Pseudonymisierung
Verarbeitung von Daten so, dass sie ohne Hinzuziehung zusätzlicher Informationen keiner bestimmten Person mehr zuordenbar sind (Art. 4 Nr. 5 DSGVO).
Definition
Pseudonymisierung ist nach Art. 4 Nr. 5 DSGVO die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen Person zugeordnet werden können — sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technisch-organisatorischen Maßnahmen unterliegen.
Wichtig: Pseudonymisierte Daten gelten weiterhin als personenbezogen und unterliegen voll der DSGVO. Die Re-Identifizierung ist im Gegensatz zur Anonymisierung noch möglich.
Beispiel: Eine Kunden-Datenbank, in der Name und E-Mail durch eine zufällige ID ersetzt werden, während die Zuordnung “ID = Name” in einer getrennten Tabelle mit eigenen Zugriffsrechten liegt.
In der Praxis
Anwendungsfälle in KMU:
- Mitarbeiter-Analysen: Statt Klarnamen werden anonyme IDs für die Auswertung von Krankenständen, Produktivität, Schichten verwendet
- Marktforschung: Befragte bekommen eine ID, die nicht direkt mit der E-Mail verknüpft ist
- Logging in IT-Systemen: Logs zeigen Hash-Werte statt User-Namen, der Mapping-Schlüssel ist im Tresor
- KI-Trainingsdaten: Originalnamen werden vor dem Training durch synthetische IDs ersetzt
- Cookie-Tracking: IDs statt Klardaten
Pseudonymisierung ist ein wichtiges Element in TOMs und wird in Art. 32 DSGVO ausdrücklich als angemessene Maßnahme genannt.
Was Sie tun müssen
Pseudonymisierung sinnvoll einsetzen:
- Identifizieren, wo Klardaten nicht zwingend nötig sind (Analytics, Logging, Statistiken)
- Mapping-Tabelle separat halten — anderer Server, andere Zugriffsrechte
- Pseudonymisierungs-Verfahren dokumentieren (Hash mit Salt, Tokenisierung, etc.)
- Im Verarbeitungsverzeichnis als TOM nennen
- Bei sensiblen Verarbeitungen (Art. 9) verstärkt einsetzen
- Bedenken: Pseudonyme Daten sind nicht “DSGVO-frei” — Auskunftsrecht, Löschung etc. gelten weiter
In der Praxis ist Pseudonymisierung eine der wirksamsten und gleichzeitig am wenigsten genutzten TOMs in KMU. Wer hier sauber aufgestellt ist, reduziert das Schadenspotenzial bei Datenpannen drastisch. Mehr unter Leistungen.