Der Europäische Datenschutzausschuss hat neue umfassende Leitlinien zur Anonymisierung von personenbezogenen Daten beschlossen. Mit den Leitlinien schaffen die Datenschutzbehörden Orientierung für Wirtschaft, Forschung und Verwaltung und fördern die Rechtssicherheit beim Einsatz von Verfahren zur Anonymisierung.
Die Anonymisierung personenbezogener Daten ist von großer Bedeutung für datengetriebene Entwicklungen in Wirtschaft und Technik. Effektiv anonymisierte Daten können außerhalb des Geltungsbereichs des Datenschutzrechts verarbeitet werden. Dies schafft neue Möglichkeiten zur Datennutzung. Es bestehen jedoch erhebliche Unsicherheiten in der Praxis darüber, wann Daten ausreichend anonymisiert sind.
Nach der Datenschutz-Grundverordnung (DSGVO) gelten Daten als anonym, wenn sie sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen. Diese Bewertung ist nicht absolut, sondern muss aus der Perspektive desjenigen vorgenommen werden, für den die Daten anonym sein sollen – in der Regel also der Stelle, für die die Daten bestimmt sind. Mittel, die Dritten zur Verfügung stehen, sind soweit zu berücksichtigen, wie diese Stelle sie nach vernünftigem Ermessen wahrscheinlich heranzieht.
Die neuen Leitlinien des EDSA beginnen mit einer rechtlichen Analyse der Anonymisierung und der damit verbundenen Anforderungen gemäß der DSGVO. Diese Analyse fließt anschließend in die Beschreibung eines praktischen Bewertungsverfahrens zur Beurteilung der Anonymität ein. Zur Prüfung, ob Daten anonym sind, stellen die Leitlinien drei Testkriterien zur Verfügung:
- Keine Einzelfallidentifikation: Die Daten bilden keine einzigartige Kombination von Merkmalen einzelner Personen ab.
- Keine Verknüpfung: Daten lassen sich nicht mit anderen Informationsquellen zu den gleichen Personen verknüpfen.
- Keine Rückschlüsse: Aus den Daten können keine zuverlässigen Schlussfolgerungen über einzelne identifizierbare Personen gezogen werden, die nicht für die Allgemeinheit gelten.
Wenn alle drei Kriterien erfüllt sind, können die Daten als anonym betrachtet werden. Sollte ein Kriterium nicht erfüllt sein, ist eine weitergehende Analyse erforderlich, für die sich ebenfalls Hinweise in den Leitlinien finden.
Meike Kamp, Berliner Beauftragte für Datenschutz und Informationsfreiheit: „Richtig angewendet kann Anonymisierung ein wertvolles Werkzeug für die Datennutzung in Forschung, Wirtschaft und Verwaltung sein. Mit den Leitlinien soll verdeutlicht werden, worauf es bei der effektiven Anonymisierung ankommt. Damit schaffen die Datenschutzbehörden mehr Rechtssicherheit in der Praxis.“
Hintergrund
Der EDSA ist die Dachorganisation der nationalen europäischen Datenschutzbehörden und des Europäischen Datenschutzbeauftragten. An der Erarbeitung der neuen Leitlinien war die Berliner Datenschutzbeauftragte federführend beteiligt. Bis zum 30. Oktober 2026 läuft eine öffentliche Konsultation zu den Leitlinien.