Pseudonymisierung
Im Sinne von Art. 4 Nr. 5 Datenschutz-Grundverordnung (DSGVO) ist die Pseudonymisierung die Verarbeitung personenbezogener Daten in einer besonderen Art und Weise. Und zwar dürfen sich diese Daten nicht mehr einer spezifischen betroffenen Person zuordnen lassen, ohne zusätzliche Informationen hinzuzuziehen.
Wesentlich für Pseudonymisierung: Zusatzinformationen sicher separat aufbewahren
Die DSGVO verlangt, dass Verantwortliche diese zusätzlichen Informationen gesondert aufbewahren und durch technisch-organisatorische Maßnahmen sicherstellen, dass sich Pseudonym und Zusatzinformation nicht zusammenführen lassen.
Das soll verhindern, dass diese Daten doch wieder einer natürlichen Person zuzuordnen sind und diese damit identifizierbar wird.
Wie funktioniert Pseudonymisierung?
Die Pseudonymisierung erfolgt, indem man den Namen und andere Identifikationsmerkmale durch ein Kennzeichen ersetzt, um auszuschließen, dass jemand die betroffene Person bestimmen kann – oder es zumindest zu erschweren.
Allgemein bezeichnet Pseudonymisierung eine Prozedur, die personenbezogene Daten durch eine Zuordnungsvorschrift derart verändert, dass sich die Einzelangaben über persönliche oder sachliche Verhältnisse ohne Kenntnis oder Nutzung der Zuordnungsvorschrift nicht mehr einer natürlichen Person zuordnen lassen.
Dazu werden z.B. die Identifikationsdaten durch eine Abbildungsvorschrift in ein willkürlich gewähltes Kennzeichen (das Pseudonym) überführt.
Pseudonymisierung versus Anonymisierung
Anders als die Anonymisierung hebt die Pseudonymisierung den Bezug von Informationen zu einer bestimmten Person nicht endgültig auf.
Durch eine Zuordnungsregelung können die Informationen allein durch eine bestimmte Stelle später einer bestimmten oder bestimmbaren Person zugeordnet werden.
Damit sind diese Daten personenbezogene Informationen nur für die Stellen, die den Personenbezug nachträglich, beispielsweise mittels einer Referenzdatei, wiederherstellen können.
Reidentifizierung
Ziel eines Pseudonymisierungs-Verfahrens ist es, nur bei Bedarf und unter Einhaltung vorher definierter Rahmenbedingungen den Personenbezug wiederherzustellen.
Die Reidentifizierung kann mitunter ausschließlich der betroffenen Person vorbehalten bleiben. Mit Referenz- und Einwegpseudonymen versehene Daten sind jedoch weiterhin personenbezogene Daten, da sie sich weiterhin einer bestimmten oder bestimmbaren Person zuordnen lassen.
Das Mittel der Pseudonymisierung sollte insbesondere dort eingesetzt werden, wo Anonymisierung nicht möglich ist.
Die Qualität der Pseudonymisierungs-Prozedur hängt von verschiedenen Einflussfaktoren ab. Entscheidend hierfür sind wie bei der Anonymisierung
- der Zeitpunkt der Pseudonymisierung,
- die Rücknahmefestigkeit der Pseudonymisierungs-Prozedur,
- die Mächtigkeit der Menge, in der sich die betroffene Person verbirgt, und
- die Verkettungsmöglichkeit von einzelnen Transaktionen und Datensätzen derselben Person. Insbesondere können Transaktionen und Datensätze, die unter demselben Pseudonym getätigt und gespeichert wurden, miteinander verkettet werden.
Wann pseudonymisieren, wann anonymisieren?
Unter gleichen Bedingungen ist die Anonymisierung prinzipiell datenschutzfreundlicher als die Pseudonymisierung. Denn das Pseudonym lässt sich dazu benutzen, den Personenbezug wiederherzustellen.
Ansonsten ist ohne Berücksichtigung der genannten Faktoren kein pauschales Urteil möglich, ob die Anonymisierung oder die Pseudonymisierung datensparsamer ist.
Tipp
Die Pseudonymisierung kann Datenschutzrisiken für die betroffene Person senken und Verantwortliche bzw. Auftragsverarbeiter bei der Einhaltung ihrer Datenschutz-Pflichten unterstützen (Erwägungsgrund 28 der DSGVO).
Sind personenbezogene Daten vollständig anonymisiert, sodass sich betroffene Personen nicht oder nicht mehr identifizieren lassen, können Verantwortliche diese anonymisierten Daten verarbeiten, ohne die DSGVO zu berücksichtigen (Erwägungsgrund 26 der DSGVO).
Weitergabe von Daten
In Fällen, in denen personenbezogene Daten aus Geheimhaltungsgründen keinesfalls das Unternehmen verlassen dürfen, lässt sich die Pseudonymisierung mit einem Einwegalgorithmus (Hash-Algorithmus) kombinieren. Das verhindert, dass außerhalb des Unternehmens eine Zuordnung zu einer bestimmten Person möglich ist.