Anonymisierung und Pseudonymisierung sind zwei Kerntechniken beim Datenschutz. Dabei hilft die Anonymisierung indem auf solche Weise anonymisierte Daten gar nicht mehr unter den Datenschutz fallen, d.h. „Problem gelöst“. Pseudonymisierung hilft mir dabei nur teilweise: Die Daten unterliegen immer noch dem Datenschutz (weil immer noch formal personen-bezogen) und daher brauche ich als Data Controller (früher Data Owner) immer noch eine Rechtsgrundlage für die Verarbeitung und vor allem die Weitergabe oder Überlassung der Daten an Dritte.

Aber als eine wichtige „privacy-by-design“-Technik (siehe Art 25 DSGVO) erhöht eine Pseudonymisierung den Schutz der Daten deutlich (siehe Art 32 DSGVO) - z.B. als Schutz bei Verlust der Daten oder vor den eigenen Mitarbeitern des Controllers. Außerdem ermöglicht es, die Data Minimization-Anforderung zu erfüllen (jeder darf nur genau DIE Daten sehen und verarbeiten, die für den vorher definierten Zweck unbedingt notwendig sind). Dieser Schutz ist speziell auch dann sehr relevant, wenn die Daten weitergegeben werden, z.B. für statistische Auswertungen bei denen die Identität des Einzelnen nicht relevant für die Forschungsfrage ist.

Das für mich hilfreichste Papier zu Anonymisierung ist bereits aus 2014: Opinion 05/2014 on Anonymisation Techniques Ein Papier der ARTICLE 29 DATA PROTECTION WORKING PARTY der EU zur Erklärung von Anonymisierung und wie falsch gemachte Anonymiserung angegriffen werden kann.

Als Einführung z.B. Philipps privacyweek2017-Vortrag der auf Grundlage des obigen Papiers entstanden ist: Anonymization workshop - Tipps, Tricks und Fallen

Sehr ähnlich dazu der Vortrag (auf englisch): Ross Anderson - Inference control