Wann gelten pseudonymisierte personenbezogene Daten als anonymisiert?

Im Zuge der Datenschutz-Grundverordnung (DSGVO) steht die rechtskonforme Verarbeitung personenbezogener Daten im Fokus vieler Unternehmen. Besonders relevant ist die Unterscheidung zwischen pseudonymisierten und anonymisierten personenbezogenen Daten.

Unterschied zwischen Pseudonymisierung und Anonymisierung

Während pseudonymisierte personenbezogene Daten beispielsweise durch Personalnummern statt Klarnamen ersetzt werden, zeichnen sie sich dadurch aus, dass ein direkter Bezug zur Person mit zusätzlichen Informationen grundsätzlich durch irgendjemanden wiederhergestellt werden kann. Im Gegensatz dazu lassen anonymisierte Daten keine Zuordnung zu einer natürlichen Person mehr zu und zwar durch keinen.​

Fehlt eine Zuordnung zu einer natürlichen Person, handelt es sich nicht mehr um „personenbezogene“ Daten, mit der Folge, dass die DSGVO nicht anwendbar ist. Die Frage, wann lediglich „pseudonymisierte“ personenbezogene Daten vorliegen und in welchen Fällen es sich um „anonymisierte“ personenbezogenen Daten handelt, kann demnach entscheidend bei der Frage sein, ob ein Datenschutzverstoß vorliegt oder nicht.

Entscheidend ist die objektive Möglichkeit des Datenempfängers zur Zuordnung

Das Landgericht Hannover hatte in einem aktuellen Fall zu bewerten, ob die Übermittlung von lediglich pseudonymisierten Mitarbeiterdaten an einen Dritten einen Verstoß gegen die DSGVO darstellt (vgl. LG Hannover, Beschl. v. 26.02.2025 – Az.: 128 OWiLG 1/24). Die Datenschutzbehörde argumentierte, dass die bloße Pseudonymisierung nicht ausreichend sei, da eine Re-Identifizierung potenziell möglich wäre.

Das Landgericht Hannover sah dies jedoch anders und stellte klar: Entscheidend ist die objektive Möglichkeit des Datenempfängers zur Zuordnung. Liegen beim Empfänger keinerlei technische oder vertragliche Möglichkeiten vor, die Personen hinter den Pseudonymen zu identifizieren, sind diese Daten für ihn faktisch anonym.​ In diesem Fall ist demnach von anonymisierten und damit nicht mehr personenbezogenen Daten auszugehen.

Im konkreten Fall hatte der Datenempfänger keinen Zugang zu internen Unternehmenssystemen des Datenlieferanten. Somit galt für das LG Hannover die Pseudonymisierung als faktisch anonymisierend, da kein realistischer Personenbezug mehr für den Datenempfänger möglich war.

---