Anonymisierung

Was Anonymisierung bedeutet

Anonymisierung entfernt jeden Bezug zu einer Person so, dass sie auch mit Zusatzwissen nicht wiederherstellbar ist. Der entscheidende Zusatz ist das Zusatzwissen. Es genügt nicht, den Namen zu löschen, wenn Geburtsdatum, Postleitzahl und Beruf zusammen nur noch eine Person beschreiben. Eine solche Angabe bleibt personenbezogen, auch ohne Namen.

Rechtlich hat das eine wichtige Folge: Verschlüsselte oder pseudonymisierte Daten sind weiterhin personenbezogen und unterliegen dem Datenschutz. Anonymisierte Daten nicht. Erst die Anonymisierung nimmt die Daten aus dem Anwendungsbereich der Verordnung, und das ist der Grund, warum sie so begehrt ist.

Wie sie sich von der Pseudonymisierung unterscheidet

Pseudonymisierung ersetzt den Namen durch eine Kennung und speichert die Zuordnung getrennt. Der Datensatz ist damit nicht mehr direkt einer Person zuordenbar, für den Verantwortlichen mit Zugriff auf die Zuordnung aber weiterhin. Der Unterschied ist nicht technisch, sondern rechtlich: Pseudonymisierte Daten sind weiterhin personenbezogen.

Das wird häufig falsch verstanden. Wer Namen gegen Nummern tauscht und die Liste behält, hat eine Sicherheitsmaßnahme umgesetzt und keine Anonymisierung. Die Daten dürfen weiterhin nur mit Rechtsgrundlage verarbeitet werden.

Welche Verfahren genutzt werden

• Entfernen: Direkte Merkmale wie Name und Anschrift fallen weg. Das ist der erste Schritt und reicht nie allein.
• Verallgemeinern: Statt eines genauen Geburtsdatums bleibt das Geburtsjahr, statt der Adresse der Landkreis. Die Gruppengröße steigt, die Zuordnung wird unsicher.
• Verrauschen: Werte werden geringfügig verändert, sodass einzelne Datensätze unscharf werden, die Summe aber stimmt.
• Vertauschen: Merkmale werden zwischen Datensätzen getauscht, sodass kein Datensatz mehr ganz stimmt, die Verteilung aber erhalten bleibt.
• Aggregieren: Es werden nur Gruppenwerte gespeichert, keine Einzelfälle.

Warum es in der Praxis schwierig ist

Der erste Punkt sind Kombinationen. Ein Datensatz, der einzeln unauffällig wirkt, kann in Kombination eindeutig sein. Deshalb gehört zu jeder Anonymisierung eine Prüfung, wie viele Datensätze nach der Bearbeitung noch allein stehen.

Der zweite Punkt sind Zusatzdaten. Wer die Kundendatenbank behält, kann manche Anonymisierung rückgängig machen, wenn das Verfahren nur auf einem Merkmal beruht. Der dritte Punkt ist die wiederholte Verarbeitung. Werden regelmäßig neue Datensätze veröffentlicht und sind die Verfahren gleich, lassen sich Unterschiede zwischen Versionen auswerten. Der vierte Punkt ist die Definition. Manche Stellen sprechen von Anonymisierung, meinen aber Pseudonymisierung. Wer den Unterschied nicht kennt, hält ein Verfahren für sicher, das es nicht ist.

Praktisch bleibt deshalb nur ein Vorgehen: Verfahren wählen, Gruppengrößen prüfen, Zusatzdaten betrachten und das Ergebnis dokumentieren. Wer es nachträglich begründen muss, braucht diese Aufzeichnung.

Häufige Fragen

• Reicht das Löschen des Namens? Nein. Weitere Merkmale können eine Person beschreiben. Grundlagen dazu stehen unter DSGVO.
• Ist Anonymisierung rückgängig zu machen? Eine wirksame nicht. Eine unwirksame nur scheinbar.
• Brauche ich sie für Auswertungen? Ja, wenn Daten ohne Einzelbezug ausgewertet oder weitergegeben werden sollen.