Nexvyra

Anonymisierung und Pseudonymisierung (Art. 4 Nr. 5 DSGVO, ErwGr. 26) – Abgrenzung, Rechtsfolgen und Pflichten

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-09-03 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Pseudonymisierung und Anonymisierung sind zwei rechtlich völlig verschiedene Dinge, obwohl beide den Personenbezug verschleiern. Pseudonymisierte Daten bleiben personenbezogene Daten und unterliegen weiter vollständig der DSGVO; anonyme Daten fallen aus dem Anwendungsbereich heraus.

Die DSGVO definiert nur die Pseudonymisierung, und zwar in Art. 4 Nr. 5 DSGVO als „die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen". Wortgleich steht die Definition für den Bereich der JI-Richtlinie in § 46 Nr. 5 BDSG. Die Anonymisierung ist dagegen nicht definiert; sie wird in der DSGVO nur in Erwägungsgrund 26 Sätze 4 und 5 angesprochen.

Nach ErwGr. 26 Satz 2 DSGVO sind „einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten", als Informationen über eine identifizierbare natürliche Person zu betrachten. Ob eine Person identifizierbar ist, richtet sich nach den Mitteln, die „nach allgemeinem Ermessen wahrscheinlich genutzt werden", unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technologie (ErwGr. 26 Satz 3 und 4).

Praktisch folgt daraus: Die Pseudonymisierung ist eine technisch-organisatorische Schutzmaßnahme, die die DSGVO ausdrücklich in Art. 6 Abs. 4 lit. e, Art. 25 Abs. 1, Art. 32 Abs. 1 lit. a, Art. 40 Abs. 2 lit. d und Art. 89 Abs. 1 DSGVO nennt – sie befreit aber von keiner Pflicht. Die Anonymisierung ist nach Auffassung der BfDI selbst eine Verarbeitung und braucht deshalb ihrerseits eine Rechtsgrundlage; erst ihr Ergebnis liegt außerhalb der DSGVO.

Kernfakten

PunktWert
Legaldefinition PseudonymisierungArt. 4 Nr. 5 DSGVO; wortgleich für den JI-Bereich § 46 Nr. 5 BDSG [BfDI INFO 1, S. 144; gesetze-im-internet.de/bdsg_2018/__46.html]
Legaldefinition Anonymisierungexistiert in der DSGVO nicht; nur ErwGr. 26 Sätze 4 und 5 [BfDI INFO 1, S. 82; BfDI-Positionspapier 29.06.2020, S. 2]
Rechtsfolge PseudonymisierungDaten bleiben personenbezogen, DSGVO voll anwendbar [ErwGr. 26 Satz 2 DSGVO]
Rechtsfolge AnonymisierungDSGVO nicht anwendbar, „auch für statistische oder für Forschungszwecke" [ErwGr. 26 Satz 5 und 6 DSGVO]
Maßstab der Identifizierbarkeitalle Mittel, die vom Verantwortlichen oder einer anderen Person „nach allgemeinem Ermessen wahrscheinlich genutzt werden", u. a. das Aussondern; objektive Faktoren sind Kosten, Zeitaufwand, verfügbare Technologie [ErwGr. 26 Satz 3 und 4 DSGVO]
Anonymisierungsmaßstab in der Praxisrelativ, nicht absolut: ausreichend ist, dass eine Re-Identifizierung „praktisch nicht durchführbar" ist, weil sie nur mit unverhältnismäßigem Aufwand an Zeit, Kosten und Arbeitskraft möglich wäre [BfDI-Positionspapier 29.06.2020, S. 4]
Anonymisierung als Verarbeitungja – Veränderung i. S. v. Art. 4 Nr. 2 DSGVO; bedarf einer Rechtsgrundlage [BfDI-Positionspapier 29.06.2020, S. 5]
Drei Risiken der AnonymisierungHerausgreifen (singling out), Verknüpfbarkeit, Inferenz [Art.-29-Gruppe, WP 216 v. 10.04.2014, S. 12]
Pseudonymisierung bei Zweckänderungausdrücklich als „geeignete Garantie" genannt [Art. 6 Abs. 4 lit. e DSGVO]
Pseudonymisierung bei Privacy by Designausdrücklich als Regelbeispiel genannt („wie z. B. Pseudonymisierung") [Art. 25 Abs. 1 DSGVO]
Pseudonymisierung als TOMausdrücklich als Sicherheitsmaßnahme genannt [Art. 32 Abs. 1 lit. a DSGVO]
Pseudonymisierung in Forschung/Statistikals Garantie vorgesehen, „sofern es möglich ist, diese Zwecke auf diese Weise zu erfüllen" [Art. 89 Abs. 1 Satz 3 DSGVO]
Vorrang der Anonymisierung in der ForschungArt. 89 Abs. 1 Satz 4 DSGVO; ergänzend Anonymisierungspflicht für besondere Kategorien nach § 27 Abs. 3 Satz 1 BDSG, „sobald dies nach dem Forschungs- oder Statistikzweck möglich ist" [gesetze-im-internet.de/bdsg_2018/__27.html]
Pseudonymisierung im BDSG-Maßnahmenkatalog§ 22 Abs. 2 Satz 2 Nr. 6 BDSG (Verschlüsselung getrennt in Nr. 7) [gesetze-im-internet.de/bdsg_2018/__22.html]
Keine Pflicht zur IdentifizierungArt. 11 Abs. 1 DSGVO – der Verantwortliche muss keine Zusatzinformationen aufbewahren, nur um die Verordnung einzuhalten
Folge für BetroffenenrechteWeist der Verantwortliche nach, dass er die Person nicht identifizieren kann, finden Art. 15 bis 20 DSGVO keine Anwendung, es sei denn, die Person liefert identifizierende Zusatzinformationen [Art. 11 Abs. 2 DSGVO]
Allgemeine Pseudonymisierungspflichtbesteht nicht; ErwGr. 28 Satz 2 DSGVO stellt klar, dass andere Datenschutzmaßnahmen nicht ausgeschlossen werden sollen [EDSA, Guidelines 01/2025, Executive Summary]
Bußgeldrahmen bei Verstoß gegen Art. 25/32bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes [Art. 83 Abs. 4 lit. a DSGVO]
Bußgeldrahmen bei Verstoß gegen Art. 5/6bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 lit. a DSGVO]
AufsichtsleitlinieEDSA, Guidelines 01/2025 on Pseudonymisation, angenommen 16.01.2025, Konsultation vom 17.01. bis 14.03.2025 – Stand 03.09.2026 ist auf der EDSA-Website keine finale Fassung veröffentlicht
Gesetzesfassung BDSGBundesdatenschutzgesetz vom 30. Juni 2017 (BGBl. I S. 2097), zuletzt geändert durch Artikel 3 des Gesetzes vom 3. Juli 2026 (BGBl. 2026 I Nr. 199) [BDSG-Gesamtausgabe, Vollzitat]

Geltungsbereich

Die Abgrenzung betrifft jeden Verantwortlichen und jeden Auftragsverarbeiter, der Datenbestände auswertet, weitergibt oder für Analyse-, Test-, Forschungs- oder Statistikzwecke aufbereitet. Sie entscheidet über die Vorfrage jedes Datenschutzverfahrens: Ist die DSGVO überhaupt anwendbar?

Die Rechtsfolgen sind gegenläufig:

Der Weg zu anonymen Daten ist davon zu trennen: Die Anonymisierung selbst ist ein Umgang mit noch personenbezogenen Daten. Die BfDI ordnet sie als „Veränderung" im Sinne von Art. 4 Nr. 2 DSGVO ein und hält fest: „Die Anonymisierung stellt eine Verarbeitung dar und bedarf als solche einer Rechtsgrundlage." In Betracht kommen nach dem Positionspapier insbesondere die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die kompatible Weiterverarbeitung nach Art. 6 Abs. 4 DSGVO in Verbindung mit der ursprünglichen Rechtsgrundlage sowie die Erfüllung einer rechtlichen Verpflichtung.

Für den Beschäftigtendatenschutz und für besondere Kategorien personenbezogener Daten nennt § 22 Abs. 2 Satz 2 BDSG die Pseudonymisierung (Nr. 6) und die Verschlüsselung (Nr. 7) als getrennte angemessene und spezifische Maßnahmen; § 26 Abs. 3 BDSG erklärt § 22 Abs. 2 BDSG für anwendbar.

Ausnahmen

Häufige Fehler

Beispiel

Ein Klinikbetreiber will Behandlungsdaten für eine interne Auswertung nutzen.

Variante 1 – Pseudonymisierung. Er ersetzt Name und Versichertennummer durch eine laufende Fallnummer und legt die Zuordnungstabelle verschlüsselt in einem getrennten System ab, auf das nur zwei benannte Personen Zugriff haben. Ergebnis: Art. 4 Nr. 5 DSGVO ist erfüllt, der Datensatz bleibt aber ein personenbezogener Datensatz. Rechtsgrundlage, Verzeichnis nach Art. 30 DSGVO, Löschkonzept und Betroffenenrechte gelten unverändert. Die Maßnahme zählt zugunsten des Betreibers bei Art. 25 Abs. 1 und Art. 32 Abs. 1 lit. a DSGVO und kann im Rahmen von Art. 6 Abs. 4 lit. e DSGVO die Vereinbarkeit einer Zweckänderung stützen.

Variante 2 – Anonymisierung. Er löscht die Zuordnungstabelle, gröbt Geburtsdatum auf Geburtsjahr und Postleitzahl auf die ersten zwei Stellen und prüft, ob in der so entstandenen Auswertung noch Einzelfälle herausgegriffen, mit anderen Beständen verknüpft oder Merkmale abgeleitet werden können. Erst wenn eine Re-Identifizierung nach dem Maßstab des ErwGr. 26 praktisch nicht durchführbar ist, liegt ein anonymer Datensatz vor, auf den die DSGVO nicht mehr anwendbar ist. Der Anonymisierungsvorgang selbst – die Löschung, Vergröberung und Aggregation der noch personenbezogenen Ausgangsdaten – braucht nach dem BfDI-Positionspapier eine eigene Rechtsgrundlage. Handelt es sich um Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO und wird zu Forschungs- oder Statistikzwecken verarbeitet, greift zusätzlich die Anonymisierungspflicht des § 27 Abs. 3 Satz 1 BDSG.

Quellen

Siehe auch

Änderungsverlauf

Stand