Anonymisierung

Definition: Anonymisierung bezeichnet im Datenschutzrecht den Prozess, durch den personenbezogene Daten so verändert, zusammengefasst oder gelöscht werden, dass die betroffene Person weder durch den Verantwortlichen noch durch Dritte mit vernünftigerweise einzusetzenden Mitteln identifiziert werden kann. Erfolgreich anonymisierte Daten gelten rechtlich nicht mehr als personenbezogen und unterliegen daher nicht mehr den Anforderungen der DSGVO – dies ist in Erwägungsgrund 26 DSGVO ausdrücklich festgehalten. Anonymisierung ist damit das stärkste Datenschutzinstrument, weil es den Personenbezug vollständig beseitigt und den resultierenden Datensatz aus dem Anwendungsbereich des Datenschutzrechts herausnimmt. Voraussetzung für eine echte Anonymisierung ist jedoch, dass eine Re-Identifizierung mit realistisch verfügbaren Mitteln ausgeschlossen ist – bloße Schwierigkeit der Identifizierung genügt nicht. Die hohe Messlatte gilt sowohl für absolute (keinerlei Identifizierung möglich) als auch für relative Anonymität (relative Unmöglichkeit angesichts konkreter Umstände und Ressourcen des Verantwortlichen). In der Praxis ist echte Anonymisierung technisch anspruchsvoll: Selbst nach Entfernung direkter Identifikatoren können kombinierte Merkmale wie Alter, Wohnort und seltene Erkrankungen zur Re-Identifizierung führen. Die Abgrenzung zur Pseudonymisierung ist entscheidend – pseudonymisierte Daten bleiben personenbezogen.

Erläuterung

Die DSGVO enthält keine eigene Definition der Anonymisierung, gibt aber in Erwägungsgrund 26 entscheidende Hinweise: Es kommt auf alle Mittel an, die vernünftigerweise eingesetzt werden könnten, um die betreffende Person zu identifizieren – einschließlich gesondert aufbewahrter Zusatzinformationen. Die Beurteilung hängt daher immer vom konkreten Kontext, den verfügbaren Zusatzinformationen und dem technologischen Stand ab. Was heute als anonym gilt, kann morgen durch neue Analysemethoden oder zusätzliche öffentliche Datensätze re-identifizierbar sein.

Für das Online Marketing hat Anonymisierung erhebliche praktische Bedeutung: Anonymisierte Analysedaten können ohne datenschutzrechtliche Schranken für Statistiken, Trendauswertungen, A/B-Testing oder KI-Training genutzt werden. Viele Analyse-Tools bieten Anonymisierungsfunktionen an – etwa die IP-Anonymisierung in Google Analytics, bei der das letzte Oktett der IP-Adresse vor der Verarbeitung gelöscht wird. Diese partielle Anonymisierung reicht jedoch nur dann, wenn tatsächlich keine Re-Identifizierung über andere Merkmale möglich ist.

Das Artikel-29-Datenschutzgremium (Vorgänger des EDPB) hat in seiner Stellungnahme 05/2014 zu Anonymisierungstechniken verschiedene Verfahren analysiert und auf ihre Wirksamkeit hin bewertet: Rauschen hinzufügen, Permutation, Datenaggregierung, K-Anonymität, L-Diversität und Differential Privacy. Keines dieser Verfahren ist in allen Anwendungsfällen hundertprozentig wirksam – die Wahl hängt vom Schutzbedarf und der Art der Daten ab.

Anonymisierungstechniken im Überblick

• Datenaggregierung: Zusammenfassung von Einzeldaten zu Gruppen (z. B. Altersgruppen statt exaktem Geburtsdatum, Umsatzbereiche statt exakten Beträgen). Wirksam, wenn Gruppen groß genug sind, um Einzelpersonen nicht herauszufiltern.
• Rauschen hinzufügen (Data Perturbation): Numerische Werte werden durch geringe, zufällige Veränderungen verfremdet; statistische Auswertungen bleiben aussagekräftig, Rückschlüsse auf Einzelpersonen werden erschwert.
• K-Anonymität: Jeder Datensatz ist mindestens k–1 anderen Datensätzen so ähnlich, dass eine Identifizierung nur mit einer Wahrscheinlichkeit von 1/k möglich ist. Schwäche: anfällig für Homogenitätsangriffe.
• L-Diversität: Erweiterung der K-Anonymität; sensible Attribute werden innerhalb jeder Äquivalenzklasse diversifiziert, um Schlussfolgerungen auf sensitive Merkmale zu verhindern.
• Differential Privacy: Mathematisch fundiertes Verfahren, das durch gezieltes Hinzufügen von Rauschen gewährleistet, dass die Ausgabe einer Datenbankabfrage nicht wesentlich davon abhängt, ob eine bestimmte Person enthalten ist. Wird u. a. von Apple und Google eingesetzt.
• Datenmaskierung: Direkte Identifikatoren (Name, E-Mail, Telefon) werden ersetzt oder gelöscht; restliche Datenstruktur bleibt für Tests oder Entwicklung erhalten.

Abgrenzung zur Pseudonymisierung

• Pseudonymisierung: Direkte Identifikatoren werden durch ein Pseudonym (z. B. eine Nummer) ersetzt; das Mapping-Verzeichnis wird getrennt gespeichert. Re-Identifizierung ist mit dem Schlüssel möglich – daher bleibt der Personenbezug bestehen und die DSGVO ist weiterhin anwendbar (Art. 4 Nr. 5 DSGVO).
• Anonymisierung: Re-Identifizierung ist mit vernünftigerweise verfügbaren Mitteln nicht mehr möglich. Die DSGVO gilt nicht mehr – aber die Anforderungen an den Nachweis echter Anonymisierung sind hoch.
• Praktische Konsequenz: Pseudonymisierte Daten bieten Datenschutzvorteile (weniger Risiko im Falle eines Datenlecks) und können zu einer Privilegierung bei bestimmten Verarbeitungen führen (z. B. Art. 89 DSGVO für Forschungszwecke), bleiben aber personenbezogen.