Pseudonymisierung oder Anonymisierung der Daten

Pseudonymisierung oder Anonymisierung der Daten

Persönliche Informationen zu schützen ist nicht einfach. Dank der aktuellen Technik, lassen sich schnell höchstsensible Informationen der Betroffenen herausfinden. Daher sind Gedanken und die Umsetzung der Anonymisierung oder Pseudonymisierung lohnenswert. Beide Möglichkeiten lassen schwerer Rückschlüsse auf bestimmte Personen zu. Doch welche Variante ist besser?

Pseudonymisierung Vor- und Nachteile

Da bei der Pseudonymisierung der Name des Mitarbeiters durch ein Identifikationsmerkmal ersetzt wird, ist das Feststellen der Identität für Außenstehende schwer. Die Möglichkeiten der Recherche sind nun begrenzt, allerdings nicht unmöglich. Durch die Zuordnung von Daten oder Merkmalen die auf die Person zurückzuführen sind, ist allerdings irgendwann eine Identitätsfeststellung möglich. In einem Unternehmen, lassen sich schnell Rückschlüsse durch Daten sammeln. Beispielsweise Optische Merkmale (Größe, Haarfarbe, Statur) oder Vorgeschichten (Ereignisse, Krankheiten, bekannte Straftaten) geben schnell Aufschluss über die bestreffende Person.

Anonymisierung Vor- und Nachteile

Werden Daten anonymisiert, lassen sich im Nachhinein keine Rückschlüsse zu der betreffenden Person ziehen. Beispielsweise ist es bei Umfragen oder Wahlen möglich, seine Meinung zu bekunden ohne dabei zugeordnet zu werden.

Ein weiteres Beispiel ist die Bereitstellung von Vorlagen, die ein Mitarbeiter erstellt hat. Durch das Weglassen des Namens oder weiterer Möglichkeiten der Zuordnung, kann niemand mehr nachvollziehen, wer das Dokument erstellt hat und wer nicht.

Tipp: Jeder sollte für sich entscheiden welche Daten pseudonymisiert oder anonymisiert werden. Man sollte gut abwägen, welche Gegebenheiten welche Daten benötigen und wo sich der Aufwand lohnt.

Definitionen nach der DSGVO

Pseudonymisierung (Art. 4 Nr. 5 DSGVO)

Die DSGVO definiert Pseudonymisierung als die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können. Voraussetzung ist, dass diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die eine Zuordnung verhindern.

Wichtig: Pseudonymisierte Daten sind weiterhin personenbezogene Daten im Sinne der DSGVO. Sie unterliegen allen Datenschutzvorschriften.

Anonymisierung

Im Gegensatz zur Pseudonymisierung wird die Anonymisierung in der DSGVO nicht explizit definiert, aber in Erwägungsgrund 26 erläutert. Anonyme Informationen sind Daten, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die DSGVO gilt für anonymisierte Daten nicht.

Eine wirksame Anonymisierung muss irreversibel sein: Es darf auch mit vertretbarem Aufwand keine Re-Identifizierung möglich sein.

Technische Verfahren der Pseudonymisierung

Für die Pseudonymisierung stehen verschiedene technische Verfahren zur Verfügung:

Hashverfahren

Bei der Pseudonymisierung durch Hashing wird ein Identifikationsmerkmal (z. B. der Name) durch einen Hashwert ersetzt. Gängige Verfahren sind SHA-256 oder bcrypt. Allerdings ist zu beachten, dass einfaches Hashing ohne Salt durch Rainbow-Table-Angriffe umgangen werden kann. Daher sollte laufend ein Salted Hash verwendet werden.

Tokenisierung

Bei der Tokenisierung wird das Identifikationsmerkmal durch ein zufällig generiertes Token ersetzt. Die Zuordnungstabelle zwischen Token und Originaldatum wird separat und besonders geschützt aufbewahrt. Dieses Verfahren wird häufig im Finanzsektor eingesetzt.

Verschlüsselung

Die Verschlüsselung identifizierender Attribute mit einem kryptographischen Schlüssel ist eine weitere Form der Pseudonymisierung. Mit dem Schlüssel kann die Zuordnung wiederhergestellt werden, ohne den Schlüssel sind die Daten nicht identifizierbar.

Technische Verfahren der Anonymisierung

Generalisierung

Bei der Generalisierung werden spezifische Werte durch allgemeinere ersetzt. Beispiel: Das genaue Geburtsdatum wird durch die Altersgruppe ersetzt, die genaue Adresse durch die Postleitzahl oder das Bundesland.

Differential Privacy

Differential Privacy ist ein mathematisches Framework, das durch das Hinzufügen von kontrolliertem Rauschen zu Datensätzen sicherstellt, dass einzelne Personen nicht identifiziert werden können. Dieses Verfahren wird von Unternehmen wie Apple und Google eingesetzt.

k-Anonymität

Ein Datensatz erfüllt k-Anonymität, wenn jede Kombination von Quasi-Identifikatoren mindestens k-mal im Datensatz vorkommt. Damit kann eine Person nicht von mindestens k-1 anderen Personen unterschieden werden.

Vorteile der Pseudonymisierung für Unternehmen

Die DSGVO privilegiert pseudonymisierte Daten an mehreren Stellen:

• Art. 25 DSGVO (Privacy by Design): Pseudonymisierung wird als geeignete technische Maßnahme genannt
• Art. 32 DSGVO (Sicherheit): Pseudonymisierung ist eine empfohlene Sicherheitsmaßnahme
• Art. 89 DSGVO (Forschung): Pseudonymisierung ermöglicht die Weiterverarbeitung für wissenschaftliche Forschungszwecke
• Erwägungsgrund 28: Pseudonymisierung kann die Risiken für die betroffenen Personen senken und den Verantwortlichen bei der Einhaltung ihrer Datenschutzpflichten unterstützen

Konkret kann Pseudonymisierung Unternehmen in folgenden Situationen helfen:

• Reduzierung des Risikos bei Datenpannen (pseudonymisierte Daten sind für Angreifer weniger wertvoll)
• Erleichterung der Datenverarbeitung für statistische Zwecke
• Rechtfertigung der Weiterverarbeitung für kompatible Zwecke nach Art. 6 Abs. 4 DSGVO

Grenzen der Anonymisierung

In der Praxis ist eine vollständige Anonymisierung oft schwieriger als angenommen. Studien haben gezeigt, dass bereits wenige Datenpunkte ausreichen können, um Personen zu re-identifizieren:

• Forschungen am MIT zeigten, dass 4 Standortdatenpunkte in 95 % der Fälle ausreichen, um eine Person eindeutig zu identifizieren
• In einem anonymisierten Netflix-Datensatz konnten Forscher Nutzer durch Abgleich mit öffentlichen Filmbewertungen re-identifizieren
• Anonymisierte Gesundheitsdaten können durch die Kombination von Diagnosen, Alter und Wohnort oft wieder zugeordnet werden

Praxisbeispiele aus der Unternehmensrealität

Personalabteilung

In der Personalabteilung können Mitarbeiterdaten pseudonymisiert werden, um Gehaltsstatistiken zu erstellen, ohne dass einzelne Gehälter zugeordnet werden können. Die Zuordnungstabelle verbleibt unter Verschluss beim Personalleiter.

Forschung und Entwicklung

Unternehmen, die Kundendaten für die Produktentwicklung nutzen möchten, können diese anonymisieren und damit die Beschränkungen der Zweckbindung umgehen, da anonyme Daten nicht unter die DSGVO fallen.

Empfehlungen für Unternehmen

Die Wahl zwischen Pseudonymisierung und Anonymisierung hängt vom konkreten Anwendungsfall ab. Die DATUREX GmbH berät Unternehmen in Dresden und Sachsen bei der Implementierung geeigneter Datenschutzmaßnahmen. Unsere DSGVO-Beratung umfasst die Analyse Ihrer Datenverarbeitungsprozesse und die Entwicklung individueller Lösungen für technisch-organisatorische Maßnahmen.

Anforderungen der Aufsichtsbehörden an die Anonymisierung

Die deutschen Datenschutzaufsichtsbehörden und der Europäische Datenschutzausschuss (EDPB) haben klare Anforderungen an eine wirksame Anonymisierung formuliert. Nach Auffassung der Aufsichtsbehörden muss bei der Beurteilung, ob eine Anonymisierung wirksam ist, Folgendes berücksichtigt werden:

• Singling out: Kann eine einzelne Person in dem Datensatz isoliert werden?
• Linkability: Können Datensätze miteinander verknüpft werden, um eine Person zu identifizieren?
• Inference: Können aus den Daten Rückschlüsse auf einzelne Personen gezogen werden?

Nur wenn alle drei Kriterien verneint werden können, liegt eine wirksame Anonymisierung vor. In der Praxis ist dies oft schwieriger als angenommen, insbesondere bei kleinen Datensätzen oder wenn die Daten mit externen Quellen verknüpft werden können.

Pseudonymisierung in der medizinischen Forschung

Die medizinische Forschung ist ein Bereich, in dem die Pseudonymisierung eine zentrale Rolle spielt. Patientendaten werden pseudonymisiert, um klinische Studien durchzuführen, ohne die Identität der Patienten preiszugeben. Die Zuordnungstabelle verbleibt beim behandelnden Arzt oder einer Treuhänderstelle.

Art. 89 DSGVO privilegiert die Verarbeitung personenbezogener Daten für wissenschaftliche Forschungszwecke, sofern geeignete Garantien vorliegen. Die Pseudonymisierung ist dabei eine der wichtigsten Schutzmaßnahmen. In Deutschland regelt das Bundesdatenschutzgesetz in § 27 die besonderen Voraussetzungen für die Verarbeitung zu Forschungszwecken.

Datenmaskierung in der Softwareentwicklung

In der Softwareentwicklung werden häufig Produktivdaten in Test- und Entwicklungsumgebungen benötigt. Die direkte Kopie von Produktivdaten in Testumgebungen verstößt gegen den Grundsatz der Zweckbindung und stellt ein erhebliches Sicherheitsrisiko dar.

Die Datenmaskierung bietet hier eine Lösung: Produktivdaten werden so verfremdet, dass die Datenstruktur und -qualität erhalten bleibt, einzelne Personen aber nicht mehr identifiziert werden können. Typische Maskierungstechniken sind:

• Substitution: Echte Werte werden durch fiktive, aber realistische Werte ersetzt
• Shuffling: Werte innerhalb einer Spalte werden zufällig vertauscht
• Nulling: Sensible Felder werden mit Null- oder Leer-Werten überschrieben
• Character Masking: Teile eines Wertes werden durch Sonderzeichen ersetzt (z. B. M***er statt Müller)

Synthetische Daten als Alternative

Eine innovative Alternative zur Anonymisierung und Pseudonymisierung sind synthetische Daten. Dabei werden mithilfe von KI-Algorithmen komplett neue Datensätze generiert, die die statistischen Eigenschaften der Originaldaten nachbilden, aber keinen Bezug zu realen Personen haben.

Synthetische Daten bieten mehrere Vorteile:

• Kein Personenbezug, daher keine DSGVO-Anwendbarkeit
• Beliebige Datenmenge generierbar
• Keine Re-Identifizierungsrisiken
• Geeignet für KI-Training und Softwaretests

Allerdings müssen bei der Generierung synthetischer Daten Qualitätskontrollen durchgeführt werden, um sicherzustellen, dass die synthetischen Daten tatsächlich keinen Rückschluss auf reale Personen ermöglichen.

Pseudonymisierung und Verschlüsselung bei Datenpannen

Die Pseudonymisierung und Verschlüsselung von Daten hat auch praktische Auswirkungen im Fall einer Datenpanne. Nach Art. 34 Abs. 3 lit. a DSGVO ist eine Benachrichtigung der betroffenen Personen nicht erforderlich, wenn der Verantwortliche geeignete technische Schutzmaßnahmen getroffen hat, die die Daten für unbefugte Dritte unzugänglich machen. Dazu zählen insbesondere Verschlüsselung und wirksame Pseudonymisierung.

Ein Unternehmen, das seine Daten konsequent pseudonymisiert und verschlüsselt, reduziert damit nicht nur das Risiko einer Datenpanne, sondern auch die Meldepflichten und potenziellen Bußgelder im Ernstfall erheblich.

Pseudonymisierung in der Praxis — Methoden und Beispiele

Die Pseudonymisierung hat sich in der Unternehmenspraxis als eine der wirksamsten Datenschutzmaßnahmen etabliert. Wer personenbezogene Daten pseudonymisiert verarbeitet, reduziert nicht nur Risiken bei Datenpannen, sondern demonstriert auch ein hohes Datenschutzniveau gegenüber Aufsichtsbehörden und Geschäftspartnern.

Ein typisches Praxisbeispiel ist die Pseudonymisierung von Kundendaten im Marketing. Unternehmen, die Kampagnenanalysen durchführen möchten, ersetzen Kundennamen und E-Mail-Adressen durch pseudonymisierte Kennungen. Die Marketingabteilung kann so Conversion-Raten und Segmente auswerten, ohne direkten Zugriff auf identifizierende Daten zu haben. Die Zuordnungstabelle verbleibt beim Datenschutzbeauftragten oder einer definierten Treuhänderstelle.

In der IT-Administration wird Pseudonymisierung häufig bei Log-Dateien eingesetzt. IP-Adressen, Benutzernamen und Session-IDs werden durch pseudonymisierte Werte ersetzt, sodass Fehleranalysen und Sicherheitsaudits möglich bleiben, ohne dass einzelne Nutzer identifiziert werden. Moderne SIEM-Systeme (Security Information and Event Management) bieten hierfür integrierte Pseudonymisierungsfunktionen.

Auch im Bereich Beschäftigtendatenschutz spielt die Pseudonymisierung eine zentrale Rolle. Bei der Auswertung von Arbeitszeitdaten, Krankenstandsstatistiken oder Leistungsbeurteilungen können pseudonymisierte Datensätze verwendet werden, um betriebliche Kennzahlen zu ermitteln, ohne die Privatsphäre einzelner Mitarbeiter zu verletzen. Hier ist es wichtig, dass die Pseudonymisierung in ein umfassendes Datenschutzkonzept im Unternehmen eingebettet wird.

Die Kombination von Pseudonymisierung mit weiteren technisch-organisatorischen Maßnahmen (TOM) — etwa Zugriffskontrollen, Verschlüsselung und Protokollierung — erhöht den Schutz erheblich. Unternehmen, die pseudonymisierte Daten zusätzlich verschlüsseln, erfüllen die Anforderungen des Art. 32 DSGVO in besonderem Maße und können im Fall einer Datenpanne unter Umständen von der Benachrichtigungspflicht gegenüber Betroffenen befreit sein.

Die DATUREX GmbH berät Unternehmen in Dresden und Sachsen bei der Implementierung praxistauglicher Pseudonymisierungsverfahren. Sprechen Sie uns an — wir entwickeln individuelle Lösungen für Ihr Unternehmen.

Implementierung in der Praxis

Die Implementierung wirksamer Pseudonymisierungs- oder Anonymisierungsverfahren erfordert eine sorgfältige Analyse der Datenbestände und Verarbeitungsprozesse. Die DATUREX GmbH unterstützt Unternehmen in Dresden und Sachsen bei der Auswahl und Implementierung der richtigen Verfahren. Unsere Datenschutzexperten analysieren Ihre individuellen Anforderungen und entwickeln individuelle Lösungen, die sowohl den rechtlichen Anforderungen als auch den betrieblichen Bedürfnissen gerecht werden.

Häufig gestellte Fragen zur Pseudonymisierung und Anonymisierung

Sind pseudonymisierte Daten personenbezogene Daten? Ja, pseudonymisierte Daten bleiben personenbezogene Daten, da sie mit Hilfe zusätzlicher Informationen einer Person zugeordnet werden können. Die DSGVO findet weiterhin Anwendung.

Kann eine Anonymisierung rückgängig gemacht werden? Per Definition nein. Wenn eine Anonymisierung rückgängig gemacht werden kann, handelt es sich lediglich um eine Pseudonymisierung. In der Praxis zeigt sich jedoch, dass vermeintlich anonyme Daten durch Verknüpfung mit anderen Datenquellen re-identifiziert werden können.

Wer entscheidet, ob Pseudonymisierung oder Anonymisierung eingesetzt wird? Der Verantwortliche entscheidet unter Berücksichtigung der Verarbeitungszwecke. Werden die Daten für die Erfüllung des ursprünglichen Zwecks noch benötigt (z. B. Kundenbetreuung), kommt nur eine Pseudonymisierung in Frage. Werden die Daten ausschließlich für statistische Zwecke verwendet, kann eine Anonymisierung die bessere Wahl sein.

Gibt es branchenspezifische Vorgaben? Ja, insbesondere im Gesundheitswesen, in der Finanzbranche und in der Telekommunikation gibt es spezifische Anforderungen an die Pseudonymisierung und Anonymisierung, die über die allgemeinen DSGVO-Vorgaben hinausgehen.