Mit Pseudonymisierung verbirgst du personenbezogene Daten durch einen Code oder Schlüssel, ohne den Bezug endgültig zu zerstören. Im Gegensatz zur Anonymisierung lassen sich pseudonyme Daten über die Zusatzinformationen später wieder einer Person zuordnen – deshalb bleibt der Datenschutz voll gültig. Es ist kein Freifahrtschein von der DSGVO, sondern eine empfohlene Sicherheitsmaßnahme.
Kurze Antwort
Pseudonymisierung ersetzt identifizierende Daten (wie Namen oder E-Mail-Adressen) durch Codes oder Nummern, während du einen separaten, geschützten Schlüssel aufbewahrst, um die Zuordnung jederzeit wiederherzustellen. Das macht deine Daten weniger attraktiv für Angreifer, ändert aber nichts daran, dass die DSGVO in vollem Umfang gilt. Es ist eine technisch-organisatorische Maßnahme nach Art. 32 DSGVO – ein wichtiger Schutzschritt, kein Freibrief.
Was bedeutet Pseudonymisierung?
Nach Art. 4 Nr. 5 DSGVO ist Pseudonymisierung die Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung gesondert aufbewahrter Zusatzinformationen nicht mehr einer bestimmten Person zugeordnet werden können – wobei diese Zusatzinformationen getrennt verwahrt werden und technisch-organisatorischen Maßnahmen unterliegen.
Praktisch heißt das: Du ersetzt Namen, Kundennummern oder E-Mail-Adressen durch zufällige IDs – bewahrst aber einen Schlüssel (z. B. eine Lookup-Tabelle) auf, um die Zuordnung später wiederherzustellen. Die DSGVO sieht das als Maßnahme, nicht als Befreiung.
Ein wichtiger Punkt: Ob Daten als pseudonym (statt personenbezogen) gelten, hängt vom Empfänger ab. Das EuG hat in der Rechtssache T‑557/20 (Urteil vom 26.04.2023) entschieden, dass der Personenbezug nicht absolut, sondern aus Sicht desjenigen beurteilt wird, der die Daten erhält. Wer den Schlüssel nicht hat und ihn nicht mit vertretbarem Aufwand beschaffen kann, für den können pseudonyme Daten faktisch nicht-personenbezogen sein. Für den Schlüsselinhaber bleiben sie personenbezogen.
Warum ist Pseudonymisierung für KMU wichtig?
Als KMU oder Freelancer solltest du Pseudonymisierung ernst nehmen, weil sie:
- Datenschutzrisiken senkt – Kundendaten sind für Unbefugte weniger wertvoll, wenn Name und ID getrennt sind.
- von der DSGVO empfohlen wird (Art. 32 – technische und organisatorische Maßnahmen).
- Compliance stärkt – du zeigst der Aufsichtsbehörde, dass du Datenschutz aktiv gestaltest.
- interne Prozesse sichert – Entwickler können mit pseudonymen Daten testen, ohne echte Personendaten zu gefährden.
Bei Weitergabe an Dienstleister (z. B. Cloud-Anbieter) braucht es einen AVV – auch die pseudonyme Form bleibt unter DSGVO-Kontrolle. Bei US-Anbietern besteht zudem grundsätzlich ein Cloud-Act-Risiko, unabhängig von der genutzten EU-Region; technische Maßnahmen können es reduzieren, aber nicht beseitigen.
Pseudonymisierung in der Praxis
Szenario: Du betreibst einen Online-Shop und willst Käufe analysieren, ohne Kundennamen in den Auswertungen zu sehen.
- Schritt 1: Jeder Kundendatensatz bekommt eine pseudonyme ID (z. B.
PSE_2026_KD_00451). - Schritt 2: In den Analyse-Reports siehst du nur die ID – nicht den Namen.
- Schritt 3: Der Lookup-Schlüssel (ID ↔ Name) liegt in einer separaten, gesperrten Tabelle, Zugriff nur für autorisierte Mitarbeiter.
- Schritt 4: Fordert ein Kunde Auskunft an, kannst du die ID wieder auflösen und reagieren.
Best Practice: Lagere den Schlüssel getrennt, verschlüsselt und mit Zugriffsprotokollen. So senkst du das Risiko und dokumentierst zugleich deine Compliance-Bemühungen.
Häufige Fragen
Sind pseudonymisierte Daten „anonym”? Nein. Anonym heißt, dass eine Re-Identifizierung irreversibel unmöglich ist. Pseudonym heißt: mit Schlüssel machbar. Die DSGVO gilt trotzdem voll.
Warum ist Pseudonymisierung keine Anonymisierung? Anonymisierung ist irreversibel – der Personenbezug ist endgültig weg, die DSGVO gilt nicht mehr. Pseudonymisierung ist reversibel: Mit dem Schlüssel stellst du den Personenbezug wieder her. Deshalb bleibt die DSGVO voll anwendbar.
Muss ich pseudonyme Daten verschlüsseln? Nicht zwingend, aber empfohlen (Art. 32). Mindestens: Schlüssel getrennt lagern, Zugriffsschutz, Protokollierung.
Spare ich DSGVO-Aufwand, wenn ich nur pseudonymisiere? Nein. Pseudonymisierung ist eine Maßnahme, keine Ausnahme. Datenschutzerklärung, Betroffenenrechte und ggf. eine DSFA bleiben erforderlich.
Weiterführendes
- Schwester-Begriff: Anonymisierung (irreversibel, DSGVO gilt nicht)
- Tiefer: Anonymisierung vs. Pseudonymisierung nach DSGVO