Re-Identifikation bei pseudonymisierten KI-Anfragen: Was Studien zeigen

Was heißt Re-Identifikation bei KI-Anfragen?

Re-Identifikation heißt: Eine Angabe, aus der der Name entfernt wurde, lässt sich trotzdem einer bestimmten Person zuordnen. Bei KI-Anfragen geht es um den Text, den ein Pseudonymisierungs-Werkzeug an ein externes Sprachmodell schickt. Der Name ist ersetzt, aber Alter, Ort, Diagnose, Beruf oder ein ungewöhnliches Ereignis stehen noch im Text.

Ein frei erfundenes Beispiel: Ein Krankenhaus lässt den Fall „Maria Müller, 43, Starnberg, seltene Stoffwechselerkrankung X“ zusammenfassen. Das Werkzeug ersetzt den Namen durch „PATIENT_17“ und schickt den Text an das Modell. Alter, Ort und seltene Diagnose zusammen können die Person trotzdem erkennbar machen.

Was zeigen die Studien?

Studie	Ergebnis	Was es für KI-Anfragen heißt
Sweeney (2000), US-Volkszählung 1990	87 % der Bevölkerung waren über Postleitzahl, Geschlecht und Geburtsdatum wahrscheinlich eindeutig	Drei harmlos wirkende Angaben genügen oft
Rocher, Hendrickx, de Montjoye (2019)	99,98 % der US-Bevölkerung wären mit 15 demografischen Merkmalen in jedem Datensatz richtig zuzuordnen	Auch unvollständige, „anonymisierte“ Datensätze erfüllen die Anforderungen der DSGVO an Anonymität kaum
Staab u. a. (2024)	Sprachmodelle schließen aus Texten realer Personen auf Wohnort, Einkommen oder Geschlecht, mit 85 % Treffern im ersten und 95 % unter den ersten drei Versuchen, rund 100-mal günstiger und 240-mal schneller als Menschen	Das Modell kann selbst aus Freitext Rückschlüsse ziehen; übliche Textanonymisierung schützte in der Studie nicht wirksam davor
Palacios u. a. (2026), 100 Arztbriefe aus der Kinderonkologie	Fertige Werkzeuge zur Entfernung von Patientendaten übersahen hausinterne Angaben wie Abkürzungen, Gebäudenamen und interne Kennungen; auch die Referenz-Markierungen von Menschen hatten 227 übersehene Stellen	Was das Werkzeug nicht erkennt, geht im Klartext hinaus

Die ersten beiden Studien beziehen sich auf strukturierte Daten aus den USA. Die Mechanik gilt allgemein: Je mehr Merkmale zusammenkommen, desto kleiner die Gruppe, auf die sie passen.

Welche Wege zur Re-Identifikation gibt es?

Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) zur Anonymisierung (Entwurf 02/2026, Konsultation bis 30. Oktober 2026) und die französische Aufsicht CNIL prüfen drei Fragen:

• Herausgreifen: Lässt sich eine Person über eine einmalige Kombination von Merkmalen herauslösen? Im Beispiel: 43 Jahre, Starnberg, seltene Erkrankung.
• Verknüpfen: Lassen sich Angaben mit anderen Daten zur selben Person verbinden? Bei KI-Anfragen etwa, wenn derselbe Platzhalter in vielen Anfragen vorkommt, oder mit öffentlichen Quellen wie Presseberichten.
• Rückschluss: Lässt sich etwas Bestimmtes über eine Person ableiten? Sprachmodelle sind darin nach Staab und anderen besonders stark.

Dazu kommen technische Lücken: nicht erkannte Angaben in Freitext, Abkürzungen, Anhängen oder Metadaten von Dateien, und Inhalte, die über Websuche, Werkzeuge oder Protokolle außerhalb der eigentlichen Anfrage hinausgehen.

Was heißt das rechtlich?

Pseudonymisierung ist nach Art. 4 Nr. 5 DSGVO eine Verarbeitung, bei der Daten ohne zusätzliche, getrennt aufbewahrte Informationen nicht mehr zugeordnet werden können. Für Ihre Organisation bleiben die Daten personenbezogen. Der EuGH hat am 4. September 2025 (C-413/23 P) entschieden, dass pseudonymisierte Daten nicht zwangsläufig für jeden Empfänger personenbezogen sind; maßgeblich sind die Mittel, die dem konkreten Empfänger realistisch zur Verfügung stehen. Das Verfahren wurde an das Gericht der EU zurückverwiesen. Der EDSA-Entwurf 02/2026 präzisiert: Verarbeitet eine Stelle im Auftrag eines anderen, gilt die Sicht des Verantwortlichen (Rn. 15 und 21). Ein Modellanbieter, der als Auftragsverarbeiter in Ihrem Auftrag rechnet, erhält also personenbezogene Daten. Anonym aus Sicht des Empfängers kann ein Text nur bei einem unabhängigen Empfänger sein, der selbst über Zwecke und Mittel entscheidet.

Für KI-Anfragen heißt das: Pseudonymisierung senkt das Risiko, macht die Anfrage aber in der üblichen Konstellation nicht anonym. Auch bei einem unabhängigen Empfänger entscheidet nicht der ersetzte Name, sondern ob Herausgreifen, Verknüpfen und Rückschluss für ihn realistisch ausgeschlossen sind. Die rechtliche Einordnung steht im Ratgeber Ist pseudonymisierte KI-Nutzung DSGVO-konform?, die Folgen für Anbieter außerhalb der EU im Ratgeber Drittlandübermittlung bei KI.

Wie senken Sie das Risiko?

• Wenige Merkmale: Nur Angaben senden, die für die Aufgabe nötig sind; Alter als Altersgruppe, Ort als Region.
• Wechselnde Platzhalter: Je Anfrage neue Platzhalter, damit Anfragen nicht verknüpfbar sind.
• Erkennung prüfen: Mit eigenen, typischen Texten messen, was das Werkzeug übersieht, besonders hausinterne Kürzel.
• Seltene Fälle ausnehmen: Seltene Diagnosen, bekannte Personen und kleine Orte nicht über ein externes Modell bearbeiten.
• Anbieter-Speicherung klären: Wie lange der Modellanbieter Anfragen aufbewahrt und wer sie einsehen kann.

Jede Einschränkung kostet Antwortqualität (Kontextverlust durch Anonymisierung). Für unkritische Texte kann ein Proxy trotzdem eine sinnvolle Lösung sein; für Patienten-, Sozial- und Bürgerdaten wird der Nachweis aufwendig. Welche Nachweise Sie dann verlangen sollten, steht in der Checkliste für Anonymisierungs-Proxies.

Wie geht das mit basebox?

basebox verfolgt einen anderen Ansatz: Plattform und KI-Modell laufen in Ihrer Umgebung, auf einem Server nur für Sie oder in einer eigenen, von anderen Kunden getrennten Umgebung in unserer Cloud im Rechenzentrum München-Ost. basebox schickt Ihre Daten standardmäßig an kein KI-Modell eines anderen Anbieters, deshalb dürfen Patientendaten hinein, ohne dass Sie sie vorher anonymisieren. Die Frage, ob ein externer Empfänger die Person erkennen könnte, stellt sich dann nur bei der optionalen App mit externem Modell; ob Sie sie für personenbezogene Daten freigeben, entscheiden Sie mit Ihrem Datenschutzbeauftragten (Einzelheiten). Die Rechtslage bleibt dieselbe: Sie brauchen eine Rechtsgrundlage, den AVV und bei Berufsgeheimnissen die Vereinbarung nach § 203 StGB.

Keine Rechtsberatung: Dieser Ratgeber gibt den Stand vom 11. Oktober 2026 wieder. Die Leitlinien des EDSA zur Anonymisierung sind ein Entwurf in der Konsultation; die Endfassung kann abweichen. Das Verfahren C-413/23 P wurde an das Gericht der EU zurückverwiesen. Prüfen Sie Ihren Einsatz mit Ihrem Datenschutzbeauftragten.