--- title: "Verarbeitung ohne Identifizierung (Art. 11 DSGVO, VO (EU) 2016/679) – wann Betroffenenrechte nach Art. 15–20 entfallen" slug: "dsgvo-identifizierung-nicht-erforderlich-art-11" domaine: "datenschutz" valid_from: "2018-05-25" valid_to: null last_reviewed: "2026-10-20" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-identifizierung-nicht-erforderlich-art-11.md wikidata_subjects: [] factcheck_status: "ok" --- # Verarbeitung ohne Identifizierung (Art. 11 DSGVO, VO (EU) 2016/679) – wann Betroffenenrechte nach Art. 15–20 entfallen ## Kurzantwort **Art. 11 DSGVO** regelt Verarbeitungen, für die der Verantwortliche die betroffene Person **nicht (mehr) identifizieren muss** – etwa bei pseudonymen Nutzungs- oder Reichweitendaten. Er muss dann **keine zusätzlichen Informationen** aufbewahren, einholen oder verarbeiten, **nur um** die DSGVO einzuhalten (Abs. 1). Kann er **nachweisen**, dass er die Person nicht identifizieren kann, unterrichtet er sie darüber, **sofern möglich** (Abs. 2 Satz 1). In diesem Fall gelten die Betroffenenrechte der **Art. 15 bis 20** (Auskunft, Berichtigung, Löschung, Einschränkung, Mitteilung, Datenübertragbarkeit) **nicht** – es sei denn, die Person stellt **zusätzliche Informationen** bereit, die ihre Identifizierung ermöglichen (Abs. 2 Satz 2). Ablehnen darf der Verantwortliche nur, wenn er **glaubhaft macht**, dass er die Person nicht identifizieren kann (Art. 12 Abs. 2 Satz 2). Die **Beweislast** liegt beim Verantwortlichen. ## Kernfakten | Punkt | Wert | |---|---| | Rechtsgrundlage | Art. 11 DSGVO (Verordnung (EU) 2016/679), flankiert von Art. 12 Abs. 2 Satz 2 und Abs. 6 DSGVO und Erwägungsgrund 57 | | Rechtsnatur | EU-Verordnung, unmittelbar anwendbar; kein deutsches Umsetzungsgesetz erforderlich | | Anwendbar seit | 25.05.2018 | | Abs. 1 | Keine Pflicht, zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, nur um die betroffene Person zu identifizieren | | Abs. 2 Satz 1 | Nachweis der Nichtidentifizierbarkeit durch den Verantwortlichen; Unterrichtung der Person, wenn möglich | | Abs. 2 Satz 2 | Art. 15–20 DSGVO nicht anwendbar, außer die Person liefert zusätzliche Identifizierungsinformationen | | Nicht ausgenommen | Widerspruchsrecht (Art. 21) und Art. 22 stehen nicht in der Ausnahmeliste des Art. 11 Abs. 2 | | Ablehnung eines Antrags | nur bei glaubhaft gemachter Nichtidentifizierbarkeit (Art. 12 Abs. 2 Satz 2 DSGVO) | | Identitätszweifel (Gegenfall) | Bei begründeten Zweifeln darf der Verantwortliche zusätzliche Informationen zur Bestätigung der Identität anfordern (Art. 12 Abs. 6 DSGVO) | | Frist für Antwort | unverzüglich, spätestens 1 Monat; Verlängerung um bis zu 2 Monate (Art. 12 Abs. 3 DSGVO) | | Bußgeldrahmen | Verstoß gegen Art. 11: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a DSGVO); Verstoß gegen Betroffenenrechte Art. 12–22: bis 20 Mio. € oder 4 % (Art. 83 Abs. 5 lit. b DSGVO) | | Aufsichtsleitlinie | EDPB, Guidelines 01/2022 on data subject rights – Right of access (Version 2.1, final, April 2023) | ## Geltungsbereich Art. 11 betrifft **Verantwortliche**, deren Verarbeitungszwecke eine Identifizierung der Person nicht (oder nicht mehr) verlangen. Typische Konstellationen: pseudonyme Cookie-/Geräte-IDs ohne Zuordnung zu Klarnamen, Zählpixel und Reichweitenmessung, Logdaten, Daten nach einer Pseudonymisierung, bei der der Schlüssel nicht beim Verantwortlichen liegt. Er gilt **nicht** für Verantwortliche, die Kunden- oder Nutzerkonten mit Klarnamen, E-Mail-Adresse oder Login führen – dort ist die Person identifizierbar und Art. 15–20 gelten uneingeschränkt. Die Norm ist **kein Freibrief**: Wer Daten tatsächlich einer Person zuordnen kann (oder sie für eigene Zwecke zuordnet), kann sich nicht auf Art. 11 berufen. Sie ändert auch nichts daran, dass die Daten **personenbezogen** bleiben und die übrigen Pflichten (Rechtsgrundlage nach Art. 6, Grundsätze nach Art. 5, Informationspflichten nach Art. 13/14) weiter gelten. ## Die Regelung im Detail **1. Keine Pflicht zur Zusatzdatenerhebung (Abs. 1).** Der Verantwortliche muss keine Identifizierungsdaten sammeln oder aufbewahren, bloß um später Betroffenenrechte erfüllen zu können. Das stützt den Grundsatz der **Datenminimierung** (Art. 5 Abs. 1 lit. c) – wer weniger Daten hält, muss nicht mehr Daten erheben, um Anfragen „bedienen" zu können. **2. Nachweis und Unterrichtung (Abs. 2 Satz 1).** Beruft sich der Verantwortliche auf Art. 11, muss er **darlegen**, warum er die Person nicht identifizieren kann (z. B. keine Verknüpfung zwischen Kennung und Klarnamen). Die betroffene Person ist darüber nach Möglichkeit zu informieren – eine stillschweigende Nichtbeantwortung genügt nicht. **3. Rückkehr der Rechte durch Zusatzinformationen (Abs. 2 Satz 2).** Liefert die Person Informationen, mit denen die Daten ihr zugeordnet werden können (z. B. Cookie-ID oder Geräte-Kennung, die im System des Verantwortlichen auffindbar ist), leben die Rechte aus Art. 15–20 **wieder auf**. Der Verantwortliche darf diese Angaben dann zur Beantwortung nutzen. **4. Abgrenzung zu Art. 12 Abs. 6.** Art. 12 Abs. 6 betrifft den Fall, dass der Verantwortliche die Person grundsätzlich identifizieren kann, aber **begründete Zweifel** hat, ob der Antragsteller die betroffene Person ist (typisch: Kundenkonto, Antrag per E-Mail). Art. 11 betrifft dagegen den Fall, dass er sie **gar nicht** identifizieren kann. Wer beides vermischt, lehnt Anträge oft zu Unrecht ab. **5. Pseudonymisierte Daten.** Ob pseudonymisierte Daten für den jeweiligen Empfänger personenbezogen sind, hängt von dessen tatsächlichen Mitteln der Re-Identifizierung ab; siehe die Seite zu [Anonymisierung und Pseudonymisierung](/fakten/dsgvo-anonymisierung-pseudonymisierung.html) und das EuGH-Urteil zu [pseudonymisierten Daten (C-413/23 P)](/fakten/eugh-c-413-23-p-pseudonymisierte-daten-personenbezug.html). ## Beweislast und Dokumentation für Verantwortliche Wer Anträge unter Berufung auf Art. 11 ablehnen will, sollte **vorab dokumentieren**: (1) welche Kennungen verarbeitet werden, (2) dass keine Zuordnung zu Klarnamen möglich ist, (3) welche technischen und organisatorischen Maßnahmen die Trennung sichern, (4) wie Antragsteller informiert werden und welche Zusatzinformationen (z. B. Cookie-ID) sie zur Identifizierung beibringen können. Fehlt diese Dokumentation, droht die Beanstandung durch die Aufsichtsbehörde (Befugnisse: Art. 58 DSGVO) und ein Bußgeld. ## Häufige Fehler - **Art. 11 als Pauschalausrede nutzen:** Wer Kundenkonten mit Klarnamen führt, kann Auskunftsanträge nicht mit „wir können Sie nicht identifizieren" abwehren. - **Unterrichtung vergessen:** Die Mitteilung, dass keine Identifizierung möglich ist, ist nach Abs. 2 „sofern möglich" zu erteilen. - **Zusatzinformationen der Person ignorieren:** Liefert die Person eine auffindbare Kennung, müssen Art. 15–20 erfüllt werden. - **Zu viele Ausweisdaten verlangen:** Bei Identitätszweifeln nach Art. 12 Abs. 6 dürfen nur die Informationen angefordert werden, die zur Bestätigung **erforderlich** sind (Datenminimierung). - **Widerspruchsrecht übersehen:** Art. 21 steht nicht in der Ausnahmeliste des Art. 11 Abs. 2. - **Fristen reißen:** Auch die Ablehnung und Unterrichtung unterliegen der Monatsfrist des Art. 12 Abs. 3. ## Siehe auch - [Auskunftsrecht (Art. 15 DSGVO)](/fakten/dsgvo-auskunftsrecht-art-15.html) - [Modalitäten der Betroffenenrechte (Art. 12 DSGVO)](/fakten/dsgvo-betroffenenrechte-modalitaeten-art-12.html) - [Datenübertragbarkeit (Art. 20 DSGVO)](/fakten/dsgvo-datenuebertragbarkeit-art-20.html) - [Löschungsrecht (Art. 17 DSGVO)](/fakten/dsgvo-loeschungsrecht-art-17.html) - [Anonymisierung und Pseudonymisierung](/fakten/dsgvo-anonymisierung-pseudonymisierung.html) - [DSGVO-Bußgelder](/fakten/dsgvo-bussgelder.html) ## Änderungsverlauf - 2026-10-20: Seite erstellt (EU-Recht-Agent). Art. 11 DSGVO, Art. 12 Abs. 2 S. 2/Abs. 6, Art. 83 Abs. 4 lit. a / Abs. 5 lit. b; factcheck_status=review_needed wegen nicht abrufbarem EUR-Lex-Volltext. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Andreas Warkentin" ## Stand - Stand: 2026-10-20 - Gültig ab: 2018-05-25 - Status: aktuell - Quellenautorität: A - Lizenz: CC BY 4.0 - Hinweis: Diese Seite gibt geltende Normen und die veröffentlichte Auffassung der Aufsichtsbehörden wieder. Sie ist eine allgemeine Information und keine Rechtsberatung im Einzelfall. ## Quellen - Verordnung (EU) 2016/679 (DSGVO), Art. 11, 12, 15–20, 83, Erwägungsgrund 57, EUR-Lex (Autorität A): https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu - EDPB, Guidelines 01/2022 on data subject rights – Right of access, Version 2.1 (Autorität A): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_en - Europäische Kommission, Datenschutzvorschriften der EU – Rechte der betroffenen Personen (Autorität A): https://commission.europa.eu/law/law-topic/data-protection_de - Bundesdatenschutzgesetz (BDSG) – ergänzende nationale Regelungen (Autorität A): https://www.gesetze-im-internet.de/bdsg_2018/index.html - Wortlaut-Abgleich Art. 11 DSGVO (Sekundärquelle, nicht amtlich): https://lxgesetze.de/dsgvo/11 ## Stand - Letzte Änderung: 2026-10-20 - Letzte Prüfung: 2026-10-20 - In Kraft seit: 2018-05-25 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0