Prüfen statt glauben · Nº 004 · versendet am 13. September 2026

„Pseudonymisiert bleibt personenbezogen" — stimmt das noch?

Die Behauptung

„Pseudonymisierung bringt rechtlich nichts. Die Daten bleiben personenbezogen, die DSGVO gilt in voller Härte — egal, ob da nun Namen stehen oder Platzhalter."

Der Satz fällt regelmäßig, wenn es um KI-Werkzeuge und Kundendaten geht, gern als Totschlag-Argument: Wenn Maskieren ohnehin nichts ändert, kann man es auch lassen. Er klingt nach vorsichtiger Rechtsauffassung. Er ist vor allem: nicht mehr auf dem Stand der Rechtsprechung.

Die Prüfung

Zwei Entscheidungen aus dem Jahr 2025, beide nachlesbar:

LG Hannover, Urteil vom 26.02.2025 – 128 OWiLG 1/24, rechtskräftig. Der Fall: Volkswagen hatte im Diesel-Verfahren Daten an den US-Monitor übergeben — mit Personalnummern statt Klarnamen. Die Datenschutzaufsicht sah darin einen Verstoß und verhängte 4,3 Millionen Euro Bußgeld. Das Gericht sprach VW frei und prägte dafür einen bemerkenswerten Begriff: „anonymisierende Pseudonymisierung". Wenn der Empfänger die Daten „nicht bestimmten Personen zuordnen kann und auch keinen Anlass oder Möglichkeit zur Zuordnung hat", sind sie für ihn faktisch nicht personenbeziehbar. Die bloß theoretische Möglichkeit, beim Absender nachzufragen, reicht dem Gericht ausdrücklich nicht — das sei „spekulativ".

Zur Einordnung gehört, wie dieses Urteil rechtskräftig wurde: Die Staatsanwaltschaft zog ihre Rechtsbeschwerde im Juni 2025 zurück. Ein Obergericht hat die Begründung also nie überprüft. Tragend war sie trotzdem — die Einordnung der Weitergabe als Anonymisierung ließ genau die Informationspflicht entfallen, auf die sich der Bußgeldbescheid stützte. Es ist also kein Nebensatz, den man zitiert, sondern die Säule des Freispruchs; nur eben eine, die keine höhere Instanz geprüft hat.

EuGH, Urteil vom 04.09.2025 – C-413/23 P. Der Fall betraf die für EU-Einrichtungen geltende Verordnung 2018/1725, deren Begriff des Personenbezugs dem der DSGVO entspricht. Der Europäische Gerichtshof bestätigt darin höchstrichterlich den relativen Personenbezug: Ob Daten personenbezogen sind, entscheidet sich aus der Sicht dessen, der sie in den Händen hält. Für den Empfänger ohne Schlüssel sind pseudonymisierte Daten nicht personenbeziehbar. Für den Absender, der den Schlüssel behält, bleiben sie personenbezogen — mit allen Pflichten. Die Linie ist nicht neu: Schon das Breyer-Urteil von 2016 (C-582/14) hatte sie angelegt.

Beide Entscheidungen prüfen dasselbe Kriterium: Hat dieser konkrete Empfänger Mittel und Anlass zur Re-Identifizierung? Nicht: Ist Re-Identifizierung irgendwo im Universum theoretisch denkbar?

Und die Aufsichtsbehörden? Die galten hier immer als der strengere Teil des Raums — aber auch dort bewegt sich die Linie: Der Europäische Datenschutzausschuss hat am 8. Juli 2026 den Entwurf seiner Anonymisierungs-Leitlinien (02/2026) in die Konsultation gegeben und übernimmt darin ausdrücklich die relative Sichtweise: Ein Datensatz kann für einen Empfänger ohne realistische Re-Identifizierungsmittel anonym sein, auch wenn der Absender den Schlüssel behält. Das EuGH-Urteil C-413/23 P wird direkt zitiert. Noch ist das ein Entwurf — Konsultation bis 30. Oktober 2026 —, aber die Richtung ist eindeutig.

Der Befund

Die Behauptung ist in ihrer Pauschalität falsch — und zwar in beide Richtungen interessant:

Was Maskierung bringt: Bleibt der Schlüssel im eigenen Haus und ist die Maskierung sauber, sind die Daten für den Empfänger — etwa einen KI-Anbieter — nach dieser Rechtsprechung nicht personenbeziehbar. Das Risiko-Delta liegt genau dort, wo man es haben will: Was beim Anbieter nie ankommt, kann dort weder durchsucht noch geleakt noch herausverlangt werden.

Was Maskierung nicht bringt: einen Freifahrtschein. Der EuGH sagt ausdrücklich: Beim Absender bleibt die Verarbeitung voll DSGVO-pflichtig, inklusive der Informationspflichten. Wer „wir haben anonymisiert" behauptet, solange irgendwo ein Mapping existiert, riskiert obendrein ein Transparenzproblem. Und: Das Hannoveraner Urteil betraf saubere Personalnummern — bei Freitext steht und fällt alles mit der Qualität der Maskierung. Ein Name, der durchrutscht, ist ein Personenbezug, der durchrutscht.

Dazu die ehrliche Einordnung: Ein Landgericht im Bußgeldverfahren ist keine abschließende deutsche Linie, und Datenschutz-Aufsichten haben Pseudonymisierung traditionell enger gesehen als die Gerichte — der EDSA-Entwurf vom Juli nähert sich den Gerichten zwar an, ist aber genau das: ein Entwurf in Konsultation. Korrekt formuliert heißt es also: Die Gerichte bestätigen die Empfängersicht, die Aufsicht schwenkt erkennbar ein — nicht: „Das ist rechtlich durch."

Wer Ihnen erzählt, Maskierung sei rechtlich wertlos, prüft nicht. Wer Ihnen erzählt, Maskierung erledige die DSGVO, prüft auch nicht. Beides ist Glauben, nur mit umgekehrtem Vorzeichen.

Selbst nachprüfen

• LG Hannover, 26.02.2025 – 128 OWiLG 1/24: Nachweis auf dejure.org
• EuGH, 04.09.2025 – C-413/23 P (EDSB/SRB): Volltext auf curia.europa.eu (Suche nach dem Aktenzeichen genügt)
• EuGH, 19.10.2016 – C-582/14 (Breyer): die Wurzel der relativen Betrachtung, ebenfalls curia.europa.eu
• Entwurf der EDSA-Leitlinien 02/2026 zur Anonymisierung — Konsultation bis 30.10.2026
• Und der praktische Teil der Frage — was in Ihren Dokumenten überhaupt drinsteckt, bevor irgendetwas maskiert ist: was-sieht-die-ki.de — zwei Minuten, keine Anmeldung.

Stefan