Pseudonymisierung
Schutzmaßnahme nach Art. 4 Nr. 5 + Art. 32 DSGVO
Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.
TL;DR
Pseudonymisierung nach Art. 4 Nr. 5 DSGVO ist die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen Person zugeordnet werden können — sofern diese zusätzlichen Informationen gesondert aufbewahrt werden.
Was ist Pseudonymisierung?
Wichtig: Pseudonymisierte Daten bleiben personenbezogen — DSGVO greift weiterhin. Anonymisierung hingegen macht Daten nicht-personenbezogen (DSGVO greift nicht), erfordert aber Irreversibilität.
EDSA Guidelines 01/2025 zur Pseudonymisierung: konkrete Empfehlungen zu Hashing, Verschlüsselung, Token-basierter Pseudonymisierung. Empfohlene Trennung der Schlüssel + Daten.
Praxisbeispiel
Praxis-Beispiele:
- Mitarbeiter-Personalnummer statt Namen in Performance-Reports
- Hash-basiertes Cookie-Tracking statt direkter Mail-Zuordnung
- Test-Datenbank mit Faker-Tools statt Live-Daten
- Token-basierte Patient-IDs in Forschungs-Datenbanken
Häufig gestellte Fragen
Pseudonymisierung = Anonymisierung?
Nein. Pseudonymisierung ist umkehrbar (mit Schlüssel), Anonymisierung muss irreversibel sein. EDSA prüft Anonymisierungs-Behauptungen streng.
Reicht Pseudonymisierung als TOM nach Art. 32?
Pseudonymisierung ist explizit als Schutzmaßnahme genannt (Art. 32 Abs. 1 lit. a). Aber: nicht ausreichend bei besonders sensiblen Verarbeitungen — zusätzliche Verschlüsselung empfohlen.
Wann ist Pseudonymisierung Pflicht?
Implizit bei Hochrisiko-Verarbeitungen (Art. 35 DSFA-Pflicht), bei Forschung (Art. 89). Aufsichts-Empfehlung: standardmäßig in Test-Umgebungen.