Anonymisierung, Pseudonymisierung, Schwärzung: Wo liegt der Unterschied?

Anonymisierte Daten lassen sich von niemandem mehr mit vertretbaren Mitteln einer Person zuordnen: Die DSGVO gilt dann nicht mehr. Pseudonymisierte Daten lassen sich mit einer Zusatzinformation, etwa einem Schlüssel oder der Originaldatei, wieder zuordnen: Für den, der diese Information hat, bleiben sie personenbezogen. Schwärzung ist kein Rechtsbegriff der DSGVO, sondern das Unkenntlichmachen von Stellen in einem Dokument, und das Ergebnis kann beides sein.

Was sagt die DSGVO zu Anonymisierung und Pseudonymisierung?

Die DSGVO definiert nur einen der beiden Begriffe. Nach Art. 4 Nr. 5 DSGVO ist Pseudonymisierung eine Verarbeitung, nach der sich die Daten ohne Hinzuziehung zusätzlicher Informationen keiner spezifischen Person mehr zuordnen lassen. Diese Informationen müssen gesondert aufbewahrt und durch technische und organisatorische Maßnahmen geschützt werden.

Für die Anonymisierung gibt es in den Artikeln keine Definition. Die Grenze zieht Erwägungsgrund 26. Pseudonymisierte Daten, die sich mit zusätzlichen Informationen einer Person zuordnen lassen, betreffen eine identifizierbare Person. Maßgeblich sind alle Mittel, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technik.

Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten, d.h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. (DSGVO, Erwägungsgrund 26)

Wirklich anonyme Informationen liegen also außerhalb der DSGVO. Pseudonymisierte Daten nicht: Sie brauchen weiter eine Rechtsgrundlage, Sicherheitsmaßnahmen und Löschfristen, und die Betroffenenrechte gelten. Der BfDI schreibt in seinem Positionspapier vom 29. Juni 2020: Bei pseudonymisierten Daten handelt es sich um personenbezogene Daten, auf die das Datenschutzrecht anwendbar ist. Nach seiner Auffassung braucht sogar die Anonymisierung selbst eine Rechtsgrundlage.

Warum ist ein Platzhalter statt eines Namens Pseudonymisierung?

Nehmen Sie ein Beschwerdeschreiben über eine Mitarbeiterin, Erika Mustermann. Sie ersetzen ihren Namen überall durch [NAME1], ihre E-Mail-Adresse durch [EMAIL1] und den Namen eines Kollegen durch [NAME2]. Der Text bleibt lesbar, und man versteht weiter, wer was getan hat. Genau dafür sind einheitliche Platzhalter da. Und genau deshalb ist das Pseudonymisierung.

Die Artikel-29-Datenschutzgruppe, Vorgängerin des Europäischen Datenschutzausschusses, erklärt das in ihrer Stellungnahme 5/2014. Pseudonymisierung ersetzt ein Merkmal durch ein anderes. Sie ist eine sinnvolle Sicherheitsmaßnahme, aber kein Anonymisierungsverfahren. Die Stellungnahme prüft jede Technik an drei Risiken.

• Herausgreifen: Lassen sich die Angaben zu einer Person isolieren? Bei [NAME1] ja, denn jeder Satz über sie trägt denselben Platzhalter.
• Verknüpfbarkeit: Lassen sich Datensätze zur selben Person verbinden, in dieser oder in einer anderen Datei? Der gemeinsame Platzhalter leistet genau das.
• Inferenz: Lässt sich mit signifikanter Wahrscheinlichkeit etwas über sie ableiten? Stelle, Team und Datum des Vorfalls können schon genügen.

Am 4. September 2025 hat der Gerichtshof der Europäischen Union eine Nuance ergänzt (Rechtssache C-413/23 P). Der Fall betraf die EU-Organe, doch der Gerichtshof legt den Begriff der personenbezogenen Daten wie in der DSGVO aus. Pseudonymisierte Daten sind nicht in jedem Fall und für jede Person personenbezogen. Für einen Empfänger ohne vertretbare Mittel zur Re-Identifizierung können sie es nicht sein. Für die Stelle mit den Zusatzinformationen bleiben sie es, also auch für Sie mit Ihrem Original.

Was ist eine Schwärzung, und wo ordnet sie sich ein?

Schwärzen ist ein Vorgang am einzelnen Dokument. Sie machen darin Stellen unkenntlich: einen Namen, eine Kontonummer, eine Unterschrift, ein Gesicht auf einem Foto. Die klassische Form ist der schwarze Balken. Das Wort beschreibt, was Sie mit der Seite tun, nicht den rechtlichen Status des Rests.

Dieser Status hängt vom Ergebnis ab. Schwärzen Sie in einem Vertrag die Namen, lassen aber Anschrift, Stellenbezeichnung und Daten stehen, bleiben die Personen meist identifizierbar. Wer Werte durch Platzhalter ersetzt, schwärzt ebenfalls und erhält ein pseudonymisiertes Dokument.

Welche Technik brauchen Sie für Ihr Dokument?

1. 1Notieren Sie, wer das Dokument sieht und was diese Personen lesen können müssen.
2. 2Markieren Sie direkte Identifikatoren: Namen, E-Mail-Adressen, Telefonnummern, Anschriften, Ausweis- und Kontonummern, Unterschriften, Fotos.
3. 3Markieren Sie indirekte Identifikatoren: Stellenbezeichnungen, seltene Daten, Orte, kleine Teams, ungewöhnliche Tatsachen.
4. 4Wählen Sie Balken, wenn der Leser den Inhalt nicht braucht, und Platzhalter, wenn er verfolgen muss, wer wer ist. Für eine öffentliche Datei streben Sie eine Anonymisierung an.
5. 5Exportieren Sie eine flache Kopie ohne Metadaten. Fügen Sie ihren Text in einen Editor ein und suchen Sie einen geschwärzten Namen.
6. 6Lesen Sie das Ergebnis wie ein Fremder. Erkennen Sie die Person, schwärzen Sie mehr oder behandeln Sie die Datei als personenbezogen.

Ich habe die Namen entfernt. Ist mein Dokument jetzt anonym?

Fast nie. Die Artikel-29-Datenschutzgruppe nennt es einen häufigen Irrtum, pseudonymisierte Daten mit anonymisierten gleichzusetzen. Ein Name ist nur einer von vielen Wegen, jemanden zu erkennen. Stellen Sie sich eine Abmahnung vor, aus der der Name Erika Mustermann entfernt wurde. Dort steht noch: die einzige Nachtdienst-Apothekerin am Standort Musterstadt, eingestellt im März 2019. Jede Kollegin und jeder Kollege weiß sofort, wer gemeint ist.

Der BfDI mahnt, nicht vorschnell von einer hinreichenden Anonymisierung auszugehen. Sie liegt nach seinem Papier vor, wenn der Personenbezug nicht oder nur mit unverhältnismäßigem Aufwand an Zeit, Kosten und Arbeitskräften wiederhergestellt werden kann. Die britische Aufsichtsbehörde ICO empfiehlt dazu den Test des motivierten Eindringlings: Könnte eine einigermaßen kompetente Person mit Internet, Bibliotheken und öffentlichen Dokumenten die Person finden, ist die Datei nicht anonym.

Was sollten Sie in der Praxis tun?

Benutzen Sie das richtige Wort: geschwärzt, maskiert oder pseudonymisiert, nicht anonymisiert, wenn es das nicht ist. Behandeln Sie die Datei weiter als personenbezogen: wenige Empfänger, ein sicherer Übertragungsweg, Löschen nach Erledigung. Arbeiten Sie immer an einer Kopie.

Ein PDF-Editor mit Schwärzungsfunktion, spezielle Software oder ein Werkzeug im Browser kann das erledigen. ONYRI Sanitize ist ein solches Browser-Werkzeug: Erkennung und Maskierung laufen in Ihrem Browser, die Datei wird nicht hochgeladen. Zur Wahl stehen schwarze Balken oder, im Pro-Tarif, Platzhalter wie [NAME1]. Der Export ist immer ein flaches PDF oder Bild. Die Erkennung ist nicht lückenlos, deshalb prüfen Sie jeden Treffer vor dem Download. Maskieren senkt das Risiko, macht ein Dokument aber nicht von selbst anonym.