Startseite > Blog > Datenschutz und Pseudonymisierung

Datenschutz-Blog

Datenschutz und Pseudonymisierung

Der Europäische Datenschutzausschuss (European Data Protection Board, kurz EDPB) ist ein Gremium der EU, das für die einheitliche Anwendung und Überwachung der Datenschutz-Grundverordnung (DSGVO) zuständig ist. Er setzt sich aus Vertretern der nationalen Datenschutzbehörden der EU-Mitgliedstaaten sowie des Europäischen Datenschutzbeauftragten zusammen und hat das erklärte Ziel, die Rechte der Betroffenen zu stärken und einen einheitlichen Datenschutzstandard innerhalb der EU zu gewährleisten.

Der EDPB hat nun Richtlinien zur Pseudonymisierung von personenbezogenen Daten herausgegeben, die Unternehmen und Organisationen eine klare Anleitung zur effektiven Nutzung von Pseudonymisierung als datenschutzrechtliche Schutzmaßnahme gemäß der DSGVO geben sollen. Die wesentlichen Hinweise, die diese Richtlinien geben, betreffen neben der Eignung zur Erfüllung von DSGVO-Anforderungen auch technische Durchführungshinweise sowie Hinweise zu Folgen unvollständiger Pseudonymisierung.

Folgen unzureichender Pseudonymisierung

Eine wesentliche Klarstellung der Richtlinien ist, dass unvollständig pseudonymisierte Daten weiterhin als personenbezogene Daten im Sinne der DSGVO gelten. Unvollständig meint hier Daten, die in einer Art und Weise pseudonymisiert wurden, die eine Wiederherstellung der Zuordnung zu einer Person mit vertretbarem Aufwand ermöglicht. Dies hat folgende Konsequenzen:

• Geltung der Betroffenenrechte: Die Rechte der Betroffenen, wie Auskunft, Berichtigung oder Löschung (Kapitel III DSGVO), bleiben bestehen. Ausnahme: Der Verantwortliche kann nachweisen, dass er die Identität der betroffenen Person nicht feststellen kann (Art. 11 DSGVO).
• Verpflichtung zur Sicherung: Pseudonymisierte Daten müssen durch technische und organisatorische Maßnahmen so geschützt werden, dass die zusätzliche Information, die eine Reidentifikation ermöglicht, getrennt und gesichert aufbewahrt wird.
• Haftung bei Datenpannen: Ein unbefugter Zugriff, der die Reidentifikation erlaubt, gilt als Datenschutzverletzung und kann zu Meldepflichten gegenüber der Aufsichtsbehörde und den Betroffenen führen (Art. 33, 34 DSGVO).

Wie Pseudonymisierung hilft, die Anforderungen der DSGVO zu erfüllen

Die DSGVO fordert keine generelle Pseudonymisierung, empfiehlt sie jedoch in mehreren Artikeln und Erwägungsgründen (z. B. Art. 25, 32, Erwägungsgrund 28) als Schutzmaßnahme. Sie unterstützt insbesondere:

• Datenminimierung (Art. 5(1)(c)): Durch den Ersatz oder die Entfernung direkter Identifikatoren wird die Menge sensibler Daten reduziert.
• Datenschutz durch Technikgestaltung (Art. 25 DSGVO): Pseudonymisierung kann als Maßnahme dienen, um Datenschutz von Beginn an in Prozesse zu integrieren.
• Risikoreduzierung: Bei unbefugtem Zugriff erschwert Pseudonymisierung die Zuordnung von Daten zu Personen und minimiert damit potenzielle Schäden für die Betroffenen.
• Rechtskonformität bei Weitergabe: Beim Teilen von Daten mit Dritten (z. B. Dienstleistern oder Partnern) kann Pseudonymisierung sicherstellen, dass der Schutz personenbezogener Daten aufrechterhalten wird.
• Datensicherheit (Art. 32 DSGVO): Sie reduziert das Risiko, dass sensible Informationen bei Datenpannen offengelegt werden.

Zusätzlich kann Pseudonymisierung die Nutzung von Daten für sekundäre Zwecke (z. B. Forschung oder Statistiken) erleichtern, ohne die Identität der Betroffenen preiszugeben.

Hinweise zur technischen Umsetzung

Die Guidelines geben detaillierte Empfehlungen für die praktische Anwendung der Pseudonymisierung, einschließlich:

1. Grundlegende Maßnahmen:
   • Entfernung oder Ersetzung direkter Identifikatoren (z. B. Name, Adresse) durch Pseudonyme.
   • Speicherung zusätzlicher Informationen (z. B. Zuordnungstabellen oder kryptografische Schlüssel) separat und geschützt.
2. Techniken der Pseudonymisierung:
   • Kryptografische Methoden: Verwendung von Einwegfunktionen wie Hash-Algorithmen oder Verschlüsselung, die nur mit einem geheimen Schlüssel rückgängig gemacht werden können.
   • Lookup-Tabellen: Erstellung von Zuordnungstabellen, die eindeutige Pseudonyme generieren. Diese müssen sicher gespeichert und vor unbefugtem Zugriff geschützt werden.
   • Modifikation von Daten: Generalisierung (z. B. Altersgruppen statt Geburtsdatum) oder das Hinzufügen von „Rauschen“ zur Datenmasse.
3. Pseudonymisierungsdomäne:
   • Definition, wer Zugang zu den pseudonymisierten Daten und den zusätzlichen Informationen hat.
   • Einrichtung klarer Grenzen und Verantwortlichkeiten, z. B. durch vertragliche Regelungen mit Dritten.
4. Organisatorische Maßnahmen:
   • Schulung von Mitarbeitern, die mit pseudonymisierten Daten arbeiten.
   • Zugangsbeschränkungen und Protokollierung von Zugriffen auf pseudonymisierte Daten und Zusatzinformationen.
5. Langfristige Sicherheitsstrategie:
   • Regelmäßige Überprüfung der eingesetzten Algorithmen und Anpassung an neue Sicherheitsanforderungen.
   • Planung zur sicheren Erneuerung von Pseudonymen, falls Algorithmen veraltet sind.

Fazit

Für Unternehmen ist die Pseudonymisierung ein effektives Mittel, um datenschutzrechtliche Anforderungen zu erfüllen und gleichzeitig die Risiken für die Betroffenen zu minimieren. Sie ermöglicht es, Daten sicherer zu verarbeiten und bei Bedarf mit Dritten zu teilen, ohne die Privatsphäre der Betroffenen zu gefährden. Die jetzt veröffentlichten Richtlinien enthalten wertvolle Hinweise, wie Sie als Unternehmen oder Organisation in Mecklenburg-Vorpommern die Pseudonymisierung effizient umsetzen können. In allen Zweifelsfällen stehen Ihne die Experten von Datenschutz Nordost für weitere Tipps und Durchführungshinweise gerne zur Verfügung.