Pseudonymisierung oder Anonymisierung? (DSGVO, EDPB 01/2025)

„Anonymisiert“ und „pseudonymisiert“ werden oft gleichbedeutend verwendet, auch in juristischen Texten. Nach der DSGVO führen sie zu entgegengesetzten Ergebnissen: Pseudonymisierte Daten bleiben personenbezogene Daten, anonyme Informationen fallen dagegen nicht unter die Verordnung. Ein pseudonymisiertes Dokument als „anonymisiert“ zu bezeichnen, ist daher keine Stilfrage. Es kann einen Mandanten, ein Gericht oder einen Vertragspartner über den tatsächlich angewandten Schutz täuschen.

Was die DSGVO sagt

Die DSGVO definiert die Pseudonymisierung in Art. 4 Nr. 5 als die Verarbeitung personenbezogener Daten „in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können“, sofern diese zusätzlichen Informationen gesondert aufbewahrt und durch technische und organisatorische Maßnahmen geschützt werden.

Erwägungsgrund 26 zieht die Folgerung. Pseudonymisierte Daten, die durch Heranziehung zusätzlicher Informationen einer Person zugeordnet werden könnten, sind Informationen über eine identifizierbare Person. Ob eine Person identifizierbar ist, bemisst sich nach allen Mitteln, die vom Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, „wie beispielsweise das Aussondern“, unter Berücksichtigung objektiver Faktoren wie Kosten, Zeitaufwand und verfügbarer Technologie. Nur anonyme Informationen, die sich nicht auf eine identifizierte oder identifizierbare Person beziehen, sind von den Datenschutzgrundsätzen ausgenommen.

Die Pseudonymisierung ist kein Selbstzweck: Art. 25 Abs. 1 und Art. 32 Abs. 1 Buchst. a nennen sie als Maßnahme für den Datenschutz durch Technikgestaltung und für die Sicherheit der Verarbeitung.

Was die EDSA-Leitlinien 01/2025 ergänzen

Der Europäische Datenschutzausschuss (EDSA, engl. EDPB) hat seine Leitlinien 01/2025 zur Pseudonymisierung am 16. Januar 2025 in einer Fassung zur öffentlichen Konsultation angenommen (englische Fassung). Zum Zeitpunkt dieses Ratgebers ist dies die veröffentlichte Fassung. Fünf Punkte sind für eine Kanzlei wichtig:

• Personenbezogen, gleich wer den Schlüssel hält. Pseudonymisierte Daten, die mit zusätzlichen Informationen einer Person zugeordnet werden könnten, sind personenbezogen, und zwar auch dann, wenn die pseudonymisierten Daten und die zusätzlichen Informationen nicht in derselben Hand liegen (Rn. 22).
• Das Löschen des Schlüssels genügt nicht. Selbst wenn alle zusätzlichen Informationen gelöscht sind, werden die Daten nur anonym, wenn die Voraussetzungen der Anonymität erfüllt sind (Rn. 22).
• Auch der Schlüssel ist heikel. Zu den zusätzlichen Informationen gehören Tabellen, die Pseudonyme den ersetzten Werten zuordnen, sowie kryptografische Schlüssel. Sie sind gesondert aufzubewahren und zu schützen (Rn. 20). Solche Zuordnungstabellen sind selbst personenbezogene Daten (Rn. 93).
• Die Pseudonymisierungsdomäne. Der Verantwortliche legt den Rahmen fest, in dem eine Zuordnung verhindert werden soll, zum Beispiel den Kreis der Empfänger des pseudonymisierten Textes (Zusammenfassung und Abschnitt 2.3).
• Quasi-Identifikatoren. Merkmale wie Alter, Geschlecht, Beruf, Familienstand oder Einkommen können in Kombination auf eine Person verweisen, ohne dass ein Name fällt. Der Ausschuss beschreibt drei Wege, mit ihnen umzugehen: Entfernen, Verallgemeinern oder Randomisieren, oder die in der Domäne verfügbaren Informationen begrenzen (Rn. 101 bis 103).

Der Gerichtshof: aus wessen Sicht?

Im Urteil EDSB/SRB (C-413/23 P, 4. September 2025) hat der Gerichtshof der Europäischen Union zur Verordnung 2018/1725 entschieden, dem Gegenstück der DSGVO für die EU-Organe. Nach der Pressemitteilung des Gerichtshofs sind pseudonymisierte Daten „nicht in jedem Fall und für jede Person als personenbezogene Daten zu betrachten“: Je nach den Umständen kann die Pseudonymisierung andere Personen als den Verantwortlichen daran hindern, die betroffene Person zu identifizieren. Die Informationspflicht des Verantwortlichen beurteilt sich dagegen zum Zeitpunkt der Erhebung und aus seiner Sicht.

Für den Rechtsanwalt empfiehlt sich eine vorsichtige Lesart. Sie halten den Schlüssel, für Sie ist der pseudonymisierte Text also personenbezogen. Ob ein Empfänger, etwa ein KI-Anbieter, die Personen identifizieren könnte, hängt davon ab, was der Text noch verrät und was der Empfänger sonst weiß. Eine Kanzleipraxis sollte nicht auf der Annahme beruhen, der Empfänger sehe nur anonyme Daten.

Ein neuer Entwurf zur Anonymisierung

Am 7. Juli 2026 hat der EDSA den Entwurf seiner Leitlinien 02/2026 zur Anonymisierung angenommen; Stellungnahmen sind bis zum 30. Oktober 2026 möglich. Der Entwurf beurteilt die Anonymität aus der Sicht jeder maßgeblichen Stelle und schlägt drei Kriterien vor: keine Isolierung von Datensätzen, keine Verknüpfung, keine Inferenz (no record isolation, no linkage, no inference). Daten, die alle drei erfüllen, können als anonym gelten. Es handelt sich um einen Entwurf, der sich noch ändern kann.

Im Vergleich

Warum die Anonymisierung eines juristischen Textes schwierig ist

Ein Urteil oder ein Schriftsatz erzählt eine Geschichte, und Geschichten sind einmalig. Entfernt man alle Namen, kann der Text die Personen trotzdem über das Verbleibende erkennbar machen: die Gemeinde, den Beruf, das Alter, die Zahl der Kinder, die Staatsangehörigkeit, den Arbeitgeber, eine Schule, eine Krankheit, einen genauen Betrag, das Datum eines ungewöhnlichen Ereignisses. In einer kleinen Gemeinschaft, etwa in einem Dorf der Eifel, können schon zwei solcher Angaben genügen. Wer den Sachverhalt schon kennt, erkennt ihn wieder; das ist das Inferenzrisiko des EDSA-Entwurfs.

Deshalb ist der Modus Anonymisieren von Localex eine notwendige, aber keine hinreichende Bedingung. Er erzeugt keinen Schlüssel, mit dem Werkzeug lässt sich also nichts umkehren. Ob das Ergebnis rechtlich anonym ist, hängt zusätzlich vom Inhalt im Klartext und vom Leserkreis ab.

So gehen Sie mit Localex vor

1. Öffnen Sie das Werkzeug und laden Sie das Dokument.
2. Wählen Sie den Modus: Pseudonymisieren, wenn Sie die Originale zurückbrauchen (etwa nach einer KI-Antwort), Anonymisieren, wenn nie etwas umgekehrt werden soll.
3. Wählen Sie für die Anonymisierung Ersetzungen, die Information entfernen: schwarzer Balken, Rollen-Platzhalter oder Verallgemeinerung (ein Geburtsdatum wird zu einer Altersspanne, eine Anschrift zu einer Gemeinde oder Provinz, ein Betrag zu einer gerundeten Zahl).
4. Behandeln Sie bei der Durchsicht die Quasi-Identifikatoren: Gemeinden, Arbeitsorte, Schulen, genaue Beträge. Mit den KI-Funktionen, kostenlos nach Bestätigung der E-Mail-Adresse, meldet eine Analyse des Re-Identifizierungsrisikos die im Klartext verbliebenen Angaben.
5. Exportieren Sie. Die Leckprüfung durchsucht die Ausgabedatei nach den bei der Durchsicht maskierten Originalwerten.

Formulierungen, die zutreffen

• Schreiben Sie „pseudonymisiert“ für jeden Text, der sich mit einem Schlüssel umkehren lässt, auch wenn nur Sie den Schlüssel besitzen.
• Verwenden Sie „anonymisiert“ nur für Texte, die Sie als solche beurteilt haben, und sagen Sie, wie: „Namen der Parteien und Zeugen entfernt, Orte und Daten verallgemeinert“.
• In einer Veröffentlichung beschreibt ein Hinweis wie „Namen vom Verfasser ersetzt“, was getan wurde, ohne mehr zu behaupten.

Ehrliche Grenzen

• Kein Werkzeug kann allein entscheiden, dass ein Text rechtlich anonym ist: Die Beurteilung hängt vom Inhalt, vom Zusammenhang und von den Empfängern ab.
• Die Leckprüfung findet Originalwerte; eine Kombination harmlos wirkender Angaben, die jemanden erkennbar macht, kann sie nicht erkennen.
• Die Erkennung ist nicht lückenlos, und die Durchsicht bleibt Sache des Rechtsanwalts.

Weitere Ratgeber

• Dokumente vor ChatGPT pseudonymisieren
• Urteile veröffentlichen: die Parteien pseudonymisieren
• Sicherheit und Zuordnung zu den Leitlinien