Datenschutz & Datensicherheit
Ob Daten nur umbenannt, pseudonymisiert oder technisch so verändert wurden, dass eine Zuordnung deutlich erschwert ist, lässt sich nicht allein am Feldnamen erkennen. Entscheidend sind Verfahren, Zusatzwissen, Schlüssel, Mappingtabellen, Datenkombinationen und der konkrete Verarbeitungskontext.
Kurzantwort
Die technische Untersuchung identifiziert direkte und indirekte Identifikatoren, dokumentiert die Transformation und prüft, welches Zusatzwissen eine Rückzuordnung ermöglicht. Pseudonymisierung wird von Anonymisierung getrennt. Die abschließende rechtliche Einordnung bleibt einer datenschutzrechtlichen Bewertung vorbehalten.
Vom Untersuchungsstand zur nachvollziehbaren technischen Schlussfolgerung
1. Direkte und indirekte Identifikatoren erfassen
Namen, Kundennummern oder E-Mail-Adressen sind offensichtliche Identifikatoren. Kombinationen aus Alter, Ort, Zeit, Gerätekennung oder seltenen Merkmalen können jedoch ebenfalls eine Zuordnung ermöglichen.
Die Untersuchung betrachtet deshalb nicht nur einzelne Spalten, sondern Merkmalskombinationen und verfügbare Kontextdaten. Ein Datensatz kann nach Entfernung eines Namens weiterhin hochgradig zuordenbar sein.
2. Pseudonymisierungsverfahren technisch nachvollziehen
ENISA beschreibt unterschiedliche technische Ansätze wie Zufallskennungen, kryptografische Hashfunktionen, MAC-Verfahren und Verschlüsselung. Ihre Eigenschaften unterscheiden sich hinsichtlich Rückführbarkeit, Schlüsselbedarf, Kollisionsrisiko und Angriffsmöglichkeiten.
Ein einfacher Hash eines kleinen Identifikatorraums kann durch Wörterbuch- oder Brute-Force-Angriffe leicht rückgerechnet werden. Die technische Prüfung berücksichtigt daher nicht nur den Algorithmusnamen, sondern Eingaberaum, Salt oder Schlüssel und Betriebsmodell.
3. Zusatzwissen und Trennung der Zuordnungsinformation prüfen
Für Pseudonymisierung ist wesentlich, welche zusätzliche Information eine Zuordnung ermöglicht und wie diese getrennt und geschützt wird. Mappingtabellen, Schlüssel, Identitätsdienste oder andere Datenbestände können diesen Rückweg darstellen.
Technisch untersucht werden Speicherort, Zugriffsrechte, Protokollierung und Kopien dieses Zusatzwissens. Eine nur organisatorisch behauptete Trennung wird nicht mit einer technisch nachgewiesenen Trennung gleichgesetzt.
4. Anonymisierung nicht mit bloßer Entfernung von Namen gleichsetzen
Eine belastbare Anonymisierung ist kontextabhängig und deutlich anspruchsvoller als das Löschen direkter Identifikatoren. Kombinationen, seltene Werte oder externe Referenzdaten können weiterhin Zuordnungen ermöglichen.
Die technische Untersuchung kann Re-Identifikationspfade, Informationsverluste und verbleibende Linkbarkeit analysieren. Ob der rechtliche Maßstab für anonyme Informationen erfüllt ist, wird daraus nicht eigenständig abgeleitet.
5. Datenfluss und Zweckwechsel berücksichtigen
Ein pseudonymisierter Datensatz kann in einer isolierten Analyseumgebung anders zu bewerten sein als im Produktivsystem mit Zugriff auf Kundenstammdaten. Deshalb werden Schnittstellen, Exporte und Rollen betrachtet, die zusätzliches Zuordnungswissen verfügbar machen.
Auch spätere Zusammenführungen können Schutzwirkungen verändern. Eine einmal dokumentierte Transformation wird daher nicht losgelöst vom tatsächlichen Datenfluss bewertet.
6. Befund auf technische Eigenschaften und Angriffsmodell begrenzen
Die EDPB-Leitlinien 01/2025 behandeln Pseudonymisierung und die Bedeutung von Zusatzinformationen; die veröffentlichte Fassung ist als Version für die öffentliche Konsultation gekennzeichnet. Für die technische Untersuchung dient sie als aktueller Orientierungsrahmen, nicht als behauptete endgültige Rechtsfreigabe.
Der Befund beschreibt Verfahren, Trennung, mögliche Rückzuordnung und Annahmen über Angreiferwissen. Rechtliche Rollen, Zulässigkeit und Folgen bleiben ausdrücklich außerhalb der rein technischen Schlussfolgerung.
Bei deterministischen Pseudonymen kann dieselbe Person über mehrere Datensätze hinweg wiedererkannt werden, obwohl der Klartextidentifikator verborgen bleibt. Diese Linkbarkeit kann fachlich gewollt sein, erhöht aber die Menge an ableitbarer Information und gehört deshalb in die technische Beschreibung.
Bei KI- und Analysesystemen kann zudem geprüft werden, ob Rohidentifikatoren bereits vor Feature-Berechnung entfernt werden oder ob sie in Zwischenartefakten, Logs oder Caches fortbestehen. Der Schutz muss entlang der tatsächlichen Pipeline untersucht werden.
Ist ein gehashter Name automatisch pseudonymisiert oder anonymisiert?
Nein. Die technische Wirkung hängt unter anderem vom Eingaberaum, Hashverfahren, Salt oder Schlüssel und verfügbaren Zusatzdaten ab.
Ein kleiner oder leicht erratbarer Identifikatorraum kann trotz Hashwerten praktisch rückführbar sein.
Ob daraus rechtlich Pseudonymisierung oder Anonymisierung folgt, ist keine rein technische Schlussfolgerung.
Ist die Untersuchung für diesen Themenbereich technisch nachvollziehbar?
- Sind direkte und indirekte Identifikatoren einschließlich relevanter Merkmalskombinationen erfasst?
- Ist das konkrete Transformationsverfahren mit Parametern, Schlüsseln oder Salt nachvollziehbar dokumentiert?
- Ist bekannt, welches Zusatzwissen eine Rückzuordnung ermöglicht?
- Sind Mappingdaten oder Schlüssel technisch und organisatorisch vom Nutzdatensatz getrennt?
- Wurden realistische Wörterbuch-, Linkage- oder Re-Identifikationspfade berücksichtigt?
- Wird der konkrete Datenfluss einschließlich Exporte, Logs und Zwischenartefakte betrachtet?
- Ist die technische Aussage ausdrücklich von der rechtlichen Einordnung als anonym oder pseudonymisiert getrennt?
Konstruiertes Beispiel
Ein Analysedatensatz ersetzt E-Mail-Adressen durch ungesalzene SHA-256-Werte. Da der mögliche Adressbestand aus einem bekannten Kundenverzeichnis stammt, lassen sich Hashwerte durch Vorberechnung zuordnen. Der technische Befund beschreibt deshalb die begrenzte Schutzwirkung, ohne daraus allein eine rechtliche Kategorisierung abzuleiten.
Das Beispiel ist konstruiert und beschreibt kein reales Mandat.
Quellen und fachliche Grundlage
- EU-Leitlinie – Konsultationsfassung EDPB Guidelines 01/2025 on Pseudonymisation, Version für die öffentliche Konsultation. Quelle öffnen.
- EU-Technikbericht ENISA: Pseudonymisation techniques and best practices mit technischen Verfahren und Angriffsszenarien. Quelle öffnen.
- EU-Rechtsquelle Verordnung (EU) 2016/679 als Rechtsquelle für die Begriffe Pseudonymisierung und anonyme Informationen; die rechtliche Würdigung bleibt getrennt. Quelle öffnen.
- Eigene Methodik Quellen und Methodik der Wissensplattform. Quelle öffnen.
Weiterführende Beiträge
- Datenminimierung technisch untersuchen
- Datenflüsse technisch rekonstruieren
- Alle Beiträge in diesem Themenbereich
Eigene Fachliteratur und Veröffentlichungen
Die folgenden eigenen Arbeiten dienen der fachlichen Vertiefung und methodischen Einordnung. Sie ersetzen keine erforderlichen Primär-, Norm-, Hersteller- oder sonstigen unabhängigen Fachquellen. Unveröffentlichte Manuskripte, Entwürfe und Lehrunterlagen werden hier bewusst nicht als öffentliche Quellen ausgewiesen.
Technische Untersuchung zum Themenbereich Datenschutz & Datensicherheit
Die konkrete Aussagekraft hängt vom Untersuchungsgegenstand, der verfügbaren Evidenz und der dokumentierten Prüfmethode ab.
IT-Compliance