Was ist Pseudonymisierung?
Stell dir eine Kundenliste vor, in der statt „Anna Meier“ nur noch „K-4711“ steht. Die Zuordnung liegt in einer zweiten, gesicherten Tabelle. Das ist Pseudonymisierung. Art. 4 Nr. 5 DSGVO setzt dafür zwei Dinge voraus:
- Ohne Zusatzinformationen lässt sich niemand mehr zuordnen.
- Diese Zusatzinformationen liegen gesondert und sind technisch und organisatorisch geschützt.
Der Nutzen ist handfest: Sie senkt Risiken für Betroffene, und die DSGVO nennt sie in Art. 25 und Art. 32 ausdrücklich als geeignete Maßnahme. Eine allgemeine Pflicht gibt es nicht. Und allein reicht sie laut dem Europäischen Datenschutzausschuss (EDSA) normalerweise nicht aus.
Worin unterscheidet sie sich von Anonymisierung?
Das ist der wichtigste Punkt. Wer die Zusatzinformationen hat, kann die Person weiter bestimmen. Für ihn bleiben die Daten personenbezogen, sagt Erwägungsgrund 26. Für anonyme Daten gilt die DSGVO nicht, für pseudonyme schon.
Verfahren
Was passiert
Pseudonymisierung
Kennung ersetzt Name, Rückweg möglich
Anonymisierung
Person nicht mehr bestimmbar
Verschlüsselung
Inhalt geschützt, Schlüssel öffnet ihn
Hashing
Einwegfunktion, gleiche Eingabe gleicher Wert
Was hat das EuGH-Urteil von 2025 geändert?
Am 4. September 2025 entschied der Europäische Gerichtshof im Fall EDSB gegen SRB (C-413/23 P): Pseudonymisierte Daten sind nicht in jedem Fall und für jede Person personenbezogen. Kann ein Empfänger die Person wirksam nicht identifizieren, kann das für ihn anders aussehen.
Für dich als Verantwortlichen ändert das wenig. Die Informationspflicht richtet sich nach deiner Sicht beim Erheben der Daten, egal was der Empfänger kann. Der Fall betraf die Datenschutzregeln für EU-Einrichtungen, nicht direkt die DSGVO. Fachleute übertragen ihn trotzdem. Die Leitlinien des EDSA von Januar 2025, ein Entwurf, sind vor dem Urteil entstanden und klingen strenger.
Die EU verhandelt im Digital-Omnibus zudem über eine eigene Regel zur Pseudonymisierung. Das ist nur ein Vorschlag, das Parlament hat noch keine Position. Es gilt die heutige Rechtslage.
Wo begegnet dir das im Marketing?
- Kundenabgleich: Bei Custom Audiences und Erweiterten Conversions werden E-Mail oder Telefonnummer mit SHA-256 gehasht.
- Meta Pixel: Advanced Matching hasht Formulardaten automatisch.
- Webanalyse: In Google Analytics 4 vergibst du eine eigene User-ID, die Dritten keine Rückschlüsse auf die Person erlauben darf.
- Eigene Tabellen: Kundennummer statt Name im Auswertungs-Sheet.
Der Kundenabgleich funktioniert ja gerade, weil die Plattform dieselbe E-Mail kennt und denselben Hash bildet. Für sie ist das also keine Hürde. Du brauchst dafür weiter eine Rechtsgrundlage.
IP-Kürzung ist übrigens ein anderes Werkzeug. Tools wie Matomo entfernen dabei Teile der Adresse. Das ist eher Datenminimierung als Pseudonymisierung. Google sagt, GA4 protokolliere oder speichere keine IP-Adressen. Das heißt aber nicht, dass sie nie verarbeitet werden.
Beispiele aus der Praxis
Zwei Fälle der schwedischen Datenschutzbehörde IMY zeigen, wie schnell ein Pixel zum Problem wird. In beiden lief Metas Advanced Matching ungewollt.
Fall A · Schweden 2024
Avanza Bank
15 Mio. SEK
Bußgeld, rund 1,3 Mio. €
bis 1 Mio.
Betroffene
Gehashte und zum Teil Klartext-Daten gingen versehentlich an Meta.
Der Klartext-Anteil wog schwer. Das Bußgeld ist kein reiner Hash-Fall.
Fall B · Schweden 2024
Kry International
0 €
Geldbuße, nur Verwarnung
2 Jahre
Dauer der Übermittlung
Gehashte E-Mails und Telefonnummern gingen ungewollt an Meta: trotzdem ein Verstoß.
Das Hashing wirkte mildernd, hat den Verstoß aber nicht verhindert.
Häufige Fehler
Fehler 1 · „Pseudonym“ und „anonym“ gleichsetzen
Steht in der Datenschutzerklärung „anonymisiert“, obwohl nur eine Kennung den Namen ersetzt, stimmt die Aussage nicht.
Fehler 2 · Zuordnung und Daten am selben Ort
Liegt die Klarnamen-Tabelle im selben Zugriff wie die Auswertung, fehlt die gesonderte Aufbewahrung. Wer beides sehen kann, sieht die Person.
Fehler 3 · Pixel-Funktionen ungeprüft aktivieren
Ein Häkchen, und Formulardaten gehen an Meta. Prüf nach jeder Änderung, was dein Pixel wirklich sendet.
Fehler 4 · Das SRB-Urteil als Freibrief lesen
Es hilft nicht, wenn der Empfänger abgleichen kann. Und deine eigenen Pflichten bleiben.
So gehst du es richtig an
- Bestand prüfen: Welche Tools hashen oder kürzen bei dir etwas?
- Trennen: Halte die Zuordnung getrennt, mit eigenem Zugriff.
- Geheimnis einbauen: Für eigene Kennungen nutze einen geheimen Schlüssel statt einfachem SHA-256, das empfiehlt auch der EDSA.
- Sauber benennen: Schreib in der Datenschutzerklärung „pseudonymisiert“, wenn es das ist.
- Weiter schützen: Pseudonymisierung ist ein Baustein, kein Ersatz für Rechtsgrundlage und Einwilligung.
Häufige Fragen
Sind pseudonymisierte Daten noch personenbezogen?
Für dich als Verantwortlichen ja. Beim Empfänger kommt es nach dem EuGH auf die Umstände an, nämlich ob er die Person wirksam nicht identifizieren kann.
Ist eine gehashte E-Mail-Adresse anonym?
Nein. Hashing ist Pseudonymisierung. Wer dieselbe Adresse kennt, bildet denselben Hash und erkennt sie wieder. Genau darauf beruht der Kundenabgleich der Werbeplattformen.
Muss ich Daten pseudonymisieren?
Eine allgemeine Pflicht gibt es nicht. Art. 25 und Art. 32 nennen sie als geeignete Maßnahme. Je höher das Risiko, desto eher gehört sie dazu.
Ändert der Digital-Omnibus etwas daran?
Vielleicht. Die EU verhandelt über eine eigene Regel zur Pseudonymisierung, beschlossen ist nichts. Es gilt die heutige Rechtslage.
Quellen
- DSGVO: Art. 4
- DSGVO: Erwägungsgrund 26
- DSGVO: Art. 32
- EDSA: Leitlinien 01/2025 zur Pseudonymisierung
- EuGH: Pressemitteilung zu C-413/23 P
- IMY: Entscheidung Avanza Bank
- IMY: Entscheidung Kry International
- GI Sicherheit 2018: Studie zu gehashten E-Mail-Adressen
- Google Ads-Hilfe: Erweiterte Conversions
- Meta: Advanced Matching
- Google Analytics-Hilfe: IP-Anonymisierung
