Anonym für wen? Die neuen EDSA-Leitlinien und Ihre Frist bis 30. Oktober

Am 7. Juli 2026 hat der Europäische Datenschutzausschuss die Leitlinien 02/2026 zur Anonymisierung als Version 1.0 angenommen. Sie lösen eine Stellungnahme aus dem Jahr 2014 ab, also aus einer Zeit vor Sprachmodellen, vor europäischen Datenräumen und vor der Rechtsprechung, die seither dazugekommen ist. Bis zum 30. Oktober 2026, 23:59 Uhr können Sie dazu Stellung beziehen.

Wenn Sie Daten aufbereiten, bevor sie in ein KI-System gehen, betrifft Sie das direkt. Und zwar an einer Stelle, an der viele Häuser bisher eine falsche Frage stellen.

Die falsche Frage lautet: Sind diese Daten anonym?

Die richtige lautet: anonym für wen?

Der Entwurf schreibt es ausdrücklich: Die Bewertung kann von Stelle zu Stelle unterschiedlich ausfallen. Dieselbe Datei kann für den einen Empfänger anonym sein und für den anderen nicht, weil der zweite über Zusatzwissen verfügt, das die Zuordnung erlaubt. Anonymität ist damit keine Eigenschaft einer Datei, sondern eine Beziehung zwischen Daten und Empfänger.

Der EDSA stellt zwei Wege nebeneinander, das anzuwenden. Der kontextuelle Ansatz unterscheidet nach den tatsächlichen Fähigkeiten der jeweiligen Stelle und bildet nach Einschätzung des Ausschusses die volle Feinheit des rechtlichen Maßstabs ab. Der vereinfachte Ansatz ignoriert diese Unterschiede, stuft im Zweifel als personenbezogen ein und geht damit über das hinaus, was das Gesetz verlangt. Dafür ist er leichter zu handhaben, und beide lassen sich kombinieren.

In der Rechtsliteratur läuft diese Unterscheidung unter „relativer" gegen „absoluter" Ansatz. Das sind nicht die Worte des Ausschusses, treffen die Sache aber.

Für die Praxis ist das eine gute Nachricht mit einem Haken. Die gute Nachricht: Anonymität lässt sich gestalten. Zugriffsbeschränkungen und technische Schutzmaßnahmen können dafür sorgen, dass Daten aus Sicht eines bestimmten Empfängers anonym sind. Der Haken: Sie müssen dann sagen können, welcher Empfänger gemeint ist und warum die Zuordnung für ihn ausscheidet.

Drei Kriterien, an denen sich das entscheidet

Der Entwurf prüft an drei Punkten, ob Daten als anonym gelten können:

Keine Isolation einzelner Datensätze. Lässt sich ein einzelner Fall herausgreifen und von allen anderen unterscheiden?

Keine Verknüpfung. Lassen sich zwei Einträge zu derselben Person zusammenführen, auch über verschiedene Quellen hinweg?

Keine Rückschlüsse. Lässt sich aus den Daten etwas über eine einzelne Person ableiten, was nicht ohnehin für alle gilt?

Bestehen die Daten alle drei, können sie als anonym gelten. Fällt eines durch, folgt eine vertiefte Prüfung, nicht automatisch die Einstufung als personenbezogen.

Wer die Kriterien kennt, erkennt sie wieder: Es ist derselbe Dreiklang wie 2014, nur schärfer benannt. Neu ist weniger der Maßstab als die Verbindlichkeit, mit der er kommt.

Was das für KI-Systeme bedeutet

An zwei Stellen wird der Entwurf beim Thema KI konkret, und beide sind für den Mittelstand relevant.

Erstens: Aggregierte Daten, KI-Modelle und synthetische Daten können am Kriterium der Rückschlüsse scheitern. Der Grund ist, dass sich durch geschicktes Abfragen, bei Modellen also durch Prompting, wieder Aussagen über einzelne Personen herauslösen lassen. Ein Modell, das mit Ihren Daten gearbeitet hat, ist nicht deshalb harmlos, weil in ihm keine Tabelle mehr steckt.

Zweitens, und das halte ich für den unterschätzten Punkt: Bei der Frage, welche Mittel zur Re-Identifikation „vernünftigerweise eingesetzt" werden, verweist der Ausschuss ausdrücklich auf Entwicklungen bei KI und besonders bei agentischer KI. Sie senken Zeit und Kosten und beschleunigen das Zusammenführen öffentlich verfügbarer Quellen.

Ein dritter Punkt steht nicht im Entwurf, folgt aber aus dem Kriterium der Verknüpfung: Wer prüft, ob Daten anonym sind, muss alle Orte mitdenken, an denen sie liegen. Das sind bei KI-Systemen nicht nur die Eingaben, sondern auch Protokolle, Zwischenspeicher, Sicherungen, Vektor-Einbettungen und die Verknüpfungen, über die ein Retrieval-System Treffer zusammenführt. Eine Bewertung, die nur den Prompt betrachtet, greift zu kurz.

Das verschiebt einen Maßstab, der bisher als stabil galt. Was vor drei Jahren als praktisch unmöglich durchging, weil es Rechenzeit und Fachwissen gekostet hätte, ist heute mit Standard-Hardware und einem Agenten machbar. Anonymität kann damit zurückkippen: Steigt die Wahrscheinlichkeit der Re-Identifikation wieder auf ein nicht mehr unerhebliches Niveau, sind die Daten erneut personenbezogen, und Sie sind für deren Verarbeitung rechenschaftspflichtig.

Der häufigste Alltagsfall steht nicht im Entwurf

Die Frage, die uns am häufigsten begegnet, lautet: Reicht es, Namen und Kundennummern zu ersetzen, bevor der Text an ein Sprachmodell geht?

Dieser Fall wird im Entwurf nicht eigens behandelt. Was folgt, ist deshalb Ableitung aus dem Rahmen, kein Zitat: Maßgeblich ist, ob die Daten aus Sicht des Empfängers die drei Kriterien bestehen. Empfänger ist der KI-Anbieter und jede Stelle, die auf dessen Systeme zugreifen kann.

Aus der eigenen Arbeit an genau dieser Aufgabe wissen wir, wie weit die maschinelle Erkennung trägt. Wir haben die Erkennung personenbezogener Daten in deutschen Geschäftstexten gegen einen eigenen Referenzdatensatz gemessen statt sie zu schätzen. Zwei Ergebnisse daraus gehören in jede Bewertung nach dem neuen Raster: Auf getipptem Text funktioniert die Erkennung gut, auf gescannten Unterlagen fällt sie deutlich ab. Und was zuverlässig gefunden wird, sind die offensichtlichen Kennzeichen. Was übrig bleibt, ist die Kombination aus Ort, Datum, Betrag und Vorgang, die eine Person in einem kleinen Kundenkreis wieder eindeutig macht. Genau das ist das Kriterium der Isolation.

Praktisch heißt das: Namen ersetzen ist notwendig und selten hinreichend. Wer aus dieser Aufgabe eine belastbare Verarbeitung machen will, braucht einen kontrollierten Weg statt eines Suchen-und-Ersetzen-Laufs. Wie das aussehen kann, haben wir im Privacy Gateway dokumentiert.

Was Sie bis Oktober tun können

Zunächst eine Entwarnung, die im Entwurf gut versteckt ist: Wenn Sie einen Datensatz vor Veröffentlichung dieser Leitlinien nach der alten Stellungnahme von 2014 als anonym bewertet haben, müssen Sie diese Bewertung nicht wiederholen. Eine periodische Neubewertung nennt der Ausschuss gute Praxis, keine Pflicht.

Was sich lohnt:

1. Klären Sie, für wen anonym. Führen Sie für Ihre KI-Abläufe eine kurze Liste: Welche Daten gehen an welchen Empfänger, und was weiß dieser Empfänger sonst noch?
2. Prüfen Sie gegen die drei Kriterien, nicht gegen das Bauchgefühl. Die Isolation ist dabei die Hürde, an der es in kleinen Kundenkreisen scheitert, nicht die Namensnennung.
3. Halten Sie die Bewertung fest. Nicht als Gutachten, sondern als Notiz mit Datum: Welche Daten, welcher Empfänger, welche Schutzmaßnahmen, welches Ergebnis. Das ist die Rechenschaft, die verlangt wird.
4. Beziehen Sie Stellung, wenn Sie in der Praxis auf Unklarheiten stoßen. Die Beteiligung läuft über das Formular auf der Konsultationsseite des EDSA, Kommentare werden veröffentlicht.

Der letzte Punkt ist kein Ritual. Kanzleien kritisieren am Entwurf einen zu breit geratenen Wirkungs-Test, einen unklaren Maßstab beim Herausgreifen einzelner Fälle und das Fehlen quantitativer Schwellenwerte. Aufsichtsbehörden loben umgekehrt den Zugewinn an Rechtssicherheit. Wer beides liest, sieht: Die praktisch schwierigen Stellen sind noch offen. Und die Erfahrung mit dem Mittelstand ist, dass die Beiträge zu solchen Konsultationen überwiegend von Verbänden, Kanzleien und Großunternehmen kommen. Wer den Alltag eines Zwanzig-Personen-Betriebs kennt, hat dort etwas beizutragen, was sonst fehlt.

Ein Hinweis zur Einordnung

Alles oben steht in der Konsultationsfassung. Die Endfassung kann davon abweichen, gerade in den Punkten, die jetzt kritisiert werden. Nichts davon ist heute geltendes Recht, und niemand sollte laufende Verarbeitungen darauf umstellen.

Zwei Dinge sind trotzdem schon jetzt belastbar. Die Empfängerperspektive ist keine Erfindung des Entwurfs, sondern folgt der Rechtsprechung des Europäischen Gerichtshofs. Und die Beobachtung, dass KI die Kosten der Re-Identifikation senkt, wird durch keine Endfassung wieder verschwinden.

Eine Warnung zum Schluss, weil sie in Zusammenfassungen regelmäßig untergeht: Aus dem Urteil des Gerichtshofs vom 4. September 2025 wird gern die Kurzfassung gemacht, pseudonymisierte Daten seien für den Empfänger eben nicht personenbezogen. Das trifft nur die halbe Entscheidung. Der Gerichtshof hat zugleich das vorinstanzliche Urteil aufgehoben und für die Informationspflicht auf den Zeitpunkt der Erhebung und die Sicht des Verantwortlichen abgestellt. Wer daraus ableitet, seine Informationspflichten entfielen, sobald er Daten pseudonymisiert weitergibt, liegt falsch.