Testdaten ohne echte Menschen: warum pseudonymisiert weiterhin personenbezogen ist und synthetisch nicht

Die Produktion zu kopieren ist eine Verarbeitung, keine Abkürzung

Der Reflex ist verständlich. Echte Daten haben die Gestalt echter Daten: Namen jeder Länge, Adressen, die nicht ins Formular passen, Bestellungen mit vierzig Positionen, die Kundin, deren Nachname einen Apostroph enthält, an dem letzten März alles zerbrach. Ein zurückgespielter Produktions-Dump ist die naturgetreueste Testvorlage, die es gibt, und er kostet einen Befehl. Das Problem ist, dass dieser Befehl im rechtlichen Sinne eine Verarbeitung ist, und die Verordnung hat dazu etwas zu sagen.

Zwei der Grundsätze aus Artikel 5 greifen unmittelbar und unabhängig voneinander. Die Zweckbindung, Artikel 5 Absatz 1 Buchstabe b, verlangt, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer damit unvereinbaren Weise weiterverarbeitet werden. Die Adresse wurde erhoben, um eine Bestellung zuzustellen. Einen Layoutfehler nachzustellen ist nicht dieser Zweck, und ob es damit vereinbar ist, ist eine echte Frage mit einer echten Antwort, die jemand erarbeiten muss — die Verordnung gibt Kriterien für die Vereinbarkeitsprüfung, kein Ja oder Nein. Die Datenminimierung, Artikel 5 Absatz 1 Buchstabe c, verlangt, dass die Daten dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind. Eine Vollkopie aller Kunden, um eine Kassenseite zu testen, lässt sich schwer als auf das Notwendige beschränkt beschreiben.

Es gibt eine praktische Dimension, die nichts mit Recht und alles damit zu tun hat, was wirklich schiefgeht. Eine Testumgebung hat weder die Zugriffskontrollen der Produktion noch deren Überwachung noch deren Aufbewahrungsregeln für Sicherungen. Sie liegt auf einem Laptop, in einem Container, den jemand hochgezogen hat, in einem Snapshot in einem Bucket, an dessen Erstellung sich niemand erinnert. Der Mailversand ist oft noch konfiguriert, und so hat ein Staging-Lauf einmal eine echte Kundenliste angeschrieben. Die Pflicht, Daten zu schützen, wird nicht schwächer, weil die Maschine Staging heißt, und die praktische Gefährdung ist dort größer als in der Produktion. Beide Argumente weisen in dieselbe Richtung.

Pseudonymisiert bleibt personenbezogen — hier irren die meisten

Artikel 4 Nummer 5 definiert Pseudonymisierung als die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen. Lies es einmal: Die entscheidenden Worte sind ohne Hinzuziehung zusätzlicher Informationen. Diese zusätzlichen Informationen gibt es. Sie liegen irgendwo. Die Verknüpfung besteht weiter; sie wurde schwerer verfolgbar gemacht, nicht beseitigt.

Erwägungsgrund 26 zieht die Folgerung ausdrücklich: Personenbezogene Daten, die pseudonymisiert wurden und die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sind als Informationen über eine identifizierbare natürliche Person anzusehen. Mit anderen Worten: Pseudonymisierte Daten sind personenbezogene Daten, im Anwendungsbereich, mit sämtlichen daran hängenden Pflichten — Auskunfts- und Löschrechte, Meldepflicht bei Verletzungen, Übermittlungsregeln. Die Leitlinien 01/2025 des Europäischen Datenschutzausschusses, angenommen am 16. Januar 2025, ziehen in ihrer Zusammenfassung dieselbe Folgerung und ergänzen einen merkenswerten Punkt: Das gilt auch, wenn die pseudonymisierten Daten und die zusätzlichen Informationen nicht in den Händen derselben Person liegen.

Anonymisierung ist eine andere und weit schwerere Behauptung. Erwägungsgrund 26 sagt, die Grundsätze des Datenschutzes sollten nicht für anonyme Informationen gelten, also für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder für Daten, die so anonymisiert wurden, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Derselbe Erwägungsgrund setzt jedoch den Maßstab: Um festzustellen, ob eine Person identifizierbar ist, sind alle Mittel zu berücksichtigen, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, unter Beachtung objektiver Faktoren wie Kosten und Zeitaufwand. Ein Bestand, in dem Namen ersetzt wurden, in dem aber Postleitzahlen, Geburtsdaten und Bestellhistorien bleiben, besteht diesen Test oft nicht, weil die Kombination re-identifiziert. Eine Anonymisierung, die einer Prüfung standhält, bedeutet meist, genau die Struktur zu zerstören, die die Testumgebung nachbilden sollte.

Synthetische Daten entgehen dem ganzen Argument, indem sie nie hineingeraten. Eine Zeile, zusammengesetzt aus einer festen Vornamenliste, einer festen Nachnamenliste und einer festen Städteliste, bezieht sich nicht auf eine identifizierte oder identifizierbare natürliche Person, weil niemand dahintersteht und keine zusätzliche Information zu jemandem führen würde. Artikel 4 Nummer 1 definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; bezieht sich nichts auf irgendwen, ist die Definition nicht erfüllt, und die Verordnung erreicht den Datenbestand schlicht nicht. Keine Rechtsgrundlage, keine Vereinbarkeitsprüfung, keine Aufbewahrungsfrist, kein Löschverlangen, das je eintreffen könnte. Das ist ein kategorialer Unterschied, und er ist der Grund zu erzeugen.

Was dieser Generator tatsächlich erzeugt, gemessen

Das Werkzeug schöpft aus sechs Ländertöpfen — Frankreich, Vereinigtes Königreich, Deutschland, Spanien, Italien und Portugal — mit je zweiunddreißig Vornamen, zweiunddreißig Nachnamen und zwölf Städten. Das sind 192 Vornamen, 192 Nachnamen, 72 Städte und 6144 verschiedene vollständige Namen im ganzen Raum, und eine Zeile hält zusammen: Eine Persona aus Lisboa bekommt einen portugiesischen Namen und einen daraus abgeleiteten lokalen Adressteil, keinen deutschen Nachnamen auf einer französischen Telefonnummer. Über vierhundert Durchläufe gemessen, ergeben hundert Zeilen im Mittel 99,2 verschiedene Namen und tausend Zeilen 922,5. Der erste wiederholte Name taucht um Zeile 100 auf, was die Geburtstagsschranke eines Raums von 6144 ist und kein Fehler.

E-Mail-Adressen kollidieren gar nicht, weil sie nicht dem Zufall überlassen sind. Jeder Durchlauf merkt sich die bereits vergebenen lokalen Teile und hängt einer Wiederholung einen Zähler an: Die zweite Marie Martin bekommt marie.martin2 als lokalen Teil. Zehntausend Zeilen ergeben zehntausend verschiedene Adressen, zweihunderttausend ergeben zweihunderttausend — gemessen an der Funktion, die die Zeilen baut, denn das Formular selbst hört bei tausend Zeilen je Durchlauf auf. Der UNIQUE-Index, der den Import früher mittendrin abwies und eine halb gefüllte Tabelle hinterließ, hat nichts mehr zu fangen. Zwei Grenzen dieser Zusage sind wissenswert. Der Zähler lebt nur einen Durchlauf lang, zwei getrennte Exporte können sich also weiterhin wiederholen — halte einen Datensatz in einer Datei, oder gib jedem Stapel ein eigenes Präfix. Und die Zahl verschiedener Namen ist nicht die Zahl verschiedener Adressen: Eine Abfrage, die Kunden nach Namen statt nach Adresse zählt, landet etwas unter deiner Zeilenzahl, bei tausend Zeilen um rund acht Prozent.

Jede Adresse endet auf example.com, example.net oder example.org und auf nichts sonst. Alle drei sind von RFC 2606 als Beispiele reserviert, und alle drei veröffentlichen einen Null-MX-Eintrag — das 0 . aus RFC 7505, eine Domain, die im DNS erklärt, überhaupt keine Post anzunehmen —, sodass ein Absender abbricht, bevor er eine Verbindung öffnet. Auf die Paarung kommt es an, und sie ist strenger, als sie aussieht. Eine Domain, die bloß keinen Mailserver hat, ist nicht sicher: RFC 5321 lässt einen Absender, der kein MX findet, auf den Adresseintrag zurückfallen, also bleibt eine dokumentationsartige Domain mit lebendigem A-Eintrag und ohne MX ein Zustellziel. Reserviert plus Null-MX ist, was die Tür schließt, und genau deshalb erfindet man keine eigene Beispieldomain.

Die Telefonspalte ist die einzige Stelle, an der das Werkzeug eine Frage beantwortet, indem es ein Feld leer lässt. Frankreich reserviert Nummern für die Fiktion: Der nationale Nummerierungsplan weist die Stämme 01 99 00, 02 61 91, 03 53 01, 04 65 71, 05 36 49 und 06 39 98 audiovisuellen Werken zu, und 06 39 98 ist der einzige mobile — eine französische Zeile trägt daher +33 6 39 98 plus vier zufällige Ziffern und sonst nichts. Ofcom hält 07700 900000 bis 07700 900999 für Fernseh- und Radiodramen frei, eine britische Zeile trägt also +44 7700 900 und drei Ziffern. Die Bundesnetzagentur hat zwei Mobilfunkblöcke für Medienproduktionen veröffentlicht, 0171 3920000 bis 3920099 und 0176 04069000 bis 04069099, und eine deutsche Zeile stammt aus einem davon. Spanien, Italien und Portugal veröffentlichen nichts Vergleichbares, ihre Zeilen kommen daher mit leerem Telefonfeld heraus. Die Länder werden gleichverteilt gezogen, also hat etwa die Hälfte aller Zeilen dort eine Lücke — 49,99 % über zweihunderttausend Zeilen — und eine Notiz unter dem Formular sagt, warum, denn eine leere Spalte ohne Erklärung liest sich wie ein kaputtes Werkzeug.

Eine praktikable Regel und wo sie endet

Erzeugen statt kopieren, und die erzeugten Daten offensichtlich falsch aussehen lassen. Nimm für jede Adresse eine reservierte Domain statt einer Mischung, stell dem lokalen Teil etwas voran, das kein echtes Konto trüge, und wähle einen Rufnummernstamm, den dein Land für Fiktion reserviert, falls es einen hat. Dieses Falls verdient eine Antwort, denn für die Hälfte der Märkte dieser Seite lautet sie nein. Frankreich, das Vereinigte Königreich und Deutschland veröffentlichen je einen Block; Spanien, Italien und Portugal veröffentlichen keinen. Was diese drei stattdessen haben, ist derzeit nicht vergebener Raum, und das ist eine viel schwächere Zusage: Eine Behörde, die einen Bereich noch nicht ausgegeben hat, kann ihn nächstes Jahr ausgeben, und ein heute geschriebener Datensatz würde dann bei jemandem klingeln. Wo ein reservierter Bereich existiert, nimm ihn; wo keiner existiert, ist gar keine Nummer die ehrliche Ausgabe, und genau das tut dieses Werkzeug jetzt. Der Punkt ist kein rechtlicher — synthetische Daten fallen ohnehin nicht unter die Verordnung, wie sie auch aussehen —, sondern der, dass ein Mensch, der auf ein Support-Ticket oder eine Logzeile schaut, in einer Sekunde erkennen können soll, dass die Zeile kein Kunde ist. Daten, die echt aussehen, werden wie echte behandelt, und so landet eine Testadresse auf einem Verteiler.

Wo das Erzeugen wirklich endet, ist der Fehler, der sich nur an einem Datensatz reproduzieren lässt. Manchmal steckt der Defekt in den Daten genau dieser Kundin und sonst nirgends, und keine synthetische Zeile wird ihn zeigen. Dieser Fall löst sich nicht durch Sowohl-als-ob, sondern durch Verengen. Zieh den einen Datensatz heraus und nicht die Tabelle, nimm nur die Felder, die der Fehler berührt, arbeite auf einer Maschine mit denselben Kontrollen wie die Produktion, protokolliere den Zugriff und lösche alles, wenn du fertig bist. Das ist eine dokumentierte, minimierte, zeitlich begrenzte Verarbeitung mit einem Zweck, den du aufschreiben kannst — etwas völlig anderes als ein nächtlicher Dump in ein gemeinsam genutztes Staging-Cluster — und es ist die Gestalt, die deine Datenschutzbeauftragte wiedererkennt, weil die Verordnung genau darauf ausgelegt ist.

Häufige Fragen

Sind pseudonymisierte Daten nach der DSGVO weiterhin personenbezogene Daten?

Ja. Artikel 4 Nummer 5 definiert Pseudonymisierung als Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, und Erwägungsgrund 26 stellt fest, dass pseudonymisierte Daten, die durch Heranziehung dieser zusätzlichen Informationen einer natürlichen Person zugeordnet werden könnten, als Informationen über eine identifizierbare natürliche Person anzusehen sind. Der Europäische Datenschutzausschuss hat das in seinen Leitlinien 01/2025 zur Pseudonymisierung, angenommen am 16. Januar 2025, wiederholt und ergänzt, dass es auch gilt, wenn die pseudonymisierten Daten und die zusätzlichen Informationen nicht bei derselben Person liegen. Pseudonymisierung ist eine von der Verordnung geförderte Schutzmaßnahme, sie kann Risiko senken und eine Vereinbarkeitsprüfung stützen, aber sie holt einen Datenbestand nicht aus dem Anwendungsbereich.

Darf ich die Produktionsdatenbank ins Staging kopieren, wenn ich sie danach lösche?

Nachträgliches Löschen macht die Kopie nicht rechtmäßig; es begrenzt die Dauer der Verarbeitung, was eine andere Frage ist. Die Kopie ist ab dem Moment ihrer Erstellung eine Verarbeitung, braucht eine Rechtsgrundlage und muss die Zweckbindungsprüfung nach Artikel 5 Absatz 1 Buchstabe b bestehen — die Verordnung fragt, ob der neue Zweck mit dem Erhebungszweck vereinbar ist, und gibt Kriterien für diese Beurteilung. Artikel 5 Absatz 1 Buchstabe c gilt unabhängig davon: Eine ganze Tabelle zu nehmen, wo drei Felder genügten, ist nicht auf das Notwendige beschränkt. Genau für dieses Urteil gibt es Datenschutzbeauftragte, und die Antwort hängt von deiner Branche, deiner Datenschutzerklärung und davon ab, was du wirklich testest. Frag vor dem Restore, nicht danach.

Sind synthetische Daten wirklich außerhalb der DSGVO?

Wenn sie wirklich synthetisch sind, ja — aber das Wort leistet Arbeit. Daten, die aus einer festen Wortliste zusammengesetzt sind, ohne jede Eingabe aus einem echten Datensatz, beziehen sich nicht auf eine identifizierte oder identifizierbare natürliche Person, Artikel 4 Nummer 1 ist also nicht erfüllt und die Verordnung gilt nicht. Erwägungsgrund 26 sagt, die Grundsätze des Datenschutzes sollten nicht für Informationen gelten, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Vorbehalt: Nicht alles, was synthetisch heißt, ist so gebaut. Ein Bestand, den ein auf echten Datensätzen trainiertes Modell erzeugt hat, ist etwas anderes, denn das Modell hat die Originale gesehen, und die Ausgabe kann genug davon behalten, um jemanden herauszugreifen. Liest dein Generator aus der Produktion, beginnt die Prüfung von vorn. Liest er eine feste Liste von hundertzweiundneunzig Vornamen, die nie jemandem Bestimmten gehörten, nicht.

Kann an die erzeugten E-Mail-Adressen überhaupt etwas zugestellt werden?

Nein, und der Grund lohnt sich für die eigenen Testdaten. Jede Adresse benutzt example.com, example.net oder example.org. RFC 2606 reserviert alle drei als Beispielnamen, niemand kann also eine davon registrieren und dort Post empfangen, und alle drei veröffentlichen einen Null-MX-Eintrag: die von RFC 7505 definierte Form 0 ., also eine Domain, die im DNS ankündigt, keine Post anzunehmen. Ein regelkonformer Absender liest das und bricht ab, ohne eine Verbindung zu öffnen. Auf die Paarung kommt es an: Eine Domain ganz ohne MX ist nicht gleichwertig, weil RFC 5321 den Absender auf den Adresseintrag zurückfallen lässt, sodass eine plausible Domain, die auflöst, aber keinen Mailserver hat, ein Zustellziel bleibt. Wer einen eigenen Generator schreibt, nimmt die reservierten Namen, statt einen zu erfinden, der reserviert aussieht — und sperrt ausgehende Post zusätzlich auf Umgebungsebene, was ohnehin ratsam ist.

Wie viele Zeilen kann ich erzeugen, bevor sich Namen wiederholen?

Namen fangen um Zeile 100 an sich zu wiederholen, E-Mail-Adressen nie. Die Töpfe halten je zweiunddreißig Vor- und zweiunddreißig Nachnamen für jedes der sechs Länder, also 6144 verschiedene vollständige Namen, und die Geburtstagsschranke eines solchen Raums setzt die erste Kollision bei rund hundert Ziehungen an — gemessen bei 99,6 über dreitausend Durchläufe. Bei hundert Zeilen bekommst du im Mittel 99,2 verschiedene Namen, bei tausend Zeilen 922,5. Die Adressen sind eine andere Sache: Einem wiederholten Namen wird im lokalen Teil ein Zähler angehängt, zehntausend Zeilen ergeben also zehntausend verschiedene Adressen, und ein UNIQUE-Index auf der E-Mail-Spalte hat nichts abzulehnen. Eine Grenze dabei: Der Zähler gilt je Durchlauf, und das Formular erzeugt höchstens tausend Zeilen auf einmal. Brauchst du mehr, lass es mit einem anderen Seed noch einmal laufen und häng je Stapel dein eigenes Präfix an, statt anzunehmen, die beiden Exporte könnten sich nicht überschneiden.