Pseudonymisierung vs. Anonymisierung: der Unterschied, der Geld wert ist

Anonymisierung entfernt den Personenbezug unumkehrbar. Die DSGVO gilt danach nicht mehr (Erwägungsgrund 26), aber für den Arbeitsalltag ist das Ergebnis oft nutzlos: Sie müssen ja wissen, wem Sie antworten. Pseudonymisierung (Art. 4 Nr. 5 DSGVO) ersetzt identifizierende Angaben durch Platzhalter, während der Zuordnungsschlüssel getrennt aufbewahrt wird. Die Daten bleiben personenbezogen, aber die Maßnahme ist als Schutzmaßnahme anerkannt (Art. 25, 32). Für die KI-Arbeit ist das der praktikable Mittelweg: Das Sprachmodell bekommt nur Platzhalter zu sehen, und das Ergebnis lässt sich lokal wieder den echten Personen zuordnen. Seit dem EuGH-Urteil C-413/23 P vom 4. September 2025 ist zudem höchstrichterlich bestätigt, dass pseudonymisierte Daten für einen Empfänger, der keine realistische Möglichkeit hat, den Schlüssel zu erlangen, nicht-personenbezogen sein können. Der Unterschied zwischen beiden Begriffen entscheidet damit über die Rechtsgrundlage Ihrer KI-Nutzung und ist deshalb im Wortsinn Geld wert.

Was ist der Unterschied zwischen Anonymisierung und Pseudonymisierung?

Anonymisierung macht den Personenbezug unumkehrbar weg — niemand kann die Person rekonstruieren, die DSGVO ist nicht mehr anwendbar. Pseudonymisierung ersetzt Namen und Kennungen durch Platzhalter und behält einen getrennt aufbewahrten Zuordnungsschlüssel: umkehrbar, weiter DSGVO-pflichtig, aber als Schutzmaßnahme anerkannt — und im Tagesgeschäft deutlich nützlicher.

	Anonymisierung	Pseudonymisierung
Umkehrbar?	Nein — Personenbezug ist weg	Ja — über den getrennt aufbewahrten Schlüssel
DSGVO anwendbar?	Nein (ErwG 26)	Ja — aber anerkannte Schutzmaßnahme (Art. 25, 32)
Typischer Einsatz	Weitergabe nach außen (Schwärzen)	KI-Arbeit, deren Ergebnis mit echten Namen zurückkommen soll
Nutzen fürs Tagesgeschäft	Gering — Kontext geht verloren	Hoch — Antwort bleibt zuordenbar

Warum ist das „der Unterschied, der Geld wert ist“?

Weil er über die Rechtsgrundlage Ihrer KI-Nutzung entscheidet. Der EuGH hat am 4. September 2025 (C-413/23 P) den relativen Personenbezug bestätigt: Erhält ein Empfänger pseudonymisierte Daten ohne realistische Möglichkeit, den Zuordnungsschlüssel zu erlangen, können die Daten für ihn nicht-personenbezogen sein. Die EDPB Guidelines 02/2026 (verabschiedet am 7. Juli 2026) betonen dafür das Trennungsgebot — Schlüssel und Daten müssen getrennt bleiben. Genau das leistet lokale Pseudonymisierung: Der Schlüssel verlässt Ihr Haus nie.

Und warum nicht einfach Originalangaben in die Cloud?

Weil die Übermittlungs-Grundlagen wackeln — zum dritten Mal. Safe Harbor wurde 2015 vom EuGH gekippt (Schrems I), der Privacy Shield 2020 (Schrems II). Das Data Privacy Framework gilt formal noch, aber im Juni 2026 verhandelte der US Supreme Court über die Unabhängigkeit der FTC („Trump v. Slaughter“) — der EU-Angemessenheitsbeschluss stützt sich 259-mal auf genau diese Behörde, und noyb hat eine Klage angekündigt. Wer seine Kundendaten-Prozesse darauf baut, Originalangaben in die USA zu übermitteln, baut auf Sand.

Welche Werkzeuge es für die Pseudonymisierung gibt — von Regex bis zum lokalen Ensemble — vergleicht der Beitrag Pseudonymisieren vor der KI.