Bei der umkehrbaren Anonymisierung ersetzt ein Code jeden erkannten Wert. Die Zuordnung von Code und Original bleibt im Code-Register auf Ihrem Rechner, und Dekodieren setzt die Namen dort wieder ein. Ein Code gilt nur in dem Ordner, in dem er entstanden ist.
Wofür Kodieren gedacht ist
Für ein Dokument, das das Haus verlässt, gibt es drei Wege. Man verschickt es im Klartext oder entfernt Namen, Anschriften, Steuer-Identifikationsnummer und IBAN endgültig. Oder man ersetzt jeden Wert durch einen Code, den draußen niemand lesen kann, Sie selbst aber schon.
Entfernen passt für alles, was nicht zurückkommen muss. Ein Konvolut für einen Gutachter nennt vielleicht zehn Beteiligte, und aus zehn gleichen Lücken liest niemand ab, wer wem geschrieben hat. Dasselbe gilt für eine Prüfung durch einen Dienstleister oder einer Zweitmeinung, deren Antwort Sie später zuordnen müssen.
Der Gutachter liest statt „Sabine Hoffmann“ einen Code, der in Klageschrift, Anlage K 7 und im dritten Schriftsatz gleich ist, sofern alle im selben Ordner liegen. So sieht er, dass dieselbe Person gemeint ist, ohne zu erfahren, wer sie ist. Kommt das Gutachten zurück, macht Dekodieren aus den Codes wieder Namen. In der Fachliteratur heißt das Tokenisierung, in der Anwendung Kodieren.
Wie ein Code aufgebaut ist
Ein Code besteht aus einer öffnenden eckigen Klammer, einem Typbuchstaben, Füllzeichen und einer schließenden Klammer, etwa [PRKW1FJR]. Das Beispiel zeigt nur die Form, denn die Füllzeichen hängen von einem Zufallswert jeder Installation ab. Fest ist der Buchstabe: P für Personen, O für Organisationen, A für Anschriften, D für Datumsangaben, E für E-Mail-Adressen, T für Telefonnummern, B für die IBAN.
Die Länge des Codes richtet sich nach dem ersetzten Text, und jedes Füllzeichen hat ungefähr die Breite des Zeichens, für das es steht. In PDF-Dateien wird der Code zusätzlich auf die Breite des Originals gestreckt.
Zeilen, Tabellenspalten und Unterschriftenblöcke bleiben so in der Regel, wo sie waren. Ein Gutachter, der nach Seite und Randnummer zitiert, trifft damit auch im Original die richtige Stelle. Dafür verrät ein Code den Typ und ungefähr die Länge des Werts, etwa so viel wie ein Balken.
Ein Code gilt in seinem Ordner
In einem zweiten Ordner erhält derselbe Wert bewusst einen anderen Code, und die Anwendung verhindert zufällige Übereinstimmungen. Ein Dokument ohne Ordner bildet einen eigenen Bereich.
Stellen Sie einem Gutachter Unterlagen aus drei Ordnern zusammen, trägt dieselbe Zeugin in jedem Teil einen anderen Code. Was als ein Vorgang gelesen werden soll, gehört deshalb vor dem Kodieren in einen gemeinsamen Ordner.
Geht eine Datei verloren, wird dieselbe Eigenschaft zum Schutz. Kodierte Dokumente aus zwei Mandatsordnern lassen sich über die Codes nicht verknüpfen. Zurückverwandeln lässt sich ein Code nur mit dem Register, in dem er entstanden ist. Codes, die Sie in den Einstellungen von Hand festlegen, gelten bewusst in jedem Ordner, etwa für den Namen der eigenen Kanzlei.
Wo die Zuordnung liegt
Das Code-Register ist eine lokale Datenbankdatei auf Ihrem Rechner. Dekodieren läuft in der Anwendung ohne Verbindung nach außen, und zu uns gelangt die Zuordnung nie. Wo sie bei Unterlagen unter Berufsgeheimnis liegen muss, beschreiben wir in einem eigenen Beitrag.
Das Register ist bewusst nicht verschlüsselt. Wer die Datei öffnen kann, hat auf demselben Dateisystem auch die unverschlüsselten Originalakten vor sich. Gegen diesen Angreifer würde eine Verschlüsselung des Registers nichts ausrichten. Was den Rechner schützt, etwa Festplattenverschlüsselung und ein gesichertes Benutzerkonto, schützt beide.
Eine Datei macht alles zunichte, und Sie erzeugen sie selbst: den Export des Registers. Er ist eine Klartextliste, Code neben Original. Wer ihn mit einem kodierten Dokument verschickt, hebt dessen Kodierung vollständig auf. Die Anwendung kennzeichnet ihn als sensibel, und er gehört in keine E-Mail, auf kein gemeinsames Laufwerk und in keine Supportanfrage.
Was eine PDF-Datei außer der Seite enthält
Eine PDF-Datei enthält mehr als das Sichtbare: Alternativtexte, XMP-Metadaten, Formularwerte samt fertiger Darstellung und Sprungziele mit Namen. Ein schwarzer Balken erreicht keine dieser Stellen, und der Text darunter lässt sich oft noch kopieren. Entfernen nimmt den Text deshalb aus der Datei.
Beim Herunterladen behandelt die Anwendung auch die verborgenen Stellen: Ein kodierter Wert wird dort zum Code, ein entfernter zu einer neutralen Markierung. Vorschaubilder des unbearbeiteten Dokuments fallen weg, weil sich in einem Bild kein Text austauschen lässt. Vorher sieht ein Mensch die Funde im Dialog „Überprüfen“ durch, denn kein lokales Modell erkennt jede Kennung.
Rechtlich ist es Pseudonymisierung
Was sich umkehren lässt, ist nach Art. 4 Nr. 5 DSGVO Pseudonymisierung. Das Code-Register ist die zusätzliche Information, die gesondert aufbewahrt und geschützt werden muss. Nach Erwägungsgrund 26 bleiben pseudonymisierte Daten personenbezogen. Der Europäische Datenschutzausschuss hat das Anfang 2025 in Leitlinien bekräftigt.
Wertlos ist sie deshalb nicht. Art. 32 Abs. 1 lit. a und Art. 25 DSGVO sowie § 22 Abs. 2 BDSG nennen sie als Schutzmaßnahme. Wann aus Pseudonymisierung Anonymisierung wird, haben wir gesondert untersucht.
Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO macht die Kodierung nicht ohne Weiteres entbehrlich. Sie verändert aber, was beim Dienstleister liegt und was ein Vorfall dort anrichten kann. Prüft eine Landesdatenschutzbehörde oder der BfDI, ist sie eine Maßnahme, die sich vorzeigen lässt.
Für Kanzleien, Arztpraxen und Steuerberater gilt zudem § 203 StGB. Auch nach § 203 Abs. 3 StGB darf ein Dienstleister nur einbezogen werden, soweit es für seine Tätigkeit erforderlich ist. Gebraucht wird meist der Sachverhalt, der Name selten. Wer einen Vorgang so genau schildert, dass die Beteiligten ohne Namen erkennbar sind, gewinnt durch das Kodieren wenig.
Fragen aus der Praxis
Bleiben kodierte Daten personenbezogen?
Für Sie ja, solange das Register existiert. Für einen Empfänger ohne Register kann es anders sein: Der EuGH stellte am 4. September 2025 in EDSB gegen SRB (C-413/23 P) auf die Sicht des jeweiligen Empfängers ab.
Können zwei verschiedene Personen denselben Code erhalten?
Nein. Jeder Code ist im gesamten Code-Register eindeutig, auch über Ordner hinweg. Umgekehrt erhält derselbe Wert in jedem Ordner einen anderen Code.
Was passiert, wenn ich die Zuordnung exportiere?
Sie erhalten eine Klartextdatei, in der jedem Code sein Original gegenübersteht. Liegt sie beim Dokument, entfällt die gesonderte Aufbewahrung, die Art. 4 Nr. 5 DSGVO voraussetzt. Verschicken Sie beide nie gemeinsam.
Eine frühere Fassung dieses Textes behauptete, ein Wert behalte in der ganzen Bibliothek denselben Code. So stand es auch auf anderen Seiten unserer Website, in sieben Sprachen. Das traf nie zu.
Dieser Beitrag erläutert, woher die Pflichten kommen, und ersetzt keine Rechtsberatung im Einzelfall.