Anonyme Daten fallen nicht unter die DSGVO – sie sind damit besonders attraktiv für Datenanalysen, Forschung und KI-Entwicklung. Die Grenze zwischen anonym und personenbezogen ist damit die vielleicht wichtigste Weichenstellung im Datenschutzrecht und gleichzeitig nicht leicht zu ziehen. Der Europäische Datenschutzausschuss (EDSA) hat dazu am 7. Juli 2026 die Leitlinien 02/2026 zur Anonymisierung zur öffentlichen Konsultation angenommen. Die Leitlinien konkretisieren den Begriff der personenbezogenen Daten (Art. 4 Nr. 1 DSGVO) und liefern einen Prüfrahmen. An mehreren Stellen gehen sie aber über den rechtlichen Maßstab hinaus, den der EuGH vorgibt. Wer Daten anonymisiert, sollte daher genau unterscheiden, wo die Leitlinien das Recht auslegen und wo sie strengere Empfehlungen aussprechen.
Warum eine neue Leitlinie?
Maßstab für die Anonymisierung war bislang die Stellungnahme 05/2014 der Artikel-29-Gruppe. Seither hat sich einiges verändert. Der EDSA nennt die Entwicklung der EuGH-Rechtsprechung – vor allem die SRB-Entscheidung des EuGH (Urteil vom 4. September 2025, Rs. C-413/23 P) –, den Aufbau EU-weiter Datenräume sowie Fortschritte bei KI und Technologie. Die Kriterien seien daher zu überarbeiten. Die Leitlinien sollen diese Neuerungen für die Praxis umsetzen. Die Abgrenzung zwischen anonymen und personenbezogenen Daten, die der EuGH im Einklang mit der DSGVO bestätigt hat, fällt in den Leitlinien indes deutlich strenger aus, sprich: Der Maßstab für anonyme Daten wird gegenüber der EuGH-Entscheidung angehoben.
Die öffentliche Konsultation lief bis zum 30. Oktober 2026. Unter anderem der Deutsche Anwaltverein hat Stellung genommen (Stellungnahme Nr. 73/2026). Er kritisiert vor allem, dass die Leitlinien an mehreren Stellen strengere Maßstäbe setzen als DSGVO und EuGH (https://anwaltverein.de/newsroom/sn-73-26-zu-den-leitlinien-02-2026-zur-anonymisierung-des-europaeischen-datenschutzausschusses). Unsere Partnerin Dr. Kristina Schreiber war als Berichterstatterin an der Ausarbeitung dieser Stellungnahme beteiligt.
Für wen sollen die Daten anonym sein?
Der Kerntest besteht aus zwei Fragen: Bezieht sich die Information auf eine natürliche Person, und ist diese Person identifiziert oder identifizierbar? Lautet eine der Antworten „nein“, sind die Daten anonym. In Umsetzung der EuGH-Rechtsprechung sei diese Beurteilung perspektivenabhängig: Daten können für manche Stellen anonym sein und für andere Personenbezug haben.
Ob sich eine Information auf eine natürliche Person bezieht, wird anhand ihres Inhalts, Zwecks und Effekts bestimmt. Der Bezug muss nicht offensichtlich sein und kann eine weitergehende Analyse erfordern – etwa bei Standortdaten von Taxis, die zur Routenoptimierung erhoben werden, aber auch Leistung und Pausenzeiten der Fahrer sichtbar machen.
Eine Person gilt als identifizierbar, wenn sie durch Mittel identifiziert werden kann, die nach allgemeinem Ermessen wahrscheinlich genutzt werden. „Mittel“ reichen von der einfachen Websuche bis zur komplexen Expertenanalyse. Auch vertragliche Vereinbarungen über den Einsatz etwaiger Mittel können eine Rolle spielen. Nach dem EDSA sollen sie technische Maßnahmen aber nur ergänzen und müssen verlässlich, überprüfbar und durchsetzbar sein. Das greift zu kurz: Der EuGH stellt auf alle Umstände ab, die beeinflussen, ob eine Identifizierung wahrscheinlich ist. Wirksame und sanktionsbewehrte Vertragsverbote können eine Re-Identifizierung ebenso unwahrscheinlich machen wie technische Maßnahmen. Einen Vorrang der Technik kennt die Rechtsprechung nicht.
Wichtig: Damit eine Person „nicht identifizierbar“ ist, muss das Identifizierungsrisiko nicht null sein, sondern in der Realität unbedeutend („insignificant“), etwa weil die Identifizierung unmöglich wäre oder einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft erfordern würde (vgl. Erwägungsgrund 26 DSGVO). Nach dem EuGH bleiben zudem Identifizierungsmittel außer Betracht, deren Einsatz gesetzlich verboten ist. Die Leitlinien übernehmen das, stützen es aber nur auf die Annahme, dass sich die Beteiligten rechtstreu verhalten. Diese Annahme soll widerlegbar sein, wenn konkrete Anhaltspunkte dafür bestehen, dass verbotene Mittel dennoch eingesetzt werden. Solche Anhaltspunkte sind etwa, dass das Verbot nicht wirksam überwacht und durchgesetzt wird, dass sich der Verstoß lohnt, dass die Daten mangels Schutz leicht rechtswidrig zugänglich sind oder dass das Verbot in vergleichbaren Fällen schon umgangen wurde. Damit wird eine deutlich größere Kontrolllast auf den Verantwortlichen verlagert als nach EuGH und Erwägungsgrund 26 DSGVO geboten.
Als relevante Perspektiven nennt der EDSA auch Cyberkriminelle und ausländische Geheimdienste. Zwar muss auch hier ein reales Identifizierungsrisiko bestehen – wenn aber nahezu jede Perspektive mitgedacht werden muss, droht der kontextbezogene Ansatz faktisch wieder zu einem globalen zu werden.
Der Prüfrahmen für anonyme Daten
Der Prüfrahmen kann auf zwei Arten angewandt werden: kontextbezogen, also unter Berücksichtigung der unterschiedlichen Fähigkeiten der Stellen, die identifizieren könnten, oder – nach dem EDSA – „vereinfacht“, ohne diese Unterschiede, im sogenannten „simplified approach“. Der kontextbezogene Ansatz spiegelt die vollen Nuancen des rechtlichen Standards und kommt zu Einzellösungen.
Der vereinfachte Ansatz ist kein alternativer Rechtsstandard. Er legt einen einheitlich hohen Maßstab an und geht damit, wie der EDSA selbst einräumt, tendenziell über das rechtlich Notwendige hinaus. Er soll der schnellen Vorabprüfung dienen: Scheitert die Re-Identifizierung schon hier, seien die Daten sicher anonym. Der EDSA empfiehlt, zunächst vereinfacht zu prüfen und – wenn sich Re-Identifizierungsmethoden zeigen – in den kontextbezogenen Ansatz zu wechseln. Überzeugend ist das nicht. Personenbezug lässt sich nicht „vorsorglich“ annehmen: Andere Rechtsakte wie der Data Act knüpfen gerade an nicht personenbezogene Daten an, und auch die DSGVO selbst verlangt eine klare Antwort, etwa bei den Informations- und Auskunftspflichten (Art. 13, 15 DSGVO). Ein negatives Ergebnis im vereinfachten Ansatz belegt deshalb keinen Personenbezug. Maßgeblich bleibt allein die kontextbezogene Prüfung.
In drei Prüfschritten zum Ergebnis
Der EDSA hat drei Prüfschritte entwickelt, die sich an klassischen Re-Identifizierungstechniken orientieren. Er beschreibt sie allerdings nach dem vereinfachten Ansatz; den konkreten Kontext führt er erst im Anschluss wieder ein.
- No Record Isolation: Lässt sich eine einzelne Person aus dem Datensatz herausfiltern? Das Kriterium ist erfüllt, wenn die Daten keine eindeutige Attributkombination zu einer einzelnen Person enthalten.
- No Linkage: Lässt sich ein Datensatz mit einem Datensatz aus einer anderen Quelle verknüpfen, der sich mit hoher Wahrscheinlichkeit auf dieselbe Person bezieht?
- No Inference: Lassen sich spezifische und aussagekräftige Rückschlüsse zu einzelnen Personen ziehen? Ausdrücklich adressiert werden dabei KI-Modelle, die bei gezieltem Prompting personenbezogene Rückschlüsse zulassen.
Sind alle drei Fragen mit „nein“ zu beantworten, gelten die Daten als anonym. Die Verletzung eines Kriteriums schließt Anonymität nicht aus, erfordert aber eine vertiefte Prüfung. Für alle Kriterien gilt derselbe Wirksamkeitsmaßstab: Eine Re-Identifizierungstechnik sei nach ihrer Fähigkeit zu treffsicheren Ergebnissen zu beurteilen. Absolute Gewissheit sei nicht erforderlich, wohl aber eine im konkreten Kontext hinreichend hohe Zuverlässigkeit, um die Person zu unterscheiden und anders zu behandeln.
Wie weit reicht das Rückschlusskriterium?
Das Rückschlusskriterium geht am weitesten: Anders als die ersten beiden Kriterien ist es nicht unmittelbar in den Erwägungsgründen der DSGVO angelegt. Auch der EuGH hat sich – soweit ersichtlich – bisher nicht ausdrücklich zu Szenarien geäußert, in denen eine Identifizierung aufgrund von Rückschlüssen möglich ist. Er prüft lediglich, ob insgesamt Mittel nach allgemeinem Ermessen wahrscheinlich genutzt werden. Der EDSA interpretiert dies so, dass auch Rückschlüsse ein solches „Mittel“ sein können. Das ist nicht unplausibel, aber eine Konkretisierung, die der EuGH bislang nicht vorgenommen hat.
Übersetzung in die Praxis
Die Leitlinien strukturieren die Anonymitätsprüfung, beantworten jedoch nicht, wann ein Identifizierungsrisiko konkret „unbedeutend“ ist. In der Praxis bleiben damit zahlreiche Detailfragen, für deren Rahmung und Dokumentation die Leitlinien eine Orientierung bieten, soweit sie den rechtlichen Maßstab wiedergeben.
Für Organisationen folgen daraus drei Aufgaben.
- Bestandsschutz nutzen, Neues neu ausrichten: Wer bereits nach der Stellungnahme 05/2014 bewertet hat, muss nicht nachprüfen; neue Vorhaben sollten den neuen Prüfrahmen nutzen, sich aber am kontextbezogenen Maßstab des EuGH ausrichten.
- Periodisch neu bewerten: Durch neue Re-Identifizierungstechniken und zusätzliche Datenquellen kann das, was gestern anonym war, morgen personenbezogen sein. Steigt die Wahrscheinlichkeit einer Re-Identifizierung über die Unbedeutsamkeitsschwelle, sind die Daten wieder personenbezogen – mit voller Verantwortlichkeit für jede weitere Verarbeitung. Die frühere Verarbeitung der damals anonymen Daten unterliegt dadurch aber nicht nachträglich der DSGVO. Eine periodische Neubewertung ist daher nicht nur empfehlenswert, sondern praktisch geboten.
- Dokumentieren: Der Anonymisierungsvorgang einschließlich der Tests ist zu dokumentieren, und zwar über den Abschluss hinaus – nur so lässt sich die Wirksamkeit später belegen.
Da die Leitlinien nach der Konsultation noch überarbeitet werden, ist mit Änderungen zu rechnen. Die Grundstruktur dürfte jedoch Bestand haben. Wer seine Anonymisierungskonzepte schon jetzt anhand dieses Prüfrahmens strukturiert, dabei aber den kontextbezogenen Maßstab des EuGH anlegt und die Prüfung dokumentiert, ist gut vorbereitet.
Bei Fragen zur Anonymisierung, datenschutzrechtlichen Erlaubnis oder anderen Daten(schutz)rechtsthemen, sprechen Sie uns gerne an!