Pseudonymisierung

Definition: Pseudonymisierung bezeichnet gemäß Art. 4 Nr. 5 der Datenschutz-Grundverordnung (DSGVO) die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden. Bei der Pseudonymisierung wird ein direktes Identifikationsmerkmal — etwa der Name oder die E-Mail-Adresse — durch ein Pseudonym ersetzt, typischerweise eine künstliche Kennung oder einen kryptografischen Hash-Wert. Der entscheidende Unterschied zur Anonymisierung besteht darin, dass die Pseudonymisierung reversibel ist: Wer über die Zuordnungstabelle oder den kryptografischen Schlüssel verfügt, kann den Personenbezug wiederherstellen. Pseudonymisierte Daten gelten daher weiterhin als personenbezogene Daten und unterliegen vollumfänglich dem Anwendungsbereich der DSGVO, auch wenn ihr Verarbeitung mit einem geringeren Risiko verbunden ist und von der DSGVO ausdrücklich als empfohlene technische Schutzmaßnahme anerkannt wird.

Erläuterung

Die Pseudonymisierung ist ein wichtiges Instrument der datenschutzgerechten Technikgestaltung und wird von der DSGVO an mehreren Stellen explizit als empfehlenswerte Maßnahme hervorgehoben. So nennt Art. 25 DSGVO die Pseudonymisierung als Beispiel für eine geeignete technische Maßnahme im Rahmen von Privacy by Design, und Art. 32 DSGVO führt sie als mögliche technisch-organisatorische Sicherheitsmaßnahme auf.

Die praktische Bedeutung der Pseudonymisierung liegt darin, dass sie das Datenschutzrisiko bei der Verarbeitung erheblich senkt, ohne die Nutzbarkeit der Daten für legitime Analysezwecke vollständig aufzuheben. Ein Unternehmen kann pseudonymisierte Kundendaten für interne Analysen, Produktentwicklung oder Qualitätssicherung einsetzen, ohne den Mitarbeitern, die diese Analysen durchführen, Zugriff auf die direkten Identitäten der Kunden zu geben. Erst wenn ein konkreter Bedarf besteht — etwa zur Bearbeitung einer Beschwerde oder zur Erfüllung gesetzlicher Auskunftspflichten — wird auf die gesondert gespeicherte Zuordnungstabelle zurückgegriffen.

Im Online-Marketing und in der Werbetechnologie begegnet die Pseudonymisierung in verschiedenen Formen: Werbe-IDs (wie die Google Advertising ID oder Apple IDFA), Cookie-Kennungen und Hashed E-Mail-Adressen (HEM) sind technisch gesehen Pseudonyme, da sie den Nutzer zwar geräte- oder sitzungsübergreifend identifizierbar machen, ohne jedoch direkt seinen bürgerlichen Namen preiszugeben. Der pseudonyme Charakter ändert jedoch nichts daran, dass diese Daten als personenbezogen gelten — sie ermöglichen die Identifizierung durch den Betreiber des jeweiligen Systems.

Ein besonders praxisrelevantes Beispiel ist das Hochladen von E-Mail-Listen als Hashed E-Mails auf Werbeplattformen wie Google Ads oder Meta Ads für Customer Match oder Custom Audiences. Dabei wird die E-Mail-Adresse zunächst mit einem kryptografischen Hash-Verfahren (typischerweise SHA-256) in eine pseudonyme Zeichenkette umgewandelt. Da der Hash bei bekannten E-Mail-Adressen berechnet und verglichen werden kann, handelt es sich um eine Pseudonymisierung, nicht um eine echte Anonymisierung.

Technische Verfahren zur Pseudonymisierung

• Kryptografisches Hashing: Ein Identifikationsmerkmal (z. B. eine E-Mail-Adresse) wird durch eine mathematische Funktion in einen Hashwert fester Länge umgewandelt. SHA-256 ist ein häufig verwendetes Verfahren. Der Hashwert kann nicht direkt zurückgerechnet werden, ist aber bei bekannten Eingaben reproduzierbar.
• Tokenisierung: Direkte Identifikatoren werden durch zufällig generierte Token ersetzt. Die Zuordnung zwischen Token und Original wird in einer sicher getrennten Datenbank (Token Vault) gespeichert. Dieses Verfahren eignet sich besonders für die Pseudonymisierung von Kreditkartendaten und Kundennummern.
• Verschlüsselung: Daten werden mit einem kryptografischen Schlüssel chiffriert. Ohne den Schlüssel ist eine Entschlüsselung praktisch nicht möglich. Bei symmetrischer Verschlüsselung liegt der Schlüssel beim Verantwortlichen; bei asymmetrischer Verschlüsselung kann zwischen einem öffentlichen und einem privaten Schlüssel unterschieden werden.
• Generalisierung und Perturbation: Exakte Werte werden durch ungenauere Werte ersetzt (z. B. genaues Geburtsdatum durch Altersgruppe) oder leicht verändert, um Rückschlüsse zu erschweren. Diese Techniken werden häufig in der Datenanalyse eingesetzt.

Abgrenzung zur Anonymisierung

• Reversibilität: Pseudonymisierte Daten können durch den Schlüssel oder die Zuordnungstabelle re-identifiziert werden. Echte Anonymisierung ist irreversibel — eine Re-Identifizierung ist weder durch den Verantwortlichen noch durch Dritte mit vernünftigerweise verfügbaren Mitteln möglich.
• Rechtsstatus: Pseudonymisierte Daten bleiben personenbezogene Daten im Sinne der DSGVO. Wirklich anonymisierte Daten fallen nicht in den Anwendungsbereich der DSGVO.
• Datenschutzwirkung: Pseudonymisierung reduziert das Risiko und stärkt die Datensicherheit, schützt aber nicht vor allen Formen des Zugriffs oder der Re-Identifizierung. Anonymisierung bietet einen deutlich stärkeren Schutz, geht aber mit einem höheren Informationsverlust einher.
• Anwendungsbereich: Pseudonymisierung eignet sich für Situationen, in denen die Möglichkeit einer Re-Identifizierung grundsätzlich erhalten bleiben soll (z. B. für Kundenbeziehungen), während Anonymisierung für Forschungs- und Statistikzwecke geeignet ist, bei denen der Personenbezug dauerhaft nicht mehr benötigt wird.