Anonymisierung im Sinne der DS-GVO: Die EDPB-Leitlinien 02/2026 im Überblick
06.08.2026
Zusammenfassung
Die neuen EDPB-Leitlinien 02/2026 konkretisieren, wann Daten im Sinne der DS-GVO tatsächlich als anonym gelten und grenzen dies klar von der Pseudonymisierung ab, die weiterhin dem Datenschutzrecht unterliegt. Kern ist ein dreistufiger Prüfrahmen (Vereinzelung, Verknüpfbarkeit, Inferenz), ergänzt um zwei Bewertungsansätze (kontextuell vs. vereinfachend), aus denen Verantwortliche wählen können, aber ihre Entscheidung begründen müssen. Insgesamt wird Anonymisierung als fortlaufender, dokumentationspflichtiger Prozess verstanden, dessen Ergebnisse regelmäßig überprüft und für Weitergaben an Dritte belastbar nachgewiesen werden müssen.
5 Minuten Lesezeit
Am 7. Juli 2026 hat der Europäische Datenschutzausschuss (EDSA/EDPB) die Leitlinien 02/2026 zur Anonymisierung als Entwurf für die öffentliche Konsultation veröffentlicht. Das Dokument aktualisiert die bisherige Orientierung der Artikel-29-Gruppe und trägt damit rechtlichen wie technologischen Entwicklungen der vergangenen Jahre Rechnung. Es stellt einen strukturierten Bewertungsrahmen bereit, der klarstellt, wann Daten als wirklich anonym gelten – und welche Anforderungen Verantwortliche dabei erfüllen müssen.
Rechtlicher Rahmen
Die DS-GVO definiert Anonymisierung nicht ausdrücklich im Normtext. Maßgeblich ist Erwägungsgrund 26: Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, fallen nicht in den Anwendungsbereich der Verordnung. Gelingt eine wirksame Anonymisierung, entfallen damit u. a. die Pflicht zur Rechtsgrundlage, Informationspflichten gegenüber Betroffenen sowie Regelungen zu Aufbewahrungsfristen und Drittlandübermittlungen.
Davon zu unterscheiden ist die Pseudonymisierung nach Art. 4 Nr. 5 DS-GVO. Pseudonymisierte Daten gelten weiterhin als personenbezogen, da eine Rückführung auf die betroffene Person – wenn auch mit zusätzlichem Aufwand – grundsätzlich möglich bleibt. Sie unterliegen der DS-GVO in vollem Umfang. In der Praxis wird dieser Unterschied nicht immer trennscharf gezogen, was die Leitlinien ausdrücklich adressieren.
Der Prüfrahmen des EDPB
Das Kernstück der Leitlinien bildet ein dreistufiger, kumulativer Prüfrahmen. Alle drei Kriterien müssen verneint werden können, damit ein Datensatz als anonym gilt:
Vereinzelung (No Record Isolation): Ist es möglich, einzelne Datensätze einer bestimmten Person zuzuordnen oder aus dem Gesamtdatensatz zu isolieren?
Verknüpfbarkeit (No Linkage): Können die Daten mit anderen – auch öffentlich zugänglichen – Informationen kombiniert werden, um eine Person zu identifizieren?
Inferenz (No Inference): Lassen sich aus dem Datensatz Rückschlüsse auf individuelle Eigenschaften einer bestimmten Person ziehen, auch ohne direkte Identifikation?
Für die Durchführung dieser Prüfung sehen die Leitlinien zwei Varianten vor: Der kontextuelle Ansatz berücksichtigt die spezifischen Fähigkeiten und Ressourcen konkreter Empfänger oder Dritter – er ist differenzierter, erfordert aber eine eingehendere Analyse. Der vereinfachte Ansatz geht pauschal von einer potenziell möglichen Re-Identifizierung aus und ist damit konservativer. Verantwortliche können zwischen beiden Varianten wählen, müssen ihre Entscheidung jedoch begründen können.
Anonymisierung als Prozess und Abgrenzung zur Pseudonymisierung
Die Leitlinien machen deutlich, dass Anonymisierung kein einmaliger technischer Vorgang ist, sondern ein fortlaufender Prozess. Verantwortliche sind gehalten, die Wirksamkeit von Anonymisierungsmaßnahmen regelmäßig zu überprüfen, da sich externe Faktoren – etwa verfügbare Zusatzdatensätze oder neue Analysemethoden – verändern können. Was heute als anonym gilt, kann morgen unter geänderten Rahmenbedingungen re-identifizierbar sein.
Besonders kritisch ist die Abgrenzung zur Pseudonymisierung nach Art. 4 Nr. 5 DS-GVO: Pseudonymisierte Daten gelten weiterhin als personenbezogen und unterliegen vollumfänglich der DS-GVO. Ein häufiger Fehler in der Praxis ist es, Datensätze als anonym zu behandeln, die lediglich pseudonymisiert wurden – etwa durch einfaches Hashing ohne zusätzliche Schutzmaßnahmen. Die neuen Leitlinien schärfen dieses Bewusstsein und erhöhen die Anforderungen an eine belastbare Begründung.
Für die Compliance bedeutet das: Der Anonymisierungsprozess muss dokumentiert, nachvollziehbar und revisionssicher sein. Wer Datensätze an Dritte weitergibt, die als anonym eingestuft wurden, sollte dieses Ergebnis auf Basis des EDPB-Prüfschemas belegen können.
Rechtsgrundlage für die Anonymisierung besonderer Kategorien personenbezogener Daten
Folgt man dem Leitlinienansatz und versteht Anonymisierung als eigenen Verarbeitungsschritt, hat das Konsequenzen für besondere Kategorien von Daten: Solange noch besondere Kategorien personenbezogener Daten verarbeitet werden, braucht auch die Anonymisierung eine Rechtsgrundlage nach Art. 9 Abs. 2 DS GVO. Das berechtigte Interesse trägt hier nur ausnahmsweise (etwa im Forschungsprivileg), in vielen anderen Fällen wird man praktisch auf die ausdrückliche Einwilligung der Betroffenen als Rechtsgrundlage für die Anonymisierung zurückgreifen müssen.
Anonymisierung im Auftragsverhältnis
Vor diesem Hintergrund lässt sich aus den Leitlinien eine praxisnahe Schlussfolgerung für das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern ziehen: Wird der Anonymisierungsschritt als Teil der Verarbeitung verstanden, ist er im Auftragsverhältnis nicht automatisch „mitgemeint“. Er muss als eigener Verarbeitungsschritt ausdrücklich in der AVV beschrieben und von der Rechtsgrundlage des Verantwortlichen gedeckt sein. Veranlasst der Dienstleister die Anonymisierung hingegen eigenständig, um die daraus entstehenden anonymen Daten für eigene Zwecke zu nutzen, legt er damit selbst Zwecke und Mittel fest und agiert als Verantwortlicher – für diesen Verarbeitungsschritt der Anonymisierung benötigt er eine eigene Rechtsgrundlage. Unabhängig davon sollten Betroffene darüber informiert werden, dass und zu welchem Zweck ihre Daten anonymisiert werden.
Fazit
Die EDPB-Leitlinien 02/2026 schaffen dringend benötigte Klarheit in einem der praktisch bedeutsamsten Bereiche des Datenschutzrechts. Der dreiteilige Anonymisierungstest, kombiniert mit der Pflicht zur periodischen Neubewertung, setzt einen verbindlichen Maßstab, der über bisherige Orientierungen deutlich hinausgeht. Die vollständigen Leitlinien finden Sie hier.
