Anonymisierung bezeichnet die Veränderung personenbezogener Daten, sodass die betroffene Person nicht mehr identifiziert werden kann. Nach Erwägungsgrund 26 DS-GVO ist entscheidend, ob eine Identifizierung mit Mitteln möglich ist, deren Einsatz vernünftigerweise wahrscheinlich ist. Wirksam anonymisierte Daten unterliegen nicht mehr der DS-GVO. Das bloße Entfernen von Namen oder anderen direkten Identifikationsmerkmalen reicht dafür nicht aus.
Welchen Zweck verfolgt die Anonymisierung?
Die Anonymisierung ermöglicht es Unternehmen, Informationen auszuwerten und weiterzuverwenden, ohne dabei den Personenbezug der Ausgangsdaten beizubehalten.
Sie unterstützt insbesondere den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DS-GVO. Dieser verlangt, dass personenbezogene Daten auf das für den jeweiligen Verarbeitungszweck notwendige Maß beschränkt werden.
Ein typischer Anwendungsbereich ist die statistische Auswertung von Kunden- oder Beschäftigtendaten. Werden ausschließlich wirksam anonymisierte Ergebnisse verwendet, lassen sich Erkenntnisse gewinnen, ohne Informationen über identifizierbare Einzelpersonen offenzulegen.
Wann gelten personenbezogene Daten als anonymisiert?
Für die Beurteilung der Anonymität sind nach Erwägungsgrund 26 DS-GVO alle Mittel zu berücksichtigen, deren Einsatz zur Identifizierung durch den Verantwortlichen oder eine andere Person vernünftigerweise wahrscheinlich ist. Dabei sind insbesondere der erforderliche Zeit- und Kostenaufwand, die verfügbaren Technologien sowie die Möglichkeiten zur Verknüpfung mit zusätzlichen Informationen entscheidend.
Eine lediglich theoretische Identifizierungsmöglichkeit steht der Anonymisierung nicht entgegen. Besteht dagegen unter den konkreten Umständen eine realistische Möglichkeit zur Identifizierung, sind die Daten nicht wirksam anonymisiert.
Zur Anonymisierung werden beispielsweise Informationen zusammengefasst, verallgemeinert oder einzelne Merkmale entfernt. Ob dadurch tatsächlich anonyme Daten entstehen, hängt vom verbleibenden Identifizierungsrisiko ab.
Beispiel: Ein Unternehmen entfernt aus einer Mitarbeiterstatistik sämtliche Namen. Die Statistik enthält jedoch weiterhin das genaue Alter, die Abteilung und die Position der Beschäftigten. Ist in einer Abteilung nur eine Person mit diesen Merkmalen beschäftigt, lässt sich diese weiterhin identifizieren. Die Daten sind insoweit nicht anonym.
Was ist der Unterschied zwischen Anonymisierung und Pseudonymisierung?
Bei der Anonymisierung wird der Personenbezug so beseitigt, dass die betroffene Person mit vernünftigerweise wahrscheinlich eingesetzten Mitteln nicht mehr identifizierbar ist.
Bei der Pseudonymisierung nach Art. 4 Nr. 5 DS-GVO werden personenbezogene Daten dagegen so verarbeitet, dass sie ohne zusätzliche Informationen nicht mehr einer bestimmten Person zugeordnet werden können. Die Zuordnung bleibt mithilfe dieser zusätzlichen Informationen möglich.
Beispiel: Ein Unternehmen ersetzt die Namen seiner Kunden durch Kundennummern und bewahrt eine Zuordnungsliste auf. Da sich die Kunden über diese Liste weiterhin identifizieren lassen, handelt es sich um eine Pseudonymisierung und nicht um eine Anonymisierung.
Pseudonymisierte Daten bleiben personenbezogene Daten und unterliegen weiterhin den Anforderungen der DS-GVO.
Welche Vorteile bietet die Anonymisierung für Unternehmen?
Durch die Anonymisierung lassen sich Informationen beispielsweise für statistische Auswertungen, Marktanalysen oder interne Berichte nutzen, ohne den Personenbezug der Ausgangsdaten beizubehalten.
Art. 25 DS-GVO verpflichtet Verantwortliche, geeignete technische und organisatorische Maßnahmen zur Umsetzung der Datenschutzgrundsätze zu treffen. Die Anonymisierung ist hierfür eine mögliche Maßnahme, sofern sie für den jeweiligen Verarbeitungszweck geeignet ist.
Zu beachten ist jedoch, dass die Anonymisierung personenbezogener Ausgangsdaten selbst eine Verarbeitung im Sinne von Art. 4 Nr. 2 DS-GVO darstellt. Solange personenbezogene Daten verarbeitet werden, müssen die Voraussetzungen der DS-GVO einschließlich einer Rechtsgrundlage nach Art. 6 DS-GVO erfüllt sein.
Praxisbeispiel: Wann sind Kundendaten anonymisiert?
Ein Onlinehändler möchte das Kaufverhalten seiner Kunden auswerten. Hierfür werden zunächst Bestelldaten mit Namen, Kundennummern, Postleitzahlen und gekauften Produkten gespeichert.
Für eine allgemeine Umsatzanalyse benötigt das Unternehmen jedoch keine Informationen über einzelne Kunden. Deshalb werden die Bestellungen zu ausreichend großen Produktgruppen zusammengefasst und nur die jeweiligen Gesamtumsätze ausgewertet.
Enthalten die Ergebnisse keine Informationen mehr, anhand derer einzelne Kunden mit vernünftigerweise wahrscheinlich eingesetzten Mitteln identifiziert werden können, liegen anonymisierte Daten vor.
legal data Einschätzung: Unternehmen sollten vor der Weiterverwendung anonymisierter Daten prüfen, ob die verbleibenden Informationen eine erneute Identifizierung ermöglichen. Besonders bei kleinen Datengruppen oder ungewöhnlichen Merkmalskombinationen besteht ein erhöhtes Risiko der Reidentifizierung. Das bloße Entfernen unmittelbarer Identifikationsmerkmale reicht für eine wirksame Anonymisierung nicht aus.
Rechtsgrundlagen
- Erwägungsgrund 26 DS-GVO
- Art. 4 Nr. 2 und Nr. 5 DS-GVO
- Art. 5 Abs. 1 lit. c DS-GVO
- Art. 6 DS-GVO
- Art. 25 DS-GVO
Häufige Fragen zur Anonymisierung
Reicht es aus, den Namen einer Person zu entfernen?
Nein. Auch ohne Namen bleibt eine Person identifizierbar, wenn andere Informationen eine Zuordnung ermöglichen. Entscheidend ist, ob der Personenbezug insgesamt beseitigt wurde.
Unterliegen anonymisierte Daten noch der DS-GVO?
Wirksam anonymisierte Daten unterliegen nicht mehr der DS-GVO, da sie keinen Personenbezug mehr aufweisen. Für die Verarbeitung der personenbezogenen Ausgangsdaten und den Vorgang der Anonymisierung gelten jedoch weiterhin die datenschutzrechtlichen Anforderungen.
Müssen Unternehmen personenbezogene Daten anonymisieren?
Eine allgemeine Pflicht, sämtliche personenbezogenen Daten zu anonymisieren, besteht nicht. Unternehmen müssen jedoch die Grundsätze der Datenminimierung und des Datenschutzes durch Technikgestaltung beachten. Ob eine Anonymisierung erforderlich oder geeignet ist, richtet sich nach dem jeweiligen Verarbeitungszweck und den gesetzlichen Anforderungen.
Können anonymisierte Daten wieder personenbezogen werden?
Ja. Werden durch neue Informationen oder technische Entwicklungen Identifizierungsmöglichkeiten eröffnet, ist die Anonymität erneut zu beurteilen. Lassen sich Personen mit vernünftigerweise wahrscheinlich eingesetzten Mitteln identifizieren, liegen personenbezogene Daten vor.
Was ist der Unterschied zwischen anonymisierten und aggregierten Daten?
Bei der Aggregation werden einzelne Daten zu zusammengefassten Werten verarbeitet. Aggregierte Daten sind jedoch nicht automatisch anonym. Lassen die Ergebnisse weiterhin Rückschlüsse auf einzelne Personen zu, besteht der Personenbezug fort.
Verwandte Begriffe.
Personenbezogene Daten Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Art. 4 Nr. 1 DSGVO Löschkonzept Ein Löschkonzept legt verbindlich fest, welche personenbezogenen Daten wann, wie und durch wen gelöscht werden. Art. 5 Abs. 1 lit. e DSGVO 