Anonymisierung und Pseudonymisierung: wann Daten noch personenbezogen sind

Dieser Artikel wird vom Team von dsgvo-quiz.de für Prüfungskandidaten zum Datenschutzbeauftragten (TÜV/DEKRA) gepflegt. Methode: Art. 4 Nr. 1 und Nr. 5, Art. 11, Art. 25 Abs. 1, Art. 32 Abs. 1 Buchst. a DSGVO und Erwägungsgrund 26 gegen den Cellar-Wortlaut der Verordnung (EU) 2016/679 (OJ L 119); EuGH C-413/23 P und T-557/20 gegen den Cellar-XHTML-Volltext. Keine Rechtsberatung.

Was ist der Unterschied zwischen Anonymisierung und Pseudonymisierung?

Art. 4 Nr. 1 DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist, wer direkt oder indirekt identifiziert werden kann, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu besonderen Merkmalen der Identität.

Art. 4 Nr. 5 DSGVO definiert Pseudonymisierung als die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.

Die Verordnung definiert „Anonymisierung“ in Art. 4 nicht. Die Rechtsfolge steht in Erwägungsgrund 26: Die Grundsätze des Datenschutzes sollen nicht für anonyme Informationen gelten, das heißt für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder für personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Die Verordnung betrifft somit nicht die Verarbeitung solcher anonymer Daten, auch nicht für statistische oder Forschungszwecke.

Anonym oder nur pseudonym — welche Rechtsfolge greift?

Wann ist eine Person noch identifizierbar?

Erwägungsgrund 26 stellt außerdem klar: Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollen als Informationen über eine identifizierbare natürliche Person betrachtet werden. Der Personenbezug entfällt also nicht schon deshalb, weil der Datensatz für sich genommen keinen Namen trägt.

Dasselbe Prüfprogramm hat der EuGH für die parallele Begriffsbestimmung in Art. 3 Nr. 1 der Verordnung (EU) 2018/1725 (Datenschutz für Organe, Einrichtungen und sonstige Stellen der Union) bestätigt. Erwägungsgrund 5 dieser Verordnung verlangt, Bestimmungen, die auf denselben Grundsätzen beruhen wie die DSGVO, unter Beachtung der Rechtsprechung des Gerichtshofs einheitlich auszulegen. Der Gerichtshof zitiert in C-413/23 P (Rn. 2) diesen Erwägungsgrund und stützt sich auf Erwägungsgrund 16 der Verordnung 2018/1725, der Erwägungsgrund 26 DSGVO entspricht.

Der EuGH hat bereits in C-582/14 (Breyer, 19. Oktober 2016, Rn. 44, 47 und 48) entschieden, dass dynamische IP-Adressen für den Website-Betreiber personenbezogen sein können, wenn dieser über rechtliche Möglichkeiten verfügt, von Dritten zusätzliche Informationen zu erlangen, die die Identifizierung erlauben. In C-434/16 (Nowak, 20. Dezember 2017, Rn. 42 bis 44) hat er klargestellt, dass sich Informationen auch auf den Verfasser beziehen können, weil sie dessen Ansicht wiedergeben — nicht nur auf die Person, über die geschrieben wird.

Bleiben pseudonymisierte Daten für jeden Empfänger personenbezogen?

Der Fall betraf den Einheitlichen Abwicklungsausschuss (SRB) und die Weitergabe von Stellungnahmen an die Wirtschaftsprüfungsgesellschaft Deloitte. Anwendbar war die Verordnung (EU) 2018/1725, nicht die DSGVO unmittelbar. Der Gerichtshof hat gleichwohl das Verhältnis von Pseudonymisierung und Personenbezug aus dem Wortlaut von Art. 3 Nr. 1 und Nr. 6 der Verordnung 2018/1725 und aus Erwägungsgrund 16 entwickelt — denselben Sätzen, die in Art. 4 Nr. 1 und Nr. 5 DSGVO sowie in Erwägungsgrund 26 stehen.

Für den Verantwortlichen, der die zusätzlichen Informationen hat, bleiben die Daten personenbezogen (C-413/23 P, Rn. 76). Für den Empfänger können technische und organisatorische Maßnahmen bewirken, dass dieselben Daten für ihn nicht personenbezogen sind. Das setzt nach Rn. 77 voraus, dass der Empfänger die Maßnahmen nicht aufheben kann und dass sie auch andere Identifizierungsmittel — etwa einen Abgleich mit anderen Elementen — tatsächlich verhindern, sodass die betroffene Person für ihn nicht oder nicht mehr identifizierbar ist.

Umgekehrt: Kann nicht ausgeschlossen werden, dass Dritte nach allgemeinem Ermessen in der Lage sind, die pseudonymisierten Daten zuzuordnen, ist die Person sowohl in Bezug auf die Übermittlung als auch in Bezug auf die spätere Verarbeitung durch Dritte identifizierbar; unter solchen Umständen müssen die Daten als personenbezogene Daten betrachtet werden (Rn. 85). Die bloße Existenz zusätzlicher Informationen irgendwo genügt aber nicht, um die Daten für jede Person als personenbezogen zu behandeln (Rn. 80, 82, 86).

Ist Pseudonymisierung eine Pflichtmaßnahme nach Art. 25 und Art. 32 DSGVO?

Erwägungsgrund 28 sagt, die Anwendung der Pseudonymisierung könne die Risiken für die betroffenen Personen senken und die Verantwortlichen und Auftragsverarbeiter bei der Einhaltung ihrer Datenschutzpflichten unterstützen; die ausdrückliche Einführung schließe andere Datenschutzmaßnahmen nicht aus. Erwägungsgrund 29 verlangt, dass zusätzliche Informationen, mit denen die Daten einer speziellen betroffenen Person zugeordnet werden können, gesondert aufbewahrt werden.

Art. 11 Abs. 1 DSGVO stellt klar: Ist die Identifizierung für die Zwecke der Verarbeitung nicht oder nicht mehr erforderlich, muss der Verantwortliche nicht zur bloßen Einhaltung der Verordnung zusätzliche Informationen aufbewahren, einholen oder verarbeiten, um die Person zu identifizieren. Kann er nachweisen, dass er die Person nicht identifizieren kann, unterrichtet er sie hierüber sofern möglich; dann finden Art. 15 bis 20 keine Anwendung, es sei denn, die betroffene Person stellt zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen (Art. 11 Abs. 2 DSGVO).

Vertiefend zu den technischen und organisatorischen Maßnahmen: Datenschutz durch Technikgestaltung (Art. 25 DSGVO) und Sicherheit der Verarbeitung (Art. 32 DSGVO).

Weiterführend

Nachbarartikel im Cluster personenbezogene Daten und Betroffenenrechte: besondere Kategorien nach Art. 9 DSGVO, Betroffenenrechte im Überblick, Informationspflichten nach Art. 13 und 14 DSGVO.

Häufige Fragen

Sind pseudonymisierte Daten noch personenbezogene Daten?

Ja, für den Verantwortlichen, der die zusätzlichen Informationen hält. Art. 4 Nr. 5 DSGVO definiert Pseudonymisierung als Verarbeitung personenbezogener Daten. Erwägungsgrund 26 stellt klar, dass einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, als Informationen über eine identifizierbare natürliche Person zu betrachten sind. Der EuGH (Erste Kammer, 4. September 2025, C-413/23 P, Rn. 76) hat für die parallele Begriffsbestimmung in Art. 3 Nr. 6 der Verordnung (EU) 2018/1725 entschieden, dass die Daten für den Verantwortlichen, der die zusätzlichen Informationen hat, trotz der Pseudonymisierung personenbezogen bleiben.

Wann gelten Daten als anonymisiert und fallen nicht mehr unter die DSGVO?

Nach Erwägungsgrund 26 gelten die Grundsätze des Datenschutzes nicht für anonyme Informationen, das heißt für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder für personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Die Verordnung betrifft dann nicht die Verarbeitung solcher anonymer Daten, auch nicht für statistische oder Forschungszwecke. Ob eine Person identifizierbar ist, richtet sich nach allen Mitteln, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, unter Berücksichtigung objektiver Faktoren wie Kosten, Zeitaufwand und verfügbarer Technologie.

Was hat der EuGH in C-413/23 P zur Pseudonymisierung entschieden?

Der Gerichtshof (Erste Kammer, 4. September 2025) hat das Urteil des Gerichts vom 26. April 2023, T-557/20, aufgehoben und die Sache zur Prüfung des zweiten Klagegrundes an das Gericht zurückverwiesen. Er hat entschieden, dass pseudonymisierte Daten für die Zwecke der Verordnung (EU) 2018/1725 nicht in jedem Fall und für jede Person als personenbezogene Daten zu betrachten sind (Rn. 86). Für den Verantwortlichen bleiben sie personenbezogen, wenn er die zusätzlichen Informationen hat (Rn. 76). Für die Informationspflicht nach Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725 ist die Identifizierbarkeit zum Zeitpunkt des Erhebens und aus der Sicht des Verantwortlichen zu beurteilen (Rn. 111). Ob Deloitte als Empfängerin hätte genannt werden müssen, ist damit nicht endgültig entschieden.

Reicht es, Namen durch eine Kennung zu ersetzen, um die DSGVO nicht mehr anwenden zu müssen?

Nein. Art. 4 Nr. 5 DSGVO verlangt zusätzlich, dass die zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden. Erwägungsgrund 26 zählt als Identifizierungsmittel ausdrücklich auch das Aussondern. Der bloße Austausch des Namens durch eine Kennung ohne wirksame Trennung der zusätzlichen Informationen ist Pseudonymisierung, keine Anonymisierung — und die DSGVO bleibt anwendbar.

Stand: 09/2026 · Angaben nach Verordnung (EU) 2016/679 (Cellar, OJ L 119) und EuGH C-413/23 P. Keine Rechtsberatung.