Ihre Daten sind anonym. Aber für wen?
Consult
Was die neuen EDPB-Leitlinien und der IQVIA-Fall für Datenprojekte bedeuten
Viele Datenprojekte beginnen mit einer vermeintlich einfachen Zusage: Namen und Kontaktdaten werden entfernt, deshalb seien die verbleibenden Informationen anonym. Diese Annahme kann Forschung, Produktentwicklung oder Datenweitergaben erheblich erleichtern. Sie trägt aber nur, wenn eine Identifizierung auch unter Berücksichtigung von Zusatzwissen, Verknüpfungsmöglichkeiten und realistischen technischen Mitteln praktisch ausgeschlossen ist. Neue Leitlinien des Europäischen Datenschutzausschusses und ein aktuelles Millionenbußgeld zeigen, wie anspruchsvoll dieser Nachweis sein kann.
Das Wichtigste auf einen Blick
- Anonyme Informationen fallen nicht unter die DSGVO. Das gilt jedoch nur, wenn die Wahrscheinlichkeit einer Identifizierung für alle relevanten Stellen in der konkreten Verarbeitungssituation praktisch unbedeutend ist.
- Die EDPB-Leitlinien 02/2026 schlagen dafür drei Prüfkriterien vor: Datensätze dürfen einzelne Personen nicht isolierbar machen, nicht mit anderen Datensätzen verknüpfbar sein und keine spezifischen, bedeutsamen Rückschlüsse auf einzelne Personen erlauben.
- Der IQVIA-Fall zeigt die praktische Folge einer Fehleinschätzung: Die italienische Aufsicht bewertete Gesundheitsdaten von rund einer Million Patientinnen und Patienten als personenbeziehbar und verhängte ein Bußgeld von sieben Millionen Euro.
Anonymität hängt vom Nutzungskontext ab
Der EDPB hat die Leitlinien am 7. Juli 2026 zunächst für die öffentliche Konsultation angenommen. Die Fassung ist deshalb noch nicht endgültig. Sie bietet aber bereits einen wichtigen Prüfungsrahmen, weil sie eine zentrale Frage in den Mittelpunkt stellt:
Die Antwort kann je nach Beteiligtem unterschiedlich ausfallen. Ein Empfänger verfügt möglicherweise weder über Zusatzinformationen noch über realistische Mittel zur Identifizierung. Der Dateninhaber kann dieselben Informationen dagegen mit einem Ausgangsdatensatz oder einem Schlüssel verbinden.
Daten können deshalb für einen Empfänger anonym sein, während sie für die übermittelnde Stelle weiterhin personenbezogen bleiben. Für diese Stelle gelten dann die datenschutzrechtlichen Anforderungen weiterhin, auch wenn der Empfänger die betroffenen Personen nicht identifizieren kann.
Entscheidend ist nicht jede nur theoretisch denkbare Möglichkeit. Maßgeblich sind die Mittel, die vernünftigerweise zur Identifizierung eingesetzt werden können.
Dazu gehören jedoch auch Informationen und technische Fähigkeiten, die ein Beteiligter mit vertretbarem Aufwand beschaffen oder durch einen Dritten einsetzen lassen kann. Die Prüfung darf sich daher nicht auf den übermittelten Datensatz beschränken.
Drei Kriterien für die technische Prüfung
PRÜFKRITERIUM 01 · ISOLIERBARKEIT
Lässt sich ein einzelner Datensatz isolieren?
Auch ohne Namen kann eine Kombination von Merkmalen einzigartig sein. Alter, Geschlecht, Wohnregion, Beruf und ein seltenes Ereignis können gemeinsam ausreichen, eine Person aus einer Gruppe herauszuheben.
Eine unmittelbar bekannte Identität ist dafür nicht erforderlich. Bereits die Möglichkeit, dieselbe Person innerhalb des Datensatzes gezielt anders zu behandeln, kann relevant sein.
PRÜFKRITERIUM 02 · VERKNÜPFBARKEIT
Kann der Datensatz mit anderen Informationen verknüpft werden?
Ein Datensatz kann für sich genommen unauffällig wirken und durch die Verbindung mit einer öffentlich verfügbaren Quelle, Kundendatenbank oder einem weiteren Datenbestand identifizierbar werden.
Zu prüfen ist deshalb, welche Zusatzinformationen bei den beteiligten Stellen vorhanden oder mit realistischem Aufwand erreichbar sind.
Auch stabile Kennungen verdienen besondere Aufmerksamkeit, weil sie eine Person über längere Zeit und über verschiedene Vorgänge hinweg wiedererkennbar machen können.
PRÜFKRITERIUM 03 · RÜCKSCHLUSSMÖGLICHKEITEN
Sind spezifische Rückschlüsse auf einzelne Personen möglich?
Schließlich können Daten Rückschlüsse ermöglichen, obwohl weder ein Name noch eine direkte Zuordnung vorliegt.
Relevant sind nach dem Leitlinienentwurf spezifische und bedeutsame Schlussfolgerungen, die sich auf eine identifizierte oder identifizierbare Person auswirken können.
Das betrifft etwa die Ableitung gesundheitlicher, finanzieller oder verhaltensbezogener Merkmale aus einer Kombination scheinbar neutraler Informationen.
Wann gelten Daten als anonym?
Sind alle drei Kriterien erfüllt, können die Daten nach dem EDPB grundsätzlich als anonym angesehen werden. Scheitert eines der Kriterien, folgt daraus nicht automatisch, dass der Datensatz personenbezogen ist. Dann ist jedoch eine vertiefte Prüfung notwendig.
Außerdem sollte die Bewertung regelmäßig aktualisiert werden, weil neue Datenquellen und verbesserte Analysemethoden das Reidentifikationsrisiko verändern können.
Der IQVIA-Fall zeigt das Risiko stabiler Kennungen
Wie schnell eine angenommene Anonymisierung scheitern kann, zeigt die Entscheidung der italienischen Datenschutzaufsicht vom 23. September 2026.
IQVIA verarbeitete für Analyse- und Forschungszwecke Gesundheitsinformationen von ungefähr einer Million Patientinnen und Patienten aus rund 800 Hausarztpraxen. Das Unternehmen ging davon aus, dass die Daten anonym seien.
Die Aufsicht kam zu einem anderen Ergebnis. Jeder Person war eine dauerhafte Kennung zugeordnet. Zusammen mit detaillierten Angaben, darunter Geburtsjahr, Geschlecht, Diagnosen, Symptome, Verschreibungen, Untersuchungen, Impfungen und Ortsangaben, erlaubte sie nach Auffassung der Behörde eine fortlaufende Beobachtung und eine mögliche Reidentifizierung.
Hinzu kamen Mängel bei Rechtsgrundlage, Transparenz, Speicherfristen, Datenschutz-Folgenabschätzung und Sicherheitsmaßnahmen. Die Behörde verhängte ein Bußgeld von sieben Millionen Euro und verlangte umfangreiche Abhilfemaßnahmen.
Der Fall stammt aus Italien und ersetzt keine Prüfung nach deutschem Recht. Seine Kernaussage ist dennoch übertragbar:
Eine zufällige oder verschlüsselte Kennung macht Daten nicht automatisch anonym.
Wenn Personen über längere Zeit wiedererkannt und mit vielen Merkmalen beschrieben werden, spricht vieles zunächst für eine Pseudonymisierung. Dann bleibt die DSGVO anwendbar.
Wo wir ansetzen
Eine belastbare Anonymisierungsprüfung beginnt mit dem konkreten Datensatz und seinem vorgesehenen Weg. Wir erfassen, welche Stellen Zugang erhalten, welches Zusatzwissen dort verfügbar ist und welche Verknüpfungs- oder Rückschlussmöglichkeiten realistisch bestehen.
Anschließend bewerten wir die eingesetzten technischen Verfahren, die verbleibenden Risiken und die erforderliche Dokumentation.
Unsere Anonymisierungsprüfung im Überblick
- Datensatz und Empfänger: Wir erfassen die vorgesehenen Datenverarbeitungen, beteiligten Stellen und verfügbaren Zusatzinformationen.
- Reidentifikationsrisiken: Wir prüfen realistische Möglichkeiten der Isolierung, Verknüpfung und Ableitung personenbezogener Informationen.
- Technische Verfahren: Wir bewerten die eingesetzten Anonymisierungsverfahren und die verbleibenden Risiken.
- Rechtsgrundlagen: Wir prüfen auch, auf welcher Rechtsgrundlage die Anonymisierung selbst erfolgt. Denn bis zu ihrem erfolgreichen Abschluss werden personenbezogene Daten verarbeitet.
- Dokumentation und Neubewertung: Wir entwickeln eine nachvollziehbare Bewertung und ein Verfahren zur regelmäßigen Überprüfung.
Am Ende steht eine nachvollziehbare Bewertungsmatrix mit den relevanten Perspektiven, den geprüften Reidentifikationswegen, notwendigen Schutzmaßnahmen und einem Verfahren zur regelmäßigen Neubewertung.
So lässt sich entscheiden, ob Daten tatsächlich außerhalb der DSGVO genutzt werden können oder weiterhin als personenbezogen behandelt werden müssen.
