Pseudonymisierung

Die Operation, welche personenbezogene Daten so ändert, dass sie ohne Hinzuziehung zusätzlicher Informationen (typischerweise einer Zuordnungsliste) nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, wobei zwei Bedingungen erfüllt sein müssen:

1) die zusätzlichen Informationen werden gesondert aufbewahrt, und

2) die Aufbewahrung der Zuordnungsliste wird mit technischen und organisatorischen Maßnahmen abgesichert, die gewährleisten, dass die pseudonymisierten Daten nicht wieder re-identifiziert werden können (es sei denn, durch einen gesondert geregelten und explizit angestoßenen Re-identifizierungsschritt).

Eine Pseudonymisierung ist immer reversibel, wenn auch nicht für jeden, der Zugriff auf die pseudonymisierten Daten hat.
Auch die Verarbeitung pseudonymisierter Daten fällt unter die DSGVO.
Die Pseudonymisierung ist aber eine mögliche und oft angemessene Schutzmaßnahme (etwa nach Art. 25 Abs. 1 DSGVO oder zur Erfüllung der Pflicht zur „Datenminimierung“ nach Art. 5 Abs. 1 lit. c) DSGVO), weil die Teile der Organisation, die keinen Zugriff auf die Zusatzinformationen wie die Zuordnungsliste haben, effektiv beschränkt werden und damit weniger Risiken für die Grundrechte der Betroffenen auslösen können.