Wann sind Daten wirklich anonym? Der EDSA setzt einen neuen Maßstab 

Der Europäische Datenschutzausschuss hat einen Entwurf vorgelegt, der neu definiert, wann Daten als anonym gelten und damit aus dem Anwendungsbereich der DSGVO fallen. Für alle, die Daten für KI trainieren, aus dem Netz sammeln oder als anonymisiert weitergeben, verschiebt sich damit die entscheidende Grenze. Der Entwurf ist noch in der Konsultation, das Signal an die Aufsichtspraxis ist aber schon jetzt eindeutig.

Das Wichtigste auf einen Blick
 

• Anonymität ist nach dem Entwurf kein fester Zustand eines Datensatzes, sondern hängt davon ab, wer mit welchen Mitteln auf die Daten blicken kann.
• Wer Daten heute als anonym oder frei nutzbar einstuft, sollte die Begründung dafür jetzt dokumentieren, nicht erst wenn eine Aufsichtsbehörde danach fragt.
• Die Leitlinien sind noch Entwurf und können sich bis zum 30. Oktober 2026 ändern, sie zeigen aber verbindlich, wohin sich die Prüfpraxis der Behörden bewegt. 

Was ist passiert?
 

Der Europäische Datenschutzausschuss, kurz EDSA, das Gremium aller nationalen Datenschutzbehörden der EU, hat am 8. Juli 2026 gleich zwei Entwürfe zur öffentlichen Konsultation gestellt. Zum einen neue Leitlinien zur Anonymisierung, zum anderen Leitlinien zum sogenannten Web Scraping, also dem automatisierten Sammeln von Daten aus dem Netz, im Zusammenhang mit generativer KI. Beide Konsultationen laufen bis zum 30. Oktober 2026. Parallel hat der EDSA die endgültige Fassung seiner Leitlinien zur Blockchain verabschiedet.

Die Anonymisierungsleitlinien sind der eigentlich große Wurf, weil die bisherige Referenz aus dem Jahr 2014 stammt und damit älter ist als praktisch jede heutige KI-Anwendung. Der Kerngedanke des Entwurfs klingt zunächst unscheinbar, ist aber folgenreich. Anonymität ist keine feste Eigenschaft eines Datensatzes, sondern hängt vom Blickwinkel ab. Daten gelten als anonym, wenn sie sich nicht auf eine identifizierte oder identifizierbare Person beziehen, und ob das zutrifft, kann von einem Unternehmen zum anderen unterschiedlich sein. Eine Person gilt schon dann als identifizierbar, wenn sie in einem bestimmten Kontext mit Mitteln, deren Einsatz hinreichend wahrscheinlich ist, von anderen unterschieden werden kann. Der EDSA übersetzt damit die jüngere Rechtsprechung des Europäischen Gerichtshofs, insbesondere das Urteil in der Sache C 413/23 P vom 4. September 2025, in ein praktisch anwendbares Schema. Der Gerichtshof hatte dort entschieden, dass die Frage, ob Daten personenbezogen sind, aus der Sicht des Verantwortlichen und zum Zeitpunkt der Erhebung zu beurteilen ist, nicht aus der späteren Sicht eines Dritten, der dieselben Daten nur pseudonymisiert erhält und selbst nicht zurückverfolgen kann.

Konkret schlägt der Entwurf drei Kriterien vor, an denen sich Anonymität prüfen lässt: Erstens dürfen einzelne Personen nicht aus dem Datensatz herausgelöst werden können, zweitens dürfen sich Datensätze nicht miteinander verknüpfen lassen, und drittens dürfen sich aus den Daten keine Rückschlüsse auf eine Person ziehen lassen. Nur wenn alle drei erfüllt sind, gelten Daten als sicher anonym. Fällt eines weg, ist eine weitere Analyse nötig. Der EDSA bietet dafür zwei Wege an. Der kontextbezogene Ansatz bewertet, wer mit welchen Fähigkeiten eine Person identifizieren könnte, und bildet den rechtlichen Maßstab in seiner ganzen Feinheit ab. Der vereinfachte Ansatz verzichtet auf diese Unterscheidung, kann dadurch strenger ausfallen als rechtlich nötig, bietet aber mehr Sicherheit und weniger Aufwand.

Für die Einordnung ist ein Punkt wichtig: Die Kommission wollte diese Frage über ihr Reformpaket, den Digital Omnibus, eigentlich auch im Gesetzestext der DSGVO selbst klären. Nach derzeitiger Einschätzung dürfte eine solche Gesetzesänderung aber nicht vor Ende 2026 oder Anfang 2027 kommen. Der EDSA liefert also über weiches Recht schon jetzt Orientierung, während der Gesetzgeber noch verhandelt.

Was bedeutet das konkret?
 

• Wir behandeln unsere Trainingsdaten als anonym. Reicht das künftig noch aus?

Nicht automatisch. Entscheidend ist nicht das Etikett, sondern ob sich aus Sicht der relevanten Akteure noch einzelne Personen herauslösen, verknüpfen oder erschließen lassen. Diese Bewertung sollte dokumentiert und belastbar sein.

• Wir sammeln Trainingsdaten aus dem Netz. Was ändern die Web Scraping Leitlinien?

Der EDSA verlangt besondere Aufmerksamkeit bei Zweckbindung und Transparenz und empfiehlt, nur aus zuverlässigen Quellen zu sammeln, den Zeitpunkt festzuhalten und die Daten vor dem Training zu prüfen. Für die Verarbeitung stützt er sich auf das berechtigte Interesse als mögliche Rechtsgrundlage, verlangt dafür aber die bekannte dreistufige Abwägung.

• Was gilt, wenn beim Sammeln versehentlich sensible Daten anfallen, etwa zu Gesundheit oder Herkunft?

Für besondere Datenkategorien braucht es zusätzlich zur Rechtsgrundlage eine Ausnahme nach Art. 9 Abs. 2 DSGVO. Der EDSA verweist dafür auf das Urteil GC & Others aus dem Jahr 2019, in dem der Gerichtshof entschieden hatte, dass auch Suchmaschinenbetreiber bei der Prüfung von Anträgen auf Auslistung aus den Suchergebnissen an das Verbot der Verarbeitung sensibler Daten gebunden sind und dabei die Rechte der betroffenen Person gegen das Interesse der Öffentlichkeit an der Information abwägen müssen. Eine pauschale Ausnahme für das Scraping folgt daraus aber nicht. Jeder Fall ist einzeln zu prüfen.

• Sollen wir jetzt schon reagieren, obwohl es nur ein Entwurf ist?

Ja, im Sinne der Vorbereitung. Wer heute Daten als anonym einstuft, sollte die Begründung nicht erst dann aufbauen, wenn eine Aufsicht sie verlangt. Das Prüfschema kann sich im Detail noch ändern, die Richtung steht aber.

Wo wir ansetzen
 

Wir begleiten unsere Mandanten genau an dieser Schnittstelle von Datennutzung und Datenschutz, von der Prüfung, ob ein Datensatz den neuen Anonymitätskriterien standhält, bis zur sauberen Dokumentation der Rechtsgrundlage bei KI-Training und Datensammlung. Als Teil des größten europäischen Digitalverbands beteiligen wir uns an Konsultationen wie dieser aktiv und können einschätzen, welche Anforderungen aus dem Entwurf voraussichtlich Bestand haben werden. Das kann als einmalige Bestandsaufnahme Ihrer Datenbestände starten oder in eine laufende Compliance Partnerschaft münden, die neue Leitlinien für Sie fortlaufend einordnet.

Jetzt ein unverbindliches Gespräch vereinbaren

Wir besprechen, ob Ihre Daten den neuen Kriterien standhalten und wo Sie jetzt schon nachdokumentieren sollten.