Pseudonymisierte Daten sind dann faktisch anonym, wenn der Empfänger sie nicht bestimmten Personen zuordnen kann und auch keinen Anlass oder Möglichkeit zur Zuordnung hat (LG Hannover, Beschl. v. 26.02.2025 - Az.: 128 OWiLG 1/24).
Ein großer Automobilkonzern wurde beschuldigt, personenbezogene Daten seiner Beschäftigten ohne ausreichende Information an einen US-Compliance-Monitor weitergegeben zu haben. Dabei ging es um Listen mit Personalnummern, Hintergrundprüfungen und Angaben zu Disziplinarmaßnahmen. Diese Daten waren meist pseudonymisiert, also ohne Klarnamen.
Die Datenschutzbehörde hielt dies dennoch für einen DSGVO-Verstoß, da die Daten nur pseudonymisiert, aber nicht anonymisiert worden seien, und leitete ein entsprechendes Ordnungswidrigkeiten-Verfahren ein.
Dieser Argumentation folgte das LG Hannover jedoch nicht.
Entscheidend sei die Sichtweise des Empfängers, in diesem Fall des US-Monitors. Pseudonymisierte Daten (z. B. nur mit Personalnummern) seien auch dann faktisch anonym, wenn der Empfänger sie nicht bestimmten Personen zuordnen könne und auch keinen Anlass oder Möglichkeit zur Zuordnung habe.
Der Monitor sei im Ausland tätig gewesen und habe keinen Zugang zu den internen Systemen des Unternehmens gehabt. Auch wenn er theoretisch Klarnamen hätte anfordern können, hat er dies nicht getan. Solange er sich mit den pseudonymisierten Daten begnügt, sind diese für ihn praktisch anonym.
"Die Pseudonymisierung kommt hier jedoch einer Anonymisierung tatsächlich sehr nahe (Stichwort: anonymisierende Pseudonymisierung).
Der außerhalb des Betriebes stehende, im Ausland befindliche Monitor war nämlich nicht in der Lage, die Personalnummern bestimmten Personen zuzuordnen. Die Annahme des LfD, dass dieses „aufgrund von Datenerhebungen und Datenverknüpfungen und geführten Gesprächen durchaus in bestimmten Fällen möglich gewesen sein dürfte“ ist spekulativ und verkennt, dass der Monitor dazu gar keine Veranlassung hatte, weil er nach den vertraglichen Vereinbarungen die Offenlegung von Klarnamen hätte verlangen können. Solange er dies nicht tat und sich mit den Personalnummern begnügte, waren die dahinterstehenden Personen für ihn quasi anonym."
Hinweis:
Das LG Hannover hob die Behördenentscheidung gegen das Unternehmen auf, ließ aber die zuvor erörterte Frage hinsichtlich Anonymisierung am Ende offen. Denn insoweit heißt es in der Entscheidung:
"Letztlich kann die Frage, ob unter diesen Umständen bereits von einer Anonymisierung auszugehen ist, hier jedoch dahingestellt bleiben, zumal die vorgenannte Entscheidung des EuG vom 26.04.2023 nicht rechtskräftig ist.
Jedenfalls ist nach Auffassung der Kammer der aus Art. 13 DSGVO resultierenden Informationspflicht durch die allgemeinen Informationen in der Universellen Datenschutzerklärung, dem Informationsschreiben/FAQ (…) sowie den „Wichtigen datenschutzrechtlichen Informationen im Zusammenhang mit dem Monitorship (…)“ Genüge getan."