Pseudonymisierung
Pseudonymisierung tauscht in einem Datensatz Namen, Nummern und andere Kennzeichen einer Person gegen Platzhalter und legt die Zuordnung getrennt ab: Ohne die Zuordnung führt der Datensatz zu keiner Person, mit ihr lässt sich der Tausch jederzeit zurücknehmen.
Die Pseudonymisierung ist in Artikel 4 der DSGVO definiert und in Artikel 32 als Sicherheitsmaßnahme genannt; pseudonymisierte Daten bleiben personenbezogen, im Unterschied zur Anonymisierung, bei der der Personenbezug endgültig entfällt.
In einfachen Worten
Ein Datensatz über eine Reklamation enthält Name, Kundennummer, Adresse und den Text der Beschwerde. Pseudonymisiert lautet er: Kunde-0417, Vorgang-2291, Ort-A und der Text der Beschwerde. Die Tabelle, die Kunde-0417 wieder in den Namen übersetzt, liegt an einem anderen Ort mit eigenem Zugriffsschutz. Der Datensatz lässt sich damit verarbeiten, auswerten und an ein System übergeben, ohne dass der Empfänger die Person erkennt. Darin liegt der Unterschied zur Anonymisierung, bei der niemand mehr, auch der Betrieb selbst nicht, den Weg zurück zur Person findet; für ein solches Ergebnis ist die DSGVO nicht mehr zuständig. Nach einer Pseudonymisierung existiert dieser Weg weiter, in Form der Tabelle. Deshalb behandelt die Verordnung pseudonymisierte Datensätze weiterhin wie Angaben über Personen, rechnet der Verarbeitung aber ein geringeres Risiko an und führt das Verfahren ausdrücklich unter den technischen und organisatorischen Maßnahmen auf. In einer KI-Automation ist die Ersetzung der Handgriff, der vor dem Modellaufruf steht: Der Harness tauscht Namen, Nummern und Adressen gegen Platzhalter, übergibt den Text, nimmt die Antwort entgegen und setzt die Originale wieder ein. Die Zuordnungstabelle verlässt den Betrieb dabei nie. Grenzen hat das Verfahren dort, wo der Text selbst die Person verrät, etwa durch eine seltene Berufsbezeichnung in einem kleinen Ort, und dort, wo Angaben in Freitext stehen, die ein Erkennungsverfahren übersieht.
Wozu brauche ich das?
Die Ersetzung gehört in jede Automation, die personenbezogene Angaben an ein Modell bei einem Anbieter übergibt, und sie lohnt sich auch bei einem lokalen Modell, weil sie das Protokoll entlastet und die Datenminimierung unterstützt. Sie ersetzt den Vertrag zur Auftragsverarbeitung nicht, weil die Erkennung nie lückenlos ist und ein einziger übersehener Name die Übergabe zu einer Verarbeitung personenbezogener Daten macht.
Beispiel aus der Praxis
Ein Sanitärbetrieb lässt Kundenreklamationen aus dem Posteingang automatisch zusammenfassen und dem zuständigen Monteur zuordnen. Der Harness ersetzt vor der Übergabe an das Modell Namen, Telefonnummern, Kundennummern und Adressen durch nummerierte Platzhalter und hält die Zuordnung in einer Tabelle auf dem Firmenserver. Das Modell fasst den Fall zusammen („Kunde-12 meldet tropfenden Anschluss an Vorgang-88, Termin gewünscht vormittags") und schlägt einen Monteur nach Einsatzgebiet vor; Ort-B steht dafür in einer groben Zone, die der Harness aus der Postleitzahl bildet. Nach der Antwort setzt der Harness die Originale ein, und der Disponent sieht den vollständigen Fall. Im Audit-Log auf dem Server bleiben die Platzhalter stehen; ein Datenabfluss von Kundennamen an den Anbieter ist damit ausgeschlossen, solange die Erkennung greift. Im Vertrag mit dem Modellanbieter ist die Übergabe pseudonymisierter Vorgänge dennoch als Auftragsverarbeitung geregelt, weil einzelne Namen im Freitext durchrutschen können.
Wirtschaftlicher Nutzen
Die Ersetzung senkt das Risiko jeder Übergabe an ein Modell, ohne den Ablauf zu verändern: Der Betrieb behält den Schlüssel, der Anbieter sieht Vorgänge ohne Personen. Gegenüber der Aufsicht lässt sich das Verfahren als Maßnahme belegen, gegenüber Kunden als Antwort auf die Frage, was ein Anbieter von ihren Daten zu sehen bekommt. Aufwand entsteht einmal beim Einrichten der Erkennung und laufend beim Betrieb der Tabelle; im Einzelfall entscheidet danach niemand mehr, das Verfahren läuft maschinell. Wer einer beruflichen Schweigepflicht unterliegt, kommt mit der Ersetzung allein nicht aus, weil der Inhalt eines Vorgangs auch ohne Namen unter das Geheimnis fallen kann; dasselbe gilt für Kalkulationen, die als Geschäftsgeheimnis geschützt bleiben sollen.
Typische Fehler
- Pseudonymisierte Daten für anonym halten und die Pflichten der DSGVO für erledigt erklären, obwohl die Zuordnung existiert.
- Die Zuordnungstabelle im selben System und mit denselben Rechten ablegen wie die Vorgänge, sodass die Trennung nur auf dem Papier besteht.
- Nur Namen ersetzen und Kundennummern, Aktenzeichen, Adressen und Telefonnummern durchlassen, über die sich die Person ebenso bestimmen lässt.
- Die Ersetzung als Ersatz für den Vertrag zur Auftragsverarbeitung mit dem Modellanbieter ansehen.
- Die Platzhalter im Protokoll wieder durch Originale ersetzen und damit die Entlastung des Protokolls aufheben.
Worauf achten?
- Je Vorgang festlegen, welche Angabenarten ersetzt werden: Namen, Nummern, Adressen, Kontaktdaten, Kennzeichen.
- Die Zuordnungstabelle getrennt speichern, mit eigenem Zugriffskreis und eigener Sicherung.
- Die Erkennung mit echten Vorgängen aus dem Bestand testen, besonders bei Freitext und ungewöhnlichen Schreibweisen.
- Die Rückersetzung nur dort vornehmen, wo der Mensch den vollständigen Fall braucht, und im Audit-Log die Platzhalter belassen.
- Die datenschutzrechtliche Einordnung des Verfahrens mit der Rechtsberatung abstimmen und im Verzeichnis der Verarbeitungstätigkeiten vermerken.
Häufig gestellte Fragen
Was ist Pseudonymisierung?
Namen, Nummern und Adressen werden durch Platzhalter ersetzt; die Tabelle, die Platzhalter und Original verbindet, liegt getrennt und geschützt. Ein Empfänger des Datensatzes erkennt keine Person, der Betrieb kann den Tausch mit der Tabelle jederzeit zurücknehmen.
Was ist der Unterschied zwischen Pseudonymisierung und Anonymisierung?
Anonymisierte Daten führen zu keiner Person mehr zurück, auch nicht mit Zusatzwissen; für sie gelten die Datenschutzregeln nicht mehr. Pseudonymisierte Daten führen über die getrennt verwahrte Tabelle zurück; sie unterliegen der DSGVO weiterhin, tragen aber ein geringeres Risiko.
Ersetzt Pseudonymisierung den Auftragsverarbeitungsvertrag mit einem KI-Anbieter?
Nein. Die Erkennung ist nie lückenlos, und ein einziger übersehener Name macht die Übergabe zu einer Verarbeitung personenbezogener Daten. Die Ersetzung senkt das Risiko; der Vertrag bleibt die rechtliche Grundlage.
Wie funktioniert Pseudonymisierung vor einem KI-Modellaufruf?
Der Harness tauscht Namen, Nummern und Adressen gegen nummerierte Platzhalter, übergibt den Text an das Modell, nimmt die Antwort entgegen und setzt die Originale wieder ein. Die Zuordnungstabelle bleibt im Betrieb und verlässt ihn nie.