Namen durch Platzhalter zu ersetzen, ist ein guter erster Schritt. Nach der DSGVO macht das die Daten für sich genommen nicht anonym. In diesem Artikel erfahren Sie, was die Verordnung besagt, was der Gerichtshof der Europäischen Union im September 2025 entschieden hat und was das für Sie bedeutet.
Die kurze Antwort
Im Allgemeinen ja. Die DSGVO besagt, dass personenbezogene Daten, die pseudonymisiert wurden und mithilfe zusätzlicher Informationen einer Person zugeordnet werden könnten, Informationen über eine identifizierbare Person sind. Wenn Sie den Schlüssel besitzen, mit dem sich „Person_1“ einem echten Namen zuordnen lässt, sind die ersetzten Angaben in Ihren Händen weiterhin personenbezogene Daten, und ihre Verarbeitung unterliegt der DSGVO.
Die genauere Antwort lautet: Es hängt davon ab, wer die Daten besitzt und mit welchen Mitteln diese Person die betroffene Person vernünftigerweise identifizieren könnte. Hier ist die Gerichtsentscheidung aus dem Jahr 2025 wichtig.
Was die DSGVO besagt
Artikel 4 Absatz 5 definiert Pseudonymisierung wie folgt:
„die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten keiner identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“
Erwägungsgrund 26 besagt, dass personenbezogene Daten, die pseudonymisiert wurden und mithilfe zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, als Informationen über eine identifizierbare natürliche Person anzusehen sind. Um festzustellen, ob eine Person identifizierbar ist, sind alle Mittel zu berücksichtigen, deren Einsatz vernünftigerweise wahrscheinlich ist, etwa das Herausgreifen einzelner Personen durch den Verantwortlichen oder eine andere Person. Dabei sind unter anderem der erforderliche Zeit- und Kostenaufwand sowie die verfügbare Technologie zu berücksichtigen.
Aus dem Wortlaut ergeben sich zwei praktische Punkte. Der Schlüssel muss getrennt und mit technischen und organisatorischen Maßnahmen aufbewahrt werden. Außerdem wird die Identifizierbarkeit anhand realistischer Mittel beurteilt, nicht danach, ob eine Identifizierung theoretisch möglich ist.
Was der Gerichtshof 2025 hinzugefügt hat
Am 4. September 2025 entschied der Gerichtshof der Europäischen Union in der Rechtssache EDPS gegen SRB (Rechtssache C-413/23 P). Gegenstand waren Kommentare, die eine Bankenaufsichtsbehörde an ein Beratungsunternehmen weitergab, nachdem sie die Identität der Verfasser durch Codes ersetzt hatte. Die Rechtssache wurde auf Grundlage der Verordnung 2018/1725 entschieden, die für EU-Organe gilt. Ihre Definitionen personenbezogener Daten und der Pseudonymisierung entsprechen jedoch denen der DSGVO.
Der Gerichtshof stellte fest, dass pseudonymisierte Daten nicht „in allen Fällen und für jede Person“ als personenbezogene Daten angesehen werden müssen. Ob Daten für einen bestimmten Empfänger personenbezogen sind, hängt von den Umständen ab. Dazu zählt, ob der Empfänger über Mittel verfügt, mit denen er die betroffenen Personen vernünftigerweise reidentifizieren könnte. Die Partei, die die Pseudonymisierung vorgenommen hat und über die zusätzlichen Informationen verfügt, befindet sich in einer anderen Lage als ein Empfänger, der die Codes niemandem zuordnen kann.
Diese rechtliche Entwicklung wird von Fachleuten noch eingeordnet. Verstehen Sie sie nicht als Erlaubnis, pseudonymisierte Kundendaten beliebigen Empfängern zu übermitteln. Die Entscheidung besagt, dass die Frage aus Sicht des Empfängers beurteilt wird – nicht, dass sie entfällt.
Was das für einen KI-Chatbot bedeutet
- Sie bleiben Verantwortlicher für die ursprünglichen Daten und den Schlüssel. Ihre eigenen Pflichten nach der DSGVO gelten für alles, was Sie mit dem Dokument tun, einschließlich der Ersetzung.
- Ob der KI-Anbieter personenbezogene Daten erhält, ist eine Frage des Einzelfalls. Auch ohne Namen kann der Kontext eine Person identifizieren: ein seltener Beruf, ein kleiner Ort, ein ungewöhnliches Ereignis. Wenn jemand realistischerweise herausfinden könnte, um wen es im Text geht, sollten Sie ihn als personenbezogene Daten behandeln.
- Stützen Sie Ihre Compliance-Position nicht auf die Annahme, dass Platzhalter den Text anonym machen. Gehen Sie davon aus, dass es sich weiterhin um personenbezogene Daten handeln könnte, und betrachten Sie Platzhalter als eine von mehreren Schutzmaßnahmen.
Pseudonymisierung ist weiterhin sinnvoll, und die DSGVO sagt das ausdrücklich. Artikel 32 Absatz 1 Buchstabe a führt Pseudonymisierung als eine Sicherheitsmaßnahme auf, die Verantwortliche einsetzen können. Die Erwägungsgründe 28 und 78 besagen, dass sie Risiken für betroffene Personen mindern kann und Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen unterstützt. Die Verordnung behandelt sie als Schutzmaßnahme, nicht als Ausweg aus ihrem Anwendungsbereich.
Was Sie praktisch tun können
- Minimieren Sie zuerst. Übermitteln Sie nur den für die Aufgabe benötigten Abschnitt. Siehe wie man KI-Tools mit Mandantendokumenten verwendet.
- Ersetzen Sie alle Kennungen, nicht nur Namen. Konto- und Ausweisnummern sowie Geburtsdaten sind ebenfalls Kennungen. Die Checkliste führt sie auf.
- Bewahren Sie den Schlüssel bei sich auf, getrennt von dem Text, den Sie übermitteln, und löschen Sie ihn, wenn die Angelegenheit abgeschlossen ist.
- Prüfen Sie die Bedingungen des Anbieters und Ihren Tarif. Ein Geschäftstarif mit Auftragsverarbeitungsvertrag ist etwas anderes als ein kostenloses Privatkonto. Siehe was in den Datenschutzeinstellungen steht.
- Holen Sie bei Fällen mit hohem Risiko Rat ein: bei Gesundheitsdaten, Daten von Kindern, besonderen Kategorien personenbezogener Daten oder allen Fällen, in denen ein Datenschutzverstoß schwerwiegende Folgen hätte.
Im Alltag werden die Begriffe oft ungenau verwendet. Anonymisierung, Pseudonymisierung und Schwärzung stellt sie gegenüber.
Häufig gestellte Fragen
Sind pseudonymisierte Daten dasselbe wie anonyme Daten?
Nein. Erwägungsgrund 26 besagt, dass die Grundsätze des Datenschutzes nicht für anonyme Informationen gelten. Das sind Informationen, die sich nicht auf eine identifizierbare Person beziehen, oder Daten, die so anonymisiert wurden, dass die Person nicht mehr identifizierbar ist. Pseudonymisierte Daten, die sich wieder zuordnen lassen, sind eine andere Kategorie.
Verbietet die DSGVO den Einsatz von KI-Tools mit personenbezogenen Daten?
Nein. Sie verlangt eine Rechtsgrundlage, Datenminimierung, Sicherheit und, bei einem Anbieter, einen geeigneten Vertrag. Die Verwendung von Platzhaltern hilft bei der Datenminimierung.
Gilt das auch außerhalb der EU?
Das Vereinigte Königreich hat eine eigene Fassung, und viele Länder haben ähnliche Vorschriften. Die DSGVO kann auch für Unternehmen außerhalb der EU gelten, die Menschen in der EU ihre Dienste anbieten.
ClientSafe bewahrt die Tabelle, die Platzhalter mit echten Namen verknüpft, auf Ihrem PC auf. Der Text, den Sie in ein KI-Tool kopieren, enthält nur die Platzhalter. Überprüfen Sie zunächst die gefundenen Angaben, denn kein Tool erkennt alles.
Allgemeine Informationen, keine Rechtsberatung. Lassen Sie sich zu Ihrer konkreten Situation von einer qualifizierten Datenschutzberatung beraten.