Pseudonymisierung und Anonymisierung: der Unterschied, mit Beispielen und EuGH-Urteil

Was ist der Unterschied zwischen Pseudonymisierung und Anonymisierung?

Pseudonymisierung trennt die Daten von den Informationen, die sie einer Person zuordnen, aber die Zuordnung bleibt möglich. Anonymisierung heißt, dass die Person nicht mehr erkennbar ist. Nur anonyme Informationen liegen außerhalb der DSGVO.^[2]

Die Verordnung definiert Pseudonymisierung als Verarbeitung, bei der personenbezogene Daten ohne zusätzliche Informationen keiner bestimmten betroffenen Person mehr zugeordnet werden können. Diese zusätzlichen Informationen müssen gesondert aufbewahrt und technisch und organisatorisch geschützt werden (Art. 4 Nr. 5 DSGVO).^[1] Erwägungsgrund 26 ergänzt: Pseudonymisierte Daten, die sich mit zusätzlichen Informationen einer Person zuordnen lassen, sind als Informationen über eine identifizierbare Person zu betrachten. Ob jemand identifizierbar ist, hängt von allen Mitteln ab, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, etwa vom Verantwortlichen oder von einer anderen Person. Kosten, Zeitaufwand und verfügbare Technik zählen dabei.^[2]

Der Landesbeauftragte für den Datenschutz Baden-Württemberg formuliert in seinem Papier zu KI knapp: Nur eine dauerhafte Anonymisierung hebe den Personenbezug auf, und die Anonymisierung sei selbst eine Verarbeitung, die eine Rechtsgrundlage brauche.^[6]

Wie sieht der Unterschied an drei Beispielen aus?

Beispiel 1: ein CSV-Export

Eine Kundentabelle enthält Name, E-Mail, Postleitzahl, Geburtsdatum und Umsatz. Ersetzen Sie Name und E-Mail durch laufende Nummern (KUNDE_001) und bewahren Sie die Nummernliste getrennt auf, ist das Pseudonymisierung. Wer die Liste hat, kann jede Zeile zuordnen. Aber auch ohne Liste kann die Kombination aus Postleitzahl und Geburtsdatum bei vielen Zeilen eindeutig sein. Anonymisierung würde heißen: Geburtsjahrgänge statt Geburtstage, Regionen statt Postleitzahlen, kleine Gruppen zusammenfassen.

Beispiel 2: ein Brief

Sie ersetzen im Mahnschreiben an „Hanna Lenz“ den Namen durch „[PERSON_1]“. Im Text stehen aber noch das Datum der Rechnung, der Betrag und „Leiterin Konzernrevision“. Wer die Firma kennt, erkennt die Person. Das ist Pseudonymisierung mit Lücken, weit entfernt von Anonymität. Einen einzelnen Brief wirklich anonym zu machen, gelingt meist nur, indem man ihn so stark kürzt, dass er seinen Zweck verliert.

Beispiel 3: ein Chat-Prompt

Ein Prompt mit „[PERSON_1]“, „[FIRMA_1]“ und „[IBAN_1]“ ist Pseudonymisierung. Sie behalten die Tabelle, die KI sieht sie nicht, und Sie können die Antwort zurücktauschen. Für Sie als Schlüsselinhaber bleibt der Prompt ein Text mit personenbezogenen Daten. Wie Sie dabei vorgehen, zeigt der Ratgeber Daten für ChatGPT pseudonymisieren.

Wie entscheide ich im Alltag, welcher Fall vorliegt?

Gehen Sie von „pseudonymisiert“ aus, solange Sie oder jemand anderes die Person mit vernünftigem Aufwand wiederfinden kann. Stellen Sie dazu drei Fragen, die sich aus Erwägungsgrund 26 ableiten:^[2]

Für Prompts landen Sie in der Praxis fast immer bei der ersten Zeile, denn Sie wollen die Antwort ja zurücktauschen. Das ist kein Mangel, sondern der Zweck: Sie nutzen Pseudonymisierung als Schutzmaßnahme, nicht als Weg aus dem Datenschutzrecht. Die DSGVO nennt Pseudonymisierung selbst als geeignete technische Maßnahme, etwa beim Datenschutz durch Technikgestaltung (Art. 25) und bei der Sicherheit der Verarbeitung (Art. 32).^[8][9]

Welche Fehler passieren bei der Abgrenzung am häufigsten?

• „Namen weg, also anonym.“ Siehe oben: Der Kontext identifiziert oft weiter.
• Schlüssel und Daten am selben Ort. Liegt die Zuordnungstabelle neben dem pseudonymisierten Dokument, ist die Trennung aufgehoben.
• Anonym wegen des Anbieters. Dass der Anbieter die Person nicht erkennt, macht den Prompt für Sie nicht anonym. Nach dem EuGH-Urteil sind pseudonymisierte Daten zwar nicht „in allen Fällen und für jede Person“ personenbezogen, am Status des Schlüsselinhabers ändert das aber nichts.^[3]
• Anonymisierung ohne Prüfung. Halten Sie schriftlich fest, welche Angaben Sie entfernt oder vergröbert haben und welche Mittel einer Wiederfindung Sie geprüft haben, bevor Sie Daten als anonym behandeln.
• Vergessene Dateiteile. Kopfzeilen, Kommentare, Metadaten und Dateinamen enthalten oft Namen.

Warum reicht das Ersetzen von Namen oft nicht?

Weil Kontext identifiziert. Die Datenschutzkonferenz schreibt in ihrer Orientierungshilfe zu KI, dass das Entfernen von Namen und Adressen regelmäßig nicht ausreicht, weil der Kontext die Person weiterhin erkennbar machen kann.^[4] Daten, Beträge, seltene Berufsbezeichnungen und Orte wirken wie Teile einer Kennnummer. Je eindeutiger die Kombination, desto weniger schützt der Austausch des Namens.

Was hat der EuGH in der Rechtssache C-413/23 P entschieden?

Der Gerichtshof hat am 4. September 2025 im Verfahren des Europäischen Datenschutzbeauftragten gegen den Einheitlichen Abwicklungsausschuss (SRB) entschieden. Er hob das Urteil des Gerichts auf und verwies die Sache zurück. Nach der Pressemitteilung des Gerichtshofs hat er drei Punkte festgehalten:^[3]

• Meinungen und Einschätzungen einer Person beziehen sich auf diese Person.
• Pseudonymisierte Daten sind nicht „in allen Fällen und für jede Person“ als personenbezogene Daten anzusehen. Die Pseudonymisierung kann andere Personen als den Verantwortlichen tatsächlich daran hindern, die betroffene Person zu identifizieren.
• Für die Informationspflicht des Verantwortlichen kommt es auf den Zeitpunkt der Erhebung und auf seine Sicht an. Die Pflicht bestand vor der Weitergabe an das Beratungsunternehmen, unabhängig davon, ob die Daten dort personenbezogen waren.

Politisch ist die Lage offen. Die Kommission schlug am 19. November 2025 vor, den Begriff der personenbezogenen Daten zu relativieren. Nach Berichten von Kanzleien hat der Rat diese Änderung in seiner Position vom 21. Oktober 2026 abgelehnt; er schlägt eine Sonderregel für pseudonymisierte Daten bei Dritten vor, die die Person nicht identifizieren können. Das Parlament hat noch keine Position, mit einem Abschluss ist nicht vor 2027 zu rechnen.^[7] Für heute gilt: Die Definition ist unverändert.

Wann lohnt sich echte Anonymisierung?

Dann, wenn Sie das Ergebnis nicht mehr zurückführen müssen: bei veröffentlichten Zahlen, bei Auswertungen über viele Fälle oder bei Trainingsmaterial für Schulungen. Dort fassen Sie Einzelangaben zu Gruppen zusammen, vergröbern Zeit- und Ortsangaben und entfernen Kennnummern. Bei Einzeltexten wie einem Brief oder einer Reklamation ist das selten sinnvoll, weil der Inhalt genau dadurch verloren geht, was die Antwort braucht. Dort ist saubere Pseudonymisierung mit Sichtprüfung der realistische Weg, verbunden mit der Prüfung, ob Sie die Daten überhaupt in das gewählte Werkzeug eingeben dürfen.

Was sehen Sie vom Weg der Daten, und was können Sie kontrollieren?

Ob ein Anbieter eine Person aus einem pseudonymisierten Prompt wiederfinden kann, hängt von Kontext, Datenmenge und seinen Mitteln ab, und Sie sehen nicht, was er tatsächlich tut. Nach dem Absenden können Sie nicht beobachten, wo ein Prompt verarbeitet, kopiert oder gespeichert wird; Sie haben Vertrag und Dokumentation des Anbieters. Dazu kommt: Ein Auftragsverarbeiter darf unter Bedingungen weitere Auftragsverarbeiter einsetzen (Art. 28 Abs. 2 und 4 DSGVO)^[11], und was gesendet wurde, lässt sich nicht zurückholen. Behandeln Sie „der Anbieter erkennt die Person nicht“ deshalb nie als gesicherte Tatsache, sondern als Annahme, die Sie nicht prüfen können.

Kontrollieren können Sie, was Ihr Gerät verlässt: nur senden, was die Aufgabe braucht (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO)^[12]), und identifizierende Angaben weglassen, vergröbern oder durch Pseudonyme ersetzen. Das verringert, was offenliegt; Vertrag, Rechtsgrundlage und menschliche Prüfung ersetzt es nicht, und kein automatisches Verfahren findet alles. Mehr dazu in Wo landen Ihre Daten bei KI-Anbietern, und was können Sie kontrollieren?

Was bedeutet das, wenn ein Unternehmen einen pseudonymisierten Prompt an einen KI-Anbieter sendet?

Das Unternehmen hält den Schlüssel und bleibt Verantwortlicher für personenbezogene Daten. Für das Unternehmen sind die Daten personenbezogen, weil es sie mit der eigenen Zuordnungstabelle verknüpfen kann.

• Rechtsgrundlage: Sie brauchen weiterhin eine, auch für das Pseudonymisieren.^[6]
• Transparenz: Informationspflichten gegenüber Betroffenen bleiben. Nach dem EuGH-Urteil zählt für sie die Sicht des Verantwortlichen.^[3]
• Anbieter: Ob der Anbieter die Person re-identifizieren kann, ist eine getrennte Frage. Sie hängt von Kontext, Datenmenge und seinen Mitteln ab. Als Schutzmaßnahme bleibt Pseudonymisierung sinnvoll, sie ersetzt aber keine Prüfung von Tarif, Vertrag und Rechtsgrundlage. Dazu: Kundendaten in ChatGPT eingeben.
• Schlüssel schützen: Die Tabelle gehört nicht in den Chat, nicht in dasselbe Dokument und nicht in denselben Ordner wie die pseudonymisierten Texte (Art. 4 Nr. 5 verlangt die getrennte Aufbewahrung).^[1]

Praktisch heißt das für Ihre interne Regel: Legen Sie fest, wer die Zuordnungstabelle führen darf, wo sie liegt und wann sie gelöscht wird. Halten Sie in Ihrem Verzeichnis der Verarbeitungstätigkeiten fest, dass Prompts mit Pseudonymen weiterhin personenbezogene Daten enthalten. Und schulen Sie Beschäftigte darin, dass „pseudonymisiert“ nicht „freigegeben“ bedeutet: Es beschreibt eine Schutzmaßnahme, kein Ergebnis der rechtlichen Prüfung.

Begriffe wie „Schlüssel“ und „Zuordnungstabelle“ finden Sie im Glossar. Dieser Text ist allgemeine Information, keine Rechtsberatung.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Er ersetzt nicht die Prüfung Ihres Einzelfalls durch Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder eine Rechtsberatung. Stand: 13. November 2026.