– klingt nach einer klaren Trennung, ist aber erstaunlich knifflig.
Personenbezogene Daten unterliegen der DSGVO. Jede Verarbeitung braucht eine Rechtsgrundlage wie Vertragserfüllung, berechtigtes Interesse oder Einwilligung. Der Zweck muss klar definiert sein, die Datenerhebung auf das Notwendige beschränkt, die Informationen müssen richtig, aktuell und sicher gespeichert sein. Zudem müssen die Daten rechtzeitig gelöscht werden sobald der Zweck entfällt. Und all das muss transparent dokumentiert und erklärbar sein.
Das bedeutet Aufwand und das Risiko von Bußgeldern. Daher sollten Daten so früh wie möglich so verändert werden, dass sie weniger Pflichten auslösen oder idealerweise ganz aus der DSGVO herausfallen.
Pseudonymisierung ersetzt direkte Identifikatoren durch Pseudonyme.
Die Zuordnung bleibt jedoch getrennt erhalten, i.d.R. über eine Mappingtabelle. Genau deshalb bleiben pseudonymisierte Daten personenbezogen für alle, die mit vernünftigerweise verfügbaren Mitteln eine Re-Identifizierung vornehmen könnten. Für diese Akteure gelten sämtliche DSGVO-Pflichten zwar weiter, aber das Riskio wird erheblich reduziert. Etwa bei Datenpannen oder bei Analysen, die keinen direkten Personenbezug benötigen.
Spannend wird es bei der Perspektive.
Für Empfänger, die keinerlei realistische Möglichkeit haben an die Zuordnung zu gelangen, können dieselben pseudonymisierten Daten anonym sein. Bestimmte Betroffenenrechte greifen dann nicht mehr. Trotzdem bleibt die verarbeitende Partei als solches je nach Kontext an die DSGVO gebunden (Stand heute, wird aber politisch diskutiert). Da lohnt sich eine Abklärung mit den Datenschutzexperten.
Anonymisierung geht einen Schritt weiter.
Daten gelten dann als anonym, wenn auch unter Einbezug aller vernünftigerweise einsetzbaren Hilfsmittel keine Re-Identifizierung mehr möglich ist. Erst dann fallen sie vollständig aus der DSGVO heraus. Je nach Kontext müssen manchmal dazu auch indirekte Identifikatoren berücksichtigt werden. Dies ist technisch komplex und ein One-Fits-All-Lösung gibt es hier nicht, der Kontext entscheidet was machbar und DSGVO-konform ist.
Pseudonymisierung reduziert Risiken, aber die Daten bleiben personenbezogen.
Anonymisierung entfernt den Personenbezug vollständig, aber nur dann wenn der technische und organisatorische Rahmen realistisch jede Re-Identifizierung ausschließt.
Das Thema ist gleichzeitig essenziell und komplex aber wird oft unterschätzt, nicht nur datenschutzrechtlich sondern auch technisch. Die reale Daten-Welt ist viel komplexer und vielfältiger als jeder Testcase.
„Liebe IT, fügt mal schnell eine Anonymisierung ein. Da gibt es doch was als Open Source oder im Tool XYZ!“ Klingt harmlos, endet aber häufig in ungenauen Ergebnissen, Frust, langen Diskussionen und einem Mammut-Projekt, das am Ende niemand wirklich verantworten und pflegen will.
Wir bei Glanos helfen.
ENGLISH
Anoymization vs Pseudonymization – Sounds like a clear separation, but it’s surprisingly tricky.
Personal data is subject to the GDPR. Every processing operation requires a legal basis, such as contract fulfillment, legitimate interest, or consent. The purpose must be clearly defined, data collection limited to what is necessary, and the information must be accurate, up-to-date, and securely stored. Furthermore, the data must be deleted promptly as soon as the purpose ceases to exist. And all of this must be transparently documented and explainable.
This means effort and the risk of fines. Therefore, data should be modified as early as possible to trigger fewer obligations or, ideally, to fall outside the scope of the GDPR entirely.
Pseudonymization replaces direct identifiers with pseudonyms.
However, the link remains separate, usually via a mapping table. This is precisely why pseudonymized data remains personal for anyone who could re-identify it using reasonably available means. While all GDPR obligations still apply to these parties, the risk is significantly reduced. This is particularly relevant in the event of data breaches or analyses that do not require direct personal identification.
The perspective is where things get interesting.
For recipients who have no realistic way of accessing the data, the same pseudonymized data can be considered anonymous. Certain data subject rights then no longer apply. Nevertheless, the processing party as such remains bound by the GDPR, depending on the context (as of today, but this is under political discussion). It’s worth consulting with data protection experts.
Anonymization goes a step further.
Data is considered anonymous when, even with the use of all reasonably available tools, re-identification is no longer possible. Only then does it fall completely outside the scope of the GDPR. Depending on the context, indirect identifiers may also need to be considered. This is technically complex, and there is no one-size-fits-all solution; the context determines what is feasible and GDPR-compliant.
Pseudonymization reduces risks, but the data remains personal.
Anonymization completely removes the personal reference, but only if the technical and organizational framework realistically precludes any re-identification.
The topic is both essential and complex, yet often underestimated, not only from a data protection perspective but also from a technical one. The real world of data is far more complex and diverse than any test case.
“Dear IT department, could you quickly add anonymization? There’s something available as open source or in tool XYZ!” It sounds harmless, but often ends in inaccurate results, frustration, lengthy discussions, and a mammoth project that ultimately no one wants to take responsibility for or maintain.
We at Glanos can help.