Anonym für wen? Was die neuen EDSA-Leitlinien zur Anonymisierung von jeder Führungskraft verlangen, die Daten weitergibt

KERNTHESE Ob Daten anonym sind, hängt nicht allein von ihren Werten ab, sondern auch von den relevanten Stellen und den Mitteln, die diese realistischerweise nutzen können, und deshalb kann dieselbe Tabelle für einen Empfänger anonym und für einen anderen personenbezogen sein, und die Organisation, die anonymisiert, kann weiterhin personenbezogene Daten halten, während ihr Empfänger das nicht tut. Die Leitlinien 02/2026 des Europäischen Datenschutzausschusses machen aus diesem Urteil ein Verfahren mit zwei Wegen und drei Prüfungen, und sie stellen eines klar: Das Entfernen von Namen, das Vergröbern von Werten oder ein vertragliches Verbot garantiert für sich genommen keine Anonymität, sondern ihre Wirksamkeit muss in einer Bewertung geprüft werden, die die relevanten Stellen benennt und ihre Mittel im konkreten Kontext untersucht. Der EDSA nennt es gute Praxis, diese Bewertung zu wiederholen, weil technische Entwicklungen und zusätzliche Informationen eine Re-Identifizierung erleichtern können.

Stellen Sie sich ein Forschungsinstitut vor, das Patientendaten aus einer abgeschlossenen Studie hält und mit ihnen weiterarbeiten möchte, ohne dass die DSGVO jeden Schritt begleitet. Es entfernt die Namen, vergröbert das Geburtsdatum auf das Jahr und die Postleitzahl auf die ersten beiden Ziffern, löscht die Originale und behält eine kleine Tabelle. Die Frage an die Datenschutzbeauftragte des Instituts klingt einfach: Ist die Tabelle, die bleibt, anonym, sodass die DSGVO nicht mehr gilt, oder handelt es sich weiterhin um personenbezogene Daten? Die Antwort erledigt nicht alles, denn die Anonymisierung selbst braucht eine Rechtsgrundlage und die Pflichten des Instituts für die Originaldaten bleiben; sie entscheidet aber, ob die DSGVO die Tabelle von nun an erfasst und was ein Abfluss bedeuten würde.

Der Europäische Datenschutzausschuss (EDSA), in dem die Aufsichtsbehörden der EU ihre Auslegung der DSGVO abstimmen, hat dieser Datenschutzbeauftragten nun ein Verfahren an die Hand gegeben, und zwar mit der Tabelle eines Forschungsinstituts als eigenem durchgehendem Beispiel. Die Quelle, der dieser Beitrag am engsten folgt, ist die vierseitige Zusammenfassung des Ausschusses „Anonymisation: How to assess the anonymity of data. Guidelines at a glance” vom Oktober 2026, die den Rahmen auf eine Definition, zwei Ansätze, drei Kriterien und ein Flussdiagramm verdichtet.¹ Dahinter steht der Volltext, „Guidelines 02/2026 on Anonymisation”, Version 1.0, angenommen am 7. Juli 2026.² Die Leitlinien geben die Auslegung des EDSA nach Art. 70 Abs. 1 Buchst. e DSGVO wieder; sie sind keine neue Verordnung und werden hier in der noch konsultierten Fassung erläutert. Version 1.0 wurde zur öffentlichen Konsultation angenommen, die bis zum 30. Oktober 2026 läuft, und der endgültige Text kann sich ändern, sodass das Folgende den Entwurf in seinem heutigen Stand beschreibt.³

Anonym für wen

Die DSGVO schützt personenbezogene Daten, also alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; anonyme Daten sind das Spiegelbild und fallen aus der Verordnung heraus.⁴ Die Prüfung besteht aus zwei Fragen. Bezieht sich die Information auf eine natürliche Person, und ist diese Person identifiziert oder identifizierbar? Lautet eine der Antworten nein, sind die Daten anonym.⁵

Die Leitlinien betonen vor allem, dass diese Antworten von Stelle zu Stelle verschieden ausfallen können. Eine Information kann sich unzweifelhaft auf eine Person beziehen, und doch kann vielleicht nur eine einzige Organisation herausfinden, wer das ist, sodass die Information für diese Organisation personenbezogen und, abgesehen von besonderen Umständen wie der Weiterübermittlung, für alle anderen anonym ist.⁵ Die praktische Frage, die Randnummer 12 stellt, lautet deshalb: Für wen sollen die Daten anonym sein? Anonymisiert eine Organisation Daten für den eigenen Gebrauch, ist ihre eigene Perspektive maßgeblich; gibt sie die Daten zur unabhängigen Nutzung frei, zählen die Perspektiven der Empfänger.⁶ Ein Bezug zu einer Person kann sich aus Inhalt, Zweck oder Auswirkung ergeben, und selbst Gruppenstatistiken können sich auf Einzelne beziehen, wenn Techniken sie daraus herauslösen können.⁷

Das zweite praktische Beispiel der Zusammenfassung betrifft die Perspektive. Verantwortlicher ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet, und Auftragsverarbeiter ist eine solche Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Verarbeitet eine Stelle im Auftrag einer anderen, gilt für beide die Perspektive des Verantwortlichen, sodass die Information, wenn sie für den Verantwortlichen personenbezogen ist, es auch für den Auftragsverarbeiter ist, der dann die Pflichten der DSGVO für Auftragsverarbeiter trägt.⁸ Beispiel 3 ist ein Händler, dessen Analyseagentur deshalb personenbezogene Daten hält. Beispiel 4 ist das Gegenstück: Ein Krankenhaus übermittelt Auszüge aus Patientenakten, die für sich genommen keine Identifizierung erlauben, an ein unabhängiges Forschungsinstitut, das Zwecke und Mittel selbst bestimmt und nicht auf Weisung des Krankenhauses handelt, sodass die Frage, ob die Daten für das Institut personenbezogen sind, aus der eigenen Perspektive des Instituts beurteilt wird.⁸

Die gemeinsame Verantwortlichkeit bleibt dabei eine dritte Möglichkeit, denn fehlender eigener Zugang zu identifizierenden Daten schließt sie nicht automatisch aus.⁹ Die Leitlinien fügen den allgemeinen Grundsatz hinzu, dass ein Verantwortlicher, der Daten für den Empfänger, nicht aber für sich selbst anonymisiert, weiterhin personenbezogene Daten hält und alle seine Pflichten behält.¹⁰ Eine für den Empfänger fehlende Identifizierbarkeit lässt auch die Informationspflichten des übermittelnden Verantwortlichen nicht automatisch entfallen. Der EuGH stellte in C-413/23 P für Art. 15 Abs. 1 Buchst. d der Verordnung (EU) 2018/1725 auf den Zeitpunkt der Erhebung und die Perspektive des Verantwortlichen ab, die Leitlinien greifen das in Randnummer 14 auf, und im Anwendungsbereich der DSGVO sind dann insbesondere Art. 13 und 14 zu prüfen.¹¹

Was „nach allgemeinem Ermessen wahrscheinlich” in der Praxis bedeutet

Eine Person zu identifizieren heißt, sie in einem bestimmten Kontext so von anderen zu unterscheiden, dass man sie anders behandeln kann, sei es über ein direktes Kennzeichen wie den Namen oder über eine Kombination von Merkmalen, die in diesem Kontext einzigartig ist.¹² Die Identifizierung kann mittelbar erfolgen, über Zusatzinformationen, über Methoden, die andere kontrollieren, oder über die Weitergabe an jemanden, der die Mittel hat. Die Wahrscheinlichkeit einer Identifizierung muss nicht null sein, damit Daten anonym sind; sie muss nur in der Realität unerheblich sein.¹²

Der Angelpunkt der Analyse ist die Formel der Mittel, die „nach allgemeinem Ermessen wahrscheinlich genutzt werden”, wie Erwägungsgrund 26 DSGVO „means reasonably likely to be used” wiedergibt; der Gerichtshof der Europäischen Union (EuGH) hat sie negativ bestimmt: Mittel werden möglicherweise nicht nach allgemeinem Ermessen wahrscheinlich genutzt, wenn die Wahrscheinlichkeit einer Identifizierung in der Realität unerheblich erscheint, weil sie unmöglich wäre, einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft erfordern würde oder gesetzlich verboten ist.¹³ „Mittel” ist weit zu verstehen und schließt Mittel ein, die bei einer anderen Stelle liegen, sodass die gesamte Kette von Mitteln zu betrachten ist, wie Beispiel 7, das erste praktische Beispiel der Zusammenfassung, zeigt. Ein Verantwortlicher will Informationen an einen Geschäftspartner weitergeben und stellt beim Test fest, dass eine bestimmte Technik die betroffenen Personen re-identifizieren würde. Der Partner könnte sie selbst nicht anwenden, aber ohne Weiteres einen Dritten damit beauftragen, und deshalb zählt die Technik weiterhin als Mittel, das der Partner nach allgemeinem Ermessen wahrscheinlich nutzt.¹³

Ob eine Stelle ein Mittel wahrscheinlich nutzt, ist anhand aller objektiven Faktoren zu beurteilen, darunter die Eigenschaften der Daten, der Kontext der Freigabe, Verfügbarkeit und Kosten von Zusatzinformationen sowie die heute verfügbare und die absehbare Technik.¹⁴ Relevante Stellen können alle sein, die die Daten unmittelbar oder mittelbar erhalten, einschließlich unbefugter und böswilliger Akteure, von illoyalen Beschäftigten über Journalisten und Behörden bis zu Cyberkriminellen.¹⁵ Der EDSA warnt zudem davor, fehlende Motivation als Faktor zu zählen, weil Motivation objektiv schwer zu beurteilen ist, sich ändern kann und mit dem Handeln nicht übereinstimmen muss, denn Identifizierung kann auch durch Zufall, Nachlässigkeit oder äußeren Zwang geschehen.¹⁵

Ein gesetzliches Verbot kann ein Mittel aus dem Spiel nehmen, weil im Allgemeinen angenommen werden darf, dass Menschen das Gesetz befolgen; diese Annahme ist jedoch widerlegbar, wenn Anhaltspunkte vorliegen, dass das Verbot nicht durchgesetzt wird, der Gewinn die Risiken überwiegt oder es in vergleichbaren Fällen gebrochen wurde.¹⁶ Ein vertragliches Verbot sollte dagegen nicht wie ein gesetzliches behandelt werden, selbst wenn es die Parteien bindet. Vertragsklauseln können die wahrscheinlich genutzten Mittel beeinflussen, aber sie ergänzen technische Maßnahmen nur und können geändert oder ignoriert werden.¹⁶ Nach meiner Einschätzung dürfte dieser Absatz dort praktisch am meisten wiegen, wo die Datenweitergabe bisher vor allem auf solchen Klauseln beruht. Die Weiterübermittlung erklärt den Hinweis am Fuß des Flussdiagramms der Zusammenfassung: Ist es nach allgemeinem Ermessen wahrscheinlich, dass eine Stelle die Daten an einen Dritten weitergibt, und lässt sich nicht ausschließen, dass dieser Dritte über die Mittel zur Identifizierung verfügt, sind die Daten für diese Übermittlung und für den Empfänger personenbezogen. Sie werden damit auch mittelbar für die übermittelnde Stelle personenbezogen, selbst wenn diese selbst niemanden hätte identifizieren können.¹⁷

Das durchgerechnete Beispiel: die fünf Zeilen des Forschungsinstituts

Die Leitlinien zeigen zunächst, wie ein Scheitern aussieht. Beispiel 10 enthält die Tabelle eines Forschungsinstituts mit Geschlecht, vollständigem Geburtsdatum, fünfstelliger Postleitzahl und einer Autoimmunerkrankung, in der jede Zeile einzigartig ist, sodass die Tabelle am ersten Kriterium, No Record Isolation, scheitert, und weil die demografischen Angaben über öffentliche Register verfügbar sein dürften, ist ein Aussondern sehr wahrscheinlich, womit die Daten personenbezogen wären.¹⁸ Daten auf Einzelsatzebene, in denen die Werte jeder Person als Datensatz erkennbar sind, sind in dieser Form am stärksten gefährdet.

Betrachten wir nun eine vergröberte Tabelle. Beispiel 12 ist die eigene Beispieltabelle des EDSA mit Patientendaten eines Forschungsinstituts, hier wiedergegeben wie in den Leitlinien. Das Geburtsdatum ist auf das Jahr und die Postleitzahl auf die ersten beiden Ziffern reduziert.¹⁹

Geschlecht	Geburtsdatum	Postleitzahl	Erkrankung
männlich	**-**-1946	54***	Sklerose
männlich	**-**-1946	54***	Sklerose
weiblich	**-**-1951	32***	Lungenkrebs
weiblich	**-**-1951	32***	Lungenkrebs
weiblich	**-**-1951	32***	Lungenkrebs

Keine Zeile ist einzigartig, also erfüllt die Tabelle No Record Isolation. Doch die ersten beiden Zeilen sagen etwas Unbeabsichtigtes: Jeder Mann des Jahrgangs 1946 in einer Postleitzahl, die mit 54 beginnt, dessen Datensatz aufgenommen wurde, hat Sklerose. Die Daten lassen sich deshalb mit jedem anderen Datensatz verknüpfen, der Geschlecht, Geburtsjahr und vergröberte Postleitzahl derselben Person enthält, und gelingt das, ist No Linkage verletzt. Darum verlangen die Leitlinien, beide Kriterien getrennt zu prüfen, obwohl Daten, die das erste bestehen, oft auch das zweite bestehen.¹⁹

Aggregation rettet die Tabelle nicht. Beispiel 19 macht aus ihr ein Histogramm der Diagnosen nach Geschlecht, Geburtsjahr und gekürzter Postleitzahl, und die Diagnose einer Person lässt sich weiterhin erschließen, wenn man das Histogramm mit diesen drei Angaben und mit dem Wissen verknüpft, dass ihr Datensatz enthalten war.²⁰ Das ist Inferenz, das Ziehen einer Schlussfolgerung aus den Daten zusammen mit Zusatzinformationen, und die Leitlinien merken an, dass sich synthetische Daten zu demselben Zweck abfragen und KI-Modelle entsprechend prompten lassen.²⁰

Beispiel 22 macht aus der Tabelle eine Managemententscheidung. Das Institut, das die ursprünglichen personenbezogenen Daten gelöscht hat, wählt den kontextbezogenen Ansatz und fragt zuerst, wer die Tabelle realistisch erreichen könnte. Trotz starker Sicherheitsmaßnahmen hält es einen Abfluss über die Zeit für möglich und zählt deshalb seine befugten Mitglieder, versehentliche Empfänger, Eindringlinge, Behörden in Erfüllung ihrer Aufgaben und jeden, der die Daten von ihnen erhalten könnte.²¹ Personen aus dem Umfeld der Patienten werden die Daten nach einem ohnehin unwahrscheinlichen Abfluss äußerst unwahrscheinlich erhalten und sind deshalb keine relevanten Stellen. Eine Verknüpfung setzt voraus, dass man Geschlecht, Geburtsjahr und vergröberte Postleitzahl einer Person kennt und weiß, dass sie aufgenommen wurde, und das Zweite weiß keine der relevanten Stellen, auch nicht die Beschäftigten des Instituts, die keinen Kontakt zu den Patienten hatten und keine Aufzeichnung über die Aufnahme besitzen. Das Institut schließt daraus, dass No Linkage erfüllt ist, was nach den Leitlinien sorgfältig im konkreten Kontext begründet sein muss.²¹

Beispiel 25 fragt, was geschähe, wenn die Verknüpfung gelänge. Geschlecht, Geburtsjahr und vergröberte Postleitzahl sind nicht einzigartig, sodass die Verknüpfung allein niemanden aussondert; enthält der zweite Datensatz jedoch ein identifizierendes Zusatzmerkmal oder ein direktes Kennzeichen, wird die Tabelle zu personenbezogenen Daten, weshalb verknüpfte Informationen erneut an allen drei Kriterien geprüft werden.²² Zwei Vorbehalte gehören hierher. Die Leitlinien präsentieren Beispiel 22 nur als Illustration von No Linkage, sodass ein Gesamtergebnis noch die Prüfung von No Inference verlangen würde, deren Risiko Beispiel 19 gezeigt hat, während No Record Isolation in Beispiel 12 erfüllt war. Und nach meiner Lesart, die die Leitlinien nicht ausformulieren, beruht das Ergebnis auf Tatsachen über das Institut, sodass eine abgeflossene Teilnehmerliste oder eine Veröffentlichung der Tabelle die Begründung zu Fall brächte, ohne dass sich ein Wert ändert.

Drei Kriterien, eine Logik

No Record Isolation ist erfüllt, wenn die Daten keine einzigartige Kombination von Merkmalswerten enthalten, die sich auf eine einzelne Person bezieht, und das Kriterium lässt sich meist an den vorliegenden Daten allein prüfen.¹⁸ Das Herausgreifen, in der amtlichen Fassung von Erwägungsgrund 26 „Aussondern” genannt, ist die Gefahr, vor der es schützt: das Unterscheiden einer Person dadurch, dass man ihr eine einzigartige Merkmalskombination zuordnet. Aggregierte Daten, also Daten, die Gruppen beschreiben und keine Einzeldatensätze enthalten, erfüllen es in der Regel.¹⁸

No Linkage ist erfüllt, wenn die Daten keinen Datensatz enthalten, der mit einem anderen Datensatz verknüpft werden könnte, der sich mit Sicherheit oder hoher Wahrscheinlichkeit auf dieselbe Person bezieht und aus einem anderen Datenbestand stammt. Es verlangt Kenntnis anderer Datenbestände. Datensätze können über ein gemeinsames Kennzeichen wie eine Kundennummer oder über übereinstimmende Merkmalskombinationen verknüpft werden.²³

No Inference ist erfüllt, wenn sich aus den vorliegenden Daten keine spezifische und bedeutsame Inferenz ziehen lässt, weder allein noch mit Zusatzinformationen, einschließlich Informationen über das Anonymisierungsverfahren selbst. Eine Inferenz ist spezifisch, wenn sie sich auf eine einzelne identifizierte oder identifizierbare Person bezieht, und zusätzlich bedeutsam, wenn ihre Verarbeitung die Rechte dieser Person berühren kann, auf den vorliegenden Daten beruht und nicht aus Allgemeinwissen oder aus Daten über die Gesamtbevölkerung gewonnen werden könnte.²⁴ Aus „Grün ist eine beliebte Farbe” ließe sich folgern „Connor mag Grün”, was personenbezogene Daten sind, doch die Inferenz ist nicht bedeutsam, weil sie aus Informationen über die Bevölkerung stammt, und die Aussage bleibt anonym.²⁴ Eine bedeutsame Inferenz setzt dagegen voraus, dass der Datensatz der Person selbst in den Ursprungsdaten enthalten war.²⁴

Ein Kriterium zu verfehlen ist nicht dasselbe wie die Prüfung zu verfehlen. Sind alle drei Kriterien nach einem der beiden Ansätze erfüllt, dürfen die Daten als anonym gelten, und ist eines verletzt, folgt eine weitere Analyse.²⁵ Scheitert No Record Isolation, lautet die Frage, ob die isolierten Datensätze ein Herausgreifen erlauben, indem man sie Merkmalen zuordnet, die eine relevante Stelle beschaffen könnte, und ist das Herausgreifen unmöglich, während die beiden anderen Kriterien erfüllt sind, können die Daten weiterhin anonym sein. Ein Verstoß gegen No Inference wird strenger behandelt, denn solche Daten sollten nach dem vereinfachten Ansatz nicht als anonym gelten, auch wenn der kontextbezogene Ansatz noch versucht werden kann.²⁵ Perfekte Genauigkeit ist dafür nicht erforderlich, das Ergebnis muss aber im konkreten Kontext hinreichend präzise und verlässlich sein, um die Person unterscheiden und anders behandeln zu können, und das kann bereits bei einer einzigen Person im Datensatz der Fall sein.²⁶

Vereinfacht oder kontextbezogen: die Wahl des Weges

Der Rahmen lässt sich auf zwei Arten anwenden, und die Wahl ist eine Managemententscheidung über Aufwand und Risiko. Der kontextbezogene Ansatz folgt dem rechtlichen Maßstab vollständig, indem er jede relevante Stelle benennt und die Mittel prüft, die sie wahrscheinlich nutzt. Seine Schwäche sind die Komplexität und das Risiko falsch positiver Ergebnisse, wenn der Prüfer die Mittel einer Stelle übersieht.²⁷

Der vereinfachte Ansatz ignoriert die Unterschiede zwischen den Stellen und fragt abstrakt, ob Mittel zur Identifizierung existieren, in der Annahme, dass jemand sie dann auch nutzt. Er ist bequemer und vorsichtiger. Die Leitlinien betonen, dass er kein alternativer rechtlicher Maßstab ist; er verlagert das Risiko freiwillig von falsch positiven zu falsch negativen Ergebnissen, und während er belegen kann, dass Daten anonym sind, kann ein Dritter mit ihm nicht beweisen, dass Daten personenbezogen sind.²⁷ In der Praxis kann eine Kombination beider Ansätze hilfreich sein: Ein Verantwortlicher beginnt mit dem vereinfachten Ansatz, hört auf, wenn eine Re-Identifizierung nicht einmal theoretisch möglich ist, und wechselt zum kontextbezogenen Ansatz, sobald eine Methode auftaucht, um zu fragen, ob sie aus den relevanten Perspektiven wahrscheinlich genutzt wird.²⁷

Das Flussdiagramm der Zusammenfassung, das aus Anhang 1 der Leitlinien stammt, ordnet diese Schritte. Es beginnt mit der Beschreibung der Daten, ihres Speicherorts und möglicher Hilfen zur Re-Identifizierung. Dann fragt es, ob offensichtlich ist, dass die Daten nicht anonym sind, wie bei Namen, Telefonnummern, leicht umkehrbaren Pseudonymen oder Daten, die erkennbar zur Beurteilung einer bestimmten Person dienen, und wenn ja, werden die Daten als personenbezogen behandelt, und die Kriterien werden nicht gebraucht.²⁸ Die Leitlinien definieren die Pseudonymisierung nicht; sie behandeln leicht zurückrechenbare oder selbst identifizierende Pseudonyme als offensichtlich personenbezogene Daten, andere pseudonymisierte Daten unterliegen derselben Perspektivprüfung wie alles andere, und Anonymisierung ist jede Verarbeitung, die erfolgreich anonyme Daten erzeugt.²⁸

Dann verzweigt das Diagramm. Auf dem vereinfachten Weg erweitert der Prüfer die Daten um jede mögliche Verknüpfung und Inferenz, prüft die drei Kriterien und behandelt die Daten als anonym, wenn sie bestehen oder wenn nur No Record Isolation ohne mögliches Aussondern verfehlt wird; andernfalls gelten die Daten als personenbezogen oder er investiert in eine kontextbezogene Analyse. Auf dem kontextbezogenen Weg fragt der Prüfer zuerst, für wen die Daten anonym sein sollen, bestimmt die relevanten Stellen und ihre Mittel und prüft dieselben Kriterien Stelle für Stelle, sodass die Daten für manche anonym und für andere personenbezogen sein können.²⁸

Was die Entscheidung nicht erledigt

Eine Feststellung der Anonymität trägt ein Datum. Die Wahrscheinlichkeit einer Re-Identifizierung steigt typischerweise mit der Zeit, weil Techniken besser werden und Zusatzinformationen verfügbarer, und sobald sie nicht mehr unerheblich ist, werden die Daten wieder personenbezogen. Der EDSA bezeichnet eine regelmäßige Neubewertung deshalb als gute Praxis.²⁹ Die meisten dokumentierten Re-Identifizierungstechniken werden nach Beobachtung der Leitlinien immer zugänglicher und laufen, besonders gegen Daten auf Einzelsatzebene, in angemessener Zeit auf handelsüblicher Hardware, während manche Techniken gegen aggregierte Daten größere Rechenressourcen brauchen, die als Dienst verfügbar sind. Die eigentlichen Kosten liegen oft in der Beschaffung von Zusatzinformationen, und der EDSA erwartet, dass Entwicklungen in der KI, besonders agentische KI, Zeit und Kosten für die Anwendung der Techniken senken und das Sammeln von Informationen aus öffentlich zugänglichen Quellen beschleunigen.³⁰

Ein Teilerfolg gilt für den Datensatz als Ganzes als Misserfolg, denn er ist nur anonym, wenn die Anonymisierung für jede enthaltene Person wirksam ist; eine Mischung aus personenbezogenen und anonymen Daten wird als personenbezogen behandelt, wann immer die Teile nicht getrennt gehandhabt werden.³¹ Die Anonymisierung ist selbst eine Verarbeitung personenbezogener Daten, sie braucht also eine Rechtsgrundlage nach Artikel 6 und eine Ausnahme nach Artikel 9 Absatz 2, wenn Gesundheitsdaten oder andere besondere Kategorien betroffen sind.¹⁰ Verantwortliche sollten klar erklären, dass personenbezogene Daten zu anonymen Daten verarbeitet werden, und sollten Daten nicht als „anonym”, „de-identifiziert” oder „entpersonalisiert” bezeichnen, solange Personen identifizierbar bleiben.³² Die Dokumentation des Verfahrens und seiner Tests ist es, was sowohl die DSGVO-Konformität als auch die Wirksamkeit belegt, und sie sollte danach aufbewahrt werden.³² Schließlich kann ein Sicherheitsvorfall die Frage neu aufwerfen. Beruhte die Anonymität darauf, dass bestimmte Informationen vertraulich bleiben, und können Personen nach einem Vorfall identifiziert werden, sollte die Stelle, bei der sich der Vorfall ereignet hat, ihre Rolle bestimmen und prüfen, ob Pflichten nach den Artikeln 33 und 34 bestehen.³³

Lessons Learned

Die erste Lehre lautet, dass die Frage auf dem Schreibtisch einer Führungskraft nie „Sind diese Daten anonym?” heißt, sondern „Anonym für wen, mit welchen Mitteln, für wie lange?”. Der Fall des Forschungsinstituts zeigt, wie sie sich auflöst. Sein Ergebnis zu No Linkage beruht auf Tatsachen über das Institut, das die Originale gelöscht hat, keine Teilnehmerliste besitzt und zeigen kann, dass auch niemand, der die Tabelle realistisch erreichen könnte, etwas darüber weiß. Randnummer 37 vervollständigt das Bild, denn eine Organisation, die die vollständigen Akten behält, wird ihre eigenen Pflichten nicht dadurch los, dass sie eine Tabelle erzeugt, die für jemand anderen anonym ist.¹⁰

Die zweite Lehre betrifft die Werkzeuge, nach denen Führungskräfte am häufigsten greifen. Namen entfernen, Daten vergröbern und eine Klausel gegen Re-Identifizierung unterschreiben sind alle nützlich, und keines garantiert für sich genommen Anonymität, weil die Wirksamkeit im konkreten Kontext geprüft werden muss. Einzigartige Datensätze laden zum Herausgreifen ein, nicht einzigartige lassen sich weiterhin verknüpfen, Aggregate tragen weiterhin Inferenzen, und ein vertragliches Verbot ist kein gesetzliches.¹⁶ Das Beispiel mit dem Geschäftspartner zeigt die Haltung, die der Ausschuss erwartet, nämlich zu fragen, was der Empfänger tun könnte, indem er jemanden beauftragt.¹³

Die dritte Lehre ist eine Frage des Verfahrens. Beginnen Sie mit den einfachen Fällen und einer Datenlandkarte, wählen Sie den vereinfachten Weg, wenn sich die Stellen schwer beschreiben lassen, und sonst den kontextbezogenen, prüfen Sie alle drei Kriterien auch nach einem Fehlschlag und verknüpfte Daten erneut.²⁸ Halten Sie die Bewertung schriftlich fest, bewahren Sie sie auf, wiederholen Sie sie nach Plan und nach jedem Vorfall oder neuen öffentlichen Datenbestand, der verändert, was jemand realistisch tun könnte, und verwenden Sie das Wort „anonym” in keiner Datenschutzerklärung, bevor die Bewertung es trägt.³²

Glossar

Begriff	Bedeutung
Personenbezogene Daten	Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO)
Anonyme Daten	Informationen ohne Bezug zu einer identifizierten oder identifizierbaren natürlichen Person; sie fallen aus der DSGVO heraus (Erwägungsgrund 26)
Verantwortlicher	Natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO)
Auftragsverarbeiter	Natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO)
Pseudonym	Ein Code, der an die Stelle eines Kennzeichens tritt; die Leitlinien behandeln Pseudonyme, die sich leicht zurückrechnen lassen oder selbst identifizieren, als offensichtlich personenbezogene Daten (Rn. 50)
Anonymisierung	Jede Verarbeitung, die erfolgreich anonyme Daten im Sinne der DSGVO erzeugt, ob die Ursprungsdaten gelöscht werden oder nicht
Relevante Stelle	Jeder, der zur unmittelbaren oder mittelbaren Identifizierung einer Person aus den vorliegenden Daten beitragen könnte, einschließlich böswilliger Akteure
Perspektive	Die Umstände und Mittel einer bestimmten Stelle, aus denen heraus der Personenbezug der Daten in ihrer Hand beurteilt wird
Nach allgemeinem Ermessen wahrscheinlich genutzte Mittel	Wortlaut von Erwägungsgrund 26 DSGVO für „means reasonably likely to be used”: die Identifizierungsmethoden, die eine Stelle realistisch einsetzen könnte, auch über Dritte, beurteilt nach allen objektiven Faktoren
Daten auf Einzelsatzebene	Daten, in denen die Werte jeder Person als Datensatz erkennbar sind
Aggregierte Daten	Daten, die Gruppen von Personen beschreiben und keine Einzeldatensätze enthalten
Herausgreifen (Aussondern, Singling out)	Eine Person von anderen unterscheiden, indem man ihr eine einzigartige Merkmalskombination zuordnet; „Aussondern” ist der Begriff der amtlichen Fassung von Erwägungsgrund 26 DSGVO
Verknüpfung (Linkage)	Feststellen, dass Datensätze in verschiedenen Datenbeständen sich auf dieselbe Person beziehen
Inferenz	Eine Schlussfolgerung über eine Person aus den vorliegenden Daten ziehen, allein oder mit Zusatzinformationen
Kontextbezogener Ansatz	Prüfung der drei Kriterien getrennt für jede relevante Stelle und ihre Mittel
Vereinfachter Ansatz	Prüfung der drei Kriterien unter Ausblendung der Unterschiede zwischen den Mitteln der Stellen
EDSA	Europäischer Datenschutzausschuss (engl. EDPB), zusammengesetzt aus den Leitern der Aufsichtsbehörden der Mitgliedstaaten und dem Europäischen Datenschutzbeauftragten (Art. 68 DSGVO)

Rechtlicher Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine rechtssichere Bewertung im Einzelfall wird die Beratung durch eine auf Datenschutzrecht spezialisierte Anwältin oder einen spezialisierten Anwalt empfohlen. Stand: Oktober 2026.

1. EDPB, „Anonymisation: How to assess the anonymity of data. Guidelines at a glance”, Oktober 2026, vierseitige Zusammenfassung der Leitlinien 02/2026 mit der Definition anonymer Daten, den beiden praktischen Beispielen (nach allgemeinem Ermessen wahrscheinlich genutzte Mittel, Abschnitt 2.4.2, Randnummer 28, Beispiel 7; Bestimmung der maßgeblichen Perspektive, Abschnitt 2.2, Randnummer 15, Beispiele 3 und 4), dem kontextbezogenen und dem vereinfachten Ansatz, den drei Kriterien und dem Flussdiagramm samt Schlusshinweis zur Weiterübermittlung. PDF: https://www.edpb.europa.eu/system/files/2026-10/edpb-summary-102026-anonymisation_en.pdf (abgerufen Oktober 2026). ↩

2. EDPB, „Guidelines 02/2026 on Anonymisation”, Version 1.0, angenommen am 7. Juli 2026 zur öffentlichen Konsultation. Volltext: https://www.edpb.europa.eu/system/files/2026-09/edpb_guidelines_202602_anonymisation_v1_en_0.pdf (derselbe Stand wie unter dem früheren Juli-Pfad). Konsultationsseite, geöffnet vom 8. Juli bis zum 30. Oktober 2026: https://www.edpb.europa.eu/public-consultations/guidelines-022026-on-anonymisation_en. Pressemitteilung: https://www.edpb.europa.eu/news/edpb-sheds-light-on-anonymisation-and-web-scraping-for-generative-ai-and-adopts-final-version_en (alle abgerufen Oktober 2026). ↩

3. Leitlinien 02/2026, Versionshistorie auf S. 1 (Version 1.0, 07. Juli 2026, „adoption of the guidelines for public consultation”); Konsultationsfrist 30. Oktober 2026 laut der in ² genannten Pressemitteilung des EDSA. URL wie in ² (abgerufen Oktober 2026). ↩

4. Leitlinien 02/2026, Rn. 1 mit Fußnoten 1 und 2 (anonyme Informationen als Informationen ohne Bezug zu einer identifizierten oder identifizierbaren natürlichen Person, Erwägungsgrund 26 DSGVO als Spiegel von Art. 4 Nr. 1; anonyme Daten außerhalb der DSGVO nach Art. 2 Abs. 1). URL wie in ² (abgerufen Oktober 2026). ↩

5. Leitlinien 02/2026, Rn. 6–8 (der zweistufige Kerntest; die Antworten können je nach Stelle verschieden ausfallen; die Frage ist eine der Wahrscheinlichkeit). URL wie in ² (abgerufen Oktober 2026). ↩ ↩²

6. Leitlinien 02/2026, Rn. 11–13 (relevante Stellen und Perspektiven; „for whom is the data intended to be anonymous”; Faktoren wie Übermittlung und Verarbeitung im Auftrag). URL wie in ² (abgerufen Oktober 2026). ↩

7. Leitlinien 02/2026, Rn. 16–17 (Bezug durch Inhalt, Zweck oder Auswirkung; aggregierte Daten können sich auf Einzelne beziehen, wenn Extraktionstechniken existieren). URL wie in ² (abgerufen Oktober 2026). ↩

8. Leitlinien 02/2026, Rn. 15 und Beispiele 3 und 4 (Perspektive des Verantwortlichen gilt für Auftragsverarbeiter; Onlinehändler und Agentur; Krankenhaus übermittelt Auszüge, die für sich genommen keine Identifizierung erlauben, an ein unabhängiges Forschungsinstitut, beurteilt aus dessen eigener Perspektive). Die Leitlinien verbinden Beispiel 4 nicht mit der Tabelle des Forschungsinstituts in den Beispielen 12, 19, 22 und 25. URL wie in ² (abgerufen Oktober 2026). ↩ ↩²

9. Art. 4 Nr. 7 und Art. 26 DSGVO; Leitlinien 02/2026, Rn. 9 mit Fußnote 7, die auf EuGH, C-210/16 Wirtschaftsakademie Schleswig-Holstein, verweist; die einschlägige Passage des Urteils ist Rn. 38 (gemeinsame Verantwortlichkeit setzt keinen eigenen Zugang zu den personenbezogenen Daten voraus). URL wie in ² (abgerufen Oktober 2026). ↩

10. Leitlinien 02/2026, Rn. 37–38 (für den Empfänger, nicht aber für den Verantwortlichen anonymisierte Daten bleiben für diesen personenbezogen; Anonymisierung braucht eine Rechtsgrundlage nach Art. 6 und eine Ausnahme nach Art. 9 Abs. 2 bei besonderen Kategorien; die bisherige Rechtsgrundlage und gegebenenfalls die Ausnahme nach Art. 9 Abs. 2 werden nur dann als fortgeltend vermutet, wenn die Anonymisierung Teil derselben Verarbeitungstätigkeit ist und denselben Zwecken dient). Anmerkung des Autors: Andernfalls sind Art. 5 Abs. 1 Buchst. b, Art. 6 Abs. 4 und Art. 9 DSGVO gesondert zu prüfen. URL wie in ² (abgerufen Oktober 2026). ↩ ↩² ↩³

11. Leitlinien 02/2026, Rn. 14 und Beispiel 2 (Informationspflicht zum Zeitpunkt der Erhebung aus der Perspektive des Verantwortlichen, unabhängig von der Perspektive des Empfängers), unter Verweis auf EuGH, C-413/23 P EDSB/SRB, zu Art. 15 Abs. 1 Buchst. d der Verordnung (EU) 2018/1725; im Anwendungsbereich der DSGVO Art. 13 und 14. URL wie in ² (abgerufen Oktober 2026). ↩

12. Leitlinien 02/2026, Rn. 19–20, 22 und 24 (Identifizierung als Unterscheiden einer Person, um sie anders behandeln zu können; unmittelbare und mittelbare Identifizierung; Wahrscheinlichkeit muss nicht null, aber in der Realität unerheblich sein; einzigartige Merkmalskombinationen). URL wie in ² (abgerufen Oktober 2026). ↩ ↩²

13. Leitlinien 02/2026, Rn. 26–28 und Beispiel 7; deutscher Wortlaut „nach allgemeinem Ermessen wahrscheinlich genutzt” aus Erwägungsgrund 26 DSGVO (Mittel möglicherweise nicht wahrscheinlich genutzt bei Unmöglichkeit, Unverhältnismäßigkeit oder gesetzlichem Verbot; weiter Mittelbegriff einschließlich einer Kette von Mitteln; der Geschäftspartner, der einen Dritten beauftragen könnte). URL wie in ² (abgerufen Oktober 2026). ↩ ↩² ↩³

14. Leitlinien 02/2026, Rn. 29 (objektive Faktoren a bis e; gesetzliche Zugangswege zu Zusatzinformationen zählen als nach allgemeinem Ermessen wahrscheinlich genutzte Mittel). URL wie in ² (abgerufen Oktober 2026). ↩

15. Leitlinien 02/2026, Rn. 30–31 (relevante Stellen einschließlich unbefugter und böswilliger Akteure, Liste vom anonymisierenden Verantwortlichen bis zu Cyberkriminellen; Warnung vor „lack of motivation” als Faktor; Wert und Risiko der Re-Identifizierung für die Stelle). URL wie in ² (abgerufen Oktober 2026). ↩ ↩²

16. Leitlinien 02/2026, Rn. 32–34 (gesetzliche Verbote und Widerlegung der Annahme rechtstreuen Verhaltens; vertragliche Verbote sind keine gesetzlichen Verbote und ergänzen technische Maßnahmen nur). URL wie in ² (abgerufen Oktober 2026). ↩ ↩² ↩³

17. Leitlinien 02/2026, Rn. 21 (Weiterübermittlung an eine Stelle mit Mitteln macht die Daten für die Übermittlung, den Empfänger und mittelbar die übermittelnde Stelle personenbezogen); aufgegriffen im Hinweis am Fuß des Flussdiagramms in ¹. URL wie in ² (abgerufen Oktober 2026). ↩

18. Leitlinien 02/2026, Rn. 54–58 und Beispiele 10 und 23 (Kriterium No Record Isolation; einzigartige Datensätze mit Geschlecht, Geburtsdatum, Postleitzahl und Autoimmunerkrankung; aggregierte Daten erfüllen das Kriterium in der Regel; Herausgreifen über öffentliche Register). URL wie in ² (abgerufen Oktober 2026). ↩ ↩² ↩³

19. Leitlinien 02/2026, Rn. 63 und Beispiel 12 (die vergröberte fünfzeilige Tabelle; No Record Isolation erfüllt; alle Männer des Jahrgangs 1946 im Postleitzahlbereich 54***, deren Datensatz in dieser Beispieltabelle enthalten ist, haben dort den Eintrag „Sklerose”; Verknüpfung über Vorwissen, Informationen in einem der Datensätze oder einen Brückendatensatz; No Record Isolation und No Linkage getrennt zu prüfen). URL wie in ² (abgerufen Oktober 2026). ↩ ↩²

20. Leitlinien 02/2026, Rn. 80–82 und Beispiel 19 (inferierte Verknüpfung auch bei aggregierten Daten; das Histogramm der Diagnosen; Inferenzen aus KI-Modellen und synthetischen Daten durch Abfragen oder Prompting). URL wie in ² (abgerufen Oktober 2026). ↩ ↩²

21. Leitlinien 02/2026, Rn. 88–89 und 94 mit Beispiel 22 (Fähigkeiten ändern sich mit der Zeit; Zugänglichkeit der Daten; Rn. 94 stellt das Beispiel nur als Illustration des Kriteriums No Linkage vor; die kontextbezogene Bewertung des Forschungsinstituts, seine fünf Gruppen von Stellen mit realistischem Zugang, der Ausschluss von Personen aus dem Umfeld der Patienten und der Schluss, dass No Linkage erfüllt ist). URL wie in ² (abgerufen Oktober 2026). ↩ ↩²

22. Leitlinien 02/2026, Rn. 101–103 und Beispiel 25 (Verknüpfung über nicht einzigartige Merkmale identifiziert nicht; zusätzliche Merkmale oder ein direktes Kennzeichen im zweiten Datensatz würden es; verknüpfte Daten werden erneut an den drei Kriterien geprüft). URL wie in ² (abgerufen Oktober 2026). ↩

23. Leitlinien 02/2026, Rn. 59–62 (Kriterium No Linkage; Verknüpfung über gemeinsame Kennzeichen oder Merkmalskombinationen). URL wie in ² (abgerufen Oktober 2026). ↩

24. Leitlinien 02/2026, Rn. 66–71 mit Beispiel 13 (Kriterium No Inference; spezifische und bedeutsame Inferenzen; „Green is a popular colour” und „Connor likes green”; eine bedeutsame Inferenz ist mit dem Ursprungsdatensatz verbunden). URL wie in ² (abgerufen Oktober 2026). ↩ ↩² ↩³

25. Leitlinien 02/2026, Rn. 95–100 und die Tabelle in Rn. 97 (Zusammenführung der Ergebnisse; Herausgreifen nach Verfehlen von No Record Isolation; Daten, die trotz eines einzigartigen Datensatzes bestehen; Verstoß gegen No Inference im vereinfachten Ansatz). URL wie in ² (abgerufen Oktober 2026). ↩ ↩²

26. Leitlinien 02/2026, Rn. 87 und Beispiel 20 (Wirksamkeit einer Re-Identifizierungstechnik; Genauigkeit muss nicht vollkommen sein, das Ergebnis muss aber hinreichend präzise und verlässlich sein, um die Person unterscheiden und anders behandeln zu können; das kann schon bei einer einzelnen Person im Datensatz der Fall sein, nicht aber bei einem Treffer, dessen Zuordnung nur erraten werden kann). URL wie in ² (abgerufen Oktober 2026). ↩

27. Leitlinien 02/2026, Rn. 45–49 mit Fußnote 36 (kontextbezogener und vereinfachter Ansatz; falsch positive und falsch negative Ergebnisse; der vereinfachte Ansatz ist kein alternativer rechtlicher Maßstab und kann von Dritten nicht zum Beweis des Personenbezugs genutzt werden; Kombination der Ansätze). URL wie in ² (abgerufen Oktober 2026). ↩ ↩² ↩³

28. Leitlinien 02/2026, Rn. 10 und 50–51 sowie Anhang 1 (Anonymisierung als jede Verarbeitung, die anonyme Daten erzeugt; einfache Fälle einschließlich leicht umkehrbarer Pseudonyme; Datenlandkarte als früher Schritt; das Flussdiagramm), zusammen mit dem Flussdiagramm in ¹. URL wie in ² (abgerufen Oktober 2026). ↩ ↩² ↩³ ↩⁴

29. Leitlinien 02/2026, Rn. 35 (Wahrscheinlichkeit der Re-Identifizierung steigt mit der Zeit; zuvor anonyme Daten können wieder personenbezogen werden; regelmäßige Neubewertung als gute Praxis). URL wie in ² (abgerufen Oktober 2026). ↩

30. Leitlinien 02/2026, Rn. 92–93 (Re-Identifizierungstechniken zunehmend zugänglich auf handelsüblicher Hardware oder als Dienst; KI und agentische KI dürften Zeit und Kosten für Anwendung der Techniken und für das Sammeln von Informationen aus öffentlichen Quellen senken). URL wie in ² (abgerufen Oktober 2026). ↩

31. Leitlinien 02/2026, Rn. 36 (Datensätze mit einer Mischung aus anonymen und personenbezogenen Daten; der gesamte Datensatz gilt als personenbezogen, wo die Teile nicht getrennt behandelt werden). URL wie in ² (abgerufen Oktober 2026). ↩

32. Leitlinien 02/2026, Rn. 40–41 (Transparenzpflichten; Verantwortliche sollten Bezeichnungen wie „anonymous” oder „de-identified” nicht verwenden, solange Personen identifizierbar bleiben; Dokumentation des Anonymisierungsverfahrens und seiner Tests, nach Abschluss aufzubewahren). URL wie in ² (abgerufen Oktober 2026). ↩ ↩² ↩³

33. Leitlinien 02/2026, Rn. 42 (Sicherheitsvorfälle können eine Neubewertung der Anonymität und die Prüfung der Art. 33 und 34 DSGVO erfordern). URL wie in ² (abgerufen Oktober 2026). ↩