Pseudonymisierung und Anonymisierung

Was bedeuten Pseudonymisierung und Anonymisierung?

Die beiden Begriffe beschreiben zwei verschiedene Grade der Verschleierung eines Personenbezugs:

• Pseudonymisierung. Identifizierende Angaben wie der Name werden durch einen Schlüssel ersetzt, etwa eine Kennnummer. Wer den Schlüssel oder das nötige Zusatzwissen hat, kann die Antwort wieder einer Person zuordnen. Die Verbindung ist verdeckt, aber nicht durchtrennt.
• Anonymisierung. Der Personenbezug wird unumkehrbar entfernt. Es gibt keinen Schlüssel und kein Zusatzwissen mehr, mit dem sich eine Antwort einer Person zuordnen liesse, auch nicht für die Stelle, die die Daten hält.

Der Unterschied liegt in einem einzigen Punkt: Existiert noch ein Weg zurück zur Person oder nicht? Bei der Pseudonymisierung ja, bei der Anonymisierung nein. Diese Abgrenzung ergänzt die drei Begriffe anonym, pseudonym und vertraulich, die der Eintrag anonyme Mitarbeitendenbefragung in der Schweiz einführt.

Warum pseudonym nicht anonym ist

Hier liegt der wunde Punkt, und er wird oft übersehen. Pseudonymisierung fühlt sich anonym an, weil kein Name mehr auf den ersten Blick sichtbar ist. Doch solange ein Schlüssel existiert, mit dem sich die Zuordnung wiederherstellen lässt, ist die Person bestimmbar, und bestimmbar heisst nicht anonym.

Ein Beispiel macht es greifbar: Wird jede Antwort mit einer Personalnummer statt mit dem Namen gespeichert, ist der Name nicht weg, er ist nur eine Tabelle weiter. Wer beide Tabellen hat, hat die volle Zuordnung. Das ist Pseudonymisierung, und es ist etwas völlig anderes als Anonymität.

Für das Vertrauen der Belegschaft ist das entscheidend. Pseudo-Anonymität zerstört Vertrauen schneller als gar keine Befragung, weil sie ein Versprechen bricht, sobald jemand merkt, dass eine Aussage doch zugeordnet werden konnte. Ein einziges solches Erlebnis vergiftet jede weitere Befragung. Wer Anonymität zusagt, muss sie halten können, und Pseudonymisierung hält sie nicht.

Die datenschutzrechtliche Folge: was das DSG dazu sagt

Die Unterscheidung hat eine harte rechtliche Konsequenz. Weil bei pseudonymen Daten die Person mit Zusatzwissen weiterhin bestimmbar ist, bleiben pseudonyme Daten Personendaten im Sinn des revidierten Datenschutzgesetzes. Damit gelten die vollen Datenschutzpflichten: Zweckbindung, Transparenz, Datenminimierung und die Betroffenenrechte.

Anonyme Daten dagegen fallen nicht unter das DSG, weil es keine Person mehr gibt, die geschützt werden müsste. Das ist der praktische Grund, warum echte Anonymität in der Befragung meist der sauberste Weg ist: Sie nimmt das Datenschutzthema an der Wurzel weg, statt es zu verwalten. Die Grundsätze im Überblick stehen im Eintrag Datenschutz bei der Mitarbeitendenbefragung, das Gesetz selbst im Eintrag revidiertes DSG.

Diese Einordnung ersetzt keine Rechtsberatung; im Einzelfall gehört sie juristisch geprüft.

Was das für eine Mitarbeitendenbefragung bedeutet

Für die Praxis folgt daraus eine klare Regel: Wer volle Anonymität zusagt, darf nicht Pseudonymisierung meinen. Eine anonyme Mitarbeitendenbefragung braucht echte Anonymität, und echte Anonymität besteht aus zwei Zutaten:

1. Kein Weg zurück zur Person. Es gibt keinen Schlüssel, mit dem sich eine einzelne Antwort einer Person zuordnen liesse.
2. Eine Mindestgruppengrösse. Ergebnisse werden nur ausgewiesen, wenn genug Personen einer Auswertungseinheit geantwortet haben. Sonst lässt sich auch ohne Schlüssel auf eine Person schliessen, gerade in kleinen Teams.

Der zweite Punkt ist der Grund, warum Anonymität nicht allein eine Frage der Technik ist. Selbst ohne jeden Schlüssel kann ein sehr kleines Team eine Aussage einer Person zuordnen. Deshalb gehören Anonymisierung und Mindestgruppengrösse zusammen.

Grenzen: auch Anonymisierung ist kein Selbstläufer

Ehrlich bleiben heisst auch, die Grenzen der Anonymisierung zu benennen:

• Anonymisierung ist nicht immer trivial. Zu viele demografische Angaben können eine Person auch ohne Schlüssel eindeutig machen. Datenminimierung und Mindestgruppengrösse sind deshalb Teil der Anonymisierung, nicht ein Zusatz.
• Pseudonymisierung ist nicht per se schlecht. Für manche Zwecke, bei denen man Antworten über die Zeit derselben pseudonymen Kennung zuordnen will, ist sie das richtige Mittel. Nur darf man sie dann nicht als Anonymität verkaufen.
• Der Begriff entscheidet über die Erwartung. Der Schaden entsteht nicht durch Pseudonymisierung an sich, sondern durch das falsche Etikett „anonym” darauf.

Häufige Fehler aus der Praxis

• Pseudonym als anonym verkaufen. Der teuerste Fehler: das Versprechen bricht, sobald die Zuordnung auffliegt, und das Vertrauen ist für lange dahin.
• Den Schlüssel vergessen. Solange irgendwo eine Zuordnungstabelle existiert, sind die Daten pseudonym, egal wie gut sie geschützt ist.
• Anonymität ohne Mindestgruppengrösse behaupten. In kleinen Teams reicht das Weglassen des Namens nicht, um eine Aussage nicht zuordenbar zu machen.
• Die datenschutzrechtliche Folge übersehen. Pseudonyme Daten bleiben Personendaten mit allen Pflichten. Wer das nicht mitdenkt, unterschätzt seinen Aufwand.

Key Takeaways und Fazit

Key Takeaways

• Pseudonymisierung ersetzt identifizierende Angaben durch einen Schlüssel, Anonymisierung entfernt den Personenbezug unumkehrbar.
• Pseudonym ist nicht anonym: solange ein Schlüssel existiert, bleibt die Person bestimmbar.
• Pseudonyme Daten bleiben Personendaten im Sinn des DSG, anonyme fallen nicht darunter.
• Für eine anonyme Befragung braucht es echte Anonymität plus eine Mindestgruppengrösse, nicht Pseudonymisierung.

Fazit. Der Unterschied zwischen Pseudonymisierung und Anonymisierung ist keine akademische Feinheit, sondern die Grenze zwischen einem gehaltenen und einem gebrochenen Anonymitätsversprechen. Wer eine Mitarbeitendenbefragung glaubwürdig anonym anlegen will, sorgt dafür, dass es keinen Weg zurück zur Person gibt, und sichert das mit einer Mindestgruppengrösse ab. Alles andere ist Pseudo-Anonymität, und die kostet am Ende mehr Vertrauen, als sie an Einblick bringt.

Verwandte Inhalte

Vertiefen:

• Massnahmen ableiten nach der Mitarbeiterbefragung
• Anwendungsfall: Mitarbeitendenbefragung
• Kundengeschichten
• Formale Nachweise: Trust-Center · Datenschutz

Wirklich anonym befragen mit Moodtalk

Bei Moodtalk ist Anonymität keine Kosmetik, sondern echt gebaut: keine Pseudonymisierung, die als Anonymität ausgegeben wird, sondern eine konfigurierbare Anonymitätsschwelle, eine Mindestgruppengrösse gegen Rückschliessbarkeit, rollenbasierte Sichtbarkeit und eine Datenhaltung, deren Details offen im Trust-Center liegen. So trägt die Anonymitätszusage, und die Antworten bleiben ehrlich. Anonyme Befragung mit Moodtalk aufsetzen.