«Anonym» gilt nur relativ: Wann Ihr «anonymisierter» Datensatz Personendaten bleibt

Der EDSA hat am 8. Juli die Anonymisierungs-Leitlinien 02/2026 zur Konsultation freigegeben. Sie verankern die Schwelle bei den «nach allgemeinem Ermessen wahrscheinlich genutzten Mitteln» — womit viele als anonym behandelte Datensätze Personendaten bleiben und im Geltungsbereich von DSGVO und DSG verharren.

«Anonym» ist im Datenschutzrecht ein relativer Begriff: Er beschreibt das Verhältnis zwischen einem Datensatz und der Stelle, die ihn hält, nicht eine Eigenschaft der Daten selbst. Der Europäische Datenschutzausschuss (EDSA) hat diesen Grundsatz am 8. Juli mit den Leitlinien 02/2026 zur Anonymisierung an eine harte Schwelle gebunden: massgeblich sind die «nach allgemeinem Ermessen wahrscheinlich genutzten Mittel» (Erwägungsgrund 26 DSGVO). Wer diese Schwelle nicht besteht, führt weiter Personendaten, auch wenn auf dem Ordner «anonymisiert» steht, und bleibt damit im Geltungsbereich von DSGVO und DSG. Das trifft mehr Datensätze, als die Praxis annimmt.

Der Fall dahinter ist jeder Rechtsabteilung vertraut. Nach der Abwicklung der Banco Popular sammelte der Single Resolution Board (SRB) 2018 die Stellungnahmen betroffener Aktionäre und Gläubiger und gab 1 104 davon an Deloitte weiter, jede mit einem alphanumerischen Code versehen; den Schlüssel zur Rückverknüpfung behielt allein der SRB. So übergibt man einen Kundendatensatz an einen externen Bewerter, an einen Bieter im Datenraum oder an einen Dienstleister. Der Europäische Gerichtshof hat daraus am 4. September 2025 einen Grundsatz gemacht (Rechtssache C-413/23 P, EDSB/SRB), auf den sich die Leitlinien ausdrücklich stützen. Auf den zweiten Rügegrund — Verletzung des Rechts auf gute Verwaltung nach Art. 41 der Charta — verwies der EuGH die Sache an das Gericht zurück; der datenschutzrechtliche Grundsatz ist davon unberührt.

Die Schwelle verlangt einen Test in drei Schritten, den der EDSA im Konsultationsentwurf der Leitlinien 02/2026 aus der Praxis der Artikel-29-Datenschutzgruppe fortschreibt. Ein Datensatz ist nur dann anonym, wenn eine Stelle daraus niemanden mehr aussondern (Aussonderung), keinen Eintrag mit einer anderen Quelle verknüpfen (Verknüpfbarkeit) und aus den Merkmalen nichts über eine Einzelperson zurückschliessen kann (Rückschluss). Besteht der Datensatz auch nur eine dieser Prüfungen nicht, sind es Personendaten. Ein Beispiel: Eine um Name und Kundennummer bereinigte Tabelle mit Postleitzahl, Geburtsjahr und Beruf sondert in einer kleinen Gemeinde bereits eine einzige Person aus — sie bleibt bestimmbar und damit Personendaten. Der EDSA hält die Begriffe auseinander: pseudonymisierte Daten — Gegenstand der separat veröffentlichten Leitlinien 01/2025 — bleiben für jeden, der den Schlüssel oder die nötige Zusatzinformation beschaffen kann, Personendaten; anonym sind sie erst, wenn der Rückweg für die betrachtete Stelle praktisch versperrt ist.

Der Fall lief unter der Verordnung (EU) 2018/1725, deren Begriffe sich mit der DSGVO decken. Der EuGH zog daraus die relative Konsequenz. Für den SRB, der den Schlüssel hielt, blieben die codierten Stellungnahmen Personendaten (Rn. 76); für Deloitte, das ihn nicht hatte und die Personen mit zumutbaren Mitteln nicht bestimmen konnte, mussten es dieselben Daten nicht sein (Rn. 77). Pseudonymisierte Daten sind, so das Gericht wörtlich, nicht «in allen Fällen und für jede Person» Personendaten (Rn. 86). Derselbe Datensatz kann in der einen Hand reguliert und in der anderen frei sein.

Kanzleien lasen das als Entlastung — Bird & Bird sprach vom «neuen Zeitalter» für den Datenaustausch und stellte die Frage, ob ein Auftragsbearbeitungsvertrag beim Empfänger ohne Schlüssel noch erforderlich sei — empfahl aber, ihn vorläufig weiterhin abzuschliessen. Die Leitlinien vom 8. Juli drehen die Richtung dieser Lesart um. Der relative Ansatz ist kein Freibrief, sondern eine Beweislast: Wer «anonym» geltend macht, muss den Test für jede Empfängerkonstellation dokumentieren und laufend nachführen. Die Last liegt beim Verantwortlichen, nicht bei der Aufsicht — nicht die Behörde muss die Re-Identifikation vorführen, sondern das Unternehmen die Anonymität belegen. Und der EuGH hat die zweite Hälfte des Urteils mitgeliefert, die in den Jubelmeldungen untergeht.

Die Informationspflicht des Verantwortlichen bemisst sich nach dessen eigener Perspektive im Zeitpunkt der Erhebung, nicht nach jener des Empfängers (Rn. 102). Der SRB hätte die Weitergabe an Deloitte also nennen müssen, gleichgültig, ob die Daten dort anonym ankamen. Übersetzt in die DSGVO: Art. 13 Abs. 1 lit. e verlangt die Angabe der Empfänger bereits bei der Datenerhebung. Die Anonymisierung am Ausgang befreit die Datenschutzerklärung am Eingang nicht.

Für die Schweiz verschiebt das den Massstab nicht, es schärft ihn. Art. 5 lit. a DSG definiert Personendaten als Angaben über eine «bestimmte oder bestimmbare» natürliche Person; die Begriffe «Anonymisierung» und «Pseudonymisierung» kennt das Gesetz nicht als Legaldefinition. Botschaft und Bundesgericht folgen seit je dem relativen Ansatz: Anonym ist ein Datensatz erst, wenn seine Rückführung nur mit einem Aufwand gelänge, den «keine Person vernünftigerweise auf sich nehmen würde» (BGE 136 II 508, Logistep). Das ist dieselbe Prüfung wie die «wahrscheinlich genutzten Mittel». Damit hängt auch die Frage, ob Art. 9 DSG überhaupt einen Auftragsbearbeitungsvertrag verlangt, an derselben relativen Beurteilung: Erhält der Dienstleister Personendaten, braucht es den Vertrag; erhält er einen für ihn anonymen Datensatz, nicht. Und wo ein Schweizer Unternehmen Daten von Personen in der EU bearbeitet (Art. 3 Abs. 2 DSGVO), gilt die EDSA-Schwelle ohnehin unmittelbar.

Konkret: Nehmen Sie die Datensätze, die Ihre Prozesse als «anonymisiert» aus dem Perimeter ausbuchen, und prüfen Sie jeden gegen die drei Kriterien — dokumentiert, pro Empfänger, mit Blick auf die Zusatzdaten, die dieser realistisch beiziehen kann. Der typische Fall in der Transaktion ist der Kundendatensatz, den der Verkäufer dem Bieter im Datenraum «anonymisiert» offenlegt oder den ein Carve-out per Transitional-Services-Agreement an den Erwerber übergibt. Stellt er sich später als bestimmbar heraus, war die Offenlegung eine Bekanntgabe von Personendaten ohne Rechtsgrundlage — mit Meldepflicht gegenüber der Aufsichtsbehörde (Art. 33 DSGVO, Art. 24 nDSG), allenfalls gegenüber den Betroffenen (Art. 34 DSGVO) und Bussrahmen nach Art. 83 Abs. 4 lit. a DSGVO. Der EDSA nennt im Konsultationsentwurf zwei Wege: einen kontextbezogenen Ansatz, der die unterschiedlichen Fähigkeiten möglicher Empfänger berücksichtigt, und einen vereinfachten, der sie ignoriert und im Zweifel Personendaten annimmt; die Formulierungen können sich bis zur Endfassung noch ändern. Wer den kontextbezogenen Weg wählt, um einen Auftragsbearbeitungsvertrag nach Art. 9 DSG oder Art. 28 DSGVO zu sparen, trägt die Dokumentationslast dafür. Und die Linie bewegt sich: Dieselbe Plenarsitzung befasste sich mit dem Web-Scraping für generative KI, weil billiger werdende Inferenz die «wahrscheinlich genutzten Mittel» laufend erweitert. Der Rückschluss-Test von gestern besteht heute womöglich nicht mehr.

Bekannt ist die Richtung: relativer Ansatz, Test in drei Schritten, dokumentierte Beweislast beim Verantwortlichen. Offen ist, ob der vereinfachte oder der kontextbezogene Weg belastbar bleibt, und damit, ob ein Empfänger ohne Schlüssel den Auftragsbearbeitungsvertrag einsparen darf. Das entscheidet der EDSA in der Endfassung der Leitlinien nach dem Ende der Konsultation am 30. Oktober 2026; die ersten Aufsichtsentscheide, die den SRB-Massstab jenseits der Informationspflicht anwenden, dürften zeigen, wie eng die Behörden ihn ziehen. Bis dahin behandeln Sie jeden «anonymisierten» Export als Personendaten, solange die Prüfung der drei Kriterien für den konkreten Empfänger nicht dokumentiert vorliegt.