Neue EDSA-Leitlinien zur Anonymisierung

Ein neuer Bewertungsrahmen für anonymisierte Daten

Mit den überarbeiteten Leitlinien 02/2026 zur Anonymisierung  hat der Europäische Datenschutzausschuss (EDSA) am 07. Juli 2026 einen neuen Rahmen zur Bewertung der Anonymität von Daten veröffentlicht.

Hintergrund der Neufassung

Anlass für die Neufassung sind wesentliche rechtliche und technische Entwicklungen, die in den bisherigen Leitlinien aus dem Jahr 2014 noch keine Berücksichtigung fanden. So hat der Europäische Gerichtshof (EuGH) den Begriff der Identifizierbarkeit in mehreren Entscheidungen weiter konkretisiert. Gleichzeitig haben technologische Fortschritte – insbesondere im Bereich der Künstlichen Intelligenz – neue Möglichkeiten der Re-Identifizierung eröffnet. Die neuen Leitlinien greifen diese Entwicklungen auf und konkretisieren die Kriterien für die Beurteilung einer wirksamen Anonymisierung.

Anonymisierung vs. Pseudonymisierung

Die Abgrenzung zwischen Anonymisierung und Pseudonymisierung sowie die Frage, ob Daten tatsächlich anonym sind, sind für die Praxis und die datenschutzrechtliche Einordnung der weiteren Verarbeitung von zentraler Bedeutung. 

Daten, bei denen die betroffene Person unter Berücksichtigung aller vernünftigerweise einzusetzenden Mittel nicht oder nicht mehr identifiziert werden kann, gelten als anonym. Sie fallen nicht in den Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO) und können daher grundsätzlich für eine Vielzahl von Zwecken genutzt werden, etwa für Datenanalysen, wissenschaftliche Forschung oder das Training von KI-Anwendungen.

Pseudonymisierte Daten dagegen bleiben personenbezogen und unterliegen weiterhin den Vorgaben der DSGVO. Bei ihnen werden unmittelbar identifizierende Merkmale, wie beispielsweise der Name, durch einen Schlüssel oder Code ersetzt. Der Personenbezug kann jedoch mithilfe zusätzlicher Informationen nachträglich wiederhergestellt werden.

Die wichtigsten Neuerungen

Die neuen Leitlinien ersetzen die bisherige Stellungnahme 05/2014  der ehemaligen Artikel-29-Datenschutzgruppe, dem Vorgängergremium des heutigen EDSA. Dabei werden die bisherigen Grundsätze nicht aufgegeben, sondern unter Berücksichtigung der aktuellen Rechtsprechung des Europäischen Gerichtshofs (EuGH) sowie der technischen Entwicklungen fortentwickelt.

Zu den wesentlichen Neuerungen zählen insbesondere ein überarbeiteter Bewertungsrahmen zur Beurteilung der Anonymität von Daten, der sogenannte Perspektivenansatz, Erleichterungen bei der Bewertung einzelner Anonymisierungsmaßnahmen sowie verschiedene Klarstellungen für die Praxis.

1. Der Perspektivenansatz

Die wichtigste Neuerung der Leitlinien ist der sogenannte Perspektivenansatz. Mit ihm positioniert sich der EDSA ausdrücklich zur Frage, aus wessen Sicht die Identifizierbarkeit zu beurteilen ist. Nach Auffassung des EDSA ist die Frage, ob Daten anonym oder personenbezogen sind, grundsätzlich aus der Perspektive der jeweils relevanten Stelle zu beurteilen. Entscheidend ist also nicht, ob irgendjemand eine Person identifizieren kann, sondern ob die konkrete Stelle, für die die Daten bestimmt sind, die betroffene Person mit den ihr vernünftigerweise zur Verfügung stehenden Mitteln identifizieren kann.

Dabei unterscheidet der EDSA zwischen eigenständigen Verantwortlichen und Auftragsverarbeitern. Werden Daten an einen eigenständigen Verantwortlichen übermittelt, ist dessen eigene Perspektive maßgeblich. Derselbe Datensatz kann daher für den übermittelnden Verantwortlichen weiterhin personenbezogen sein, während er für den Empfänger als anonym gilt, wenn diesem eine Identifizierung vernünftigerweise nicht möglich ist. Als Beispiel nennen die Leitlinien die Übermittlung von Patientendaten an ein unabhängiges Forschungsinstitut.

Anders verhält es sich bei Auftragsverarbeitern. Da diese personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen verarbeiten, soll ihre eigene Identifizierungsmöglichkeit nicht maßgeblich sein, sondern vielmehr die Perspektive des Verantwortlichen. Sind die Daten für diesen personenbezogen, gelten sie auch beim Auftragsverarbeiter als personenbezogene Daten und unterliegen weiterhin der DSGVO.

2. Der Kernprüfungsmaßstab des EDSA

Die Leitlinien knüpfen an den Begriff der personenbezogenen Daten nach Art. 4 Nr. 1 DSGVO an. Ob Daten als anonym anzusehen sind, beurteilt der EDSA anhand von zwei zentralen Fragen:

1. Beziehen sich die Informationen auf eine natürliche Person?
2. Und ist diese Person identifiziert oder identifizierbar?

Nur wenn beide Voraussetzungen erfüllt sind, handelt es sich um personenbezogene Daten. Fehlt es an einer der beiden Voraussetzungen, fallen die Daten nicht in den Anwendungsbereich der DSGVO.

Ein Personenbezug kann sich dabei nicht nur aus dem Inhalt der Informationen ergeben, sondern auch aus ihrem Verwendungszweck oder ihren Auswirkungen. So können etwa Daten über ein Fahrzeug personenbezogen sein, wenn sie genutzt werden, um das Verhalten des Fahrzeughalters oder Fahrers zu bewerten.

Ob eine Person identifizierbar ist, hängt nicht von einer lediglich theoretischen Möglichkeit der Identifizierung ab. Maßgeblich ist vielmehr, ob eine Identifizierung unter Berücksichtigung aller vernünftigerweise einzusetzenden Mittel realistischerweise zu erwarten ist. In die Bewertung sind dabei nur solche Stellen einzubeziehen, die tatsächlich oder vernünftigerweise Zugang zu den erforderlichen Informationen haben oder erlangen können.

3. Zwei Bewertungsansätze

Zur praktischen Anwendung des Prüfungsmaßstabs beschreiben die Leitlinien zwei unterschiedliche Bewertungsansätze. Der kontextbezogene Ansatz bewertet die Identifizierungsmöglichkeiten jeder relevanten Stelle gesondert und bildet damit den rechtlichen Prüfungsmaßstab vollständig ab.

Daneben beschreiben die Leitlinien einen vereinfachten Ansatz, der unterstellt, dass vorhandene Identifizierungsmöglichkeiten auch genutzt werden. Dieser Ansatz ist strenger als rechtlich erforderlich, ermöglicht jedoch eine einfachere und konservativere Bewertung. Beide Ansätze können miteinander kombiniert werden, indem zunächst vereinfacht geprüft und die kontextbezogene Betrachtung nur bei Zweifelsfällen herangezogen wird.

Bedeutung für Unternehmen

Die Leitlinien sind zwar rechtlich nicht bindend, spiegeln jedoch die gemeinsame Auffassung der europäischen Datenschutzaufsichtsbehörden wider und werden damit auch die Verwaltungspraxis prägen. Maßgeblich für die Auslegung der DSGVO bleibt letztlich jedoch die Rechtsprechung des Europäischen Gerichtshofs.

Die neuen Leitlinien schaffen mehr Rechtssicherheit für Unternehmen, erhöhen zugleich jedoch die Anforderungen an die Dokumentation und Bewertung von Anonymisierungsmaßnahmen. Künftig reicht es nicht mehr aus, lediglich eine bestimmte Anonymisierungstechnik einzusetzen. Unternehmen müssen nachvollziehbar darlegen können, weshalb eine Re-Identifizierung im konkreten Nutzungskontext vernünftigerweise nicht zu erwarten ist.

Insbesondere bei Datenweitergaben innerhalb von Unternehmensgruppen, gegenüber eigenständigen Verantwortlichen oder zu Forschungszwecken eröffnet der Perspektivenansatz neue Möglichkeiten. Gleichzeitig macht er eine kontextbezogene Betrachtung erforderlich. Die Frage, welche Informationen einer bestimmten Stelle tatsächlich zur Verfügung stehen oder realistischerweise zugänglich sind, gewinnt dadurch erheblich an Bedeutung.

Zur Unterstützung der praktischen Anwendung enthält der Anhang der Leitlinien einen schematischen Prüfungsablauf zur Beurteilung der Anonymität von Daten. Dieser bietet Unternehmen eine praxisnahe Orientierung für die Durchführung und Dokumentation ihrer Anonymisierungsprüfung.