Datenschutz ist in der heutigen digitalen Welt von entscheidender Bedeutung. In diesem Zusammenhang spielen Begriffe wie Pseudonymisierung und Anonymisierung eine wichtige Rolle. Oft werden sie miteinander verwechselt, doch es gibt Unterschiede, die für einen effektiven Datenschutz von großer Bedeutung sind.
Pseudonymisierung bedeutet, dass mit Rückgriff auf weitere Daten eine Person wieder identifiziert werden kann. Anonymisierung bedeutet, dass eine natürliche Person, auch unter Nutzung weiterer Daten, nicht mehr identifiziert werden kann.
Ein Beispiel verdeutlicht dies:
Für die weitere Verwendung soll eine Gehaltsauswertung erstellt werden.
Der Ursprungsdatensatz enthält:
Mitarbeitername, Personalnummer, Abteilung und Gehalt.
Eine Pseudonymisierung würde erreicht werden, indem man den Namen löscht. der Datensatz besteht dann nur noch aus:
Personalnummer, Abteilung und Gehalt.
Eine Person wäre nun nur noch identifizierbar, in dem man weitere Daten zu Hilfe nähme und die Personalnummer wieder einem Namen zuordnen würde.
Eine Anonymisierung würde nun erreicht werden, wenn auch die Personalnummer weggelassen wird. Der Datensatz enthält nun nur noch:
Abteilung und Gehalt.
Hier wäre nun auch mit weiteren Daten keine Identifikation einer Person möglich.
Im Gegensatz zu pseudonymisierten Daten enthalten anonymisierte Daten also von vornherein keine personenbezogenen Informationen. Selbst unter Verwendung zusätzlicher Daten ist es nicht möglich, Rückschlüsse auf die Identität einer natürlichen Person zu ziehen. Dies stellt eine höhere Stufe des Datenschutzes dar, da keine Möglichkeit zur Wiederherstellung der ursprünglichen Identität besteht.
Das Gericht der Europäische Union (EuG) hat in der Rechtssache T-557/20 am 26. April 2023 ein wegweisendes Urteil dazu gefällt. Das Urteil hat Auswirkungen auf die Handhabung von pseudonymisierten und anonymisierten Daten. Es verdeutlicht die Notwendigkeit, den rechtlichen Rahmen im Umgang mit personenbezogenen Informationen zu beachten:
Wird ein pseudonymisierter Datensatz weitergegeben und der Empfänger hat keinen Zugriff oder Möglichkeit die Pseudonymisierung durch Zuordnung weiterer Daten wieder aufzuheben, sind die Daten beim Empfänger als anonymisierte Daten zu betrachten.
Im Erwägungsgrund 26 der DSGVO „Keine Anwendung auf anonymisierte Daten“ wird festgelegt, dass die DSGVO nicht auf anonymisierte Daten anzuwenden ist. Dabei müssen jedoch alle Möglichkeiten in Betracht bezogen werden, dass eine Identifikation nicht möglich ist.
Dadurch wäre es beispielsweise möglich, die pseudonymisierten Daten datenschutzkonform an ein Forschungsunternehmen zur Erstellung von Statistiken weiterzugeben.
Fazit:
Die Unterscheidung zwischen Pseudonymisierung und Anonymisierung ist für den Datenschutz von großer Bedeutung. Organisationen müssen sicherstellen, dass sie angemessene Maßnahmen ergreifen, um personenbezogene Daten zu schützen und gleichzeitig die rechtlichen Anforderungen zu erfüllen. Das Urteil der Europäischen Union unterstreicht die Relevanz dieser Thematik und mahnt zur Einhaltung der Datenschutzbestimmungen.
