Guidelines zur Anonymisierung von personenbezogenen Daten – Europäischer Datenschutzausschuss (EDSA) startet öffentliches Konsultationsverfahren

Am 07. Juli 2026 hat der EDSA seine langerwarteten Richtlinien zur Anonymisierung von personenbezogenen Daten veröffentlicht („Guidelines“). Diese Guidelines befinden sich im Entwurfsstadium und werden voraussichtlich nach dem bis zum 30. Oktober 2026 angesetzten öffentlichen Konsultationsverfahren verabschiedet.

Worum geht es?

Das zentrale Kriterium für die Anwendung der Datenschutz-Grundverordnung („DSGVO“) ist die Verarbeitung von personenbezogenen Daten („pbD“). Dieser Begriff wird in Artikel 4 Nr. 1 DSGVO weit gefasst. Nach Erwägungsgrund Nr. 26 S. 5 DSGVO sollen die Grundsätze des Datenschutzes nicht für anonyme Informationen gelten. Die DSGVO ist also nicht auf Informationen anwendbar, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ein bestehender Personenbezug von Informationen kann durch Anonymisierung aufgehoben werden.

Obwohl diese datenschutzrechtliche Weichenstellung schon vor der DSGVO galt, ist es in der Praxis eine technische und rechtliche Herausforderung, wann Informationen datenschutzrechtlich ausreichend anonymisiert sind. 

Die ehemalige Art. 29-Arbeitsgruppe hatte dafür bereits im Jahr 2014 eine Opinion veröffentlicht. Der Europäische Gerichtshof hat dazu in den letzten 10 Jahren mehrere Urteile gesprochen (siehe z. B. zuletzt zur SRB-Entscheidung hier).

Kerninhalte der Guidelines

Der EDSA möchte einen Beitrag zur Abgrenzung zwischen anonymen und pbD leisten und dafür einen praktischen Prüfmaßstab bereitstellen. 

Entscheidend sind nach dem EDSA insbesondere die drei Kriterien No Record Isolation, No Linkage und No Inference (vgl. RdNrn. 52 ff. der Guidelines). 

Das erste Kriterium „No Record Isolation“ setzt voraus, dass ein Datensatz keine personenidentifizierenden Merkmale enthält. Das Datum darf, für sich betrachtet, keinen Personenbezug darstellen. 

Daran knüpft das zweite Kriterium „No Linkage“ an. Dieses fordert, dass keine Verknüpfung zu einem anderen Datensatz gegeben ist, durch die eine natürliche Person identifiziert werden kann.

Nach dem dritten Kriterium „No Inference“ dürfen aus vorhandenen Daten keine Rückschlüsse auf eine bestimmte Person gezogen werden können. Ein solcher Rückschluss oder eine Ableitung darf auch nicht durch Kombination mit naheliegenden Zusatzinformationen ermöglicht werden. Praktisch darf die Wiedererkennung einer natürlichen Person durch Auswertung, Verknüpfung oder statistische Ableitung nicht möglich sein.

Diese Kriterien stehen in Wechselwirkungen und können unterschiedlich stark ausgeprägt sein. Wichtig ist, dass in der Gesamtschau eine entsprechende Anonymisierung gegeben ist (vgl. RdNr. 53 der Guidelines).

Wie geht es weiter?

Der EDSA lädt alle Interessierten zur Teilnahme an dem öffentlichen Konsultationsverfahren bis zum 30. Oktober 2026 ein. Da auf EU-Ebene aktuell auch über den DSGVO-Teil des Digital Omnibus Acts diskutiert wird, bei dem auch der Personenbezug im Fokus steht (oder stand?), gehen wir von zahlreichen Stellungnahmen aus.

Aus unserer Sicht können die Guidelines ein wichtiger Schritt sein, um die Anforderungen der DSGVO und der Rechtsprechung an eine Anonymisierung praktisch besser anwendbar zu machen.

Wir werden zu der finalen Fassung der Guidelines ebenfalls einen Beitrag veröffentlichen.