Ein lokales Pseudonymisierungs-Tool zum Ersetzen und Wiederherstellen

Was ist Pseudonymisierung nach Art. 4 Nr. 5 DSGVO?

Nach Art. 4 Nr. 5 DSGVO bezeichnet Pseudonymisierung die Verarbeitung personenbezogener Daten in einer Weise, dass ihre Zuordnung zu einer bestimmten Person zusätzliche Informationen erfordert. Diese zusätzlichen Informationen müssen gesondert aufbewahrt und durch technische und organisatorische Maßnahmen geschützt werden. Einen Namen durch einen Code zu ersetzen ist ein möglicher Schritt; wie der umgebende Text und die Zuordnungstabelle gehandhabt werden, ist ebenso wichtig. [1][5]

Stellen Sie sich ein Prüfdokument vor, in dem aus Elena [first_name_1] wird. Eine lesende Person kann den Handlungen dieser Person folgen, ohne den Namen in jedem Absatz zu sehen. Eine gesondert geführte Zuordnung zwischen Elena und dem Platzhalter erlaubt einer berechtigten Person, den Namen bei Bedarf wieder einzusetzen.

Der praktische Nutzen liegt im selektiven Zugang zu Details. Wer einen Brief redigiert, kann mit dem Wortlaut arbeiten, während die für den Brief verantwortliche Person die identifizierenden Werte behält. Legen Sie zunächst fest, was die prüfende Person wissen muss und ob eine spätere Rückkehr zu diesen Werten einem legitimen Zweck dient.

Pseudonymisierung und Anonymisierung: die entscheidende Abgrenzung

Der EDSA unterscheidet Pseudonymisierung, die die Verknüpfbarkeit einer Person verringert, von Anonymisierung, die die Identifizierbarkeit aufhebt. Wirklich anonyme Informationen fallen nicht unter das EU-Datenschutzrecht. Das bloße Vorhandensein von Platzhaltern belegt dieses Ergebnis noch nicht. [2]

Für eine Organisation, die die Datensätze mithilfe gesondert aufbewahrter Informationen wieder Personen zuordnen kann, bleiben diese Datensätze personenbezogene Daten. Pseudonymisierung ist eine Schutzmaßnahme, keine automatische Befreiung von den für die Verarbeitung geltenden Pflichten. Bewerten Sie den vorgesehenen Empfänger und Kontext, bevor Sie Aussagen über eine bestimmte Offenlegung treffen. [1]

Der Europäische Gerichtshof hat am 4. September 2025 (C-413/23 P) klargestellt, dass pseudonymisierte Daten für einen Empfänger, der die Zuordnung nicht aufheben kann, nicht automatisch personenbezogen sind; für den Verantwortlichen mit Zugriff auf die Zuordnung bleiben sie es. Das stützt den Ansatz, die Zuordnung ausschließlich lokal zu halten. Es macht aber nicht jeden Text mit Platzhaltern für den Empfänger anonym, wenn der Kontext eine Person verrät. [4]

Das Löschen einer Zuordnungstabelle beweist nicht, dass jeder Weg zur Identifizierung verschwunden ist. Das Originaldokument kann weiterhin existieren, oder der Text kann einen wiedererkennbaren Vorfall beschreiben. Eine namentlich nicht genannte Mitarbeiterin, die letzte Woche eine öffentlich angekündigte Auszeichnung erhalten hat, lässt sich anhand dieser Beschreibung möglicherweise weiterhin leicht identifizieren.

Entscheiden Sie in der Praxis, ob Sie eine vorübergehende Ersetzung zum Redigieren, eine kontrollierte Verknüpfung für Auswertungen oder ein als anonym bewertetes Ergebnis benötigen. Das sind unterschiedliche Ziele. Eine kurze Dokumentenprüfung und eine Forschungsdatenbank mit jahrelanger Nachverfolgung erfordern unterschiedliche Vorkehrungen.

Pseudonymisierungsmethoden: Platzhalter, Tokens, Hashing und Verschlüsselung

Zu den Methoden zählen Tokenisierung, Hashing und Verschlüsselung. Tokens ersetzen einen Identifikator durch einen anderen Wert und können eine gesondert kontrollierte Zuordnungstabelle nutzen. Hashing leitet einen Wert aus einer Eingabe ab; vorhersehbare Eingaben und ungeschütztes Hashing können Rateangriffe ermöglichen. Verschlüsselung kann Identifikatoren mithilfe eines Schlüssels umwandeln. Ob eine Methode geeignet ist, hängt von ihrer Gestaltung und ihren Schutzmaßnahmen ab. [3]

Für Fließtext bieten lesbare Platzhalter eine nützliche Darstellung. Ein Satz mit [first_name_1] und [first_name_2] lässt sich leichter bearbeiten als einer mit langen, undurchsichtigen Identifikatoren. Die Bezeichnungen verraten allerdings auch Kategorien – entscheiden Sie deshalb, ob es angemessen ist offenzulegen, dass ein Wert ein Name oder eine Kontonummer ist.

DataAnonymiser ersetzt erkannte Werte durch beschriftete Platzhalter und unterstützt die lokale Wiederherstellung aus der Sitzungszuordnung. Diese Platzhalter sind keine verschlüsselten Versionen des gesamten Dokuments. Der umgebende Text bleibt lesbar und braucht eine eigene Prüfung.

Nur einen Teil eines Werts zu maskieren – etwa mehrere Ziffern einer Kontonummer sichtbar zu lassen – dient einem anderen praktischen Zweck als das vollständige Ersetzen des Werts. Für eine Korrekturlese-Aufgabe können selbst diese letzten Ziffern unnötig sein. Wählen Sie, was die Aufgabe braucht, statt Details zu behalten, nur weil eine bestimmte Maskierung das zulässt.

Die ICO-Quelle beschreibt diese Methoden im britischen Kontext und ist derzeit infolge von Gesetzesänderungen als in Überarbeitung gekennzeichnet. Sie liefert hier technischen Hintergrund und wird nicht als Aussage zum EU-Recht oder als Produktzertifizierung dargestellt. [3]

Beispiel 1: ein Dokument prüfen, ohne den Überblick über die Beteiligten zu verlieren

Die folgenden Beispiele verwenden fiktive Details und veranschaulichende Ersetzungen. Sie zeigen die Entscheidungen innerhalb eines Workflows, nicht gemessene Produktergebnisse oder einen Nachweis rechtlicher Anonymität.

Original: „Elena schickt Jonas den Entwurf. Jonas schickt Elena seine Kommentare zurück, bevor die Prüfsitzung stattfindet.“

Vorbereiteter Text: „[first_name_1] schickt [first_name_2] den Entwurf. [first_name_2] schickt [first_name_1] seine Kommentare zurück, bevor die Prüfsitzung stattfindet.“

Eine prüfende Person kann die Abfolge der Zuständigkeiten kontrollieren, ohne die Namen zu sehen. Würden beide Personen durch dieselbe Lücke ersetzt, ginge diese Unterscheidung verloren. Eine Bitte, den Absatz zu kürzen, kann ausdrücklich verlangen, die Platzhalter und die Zuordnung der Handlungen zu erhalten.

Prüfen Sie Aliasnamen und Schreibvarianten gesondert. Ein Vorname, Nachname und eine E-Mail-Adresse können dieselbe Person meinen, ohne derselbe extrahierte Wert zu sein. Konsistente Ersetzung ist keine Garantie für eine korrekte Identitätsauflösung. Lesen Sie das Ergebnis, um zu bestätigen, dass es die beabsichtigten Beziehungen weiterhin ausdrückt.

Beispiel 2: eine Antwort entwerfen mit lokaler Rückkehr zu den echten Werten

Original: „Lena unter lena@example.com hat eine doppelte Rechnung gemeldet. Amir prüft die Abrechnungsunterlagen und meldet sich bei Lena mit einem Update.“

Vorbereiteter Text: „[first_name_1] unter [email] hat eine doppelte Rechnung gemeldet. [first_name_2] prüft die Abrechnungsunterlagen und meldet sich bei [first_name_1] mit einem Update.“

Die Aufgabenstellung könnte lauten: „Schreib eine kurze Eingangsbestätigung an [first_name_1]. Sage, dass [first_name_2] die Angelegenheit prüfen wird. Behalte die Platzhalter exakt bei und erfinde keine Rückerstattungsentscheidung oder Frist.“

Eine veranschaulichende Antwort lautet: „Hallo [first_name_1], danke, dass Sie die doppelte Rechnung gemeldet haben. [first_name_2] prüft die Abrechnungsunterlagen und meldet sich mit einem Update.“ Die lokale Wiederherstellung kann Lena und Amir wieder einsetzen, solange die relevante Sitzungszuordnung verfügbar bleibt.

Die Zuordnung sollte nicht Teil des für den Entwurf bereitgestellten Materials sein. Prüfen Sie die Nachricht nach der Wiederherstellung auf korrekte Namen, Zuständigkeiten und Aussagen. Der Rückwärtsschritt ersetzt erkannte Tokens; er kann nicht feststellen, ob der Entwurf die richtige Person für eine Aufgabe verantwortlich gemacht hat.

Beispiel 3: erkennen, wann ein Forschungs-Workflow einen dauerhaften Identifikator braucht

Stellen Sie sich eine Studie vor, die Fragebogenantworten über drei Termine hinweg vergleicht. Ein Teilnehmercode erlaubt berechtigten Forschenden, die Termine zu verknüpfen, ohne den Namen der teilnehmenden Person in jeder Analysedatei anzuzeigen. Die Zuordnungstabelle, die Zugriffsregelungen und die Aufbewahrungsfristen sind Teil des Studiendesigns.

Diese Anforderung unterscheidet sich vom Redigieren eines Dokuments in einer einzigen Arbeitssitzung. Forschende müssen einen Code unter Umständen Monate später wieder einer teilnehmenden Person zuordnen und diese Person während der gesamten Studie von allen anderen unterscheiden können. Dafür brauchen sie einen genehmigten Prozess, der diese Kontinuität sicherstellt.

Die Sitzungszuordnung von DataAnonymiser ist kein dauerhaftes Teilnehmerregister. Verlassen Sie sich nicht darauf, dass ein Platzhalter wie [first_name_1] über unabhängige Durchläufe hinweg eine feste Identität darstellt. Dieselbe Bezeichnung in einem anderen Dokument belegt nicht, dass sich beide Dokumente auf dieselbe Person beziehen.

Ein Dokumenten-Tool kann trotzdem helfen, einen bestimmten Ausschnitt zur Prüfung vorzubereiten, ersetzt aber nicht den Identitätsmanagement-Prozess der Studie. Legen Sie fest, welches System für die langfristige Verknüpfung zuständig ist, bevor Sie entscheiden, wie einzelne Dokumente umgewandelt werden.

Was geschieht mit der Zuordnung, wenn die Sitzung endet?

Im eigenständigen Desktop-Workflow hält DataAnonymiser die Zuordnung zwischen Platzhaltern und Originalwerten während der Arbeitssitzung im Arbeitsspeicher. Diese Zuordnung wird nicht auf die Festplatte geschrieben. Schließt die App und geht die Zuordnung verloren, stellt das erneute Öffnen der Ausgabe diese Zuordnung nicht wieder her.

Schließen Sie jede benötigte Wiederherstellung ab, solange die relevante Zuordnung verfügbar ist. Behalten Sie Schreibweise und Nummerierung der Platzhalter in der Antwort bei. Ändert eine prüfende Person oder das Modell ein Token, kann der Rückwärtsschritt es nicht zuordnen. Werden zwei gültige Tokens vertauscht, können beide erfolgreich wiederhergestellt werden, während die falschen Werte den Sätzen zugeordnet werden.

Die praktische Grenze ist die von der App erstellte Zuordnung. Das Schließen von DataAnonymiser löscht weder das ursprüngliche Quelldokument noch eine anderswo gespeicherte Kopie noch Informationen, die eine andere Person bereits kennt. Die Speicherung nur für die Sitzung begrenzt also die Lebensdauer der Zuordnungstabelle – sie ist keine Garantie dafür, dass niemand eine Person anhand des verbleibenden Materials identifizieren kann.

Sobald Werte wiederhergestellt wurden, enthält das Ergebnis diese Details erneut. Entscheiden Sie, wohin dieses endgültige Dokument gehört, bevor Sie es in eine andere Anwendung kopieren. Ein Workflow kann die Eingabe für den Entwurf minimieren und trotzdem einen sorgfältigen Umgang mit der fertigen Ausgabe erfordern.

Ein fünfstufiger Pseudonymisierungs-Workflow für die Dokumentenprüfung

1. Definieren Sie die Prüfaufgabe. Bestimmen Sie Empfänger, benötigten Kontext und ob eine Wiederherstellung nötig ist. Eine Grammatikprüfung, eine Zusammenfassung von Aufgaben und eine Langzeitanalyse haben unterschiedliche Informationsanforderungen. Wählen Sie den kleinsten Ausschnitt, der die Aufgabe unterstützen kann.

2. Bereiten Sie den Text vor. Lassen Sie das relevante Material durch DataAnonymiser laufen und prüfen Sie die Ersetzungen. Enthält Ihr Plan benutzerdefinierte Begriffe, fügen Sie sensible Kundenreferenzen oder interne Namen hinzu, die spezifisch für die Arbeit sind. Prüfen Sie, dass unterschiedliche Personen unterscheidbar bleiben.

3. Prüfen Sie, was übrig bleibt. Achten Sie über Namen und Kontaktdaten hinaus auf Berufsbezeichnungen, Orte, Daten und unverwechselbare Ereignisse. Entfernen Sie unnötige Passagen manuell, wenn sie zu viel preisgeben. Klären Sie Restrisiko-Warnungen und unvollständige Erkennung, bevor Sie über die Weitergabe entscheiden.

4. Teilen Sie die geprüfte Version über den genehmigten Workflow. Halten Sie Original und Zuordnung getrennt von dem, was die empfangende Person erhält. Prüfen Sie begleitende Anhänge, zitierte Nachrichten und Dateinamen. Ist ein Rückgabeschritt geplant, weisen Sie die empfangende Person an, jeden Platzhalter unverändert zu lassen.

5. Stellen Sie wieder her und verifizieren Sie. Bringen Sie die bearbeitete Antwort zurück, solange die relevante Zuordnung verfügbar bleibt. Prüfen Sie die Rolle jeder Person und die sachliche Bedeutung, und verwenden Sie das Ergebnis nur für den vorgesehenen Zweck. Dokumentieren Sie die Prüfentscheidung im Prozess Ihrer Organisation, ohne unnötige identifizierende Details in diese Aufzeichnung zu kopieren.

Was Pseudonymisierung nicht beseitigt

Ein Dokument kann sensible Fakten preisgeben, ohne einen Namen zu enthalten. „Die einzige Person in der Filiale, die diese Woche in Elternzeit gegangen ist“ kann eine Kollegin oder einen Kollegen innerhalb dieser Filiale identifizieren. Eine detaillierte Chronologie kann einen Fall mit öffentlicher Berichterstattung verknüpfen. Fragen Sie sich, was eine empfangende Person aus dem gesamten Text ableiten könnte.

Es kann außerdem vertrauliche Geschäftsinformationen offenlegen, die nichts mit persönlicher Identität zu tun haben. Das Ersetzen von Teilnehmernamen verbirgt keine unangekündigte Übernahme, Preisstrategie oder firmeneigene Konstruktion. Entscheiden Sie, ob diese Fakten in die Hände der empfangenden Person gehören, bevor Sie einen sauberen Identifikator-Scan als ausreichend behandeln.

Lesbare Ausgaben brauchen auch nach der Ersetzung einen angemessenen Umgang. Vermeiden Sie es, das Originaldokument mit der geprüften Kopie zu bündeln oder die Zuordnung aus Bequemlichkeit darunterzufügen. Erfordert die Aufgabe tatsächlich die Originalidentitäten, nutzen Sie den genehmigten Prozess für die Weitergabe dieser Information.

Pseudonymisierung kann die Offenlegung verringern und gleichzeitig sinnvolle Arbeit unterstützen. Sie liefert weder eine Rechtsgrundlage noch die Erlaubnis, einen Datensatz weiterzuverwenden, noch eine allgemeingültige Aufbewahrungsfrist. Diese Entscheidungen hängen vom Verarbeitungszweck und den geltenden Pflichten ab. [1]

Wie Sie ein Pseudonymisierungs-Tool für Ihren Workflow auswählen

Testen Sie ein Tool mit repräsentativen fiktiven Dokumenten, bevor Sie echtes Material verwenden. Beziehen Sie wiederholte Namen, zwei Personen mit ähnlichen Namen, einen über Zeilen geteilten Identifikator und eine unverwechselbare Beschreibung ohne offensichtlichen Namen ein. Prüfen Sie, was die Ausgabe erhält, ebenso wie das, was sie entfernt.

Untersuchen Sie den Rückgabeschritt. Bearbeiten Sie eine Antwort, während Sie ihre Platzhalter intakt lassen, und prüfen Sie anschließend die Wiederherstellung. Probieren Sie ein verändertes oder fehlendes Token aus, um zu verstehen, wie sich der Workflow verhält, wenn eine prüfende Person es umformuliert. Entscheiden Sie, ob eine Person diese Situation zuverlässig erkennen und lösen kann.

Fragen Sie, wo das Original verarbeitet wird, wo die Zuordnungstabelle liegt, wer darauf zugreifen kann und wie lange sie verfügbar bleibt. Eine nur für die Sitzung geltende Zuordnung kann für eine kurze Entwurfsaufgabe passen; ein Workflow, der die Wiederherstellung erst nächsten Monat braucht, benötigt eine andere Aufbewahrungsgestaltung. Beziehen Sie die Originaldatensätze und externe Kopien in diese Entscheidung ein.

Prüfen Sie außerdem Abdeckung und Prüfkontrollen. Rein regelbasierte Erkennung, modellgestützte Extraktion und ausdrückliche benutzerdefinierte Begriffe haben unterschiedliche Aufgaben. Kein Erkennungsmodus kennt den gesamten Kontext, über den eine empfangende Person verfügt. Klären Sie die Verantwortung für die menschliche Prüfung, bevor Sie das Tool in einen wiederkehrenden Prozess einführen.

DataAnonymiser auf von Ihnen kontrollierter Infrastruktur nutzen

Die Individual-Edition verarbeitet Inhalte auf Ihrem Gerät. Enterprise kann sie auf einem Server verarbeiten, den Ihre Organisation im eigenen Netzwerk installiert und betreibt, aktiviert durch eine ausdrückliche Administrator-Konfiguration. Keine der beiden Editionen leitet Dokumenteninhalte zur Verarbeitung an von DataAnonymiser betriebene Infrastruktur.

Für eigenständige Dokumentenarbeit unterstützen konsistente Platzhalter und eine im Arbeitsspeicher gehaltene Zuordnung einen lokalen Bearbeitungs-Kreislauf. DataAnonymiser stellt Prüfinformationen neben der Ausgabe bereit, sodass Sie erkannte Ersetzungen und Restrisiko-Warnungen prüfen können, bevor Sie den Text an anderer Stelle einfügen.

Beginnen Sie mit einer wiederkehrenden Aufgabe, etwa der Prüfung eines Entwurfs oder der Vorbereitung einer Kundenantwort. Legen Sie fest, was die nächste lesende Person braucht, testen Sie den Workflow mit fiktivem Text und kontrollieren Sie das Ergebnis durch Wiederherstellung.