iusNet Digitales Recht und Datenrecht

Schulthess Logo

Anonymisierung

Anonymisierung und Pseudonymisierung unter der DSGVO

Fachbeitrag
Sind Empfänger von pseudonymisierten Personendaten nach dem Entscheid der Vorinstanz des EuGH Bearbeiter von Personendaten oder von anonymisierten Daten, wenn sie keine realistische oder legale Möglichkeit haben, an den Re-Identifizierungsschlüssel zu gelangen? Nach konstanter europäischer Rechtsprechung sind vom Verantwortlichen pseudonmysierte Daten für den Datenempfänger keine personenbezogene Daten, vorausgesetzt der Empfänger kann eine betroffene Person nicht Re-Identifizieren. Wenn der Datenempfänger nicht über zusätzliche Informationen verfügt, die eine Re-Identifizierung der betroffenen Personen ermöglichte und ihm keine rechtlichen Mittel zur Verfügung stehen, um auf solche Informationen zuzugreifen, können die übermittelten Daten als anonymisiert und somit als nicht Personendaten betrachtet werden.
Denis F. Berger
iusNet DigR 25.05.2023

Anonymisierung / Pseudonymisierung – was sind die Risiken?

Fachbeitrag
DSGVO
Data Governance und Compliance
Im Zusammenhang mit Möglichkeiten der Datenbearbeitung spricht man häufig von "Pseudonymisierung". Es gibt hier aber viele Missverständnisse: Pseudonymisierung ist eine grundlegende Methode zum Mindern von Datenschutzrisiken. Die Europäische Datenschutz-Grundverordnung (DSGVO; Englisch: General Data Protection Regulation, GDPR) definiert sie sinngemäss als die Verarbeitung personenbezogener Daten in einer Weise, dass diese Daten ohne Hinzuziehen zusätzlicher Informationen nicht mehr einer bestimmten Person zugeordnet werden können. Der Unterschied zur "Anonymisierung" besteht darin, dass bei der Anonymisierung persönliche Identifikatoren entfernt werden, Daten aggregiert werden oder diese Daten so bearbeitet (im "DSGVO-Jargon": "verarbeitet") werden, dass sie nicht mehr einer bestimmten oder bestimmbaren Person zugeordnet werden können. Im Gegensatz zu anonymisierten Daten gelten pseudonymisierte Daten nach DSGVO als personenbezogene Daten. Darum ist zwischen diesen beiden Konzepten stets klar zu unterscheiden.
Alesch Staehelin
iusNet DigR 28.09.2023

Neue Rechtsprechung zur Anonymisierung und Pseudonymisierung von Personendaten

Kommentierung
Data Governance und Compliance
DSG
DSGVO
Sowohl in der schweizerischen als auch in der europäischen Rechtsprechung wird der Begriff von Personendaten sehr weit verstanden. Die technischen Anforderungen an die Anonymisierung und Pseudonymisierung sind sehr hoch und entsprechend durch den Verantwortlichen zu beweisen. Der Europäischen Datenschutzausschuss hält in seinem vor kurzem ergangenen Entscheid gegen WhatsApp fest, dass die Motivation, vermeintlich pseudonymisierte oder anonymisierte Daten nicht reidentifizieren zu wollen, nicht relevant sei.
iusNet DigR 23.11.2021