Angenommen, ein Bauleiter will Regieberichte und Bautagebuch in ein Werkzeug laden, um Stunden je Firma auszuwerten. Er hat vorgesorgt: Die Namen der Monteure sind weg, es stehen nur noch Personalnummer, Firma, Datum und Stunden drin. „Das ist eh anonym", sagt er. Ist es nicht. Auf meinen Baustellen kommt genau diese Annahme laufend vor, und sie ist die häufigste Verwechslung, die mir beim Thema Datenschutz begegnet.
Anonym oder pseudonym
Die DSGVO schützt Angaben über eine identifizierte oder identifizierbare natürliche Person (Verordnung (EU) 2016/679, Art. 4 Z 1). Identifizierbar heißt nicht, dass der Name dasteht. Es genügt, dass sich die Person mit Zusatzwissen bestimmen lässt. Wer die Personalnummer 4711 hat, weiß die Firma. Wer Firma, Datum und Stunden hat, fragt den Polier. Und wer beide kennt, braucht gar keine Liste.
Genau das nennt die Verordnung Pseudonymisierung: Die Daten lassen sich ohne Zusatzinformation keiner Person mehr zuordnen, aber die Zusatzinformation gibt es, sie liegt nur woanders (Art. 4 Z 5). Erwägungsgrund 26 zieht dann die Grenze: Pseudonymisierte Daten sind personenbezogen. Anonym sind nur Informationen, die sich auf keine bestimmbare Person mehr beziehen. Und bei der Frage, ob jemand bestimmbar ist, zählen alle Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden. Nicht nur von mir, sondern auch von jedem anderen, der nach allgemeinem Ermessen an die Zusatzinformation kommt.
Der Europäische Gerichtshof hat das 2016 an einem unscheinbaren Beispiel durchgespielt, der dynamischen IP-Adresse eines Webseitenbesuchers. Der Betreiber der Seite kann damit allein niemanden erkennen. Der Provider aber schon, und an den kommt der Betreiber auf rechtlichem Weg heran. Also personenbezogen (EuGH C-582/14, Breyer). Übertragen auf die Baustelle: Wenn ich mit einem Anruf beim Bauleiter der Firma weiß, wer 4711 ist, ist die Nummer ein Name mit Umweg.
Drei Fragen, die den Unterschied machen
Die Artikel-29-Datenschutzgruppe, die Vorgängerin des heutigen Europäischen Datenschutzausschusses, hat 2014 aufgeschrieben, woran man Anonymisierung prüft (Stellungnahme 05/2014, WP216). Drei Fragen:
- Kann ich eine einzelne Person in den Daten noch herausgreifen?
- Kann ich Zeilen aus verschiedenen Quellen derselben Person zuordnen?
- Kann ich aus den Daten etwas über eine Person schließen?
Bei allen drei Fragen fällt Pseudonymisierung durch (WP216, Abschnitt 4.1 und Tabelle 6). Was sie leistet, ist weniger: Die Verbindung zur ursprünglichen Identität wird schwerer, mehr nicht. Die Datenschutzgruppe zählt sie deshalb nicht zu den Anonymisierungsmethoden, sondern zu den Sicherheitsmaßnahmen.
Der Europäische Datenschutzausschuss hat das Jänner 2025 in seinen Leitlinien zur Pseudonymisierung noch einmal festgehalten, bislang in der Fassung zur öffentlichen Konsultation: Pseudonymisierte Daten sind personenbezogen, auch wenn die Zusatzinformation bei jemand anderem liegt (EDSA, Leitlinien 01/2025, Fassung zur öffentlichen Konsultation, Rz. 22 und 23).
Wer überhaupt geschützt ist
Die Verordnung schützt natürliche Personen. Für Daten juristischer Personen gilt sie nicht, das steht ausdrücklich in Erwägungsgrund 14. Die Firma im Regiebericht ist also kein Betroffener. Der Einzelunternehmer, der mit seinem eigenen Namen firmiert, ist aber eine natürliche Person, und damit ist die Zeile mit seinen Stunden wieder personenbezogen. Auf Baustellen mit vielen kleinen Subfirmen ist das der Fall, den man leicht übersieht.
Darauf achte ich
- Zusammenfassen statt wegstreichen. Durch Wegstreichen wird ein Dienstplan nicht anonym. Anonym wird er erst, wenn keine Zeile mehr einer Person gehört. Für die Frage des Bauleiters würde ein Blatt mit Stunden je Firma und Woche reichen, ohne Personalnummer und ohne Datum je Person. Bei kleinen Firmen mit einem oder zwei Leuten fasse ich weiter zusammen, sonst ist die Summe wieder die Person.
- Zum Ausprobieren erfundene Daten. Wer ein Werkzeug nur testen will, braucht keine echten Monteure. Ein paar erfundene Zeilen tun es genauso, und niemand muss nachher fragen, wo sie gelandet sind (wo Ihre Daten landen).
- Vorher klären, nicht nachher. Die Fragen dazu stehen im Beitrag zu DSGVO und KI. Ohne Namen zu sein entbindet von keiner davon.
Bleibt die Frage, warum ich mit solchen Daten nicht trainiere. Rechtlich ist die Einwilligung eine Grundlage wie jede andere (Art. 6 Abs. 1 lit. a). Trotzdem trainiere ich kein Modell mit personenbezogenen Daten, auch nicht mit Einwilligung. Das ist meine Betriebsregel, keine Rechtslage. Der Grund: Eine Einwilligung kann widerrufen werden, und dann müsste ich löschen. Aus einer Datenbank geht das. Aus einem trainierten Modell geht es praktisch nicht. Der Europäische Datenschutzausschuss hat in seiner Stellungnahme 28/2024 festgehalten, dass ein mit personenbezogenen Daten trainiertes Modell nicht in jedem Fall als anonym gelten kann, sondern Fall für Fall geprüft werden muss (EDSA, Stellungnahme 28/2024). In meiner Wissensdatenbank liegen die Dokumente deshalb neben dem Modell, nicht in ihm. Was gelöscht gehört, wird gelöscht, und am nächsten Tag weiß das System es nicht mehr.