Pseudonymisierung und Anonymisierung

Pseudonymisation and Anonymisation

Dr.-Ing. Marcus JenkeSenior Human Factors Engineer | Managing Partner
Stand: November 2026
Kurz-Definition

Pseudonymisierung und Anonymisierung (Pseudonymisation and Anonymisation) sind zwei Datenschutzbegriffe. Pseudonymisierte Daten, etwa mit Teilnehmer-ID, bleiben nach der DSGVO personenbezogen, weil ein getrennt verwahrter Schlüssel die Zuordnung erlaubt. Anonym sind Daten nur, wenn der Personenbezug nicht mehr herstellbar ist.

Inhalt dieser Seite

Definition und Rechtsgrundlage

Pseudonymisierung und Anonymisierung sind zwei Begriffe des Datenschutzrechts, die in Usability-Studien mit Teilnehmern ständig vorkommen und oft verwechselt werden. Wer Video, Ton, Bildschirmaufzeichnungen, Notizen und Teilnehmerlisten erhebt, muss wissen, welche dieser Daten nach einer Bearbeitung noch als personenbezogen gelten. Dieser Beitrag ordnet die Begriffe entlang des Studienablaufs ein.

Die Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679) definiert in Art. 4 Nr. 5 die Pseudonymisierung als Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können. Voraussetzung ist, dass die zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die eine Zuordnung verhindern. In einer Studie entspricht das einer Teilnehmer-ID anstelle des Namens, solange der Zuordnungsschlüssel getrennt verwahrt und geschützt wird.

Eine Anonymisierung definiert die DSGVO nicht in einem eigenen Artikel. Erwägungsgrund 26 beschreibt anonyme Informationen als solche, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, sowie personenbezogene Daten, die so anonymisiert wurden, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Die Grundsätze des Datenschutzes gelten für solche Daten nicht.

Pseudonymisiert ist nicht anonym

Der entscheidende Unterschied liegt in der Rückführbarkeit. Nach Erwägungsgrund 26 sind pseudonymisierte Daten, die durch zusätzliche Informationen einer Person zugeordnet werden könnten, Informationen über eine identifizierbare natürliche Person. Pseudonymisierte Daten bleiben damit personenbezogene Daten. Der Europäische Datenschutzausschuss (EDSA) hält in seinen Leitlinien 01/2025 zusätzlich fest, dass dies auch gilt, wenn Daten und zusätzliche Informationen nicht bei derselben Stelle liegen. Selbst wenn alle zusätzlichen Informationen gelöscht wurden, gelten die Daten nur dann als anonym, wenn die Bedingungen der Anonymität erfüllt sind.

Zur Frage, ob eine Person identifizierbar ist, nennt Erwägungsgrund 26 einen Maßstab: Zu berücksichtigen sind alle Mittel, die vom Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die Person direkt oder indirekt zu identifizieren. Dabei sind objektive Faktoren wie Kosten und Zeitaufwand der Identifizierung sowie die zum Zeitpunkt der Verarbeitung verfügbare Technologie einzubeziehen. Anonymität ist demnach keine Eigenschaft, die man einem Datensatz einmal zuschreibt, sondern das Ergebnis einer Prüfung unter diesem Maßstab.

Die frühere Artikel-29-Datenschutzgruppe kam in ihrer Stellungnahme 5/2014 zum selben Ergebnis: Pseudonymisierung sei keine Anonymisierungstechnik, sondern verringere lediglich die Verknüpfbarkeit eines Datenbestands mit der Identität einer Person. Pseudonymisierte Daten erlaubten weiterhin, einzelne Personen herauszugreifen und Datenbestände zu verknüpfen. Die Stellungnahme entstand noch unter der Richtlinie 95/46/EG, die inhaltliche Aussage deckt sich aber mit der heutigen Lesart des Erwägungsgrunds 26.

Welche Daten in einer Usability-Studie anfallen

Für die Einordnung lohnt sich ein Blick auf die einzelnen Datenarten einer Studie. Die Datenarten unterscheiden sich darin, wie leicht sie sich von der Person lösen lassen:

  • Teilnehmerliste mit Namen, Kontaktdaten, Beruf und Arbeitgeber: direkt identifizierend, gehört nicht in die Auswertungsdaten.
  • Zuordnungsschlüssel, der Teilnehmer-IDs den Personen zuordnet: nach EDSA kann er selbst personenbezogen sein und ist getrennt zu schützen.
  • Videoaufnahme: Gesicht und Umgebung können Merkmale sein, über die sich eine Person identifizieren lässt.
  • Tonspur: Stimme, aber auch genannte Namen, Arbeitgeber oder Stationen.
  • Bildschirmaufzeichnung: eingeblendete Konten, Namen oder Dateipfade, je nach Testumgebung.
  • Beobachternotizen und Transkripte: Zitate, Berufsangaben und Einzelheiten, die Rückschlüsse erlauben.

Art. 4 Nr. 1 DSGVO nennt als Beispiele identifizierender Merkmale unter anderem einen Namen, eine Kennnummer und besondere Merkmale, die Ausdruck der physischen Identität einer Person sind. Eine Teilnehmer-ID ersetzt nur den Namen. Alle übrigen Merkmale bleiben in den Daten, solange man sie nicht entfernt oder verändert.

Wann Studiendaten identifizierbar bleiben

In Usability-Studien gibt es drei typische Fallen. Erstens lassen sich Gesicht und Stimme in einer Aufnahme nicht durch eine ID ersetzen. Eine Aufnahme mit der Dateibezeichnung P07 ist pseudonymisiert, aber nicht anonym, solange die Person darin erkennbar ist. Ob Verfahren wie Unkenntlichmachung oder Stimmverfremdung die Identifizierbarkeit tatsächlich ausschließen, ist anhand des Maßstabs aus Erwägungsgrund 26 im Einzelfall zu bewerten.

Zweitens erleichtern kleine Stichproben das Herausgreifen einer Person. Die Stellungnahme 5/2014 beschreibt das Herausgreifen (singling out) als die Möglichkeit, in einem Datenbestand Datensätze zu isolieren, die die Identifizierung einer Person erlauben. Wenn in einer Studie nur ein Teilnehmer eine bestimmte Rolle hat, ist diese Angabe für sich schon ein Identifikationsmerkmal.

Drittens wirken seltene Berufsgruppen, Fachrichtungen oder Einsatzorte wie ein Fingerabdruck. Die Angabe „Oberärztin einer bestimmten Fachrichtung an einer Klinik in einer bestimmten Region“ kann genügen, um eine Person zu benennen, auch ohne Namen. Der EDSA weist zudem darauf hin, dass zusätzliche Informationen auch außerhalb der Kontrolle des Verantwortlichen liegen können, etwa in öffentlich zugänglichen Quellen wie Beiträgen in sozialen Netzwerken, und bei der Wirksamkeitsprüfung zu berücksichtigen sind, soweit sie vernünftigerweise verfügbar sind.

Der Studienlebenszyklus von der Rekrutierung bis zur Löschung

Pseudonymisierung ist keine einmalige Handlung am Ende, sondern ein Prozess, der den ganzen Studienablauf begleitet. Die DSGVO nennt sie in Art. 25 Abs. 1 und Art. 32 Abs. 1 Buchstabe a als Beispiel für geeignete technische und organisatorische Maßnahmen. Für den Ablauf ergibt sich daraus folgendes Vorgehen, das auf eigener fachlicher Ableitung beruht:

  • Rekrutierung: nur die Angaben erheben, die für die Auswahl nötig sind. Kontaktdaten getrennt von den Studiendaten führen und jedem Teilnehmer früh eine ID zuweisen. Zum Stichprobenaufbau siehe Repräsentative Benutzer und Vorgesehener Benutzer.
  • Durchführung: in Aufzeichnung, Dateinamen und Notizen nur die ID verwenden, Namen und Arbeitgeber in der Sitzung nicht laut nennen lassen, Bildschirme ohne Klarnamen vorbereiten. Das gilt für formative wie für summative Studien.
  • Analyse: Auswertung ausschließlich mit IDs, Zugriff nach Rolle, Zuordnungsschlüssel an einem getrennten Ort. Bei Methoden wie dem lauten Denken entstehen viele Äußerungen in Rohform, die vor der Weitergabe zu prüfen sind.
  • Übergabe: nur weitergeben, was der Auftraggeber für den Zweck braucht (siehe nächster Abschnitt).
  • Löschung: Nach Art. 5 Abs. 1 Buchstabe e DSGVO dürfen Daten nur so lange in identifizierbarer Form gespeichert werden, wie es für die Zwecke erforderlich ist. Aufbewahrungsfristen für Rohdaten und Schlüssel legt man vor Studienbeginn fest.

Das Löschen des Zuordnungsschlüssels allein macht die Daten nicht automatisch anonym. Der EDSA stellt klar, dass Daten auch dann nur anonym sind, wenn die Bedingungen der Anonymität erfüllt sind. Ein gelöschter Schlüssel entfernt Gesicht, Stimme und Berufsangaben nicht aus den Aufnahmen.

Rohdaten, Ergebnisbericht und Übergabe an den Auftraggeber

Zwischen Rohdaten und Ergebnisbericht liegt ein wichtiger Unterschied. Rohdaten, also Aufnahmen, Transkripte und Notizen, bleiben in der Regel personenbezogen und verbleiben beim Studiendurchführenden. Der Ergebnisbericht kann dagegen auf Teilnehmer-IDs und Gruppenmerkmale beschränkt werden, zum Beispiel Rolle, Erfahrungsstufe oder Nutzungshäufigkeit. Einzelangaben, die Rückschlüsse auf eine Person erlauben, gehören nicht hinein, etwa Klinik, Stadt oder genaue Fachrichtung in Kombination mit einem Zitat.

Für die Weitergabe pseudonymisierter Daten nennt der EDSA mehrere Prüfpunkte. Zunächst sind mindestens die Mittel des Empfängers zur Zuordnung zu bestimmen und zu berücksichtigen. Außerdem soll nach dem Grundsatz der Datenminimierung geprüft werden, ob die Pseudonyme überhaupt übermittelt werden müssen. Fehlt ein Grund dafür, sollen sie nicht übermittelt werden. Der Zuordnungsschlüssel selbst kann ebenfalls personenbezogen sein und bleibt daher in der Regel beim Studiendurchführenden.

Videoclips und Zitate sind der häufigste Streitpunkt. Wer Ausschnitte an den Auftraggeber geben möchte, sollte das vorab festlegen und den Teilnehmern in der Teilnehmerinformation mitteilen. Für Zulassungsunterlagen wie den HFE/UE Report genügen nach unserer Einschätzung in der Regel Teilnehmer-IDs und Gruppenprofile. Zur Einordnung der Studie in den Zulassungsprozess siehe Human-Factors-Validierung.

Einordnung und Grenzen dieser Darstellung

Dieser Beitrag ist eine fachliche Einordnung und keine Rechtsberatung. Ob in einem konkreten Projekt Daten als anonym gelten, welche Rechtsgrundlage für die Verarbeitung trägt und welche Informationspflichten bestehen, ist im Einzelfall zu klären, gegebenenfalls mit dem Datenschutzbeauftragten. Einwilligung und Teilnehmerinformation sind ein eigenes Thema und werden hier nur am Rande erwähnt.

Die Leitlinien 01/2025 des EDSA lagen für diese Darstellung in der am 16. Januar 2025 angenommenen Fassung für die öffentliche Konsultation vor (Stand November 2026). Eine spätere Endfassung wurde nicht geprüft und sollte vor der Anwendung nachgesehen werden.

Kurz gesagt

Pseudonymisierung ersetzt Identifikationsmerkmale durch eine Kennung, zum Beispiel eine Teilnehmer-ID, und verwahrt den Zuordnungsschlüssel getrennt. Pseudonymisierte Daten bleiben nach Art. 4 Nr. 5 und Erwägungsgrund 26 DSGVO personenbezogene Daten.

Anonym sind Daten nur, wenn sich die Person nicht mehr identifizieren lässt, auch nicht mit Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden. In Aufzeichnungen mit Gesicht und Stimme, bei kleinen Stichproben und seltenen Berufsgruppen ist das schwer zu erreichen.

Im Studienverlauf von der Rekrutierung bis zur Löschung gilt deshalb: IDs früh vergeben, Schlüssel getrennt halten, Berichte auf Gruppenmerkmale beschränken und nur weitergeben, was der Auftraggeber braucht.

Häufige Fragen (FAQ)

Sind pseudonymisierte Studiendaten noch personenbezogene Daten?

Ja. Nach Erwägungsgrund 26 DSGVO gelten pseudonymisierte Daten, die durch zusätzliche Informationen einer Person zugeordnet werden könnten, als Informationen über eine identifizierbare Person. Das gilt nach den Leitlinien 01/2025 des EDSA auch dann, wenn die zusätzlichen Informationen bei einer anderen Stelle liegen.

Wann sind Studiendaten anonym?

Wenn sich die Daten nicht mehr auf eine identifizierte oder identifizierbare Person beziehen oder die Person nicht mehr identifiziert werden kann. Maßstab sind nach Erwägungsgrund 26 alle Mittel, die nach allgemeinem Ermessen wahrscheinlich zur Identifizierung genutzt werden, einschließlich Kosten, Zeitaufwand und verfügbarer Technologie. In Aufzeichnungen mit Gesicht und Stimme ist das schwer zu erreichen.

Macht das Löschen des Zuordnungsschlüssels die Daten anonym?

Nicht automatisch. Der EDSA hält fest, dass pseudonymisierte Daten auch nach dem Löschen aller zusätzlichen Informationen nur dann anonym sind, wenn die Bedingungen der Anonymität erfüllt sind. Merkmale in den Daten selbst, etwa Gesicht, Stimme oder seltene Berufsangaben, bleiben bestehen.

Dürfen Aufnahmen und Zuordnungsschlüssel an den Auftraggeber gehen?

Das hängt vom Zweck und von der vorherigen Vereinbarung mit den Teilnehmern ab und ist im Einzelfall zu klären. Fachlich gilt: Der Zuordnungsschlüssel bleibt in der Regel beim Studiendurchführenden, und an den Auftraggeber geht nur, was er für den Zweck braucht. Der EDSA empfiehlt, vor der Übermittlung pseudonymisierter Daten zu prüfen, ob die Pseudonyme überhaupt benötigt werden.

Sie planen eine Usability-Studie mit Teilnehmern? Wir unterstützen Sie bei Rekrutierung, Durchführung und Dokumentation, sodass Aufzeichnungen und Teilnehmerdaten von Anfang an sauber getrennt und geschützt sind.

Mehr zu unserem Usability Engineering

Quellen

Verwandte Begriffe

← Zurück zum Wiki-Überblick

Der USE-Ing. Kompass

Bleiben Sie auf dem richtigen Kurs mit unserem Newsletter

Newsletter abonnieren