Warum das Wort „anonym“ so viel verspricht
Anonym ist im Datenschutzrecht kein Werbewort, sondern eine Rechtsfolge. Die Grundsätze des Datenschutzes sollen nicht für anonyme Informationen gelten, also für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen (Erwägungsgrund 26 DSGVO). Wer seine Webanalyse anonym nennt, sagt damit zugleich: Für diese Daten ist keine Rechtsgrundlage zu prüfen, keine Auskunft zu erteilen, keine Löschfrist festzulegen und kein Vertrag zur Auftragsverarbeitung nötig. Stimmt die Einordnung nicht, fehlen in der Praxis genau diese Pflichten.
Pseudonyme Daten sind etwas anderes. Die DSGVO definiert Pseudonymisierung als eine Verarbeitung, nach der personenbezogene Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese Informationen gesondert aufbewahrt und durch technische und organisatorische Maßnahmen geschützt werden (Art. 4 Nr. 5 DSGVO). Solche Daten sollen als Informationen über eine identifizierbare Person betrachtet werden, wenn sie sich durch Heranziehung zusätzlicher Informationen zuordnen lassen (Erwägungsgrund 26 DSGVO). Pseudonymisierung kann die Risiken für Betroffene senken und bei der Einhaltung der Pflichten helfen (Erwägungsgrund 28 DSGVO); an der Anwendung der Verordnung ändert sie nichts.
Die neuen Leitlinien ziehen daraus eine klare Folgerung für die Transparenz: Verantwortliche sollen Bezeichnungen wie „anonym“, „de-identifiziert“ oder „entpersonalisiert“ nicht verwenden, wenn Personen tatsächlich noch identifizierbar sind (EDPB 02/2026, Rn. 40). In der Werbung kommt das Lauterkeitsrecht hinzu: Unlauter handelt, wer eine irreführende geschäftliche Handlung vornimmt, die geeignet ist, Verbraucher oder sonstige Marktteilnehmer zu einer geschäftlichen Entscheidung zu veranlassen, die sie andernfalls nicht getroffen hätten (UWG, § 5 Abs. 1). Für Verstöße gegen die Grundsätze der Verarbeitung und die Betroffenenrechte, zu denen die Informationspflichten zählen, sieht die DSGVO Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO).
Was die Leitlinien 02/2026 sind und wo das Verfahren steht
Der EDPB hat die „Guidelines 02/2026 on Anonymisation“ am 7. Juli 2026 als Version 1.0 angenommen, ausdrücklich als Fassung für die öffentliche Konsultation (EDPB 02/2026). Stellungnahmen konnten bis zum 30. Oktober 2026 eingereicht werden (EDPB). Bei Redaktionsschluss lag nur diese Fassung vor. Eine überarbeitete Endfassung steht aus, Einzelheiten können sich bis dahin noch ändern.
Die Leitlinien lösen die Stellungnahme 05/2014 der Artikel-29-Datenschutzgruppe zu Anonymisierungstechniken ab, die 2014 drei Kriterien zur Prüfung der Anonymität aufgestellt hatte (EDPB 02/2026, Rn. 2). Nach der alten Stellungnahme getroffene Einstufungen müssen nicht allein wegen der Neufassung wiederholt werden; eine regelmäßige Neubewertung nennt der EDPB aber gute Praxis (EDPB 02/2026, Fn. 3).
Der relative Ansatz: anonym für wen?
Den Kern hat der Gerichtshof im Urteil vom 4. September 2025 in der Rechtssache C-413/23 P vorgegeben (EuGH): Pseudonymisierte Daten müssen nicht in jedem Fall und für jede Person als personenbezogen gelten (EuGH, Rn. 86). Für den Verantwortlichen, der pseudonymisiert hat und die Zuordnung kennt, bleiben sie personenbezogen (EuGH, Rn. 76). Für einen Empfänger kann das anders sein, wenn er die Schutzmaßnahmen nicht aufheben kann und die Daten auch auf anderem Weg, etwa durch einen Abgleich, keiner Person zuordnen kann (EuGH, Rn. 77).
Das Urteil betrifft die Datenschutzverordnung für die Organe der Union, die einheitlich mit der DSGVO auszulegen ist, soweit sie auf denselben Grundsätzen beruht (Verordnung 2018/1725, Erwägungsgrund 5). Die Leitlinien übertragen den Ansatz deshalb: Ob Information anonym ist, wird aus der Sicht jeder relevanten Stelle beurteilt, typischerweise jeder Stelle, für die die Daten anonym sein sollen (EDPB 02/2026, Rn. 6, 11 und 12). Ziel bleibt, dass die Daten für alle relevanten Stellen anonym sind.
Zwei Einschränkungen sind für Webanalyse entscheidend. Erstens übernimmt, wer Daten im Auftrag eines anderen verarbeitet, dessen Blickwinkel: Sind die Daten für den Verantwortlichen personenbezogen, gelten sie auch für den Auftragsverarbeiter als personenbezogen (EDPB 02/2026, Rn. 15). Ein Analytics-Dienst, der im Auftrag des Websitebetreibers misst, kann sich also nicht auf seine eigene Unkenntnis berufen. Zweitens wirkt eine Übermittlung zurück. Ist es wahrscheinlich, dass Daten an einen Dritten gehen, und lässt sich nicht ausschließen, dass dieser sie zuordnen kann, sind sie für diese Übermittlung und indirekt auch für den Übermittelnden personenbezogen (EDPB 02/2026, Rn. 21). Und die Informationspflicht beim Erheben folgt dem Blickwinkel des Verantwortlichen zu diesem Zeitpunkt, nicht dem des Empfängers (EDPB 02/2026, Rn. 14).
Die Schwelle: nicht null, sondern unerheblich
Wie wahrscheinlich darf eine Identifizierung sein? Die Leitlinien antworten mit dem Gerichtshof: Damit Information anonym ist, muss die Wahrscheinlichkeit, eine Person im jeweiligen Kontext von anderen zu unterscheiden, nicht null sein; sie soll in der Wirklichkeit unerheblich sein (EDPB 02/2026, Rn. 22). Nach dem EuGH erscheint das Risiko etwa dann unbedeutend, wenn eine Identifizierung gesetzlich verboten oder praktisch nicht durchführbar ist, zum Beispiel wegen unverhältnismäßigen Aufwands an Zeit, Kosten und Arbeitskraft (EuGH, Rn. 82).
Was als Mittel zählt, fassen die Leitlinien weit: vom Lesen eines Dokuments über eine Websuche bis zu aufwendigen Analysen, einschließlich Mitteln, die nur über Dritte erreichbar sind (EDPB 02/2026, Rn. 28). Ob eine Stelle solche Mittel wahrscheinlich nutzt, ist anhand aller objektiven Faktoren zu beurteilen (EDPB 02/2026, Rn. 29). Genannt werden unter anderem:
- Daten: Aggregation, Einzigartigkeit der Datensätze, Genauigkeit.
- Kontext: ob der Zugriff wirksam und dauerhaft beschränkt ist.
- Zusatzinformationen: was eine Zuordnung erlaubt und wie wahrscheinlich es zu beschaffen ist.
- Aufwand: Kosten und Zeit für solche Zusatzinformationen.
- Technik: heutiger Stand und absehbare Entwicklungen.
Drei Punkte daraus widersprechen verbreiteten Begründungen. Fehlendes Interesse an einer Identifizierung ist kein tragfähiges Argument, weil sich Motive schwer belegen lassen und ändern können (EDPB 02/2026, Rn. 31). Ein vertragliches Verbot steht einem gesetzlichen nicht gleich und soll technische Maßnahmen nur ergänzen (EDPB 02/2026, Rn. 34). Und die Einschätzung altert: Steigt die Wahrscheinlichkeit einer Identifizierung durch neue Technik oder zusätzlich verfügbare Daten über die Schwelle, sind zuvor anonyme Daten wieder personenbezogen (EDPB 02/2026, Rn. 35).
Kennung, Merkmalskombination, Fingerprint
Identifizieren heißt nach den Leitlinien, eine Person in einem Kontext von anderen zu unterscheiden, so dass sie anders behandelt werden kann (EDPB 02/2026, Rn. 19). Als Beispiele für eine eindeutige Kennung nennen die Leitlinien Name, Sozialversicherungsnummer, E-Mail-Adresse und IP-Adresse (EDPB 02/2026, Rn. 23). Für Websitebetreiber passt dazu das Breyer-Urteil vom 19. Oktober 2016: Eine dynamische IP-Adresse, die ein Anbieter beim Seitenaufruf speichert, ist für ihn personenbezogen, wenn er über rechtliche Mittel verfügt, die Person anhand der Daten des Internetzugangsanbieters bestimmen zu lassen (EuGH, C-582/14).
Häufiger als eine einzelne Kennung trägt die Kombination. Merkmale, die einzeln nicht eindeutig sind, können zusammen nur auf eine Person passen. Die Leitlinien zeigen das an der einzigen Person auf einer Straße, die einen schwarzen Anzug trägt und zugleich einen Hund ausführt (EDPB 02/2026, Rn. 24). Wie schnell Kombinationen eindeutig werden, belegen Studien: In Mobilfunkdaten von anderthalb Millionen Menschen über 15 Monate genügten vier Orts-Zeit-Punkte, um 95 Prozent eindeutig zu identifizieren (Scientific Reports 2013). Nach einer Modellschätzung wären 99,98 Prozent der US-Bevölkerung in jedem Datensatz mit 15 demografischen Merkmalen korrekt wiedererkennbar (Nature Communications 2019).
Für Websites besonders deutlich ist Randnummer 25. Dort beschreiben die Leitlinien, dass eine Website ihre Besucher anhand der einzigartigen Kombination aus Browser, Betriebssystem, Bildschirmauflösung, Zeitzone und weiteren Werten per Fingerprint erkennen und über Seitenwechsel und Besuche hinweg identifizieren kann (EDPB 02/2026, Rn. 25). Auch ein daraus abgeleitetes Pseudonym erlaubt die Identifizierung, selbst für einen Dritten ohne direkten Kontakt zu den Besuchern (EDPB 02/2026, Beispiel 6).
Wie einzigartig Browser sind, haben Messungen unterschiedlich beziffert. In einer Stichprobe der Electronic Frontier Foundation (EFF) von 470.161 Browsern datenschutzbewusster Nutzer hatten 83,6 Prozent einen einmaligen Fingerprint (EFF 2010). Eine spätere Auswertung von 2.067.942 Fingerprints einer großen französischen Website kam auf 33,6 Prozent eindeutige Fingerprints (Gómez-Boix u. a., The Web Conference 2018). Beide Werte führen zum selben Schluss: Ein Hash über Browsermerkmale ist kein anonymer Wert, sondern im Zweifel eine Kennung.
Jedes Verfahren, das Besuche einander zuordnet, erzeugt eine Kennung. Für die Einordnung zählt, wie lange sie gilt, wer sie zurückrechnen kann und welche Merkmale an ihr hängen.
Was das Löschen des Schlüssels bewirkt und was nicht
Viele cookielose Verfahren bilden eine Kennung als Hash aus der IP-Adresse und einem geheimen Zufallswert, dem Salt, und wechseln diesen regelmäßig. Das ist eine Pseudonymisierung. Worauf es dabei ankommt, beschreiben die Leitlinien 01/2025 des EDPB, angenommen am 16. Januar 2025 als Fassung für die Konsultation (EDPB 01/2025). Ein Hash ohne Geheimnis schützt wenig: Wer weiß, dass nur ein SHA-256-Hash gebildet wurde, kann die Rechnung auf alle bekannten Ausgangswerte anwenden und vergleichen (EDPB 01/2025, Fn. 23). Das Geheimnis braucht ausreichend Zufall; ein Datum als Parameter hätte nach den Leitlinien eine sehr geringe Entropie (EDPB 01/2025, Fn. 24).
Wird der Salt nach Ablauf des Tages gelöscht, lässt sich die Kennung danach nicht mehr aus einer IP-Adresse nachrechnen, auch nicht vom Betreiber. Das ist eine wirksame Schutzmaßnahme. Anonym macht sie die Daten aber nicht von selbst: Auch wenn alle Zusatzinformationen beim pseudonymisierenden Verantwortlichen gelöscht sind, können pseudonymisierte Daten nur dann als anonym gelten, wenn die Bedingungen der Anonymität erfüllt sind (EDPB 01/2025). Die Kennung verliert ihren Schlüssel, die Besuchszeile behält Uhrzeit, Seitenpfad, Gerätetyp und ungefähren Ort. Genau diese Merkmale prüfen die Leitlinien 02/2026 mit ihren drei Kriterien.
Die drei Prüfkriterien, angewendet auf Analytics-Daten
Der technische Teil der Leitlinien prüft Anonymität an drei Kriterien. Sind alle drei erfüllt, können die Daten als anonym gelten; ist eines verletzt, folgt eine weitere Prüfung, ob die Daten trotzdem anonym sein können (EDPB 02/2026, Rn. 52).
Erfüllt, wenn die Daten keine einmalige Kombination von Merkmalswerten enthalten, die sich auf eine einzelne Person bezieht. Je mehr Merkmale ein Datensatz trägt, desto wahrscheinlicher ist er einmalig.
Erfüllt, wenn sich kein Datensatz mit einem Datensatz derselben Person aus einem anderen Bestand verbinden lässt, sei es über eine gemeinsame Kennung oder über eine Kombination von Merkmalen.
Erfüllt, wenn sich aus den Daten, auch zusammen mit Zusatzinformationen, keine konkrete und aussagekräftige Schlussfolgerung über eine einzelne Person ziehen lässt, auch nicht aus zusammengefassten Zahlen.
Dazu kommen zwei Wege der Prüfung (EDPB 02/2026, Rn. 45). Der vereinfachte Ansatz sieht von Unterschieden zwischen den Stellen ab, unterstellt, dass vorhandene Mittel von irgendwem genutzt werden, und liegt im Zweifel auf der vorsichtigen Seite. Der kontextbezogene Ansatz prüft die Mittel jeder Stelle einzeln, birgt aber das Risiko, eine Stelle zu übersehen (EDPB 02/2026, Rn. 47 und 48). Für Webanalyse sieht das so aus:
| Datenform | Isolierung | Verknüpfung | Ableitung | Einordnung in der Regel |
|---|---|---|---|---|
| Besuchszeile mit Tageskennung, Uhrzeit, Seite, Gerät und Ort | oft einmalig | möglich über Uhrzeit und Seite, etwa mit Bestellungen oder Server-Logs | möglich | pseudonym, personenbezogen |
| Besuchszeile mit Kundennummer oder Login | einmalig | direkt | direkt | identifiziert, personenbezogen |
| Tageswerte je Seite mit großen Gruppen | in der Regel erfüllt | in der Regel erfüllt | selten | kann anonym sein, Prüfung dokumentieren |
| Kleines Segment, etwa ein Ort mit einem Besucher | erfüllt | möglich | naheliegend | Risiko, Sammelzeile nötig |
Die Besuchszeile ist der kritische Fall. Auch ohne Namen und IP-Adresse bleibt sie ein Datensatz mit vielen Merkmalen, und auf einer kleinen Website ist die Kombination aus Uhrzeit, Seitenpfad und Ort schnell einmalig. Verknüpfen kann der Websitebetreiber oft ohne Aufwand: Die Besuchszeile mit der Bestellbestätigung um 14:03 Uhr passt zu genau einer Bestellung, die der Shop um 14:03 Uhr verbucht hat. Aus seiner Sicht ist die Zeile damit zuordenbar, und nach Randnummer 15 gilt das auch für den Dienst, der sie in seinem Auftrag verarbeitet.
Zusammengefasste Zahlen stehen besser da. Aggregierte Daten erfüllen das Kriterium der fehlenden Isolierung in der Regel, wenn richtig zusammengefasst wurde (EDPB 02/2026, Rn. 58). Die Leitlinien warnen aber, dass sich auch aus zusammengefassten Daten Informationen über Einzelne gewinnen lassen (EDPB 02/2026, Rn. 17). Hat eine B2B-Website an einem Tag einen einzigen Besucher aus einer Kleinstadt, beschreibt die Zeile „1 Besucher aus Ort X, Seite Preise“ unter Umständen genau einen Menschen. Bei Firmenanschlüssen kann der Netzbetreiber zudem das Unternehmen selbst sein.
Ein Datensatz ist nur dann als Ganzes anonym, wenn die Anonymisierung für alle enthaltenen Personen wirkt. Ein Bericht mit großen Gruppen und einzelnen Zeilen, die auf eine Person zeigen, ist insgesamt personenbezogen, solange die Teile nicht getrennt verarbeitet werden (EDPB 02/2026, Rn. 36).
So ordnet XICTRAQ® die eigenen Daten ein
XICTRAQ® nennt die Daten seiner Reichweitenmessung pseudonym, nicht anonym, und nach dem Maßstab der Leitlinien ist das die zutreffende Einordnung. Zur Unterscheidung von Besuchen wird aus der IP-Adresse und einem Tagesschlüssel eine pseudonyme Tageskennung gebildet. Der Tagesschlüssel ist ein täglich neu erzeugter Zufallswert und wird nach Ablauf des Tages gelöscht; in der Besucherstatistik ist danach keine Zuordnung der Tageskennung zu einer IP-Adresse mehr möglich, und die IP-Adresse selbst wird dort nicht gespeichert (Handbuch zu den Tracker-Einstellungen). Die Kennung entsteht aus IP-Adresse und Tagesschlüssel, nicht aus Browsermerkmalen; ein Fingerprint im Sinne von Randnummer 25 wird dafür nicht gebildet.
Was trotzdem bleibt, steht ebenfalls im Handbuch. Der Webserver hält die Abrufe des Messskripts samt vollständiger IP-Adresse im Zugriffsprotokoll fest; Einträge dort werden nach zehn Tagen gelöscht, Einträge im Fehlerprotokoll erst mit dessen Rotation (XICTRAQ-Handbuch). Die Besuchszeilen tragen neben Seitenpfad, Herkunftsseite und Uhrzeit auch Bildschirm- und Fenstergröße, Browser- und Betriebssystem-Kategorie samt Version, Sprache, Internetanbieter und den ungefähren Standort bis zu Postleitzahl und Koordinaten; so zählt sie der Mustertext im Handbuch auf. Darunter sind Merkmale, die Randnummer 25 als Bausteine eines Fingerprints nennt: Eine Kennung bildet XICTRAQ® daraus nicht, für die Prüfung der Isolierung zählen sie aber mit. Und die automatische Kundenerkennung ab dem Business-Tarif verknüpft Besuche angemeldeter Kunden mit Kundennummer und gegebenenfalls Name oder Firma; diese Daten sind ausdrücklich personenbezogen, wie die Seite zu Cookieless Analytics festhält.
Für Standort-Aufschlüsselungen setzt XICTRAQ® eine k-Anonymitäts-Schwelle ein: Städte und Regionen werden so zusammengefasst, dass jede ausgewiesene Zeile eine Mindestzahl verschiedener Besucher umfasst, kleinere Zeilen landen in einer Sammelzeile „Übrige“. Die Funktionsseite hält selbst fest, dass die Schwelle die Re-Identifikation reduziert, aber keine rechtliche Einzelfallprüfung ersetzt und kein Anonymitätsversprechen ist. Das passt zur Logik der Leitlinien: Die Schwelle setzt beim Kriterium der Ableitung in kleinen Segmenten an. Die Besuchszeilen darunter macht sie nicht anonym.
Formulierungen für Datenschutzerklärung und Werbung
Aus Randnummer 40 folgt eine einfache Arbeitsregel: beschreiben, was passiert, statt ein Etikett zu vergeben. Wer sich dennoch auf Anonymität beruft, soll den Weg dorthin dokumentieren, einschließlich der Tests der angeblich anonymen Daten, und diese Unterlagen aufbewahren (EDPB 02/2026, Rn. 41). Zum selben Abgleich zwischen Text und tatsächlichem Verhalten gehört die Frage, ob eine Website vor der Einwilligung Dritt-Tracker lädt; das prüft der DSGVO-Scanner von außen.
| Statt | Besser | Warum |
|---|---|---|
| „Wir erheben nur anonyme Daten.“ | „Wir messen die Reichweite ohne Cookies mit einer pseudonymen Tageskennung.“ | Besuchszeilen mit Kennung sind pseudonym |
| „Ihre IP-Adresse wird anonymisiert.“ | „Ihre IP-Adresse wird zur Bildung der Tageskennung verwendet und in der Besucherstatistik nicht gespeichert.“ | beschreibt den tatsächlichen Weg |
| „Kein Personenbezug, keine DSGVO.“ | „Rechtsgrundlage ist [...]; Speicherdauer und Empfänger finden Sie unter [...].“ | solange Personenbezug besteht, gelten die Pflichten |
| „Anonyme Statistik für Ihre Kunden“ | „Zusammengefasste Berichte, kleine Segmente in Sammelzeilen“ | Aggregate können anonym sein, Besuchszeilen in der Regel nicht |
Ein Ausschnitt für die Datenschutzerklärung kann so aussehen. Die Angaben in eckigen Klammern hängen vom eigenen Einsatz ab und gehören mit der oder dem Datenschutzbeauftragten abgestimmt:
Reichweitenmessung ohne Cookies
Zur Messung der Reichweite dieser Website setzen wir [Dienst] als
Auftragsverarbeiter ein. Es werden keine Cookies gesetzt und keine
Informationen in Ihrem Browser gespeichert. Zur Unterscheidung von
Besuchen wird aus Ihrer IP-Adresse und einem täglich neu erzeugten
Zufallswert eine pseudonyme Tageskennung gebildet; der Zufallswert
wird nach Ablauf des Tages gelöscht. Ihre IP-Adresse wird in der
Besucherstatistik nicht gespeichert. Erfasst werden [Merkmale laut
Dienst, etwa aufgerufene Seite, Herkunftsseite, Uhrzeit, Browser,
Bildschirmgröße, Gerätetyp und ungefährer Standort].
Rechtsgrundlage: [...]
Speicherdauer der Besucherstatistik: [...]
Server-Protokolle des Dienstes: [...]Für Werbeaussagen gilt das in schärferer Form. „Ohne Cookies“, „ohne Speicherung im Browser“ und „IP-Adressen nicht in der Besucherstatistik“ lassen sich bei einem Aufbau wie oben belegen. „Anonym“ nur dann, wenn eine dokumentierte Prüfung nach den drei Kriterien für alle relevanten Stellen trägt.
Was Agenturen beachten sollten
Agenturen, die Webanalyse für Kunden einrichten und auswerten, handeln typischerweise als Auftragsverarbeiter. Nach Randnummer 15 gilt für sie der Blickwinkel des Kunden: Sind die Daten für ihn personenbezogen, sind sie es auch für die Agentur, mit allen Pflichten aus der Auftragsverarbeitung. Was in einen solchen Vertrag gehört, beschreibt der Beitrag zur Auftragsverarbeitung nach Artikel 28.
- Berichte an Kunden: zusammengefasste Werte statt Besuchszeilen exportieren, kleine Segmente zusammenfassen.
- Weitergabe an Dritte: vorher klären, welche Zusatzinformationen der Empfänger hat. Eine Übermittlung an jemanden, der zuordnen kann, macht die Daten auch für den Absender personenbezogen.
- Texte für Kunden: keine Anonymitätsversprechen in Landingpages oder Angebote übernehmen.
- Trennung der Mandanten: Zugriffe je Kunde begrenzen; Rollen und Client-Portal im Agency-Plan beschreibt die Seite für Agenturen.
Auskunft, Folgenabschätzung und Einwilligung
Pseudonyme Daten bringen die üblichen Pflichten mit. Auskunftsanfragen zu Analytics-Daten sind oft schwer zu beantworten, weil sich eine Tageskennung nach dem Löschen des Salts keiner Person mehr zuordnen lässt; dazu mehr im Beitrag zum Auskunftsrecht nach Artikel 15. Ob eine Datenschutz-Folgenabschätzung nötig ist, klärt der Beitrag zur Folgenabschätzung beim Web-Tracking.
Eine Frage beantwortet die Anonymitätsprüfung nicht: ob für das Speichern von Informationen im Endgerät oder den Zugriff darauf eine Einwilligung nötig ist. Diese Regel knüpft an das Endgerät an, nicht an den Personenbezug (TDDDG, § 25 Abs. 1). Ob und wie sie sich ändern soll, behandelt der Beitrag zur Cookie-Banner-Reform 2026; wie cookielose Messung technisch arbeitet, zeigt der Überblick zu Cookieless Tracking ohne Consent-Banner.
Bis zur Endfassung: was jetzt sinnvoll ist
- Bestandsaufnahme: alle Stellen sammeln, an denen „anonym“ steht, von der Datenschutzerklärung über Cookie-Hinweise und Landingpages bis zu Angeboten und Verträgen.
- Datenkarte: je Datenform festhalten, welche Merkmale sie trägt und wer welche Zusatzinformationen hat. Die Leitlinien empfehlen diese Kartierung als frühen Schritt (EDPB 02/2026, Rn. 51).
- Einordnung: Besuchszeilen als pseudonym behandeln, zusammengefasste Werte nur nach dokumentierter Prüfung als anonym bezeichnen.
- Exporte: Berichte an Dritte auf zusammengefasste Werte begrenzen und kleine Gruppen zusammenfassen.
- Wiedervorlage: nach Erscheinen der Endfassung und bei jeder neuen Datenquelle neu bewerten.
Die Auswertungen mit Beispieldaten zeigt die Live-Demo. Wann Besucher kommen, lässt sich mit zusammengefassten Besucherzeiten auswerten, ohne einzelne Besuche anzufassen; Ereignisse wie Downloads und ausgehende Links lassen sich ebenfalls ohne Cookies erfassen. Die Reichweitenmessung beschreibt die Seite zu Cookieless Analytics, den Text für die Datenschutzerklärung das Handbuch.
Dieser Beitrag beschreibt die Leitlinien in der Konsultationsfassung 1.0 und ersetzt keine Rechtsberatung. Ob Daten im konkreten Fall anonym oder pseudonym sind, hängt vom Kontext ab und gehört in eine Einzelfallprüfung mit Ihrer oder Ihrem Datenschutzbeauftragten.
Dieser Beitrag stützt sich auf: EDPB, Guidelines 02/2026 on Anonymisation, Version 1.0, und die Konsultationsseite des EDPB; EDPB, Guidelines 01/2025 on Pseudonymisation; EuGH, C-413/23 P, EDSB/SRB; EuGH, C-582/14, Breyer; DSGVO, Art. 4 Nr. 5, Art. 83 Abs. 5, Erwägungsgründe 26 und 28; Verordnung 2018/1725; § 25 TDDDG; § 5 UWG; Rocher u. a., Nature Communications 2019; de Montjoye u. a., Scientific Reports 2013; Eckersley, EFF 2010; Gómez-Boix u. a., The Web Conference 2018; XICTRAQ-Handbuch, Tracker-Einstellungen.