§ 2 Zentrale Begriffe / 15. Pseudonymisierung

Rz. 62

In Erweiterung der im Rahmen der RiL 95/46/EG vorgehaltenen Begriffsbestimmungen sieht die DSGVO nun auch eine Legaldefinition der Pseudonymisierung vor. Dieser Rechtsbegriff hatte – auch wenn er in der RiL 95/46/EG keine Erwähnung findet – bereits seit jeher im Rahmen des Datenschutzrechts eine erhebliche Bedeutung und galt als "Vorstufe" der Anonymisierung von Daten. Die DSGVO definiert Pseudonymisierung in Art. 4 Nr. 5 DSGVO als "die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden".

Rz. 63

Die Pseudonymisierung dient der Erfüllung des Grundsatzes der Datenvermeidung und –sparsamkeit.^[150] Unter Pseudonymisieren versteht man das Ersetzen eines Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren. Die Daten werden durch eine Zuordnungsvorschrift dergestalt verändert, dass die Einzelangaben ohne Kenntnis dieser Vorschrift nicht mehr einer bestimmten Person zugeordnet werden können.^[151] Eine Abgrenzung zur Anonymisierung fällt schwer, da es in beiden Fällen darum geht, die Herstellung eines Personenbezuges unmöglich zu machen oder wenigstens zu erschweren.^[152] Der Unterschied dürfte aber in Folgendem liegen: Ziel einer Anonymisierung ist der dauerhafte Ausschluss einer Zuordnungsmöglichkeit zu einer Person. Dagegen ist es beim Pseudonymisieren vom dabei angewendeten Verfahren abhängig, ob ein Personenbezug herstellbar ist.^[153] Um festzustellen, ob eine natürliche Person identifizierbar ist, sollen nach den Vorgaben der DSGVO^[154]

Zitat

"alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind. Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten, d.h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann."

Die Herstellbarkeit eines Personenbezugs hängt davon ab, wer das Pseudonym vergeben hat und es auflösen kann. Stammt das Pseudonym vom Betroffenen selbst und kennt nur er es ("selbstgeneriertes Pseudonym", z.B. Benutzer-ID für ein Internetangebot^[155]), fehlt es an einem Personenbezug des Datums, denn nur der Betroffene und niemand anderes kann das Pseudonym auflösen. Dagegen liegt – wenigstens für die verantwortliche Stelle – ein personenbezogenes Datum vor, wenn sie das Pseudonym vergeben hat. So liegt es auch, wenn das Pseudonym von einem Dritten stammt. Ein pseudonymisiertes Datum ist dementsprechend nach den Vorgaben der DSGVO – anders als ein anonymisiertes Datum – weiterhin als personenbezogen einzustufen und unterfällt daher den Datenverarbeitungsgrundsätzen und –vorgaben der DSGVO.^[156]

Rz. 64

Um Anreize für die Anwendung der Pseudonymisierung bei der Verarbeitung personenbezogener Daten zu schaffen, sind Pseudonymisierungsmaßnahmen, die lediglich eine allgemeine Analyse zulassen, bei demselben Verantwortlichen unter erleichterten Bedingungen zulässig. Dieser hat die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um sicherzustellen, dass zusätzliche Informationen, mit denen die personenbezogenen Daten einer speziellen betroffenen Person zugeordnet werden können, gesondert aufbewahrt werden.^[157]

[150] Erwägungsgrund 27: "Die Anwendung der Pseudonymisierung auf personenbezogene Daten kann die Risiken für die betroffenen Personen senken und die Verantwortlichen und die Auftragsverarbeiter bei der Einhaltung ihrer Datenschutzpflichten unterstützen."

[151] Gola, in: Gola/Schomerus (Hrsg.), BDSG, 10. Aufl. 2010, § 3 Rn 46.

[152] Buchner, in: Taeger/Gabel (Hrsg.), BDSG, 2010, § 3 Rn 47; etwas ungenau Seidel, in: Fichte/Plagemann/Waschull (Hrsg.), Sozialverwaltungsverfahrensrecht, 2008, Kap. 6 Rn 31.

[153] Buchner, in: Taeger/Gabel (Hrsg.), BDSG, 2010, § 3 Rn 47; vgl. Roßnagel/Scholz, MMR 2000, 721, 724.

[154] Erwägungsgrund 26.

[155] Bergmann/Möhrle/Herb, BDSG, 25. Erg...