Wann sind Daten tatsächlich anonym und fallen damit aus dem Anwendungsbereich der DSGVO heraus? Die neuen EDPB-Leitlinien zur Anonymisierung geben hierfür einen deutlich konkreteren Prüfrahmen vor. Besonders anspruchsvoll ist häufig die Abgrenzung zwischen anonymisierten und lediglich pseudonymisierten Daten, wenn mehrere Stellen beteiligt sind und sich ihre Möglichkeiten zur Identifizierung unterscheiden.
Der Europäische Datenschutzausschuss (EDPB) hat hierzu im Juli 2026 die Guidelines 02/2026 zur Anonymisierung veröffentlicht. Sie aktualisieren die bisherige Stellungnahme der Artikel-29-Datenschutzgruppe aus dem Jahr 2014 und berücksichtigen die zwischenzeitliche Rechtsprechung des Europäischen Gerichtshofs sowie technische Entwicklungen, insbesondere im Bereich KI und europäischer Datenräume. Die Leitlinien liegen derzeit in Version 1.0 zur öffentlichen Konsultation vor.
Was die EDPB-Leitlinien zur Anonymisierung konkretisieren
Ausgangspunkt der Guidelines ist Art. 4 Nr. 1 DSGVO in Verbindung mit Erwägungsgrund 26. Für die Beurteilung der Anonymität kommt es darauf an, ob sich Informationen auf eine natürliche Person beziehen und ob diese Person identifiziert oder identifizierbar ist. Wird eine dieser Voraussetzungen verneint, können die Daten anonym sein. Von besonderer Bedeutung ist der sogenannte „contextual approach“. Danach ist zunächst zu bestimmen, aus wessen Perspektive die Anonymität beurteilt wird. Anschließend ist zu prüfen, welche Möglichkeiten dieser Stelle zur Identifizierung zur Verfügung stehen. Derselbe Datensatz kann deshalb für eine Stelle personenbezogen und für eine andere anonym sein.
Der EDPB stützt sich hierbei ausdrücklich auf die Rechtsprechung des EuGH. Besonders relevant ist das Urteil vom 4. September 2025 in der Rechtssache C-413/23 P, Europäischer Datenschutzbeauftragter gegen Single Resolution Board (EDPS/SRB). Der SRB hatte pseudonymisierte Stellungnahmen an Deloitte übermittelt. Die zusätzlichen Informationen, mit denen die Stellungnahmen bestimmten Personen zugeordnet werden konnten, verblieben beim SRB. Der EuGH stellte klar, dass pseudonymisierte Daten nicht allein deshalb für jeden Empfänger personenbezogen bleiben, weil eine andere Stelle über zusätzliche Identifikationsinformationen verfügt. Maßgeblich ist vielmehr, ob der jeweilige Empfänger unter Berücksichtigung der ihm vernünftigerweise zur Verfügung stehenden Mittel die betreffende Person identifizieren kann. Damit bestätigt der Gerichtshof einen relativen Personenbezug.
Der EDPB veranschaulicht diese Perspektive mit eigenen Beispielen. Übermittelt etwa ein Krankenhaus Daten an ein unabhängiges Forschungsinstitut, das Zwecke und Mittel der weiteren Verarbeitung selbst bestimmt, ist die Identifizierbarkeit grundsätzlich aus Sicht des Forschungsinstituts zu beurteilen. Anders liegt es bei einer Auftragsverarbeitung. Kann der Verantwortliche die betroffenen Personen identifizieren, lässt sich die Anwendung der DSGVO nicht allein deshalb ausschließen, weil dem Auftragsverarbeiter selbst die erforderlichen Zusatzinformationen fehlen. Der relative Ansatz gilt zudem nicht für jede datenschutzrechtliche Frage. Im SRB-Verfahren entschied der EuGH zugleich, dass die Informationspflicht bei der Erhebung aus Sicht des ursprünglichen Verantwortlichen zu beurteilen war. Da der SRB die betroffenen Personen identifizieren konnte, musste er über die vorgesehenen Empfänger informieren. Ob die Daten für Deloitte später anonym waren, war dafür nicht entscheidend.
Wie wird Anonymität konkret geprüft?
Die Guidelines verbinden die rechtliche Bewertung mit einem technischen Prüfrahmen. Dabei kommt es nicht auf jede theoretisch denkbare Möglichkeit einer Re-Identifizierung an. Im contextual approach ist entscheidend, welche Mittel aus Sicht der relevanten Stelle vernünftigerweise eingesetzt werden könnten. Dazu können auch Informationen und Zugriffsmöglichkeiten gehören, die über Dritte verfügbar sind. Für die technische Prüfung verwendet der EDPB drei Kriterien: No Record Isolation, No Linkage und No Inference. Sind alle drei erfüllt, können die Daten nach den Guidelines als anonym angesehen werden. Wird eines der Kriterien nicht erfüllt, folgt daraus noch nicht automatisch, dass personenbezogene Daten vorliegen. Dann ist eine weitergehende Prüfung des konkreten Kontexts erforderlich.
No Record Isolation
Das erste Kriterium betrifft die Möglichkeit, einzelne Datensätze innerhalb eines Datenbestands zu isolieren. Je detaillierter ein Datensatz ist und je seltener eine bestimmte Kombination von Merkmalen vorkommt, desto eher kann ein einzelner Datensatz herausgegriffen werden. Der EDPB verdeutlicht dies mit einem einfachen Beispiel: Auf einer Straße können mehrere Personen einen schwarzen Anzug tragen und mehrere Personen mit einem Hund unterwegs sein. Gibt es aber nur eine Person, auf die beide Merkmale gleichzeitig zutreffen, kann diese Kombination innerhalb des konkreten Kontexts eindeutig sein.
Hier setzt das sogenannte Singling out an. Gemeint ist die Möglichkeit, eine Person von anderen Personen zu unterscheiden und sie auf dieser Grundlage unterschiedlich zu behandeln, auch wenn ihr Name nicht bekannt ist. Die bloße Isolierbarkeit eines Datensatzes ist dabei noch nicht automatisch mit Identifizierbarkeit gleichzusetzen. Ist „No Record Isolation“ nicht erfüllt, muss weiter geprüft werden, ob die isolierten Informationen tatsächlich ein relevantes Singling out ermöglichen.
No Linkage
Das No Linkage Kriterium betrifft die Verknüpfung mit anderen Datenbeständen. Zu prüfen ist, ob Informationen aus verschiedenen Quellen so zusammengeführt werden können, dass zusätzliche Informationen über dieselbe Person verfügbar werden oder eine Identifizierung wahrscheinlicher wird. Ein typischer Fall ist ein pseudonymisierter Forschungsdatensatz, bei dem Namen und direkte Kennungen entfernt wurden, weiterhin aber Angaben wie Alter, Region, Erkrankung und Behandlungszeitraum enthalten sind. Verfügt der Empfänger über einen weiteren Datensatz mit vergleichbaren Merkmalen, kann die Kombination beider Datenbestände eine Zuordnung ermöglichen. Im contextual approach sind dabei auch externe Informationen zu berücksichtigen, auf die die betreffende Stelle vernünftigerweise zugreifen könnte.
No Inference
Das No Inference Kriterium fragt, ob aus den vorhandenen Daten zusätzliche Informationen über eine bestimmte Person abgeleitet werden können. Auch hierfür muss der Name der Person nicht unmittelbar bekannt sein.
Der EDPB zeigt dies anhand aggregierter Gehaltsdaten. Werden verschiedene Summen oder Durchschnittswerte veröffentlicht, kann es unter Umständen möglich sein, daraus das konkrete Gehalt eines einzelnen Beschäftigten zu berechnen. Aggregierte Daten sind deshalb nicht allein aufgrund ihrer Aggregation anonym. Entscheidend ist, ob sich aus ihnen mit hinreichender Zuverlässigkeit spezifische Informationen über einzelne Personen ableiten lassen.
Die drei Kriterien erfassen damit unterschiedliche Risiken. Ein Datensatz kann innerhalb eines Datenbestands herausstechen, mit anderen Informationen verbunden werden oder zusätzliche Rückschlüsse auf einzelne Personen ermöglichen. Erst die gemeinsame Betrachtung erlaubt eine belastbare Bewertung. Daneben beschreibt der EDPB einen „simplified approach“. Dabei werden unterschiedliche Identifizierungsmöglichkeiten einzelner Stellen nicht im gleichen Umfang berücksichtigt. Der Ansatz ist konservativer und kann dazu führen, dass Daten vorsorglich als personenbezogen behandelt werden, obwohl sie für einen bestimmten Empfänger bereits anonym sein könnten.
Auswirkungen auf die Praxis
Für Unternehmen ist besonders die relative Betrachtung des Personenbezugs relevant. Ein Datensatz kann beim ursprünglichen Verantwortlichen personenbezogen bleiben und beim Empfänger anonym sein, wenn diesem keine vernünftigerweise nutzbaren Mittel zur Identifizierung zur Verfügung stehen. Das kann etwa bei Forschungskooperationen, Datenräumen, statistischen Auswertungen oder bestimmten KI-Anwendungen eine Rolle spielen.
Der EDPB nennt die Entwicklung von KI-Technologien und europäischen Datenräumen ausdrücklich als Gründe dafür, die bisherige Position zur Anonymisierung zu aktualisieren. Das Entfernen von Namen oder das Zurückhalten eines Zuordnungsschlüssels genügt hierfür jedoch nicht. Maßgeblich ist die gesamte Verarbeitungssituation. Verfügt der Empfänger über andere Datenbestände oder kann er zusätzliche Informationen mit vertretbarem Aufwand beschaffen, kann eine Identifizierung weiterhin möglich sein.
Auch die Anonymisierung selbst unterliegt der DSGVO
Zu unterscheiden ist zwischen dem Anonymisierungsvorgang und seinem Ergebnis. Solange mit personenbezogenen Ausgangsdaten gearbeitet wird, stellt auch deren Anonymisierung eine Verarbeitung personenbezogener Daten dar. Der EDPB stellt deshalb klar, dass für diesen Verarbeitungsschritt eine Rechtsgrundlage nach Art. 6 DSGVO erforderlich ist. Werden besondere Kategorien personenbezogener Daten verarbeitet, muss zusätzlich eine Voraussetzung des Art. 9 Abs. 2 DSGVO erfüllt sein.
Ist die Anonymisierung Teil derselben Verarbeitungstätigkeit und verfolgt der Verantwortliche damit denselben Zweck wie bei der vorausgehenden Verarbeitung, soll grundsätzlich dieselbe Rechtsgrundlage herangezogen werden können. Fehlt diese Zweckidentität, greift diese Vermutung des EDPB nicht. Eine zeitnahe Anonymisierung kann bei einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zudem zugunsten des Verantwortlichen in die Interessenabwägung einfließen, weil sie die Auswirkungen auf die betroffenen Personen reduziert. Erst wenn die Anonymisierung erfolgreich abgeschlossen ist, fällt der daraus entstandene Datensatz aus dem Anwendungsbereich der DSGVO heraus.
Gemischte Datensätze bleiben problematisch
Eine Anonymisierung muss nicht für alle enthaltenen Personen gleich wirksam sein. Bleiben einzelne Personen identifizierbar und lassen sich diese Teile nicht vom restlichen Datenbestand trennen, kann nicht der gesamte Datensatz als anonym behandelt werden. Soll ein Datenbestand teilweise außerhalb der DSGVO verarbeitet werden, müssen die anonymen und personenbezogenen Bestandteile daher ausreichend voneinander getrennt werden. Andernfalls bleibt der gesamte Datenbestand datenschutzrechtlich relevant.
Anonymität kann sich verändern
Auch eine zunächst tragfähige Anonymisierung kann später neu zu bewerten sein. Neue Datenquellen, zusätzliche Zugriffsmöglichkeiten oder verbesserte Analyseverfahren können die Wahrscheinlichkeit einer Re-Identifizierung erhöhen. Der EDPB empfiehlt daher, die Re-Identifizierbarkeit anonymisierter Daten regelmäßig zu überprüfen. Das ist insbesondere relevant, wenn Datenbestände über längere Zeit genutzt oder an Dritte weitergegeben werden.
Empfehlungen
Organisationen und andere Verantwortliche sollten zunächst klären, zu welchem Zweck Daten anonymisiert werden und auf welcher Rechtsgrundlage die Verarbeitung der Ausgangsdaten einschließlich des Anonymisierungsschritts erfolgt. Bei besonderen Kategorien personenbezogener Daten ist zusätzlich Art. 9 DSGVO zu berücksichtigen.
Bei Datenweitergaben sollte festgelegt werden, aus wessen Perspektive die Anonymität beurteilt wird. Maßgeblich sind insbesondere die Rolle des Empfängers und seine tatsächlichen Möglichkeiten zur Identifizierung.
Anschließend sollten die relevanten Datenbestände und Zusatzinformationen erfasst und anhand der drei Kriterien No Record Isolation, No Linkage und No Inference geprüft werden. Ist eines der Kriterien nicht erfüllt, sollte dokumentiert werden, warum die Daten im konkreten Kontext dennoch als anonym gelten können oder welche zusätzlichen Maßnahmen erforderlich sind.
Die Bewertung und die Wirksamkeit der Anonymisierung sollten nachvollziehbar dokumentiert und bei wesentlichen Veränderungen erneut überprüft werden. Neue Datenquellen oder technische Verfahren können eine ursprünglich tragfähige Einordnung verändern.
Die Guidelines geben damit einen deutlich konkreteren Prüfrahmen vor. Für Datenkooperationen, Forschung und KI-Anwendungen kann der kontextbezogene Ansatz neue Spielräume eröffnen, setzt aber eine belastbare Bewertung des jeweiligen Daten- und Empfängerkontexts voraus.
