{
    "slug": "dsgvo-anonymisierung-pseudonymisierung",
    "titre": "Anonymisierung und Pseudonymisierung (Art. 4 Nr. 5 DSGVO, ErwGr. 26) – Abgrenzung, Rechtsfolgen und Pflichten",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Pseudonymisierung und Anonymisierung sind zwei rechtlich völlig verschiedene Dinge, obwohl beide den Personenbezug verschleiern. Pseudonymisierte Daten…",
    "resume_court": "Pseudonymisierung und Anonymisierung sind **zwei rechtlich völlig verschiedene Dinge**, obwohl beide den Personenbezug verschleiern. **Pseudonymisierte Daten bleiben personenbezogene Daten** und unterliegen weiter vollständig der DSGVO; **anonyme Daten** fallen aus dem Anwendungsbereich heraus.\n\nDie DSGVO definiert nur die Pseudonymisierung, und zwar in **Art. 4 Nr. 5 DSGVO** als „die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen\u0022. Wortgleich steht die Definition für den Bereich der JI-Richtlinie in **§ 46 Nr. 5 BDSG**. Die Anonymisierung ist dagegen **nicht definiert**; sie wird in der DSGVO nur in **Erwägungsgrund 26 Sätze 4 und 5** angesprochen.\n\nNach **ErwGr. 26 Satz 2 DSGVO** sind „einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten\u0022, als Informationen über eine identifizierbare natürliche Person zu betrachten. Ob eine Person identifizierbar ist, richtet sich nach den Mitteln, die „nach allgemeinem Ermessen wahrscheinlich genutzt werden\u0022, unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technologie (**ErwGr. 26 Satz 3 und 4**).\n\nPraktisch folgt daraus: Die Pseudonymisierung ist eine **technisch-organisatorische Schutzmaßnahme**, die die DSGVO ausdrücklich in Art. 6 Abs. 4 lit. e, Art. 25 Abs. 1, Art. 32 Abs. 1 lit. a, Art. 40 Abs. 2 lit. d und Art. 89 Abs. 1 DSGVO nennt – sie befreit aber von **keiner** Pflicht. Die Anonymisierung ist nach Auffassung der BfDI selbst eine **Verarbeitung** und braucht deshalb ihrerseits eine Rechtsgrundlage; erst ihr **Ergebnis** liegt außerhalb der DSGVO.",
    "faits": [
        {
            "point": "Legaldefinition Pseudonymisierung",
            "valeur": "Art. 4 Nr. 5 DSGVO; wortgleich für den JI-Bereich § 46 Nr. 5 BDSG [BfDI INFO 1, S. 144; gesetze-im-internet.de/bdsg_2018/__46.html]",
            "autorite": "A"
        },
        {
            "point": "Legaldefinition Anonymisierung",
            "valeur": "existiert in der DSGVO nicht; nur ErwGr. 26 Sätze 4 und 5 [BfDI INFO 1, S. 82; BfDI-Positionspapier 29.06.2020, S. 2]",
            "autorite": "A"
        },
        {
            "point": "Rechtsfolge Pseudonymisierung",
            "valeur": "Daten bleiben personenbezogen, DSGVO voll anwendbar [ErwGr. 26 Satz 2 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Rechtsfolge Anonymisierung",
            "valeur": "DSGVO nicht anwendbar, „auch für statistische oder für Forschungszwecke\u0022 [ErwGr. 26 Satz 5 und 6 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Maßstab der Identifizierbarkeit",
            "valeur": "alle Mittel, die vom Verantwortlichen oder einer anderen Person „nach allgemeinem Ermessen wahrscheinlich genutzt werden\u0022, u. a. das Aussondern; objektive Faktoren sind Kosten, Zeitaufwand, verfügbare Technologie [ErwGr. 26 Satz 3 und 4 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Anonymisierungsmaßstab in der Praxis",
            "valeur": "relativ, nicht absolut: ausreichend ist, dass eine Re-Identifizierung „praktisch nicht durchführbar\u0022 ist, weil sie nur mit unverhältnismäßigem Aufwand an Zeit, Kosten und Arbeitskraft möglich wäre [BfDI-Positionspapier 29.06.2020, S. 4]",
            "autorite": "A"
        },
        {
            "point": "Anonymisierung als Verarbeitung",
            "valeur": "ja – Veränderung i. S. v. Art. 4 Nr. 2 DSGVO; bedarf einer Rechtsgrundlage [BfDI-Positionspapier 29.06.2020, S. 5]",
            "autorite": "A"
        },
        {
            "point": "Drei Risiken der Anonymisierung",
            "valeur": "Herausgreifen (singling out), Verknüpfbarkeit, Inferenz [Art.-29-Gruppe, WP 216 v. 10.04.2014, S. 12]",
            "autorite": "A"
        },
        {
            "point": "Pseudonymisierung bei Zweckänderung",
            "valeur": "ausdrücklich als „geeignete Garantie\u0022 genannt [Art. 6 Abs. 4 lit. e DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Pseudonymisierung bei Privacy by Design",
            "valeur": "ausdrücklich als Regelbeispiel genannt („wie z. B. Pseudonymisierung\u0022) [Art. 25 Abs. 1 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Pseudonymisierung als TOM",
            "valeur": "ausdrücklich als Sicherheitsmaßnahme genannt [Art. 32 Abs. 1 lit. a DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Pseudonymisierung in Forschung/Statistik",
            "valeur": "als Garantie vorgesehen, „sofern es möglich ist, diese Zwecke auf diese Weise zu erfüllen\u0022 [Art. 89 Abs. 1 Satz 3 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Vorrang der Anonymisierung in der Forschung",
            "valeur": "Art. 89 Abs. 1 Satz 4 DSGVO; ergänzend Anonymisierungspflicht für besondere Kategorien nach § 27 Abs. 3 Satz 1 BDSG, „sobald dies nach dem Forschungs- oder Statistikzweck möglich ist\u0022 [gesetze-im-internet.de/bdsg_2018/__27.html]",
            "autorite": "A"
        },
        {
            "point": "Pseudonymisierung im BDSG-Maßnahmenkatalog",
            "valeur": "§ 22 Abs. 2 Satz 2 Nr. 6 BDSG (Verschlüsselung getrennt in Nr. 7) [gesetze-im-internet.de/bdsg_2018/__22.html]",
            "autorite": "A"
        },
        {
            "point": "Keine Pflicht zur Identifizierung",
            "valeur": "Art. 11 Abs. 1 DSGVO – der Verantwortliche muss keine Zusatzinformationen aufbewahren, nur um die Verordnung einzuhalten",
            "autorite": "A"
        },
        {
            "point": "Folge für Betroffenenrechte",
            "valeur": "Weist der Verantwortliche nach, dass er die Person nicht identifizieren kann, finden Art. 15 bis 20 DSGVO keine Anwendung, es sei denn, die Person liefert identifizierende Zusatzinformationen [Art. 11 Abs. 2 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Allgemeine Pseudonymisierungspflicht",
            "valeur": "besteht nicht; ErwGr. 28 Satz 2 DSGVO stellt klar, dass andere Datenschutzmaßnahmen nicht ausgeschlossen werden sollen [EDSA, Guidelines 01/2025, Executive Summary]",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen bei Verstoß gegen Art. 25/32",
            "valeur": "bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes [Art. 83 Abs. 4 lit. a DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen bei Verstoß gegen Art. 5/6",
            "valeur": "bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 lit. a DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Aufsichtsleitlinie",
            "valeur": "EDSA, Guidelines 01/2025 on Pseudonymisation, angenommen 16.01.2025, Konsultation vom 17.01. bis 14.03.2025 – Stand 03.09.2026 ist auf der EDSA-Website keine finale Fassung veröffentlicht",
            "autorite": "A"
        },
        {
            "point": "Gesetzesfassung BDSG",
            "valeur": "Bundesdatenschutzgesetz vom 30. Juni 2017 (BGBl. I S. 2097), zuletzt geändert durch Artikel 3 des Gesetzes vom 3. Juli 2026 (BGBl. 2026 I Nr. 199) [BDSG-Gesamtausgabe, Vollzitat]",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "§ 46 BDSG – Begriffsbestimmungen, Nummer 5 mit der wortgleichen Definition der Pseudonymisierung (Autorität A)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__46.html",
            "autorite": "A"
        },
        {
            "titre": "§ 27 BDSG – Datenverarbeitung zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken, Absatz 3 mit der Anonymisierungspflicht (Autorität A)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__27.html",
            "autorite": "A"
        },
        {
            "titre": "§ 22 BDSG – Verarbeitung besonderer Kategorien personenbezogener Daten, Absatz 2 Satz 2 Nummer 6 und 7 (Autorität A)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__22.html",
            "autorite": "A"
        },
        {
            "titre": "§ 26 BDSG – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses, Absatz 3 mit dem Verweis auf § 22 Absatz 2 (Autorität A)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__26.html",
            "autorite": "A"
        },
        {
            "titre": "BDSG – amtliche Gesamtausgabe mit Vollzitat und Stand (Autorität A)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/BDSG.pdf",
            "autorite": "A"
        },
        {
            "titre": "§ 25 TDDDG – Schutz der Endeinrichtungen, für die Abgrenzung zum Einwilligungserfordernis bei Cookies (Autorität A)",
            "url": "https://www.gesetze-im-internet.de/ttdsg/__25.html",
            "autorite": "A"
        },
        {
            "titre": "BfDI, Datenschutz-Grundverordnung und Bundesdatenschutzgesetz, Texte und Erläuterungen (INFO 1), amtliche Textausgabe mit DSGVO-Volltext und sämtlichen Erwägungsgründen (Autorität B)",
            "url": "https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile\u0026v=23",
            "autorite": "A"
        },
        {
            "titre": "BfDI, Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche, Stand 29.06.2020 (Autorität B)",
            "url": "https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Konsultationsverfahren/1_Anonymisierung/Positionspapier-Anonymisierung.pdf?__blob=publicationFile\u0026v=4",
            "autorite": "A"
        },
        {
            "titre": "BfDI, Anonymisierung – Eine Standortbestimmung zwischen der DSGVO und dem TKG, Themenseite (Autorität B)",
            "url": "https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Telefon-Internet/Positionen/Positionspapier-Anonymisierung-DSGVO-TKG.html",
            "autorite": "A"
        },
        {
            "titre": "BfDI, Konsultationsverfahren Anonymisierung unter der DSGVO, Verfahrensübersicht mit allen eingegangenen Stellungnahmen (Autorität B)",
            "url": "https://www.bfdi.bund.de/DE/BfDI/Konsultationsverfahren/Anonymisierung-TK/Anonymisierung-TK_node.html",
            "autorite": "A"
        },
        {
            "titre": "EDSA/EDPB, Guidelines 01/2025 on Pseudonymisation, angenommen am 16.01.2025, Fassung für die öffentliche Konsultation (Autorität C)",
            "url": "https://www.edpb.europa.eu/system/files/2025-01/edpb_guidelines_202501_pseudonymisation_en.pdf",
            "autorite": "A"
        },
        {
            "titre": "EDSA/EDPB, Konsultationsseite zu den Guidelines 01/2025 mit Konsultationszeitraum 17.01. bis 14.03.2025 und den eingegangenen Rückmeldungen (Autorität C)",
            "url": "https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2025/guidelines-012025-pseudonymisation_en",
            "autorite": "A"
        },
        {
            "titre": "Artikel-29-Datenschutzgruppe, Stellungnahme 05/2014 zu Anonymisierungstechniken (WP 216) vom 10.04.2014, deutsche Fassung mit den drei Risiken Herausgreifen, Verknüpfbarkeit und Inferenz (Autorität C)",
            "url": "https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_de.pdf",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt Anonymisierung und Pseudonymisierung (Art. 4 Nr. 5 DSGVO, ErwGr. 26) – Abgrenzung, Rechtsfolgen und Pflichten?",
            "reponse": "Pseudonymisierung und Anonymisierung sind zwei rechtlich völlig verschiedene Dinge, obwohl beide den Personenbezug verschleiern. Pseudonymisierte Daten bleiben personenbezogene Daten und unterliegen weiter vollständig der DSGVO; anonyme Daten fallen aus dem Anwendungsbereich heraus. Die DSGVO definiert nur die Pseudonymisierung, und zwar in Art. 4 Nr."
        },
        {
            "question": "Für wen gilt Anonymisierung und Pseudonymisierung (Art. 4 Nr. 5 DSGVO, ErwGr. 26)?",
            "reponse": "Die Abgrenzung betrifft jeden Verantwortlichen und jeden Auftragsverarbeiter, der Datenbestände auswertet, weitergibt oder für Analyse-, Test-, Forschungs- oder Statistikzwecke aufbereitet. Sie entscheidet über die Vorfrage jedes Datenschutzverfahrens: Ist die DSGVO überhaupt anwendbar? Die Rechtsfolgen sind gegenläufig: Pseudonymisierte Daten sind personenbezogene Daten."
        },
        {
            "question": "Gibt es Ausnahmen bei Anonymisierung und Pseudonymisierung (Art. 4 Nr. 5 DSGVO, ErwGr. 26)?",
            "reponse": "Keine allgemeine Pseudonymisierungspflicht. Die DSGVO schreibt Pseudonymisierung nirgends generell vor. Ob sie erforderlich ist, ergibt sich erst aus Art. 5 Abs. 1 lit. c, Art. 25 und Art. 32 DSGVO im Licht des konkreten Risikos. ErwGr. 28 Satz 2 DSGVO stellt klar, dass durch die ausdrückliche Einführung des Begriffs „nicht beabsichtigt\u0022 ist, andere Datenschutzmaßnahmen auszuschließen. Art."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei Anonymisierung und Pseudonymisierung (Art. 4 Nr. 5 DSGVO, ErwGr. 26)?",
            "reponse": "„Pseudonymisiert ist wie anonymisiert.\u0022 Falsch. ErwGr. 26 Satz 2 DSGVO ordnet pseudonymisierte Daten ausdrücklich den Informationen über eine identifizierbare natürliche Person zu. Die BfDI formuliert die Trennlinie so: Beim Pseudonym kann der berechtigte Inhaber der Zusatzinformationen den Personenbezug wiederherstellen, bei anonymen Daten ist die Wiederherstellung „für jedermann zumindest praktisch unmöglich\u0022."
        },
        {
            "question": "Wie sieht ein Praxisbeispiel für Anonymisierung und Pseudonymisierung (Art. 4 Nr. 5 DSGVO, ErwGr. 26) aus?",
            "reponse": "Ein Klinikbetreiber will Behandlungsdaten für eine interne Auswertung nutzen. Variante 1 – Pseudonymisierung. Er ersetzt Name und Versichertennummer durch eine laufende Fallnummer und legt die Zuordnungstabelle verschlüsselt in einem getrennten System ab, auf das nur zwei benannte Personen Zugriff haben. Ergebnis: Art. 4 Nr. 5 DSGVO ist erfüllt, der Datensatz bleibt aber ein personenbezogener Datensatz."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q729649",
        "Q567618",
        "Q3702971"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-09-03",
    "derniere_verification": "2026-09-03",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-anonymisierung-pseudonymisierung"
}