Anonymisierung

Anonymisieren ist das Verändern personenbezogener Daten derart, dass sie sich nicht mehr auf eine identifizierte oder identifizierbare natürliche Person beziehen, mithin keinen Personenbezug mehr aufweisen. Eine Anonymisierung erfordert daher eine Löschung der die Rückverfolgung ermöglichenden Daten. Darin unterscheidet sich die Anonymisierung von der Pseudonymisierung, bei der die Hinzuziehung zusätzlicher, aber getrennt aufbewahrter Informationen die Identifikation ermöglicht. Datensätze zu anonymisieren kann insbesondere zu Zwecken des Datenschutzes geboten sein, weil die Grundsätze, Verbote und Pflichten des Datenschutzrechts auf anonyme Daten nicht anwendbar sind. Eine im Ergebnis vollständige (gänzlich sichere) Anonymisierung von Daten und Datenspuren macht Datenschutzmaßnahmen überflüssig.


Es wird zwischen absoluter und faktischer Anonymisierung unterschieden. Bei absoluter Anonymität ist niemand in der Lage, den Personenbezug wiederherzustellen. Von einer faktischen Anonymisierung kann gesprochen werden, wenn die Daten nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. Auch in Erwägungsgrund 26 der Datenschutzgrundverordnung (DSGVO) wird für die Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, auf alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, abgestellt, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind.


Eine datenschutzrechtlich hinreichend sicher vollständige Anonymisierung wird allerdings durch die hohe Informationsdichte von „Big Data“, durch die zunehmende Vernetzung von Datenquellen und auch durch die fortgeschrittenen Möglichkeiten der Auswertung gruppentypischer Attribute (Erkennung und Deutung von „Mustern“) zunehmend schwieriger. So erlauben heute Genomdaten jederzeit eine Individualisierung (nicht nur der Person, sondern auch ihrer Verwandten) – und angesichts der Verfügbarkeit von Gentests für jedermann sind Genomdaten aus Proben wie Haaren oder Speichel auch leicht zu erlangen und leicht auswertbar. Ebenso sind der individuelle Schreib- und Sprechstil, die „Handschrift“ bei der Bedienung von Tastaturen, die Körperhaltung beim Gehen oder Laufen etc. digital auslesbar, und auch Gesichter oder Stimmen erlauben es, natürliche Personen zu identifizieren. Dies gibt der datenschutzrechtlich zentralen Frage nach dem „Aufwand“, der zu einer Zuordnung typischerweise nötig wäre, großes Gewicht. In der Regel reicht es jedenfalls nicht, einfach Namen und Ortsbezüge aus Datensätzen zu tilgen, um sie zu anonymisieren. Da der Verantwortliche regelmäßig nicht ausschließen kann, ob sich der Personenbezug nicht doch durch das Zusatzwissen Dritter wiederherstellen lässt, muss er strukturell sicherstellen, dass unabhängig von möglichem Zusatzwissen keine De-Anonymisierung mehr möglich ist.

Wie „tief“ eine konkrete Anonymisierungsanstrengung beispielsweise im Falle von Patientendaten sein muss, ist nicht leicht zu sagen (und im Zweifel juristisch zu diskutieren). Für DTM ist die Frage nach der Notwendigkeit einer Anonymisierung (oder Pseudonymisierung) von Datensätzen in der Regel wichtig. Je nach Art der durch den Treuhänder geleisteten Datenverarbeitung bzw. Datenvermittlung kann auch die Anonymisierung (bzw. Pseudonymisierung) von Datenanalyse-Ergebnissen (und nicht der Datenbestände selbst) eine zu diskutierende Alternative sein.

Literatur

Andreas Pfitzmann und Marit Hansen: Anonymity, Unlinkability, Undetectability, Unobservability, Pseudonymity, and Identity Management – A Consolidated Proposal for Terminology. Dresden/Kiel 2008. https://www.researchgate.net/publication/228622491_Anonymity_Unlinkability_Undetectability_Unobservability_Pseudonymity_and_Identity_Management-A_Consolidated_Proposal_for_Terminology  [29.08.2025]

Datenschutzgrundverordnung (DSGVO), Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32016R0679