--- title: Anonymisierung und Pseudonymisierung (Art. 4 Nr. 5 DSGVO, ErwGr. 26) – Abgrenzung, Rechtsfolgen und Pflichten seo_title: Anonymisierung und Pseudonymisierung slug: dsgvo-anonymisierung-pseudonymisierung topic: datenschutz legal_status: in_force authority_level: A valid_from: 2018-05-25 valid_to: null last_reviewed: 2026-09-03 status: aktuell license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-anonymisierung-pseudonymisierung.md wikidata_subjects: [Q1172506, Q729649, Q567618, Q3702971] factcheck_status: ok --- # Anonymisierung und Pseudonymisierung (Art. 4 Nr. 5 DSGVO, ErwGr. 26) – Abgrenzung, Rechtsfolgen und Pflichten ## Kurzantwort Pseudonymisierung und Anonymisierung sind **zwei rechtlich völlig verschiedene Dinge**, obwohl beide den Personenbezug verschleiern. **Pseudonymisierte Daten bleiben personenbezogene Daten** und unterliegen weiter vollständig der DSGVO; **anonyme Daten** fallen aus dem Anwendungsbereich heraus. Die DSGVO definiert nur die Pseudonymisierung, und zwar in **Art. 4 Nr. 5 DSGVO** als „die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen". Wortgleich steht die Definition für den Bereich der JI-Richtlinie in **§ 46 Nr. 5 BDSG**. Die Anonymisierung ist dagegen **nicht definiert**; sie wird in der DSGVO nur in **Erwägungsgrund 26 Sätze 4 und 5** angesprochen. Nach **ErwGr. 26 Satz 2 DSGVO** sind „einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten", als Informationen über eine identifizierbare natürliche Person zu betrachten. Ob eine Person identifizierbar ist, richtet sich nach den Mitteln, die „nach allgemeinem Ermessen wahrscheinlich genutzt werden", unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technologie (**ErwGr. 26 Satz 3 und 4**). Praktisch folgt daraus: Die Pseudonymisierung ist eine **technisch-organisatorische Schutzmaßnahme**, die die DSGVO ausdrücklich in Art. 6 Abs. 4 lit. e, Art. 25 Abs. 1, Art. 32 Abs. 1 lit. a, Art. 40 Abs. 2 lit. d und Art. 89 Abs. 1 DSGVO nennt – sie befreit aber von **keiner** Pflicht. Die Anonymisierung ist nach Auffassung der BfDI selbst eine **Verarbeitung** und braucht deshalb ihrerseits eine Rechtsgrundlage; erst ihr **Ergebnis** liegt außerhalb der DSGVO. ## Kernfakten | Punkt | Wert | |---|---| | Legaldefinition Pseudonymisierung | Art. 4 Nr. 5 DSGVO; wortgleich für den JI-Bereich § 46 Nr. 5 BDSG [BfDI INFO 1, S. 144; gesetze-im-internet.de/bdsg_2018/__46.html] | | Legaldefinition Anonymisierung | **existiert in der DSGVO nicht**; nur ErwGr. 26 Sätze 4 und 5 [BfDI INFO 1, S. 82; BfDI-Positionspapier 29.06.2020, S. 2] | | Rechtsfolge Pseudonymisierung | Daten bleiben personenbezogen, DSGVO voll anwendbar [ErwGr. 26 Satz 2 DSGVO] | | Rechtsfolge Anonymisierung | DSGVO nicht anwendbar, „auch für statistische oder für Forschungszwecke" [ErwGr. 26 Satz 5 und 6 DSGVO] | | Maßstab der Identifizierbarkeit | alle Mittel, die vom Verantwortlichen oder einer anderen Person „nach allgemeinem Ermessen wahrscheinlich genutzt werden", u. a. das Aussondern; objektive Faktoren sind Kosten, Zeitaufwand, verfügbare Technologie [ErwGr. 26 Satz 3 und 4 DSGVO] | | Anonymisierungsmaßstab in der Praxis | **relativ**, nicht absolut: ausreichend ist, dass eine Re-Identifizierung „praktisch nicht durchführbar" ist, weil sie nur mit unverhältnismäßigem Aufwand an Zeit, Kosten und Arbeitskraft möglich wäre [BfDI-Positionspapier 29.06.2020, S. 4] | | Anonymisierung als Verarbeitung | ja – Veränderung i. S. v. Art. 4 Nr. 2 DSGVO; bedarf einer Rechtsgrundlage [BfDI-Positionspapier 29.06.2020, S. 5] | | Drei Risiken der Anonymisierung | Herausgreifen (singling out), Verknüpfbarkeit, Inferenz [Art.-29-Gruppe, WP 216 v. 10.04.2014, S. 12] | | Pseudonymisierung bei Zweckänderung | ausdrücklich als „geeignete Garantie" genannt [Art. 6 Abs. 4 lit. e DSGVO] | | Pseudonymisierung bei Privacy by Design | ausdrücklich als Regelbeispiel genannt („wie z. B. Pseudonymisierung") [Art. 25 Abs. 1 DSGVO] | | Pseudonymisierung als TOM | ausdrücklich als Sicherheitsmaßnahme genannt [Art. 32 Abs. 1 lit. a DSGVO] | | Pseudonymisierung in Forschung/Statistik | als Garantie vorgesehen, „sofern es möglich ist, diese Zwecke auf diese Weise zu erfüllen" [Art. 89 Abs. 1 Satz 3 DSGVO] | | Vorrang der Anonymisierung in der Forschung | Art. 89 Abs. 1 Satz 4 DSGVO; ergänzend Anonymisierungspflicht für besondere Kategorien nach § 27 Abs. 3 Satz 1 BDSG, „sobald dies nach dem Forschungs- oder Statistikzweck möglich ist" [gesetze-im-internet.de/bdsg_2018/__27.html] | | Pseudonymisierung im BDSG-Maßnahmenkatalog | § 22 Abs. 2 Satz 2 Nr. 6 BDSG (Verschlüsselung getrennt in Nr. 7) [gesetze-im-internet.de/bdsg_2018/__22.html] | | Keine Pflicht zur Identifizierung | Art. 11 Abs. 1 DSGVO – der Verantwortliche muss keine Zusatzinformationen aufbewahren, nur um die Verordnung einzuhalten | | Folge für Betroffenenrechte | Weist der Verantwortliche nach, dass er die Person nicht identifizieren kann, finden **Art. 15 bis 20 DSGVO keine Anwendung**, es sei denn, die Person liefert identifizierende Zusatzinformationen [Art. 11 Abs. 2 DSGVO] | | Allgemeine Pseudonymisierungspflicht | **besteht nicht**; ErwGr. 28 Satz 2 DSGVO stellt klar, dass andere Datenschutzmaßnahmen nicht ausgeschlossen werden sollen [EDSA, Guidelines 01/2025, Executive Summary] | | Bußgeldrahmen bei Verstoß gegen Art. 25/32 | bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes [Art. 83 Abs. 4 lit. a DSGVO] | | Bußgeldrahmen bei Verstoß gegen Art. 5/6 | bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 lit. a DSGVO] | | Aufsichtsleitlinie | EDSA, Guidelines 01/2025 on Pseudonymisation, angenommen 16.01.2025, Konsultation vom 17.01. bis 14.03.2025 – Stand 03.09.2026 ist auf der EDSA-Website **keine finale Fassung** veröffentlicht | | Gesetzesfassung BDSG | Bundesdatenschutzgesetz vom 30. Juni 2017 (BGBl. I S. 2097), zuletzt geändert durch Artikel 3 des Gesetzes vom 3. Juli 2026 (BGBl. 2026 I Nr. 199) [BDSG-Gesamtausgabe, Vollzitat] | ## Geltungsbereich Die Abgrenzung betrifft **jeden Verantwortlichen und jeden Auftragsverarbeiter**, der Datenbestände auswertet, weitergibt oder für Analyse-, Test-, Forschungs- oder Statistikzwecke aufbereitet. Sie entscheidet über die Vorfrage jedes Datenschutzverfahrens: Ist die DSGVO überhaupt anwendbar? Die Rechtsfolgen sind gegenläufig: - **Pseudonymisierte Daten** sind personenbezogene Daten. Es gelten sämtliche Pflichten – Rechtsgrundlage nach Art. 6 DSGVO, Informationspflichten nach Art. 13, 14 DSGVO, Betroffenenrechte nach Art. 15 ff. DSGVO, Verzeichnis nach Art. 30 DSGVO, Meldepflicht nach Art. 33 DSGVO. - **Anonyme Daten** unterliegen der DSGVO nicht. ErwGr. 26 Satz 6 stellt ausdrücklich klar, dass die Verordnung „somit nicht die Verarbeitung solcher anonymer Daten" betrifft, „auch für statistische oder für Forschungszwecke". Der **Weg** zu anonymen Daten ist davon zu trennen: Die Anonymisierung selbst ist ein Umgang mit noch personenbezogenen Daten. Die BfDI ordnet sie als „Veränderung" im Sinne von Art. 4 Nr. 2 DSGVO ein und hält fest: „Die Anonymisierung stellt eine Verarbeitung dar und bedarf als solche einer Rechtsgrundlage." In Betracht kommen nach dem Positionspapier insbesondere die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die kompatible Weiterverarbeitung nach Art. 6 Abs. 4 DSGVO in Verbindung mit der ursprünglichen Rechtsgrundlage sowie die Erfüllung einer rechtlichen Verpflichtung. Für den **Beschäftigtendatenschutz** und für **besondere Kategorien personenbezogener Daten** nennt § 22 Abs. 2 Satz 2 BDSG die Pseudonymisierung (Nr. 6) und die Verschlüsselung (Nr. 7) als getrennte angemessene und spezifische Maßnahmen; § 26 Abs. 3 BDSG erklärt § 22 Abs. 2 BDSG für anwendbar. ## Ausnahmen - **Keine allgemeine Pseudonymisierungspflicht.** Die DSGVO schreibt Pseudonymisierung nirgends generell vor. Ob sie erforderlich ist, ergibt sich erst aus Art. 5 Abs. 1 lit. c, Art. 25 und Art. 32 DSGVO im Licht des konkreten Risikos. ErwGr. 28 Satz 2 DSGVO stellt klar, dass durch die ausdrückliche Einführung des Begriffs „nicht beabsichtigt" ist, andere Datenschutzmaßnahmen auszuschließen. - **Art. 11 DSGVO als Gegenausnahme.** Ist die Identifizierung für die Verarbeitungszwecke nicht oder nicht mehr erforderlich, muss der Verantwortliche keine Zusatzinformationen aufbewahren, einholen oder verarbeiten, nur um die Verordnung einzuhalten (Abs. 1). Kann er nachweisen, dass er die betroffene Person nicht identifizieren kann, finden die Art. 15 bis 20 DSGVO keine Anwendung – es sei denn, die betroffene Person stellt selbst identifizierende Zusatzinformationen bereit (Abs. 2). Das ist keine Befreiung, sondern eine Verschiebung der Darlegungslast auf den Verantwortlichen. - **Forschung und Statistik.** Art. 89 Abs. 1 Satz 4 DSGVO ordnet an, dass Zwecke, die durch eine Weiterverarbeitung ohne Identifizierungsmöglichkeit erfüllt werden können, „auf diese Weise" zu erfüllen sind. § 27 Abs. 3 Satz 1 BDSG verpflichtet für besondere Kategorien personenbezogener Daten zur Anonymisierung, „sobald dies nach dem Forschungs- oder Statistikzweck möglich ist, es sei denn, berechtigte Interessen der betroffenen Person stehen dem entgegen"; bis dahin sind die zuordnenden Merkmale nach § 27 Abs. 3 Satz 2 BDSG gesondert zu speichern. - **Kein Bereichsausschluss für „nur technische" Kennungen.** Online-Kennungen wie IP-Adressen und Cookie-Kennungen sind nach ErwGr. 30 DSGVO ausdrücklich geeignet, Spuren zu hinterlassen, über die Personen identifiziert werden können. ## Häufige Fehler - **„Pseudonymisiert ist wie anonymisiert."** Falsch. ErwGr. 26 Satz 2 DSGVO ordnet pseudonymisierte Daten ausdrücklich den Informationen über eine identifizierbare natürliche Person zu. Die BfDI formuliert die Trennlinie so: Beim Pseudonym kann der berechtigte Inhaber der Zusatzinformationen den Personenbezug wiederherstellen, bei anonymen Daten ist die Wiederherstellung „für jedermann zumindest praktisch unmöglich". - **„Namensfeld gelöscht, also anonym."** Art. 4 Nr. 5 DSGVO verlangt einen Blick auf **alle** Bestandteile des Datensatzes, nicht nur auf die direkten Identifikatoren; Quasi-Identifikatoren können eine Person weiterhin herausgreifbar machen. Die Art.-29-Gruppe nennt in WP 216 drei getrennt zu prüfende Risiken: **Herausgreifen**, **Verknüpfbarkeit** und **Inferenz**. Eine Technik, die nur gegen das Herausgreifen schützt, genügt nicht. - **„Anonymisieren braucht keine Rechtsgrundlage, es beseitigt ja den Personenbezug."** Nach dem BfDI-Positionspapier ist der Vorgang selbst eine Verarbeitung und bedarf einer Rechtsgrundlage. - **„Absolute Anonymität ist gefordert."** Umgekehrt: Nach der BfDI ist eine absolute Anonymisierung „im Regelfall datenschutzrechtlich auch nicht gefordert"; maßgeblich ist der Wahrscheinlichkeitsmaßstab des ErwGr. 26. - **„Einmal anonym, immer anonym."** Die Überprüfung der Anonymisierung auf ihre Validität ist nach dem BfDI-Positionspapier eine **fortwährende** Aufgabe des Verantwortlichen und unterliegt der Kontrolle der Aufsichtsbehörden. ErwGr. 26 Satz 4 DSGVO verweist ausdrücklich auf „technologische Entwicklungen". - **„Pseudonymisierung ersetzt die Verschlüsselung."** Art. 32 Abs. 1 lit. a DSGVO und § 22 Abs. 2 Satz 2 Nr. 6 und Nr. 7 BDSG führen beide Maßnahmen nebeneinander auf. Der EDSA hält in den Guidelines 01/2025 fest, dass Pseudonymisierung „always need to be complemented by further measures". - **„Der Personenbezug ist für alle gleich zu beurteilen."** Der EuGH hat mit Urteil vom 04.09.2025 in der Rechtssache **C-413/23 P (EDSB ./. SRB)** entschieden, dass pseudonymisierte Daten nicht in jedem Fall und für jede Person personenbezogene Daten sind; das ist auf einer eigenen Seite dargestellt (siehe unten). Die EDSA-Leitlinien 01/2025 stammen vom 16.01.2025 und liegen damit **zeitlich vor** diesem Urteil. ## Beispiel Ein Klinikbetreiber will Behandlungsdaten für eine interne Auswertung nutzen. **Variante 1 – Pseudonymisierung.** Er ersetzt Name und Versichertennummer durch eine laufende Fallnummer und legt die Zuordnungstabelle verschlüsselt in einem getrennten System ab, auf das nur zwei benannte Personen Zugriff haben. Ergebnis: Art. 4 Nr. 5 DSGVO ist erfüllt, der Datensatz bleibt aber ein **personenbezogener** Datensatz. Rechtsgrundlage, Verzeichnis nach Art. 30 DSGVO, Löschkonzept und Betroffenenrechte gelten unverändert. Die Maßnahme zählt zugunsten des Betreibers bei Art. 25 Abs. 1 und Art. 32 Abs. 1 lit. a DSGVO und kann im Rahmen von Art. 6 Abs. 4 lit. e DSGVO die Vereinbarkeit einer Zweckänderung stützen. **Variante 2 – Anonymisierung.** Er löscht die Zuordnungstabelle, gröbt Geburtsdatum auf Geburtsjahr und Postleitzahl auf die ersten zwei Stellen und prüft, ob in der so entstandenen Auswertung noch Einzelfälle herausgegriffen, mit anderen Beständen verknüpft oder Merkmale abgeleitet werden können. Erst wenn eine Re-Identifizierung nach dem Maßstab des ErwGr. 26 praktisch nicht durchführbar ist, liegt ein anonymer Datensatz vor, auf den die DSGVO nicht mehr anwendbar ist. Der **Anonymisierungsvorgang selbst** – die Löschung, Vergröberung und Aggregation der noch personenbezogenen Ausgangsdaten – braucht nach dem BfDI-Positionspapier eine eigene Rechtsgrundlage. Handelt es sich um Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO und wird zu Forschungs- oder Statistikzwecken verarbeitet, greift zusätzlich die Anonymisierungspflicht des § 27 Abs. 3 Satz 1 BDSG. ## Quellen Hinweis zum Verordnungstext: Zu den zitierten DSGVO-Artikeln und Erwägungsgründen ist bewusst kein EUR-Lex-Direktlink gesetzt. Der Abruf von eur-lex.europa.eu lieferte am 03.09.2026 erneut HTTP 202 mit leerem Antwortkörper. Der wörtliche deutsche Text ist stattdessen der amtlichen Textausgabe der BfDI (INFO 1) entnommen und dort seitengenau nachprüfbar: Erwägungsgrund 26 und 28 auf S. 82, Erwägungsgrund 30 auf S. 83, Art. 4 Nr. 5 auf S. 144, Art. 6 Abs. 4 lit. e auf S. 151, Art. 11 auf S. 155, Art. 25 auf S. 169, Art. 32 auf S. 176, Art. 40 Abs. 2 lit. d auf S. 185, Art. 83 Abs. 4 und 5 auf S. 231 f., Art. 89 auf S. 235. Alle Seitenzahlen beziehen sich auf die PDF-Fassung v=23 und wurden am 03.09.2026 seitengenau geprüft. - § 46 BDSG – Begriffsbestimmungen, Nummer 5 mit der wortgleichen Definition der Pseudonymisierung (Autorität A): https://www.gesetze-im-internet.de/bdsg_2018/__46.html - § 27 BDSG – Datenverarbeitung zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken, Absatz 3 mit der Anonymisierungspflicht (Autorität A): https://www.gesetze-im-internet.de/bdsg_2018/__27.html - § 22 BDSG – Verarbeitung besonderer Kategorien personenbezogener Daten, Absatz 2 Satz 2 Nummer 6 und 7 (Autorität A): https://www.gesetze-im-internet.de/bdsg_2018/__22.html - § 26 BDSG – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses, Absatz 3 mit dem Verweis auf § 22 Absatz 2 (Autorität A): https://www.gesetze-im-internet.de/bdsg_2018/__26.html - BDSG – amtliche Gesamtausgabe mit Vollzitat und Stand (Autorität A): https://www.gesetze-im-internet.de/bdsg_2018/BDSG.pdf - § 25 TDDDG – Schutz der Endeinrichtungen, für die Abgrenzung zum Einwilligungserfordernis bei Cookies (Autorität A): https://www.gesetze-im-internet.de/ttdsg/__25.html - BfDI, Datenschutz-Grundverordnung und Bundesdatenschutzgesetz, Texte und Erläuterungen (INFO 1), amtliche Textausgabe mit DSGVO-Volltext und sämtlichen Erwägungsgründen (Autorität B): https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile&v=23 - BfDI, Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche, Stand 29.06.2020 (Autorität B): https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Konsultationsverfahren/1_Anonymisierung/Positionspapier-Anonymisierung.pdf?__blob=publicationFile&v=4 - BfDI, Anonymisierung – Eine Standortbestimmung zwischen der DSGVO und dem TKG, Themenseite (Autorität B): https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Telefon-Internet/Positionen/Positionspapier-Anonymisierung-DSGVO-TKG.html - BfDI, Konsultationsverfahren Anonymisierung unter der DSGVO, Verfahrensübersicht mit allen eingegangenen Stellungnahmen (Autorität B): https://www.bfdi.bund.de/DE/BfDI/Konsultationsverfahren/Anonymisierung-TK/Anonymisierung-TK_node.html - EDSA/EDPB, Guidelines 01/2025 on Pseudonymisation, angenommen am 16.01.2025, Fassung für die öffentliche Konsultation (Autorität C): https://www.edpb.europa.eu/system/files/2025-01/edpb_guidelines_202501_pseudonymisation_en.pdf - EDSA/EDPB, Konsultationsseite zu den Guidelines 01/2025 mit Konsultationszeitraum 17.01. bis 14.03.2025 und den eingegangenen Rückmeldungen (Autorität C): https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2025/guidelines-012025-pseudonymisation_en - Artikel-29-Datenschutzgruppe, Stellungnahme 05/2014 zu Anonymisierungstechniken (WP 216) vom 10.04.2014, deutsche Fassung mit den drei Risiken Herausgreifen, Verknüpfbarkeit und Inferenz (Autorität C): https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_de.pdf ## Siehe auch - [EuGH C-413/23 P – Personenbezug pseudonymisierter Daten](/fakten/eugh-c-413-23-p-pseudonymisierte-daten-personenbezug.html) - [Technische und organisatorische Maßnahmen (Art. 32 DSGVO)](/fakten/dsgvo-tom-art-32.html) - [Privacy by Design und by Default](/fakten/privacy-by-design.html) - [Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)](/fakten/dsgvo-rechtsgrundlagen-art-6.html) - [Speicherbegrenzung und Löschfristen](/fakten/dsgvo-speicherbegrenzung.html) - [Löschungsrecht (Art. 17 DSGVO)](/fakten/dsgvo-loeschungsrecht-art-17.html) - [Auskunftsrecht (Art. 15 DSGVO)](/fakten/dsgvo-auskunftsrecht-art-15.html) - [Datenschutz-Folgenabschätzung (Art. 35 DSGVO)](/fakten/dsgvo-dpia-art-35.html) - [Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)](/fakten/dsgvo-art-9-gesundheitsdaten-besondere-kategorien.html) - [Online-Tracking und § 25 TDDDG](/fakten/online-tracking-tddsg.html) - [Beschäftigtendatenschutz (§ 26 BDSG)](/fakten/beschaeftigtendatenschutz-26-bdsg.html) - [DSGVO-Bußgelder](/fakten/dsgvo-bussgelder.html) ## Änderungsverlauf - 2026-09-03: Seite erstellt. Wortlaut der §§ 22, 26, 27 und 46 BDSG aus der amtlichen Einzelnorm-Fassung auf gesetze-im-internet.de und der BDSG-Gesamtausgabe; DSGVO-Wortlaut der Art. 4 Nr. 5, 6 Abs. 4, 11, 25, 32, 40, 83 und 89 sowie der Erwägungsgründe 26, 28 und 30 aus der amtlichen BfDI-Textausgabe INFO 1; Anonymisierungsmaßstab und Rechtsgrundlagenfrage aus dem BfDI-Positionspapier vom 29.06.2020; die drei Anonymisierungsrisiken aus WP 216 der Artikel-29-Datenschutzgruppe; EDSA-Guidelines 01/2025 als Aufsichtsposition mit Fassungsstand ausgewiesen. Kein EUR-Lex-Direktlink wegen HTTP 202 mit leerem Body. ## Stand - Stand: 2026-09-03 - Gültig ab: 2018-05-25 - Status: aktuell - Quellenautorität: A - Lizenz: CC BY 4.0 - Hinweis: Diese Seite gibt geltende Normen und die veröffentlichte Auffassung der Datenschutzaufsichtsbehörden wieder. Sie ist eine allgemeine Information und keine Rechtsberatung im Einzelfall.