Liebe Leserinnen und Leser,
die Anonymisierung personenbezogener Daten spielt in der betrieblichen Datenschutzpraxis eine wichtige Rolle. Ob bei der Auswertung von Kundendaten, der Entwicklung neuer Software oder dem Einsatz künstlicher Intelligenz: Unternehmen möchten vorhandene Informationen möglichst umfassend nutzen, ohne gegen die Datenschutz-Grundverordnung (DSGVO) zu verstoßen.
Eine Möglichkeit besteht darin, personenbezogene Daten so zu verändern, dass einzelne Personen nicht mehr identifiziert werden können. Doch wann sind Daten tatsächlich anonym? Reicht es aus, Namen und andere direkte Identifikationsmerkmale zu entfernen? Und kann ein Datensatz für ein Unternehmen anonym sein, während er für ein anderes weiterhin personenbezogene Daten enthält?
Mit diesen Fragen beschäftigt sich der Europäische Datenschutzausschuss (EDSA) in seinen Leitlinien 02/2026 zur Anonymisierung. Der EDSA hat den Entwurf am 7. Juli 2026 angenommen und am 8. Juli 2026 zur öffentlichen Konsultation gestellt.
Nach ihrer endgültigen Verabschiedung sollen die Leitlinien die Stellungnahme 05/2014 der Artikel-29-Datenschutzgruppe zu Anonymisierungstechniken ersetzen. Sie konkretisieren die rechtlichen Anforderungen an die Anonymisierung und geben Unternehmen eine Orientierung für die praktische Bewertung entsprechender Verfahren.
Warum ist die Anonymisierung datenschutzrechtlich relevant?
Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Erwägungsgrund 26 der DSGVO stellt hingegen klar, dass die Verordnung keine Anwendung auf anonyme Informationen findet, die sich nicht auf eine identifizierte oder identifizierbare Person beziehen.
Diese Unterscheidung hat erhebliche praktische Auswirkungen. Die Verarbeitung personenbezogener Daten bedarf einer Rechtsgrundlage nach Art. 6 DSGVO und muss weitere datenschutzrechtliche Anforderungen erfüllen. Die anschließende Verarbeitung tatsächlich anonymer Informationen unterliegt dagegen grundsätzlich nicht der DSGVO.
Allerdings ist zwischen Anonymisierung und Pseudonymisierung zu unterscheiden.
Bei einer Pseudonymisierung im Sinne von Art. 4 Nr. 5 DSGVO werden personenbezogene Daten so verarbeitet, dass sie ohne zusätzliche Informationen nicht mehr einer bestimmten Person zugeordnet werden können. Diese zusätzlichen Informationen müssen gesondert aufbewahrt und geschützt werden. Solange eine Identifizierung mit ihrer Hilfe möglich bleibt, handelt es sich für den Verantwortlichen weiterhin um personenbezogene Daten.
Eine wirksame Anonymisierung setzt dagegen voraus, dass die betroffene Person unter Berücksichtigung aller Mittel, die vernünftigerweise wahrscheinlich genutzt werden, nicht mehr identifizierbar ist.
Die bloße Entfernung von Namen, E-Mail-Adressen oder Kundennummern genügt daher nicht zwangsläufig. Auch die Kombination anderer Informationen kann eine Identifizierung ermöglichen.
Anonymität hängt von der jeweiligen Perspektive ab
Eine besonders interessante Frage betrifft die Perspektive, aus der die Identifizierbarkeit einer Person zu beurteilen ist.
Der EDSA folgt in seinen Leitlinien einem relativen Ansatz. Diesen hat der Europäische Gerichtshof im Verfahren EDSB/SRB bestätigt (Urteil vom 4. September 2025, C-413/23 P). Danach haben Informationen nicht zwingend für alle Beteiligten denselben datenschutzrechtlichen Charakter. Entscheidend ist, welche Mittel zur Identifizierung der jeweiligen Stelle tatsächlich zur Verfügung stehen und von ihr vernünftigerweise genutzt werden könnten.
Ein Beispiel:
Ein Unternehmen übermittelt einem unabhängigen Forschungsinstitut einen Datensatz, aus dem Namen und unmittelbare Identifikationsmerkmale entfernt wurden. Das Unternehmen selbst verfügt weiterhin über zusätzliche Informationen, mit denen sich die ursprünglichen Personen bestimmen lassen. Das Forschungsinstitut hat dagegen weder Zugriff auf diese Informationen noch andere realistische Möglichkeiten, die betreffenden Personen zu identifizieren.
Unter diesen Voraussetzungen kann der Datensatz aus Sicht des Forschungsinstituts anonym sein, obwohl er für das übermittelnde Unternehmen weiterhin personenbezogene Daten darstellt.
Das bedeutet jedoch nicht, dass jede Weitergabe pseudonymisierter Daten außerhalb der DSGVO erfolgt. Für das übermittelnde Unternehmen bleiben die Daten personenbezogen. Seine Pflichten, insbesondere die Informationspflichten gegenüber den betroffenen Personen, bestehen daher fort.
Anders ist die Lage bei einer Auftragsverarbeitung. Verarbeitet der Empfänger die Daten im Auftrag des Verantwortlichen, ist nach dem Leitlinienentwurf die Perspektive des Verantwortlichen maßgeblich. Die Daten bleiben dann auch für den Auftragsverarbeiter personenbezogen, selbst wenn dieser niemanden identifizieren könnte.
Für die Bewertung stellt der EDSA zwei Ansätze vor:
Kontextbezogener Ansatz: Die tatsächlichen Identifizierungsmöglichkeiten jeder relevanten Stelle werden einzeln geprüft. Das ist aufwändiger, kann aber zu einem günstigeren Ergebnis führen.
Vereinfachter Ansatz: Alle Beteiligten werden so behandelt, als könnten sie jede verfügbare Technik nutzen. Das ist strenger, aber einfacher anzuwenden.
Der EDSA empfiehlt, beide Ansätze zu kombinieren: zunächst eine vereinfachte Prüfung, bei Bedarf gefolgt von einer vertieften kontextbezogenen Analyse.
Für Unternehmen bedeutet dies, dass die Anonymität von Daten nicht pauschal, sondern im jeweiligen Verarbeitungskontext beurteilt werden muss.
Drei Kriterien für eine erfolgreiche Anonymisierung
Neben der rechtlichen Einordnung enthält der Leitlinienentwurf drei Kriterien, an denen sich die Wirksamkeit einer Anonymisierung messen lässt. Sie knüpfen jeweils an ein typisches Re-Identifizierungsrisiko an.
1. Keine Isolierbarkeit einzelner Datensätze (No Record Isolation)
Zunächst ist zu prüfen, ob sich einzelne Datensätze so von anderen abgrenzen lassen, dass eine bestimmte Person herausgegriffen und anders behandelt werden kann. Auch ohne Kenntnis eines Namens kann eine Person anhand einer ungewöhnlichen Kombination von Merkmalen eindeutig hervortreten.
2. Keine Verknüpfbarkeit (No Linkage)
Weiter ist zu prüfen, ob sich die Datensätze mit externen Datenbeständen oder anderen verfügbaren Informationen so verknüpfen lassen, dass eine Identifizierung möglich wird. Das betrifft vor allem die Zusammenführung von Informationen aus verschiedenen Quellen. So können etwa Altersangaben, Wohnort und weitere Merkmale in Kombination eine Person erkennbar machen. Nach dem Leitlinienentwurf genügt dafür bereits eine Verknüpfung auf Basis von Wahrscheinlichkeiten.
3. Keine Ableitbarkeit (No Inference)
Schließlich ist zu untersuchen, ob sich aus den vorhandenen Informationen Rückschlüsse auf eine bestimmte Person ziehen lassen, die so genau sind, dass sie identifiziert oder herausgegriffen werden kann. Ein Datensatz kann also auch ohne unmittelbare Identifikationsmerkmale problematisch sein.
Sind alle drei Risiken ausgeschlossen, können die Daten nach dem Leitlinienentwurf grundsätzlich als anonym angesehen werden. Ist eines der Kriterien nicht erfüllt, folgt daraus nicht automatisch, dass personenbezogene Daten vorliegen. Vielmehr ist dann vertieft zu prüfen, ob die festgestellte Schwachstelle eine Identifizierung tatsächlich ermöglicht.
Welche Bedeutung haben die Leitlinien für KI und neue Software?
Besonders relevant sind die Leitlinien für Unternehmen, die personenbezogene Daten für statistische Auswertungen, Softwareentwicklung oder KI-Anwendungen nutzen möchten.
Gerade große Datenbestände können Informationen enthalten, die für sich genommen keinen offensichtlichen Personenbezug aufweisen. Durch die Verknüpfung verschiedener Datenquellen oder leistungsfähige Analyseverfahren kann eine Identifizierung jedoch wieder möglich werden. Der EDSA weist ausdrücklich darauf hin, dass KI-Systeme den Aufwand für solche Verknüpfungen erheblich verringern können.
Es reicht deshalb nicht aus, einen Datensatz lediglich als „anonymisiert“ zu bezeichnen. Unternehmen müssen prüfen, welche Informationen vorhanden sind, welche zusätzlichen Daten verfügbar sein könnten und welche technischen Möglichkeiten zur Re-Identifizierung bestehen.
Dabei ist zu berücksichtigen, dass sich technische Möglichkeiten im Laufe der Zeit verändern. Ein Verfahren, das heute hinreichende Anonymität gewährleistet, bietet nicht zwingend auch künftig denselben Schutz. Die Bewertung sollte daher regelmäßig überprüft werden. Auch ein Sicherheitsvorfall kann Anlass für eine Neubewertung sein und gegebenenfalls Meldepflichten auslösen.
Besonders wichtig: Der Vorgang der Anonymisierung ist selbst eine Verarbeitung personenbezogener Daten. Er benötigt daher eine Rechtsgrundlage nach Art. 6 DSGVO, bei besonderen Kategorien personenbezogener Daten zusätzlich eine Bedingung nach Art. 9 Abs. 2 DSGVO. Zudem gelten die Transparenz- und Dokumentationspflichten.
Erst wenn das Ergebnis tatsächlich als anonym einzustufen ist, fällt dessen weitere Verarbeitung grundsätzlich nicht mehr in den Anwendungsbereich der DSGVO.
Was sollten Unternehmen künftig beachten?
Auch wenn die Leitlinien noch nicht endgültig verabschiedet sind, bieten sie bereits eine Orientierung für den Umgang mit anonymisierten Daten. Unternehmen sollten insbesondere:
die eingesetzten Anonymisierungsverfahren anhand der drei Kriterien nachvollziehbar bewerten,
dabei sowohl die eigenen Identifizierungsmöglichkeiten als auch die möglicher Empfänger berücksichtigen,
dokumentieren, welche Re-Identifizierungsrisiken bestehen und durch welche technischen und organisatorischen Maßnahmen sie reduziert werden,
die Bewertung in regelmäßigen Abständen überprüfen.
Ein weiterer wichtiger Punkt betrifft Lösch- und Aufbewahrungskonzepte. Eine wirksame Anonymisierung kann dazu führen, dass die daraus hervorgehenden Informationen nicht mehr der DSGVO unterliegen. Daraus folgt jedoch nicht, dass die ursprünglichen personenbezogenen Daten unbegrenzt gespeichert werden dürfen. Ihre fortdauernde Speicherung bedarf weiterhin einer eigenständigen Rechtfertigung.
Fazit
Die neuen Leitlinien des EDSA zeigen, dass die Anonymisierung personenbezogener Daten rechtlich und technisch differenziert betrachtet werden muss.
Insbesondere der relative Ansatz verdeutlicht, dass derselbe Datensatz je nach Verarbeitungskontext unterschiedlich einzuordnen sein kann.
Eine wirksame Anonymisierung eröffnet Unternehmen erhebliche Möglichkeiten zur weiteren Nutzung von Informationen. Gleichzeitig stellt sie Anforderungen an die Bewertung und Dokumentation der eingesetzten Verfahren.
Entscheidend ist daher nicht, ob Daten als anonym bezeichnet werden, sondern ob eine Identifizierung der betroffenen Personen unter den konkreten Umständen tatsächlich hinreichend ausgeschlossen ist.
Da sich die Leitlinien noch in der öffentlichen Konsultation befinden, bleibt abzuwarten, ob der EDSA einzelne Anforderungen bis zur endgültigen Verabschiedung konkretisiert oder ändert. Unternehmen sollten die weitere Entwicklung aufmerksam verfolgen und ihre bestehenden Anonymisierungsverfahren bei Bedarf überprüfen.
Bei Fragen stehe ich Ihnen jederzeit zur Verfügung.
Viele Grüße aus Aachen
Ingo Goblirsch