Personenbezogene Daten sind "alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen". Dieser Begriff ist somit sehr umfassend, denn er erfasst somit alle Daten, die einer individuellen Person direkt oder indirekt zurechenbar sind.
Wie die bisherigen nationalen Datenschutzregelungen enthält auch die EU-Datenschutz-Grundverordnung (DS-GVO) ein grundsätzliches Verbot der Verarbeitung personenbezogener Daten. Daher gilt nach wie vor, dass jede Verarbeitung personenbezogener Daten verboten ist. Somit benötigt jede Verarbeitung einen gesetzlich geregelten Erlaubnistatbestand. Insbesondere ist zu beachten, dass je sensibler die zu verarbeitenden Daten sind, desto notwendiger die Gewährleistung eines angemessen hohen Schutzniveaus für diese Daten ist. Gewährleisten muss den Schutz personenbezogener Daten für die gesamte Dauer der Verarbeitung, also über den gesamten Lebenszyklus der Daten hinweg, der "Verantwortliche". Art. 4 Ziff. 7 DS-GVO definiert einen Verantwortlichen als "die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet". Somit ist derjenige, welcher über die Mittel und Zwecke der Verarbeitung entscheidet, vollumfänglich für alles verantwortlich, was mit diesen Daten geschieht.
Die DS-GVO sieht die Pseudonymisierung als eine mögliche Maßnahme an, deren Einsatz die Gewährleistung eines angemessenen Schutzniveaus unterstützen kann. Die DS-GVO verweist an verschiedenen Stellen, wie z. B. bei den Anforderungen bzgl. Privacy by Design/Default (Art. 25) oder bei der Verarbeitung von Forschungsarbeiten, auf diese Maßnahme.
Die im BDSG noch erhaltene Begrifflichkeit der Anonymisierung wird von der DS-GVO nicht mehr explizit definiert. Jedoch bedeutet dieses nicht, dass eine Anonymisierung mit Geltung der DS-GVO per se nicht mehr möglich ist. Vielmehr adressiert sowohl die DS-GVO als auch etwaige nationale Regelungen an mehreren Stellen diese Möglichkeit. Bedingt durch die Regelungen der DS-GVO bzgl. den Begrifflichkeiten "personenbezogene Daten" und "Pseudonymisierung" änderten sich die Anforderungen an eine Anonymisierung. Eine "faktische" Anonymisierung von Daten, wie sie bspw. bisher im bis zum 24. Mai 2018 geltenden BDSG vorgesehen war, wird mit Geltung der DS-GVO, d. h. ab dem 25. Mai 2018, so nicht mehr möglich sein.
Sowohl die Pseudonymisierung als auch die Anonymisierung können bzw. sollten daher verwendet werden. Einerseits um die Risiken der Verarbeitung personenbezogener Daten für von dieser Verarbeitung betroffene Personen zu verringern, andererseits um den aus der DS-GVO resultierenden rechtlichen Anforderungen hinsichtlich eines angemessen hohen Schutzniveaus zu genügen.
Dabei ist zu beachten, dass sowohl die Anonymisierung als auch die Pseudonymisierung eine Verarbeitung im Sinne der DS-GVO darstellen. D. h. es wird eine Rechtsgrundlage ("Erlaubnistatbestand") für die Durchführung einer Anonymisierung oder auch einer Pseudonymisierung benötigt. Dies ist nur eine der datenschutzrechtlichen Rahmenbedingungen, welche in der DS-GVO zu finden sind.
In dieser Ausarbeitung werden verschiedene Rahmenbedingungen besprochen, die im Hinblick auf eine Pseudonymisierung oder Anonymisierung zu beachten sind.
Die Ausarbeitung wurde unter einen Creative Commons-Lizenz (4.0 Deutschland Lizenzvertrag) veröffentlicht. Um sich die Lizenz anzusehen, gehen Sie bitte ins Internet auf die Webseitehttps://creativecommons.org/licenses/by-sa/4.0/deed.de bzw. für den vollständigen Lizenztext auf die Webseitehttps://creativecommons.org/licenses/by-sa/4.0/legalcode.
