Ein gelöschter Name macht einen CRM-Datensatz noch nicht anonym. Kombinationen aus Unternehmen, Ort, Rolle, Zeitstempel, seltenem Produkt und Freitext können eine Person weiterhin erkennbar machen.
Ein entfernter Name macht einen Datensatz noch nicht anonym.Die kurze Antwort
Beginnen Sie mit Datenminimierung und unterscheiden Sie echte Anonymisierung von Pseudonymisierung. Entfernen Sie direkte Identifikatoren, verallgemeinern Sie seltene Merkmale, bereinigen Sie Freitext und halten Sie Zuordnungstabellen strikt getrennt. Testen Sie anschließend, ob Personen mit realistisch verfügbarem Zusatzwissen wiedererkannt werden könnten. Wenn eine Rückbeziehung möglich bleibt, behandeln Sie die Daten weiterhin als personenbezogen.
Anonym oder nur pseudonym?
Bei Pseudonymisierung wird ein Identifikator ersetzt, die Zuordnung bleibt über Zusatzinformationen möglich. Das senkt Risiken, beendet aber nicht automatisch den Personenbezug. Echte Anonymisierung muss eine Re-Identifikation nach vernünftigerweise verfügbaren Mitteln praktisch ausschließen und ist kontextabhängig.
Feldweise statt exportweise denken
Erstellen Sie eine Feldliste mit vier Entscheidungen: behalten, verallgemeinern, ersetzen oder löschen. E-Mail, Telefon und CRM-ID entfallen meist. Alter kann zur Spanne, Datum zum Monat und Umsatz zur Klasse werden. Prüfen Sie auch versteckte Metadaten und verknüpfte IDs.
Freitext ist der schwierigste Bereich
- Namen, Adressen und Kontaktdaten erkennen und entfernen.
- Signaturen, Ticketzitate und Dateinamen bereinigen.
- Seltene Ereignisse und Kombinationen verallgemeinern.
- Stichprobe manuell auf Restidentifikatoren prüfen.
- Zuordnungstabellen getrennt, verschlüsselt und befristet halten.
Re-Identifikation angreifen
Lassen Sie eine unabhängige Person versuchen, Datensätze mit öffentlich oder intern verfügbarem Wissen zuzuordnen. Dokumentieren Sie Treffer und passen Sie Generalisierung oder Stichprobe an. Synthetische Daten sind für frühe technische Tests oft die risikoärmere Wahl.
Warum Pseudonymisierung meist nicht reicht
Anonym und pseudonym sind rechtlich zwei verschiedene Zustände mit verschiedenen Folgen. Solange ein Bezug über eine Zuordnungstabelle, ein Kürzel oder eine Kombination von Merkmalen herstellbar ist, bleiben es personenbezogene Daten mit allen Pflichten. Ein ersetzter Name allein leistet das nicht.
Die Gefahr steckt in der Kombination. Branche, Ort, Rolle, Unternehmensgröße und ein Zeitstempel identifizieren in einem überschaubaren Markt oft eindeutig eine Person, obwohl jedes Merkmal für sich harmlos wirkt. Prüfen Sie deshalb die Merkmalskombination und nicht nur die offensichtlichen Felder.
Freitext ist der schwierigste Teil. Notizen, Gesprächsprotokolle und Betreffzeilen enthalten Namen, Orte und Ereignisse an unvorhersehbaren Stellen, und eine Ersetzung nach Muster übersieht regelmäßig Fälle. Wo Freitext unverzichtbar ist, brauchen Sie eine Stichprobenkontrolle durch Menschen.
Greifen Sie Ihr eigenes Ergebnis an. Nehmen Sie den anonymisierten Auszug und versuchen Sie mit öffentlich verfügbaren Informationen, einzelne Personen zuzuordnen. Gelingt das in wenigen Minuten, ist die Anonymisierung nicht ausreichend, und dieser Test ist deutlich billiger als die spätere Feststellung durch jemand anderen.
Dokumentieren Sie Verfahren und Restrisiko. Vollständige Anonymität ist selten erreichbar, und das ist auch nicht immer nötig. Nachvollziehbar muss sein, welches Verfahren Sie angewandt haben, welches Risiko Sie bewusst in Kauf nehmen und warum das vertretbar ist.
Trennen Sie die Zuordnungstabelle vom Datenbestand, wenn Sie pseudonymisieren. Liegen Schlüssel und Daten am selben Ort und mit denselben Zugriffsrechten, ist die Trennung nur formal, und der Schutz existiert allein auf dem Papier. Getrennte Ablage mit eigenen Rechten macht aus der Absicht eine Maßnahme. Legen Sie außerdem fest, wann der Schlüssel gelöscht wird, denn eine unbefristet aufbewahrte Zuordnung hält den Personenbezug dauerhaft am Leben.
Abnahme-Checkliste
- Zweck, Verantwortlichkeit und erwartetes Ergebnis sind dokumentiert.
- Nur notwendige Daten und Berechtigungen werden verwendet.
- Vertrag, Produktvariante und aktuelle Anbieterbedingungen sind geprüft.
- Normalfall, Grenzfall und Fehlerfall wurden nachvollziehbar getestet.
- Kritische Ausgaben benötigen eine fachliche menschliche Freigabe.
- Protokollierung, Löschung, Offboarding und Rollback sind festgelegt.
Häufige Fragen
Kann ich die Lösung ohne Datenschutzprüfung produktiv einsetzen?
Bei personenbezogenen Kunden- oder Beschäftigtendaten sollte die verantwortliche Datenschutzstelle den konkreten Zweck, Vertrag und Datenfluss vor der Produktivfreigabe prüfen.
Reicht eine gute Prompt-Anweisung als Schutz?
Nein. Prompts unterstützen das Verhalten, ersetzen aber keine Berechtigungsgrenzen, Datenminimierung, technische Validierung, Protokollierung und menschliche Freigabe.
Wie starte ich mit möglichst geringem Risiko?
Beginnen Sie mit synthetischen oder wirksam anonymisierten Daten, rein lesendem Zugriff und einem begrenzten Testdatensatz. Erweitern Sie den Umfang erst nach dokumentierter Qualitäts- und Risikoprüfung.
Quellen und ausführliche Anleitung
Stand: 13. August 2026. Anthropic Privacy Center: DSGVO und Datenschutz, Anthropic: Data Processing Addendum (DPA). Die ausführliche Fassung mit Betriebs- und Teststandard steht im Zophoria-Hilfebereich.