Aus einem Datenexport schnell die Namen zu entfernen, wirkt wie eine naheliegende Datenschutzmaßnahme. Für viele Zwecke reicht das jedoch nicht. Ein Datensatz kann Personen auch ohne Namen, E-Mail-Adresse oder Kundennummer wieder erkennbar machen: durch seltene Kombinationen von Merkmalen, Zeitpunkte, Orte, Geräteinformationen, Kaufverhalten oder eine Verbindung mit anderen Datenquellen.
Das ist für Website-Betreiber, Marketingteams und KMU besonders relevant. Webanalyse, CRM-Exporte, Suchbegriffe, Supportdaten oder Besucherzählungen werden oft für Reports, Dienstleister, KI-Projekte oder interne Entscheidungen weiterverwendet. Der Europäische Datenschutzausschuss (EDPB) hat im Juli 2026 Leitlinien zur Anonymisierung zur öffentlichen Konsultation veröffentlicht. Sie liefern einen aktuellen Rahmen: Daten sind nicht schon deshalb anonym, weil ein direktes Kennzeichen fehlt. Dieser Beitrag ordnet die Leitlinien praktisch ein und ersetzt keine individuelle Rechtsberatung.
Anonymisierung und Pseudonymisierung sind nicht dasselbe
Bei einer Pseudonymisierung wird ein direktes Merkmal durch ein anderes Kennzeichen ersetzt. Statt “Anna Müller” steht dann zum Beispiel eine Kundennummer oder ein zufälliger Schlüssel im Export. Wenn Ihr Unternehmen oder ein beauftragter Dienstleister die Zuordnung wiederherstellen kann, bleiben die Daten für diesen Verarbeitungskontext in der Regel personenbezogen. Die DSGVO gilt weiter. Pseudonymisierung kann Risiken reduzieren und ist eine sinnvolle technische und organisatorische Maßnahme, sie beendet die Datenschutzpflichten aber nicht automatisch.
Anonymisierte Daten beziehen sich dagegen nicht mehr auf eine identifizierte oder identifizierbare natürliche Person. Der EDPB betont dabei einen wichtigen Punkt: Das kann je nach Empfänger unterschiedlich sein. Ein unabhängiger Forschungspartner hat möglicherweise keine realistische Möglichkeit zur Identifizierung, während der ursprüngliche Betreiber über Kundenkonto, CRM, Vertrag oder Zusatzwissen verfügt. Für den Betreiber können dieselben Daten deshalb weiter personenbezogen sein.
Auch Aggregation ist kein Garant. Eine Tabelle mit Umsätzen nach Stadtteil, Uhrzeit und Produktkategorie kann unproblematisch sein. Werden die Gruppen klein oder die Merkmale sehr detailliert, lassen sich womöglich Aussagen über einzelne Personen ableiten. Dass der Export nur Gruppen statt Namen enthält, beendet die Prüfung nicht. Genau diese Abgrenzung ist sinnvoll, bevor Daten aus Analytics, Kundenservice oder Vertrieb in eine Präsentation, an eine Agentur oder in ein neues Tool gelangen.
Die drei EDPB-Kriterien: Isolierung, Verknüpfung, Rückschluss
Die neue EDPB-Leitlinie beschreibt drei Kriterien, mit denen Organisationen die Anonymität eines Datensatzes prüfen können: keine Aufzeichnungsisolation, keine Verknüpfung und keine Schlussfolgerung. Der Wortlaut ist technisch, die dahinterliegenden Fragen sind aber gut in einen Datencheck übersetzbar.
Keine Aufzeichnungsisolation: Kann jemand einen einzelnen Datensatz so herausgreifen, dass er sich von allen anderen unterscheidet? Ein einzelner Kauf in einer kleinen Gemeinde, ein seltener Jobtitel oder eine sehr genaue Zeitangabe können reichen, um einen Eintrag auffällig zu machen. Prüfen Sie nicht nur direkte Identifier, sondern auch einzigartige Merkmalskombinationen.
Keine Verknüpfung: Lassen sich zwei Datenzeilen oder zwei Datensätze derselben Person zuordnen? Wiederkehrende Kennungen, gleiche Zeitmuster, Geräteattribute oder unveränderte Pseudonyme können eine Verbindung ermöglichen. Das gilt auch dann, wenn die Zuordnungstabelle an einem anderen Ort liegt. Entscheidend ist, ob die Verbindung mit Mitteln hergestellt werden kann, die vernünftigerweise eingesetzt werden könnten.
Keine Schlussfolgerung: Können aus den Daten sensible oder individuelle Aussagen abgeleitet werden? Ein Standortmuster kann etwa Arbeitszeiten sichtbar machen, ein Suchverlauf auf Gesundheitsthemen hinweisen oder eine Kombination aus Warenkorb und Postleitzahl eine Personengruppe sehr präzise beschreiben. Die Frage lautet nicht nur: “Steht diese Information im Export?”, sondern auch: “Was lässt sich mit zusätzlichen Daten darüber plausibel folgern?”
Wenn eines dieser Kriterien nicht besteht, ist nicht automatisch jede Nutzung ausgeschlossen. Es bedeutet aber, dass die Organisation weiter prüfen sollte und den Datensatz nicht vorschnell als anonym behandeln darf. Gerade bei neuen Empfängern ist diese Zurückhaltung wichtig.
Mit dem Dateninventar beginnen, nicht mit einem Tool
Ein belastbarer Check startet mit dem konkreten Zweck. Wollen Sie nur Besucherzahlen für eine Standortentscheidung vergleichen? Benötigt eine Agentur Rohdaten für eine Kampagnenanalyse? Soll ein Modell auf Supportfällen lernen? Je genauer der Zweck, desto leichter lässt sich beurteilen, welche Felder wirklich erforderlich sind. Häufig reichen gröbere Zeiträume, größere Regionen, zusammengefasste Kategorien oder vorbereitete Kennzahlen aus. Dann muss kein detaillierter Rohdatenexport geteilt werden.
Erstellen Sie eine kurze Tabelle mit Datenquelle, Feld, Zweck, Empfänger, Aufbewahrung, Zusatzwissen und Risiko. Nehmen Sie auch vermeintlich harmlose Felder auf: IP-bezogene Logdaten, Cookie-IDs, interne Nutzer-IDs, Ereigniszeit, Sprache, Browser, Standort, Rabattcode, Suchbegriff, Bestellwert, Ticketkategorie und Freitext. Der Beitrag Website-Suche und Datenschutz: Suchbegriffe nicht unterschätzen zeigt, warum gerade Suchdaten oft mehr verraten, als die technische Bezeichnung vermuten lässt.
Die EDPB-Leitlinie unterscheidet einen kontextbezogenen und einen vereinfachten Ansatz. Beim kontextbezogenen Ansatz wird berücksichtigt, welche Fähigkeiten die jeweils relevanten Stellen tatsächlich haben. Der vereinfachte Ansatz lässt diese Unterschiede bewusst außer Acht und kann deshalb konservativer sein. Für KMU ist das eine brauchbare Entscheidungshilfe: Bei einer breiten Veröffentlichung, einem offenen Datenaustausch oder mehreren unbekannten Empfängern ist ein vorsichtigerer Maßstab oft angemessen. Bei einer eng abgegrenzten internen Auswertung lässt sich der konkrete Zugriffskontext genauer dokumentieren.
Empfänger und Zusatzwissen gehören in jede Prüfung
Ein Export ist nicht für alle Empfänger gleich riskant. Ein externer Dienstleister, der im Auftrag arbeitet, kann Daten im Rahmen der Auftragsverarbeitung aus Sicht des Verantwortlichen nicht einfach als anonym behandeln, nur weil er selbst keine Kundennamen sieht. Der Verantwortliche kann die Personen häufig weiterhin identifizieren. Verträge, Rollen und tatsächliche Zugriffswege bleiben deshalb relevant.
Anders kann es bei einem unabhängigen Empfänger sein, der keine Zuordnungstabelle erhält und realistisch nicht an ergänzende Daten gelangt. Auch dann müssen Zweck, Art der Übermittlung und mögliche Kombinationen geprüft werden. Besonders vorsichtig sollten Teams bei Daten handeln, die öffentlich werden, für Benchmarking verwendet werden oder in mehrere Systeme wandern. Sobald andere Stellen mit vertretbarem Aufwand zusätzliche Informationen beschaffen oder verknüpfen können, wächst das Re-Identifizierungsrisiko.
Dokumentieren Sie deshalb pro Empfänger: Welche Daten gehen heraus? Welche Daten bleiben intern? Bestehen Verträge, Schnittstellen oder gemeinsame Datenquellen? Können Kennungen, Zeitmuster oder Regionen zusammengeführt werden? Gibt es eine Rückgabe, erneute Übermittlung oder Zugriff auf Originaldaten? Diese Fragen ergänzen den Beitrag Website-Tools im Griff: AV-Verträge ohne Excel-Chaos. Ein AV-Vertrag ersetzt die Datenprüfung nicht, aber er hilft dabei, Rollen und Datenflüsse nachvollziehbar zu organisieren.
Praktische Maßnahmen: Daten grober machen und Tests dokumentieren
Anonymisierung ist kein einzelner Schalter. Welche Maßnahme passt, hängt von Zweck, Datenart und Kontext ab. Mögliche Bausteine sind das Entfernen nicht benötigter Felder, gröbere Zeiträume oder Regionen, Mindestgruppengrößen, das Zusammenfassen seltener Kategorien, das Kürzen von Freitexten und die Trennung von Zuordnungstabellen. Verschlüsselung und Zugriffskontrollen können zusätzlich schützen, machen einen Datensatz aber nicht automatisch anonym.
Wichtig ist ein nachvollziehbarer Test. Halten Sie fest, welche Annahmen geprüft wurden, welches Zusatzwissen berücksichtigt wurde, welche Merkmale verändert wurden und weshalb der verbleibende Zweck noch erreicht wird. Bei wiederkehrenden Exports sollte der Prozess nicht nur einmal abgenommen werden. Neue Felder, neue Empfänger, verbesserte Analysewerkzeuge oder ein veränderter Markt können die Wahrscheinlichkeit einer Re-Identifizierung verschieben. Der EDPB nennt regelmäßige Neubewertungen als gute Praxis.
Vermeiden Sie den Satz “vollständig anonymisiert”, wenn kein dokumentierter Maßstab dahintersteht. Besser ist eine präzise Aussage über die konkrete Verwendung, etwa: “Für den Monatsreport werden nur zusammengefasste Kennzahlen ohne Nutzer- oder Gerätekennungen verwendet.” Das ist verständlicher und lässt sich intern prüfen. Der Datenschutz Generator hilft, Dienste und Datenflüsse auf der Website sauber zu beschreiben, sobald die tatsächliche Verarbeitung fachlich geklärt ist.
Website-Analytics, Consent und KI-Projekte getrennt bewerten
Bei einer Website treffen mehrere Verarbeitungsschichten zusammen. Technisch notwendige Logs, Analyse, Marketing, Formulare, Kundenkonten und Support können eigene Zwecke und Rechtsgrundlagen haben. Ein anonymisierter Monatsreport ändert nicht rückwirkend die Pflichten beim Erheben der Rohdaten. Wenn nicht notwendige Analyse- oder Marketingdienste genutzt werden, muss deren Einwilligungssteuerung weiterhin passen. Der Consent Manager unterstützt dabei, Einwilligungen für solche Dienste getrennt und nachvollziehbar zu verwalten.
Auch bei KI-Projekten ist diese Trennung wichtig. Ein Team sollte nicht annehmen, dass ein Datensatz für Training oder Qualitätsprüfung frei genutzt werden darf, nur weil Namen entfernt wurden. Prüfen Sie Datenquelle, Zweck, Rechtsgrundlage, mögliche besondere Kategorien, Empfänger und die tatsächliche Re-Identifizierbarkeit. Der Beitrag Web Scraping für KI: Datenquellen und Datenschutz sauber dokumentieren ergänzt diesen Schritt für externe Webquellen.
Checkliste: Anonymisierung nach DSGVO prüfen
- Den konkreten Zweck des Exports oder Reports vorab festhalten.
- Alle Felder, Kennungen, Metadaten und möglichen Zusatzdaten inventarisieren.
- Pseudonymisierung nicht mit Anonymisierung gleichsetzen.
- Prüfen, ob einzelne Zeilen oder Merkmalskombinationen isoliert werden können.
- Prüfen, ob Daten über Kennungen, Zeiten, Regionen oder Zusatzquellen verknüpft werden können.
- Prüfen, welche individuellen Aussagen aus Aggregaten oder Mustern abgeleitet werden können.
- Die Perspektiven von Verantwortlichen, Auftragsverarbeitern und unabhängigen Empfängern unterscheiden.
- Nur erforderliche Felder teilen und Details so weit wie möglich reduzieren.
- Testannahmen, Maßnahmen und verbleibende Risiken dokumentieren.
- Bei neuen Empfängern, Feldern oder Analyseverfahren erneut bewerten.
Fazit: Datenschutz gewinnt durch eine nachvollziehbare Datenprüfung
Gute Anonymisierung schafft Spielraum für Auswertungen, ohne den Blick für Menschen hinter den Daten zu verlieren. Sie beginnt nicht beim Löschen eines Namens, sondern bei Zweck, Empfänger, Zusatzwissen und der Frage, was ein Datensatz über einzelne Personen erkennen lässt. Wer die drei EDPB-Kriterien praktisch durchgeht, kann Exporte, Reports und neue Vorhaben besser einordnen.
Starten Sie mit einem wiederkehrenden Export, etwa einem Analytics- oder CRM-Report. Reduzieren Sie ihn auf den tatsächlich benötigten Zweck, testen Sie Isolierung, Verknüpfung und Rückschlüsse und halten Sie die Entscheidung fest. Das Business Paket ist eine passende Anlaufstelle, wenn Datenschutztexte, Consent und die übrigen Website-Pflichten als zusammenhängender Prozess gepflegt werden sollen.
