„Wir haben es anonymisiert“ ist einer der am meist bentutzten Sätze im Datenschutz. Nach der DSGVO hat das Wort eine präzise, anspruchsvolle Bedeutung — und die meisten Tools, die „anonymisieren“ sagen, tun in Wirklichkeit etwas, das die Verordnung ganz anders behandelt. Diese Unterscheidung falsch zu treffen ist ein häufiger und kostspieliger Compliance-Fehler.
Kernpunkte
- Nach der DSGVO sind Daten nur dann „anonymisiert“, wenn eine Re-Identifizierung durch niemanden mehr nach vernünftigem Ermessen möglich ist — und wirklich anonymisierte Daten fallen ganz aus der Verordnung heraus (Erwägungsgrund 26).
- Behalten Sie eine Zuordnung oder irgendeinen realistischen Weg zurück zur Person, sind die Daten „pseudonymisiert“, nicht anonymisiert, und unterliegen weiterhin vollständig der DSGVO.
- Die meisten Tools, die vorgeben, Dokumente zu „anonymisieren“, führen in Wirklichkeit eine Pseudonymisierung durch.
- Ein Dokument auf dem Gerät zu anonymisieren vermeidet, die ursprünglichen, vollständig identifizierten Daten an einen Drittverarbeiter zu übergeben.
Die kurze Antwort
Nach der DSGVO sind Daten nur dann anonymisiert, wenn Personen von niemandem mehr identifiziert werden können, mit keinem Mittel, dessen Einsatz nach vernünftigem Ermessen wahrscheinlich ist — und dann fallen sie ganz aus der Verordnung heraus. Behalten Sie irgendeinen Schlüssel, irgendeine Zuordnung oder einen realistischen Weg zurück zur Person, haben Sie die Daten nur pseudonymisiert, und sie unterliegen weiterhin vollständig der DSGVO. Die meisten „Anonymisierungs“-Tools führen in Wirklichkeit eine Pseudonymisierung durch, und beides zu vermengen ist der Punkt, an dem Organisationen auffliegen.
Die Unterscheidung, auf die es den Aufsichtsbehörden wirklich ankommt
Die DSGVO zieht eine harte Grenze zwischen zwei Dingen, die man synonym verwendet:
- Anonymisierung — eine Identifizierung ist unumkehrbar unmöglich, für Sie und für Dritte, mit jedem Mittel, dessen Einsatz nach vernünftigem Ermessen wahrscheinlich ist. Wirklich anonymisierte Daten liegen außerhalb des Anwendungsbereichs der DSGVO (Erwägungsgrund 26): keine Rechtsgrundlage, kein Verarbeitungsvertrag, keine Betroffenenrechte.
- Pseudonymisierung — personenbezogene Daten werden durch Token oder Codes ersetzt, aber eine Zuordnung (oder ein anderes Mittel) kann die Person weiterhin re-identifizieren. Das ist eine anerkannte Sicherheitsmaßnahme (Artikel 4 Nummer 5), doch die Daten bleiben personenbezogene Daten und verbleiben vollständig im Anwendungsbereich.
Der praktische Test: Kann irgendjemand realistisch wieder zur Person gelangen? Existiert irgendwo ein Schlüssel, ist es Pseudonymisierung.
Warum das Menschen zu Fall bringt
Ein Tool, das jeden Namen gegen „[PERSON_14]“ austauscht, fühlt sich anonymisiert an. Doch wenn es — oder Sie — die Zuordnung behält (was reversible Schwärzung ja gerade nützlich macht), sind die Daten pseudonymisiert, nicht anonymisiert. Das ist kein Mangel; es ist ein anderer rechtlicher Status mit anderen Pflichten. Der Fehler besteht darin, zu glauben, Sie hätten die DSGVO verlassen, obwohl das nicht der Fall ist.
Ein kurzer Entscheidungsleitfaden
| Was Sie getan haben | DSGVO-Status | Folge |
|---|---|---|
| Alle Identifikatoren entfernt, keinen Schlüssel behalten, Re-Identifizierung nach vernünftigem Ermessen nicht möglich | Anonymisiert | Außerhalb des Anwendungsbereichs der DSGVO |
| Identifikatoren durch Token ersetzt, eine Zuordnung behalten | Pseudonymisiert | Weiterhin personenbezogene Daten, weiterhin im Anwendungsbereich |
| Schwarze Kästen gezeichnet, aber extrahierbaren Text darunter gelassen | Weder noch — ein Verstoß, der nur darauf wartet zu geschehen | Volle Haftung, dazu ein trügerisches Sicherheitsgefühl |
Wie Anonymisierung auf dem Gerät Ihre Compliance-Lage verbessert
Es gibt zwei voneinander unabhängige Vorteile:
- Die Identifizierbarkeit zu verringern — ob bis zur vollständigen Anonymisierung oder zur Pseudonymisierung — verkleinert die personenbezogenen Daten, die Sie beim Teilen von Dokumenten offenlegen.
- Es auf dem Gerät zu tun bedeutet, dass Sie das ursprüngliche, vollständig identifizierte Dokument nicht an einen Drittverarbeiter übergeben, nur um es zu anonymisieren — was selbst einen Verarbeitungsvertrag erfordern und ein neues Risiko schaffen würde. Lokale Verarbeitung belässt die rohen personenbezogenen Daten auf Ihrem eigenen Rechner; siehe Schwärzen ohne die Cloud.
Daten zu anonymisieren, indem man sie in ein Cloud-Tool hochlädt, ist ein wenig so, als würde man ein Dokument vernichten, indem man es zuerst an einen Fremden schickt.
Häufig gestellte Fragen
Entbindet mich das Anonymisieren von Daten von meinen DSGVO-Pflichten?
Nur wenn es sich um echte Anonymisierung handelt — unumkehrbar, ohne realistischen Weg zurück. Behalten Sie eine Zuordnung, ist es Pseudonymisierung, und Ihre Pflichten bleiben bestehen.
Können pseudonymisierte Daten frei geteilt werden?
Nein. Es sind weiterhin personenbezogene Daten. Sie können unter angemessenen Garantien geteilt werden, liegen aber nicht außerhalb der DSGVO.
Was sollte ich verwenden, Anonymisierung oder Pseudonymisierung?
Es hängt von der Aufgabe ab: dauerhafte, unumkehrbare Entfernung für Daten, die Sie nie wiederherstellen müssen; reversible Tokenisierung, wenn Sie intern wieder zuordnen müssen.
Das Fazit
Bevor Sie sich auf das Wort „anonymisiert“ verlassen, fragen Sie, ob irgendjemand die Person realistisch re-identifizieren könnte. Existiert ein Schlüssel, behandeln Sie die Daten als weiterhin im Anwendungsbereich — und halten Sie den gesamten Vorgang auf Ihrem eigenen Rechner, damit Sie das Original gar nicht erst offenlegen.
promptShield anonymisiert PDFs und Office-Dokumente vollständig auf Ihrem eigenen Gerät, sodass die ursprünglichen personenbezogenen Daten nie einen Drittverarbeiter erreichen — mit dauerhafter Schwärzung wie auch reversibler Tokenisierung, sodass Sie die Methode auf Ihre Rechtsgrundlage abstimmen können. Probieren Sie es an Ihrem eigenen Dokument aus.
