Als anonymisiert gelten Daten erst, wenn niemand sie mit vernünftigerweise einsetzbaren Mitteln wieder einer Person zuordnen kann. Existiert irgendwo ein Schlüssel oder eine Zuordnungstabelle, sind die Daten nur pseudonymisiert, und die DSGVO gilt weiter. Wer dann „anonymisiert“ ins Verarbeitungsverzeichnis einträgt, gibt eine falsche Erklärung ab.
Welche Quelle wie verbindlich ist
Verbindlich ist die Verordnung selbst. Nach Art. 4 Nr. 5 DSGVO lassen sich pseudonymisierte Daten mit gesondert aufbewahrten Zusatzinformationen wieder einer Person zuordnen. Der Weg zurück bleibt also bewusst erhalten. Erwägungsgrund 26 stellt klar, dass solche Daten als Angaben über eine identifizierbare Person gelten.
Wie die Aufsichtsbehörden das auslegen, steht in der Stellungnahme der Artikel-29-Gruppe von 2014 und in den EDSA-Leitlinien 2025. Angewandt wird es in Deutschland von den Landesdatenschutzbehörden und für Bundesbehörden vom BfDI. Die britische Leitlinie gilt nur für das Recht des Vereinigten Königreichs.
Der Maßstab: Was müsste jemand tun?
Unmöglichkeit verlangt der Maßstab nicht, denn verknüpfen lässt sich theoretisch fast alles. Gefragt ist, ob eine Zuordnung mit vernünftigerweise einsetzbaren Mitteln gelingt, und zwar für jeden: Sie, den Empfänger, den Dienstanbieter. Erwägungsgrund 26 nennt dafür Kosten, Zeitaufwand und verfügbare Technik samt ihrer absehbaren Entwicklung.
Die Artikel-29-Gruppe fasst den Test in drei Fragen:
- Lässt sich eine einzelne Person herausgreifen?
- Lassen sich zwei Datensätze derselben Person verknüpfen?
- Lässt sich auf ein Merkmal der Person schließen?
Wer eine davon bejaht, braucht eine eigene Bewertung des Reidentifizierungsrisikos. Erst dann lässt sich begründet von Anonymität sprechen.
Ein Beispiel: Name, IBAN und Steuer-Identifikationsnummer sind entfernt, doch der Text handelt vom einzigen Prokuristen einer Gießerei in Ostwestfalen, dem im März gekündigt wurde. Wer die Branche kennt, findet ihn in fünf Minuten, und genau solche Mittel meint der Maßstab.
Warum der falsche Eintrag teuer wird
„Anonymisiert“ wird oft wie ein Zustand behandelt, den ein Knopfdruck herstellt. Im Recht ist es eine Aussage darüber, was für niemanden mehr möglich ist. Viele Werkzeuge ersetzen Namen durch Platzhalter und bewahren die Zuordnung auf, was vernünftig, aber keine Anonymisierung ist.
Teuer wird der Irrtum, weil Pflichten dann als erledigt gelten: Rechtsgrundlage, Auftragsverarbeitungsvertrag nach Art. 28, Drittlandprüfung nach Art. 44 ff., Löschfrist. Im Prüffall fragt die Aufsichtsbehörde nach diesen Belegen. Nach § 203 StGB ist ein Geheimnis zudem offenbart, wenn der Sachverhalt trotz Code erkennen lässt, um wen es geht.
Pseudonymisierung ist dabei ein eigener rechtlicher Status mit eigenen Pflichten, und Art. 25 und 32 DSGVO nennen sie ausdrücklich als Schutzmaßnahme. Falsch ist nur der Eintrag „anonymisiert“ für ein Verfahren mit Schlüssel.
Was unser eigenes Werkzeug tut
Kodieren ersetzt in promptShield jeden Wert durch einen Code und ist umkehrbar, damit sich die Antwort eines Sprachmodells der Akte zuordnen lässt. Das ist Pseudonymisierung, denn gerade die aufbewahrte Zuordnung hält den Personenbezug aufrecht. Wie das Verfahren funktioniert, beschreiben wir gesondert.
Die Zuordnungstabelle heißt Code-Register und ist eine lokale SQLite-Datei, bewusst nicht verschlüsselt, weil daneben ohnehin die Originale liegen. Dekodieren läuft lokal, ohne Dienst im Netz. Codes gelten pro Ordner, aber auch eine Tabelle pro Ordner ist ein Schlüssel. Der Export des Registers ist eine Klartextdatei und gehört in keine E-Mail und kein Supportticket.
Entfernen löscht den Text aus der Datei und bereinigt auch Metadaten, Alternativtexte, Formularfelder und alte Vorschaubilder. Diese Variante kann den Maßstab erfüllen, wenn keine Zuordnung und kein Export davon existiert.
Kein lokales Modell findet jede Kennung, auch nicht mit Mustern, Erkennungsmodell und der standardmäßig ausgeschalteten KI-Schicht. Den Prokuristen aus Ostwestfalen erkennt keines. Deshalb lässt sich eine geschützte Datei erst herunterladen, wenn ein Mensch die Funde im Überprüfen-Dialog bestätigt hat.
Die Dokumente verlassen Ihr Gerät in keiner Variante. Die kostenlose Browser-Anwendung sendet aber beim Start ein anonymes Startsignal, und nur die Desktop-Anwendung arbeitet vollständig offline.
Was ins Verzeichnis gehört
Beschreiben Sie das Verfahren, das stattgefunden hat. Ein belastbarer Eintrag lautet etwa: „Pseudonymisierung durch umkehrbare Codes, Zuordnungstabelle lokal, Zugriff nur durch die Sachbearbeitung, kein Export.“ Prüfbar wird er durch vier Fragen:
- Wo liegt der Schlüssel, und wer kann ihn lesen?
- Gibt es eine Kopie, etwa einen Export, eine Datensicherung oder einen Mailanhang?
- Was wurde entfernt, was kodiert, und hat ein Mensch das Ergebnis geprüft?
- Welche Angaben machen eine Person auch ohne Kennung bestimmbar?
Erst wenn kein Schlüssel und keine Kopie existiert, lohnt die Prüfung auf Anonymität. Oft vergessen wird dabei die Datensicherung. Für Dokumente unter Berufsgeheimnis beschreiben wir den Ablauf gesondert.
Fragen aus der Praxis
Entfallen meine Pflichten, wenn ich anonymisiere?
Für Daten, die den Maßstab erfüllen, gilt die DSGVO nicht mehr. Der Schritt dorthin ist laut Artikel-29-Gruppe aber selbst eine Verarbeitung und braucht eine Rechtsgrundlage.
Darf pseudonymisiertes Material frei weitergegeben werden?
Nein, es bleibt personenbezogen und braucht Rechtsgrundlage, Auftragsverarbeitungsvertrag und gegebenenfalls die Übermittlungsregeln. Der EuGH entschied 2025 im Verfahren des EDSB gegen den Einheitlichen Abwicklungsausschuss, dass solche Daten für einen Empfänger ohne vernünftige Zuordnungsmittel unter Umständen nicht personenbezogen sind. Für Sie als Absender mit Zuordnungstabelle ändert das nichts.
Anonymisieren oder pseudonymisieren?
Das hängt davon ab, ob Sie den Weg zurück brauchen. Soll die Antwort eines Modells wieder der Akte zugeordnet werden, passt Pseudonymisierung, sonst kann endgültiges Entfernen Anonymität erreichen. Viele Abläufe verbinden beides.
Genügt es, die Zuordnungstabelle zu verschlüsseln?
Für den Status nicht, denn auch eine verschlüsselte Tabelle ist ein Schlüssel. Verschlüsselung hilft bei der Sicherheit nach Art. 32 DSGVO, die ein angemessenes Schutzniveau verlangt, ändert aber nichts am Personenbezug.
Ob Ihre konkrete Verarbeitung zulässig ist, klärt nur eine Prüfung im Einzelfall.