Ist das Ersetzen von Namen schon Anonymisierung?
Nein. Namen durch „Person A" zu ersetzen ist Pseudonymisierung, nicht Anonymisierung. Die DSGVO gilt weiterhin, weil ein Rückschluss auf die echte Person noch möglich ist, zum Beispiel über den Kontext der Daten.
Dieser Unterschied ist juristisch entscheidend und wird im Alltag oft verwechselt. Wer Daten vor dem Einspielen in KI-Tools pseudonymisiert, denkt die DSGVO sei umgangen. Das stimmt nicht.
Die beiden Konzepte
Pseudonymisierung: Direkte Identifikatoren (Name, E-Mail, Kunden-ID) werden ersetzt. Aber die Daten sind noch mit einem Schlüssel wieder zusammenführbar, und oft reicht der Kontext allein für Re-Identifikation.
Anonymisierung: Jeder Rückschluss auf eine natürliche Person ist ausgeschlossen, auch durch Kombination mit anderen Informationen. Erst dann greift die DSGVO nicht mehr.
Warum Pseudonymisierung oft nicht reicht
Stell dir vor, du ersetzt in einem Kundendatensatz den Namen durch „Person A", behältst aber Branche, Region, Unternehmensgröße und Kontaktverlauf. Wer die Branche kennt, kann oft innerhalb weniger Schritte auf die echte Person schließen. Das bleibt personenbezogen im Sinne der DSGVO.
Wann echte Anonymisierung möglich ist
- Statistische Aggregation: nicht ein Datensatz, sondern Summen
- Entfernung aller quasi-identifizierenden Merkmale
- Hinzufügen von Rauschen (Differential Privacy)
- K-Anonymität: mindestens k Personen haben dieselben Merkmale
In der Praxis ist echte Anonymisierung für Einzeldaten schwer. Bei komplexen Datensätzen ist sie oft nicht ohne Qualitätsverlust erreichbar.
Die Konsequenz
Wer mit personenbezogenen Daten in KI-Tools arbeitet, braucht eine DSGVO-Rechtsgrundlage. Pseudonymisierung hilft beim Datenminimierungs-Prinzip, ersetzt aber keine Rechtsgrundlage.