Pseudonymisierung oder Anonymisierung? Der Unterschied nach DSGVO
Die beiden Begriffe werden oft verwechselt – mit Folgen: Anonyme Daten fallen nicht unter die DSGVO, pseudonymisierte schon. Was die Unterschiede sind, wie man sie in der Praxis erkennt und warum das für Kanzleien entscheidend ist.
Die Definitionen
Pseudonymisierung ist in Art. 4 Nr. 5 DSGVO definiert: Personenbezogene Daten werden so verarbeitet, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer bestimmten Person zugeordnet werden können – vorausgesetzt, diese zusätzlichen Informationen werden gesondert aufbewahrt und technisch wie organisatorisch geschützt.
Anonymisierung ist in der DSGVO nicht ausdrücklich definiert. Erwägungsgrund 26 stellt aber klar: Die Grundsätze des Datenschutzes gelten nicht für anonyme Informationen, die sich nicht auf eine identifizierte oder identifizierbare Person beziehen. Ob eine Person identifizierbar ist, richtet sich nach allen Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden – unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technologie.
Der Unterschied auf einen Blick
| Pseudonymisierung | Anonymisierung | |
|---|---|---|
| Beispiel | „Max Mustermann“ wird zu „Kläger A“ | Person ist auch über den Inhalt nicht mehr bestimmbar |
| Umkehrbar | ja, mit dem Zuordnungsschlüssel | nein |
| DSGVO anwendbar | ja | nein |
| Nutzen der Daten | Zusammenhänge bleiben erhalten | oft stark eingeschränkt |
| Typischer Einsatz | KI-Prüfung, interne Auswertung | Veröffentlichung, Statistik |
Die Falle: indirekte Merkmale
Ein Urteil, in dem nur die Namen geschwärzt sind, kann trotzdem eindeutig auf eine Person verweisen. Typische Beispiele:
- „Der Kläger betreibt die einzige Apotheke im Ort“ – zusammen mit dem Gerichtsort genügt das zur Identifizierung.
- Ein ungewöhnlicher Beruf, ein seltener Unfallhergang oder ein Fall, über den die Presse berichtet hat.
- Exakte Daten wie Geburtsdatum, Unfallzeitpunkt oder Kaufdatum in Kombination mit dem Wohnort.
Solche Angaben findet keine automatische Erkennung zuverlässig, weil sie nicht wie eine IBAN oder ein Name einem festen Muster folgen. Hier ist Ihr fachliches Urteil gefragt: Lässt der verbleibende Text Rückschlüsse zu, müssen auch diese Angaben verallgemeinert werden – etwa „ein Gewerbetreibender“ statt „der einzige Apotheker im Ort“.
Es kommt auf die Perspektive an
Für die Kanzlei, die den Zuordnungsschlüssel besitzt, bleiben pseudonymisierte Daten immer personenbezogen. Anders kann es beim Empfänger aussehen: Der Europäische Gerichtshof hat 2025 (Rs. C-413/23 P) betont, dass für die Frage der Identifizierbarkeit auch die Sicht desjenigen zählt, der die Daten erhält – kann er die Personen mit vertretbaren Mitteln nicht bestimmen, sind die Daten für ihn unter Umständen nicht personenbezogen.
Für Kanzleien ist das kein Freibrief. Das Berufsgeheimnis nach § 203 StGB schützt Geheimnisse des Mandats, nicht nur personenbezogene Daten im Sinne der DSGVO. Wer einen pseudonymisierten Schriftsatz an einen KI-Dienst gibt, sollte deshalb prüfen, ob der Sachverhalt selbst noch Rückschlüsse erlaubt. Mehr dazu im Beitrag ChatGPT in der Kanzlei.
Was das für die Praxis bedeutet
- Direkte Kennungen pseudonymisieren: Namen, Anschriften, Geburtsdaten, IBAN, Aktenzeichen, Kennzeichen und ähnliche Angaben konsequent ersetzen – im Text, in Scans und in den Metadaten.
- Den Schlüssel getrennt halten: Die Zuordnungstabelle gehört nie zum weitergegebenen Dokument. Sie ist das, was Art. 4 Nr. 5 DSGVO mit „gesondert aufbewahrt“ meint.
- Indirekte Merkmale prüfen: Den verbleibenden Text mit der Frage lesen, ob ein Außenstehender die Beteiligten erkennen könnte.
- Dokumentieren: Festhalten, was ersetzt wurde und wie geprüft wurde – für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Pseudonymisierung ist damit kein schwächeres Verfahren, sondern ein anderes: Sie hält Dokumente nutzbar und senkt das Risiko deutlich. Die DSGVO nennt sie ausdrücklich als geeignete Schutzmaßnahme, etwa in Art. 25 (Datenschutz durch Technikgestaltung) und Art. 32 (Sicherheit der Verarbeitung).
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.