DSGVO-Bußgelder im Oktober: Pseudonymisierung ist keine Anonymisierung – und Testsysteme sind kein Freiraum

Was tatsächlich passiert ist

In Rumänien verhängte die Aufsichtsbehörde ANSPDCP eine Strafe, nachdem Unbefugte über einen Cyberangriff auf einen Testserver zugegriffen hatten – dort lagen reale Nutzerdaten statt fiktiver Testdatensätze, darunter Namen, Telefonnummern und Ausweisnummern. Die Behörde ordnete an, eine interne Regelung einzuführen, die in Entwicklungs- und Testumgebungen ausschließlich fiktive Daten zulässt. In dieselbe Richtung geht ein italienisches Bußgeld über 7 Millionen Euro gegen einen Anbieter, der Gesundheitsdaten von rund einer Million Menschen aus etwa 800 Hausarztpraxen auswertete und davon ausging, anonyme Daten zu verarbeiten – die Betroffenen behielten jedoch dauerhafte Kennungen. Am 10. Oktober verhängte die norwegische Datenschutzaufsicht Datatilsynet zudem gegen den Werbetechnikanbieter Xandr, inzwischen Teil von Microsoft, ein Bußgeld von umgerechnet rund 8,6 Millionen Euro: Xandr hatte Daten von Nutzern einer Dating-App verarbeitet und sich auf Einwilligungen berufen, die unwirksam waren – als mitverantwortlicher Verarbeiter hätte das Unternehmen ihre Gültigkeit selbst prüfen müssen.

Meine Einordnung

In Mandaten sehe ich regelmäßig Test- und Schulsysteme, in denen Echt-Daten liegen. Nicht aus Böswilligkeit, sondern aus Bequemlichkeit: „Wir brauchen realistische Daten" ist der häufigste Satz, und er ist verständlich. Nur steht nirgends, dass eine Testumgebung datenschutzrechtlich ein Freiraum wäre. Wenn dort echte Namen, Telefonnummern oder Ausweisnummern liegen, gelten dieselben Anforderungen wie im Produktivsystem – häufig sogar strenger, weil Testsysteme schlechter abgesichert, seltener aktualisiert und breiter zugänglich sind. Der rumänische Fall zeigt die Folge: Nicht das Produktivsystem wurde zum Angriffsziel, sondern das schwächste Glied.

Der zweite, wichtigere Punkt betrifft das Wort „anonymisiert". In fast jedem Projekt, das ich übernehme, heißt „anonymisiert" am Ende „Namen entfernt, Kennung geblieben". Das ist Pseudonymisierung, kein Anonymisieren. Anonymisieren heißt, dass sich der Bezug zu einer Person nicht mehr herstellen lässt – und das ist, wie der italienische Fall zeigt, leichter gesagt als getan. Wer umfangreich mit sensiblen Daten arbeitet, sollte früh und ehrlich prüfen, ob tatsächlich noch ein Personenbezug möglich ist; eine Datenschutz-Folgenabschätzung ist die richtige Stelle dafür. Ich bin hier bewusst vorsichtig: Ob im Einzelfall eine bestimmte Datenhaltung noch personenbezogen ist, verlangt eine Prüfung und im Zweifel rechtliche Beratung. Auskunft geben kann nur, wer den konkreten Fall kennt.

Und ein dritter Punkt ist beinahe eine Binsenweisheit, wird aber immer wieder übersehen: Man kann die eigene datenschutzrechtliche Verantwortung nicht auf den Geschäftspartner abschieben. Xandr verließ sich auf Einwilligungen der App, und der Werbevermarkter zahlte trotzdem. In denselben Topf gehört der Satz „wir bekommen die Daten von unserem Partner, der hat das geregelt". Der Partner regelt seine Rolle – Ihre Verantwortung regeln Sie. Gerade bei Dienstleistern und Werbediensten, die im Münchener Umland und in Augsburg sehr verbreitet sind, lohnt ein nüchterner Blick in den eigenen Vertragsordner.

Was Sie jetzt konkret tun können

1. Testdaten-Regel schriftlich. Legen Sie fest, dass Entwicklungs- und Testumgebungen ausschließlich synthetische oder wirksam anonymisierte Daten führen. Kein Projekt ohne diese Regel.

2. Echt-Daten in Testsystemen suchen. Gehen Sie einmal durch, wo in Ihrer Organisation Testsysteme mit realen Daten laufen, und räumen Sie auf. Der Angriff kommt oft nicht über das schöne Produktivsystem.

3. Anonymisierung hinterfragen. Prüfen Sie, ob „anonymisierte" Daten noch dauerhafte Kennungen, Geburtsjahre oder Kombinationen enthalten, über die Rückschlüsse möglich sind. Im Zweifel: Datenschutz-Folgenabschätzung.

4. Auftragsverarbeitung sauber machen. Für jeden Dienstleister, der Ihre Daten verarbeitet, ein Vertrag zur Auftragsverarbeitung und ein ehrliches Bild davon, was dort tatsächlich passiert.

5. Bei Anspruchsvorlagen nicht improvisieren. Erhält Ihre Organisation eine Auskunftsanfrage, ist ein eingeübter Ablauf in zwei Tagen erledigt. Unklar formulierte Antworten werden häufiger nachverfolgt.

Wenn Ihre Datenhaltung über Jahre gewachsen ist, hilft ein Blick von außen – nicht, um etwas zu finden, sondern um den Ist-Stand endlich zu dokumentieren.