Kurz erklärt: Pseudonymisierung ersetzt identifizierende Merkmale durch ein Kennzeichen, sodass die Daten ohne Hinzuziehung zusätzlicher, getrennt aufbewahrter Informationen keiner Person mehr zugeordnet werden können. Pseudonymisierte Daten bleiben personenbezogen.
Was bedeutet Pseudonymisierung?
Anders als bei der Anonymisierung bleibt der Personenbezug erhalten, weil der Schlüssel existiert. Die DSGVO behandelt Pseudonymisierung deshalb als Schutzmaßnahme, nicht als Ausweg aus dem Datenschutz: Sie senkt das Risiko, wird in Art. 32 DSGVO ausdrücklich als Sicherheitsmaßnahme genannt und erleichtert die Weiterverarbeitung für Statistik oder Forschung.
Typische Verfahren sind Kundennummern statt Namen, Hashwerte oder Tokens. Entscheidend ist, dass die Zuordnungsregel getrennt und geschützt aufbewahrt wird.
Rechtsgrundlage
- Art. 4 Nr. 5 DSGVO (Begriffsbestimmung)
- Art. 32 Abs. 1 lit. a DSGVO (Sicherheitsmaßnahme)
- Art. 25 Abs. 1 DSGVO (Technikgestaltung)
- Erwägungsgrund 28 DSGVO
In der Praxis
Im Betrieb nützlich für Auswertungen, Testsysteme und Weitergaben an Dienstleister: Die Entwicklungsabteilung oder der externe Programmierer arbeitet mit pseudonymisierten Kundendaten, die Auswertung der Zeiterfassung läuft über Personalnummern, und erst die Personalabteilung kann zuordnen.
Häufige Fragen
Fragen zu Pseudonymisierung
Sind pseudonymisierte Daten noch personenbezogen?
Ja. Solange jemand den Schlüssel besitzt, bleiben die Daten personenbezogen und die DSGVO gilt vollständig.
Ist eine Kundennummer eine Pseudonymisierung?
Nur, wenn die Zuordnung von Nummer zu Person getrennt und geschützt aufbewahrt wird. In einem CRM, das Nummer und Name nebeneinander zeigt, ist sie es nicht.
Verwandte Begriffe