so beschaffen, dass auch eine indirekte Identifizierung durch Merkmalsverknüpfung nicht mit verhältnismäßigen Mitteln möglich ist?

Nur wenn alle fünf Fragen mit Ja beantwortet werden können, ist die Annahme vertretbar, dass die Daten beim Empfänger anonym sind. Die Beweislast liegt beim Verantwortlichen (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). Dokumentieren Sie die Prüfung und ihre Prämissen nachvollziehbar.

Wichtig: Die kontextuelle Anonymität wirkt nur relativ – gegenüber dem konkreten Empfänger. Für den Übermittler, der den Schlüssel weiterhin besitzt, bleiben die Daten personenbezogen. Wird der Schlüssel später an den Empfänger weitergegeben oder werden die schützenden TOMs aufgehoben, ist die Anonymitätsannahme ab diesem Zeitpunkt neu zu bewerten; frühere Verarbeitungen, die unter den bisherigen Bedingungen rechtmäßig erfolgt sind, bleiben davon unberührt (ex-nunc-Wirkung).

Re-Identifizierungsrisiken realistisch einschätzen

Auch scheinbar anonymisierte Daten können re-identifizierbar sein. Die Risikoabschätzung sollte sich an den anerkannten Risikomodellen orientieren, die u. a. die frühere Art.-29-Datenschutzgruppe in ihrer Stellungnahme 05/2014 beschrieben hat:

Risiko	Beschreibung	Beispiel
Singling-out	Einzelne Personen lassen sich durch Kombination mehrerer Merkmale aus dem Datensatz herausfiltern.	Geburtsdatum + Postleitzahl + Geschlecht identifizieren in vielen Datensätzen bereits mehr als 80 % der Individuen.
Linkage	Verknüpfung zweier Datensätze führt zu neuem Personenbezug.	Kombination aus anonymer Krankheitsstatistik und öffentlich bekanntem Arbeitgeberwechsel.
Inference	Rückschluss auf Merkmale einer Person mit hoher Wahrscheinlichkeit ohne direkte Identifikation.	Aus aggregierten Studienabbruchraten einer sehr kleinen Studienkohorte lassen sich einzelne Studierende ableiten.

Eine Anonymisierung gilt erst dann als robust, wenn alle drei Risikoformen durch geeignete Maßnahmen (Aggregation, Generalisierung, Unterdrückung, Rauschen, k-Anonymität mit ausreichend großem k, l-Diversity, Differential Privacy) hinreichend kontrolliert sind. Bei kleinen Kohorten – wie sie in universitären Forschungsprojekten typisch sind – ist das eine anspruchsvolle Anforderung.

Rechtliche Folgen im Vergleich

Pflicht	Pseudonymisierung	Anonymisierung
Rechtsgrundlage erforderlich (Art. 6 DSGVO)	Ja – DSGVO voll anwendbar.	Nein – DSGVO nicht anwendbar.
Verarbeitungsverzeichnis (Art. 30)	Ja.	Nein für die anonyme Weiterverarbeitung; die Herstellung der Anonymität ist jedoch eine Verarbeitung im Sinne der DSGVO und dokumentationspflichtig.
Informations- und Auskunftspflichten	Ja, mit Einschränkungen nach Art. 11 DSGVO.	Nein.
DSFA bei hohem Risiko	Ja.	Nur für die Herstellung der Anonymisierung, nicht für die anonyme Nutzung.
Meldepflicht bei Datenpanne	Ja.	Nein, soweit die Daten tatsächlich anonym sind.
Drittlandstransfer (Art. 44 ff.)	Ja, vollständig anwendbar.	Nein.

Zu beachten: Der Vorgang der Anonymisierung selbst ist eine Verarbeitung personenbezogener Daten und benötigt seinerseits eine Rechtsgrundlage. Im Forschungskontext öffentlicher Hochschulen typischerweise Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit landesrechtlichen Forschungsnormen (etwa § 27 DSAG LSA in Sachsen-Anhalt); bei besonderen Kategorien zusätzlich Art. 9 Abs. 2 lit. j DSGVO.

Praxisbeispiele aus dem Hochschulkontext

Pseudonymisierung

Klinische Studie mit späterer Re-Identifizierungsmöglichkeit

In einer klinischen Studie werden Studierenden-IDs durch Token ersetzt; der Zuordnungsschlüssel liegt getrennt beim Studienleiter. Für das Auswertungsteam ist der Personenbezug aufgelöst – der Studienleiter kann jedoch im Notfall (medizinische Aufklärung, Rückfragen, Studienabbruch) re-identifizieren.

Bewertungsansatz: Hier liegt klassisch eine Pseudonymisierung vor – die DSGVO bleibt anwendbar. Praktisch entscheidend sind die TOMs nach Art. 32 DSGVO für die Schlüsselverwaltung. Gegenüber dem Auswertungsteam ist eine kontextuelle Anonymität denkbar. Gegenüber dem Studienleiter, der den Schlüssel hält, scheidet sie aus.

Anonymisierung

Aggregierte Studierendenstatistik für die Öffentlichkeit

Eine Hochschule veröffentlicht aggregierte Statistiken über Studiengänge, Abbruchquoten und Studienerfolg ohne Personenbezug. Die Zahlen werden auf Gruppen von mindestens 10 Personen aggregiert; Kombinationen mit Auffälligkeitsrisiko werden unterdrückt.

Bewertungsansatz: Eine wirksame Anonymisierung kommt hier in Betracht, sofern das Aggregationsniveau hinreichend hoch ist und Singling-out, Linkage und Inference im Einzelfall überzeugend ausgeschlossen sind. Bei tatsächlicher Anonymität ist der Anwendungsbereich der DSGVO nicht eröffnet; datenschutzrechtlich wäre dann keine Rechtsgrundlage erforderlich. Fachrechtliche, hochschulrechtliche, prüfungs-, archiv- oder geheimnisschutzbezogene Vorgaben bleiben hiervon unberührt und sind gesondert zu prüfen. Es wird empfohlen, die Risikoeinschätzung zu dokumentieren.

Grenzfall

Pseudonymisierte Forschungsdaten an externen Rechenzentrums-Anbieter

Ein externer Rechenzentrums-Anbieter führt Berechnungen auf pseudonymisierten Forschungsdaten aus. Der Zuordnungsschlüssel verbleibt bei der Hochschule und wird dem Anbieter weder vertraglich noch technisch zugänglich gemacht. Der Anbieter verfügt über kein Zusatzwissen zur Re-Identifizierung.

Bewertungsansatz: Nach den Grundsätzen der EDSB/SRB-Rechtsprechung (EuGH C-413/23 P) könnte gegenüber dem Anbieter eine kontextuelle Anonymität in Betracht kommen. Dies setzt nach hier vertretener Auffassung jedoch voraus, dass die fünf Kriterien aus Abschnitt 04 sorgfältig geprüft und dokumentiert werden. Für die Hochschule als Übermittler dürften die Daten weiterhin personenbezogen bleiben.

Fehleinschätzung

Vermeintlich anonymisierte Evaluationsergebnisse einer Kleingruppenveranstaltung

Eine Lehrveranstaltung mit sechs Teilnehmenden wird evaluiert. Die Ergebnisse enthalten Fakultät, Studiengang, Semester und Freitextantworten. Eine namentliche Nennung unterbleibt, Namen werden entfernt.

Bewertungsansatz: Trotz fehlender Namen ist eine Re-Identifizierung durch Singling-out (Fakultät + Studiengang + Semester + Kurs) hier mit hoher Wahrscheinlichkeit möglich – insbesondere durch die Lehrperson selbst. Die Annahme einer Anonymisierung ist bei derart kleinen Kohorten kaum zu begründen. Es spricht viel dafür, die Daten weiterhin als personenbezogen zu behandeln.

Typische Fallen in der Praxis

Sechs Stellen, an denen Anonymisierungs- und Pseudonymisierungs-Konzepte in der Praxis kippen:

Verwechslung beider Begriffe: Wird „anonymisiert" verwendet, obwohl lediglich Namen entfernt wurden, dürfte der Personenbezug durch Kontext- und Kombinationsmerkmale häufig fortbestehen. Es wird empfohlen, vor jeder Annahme von Anonymität gezielt das Re-Identifizierungspotenzial zu prüfen.
Unterschätzte Re-Identifizierbarkeit kleiner Kohorten: Bei Kohorten unter 20 Personen ist eine robuste Anonymisierung praktisch selten möglich – insbesondere wenn Beschreibungsmerkmale erhalten bleiben. Empfohlen wird ein besonders sorgfältiges Vorgehen bei Kleingruppen.
Schlüsselverwaltung mit Verbesserungspotenzial: Liegt der Zuordnungsschlüssel auf demselben System wie die pseudonymisierten Daten oder wird er ungeschützt versandt, ist die Schutzwirkung erheblich eingeschränkt. Es wird empfohlen, eine technisch und organisatorisch getrennte Schlüsselverwaltung umzusetzen.
Fehlende Dokumentation: Wird die Entscheidung „die Daten sind jetzt anonym" ohne schriftliche Prüfung getroffen, ist die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO häufig nicht erfüllt. Empfohlen wird eine nachvollziehbare schriftliche Bewertung.
Übersehen des Übermittler-Empfänger-Kontexts: Die kontextuelle Anonymität wirkt nur relativ – nicht absolut. Beim Rückfluss der Daten oder bei Änderung der Zugriffssituation wird empfohlen, die Bewertung neu vorzunehmen.
Einmalige statt kontinuierliche Bewertung: Eine einmal getroffene Anonymisierungsbewertung wird den Veränderungen durch neue Datenquellen, neue Analyseverfahren und technischen Fortschritt selten lange standhalten. Empfohlen wird eine regelmäßige Wiederholung der Re-Identifizierungs-Risikoabschätzung.

Eine abschließende Bewertung, ob konkrete Verstöße vorliegen, obliegt der zuständigen Aufsichtsbehörde.

Vertiefende Quellen

Rechtsquellen

Verordnung (EU) 2016/679 (DSGVO) – insb. Art. 4 Nr. 1 (personenbezogene Daten); Art. 4 Nr. 5 (Pseudonymisierung); ErwGr 26 (relativer Personenbezug, Maßstab vernünftigerweise einzusetzender Mittel).

Rechtsprechung

EuGH, Urteil v. 04.09.2025 – C-413/23 P (EDSB/SRB) – relativer Personenbezug bei pseudonymisierten Daten; Maßstab aus Sicht des Empfängers.
EuGH, Urteil v. 19.10.2016 – C-582/14 (Breyer) – dynamische IP-Adressen als personenbezogene Daten; Grundlegung des relativen Personenbezugs.

Aufsichtspraxis

EDPB, Leitlinien 01/2025 zur Pseudonymisierung (Konsultationsfassung) – Abgrenzung Pseudonymisierung/Anonymisierung; Risikomaßstab.
Art.-29-Datenschutzgruppe, Opinion 05/2014 on Anonymisation Techniques (WP216) – Klassifikation der Anonymisierungstechniken und ihrer Restrisiken.
LfD Sachsen-Anhalt, Orientierungshilfen und Hinweisdokumente – aufsichtsbehördliche Praxis im Land Sachsen-Anhalt.

Querverweise auf eigene Themenseiten

Forschungszweck – Anonymisierung als Privilegierungsvoraussetzung in der Forschung.
Generative KI in Standard-Software (Schatten-KI) – Anonymisierung als Schutzstrategie vor unkontrollierter KI-Verarbeitung.
Datenschutz-Folgenabschätzung – Re-Identifizierungsrisiken als Risikobewertungskriterium.

Stand: Q2/2026 · letzte inhaltliche Pflege; anbieter- und produktbezogene Aussagen sind dynamisch und vor produktiver Nutzung an aktuellen Primärquellen zu prüfen.

Weitere Themenseiten zu Datenschutz, KI-Verordnung und Informationssicherheit.

Zur Themenübersicht

Fragen zu dieser Seite?

Hinweise, Fehlerkorrekturen oder Anregungen zur Erweiterung dieser Seite nehme ich gerne entgegen.

kontakt@dennisawinkler.de