Im Zuge der Datenschutz-Grundverordnung (DSGVO) steht die rechtskonforme Verarbeitung personenbezogener Daten im Fokus vieler Unternehmen. Besonders relevant ist die Unterscheidung zwischen pseudonymisierten und anonymisierten personenbezogenen Daten.
Unterschied zwischen Pseudonymisierung und Anonymisierung
Während pseudonymisierte personenbezogene Daten beispielsweise durch Personalnummern statt Klarnamen ersetzt werden, zeichnen sie sich dadurch aus, dass ein direkter Bezug zur Person mit zusätzlichen Informationen grundsätzlich durch irgendjemanden wiederhergestellt werden kann. Im Gegensatz dazu lassen anonymisierte Daten keine Zuordnung zu einer natürlichen Person mehr zu und zwar durch keinen.
Fehlt eine Zuordnung zu einer natürlichen Person, handelt es sich nicht mehr um „personenbezogene“ Daten, mit der Folge, dass die DSGVO nicht anwendbar ist. Die Frage, wann lediglich „pseudonymisierte“ personenbezogene Daten vorliegen und in welchen Fällen es sich um „anonymisierte“ personenbezogenen Daten handelt, kann demnach entscheidend bei der Frage sein, ob ein Datenschutzverstoß vorliegt oder nicht.
Entscheidend ist die objektive Möglichkeit des Datenempfängers zur Zuordnung
Das Landgericht Hannover hatte in einem aktuellen Fall zu bewerten, ob die Übermittlung von lediglich pseudonymisierten Mitarbeiterdaten an einen Dritten einen Verstoß gegen die DSGVO darstellt (vgl. LG Hannover, Beschl. v. 26.02.2025 – Az.: 128 OWiLG 1/24). Die Datenschutzbehörde argumentierte, dass die bloße Pseudonymisierung nicht ausreichend sei, da eine Re-Identifizierung potenziell möglich wäre.
Das Landgericht Hannover sah dies jedoch anders und stellte klar: Entscheidend ist die objektive Möglichkeit des Datenempfängers zur Zuordnung. Liegen beim Empfänger keinerlei technische oder vertragliche Möglichkeiten vor, die Personen hinter den Pseudonymen zu identifizieren, sind diese Daten für ihn faktisch anonym. In diesem Fall ist demnach von anonymisierten und damit nicht mehr personenbezogenen Daten auszugehen.
Im konkreten Fall hatte der Datenempfänger keinen Zugang zu internen Unternehmenssystemen des Datenlieferanten. Somit galt für das LG Hannover die Pseudonymisierung als faktisch anonymisierend, da kein realistischer Personenbezug mehr für den Datenempfänger möglich war.
Empfehlung
Für Unternehmen und Organisationen ist bei der Weitergabe von pseudonymisierten Daten stets die Perspektive des Empfängers zu bewerten. Es empfiehlt sich, technische und organisatorische Maßnahmen zu dokumentieren, um auch gegenüber Aufsichtsbehörden nachweisen zu können, dass die Zuordnung zu einzelnen Personen für den Datenempfänger nicht möglich ist. Im Zweifel sollte stets geprüft werden, ob die Daten tatsächlich anonymisiert sind oder ob aufgrund von Vertrags- oder Systemzugriffen doch eine Rückführung durch den Datenempfänger auf die betreffenden Personen möglich ist.
Bildquelle: KI-generiert
Bildquelle: KI-generiert
Bildquelle: KI-generiert
Bildquelle: KI-generiert