Pseudonymisierung vs. Anonymisierung: der Unterschied einfach erklärt

Die Kurzantwort

Der Unterschied liegt also nicht darin, wie viel entfernt wird, sondern ob es einen Rückweg gibt. Gibt es irgendwo eine Liste, einen Schlüssel oder ein Zusatzwissen, mit dem sich die Person wieder zuordnen lässt, ist es Pseudonymisierung.

Was ist Pseudonymisierung?

Die DSGVO definiert den Begriff in Art. 4 Nr. 5: Personenbezogene Daten werden so verarbeitet, dass sie ohne Hinzuziehung zusätzlicher Informationen keiner bestimmten Person mehr zugeordnet werden können. Diese zusätzlichen Informationen müssen gesondert aufbewahrt und durch technische und organisatorische Maßnahmen geschützt sein.

Die Folge: Für die Stelle, die den Schlüssel hat, bleiben pseudonymisierte Daten personenbezogene Daten. Erwägungsgrund 26 der DSGVO sagt das ausdrücklich. Die Datenschutzregeln gelten weiter, etwa die Pflicht zu einer Rechtsgrundlage und zu Verträgen mit Dienstleistern. Wie es für einen Empfänger ohne Schlüssel aussieht, steht weiter unten im Abschnitt zu KI-Diensten.

Trotzdem ist Pseudonymisierung kein Feigenblatt. Die DSGVO nennt sie als Schutzmaßnahme in Art. 25 (Datenschutz durch Technikgestaltung) und Art. 32 (Sicherheit der Verarbeitung) und honoriert sie in Art. 89 für Forschung und Statistik. Wer pseudonymisiert, senkt das Risiko für die Betroffenen erheblich: Ein Empfänger ohne Schlüssel sieht keine Namen, keine Adressen, keine Versicherungsnummern.

Was ist Anonymisierung?

Für Anonymisierung gibt es in der DSGVO keine eigene Definition. Erwägungsgrund 26 beschreibt aber, wann Daten anonym sind: wenn sie sich nicht auf eine identifizierte oder identifizierbare Person beziehen. Maßstab dafür sind alle Mittel, die „nach allgemeinem Ermessen wahrscheinlich“ eingesetzt werden, um die Person zu bestimmen – unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technik.

Die Folge: Auf anonyme Daten ist die DSGVO nicht anwendbar. Genau deshalb ist die Messlatte hoch. Anonymität ist keine Eigenschaft eines einzelnen Dokuments, sondern hängt davon ab, welche anderen Informationen es auf der Welt gibt. Ein Befund ohne Namen, aber mit einer seltenen Diagnose, dem Datum und der Klinik kann für Eingeweihte eindeutig sein. Es gibt gut dokumentierte Fälle, in denen scheinbar anonyme Datensätze über Zusatzwissen wieder Personen zugeordnet wurden.

Anonymisierung und Pseudonymisierung im Vergleich

Der praktische Unterschied: Pseudonymisierung erhält den Einzelfall und damit den Nutzen des Dokuments – man kann weiter mit dem Befund, dem Schriftsatz oder der Akte arbeiten. Anonymisierung opfert den Einzelfall, um jeden Rückweg auszuschließen.

Beispiele aus Praxis, Kanzlei und Personalabteilung

• Arztpraxis: Ein Befund soll von einer KI in einen Entwurf für den Arztbrief übersetzt werden. Name, Geburtsdatum, Sozialversicherungs- oder Krankenversichertennummer, Adresse, Behandler und Klinik werden durch Platzhalter ersetzt, Diagnosen und Laborwerte bleiben. Die Zuordnung bleibt in der Praxis. Pseudonymisierung.
• Kanzlei: Ein Schriftsatz soll von einer KI auf Argumentationslücken geprüft werden. Mandant wird zu [PERSON_1], die Gegenseite zu [PERSON_2], das Aktenzeichen zu einem eigenen Platzhalter. Der Sachverhalt bleibt lesbar. Pseudonymisierung.
• Personalabteilung: Für den Jahresbericht wird die durchschnittliche Krankenstandsdauer pro Abteilung berechnet, nur für Abteilungen, in denen sich aus dem Durchschnitt niemand herauslesen lässt. Kein Rückweg zum Einzelnen. Anonymisierung.
• Grauzone: Ein einzelner Befund ohne Namen, aber mit seltener Diagnose, exaktem Datum und Klinik geht an eine KI. Für Außenstehende wirkt er anonym, für Kolleginnen und Kollegen in der Klinik ist die Person erkennbar. Rechtlich ist das nicht anonym. Solche Stellen sollte man zusätzlich entschärfen: Datum vergröbern, Klinik weglassen, seltene Merkmale prüfen.

Warum der Unterschied bei KI-Diensten entscheidet

Wer einen Text in ChatGPT, Claude, Gemini oder ein anderes KI-Werkzeug einfügt, übermittelt ihn an einen Dritten. Enthält der Text personenbezogene Daten, braucht das eine Rechtsgrundlage und in der Regel einen Vertrag zur Auftragsverarbeitung. Bei Gesundheitsdaten kommt Art. 9 DSGVO hinzu, bei Ärztinnen, Anwälten und anderen Berufsgeheimnisträgern zusätzlich die berufliche Schweigepflicht.

Pseudonymisierung löst dieses Problem nicht vollständig, aber sie verändert es grundlegend. Der KI-Anbieter erhält keine Namen, Adressen oder Nummern, sondern Platzhalter. Ob solche Daten auch für einen Empfänger personenbezogen sind, der den Schlüssel weder hat noch mit vertretbarem Aufwand bekommen kann, hat der Europäische Gerichtshof im September 2025 geklärt (Rs. C‑413/23 P): Pseudonymisierte Daten sind nicht in jedem Fall und für jede Person personenbezogen; es kommt auf die Umstände des Einzelfalls an. Für die Stelle mit dem Schlüssel bleiben sie es. Ein Empfänger, den die Pseudonymisierung tatsächlich an der Zuordnung hindert, muss sie nicht als personenbezogen behandeln.

Ein Freibrief ist das nicht. Ob ein KI-Dienst, der Texte speichert und mit anderen Daten verknüpfen kann, wirklich an der Zuordnung gehindert ist, muss man für den konkreten Anbieter und Vertrag prüfen – und die eigenen Pflichten als Stelle, die die Daten erhebt und weitergibt, bleiben bestehen. Sicher ist: Das Risiko für die Betroffenen sinkt drastisch, und man kann nachweisen, eine anerkannte Schutzmaßnahme ergriffen zu haben.

Was custix macht: pseudonymisieren, mit dem Schlüssel bei Ihnen

Auf unserer Website steht oft „anonymisieren“, weil das der Begriff ist, nach dem Menschen suchen und den sie im Alltag verwenden. Technisch und rechtlich präzise macht custix Folgendes: Es pseudonymisiert.

• custix erkennt Namen, Adressen, Geburtsdaten, Aktenzeichen, Steuernummern und weitere identifizierende Angaben und ersetzt sie durch Platzhalter wie [PERSON_1] oder [DATUM_1].
• Die Zuordnungstabelle zwischen Platzhaltern und Originaldaten entsteht und bleibt auf Ihrem Gerät – in der Desktop-App auf Ihrem Rechner, in der Web-App im lokalen Speicher Ihres Browsers. Sie wird nicht an uns und nicht an den KI-Anbieter übertragen (siehe Datenschutzerklärung).
• An die KI Ihrer Wahl geht nur der Text mit Platzhaltern. Die Antwort setzen Sie mit custix lokal wieder in den Klartext zurück.

Für den KI-Anbieter ist der Text damit ohne Schlüssel. Für Sie bleibt er zuordenbar, und genau das wollen Sie ja: Der Arztbrief soll am Ende wieder den richtigen Namen tragen. Deshalb ist custix Pseudonymisierung – und wir nennen es auch so, wo es um die rechtliche Einordnung geht.

Was custix nicht kann: erkennen, ob der übrige Inhalt eine Person verrät. Eine seltene Diagnose, ein einzigartiger Sachverhalt oder eine Kombination aus Ort und Zeit lassen sich nicht automatisch als identifizierend einstufen. Deshalb zeigt custix vor dem Export, was ersetzt wurde, und Sie können weitere Stellen selbst markieren; Datumsangaben werden standardmäßig mit ersetzt.

Checkliste: pseudonymisieren oder anonymisieren?

1. Brauche ich den Rückweg? Soll die Antwort oder Auswertung wieder einem konkreten Fall zugeordnet werden, ist Pseudonymisierung der richtige Weg.
2. Geht der Text dauerhaft aus dem Haus? Bei Veröffentlichung, Schulungsunterlagen oder Statistik sollte man Anonymisierung anstreben: aggregieren, vergröbern, Einzelfälle weglassen.
3. Sind besondere Kategorien betroffen? Gesundheitsdaten, Religion, Gewerkschaftszugehörigkeit oder Strafsachen verlangen einen strengeren Maßstab – und Berufsgeheimnisträger müssen zusätzlich ihre Schweigepflicht prüfen.
4. Was bleibt nach dem Ersetzen identifizierend? Seltene Merkmale, exakte Daten, Orte und Kombinationen daraus einzeln prüfen und gegebenenfalls zusätzlich entschärfen.
5. Wo liegt der Schlüssel? Die Zuordnung getrennt vom Text aufbewahren und schützen. Liegt sie beim selben Empfänger wie der Text, ist nichts gewonnen.

Diese Punkte ersetzen keine Prüfung des Einzelfalls durch Ihre Datenschutzbeauftragte oder Ihren Rechtsbeistand. Sie helfen aber, die richtige Frage zu stellen, bevor ein Dokument den Rechner verlässt.