Die drei Tests der Anonymisierung (Herausgreifen, Verknüpfbarkeit, Inferenz) erklärt

In der EU prüfen Behörden Anonymisierung mit drei Fragen. Lässt sich eine einzelne Person herausgreifen? Lassen sich zwei Datensätze derselben Person verknüpfen? Lassen sich neue Tatsachen über sie ableiten? Lautet die Antwort dreimal Nein, können die Daten sicher als anonym gelten. Diese Tests stammen aus der Stellungnahme 5/2014 der Artikel-29-Datenschutzgruppe (WP29), der Vorgängerin des Europäischen Datenschutzausschusses (EDSA).

Die Stellungnahme stammt vom 10. April 2014. Behörden stützen sich weiter darauf, etwa der BfDI in seinem Positionspapier vom Juni 2020. Ein EDSA-Entwurf vom Juli 2026 aktualisiert sie. Stand: September 2026.

Was sind die drei Tests der Anonymisierung?

Für die Stellungnahme heißt Identifizieren mehr, als einen Namen zu finden. Dazu gehört auch die Identifizierbarkeit durch Herausgreifen, Verknüpfung und Inferenz. Eine Datei ohne jeden Namen kann also weiter personenbezogen sein.

Wie sehen die drei Tests in einem Dokument aus?

Herausgreifen heißt, die Datensätze zu isolieren, die eine Person identifizieren. In einem erfundenen Personalbericht ist der Name Erika Mustermann geschwärzt. Im Text steht aber noch: die einzige Standortleiterin im Lager Bielefeld, eingestellt im März 2019. Das passt auf genau eine Person. Die üblichen Verdächtigen: seltene Stellenbezeichnungen, genaue Datumsangaben, kleine Orte.

Verknüpfbarkeit ist die Fähigkeit, mindestens zwei Datensätze derselben Person zu verbinden, in einer Datenbank oder über zwei hinweg. Bei Dokumenten überlebt ein stabiles Detail in mehreren Dateien. Zwei geschwärzte Schreiben tragen dasselbe Aktenzeichen. Ein Vertrag und eine Rechnung zeigen denselben Betrag am selben Tag.

Inferenz heißt, den Wert eines Merkmals mit signifikanter Wahrscheinlichkeit aus anderen Merkmalen abzuleiten. Eine Fehlzeitentabelle zeigt ein Viererteam, alle vier langzeitkrank. Wissen Sie, dass Max Mustermann dort arbeitet, erfahren Sie etwas über seine Gesundheit. Die Stellungnahme sieht darin die Hauptschwäche der k-Anonymität.

Randomisierung und Generalisierung: Was sind die zwei Technikfamilien?

Randomisierung verfälscht die Daten gezielt, damit die direkte Verbindung zwischen Datensatz und Person verschwindet. Die stochastische Überlagerung, also Rauschen, macht Werte ungenauer: Eine auf den Zentimeter gemessene Körpergröße ist nur noch auf plus oder minus 10 cm genau. Die Vertauschung mischt Werte zwischen Datensätzen. Differential Privacy versieht Abfrageergebnisse mit berechnetem Rauschen.

Generalisierung ändert den Maßstab der Angaben: eine Region statt einer Stadt, ein Monat statt einer Woche. Die k-Anonymität fasst jede Person mit mindestens k anderen zusammen, die dieselben Werte teilen. L-Diversität und t-Closeness halten zusätzlich die sensiblen Werte in jeder Gruppe vielfältig. Im Dokument: eine Führungskraft in Ostwestfalen, nicht die Standortleiterin im Lager Bielefeld.

Die Stellungnahme sagt selbst: Keine Technik erfüllt die drei Kriterien mit Sicherheit. Sie empfiehlt deshalb, Techniken je nach Einzelfall zu kombinieren. Anonymisierung ist auch keine einmalige Aufgabe: Die Risiken sollten regelmäßig neu bewertet werden.

Warum scheitert die Pseudonymisierung an den drei Tests?

Pseudonymisierung ersetzt ein Merkmal, meist ein eindeutiges wie den Namen oder die Kundennummer, durch ein anderes: einen Code oder einen Platzhalter wie [NAME1]. Die Stellungnahme ist deutlich: Pseudonymisierung ist eine sinnvolle Sicherheitsmaßnahme, aber keine Anonymisierungstechnik. Der neue Platzhalter greift die Person weiter heraus. Datensätze mit demselben Platzhalter lassen sich mühelos verknüpfen. Die wahre Identität lässt sich weiter aus den übrigen Angaben ableiten.

Die DSGVO sieht es genauso. Nach Erwägungsgrund 26 gelten pseudonymisierte Daten, die sich mit zusätzlichen Informationen einer Person zuordnen lassen, als Informationen über eine identifizierbare Person. Erwägungsgrund 28 ergänzt, dass Pseudonymisierung Risiken senken kann. Sie lohnt sich, führt die Daten aber nicht aus der DSGVO heraus.

Wie ist der Stand der EDSA-Leitlinien im Jahr 2026?

Anonymisierung: Der EDSA hat den Entwurf der Leitlinien 02/2026 am 7. Juli 2026 angenommen. Die öffentliche Konsultation läuft bis zum 30. Oktober 2026. Die drei Tests bleiben unter neuen Namen: No Record Isolation, No Linkage, No Inference. Scheitert einer, braucht es eine weitere Analyse, bevor ein Ergebnis feststeht. Der Entwurf stützt sich auf das Urteil des Gerichtshofs der EU vom 4. September 2025 (Rechtssache C-413/23 P): Ob Daten anonym sind, kann von Stelle zu Stelle verschieden sein.

Pseudonymisierung: Der EDSA hat den Entwurf der Leitlinien 01/2025 am 16. Januar 2025 angenommen, Stellungnahmen waren bis zum 14. März 2025 möglich. Nach diesem Entwurf bleiben pseudonymisierte Daten personenbezogen, auch wenn jemand anderes die zusätzlichen Informationen hält. Das Urteil von 2025 relativiert das: Laut Gerichtshof sind pseudonymisierte Daten nicht in jedem Fall und für jede Person personenbezogen. Für seine laufende Arbeit hat der EDSA im Dezember 2025 Interessenträger angehört. Im September 2026 zeigt er weiter nur den Entwurf.

Was heißt das für Ihre Dokumente?

Die Stellungnahme wurde für Datenbestände geschrieben. Ihre drei Fragen funktionieren auch bei einem Vertrag, einem Arztbrief oder einem Lebenslauf.

1. 1Maskieren Sie alle direkten Identifikatoren: Namen, E-Mail-Adressen, Telefonnummern, Anschriften, Ausweis- und Kontonummern.
2. 2Suchen Sie Quasi-Identifikatoren: Stellenbezeichnung, genaues Datum, kleiner Ort, seltene Krankheit. Stellen Sie für jeden die Frage nach dem Herausgreifen.
3. 3Generalisieren Sie, was Sie nicht löschen können: ein Jahr statt eines Datums, eine Region statt eines Ortes.
4. 4Achten Sie auf Verknüpfungen: Aktenzeichen, Beträge und Datumsangaben, die auch in anderen Dateien stehen können.
5. 5Prüfen Sie die Inferenz: Könnte der Leser etwas über Gesundheit oder Geld einer Person ableiten?
6. 6Scheitert ein Test, nennen Sie die Datei geschwärzt oder pseudonymisiert und wenden Sie die DSGVO weiter an.

Software hilft beim ersten Schritt: Sie findet E-Mail-Adressen, IBAN oder Telefonnummern schneller als das Auge, beurteilt aber nicht den Kontext. ONYRI Sanitize etwa maskiert ein PDF, eine Word-Datei oder einen Scan im Browser, und Sie prüfen jede Fundstelle vor dem Export. Der Token-Modus mit Platzhaltern wie [NAME1] ist Pseudonymisierung. Die schwarzen Balken sind unumkehrbar. Keiner von beiden macht ein Dokument für sich allein anonym.