Pseudonymisierung
Ein Grundsatz der DS-GVO ist die Datenminimierung. Danach sollen personenbezogene Daten nur in der Menge und in dem Rahmen verarbeitet werden, wie es unbedingt notwendig ist. Eine Maßnahme zur Umsetzung dieses Grundsatzes ist die Pseudonymisierung. Unter Pseudonymisierung versteht man die Veränderung von personenbezogenen Daten in einer Weise, die die Identifizierung der betroffenen Person nur mithilfe weiterer Informationen möglich macht (Art. 4 Nr. 5 DS-GVO). Die weiteren Informationen sind der „Schlüssel“, durch den die Daten eindeutig einer Person zugeordnet werden können. Die Daten und der „Schlüssel“ müssen getrennt aufbewahrt und jeweils durch technische und organisatorische Maßnahmen geschützt werden.
Folgen der Pseudonymisierung
Im Gegensatz zur Anonymisierung verlieren pseudonymisierte Daten nicht das Merkmal „personenbezogen“, da die betroffene Person auch nach der Pseudonymisierung identifizierbar bleibt. Daher stellt der Erwägungsgrund 26 der DS-GVO explizit klar, dass pseudonymisierte Daten unter den Anwendungsbereich der DS-GVO fallen.
Allerdings stellt die Pseudonymisierung nicht nur eine Methode zur Datenminimierung dar. In Art. 32 Abs. 1 lit. a) DS-GVO wird die Pseudonymisierung konkret als Maßnahme genannt, um die Sicherheit personenbezogener Daten zu erhöhen. Zudem wird in Erwägungsgrund 28 der DS-GVO verdeutlicht, dass die Anwendung der Pseudonymisierung Risiken minimieren und dazu beitragen kann, die Grundsätze des Datenschutzes zu erfüllen.
Beispiele für die Pseudonymisierung
Ein typisches Beispiel für die Pseudonymisierung ist das Ersetzen von Namen durch Kunden- oder Auftragsnummern beispielsweise im produzierenden Gewerbe. Die Mitarbeiter in der Produktion oder der Packerei bearbeiten die Aufträge anhand von Kunden- oder Auftragsnummern, können diese aber der natürlichen Person (dem Kunden) nicht zuordnen. Eine Identifikation ist nur für die Abteilung möglich, die über eine Liste die Kunden-/Auftragsnummern den jeweiligen Kunden zuordnen kann.
Es können nicht nur Namen durch Kennzahlen ersetzt werden, es ist auch möglich, andere Identifikationsmerkmale durch Kennzeichnungen zu pseudonymisieren. Wichtig ist nur, dass eine Identifikation der betroffenen Person im Anschluss ausgeschlossen oder wesentlich erschwert ist. Die Daten bleiben dabei – in Abgrenzung zur Verschlüsselung – lesbar und der Vorgang kann mithilfe eines „Schlüssels“ rückgängig gemacht werden.
