Die Durchsetzungsaktion des EDPB von 2025
Der koordinierte Durchsetzungsrahmen (CEF) des Europäischen Datenschutzausschusses (EDPB) von 2025 zielte auf Artikel 17 der DSGVO — das Recht auf Löschung. Zweiunddreißig Datenschutzbehörden in der EU und dem EWR untersuchten gleichzeitig, wie Organisationen auf Anfragen zum Recht auf Löschung reagieren. Der koordinierte Ansatz sollte systematische Fehler identifizieren und nicht einzelne Ausreißerfälle.
Die Ergebnisse identifizierten sieben wiederkehrende Compliance-Herausforderungen bei den untersuchten Organisationen:
- Schlecht dokumentierte interne Verfahren zur Bearbeitung von Löschanfragen
- Übermäßig breite Ablehnung legitimer Anfragen (zulässige Ausnahmen zu breit angewendet)
- Unangemessene Belastungen für Personen, wenn sie Löschanfragen einreichen
- Unfähigkeit, alle personenbezogenen Daten in den Systemen zu lokalisieren, wenn eine Löschanfrage bearbeitet wird
- Übermäßige Verzögerungen bei der Bearbeitung von Anfragen über das 30-tägige Antwortfenster der DSGVO hinaus
- Unzureichende Kommunikation an die betroffenen Personen über das Ergebnis ihrer Anfragen
- Ineffiziente Anonymisierungstechniken, die als Alternative zur Löschung verwendet werden — speziell gekennzeichnet als Organisationen, die technisch fehlerhafte "Anonymisierung" verwenden, die Daten re-identifizierbar lässt
Neun Datenschutzbehörden leiteten formelle Ermittlungen auf Grundlage der CEF-Ergebnisse ein. Die siebte wiederkehrende Herausforderung — ineffiziente Anonymisierung — ist direkt relevant für Organisationen, die Anonymisierung als ihre primäre Strategie zur Datenminimierung verwenden.
Die Anonymisierungsalternative zur Löschung
Das Recht auf Löschung gemäß der DSGVO erfordert nicht in allen Fällen eine Löschung. Erwägungsgrund 65 stellt fest, dass die Löschung durch Anonymisierung erreicht werden kann, wenn eine Löschung technisch nicht möglich ist (zum Beispiel bei Sicherungskopien oder integrierten Analysesystemen, bei denen die Löschung einzelner Datensätze eine Systemrekonstruktion erfordern würde).
Die CEF-Ergebnisse des EDPB zeigen, dass diese Alternative missbraucht wird: Organisationen behaupten "Anonymisierung" für Datenumwandlungen, die die Daten technisch re-identifizierbar lassen — sie verwenden das Wort, um die operationale Belastung einer tatsächlichen Löschung zu vermeiden, anstatt das Datenschutz-Ergebnis zu erreichen, das Anonymisierung bieten soll.
Die Unterscheidung, die der EDPB trifft: echte Anonymisierung — bei der die Verbindung zwischen den Daten und der Person mit keinem der dem Datenverantwortlichen oder Dritten zur Verfügung stehenden Mittel wiederhergestellt werden kann — entfernt die Daten aus dem Anwendungsbereich der DSGVO und erfüllt die Löschanfrage. Pseudonymisierung — bei der eine Re-Identifizierung mit dem entsprechenden Schlüssel möglich ist — erfüllt die Löschanfrage nicht; die personenbezogenen Daten der betroffenen Person existieren weiterhin und müssen gelöscht oder der Schlüssel muss zerstört werden.
Praktische Compliance-Strategie
Für Organisationen, die Anonymisierung als Alternative zur Löschung in Analysesystemen verwenden:
Die richtige Architektur trennt die Datenaufnahme (rohe personenbezogene Daten) von der Datenanalyse (anonymisierte Derivate). Personenbezogene Daten in der Aufnahmeebene unterliegen Löschanfragen — wenn eine betroffene Person ihre Rechte gemäß Artikel 17 ausübt, werden die personenbezogenen Daten in der Aufnahmeebene gelöscht. Die anonymisierten Derivate in der Analyseebene — wenn die Anonymisierung umfassend und irreversibel war — müssen nicht geändert werden, da sie keine personenbezogenen Daten mehr sind.
Diese Architektur erfordert, dass die Anonymisierung an der Grenze zwischen Aufnahme und Analyse technisch einwandfrei ist: irreversibel (nicht Tokenisierung), umfassend (alle Identifikator-Kategorien angesprochen) und dokumentiert (die Organisation kann einer Datenschutzbehörde nachweisen, dass die Anonymisierungsmethode den Standards des EDPB entspricht). Das Einzelhandelsunternehmen, das die Kaufhistorie von Kunden vor der Analyse anonymisiert, indem es Namen und Kontaktdaten durch Tokens unter reversibler Verschlüsselung ersetzt, hat die Daten pseudonymisiert (nicht anonymisiert) — der Analysedatensatz enthält weiterhin personenbezogene Daten, die Löschanfragen unterliegen.
Quellen: