Pseudonymisierung vs. Anonymisierung: der Unterschied, auf dem eure KI-Projekte stehen

Anonymisierung entfernt den Personenbezug unumkehrbar: Nach Erwägungsgrund 26 der DSGVO liegen anonyme Daten erst vor, wenn eine Person mit vernünftigerweise verfügbaren Mitteln nicht mehr identifizierbar ist, von niemandem. Dann gilt die DSGVO schlicht nicht mehr. Pseudonymisierung (Art. 4 Nr. 5 DSGVO) ersetzt identifizierende Merkmale durch Platzhalter, während ein getrennt und gesichert verwahrter Schlüssel die Zuordnung wiederherstellen kann. Pseudonymisierte Daten bleiben personenbezogen, die DSGVO gilt weiter, aber die Pseudonymisierung zählt als anerkannte technische Schutzmaßnahme.

In der Praxis ist die Anonymisierung von Freitext das deutlich schwächere Werkzeug, als der Begriff suggeriert. Ein Name lässt sich schwärzen; die Kombination aus Wohnort, Berufsbezeichnung, Arbeitgeber und einem Datum identifiziert eine Person trotzdem. Wer Freitext so weit reduziert, dass wirklich niemand mehr re-identifizieren kann, hat meist auch die fachliche Aussage zerstört, an der das KI-System arbeiten soll. Deshalb behandeln Aufsichtsbehörden pauschale Anonymisierungs-Behauptungen skeptisch, und deshalb ist für KI-Verarbeitung die messbar gute Pseudonymisierung in den meisten Fällen der belastbarere Weg.

Im September 2025 hat der Europäische Gerichtshof (Rechtssache C-413/23 P, EDPS gegen SRB) eine Frage entschieden, die für KI-Architekturen zentral ist: Ob pseudonymisierte Daten personenbezogen sind, ist aus der Perspektive des jeweiligen Empfängers zu beurteilen. Hat der Empfänger keine vernünftigerweise nutzbaren Mittel, die Daten einer Person zuzuordnen, sind sie für ihn keine personenbezogenen Daten, auch wenn die übermittelnde Stelle den Schlüssel besitzt. Die Guidelines 01/2025 des Europäischen Datenschutzausschusses ordnen die Pseudonymisierung auf derselben Linie als Schutz- und Ermöglichungsinstrument ein.

Für die Praxis heißt das: Die Qualität der Pseudonymisierung und die strikte Trennung der Schlüssel sind nicht Kür, sondern das tragende Konstrukt. Wenn Re-Identifikations-Schlüssel ausschließlich auf EU-Infrastruktur liegen und das empfangende System, etwa ein Sprachmodell-Endpunkt außerhalb der EU, nachweislich keinen Zugriff darauf hat, steht der Modellaufruf auf einer fundamental anderen rechtlichen Grundlage als die Übermittlung von Klartext. Genau diese Architektur ist der Grund, warum sich auch Modelle amerikanischer Hersteller in DSGVO-konforme Workflows einbinden lassen.

Am 7. Juli 2026 hat der Europäische Datenschutzausschuss die Guidelines 02/2026 zur Anonymisierung zur öffentlichen Konsultation angenommen; Rückmeldungen sind bis zum 30. Oktober 2026 möglich. Es ist also ein Entwurf und noch kein finaler Maßstab. Er zeigt aber schon jetzt, woran sich die Aufsicht orientiert, und er führt die Linie des EuGH-Urteils konsequent fort.

Der Entwurf prüft Anonymität an drei Kriterien, die **gleichzeitig** erfüllt sein müssen:

Kein Herausgreifen

Aus dem Datenbestand darf sich kein einzelner Datensatz einer Person isolieren lassen.

Keine Verknüpfung

Zwei Datensätze derselben Person dürfen sich nicht über Bestände hinweg zusammenführen lassen.

Keine Ableitung

Aus dem, was übrig bleibt, darf sich keine neue Information über eine Person erschließen lassen.

Fällt auch nur eines der drei durch, bleiben die Daten personenbezogen und die DSGVO gilt vollständig. Das ist strenger, als der verbreitete Sprachgebrauch nahelegt: "anonymisiert" ist nicht, wo der Name entfernt wurde, sondern wo keiner der drei Wege zurückführt.

Der zweite Gedanke des Entwurfs wiegt für KI-Architekturen noch schwerer. Anonymität ist danach keine Eigenschaft, die ein Datensatz besitzt, sondern eine **relative** Einordnung: sie wird aus der Perspektive jeder Stelle beurteilt, die mit den Daten in Berührung kommt. Derselbe Bestand kann für den einen Empfänger anonym sein und für den anderen nicht, je nachdem, welche Mittel und welches Zusatzwissen dieser Empfänger vernünftigerweise hat. Genau so hatte der EuGH im Vorjahr entschieden.

Daraus folgt eine unbequeme, aber nützliche Konsequenz für die Praxis: Ein Datenbestand ist nicht ein für alle Mal anonym. Wer neue Quellen hinzunimmt, ein System an einen weiteren Empfänger anbindet oder schlicht mehr Daten ansammelt, verändert die Perspektive, aus der zu beurteilen ist, und muss die Frage neu stellen. Anonymität ist damit eine Einschätzung mit Haltbarkeitsdatum, kein Haken, den man einmal setzt.

Eine einzelne Technik reicht nicht, weil personenbezogene Daten in zwei sehr verschiedenen Formen auftreten. Strukturierte Angaben wie IBAN, Kreditkartennummer, Steuer-ID, E-Mail oder Telefonnummer sind über Muster mit Prüfziffern-Validierung (IBAN per Mod-97, Kreditkarten per Luhn, Steuer-IDs per ISO 7064) deterministisch erkennbar: vollständig und ohne Fehlalarme auf Zahlenkolonnen, die nur so aussehen. Namen, Orte und Organisationen im Fließtext dagegen sind ein statistisches Problem. Der Stand der Technik ist deshalb eine Schichtung: erst ein Wörterbuch bereits bekannter Namen und Organisationen (deterministisch), dann die geprüften Muster, dann eine statistische Namenserkennung, die bewusst lieber zu viel als zu wenig ersetzt, und zum Schluss ein zweiter Kontrollpass durch ein Sprachmodell auf EU-Infrastruktur, das die Reste findet, die Statistik typischerweise übersieht: Namen in Grußformeln, Signaturen, Genitiven.

Zwei Eigenschaften entscheiden dabei über die Belastbarkeit des Gesamtsystems. Erstens fail-closed: Wenn eine Schicht ausfällt oder sich das System unsicher ist, wird der Vorgang abgebrochen oder auf EU-Verarbeitung umgeleitet, statt im Zweifel Klartext durchzulassen. Zweitens die Schlüsselverwahrung: Jede Ersetzung wird verschlüsselt in einer EU-Datenbank abgelegt, und die Wiederherstellung des Klartexts passiert ausschließlich serverseitig in der EU, nie im angeschlossenen KI-System. So bauen wir bei ai-train jede Verarbeitung, die personenbezogene Daten berührt.

Hier kommt der Punkt, den ihr offen mit eurem Datenschutzbeauftragten besprechen solltet, und an dem sich seriöse von unseriösen Anbietern trennen: Eine hundertprozentige Erkennung von Namen in freiem Text kann niemand garantieren, weil statistische Erkennung prinzipbedingt Fälle übersehen kann. Die Branche weiß das. Die großen Werkzeuge von Microsoft, AWS und Google rahmen ihre Erkennung ausdrücklich als Wahrscheinlichkeit, nicht als Garantie, und die beste uns bekannte publizierte Studie auf deutschem Freitext, an 250 Arztbriefen, erreichte 99,24 Prozent der personenbezogenen Zeichen. Wer euch dennoch 100 Prozent zusichert, hat entweder nicht gemessen oder verkauft das Messergebnis eines leichten Testfalls als Garantie.

Der richtige Anspruch lautet deshalb: messen, offenlegen, absichern. Wir messen unsere Pseudonymisierung nicht an eigenen Testdaten, sondern auf fremden Test-Sets eines Drittanbieters, ausgeführt mit der unveränderten Produktions-Firewall und für den vollen Durchlauf: 98,93 Prozent Schutzquote auf deutschem Geschäftstext, 99,16 Prozent auf dem englischen Schwester-Set, 100 Prozent bei Telefonnummern und allen prüfsummen-validierten Klassen. Auf dem realen, von Menschen annotierten GermEval-Korpus sind es 95,89 Prozent, eine konservative Untergrenze. Über 11.919 fremd-annotierte Stellen blieben zwei Fälle mit echtem Personenbezug, beide prominente Personen des öffentlichen Lebens aus enzyklopädischem Wikipedia-Text; ein Abfluss privater Kundendaten trat nicht auf. Die Zahlen stehen offen im Whitepaper, samt der Fälle, die durchgerutscht sind. Drei Fragen entlarven jeden Anbieter in fünf Minuten: Messt ihr, und gegen welchen Korpus? Wo liegen die Re-Identifikations-Schlüssel? Und was passiert im Fehlerfall, fail open oder fail closed?

Dieser Beitrag ordnet die technischen und rechtlichen Zusammenhänge ein und ist keine Rechtsberatung. Für die verbindliche Bewertung eures konkreten Falls zieht euren Datenschutzbeauftragten oder eine fachkundige Kanzlei hinzu.