DSGVO: Anonymisierung und Pseudonymisierung

Die meisten Abläufe in Unternehmen integrieren die Verarbeitung personenbezogener Daten. Sei es beim Versenden einer E-Mail, der Durchführung einer Videokonferenz, oder der generellen Arbeit mit KundInnen oder Beschäftigten. Hierbei ist stets die Datenschutz-Grundverordnung (DSGVO) als Rechtsgrundlage zu beachten. Die Anonymisierung und Pseudonymisierung von Daten können dabei helfen, das Datenschutzniveau zu erhöhen.

Was sind anonyme Daten?

Im Datenschutz wird zwischen der Verarbeitung von anonymen und pseudonymen Daten unterschieden. Bei anonymen Daten wird der Personenbezug aufgehoben, sodass eine Re-Identifizierung nahezu unmöglich ist. Dabei muss auch beachtet werden, dass neben dem Namen oder der Adresse, evtl. andere unscheinbare Informationen auch zu einer Identifizierung führen könnten.

In der Forschung spricht man deshalb erst von einer Anonymisierung, wenn jegliche mögliche Datenkombination zu mindestens zwei Treffern führt. Je höher die Anzahl der Treffer (Personen, auf die die Daten zutreffen), desto sicherer ist der Datensatz.

Sind Pseudeonyme datenbezogene Daten?

Pseudonyme Daten sind personenbezogene Daten. Da sie nach Art. 4 Nr. 5 DSGVO, mithilfe zusätzlicher Informationen einer spezifischen Person zugeordnet werden können. Für die Verarbeitung sollten deshalb spezielle Vorkehrungen getroffen und die zusätzlichen Informationen gesondert aufgehoben werden, sodass keine Zuweisung möglich ist.

Beispiel anonyme und pseudonyme Daten

1. Ihr Unternehmen verfügt über einen Datensatz der letzten Kundenaufträge samt Informationen zur Bestellung, Namen und Adressen. Wenn Sie aus dem Datensatz die Namen und Adressen löschen und nur noch die Informationen zur Bestellung übrigbleiben, handelt es sich um einen anonymen Datensatz. Es ist nicht mehr möglich eine Bestellung einer spezifischen Person zuzuordnen.
2. Anstelle der Namen und Adressen werden Kennzahlen eingesetzt, die in einer gesonderten Tabelle den ursprünglichen Namen zugeordnet werden. In diesem Fall besteht eine Pseudonymisierung, weil die betroffenen Personen mithilfe der anderen Liste identifiziert werden können.
3. Wenn die gesonderte Liste bei einem Notar hinterlegt wird, der angewiesen wird, sie nicht herauszugeben, sind die Daten für einen Dritten anonym.
4. Für Sie als Verantwortliche/n, der/die nach wie vor weiß, wo sich die gesonderte Tabelle befindet, bleiben die Daten jedoch pseudonymisiert.

Was ist Anonymisierung im Sinne der DSGVO?

Die DSGVO, als Rechtsgrundlage, äußert sich nicht eindeutig zur Anonymisierung personenbezogener Daten. Satz 5 des Erwägungsgrunds 26 der DSGVO sagt lediglich aus, dass die Grundsätze des Datenschutzes nicht auf anonyme Informationen angewendet werden. Solange keine Person aufgrund der Daten identifiziert werden kann, müssen demnach keine weiteren Regelungen beachtet werden.

Besonders für die Verarbeitung von personenbezogenen Daten im Rahmen der medizinischen Forschung ist eine Anonymisierung oder Pseudonymisierung aus Datenschutzgründen notwendig. Da Gesundheitsdaten besonders sensible Daten darstellen, kommt dies teilweise auch im Klinikalltag vor.

Zur Forschung ist vor allem die Analyse der Datensätze von Bedeutung, deren abstrakter Gehalt auch ohne Bezug zu einer konkreten Person erhalten bleibt. Auch Umfragen zur Kundenzufriedenheit bieten sich an anonym durchgeführt zu werden. Auf diese Weise kann die Verarbeitung der Daten ohne Berücksichtigung der DSGVO stattfinden.

Unternehmen müssen hierfür im Vorfeld genau prüfen, ob der Personenbezug wirklich ausgeschlossen werden kann und wie viel Aufwand damit verbunden ist.

Was ist Pseudonymisierung im Sinne der DSGVO?

Ist dies nicht möglich, bietet sich häufig die Pseudonymisierung oder Verschlüsselung und eine DSGVO-konforme Verarbeitung der personenbezogenen Daten an.

Die Verarbeitung pseudonymer Daten hat dabei Einfluss auf die Interessenabwägung, die für die Rechtsgrundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO vorzunehmen ist. Je stärker die Pseudonymisierung, desto stärker gewichtet die DSGVO die Interessen des Unternehmens, da die betroffene Person datenschutzrechtlich geschützt ist.

Auch die Maßnahmen zum Schutz der Datenverarbeitungsprozesse dürfen für pseudonymisierte Datensätze geringer ausfallen.

Achtung: Beachten Sie stets, dass die Pseudonymisierung ihre Wirkung verlieren kann, wenn Ihr Unternehmen im Laufe der Zeit Informationen zum Datensatz hinzufügt. Lassen Sie den Schutz der Daten regelmäßig kontrollieren.

Wie kann man Namen anonymisieren?

Auf welche Weise Sie in Ihrem Unternehmen Daten anonymisieren, hängt sowohl von der Art der Daten, dem Zweck der Verwendung, als auch den technischen und organisatorischen Voraussetzungen in Ihrem Unternehmen ab. Außerdem muss bei der Anonymisierung darauf geachtet werden, dass durch eine zu starke Verallgemeinerung nicht die Brauchbarkeit der Daten zerstört wird.

Dafür gibt es drei unterschiedliche Ansätze:

1. Das Aggregationsbasierte Verfahren: Einzelne Datensätze werden zu Gruppen zusammengefasst und damit die Re-Identifikation erschwert.
2. Das zufallsbasierte Verfahren: Hierbei werden die Attribute (Alter, Name etc.) der Daten zufallsbasiert verändert, sodass die zuverlässige Schätzung von Attributwerten und eine Re-Identifikation erschwert wird.
3. Das synthesebasierte Verfahren: Es wird ein statistisches Modell der Ursprungsdaten gebildet. Auf dieser Basis werden anschließend neue, synthetische Daten generiert, die die Ursprungsdaten nachbilden, aber auf keine direkte Person mehr bezogen werden können.

Das synthesebasierte Verfahren findet vor allem Anklang im Machine Learning. Die Datafizierung ist durch die Digitalisierung in beinahe allen Arbeits- und Lebensbereichen vorhanden. Nahezu überall ist die Nutzung vernetzter und datenverarbeitender Geräte möglich. Die hohe Nutzungsbereitschaft und Datenherausgabe steigern die Intelligenz der Systeme.

Hierfür benötigen die Systeme bereits im Trainingsprozess große Mengen an reichhaltigen und hochwertigen Daten. Für die Vorhersage menschlichen Verhaltens müssen dies auch personenbezogene Daten sein. Stehen ihnen nicht ausreichend Daten zur Verfügung, erhöht dies die Fehleranfälligkeit des Systems. Aus datenschutzrechtlichen Gründen ist es deshalb wichtig, dass bereits im Trainingsprozess alle Daten anonymisiert werden. Hier bietet sich vor allem das synthesebasierte Verfahren an. Auf diese Weise können die Maschinen mit Datensätzen trainieren, die die Struktur und das Format der ursprünglichen Daten widerspiegeln.

In einigen Fällen ist auch eine Kombination der drei möglichen Verfahren nötig. Dabei gibt es noch den Faktor Zeit zu beachten:

1. Statische Anonymisierung: Ein bestehender und unveränderlicher Datensatz wird vollständig anonymisiert.
2. Dynamische Anonymisierung: Neue Daten werden kontinuierlich anonymisiert.
3. Interaktive Anonymisierung: Ein statischer Datensatz wird nach dynamisch festgelegten Kriterien interaktiv anonymisiert.

Quellen:

• Bitkom (2020). Anonymisierung und Pseudonymisierung von Daten für Projekte des maschinellen Lernens.
• BfDI (2020). Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche.
• BMWi (2020). Anonymisierung im Datenschutz für Wirtschaft und Industrie.
• DSGVO (2021). Erwägungsgrund 26. Keine Anwendung auf anonymisierte Daten.