Die europäischen Bürger haben das Grundrecht auf Schutz der sie betreffenden personenbezogenen Daten. Wenn sie effektiv durchgeführt werden, können Pseudonymisierung und Anonymisierung dazu dienen, die Datenschutzrechte der betroffenen Personen zu schützen und es Unternehmen zu ermöglichen, das Recht auf Privatsphäre gegen ihre legitimen Ziele abzuwägen. Aber was sind Pseudonymisierung und Anonymisierung? Was sagt die Datenschutz-Grundverordnung (DSGVO) dazu?
Was besagt die DSGVO über Pseudonymisierung und Anonymisierung?
Die Datenschutz-Grundverordnung definiert die Pseudonymisierung in Art. 4 Abs. 5. als die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können. Aber was ist mit der Anonymisierung? In den Artikeln der DSGVO wird die Anonymisierung nicht erwähnt. Diese wird nur im Erwägungsgrund 26 der DSGVO angeführt und näher ausgeführt, dass die Grundsätze des Datenschutzes nicht für anonyme Informationen gelten und dass die DSGVO somit nicht die Verarbeitung solcher anonymen Daten betrifft. Dies ist durchaus logisch, da irreversibel und effektiv anonymisierte Daten keine „personenbezogenen Daten“ sind und die Datenschutzgrundsätze für solche Daten nicht eingehalten werden müssen. Pseudonymisierte Daten bleiben hingegen personenbezogene Daten.
Was bedeuten Pseudonymisierung und Anonymisierung konkret?
Pseudonymisierung von Daten bedeutet, dass alle identifizierenden Merkmale von Daten durch ein Pseudonym ersetzt werden, d. h. durch einen Wert, der eine direkte Identifizierung der betroffenen Person nicht zulässt. Hierbei sollte im Blick behalten werden, dass eine Identifizierung von Personen mit indirekten Mitteln noch immer denkbar bleibt. Oder anders ausgedrückt: Es ist oft möglich, die betroffene Person durch Analyse der zugrunde liegenden oder verwendeten Daten zu identifizieren.
Anonymisierung von Daten bedeutet, dass diese mit dem Ziel verarbeitet werden, die Identifizierung der Person, auf die sie sich beziehen, unwiderruflich zu verhindern. Daten gelten als wirksam und hinreichend anonymisiert, wenn sie sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen oder wenn sie so anonymisiert wurden, dass die betroffene Person nicht oder nicht mehr identifizierbar ist.
Der Einsatz von Anonymisierung und Pseudonymisierung
Die Anonymisierung von Daten wird selbst als „Verarbeitung“ von Daten betrachtet. Wenn also ein Unternehmen personenbezogene Daten anonymisieren möchte, um sie aus dem Anwendungsbereich des Datenschutzrechts herauszuholen, muss dies nach Treu und Glauben und in Übereinstimmung mit der DSGVO geschehen. Das bedeutet, dass dieser Vorgang auch in das Verzeichnis der Verarbeitungstätigkeiten aufgenommen werden sollte (Artikel 30 DSGVO).
Daten, die anonymisiert wurden, sind keine personenbezogenen Daten mehr, und bei der Verarbeitung solcher Daten müssen die Datenschutzvorschriften nicht eingehalten werden. Grundsätzlich bedeutet dies, dass Unternehmen die Daten für andere Zwecke als die, für die sie ursprünglich erhoben wurden, verwenden und sie unbegrenzt aufbewahren können.
In einigen Fällen ist es nicht möglich, Daten wirksam zu anonymisieren. Selbst unter diesen Umständen könnten Unternehmen möglicherweise die Pseudonymisierung verwenden. Anonymisierung und Pseudonymisierung personenbezogener Daten könnten beispielsweise vorgenommen werden:
- als Teil einer Strategie des „Datenschutzes durch Technik“ (privacy by design), um den Schutz der betroffenen Personen zu erhöhen.
- als Teil einer Risikominimierungsstrategie bei der gemeinsamen Nutzung von Daten mit Auftragsverarbeitern oder anderen für die Datenverarbeitung Verantwortlichen
- als Teil einer Datenminimierungsstrategie, die darauf abzielt, die Risiken einer Datenschutzverletzung für die betroffenen Personen zu minimieren.
Es kommt immer wieder vor, dass Unternehmen den Schutz personenbezogener Daten vernachlässigen und Datenschutzverletzungen immer häufiger eintreten. Der Einsatz von Anonymisierung und Pseudonymisierung in den Arbeitsabläufen der Unternehmen könnte solche Risiken verringern.
Autor: Ovidiu Coman