Eine Fallstudie anonymisieren, ohne ihren Beweiswert zu zerstören

Freigabeauftrag

Der Empfängerkreis bestimmt, welche Kombination gefährlich wird

Beginnen Sie mit einem kurzen Freigabeauftrag. Er benennt die Angebotsfrage, den vorgesehenen Empfänger, das Medium, den Zugang, die erwartete Weitergabe, die räumliche Reichweite und einen Prüftermin. Eine Anlage für ein konkret bezeichnetes Vergabeverfahren unterliegt einem anderen Informationsumfeld als ein dauerhaft auffindbarer Fachartikel. Zugangsbeschränkungen ersetzen keine wirksame Bearbeitung. Sie können aber begrenzen, wer welche Zusatzinformationen zusammenführen kann, und erlauben deshalb einen anderen Offenlegungsentwurf.

Schreiben Sie außerdem den Beweissatz auf. Bei der fiktiven Wiesenstrom Anlagenservice GmbH lautet er: Das Unternehmen hat bei schwankendem Bedarf den Energieeinsatz mehrerer kommunaler Pumpwerke messbar gesenkt, ohne die Versorgungsvorgaben zu verändern. Dafür sind Anlagenklasse, Größenordnung, Lastschwankung, Eingriff, Messgrenze und Ergebnis relevant. Die genaue Gemeinde, das Höhenprofil jeder Station und der Hersteller des Leitsystems sind für diese Entscheidung nicht erforderlich.

Der geschützte Fall enthält jedoch genau diese Angaben. Er nennt einen Zweckverband, 27 Pumpen in neun Stationen, den trockenen Sommer 2024, eine bestimmte Leitsystemmigration und eine gemessene Senkung des normierten Stromverbrauchs um 18,6 Prozent über zehn Monate. Auftragsbekanntmachung, öffentliches Energiemonitoring und ein Vortrag des Anlagenleiters machen diese Kombination auffindbar. Die Fassung für einen benannten Auftraggeber und eine mögliche Websitefassung werden deshalb nicht gemeinsam genehmigt.

Benennen Sie den Schutzgegenstand präzise. Datenschutzrecht betrifft identifizierte oder identifizierbare natürliche Personen. Die Identität eines kommunalen Unternehmens kann zugleich vertraglich oder als Geschäftsgeheimnis geschützt sein. Betriebsdetails können sicherheitsrelevant sein. Eine Kundenfreigabe kann die Nutzung bestimmter Angaben erlauben, ohne Personendaten oder Geheimnisse eines Technologiepartners zu erfassen. Die Akte führt diese Gründe nebeneinander, statt sie unter dem Wort vertraulich zu vermischen.

Geschützter Bestand

Ohne vollständiges Original lässt sich keine belastbare Kurzfassung bauen

Erstellen Sie zuerst den unveränderten Nachweisbestand. Er enthält Auftraggeber und leistende Rechtsträger, vertragliche Leistung, Zeitraum, Anlagen, Standorte, Partner, Messreihen, Berechnungslogik, Abnahmen und frühere externe Aussagen. Für Wiesenstrom werden auch Wetterkorrektur, Pumpenlaufzeiten, Fördermenge, Wartungsfenster und die vom Kunden ausgeführten Maßnahmen erfasst. Die Bearbeitungsakte verweist auf diese Quellen, kopiert aber keine geschützten Betriebsdaten in frei zugängliche Arbeitsbereiche.

Zerlegen Sie das Ergebnis in prüfbare Aussagen. Die 18,6 Prozent beziehen sich auf Kilowattstunden je gefördertem Kubikmeter, nicht auf die gesamte Stromrechnung. Verglichen werden zehn Monate nach der Regelungsänderung mit einem wetter- und mengenbereinigten Ausgangszeitraum. Zwei Stationen waren wegen Umbau ausgenommen. Wiesenstrom entwarf Regelparameter und Monitoring; das Betriebspersonal des Kunden setzte Schaltfreigaben um. Jede dieser Grenzen muss die Anonymisierung überstehen.

Wahrheit und Offenbarungsrecht erhalten eigene Felder. Messdaten können eine Zahl tragen, erlauben aber keine Veröffentlichung. Die Projektleitung kann den Arbeitsumfang bestätigen, aber nicht die Kundenfreigabe erteilen. Der Datenschutzbeauftragte berät zur Personenbeziehbarkeit, während Vertrags- und Geheimnisschutz eine zusätzliche Prüfung verlangen können. Der Freigabeweg richtet sich nach tatsächlichen Rollen und interner Regelung, nicht nach einem universellen Titel.

Das Original bleibt versioniert und zugriffsbeschränkt. Die veröffentlichte Fassung ist ein abgeleitetes Objekt. Eine Zuordnungstabelle hält intern fest, welcher Freigabewert aus welchem Originalmerkmal entstand. Wird ein Pseudonym oder Projektschlüssel verwendet, bleibt der Bestand grundsätzlich verknüpfbar. Die aktuelle EDSA-Leitlinie zur Pseudonymisierung wurde 2025 zunächst zur öffentlichen Konsultation angenommen; ihr zentraler Ausgangspunkt stimmt mit der DSGVO überein: rückführbare pseudonymisierte Daten bleiben personenbezogen.

• Original, Bearbeitungsprotokoll und Freigabedatei werden getrennt aufbewahrt.
• Messwert, Einheit, Nenner, Zeitraum und Ausschlüsse bleiben gemeinsam prüfbar.
• Kunden-, Partner- und Lieferantenbeiträge werden nicht nachträglich verschmolzen.
• Faktenprüfung und Veröffentlichungsbefugnis sind eigenständige Entscheidungen.
• Die Zuordnungstabelle erhält denselben Schutz wie der Ausgangsfall.

Hinweisregister

Der Projektname ist nur der sichtbarste von vielen Identifikatoren

Nehmen Sie zunächst unmittelbare Kennzeichen auf: Unternehmens- und Personennamen, Logos, Anschriften, Domains, Vertrags- und Anlagennummern, Gesichter, Stimmen und eindeutige Gerätekennungen. Danach folgen indirekte Merkmale. Bei Infrastrukturprojekten sind dies etwa Versorgungstyp, kommunale Rechtsform, Anlagenzahl, Topografie, Baujahr, seltene Technologie, Ereignisdatum, Partnerkonstellation, Förderprogramm, Auftragswert und exakte Leistungskennzahl.

Ordnen Sie jedes Merkmal den möglicherweise erkennbaren Subjekten zu. Ein Vergabehinweis kann den Zweckverband erkennen lassen. Ein nur einmal vorhandener Stellenname kann die verantwortliche Person offenlegen. Eine Wartungsbesonderheit kann Know-how eines Unterauftragnehmers betreffen. Ein Standortmuster kann die Sicherheit einer Anlage berühren. Dass eine Angabe kein personenbezogenes Datum ist, bedeutet nicht, dass sie frei veröffentlicht werden darf.

Prüfen Sie die Verpackung der Fallstudie. Autorenfelder, Kommentare, Änderungsnachverfolgung, ausgeblendete Tabellen, Diagrammquellen, Alternativtexte, Bildkoordinaten, eingebettete Vorschaubilder, Hyperlinks, Dateinamen und Downloadpfade können entfernte Angaben zurückbringen. Eine grafische Schwärzung muss den darunterliegenden Inhalt tatsächlich beseitigen. Öffnen Sie eine PDF-Fassung in einem zweiten Werkzeug, suchen und kopieren Sie Text und untersuchen Sie ihre Eigenschaften.

Im Wiesenstrom-Entwurf fehlt der Kundenname. Dennoch zeigen eine schematische Karte das charakteristische Leitungsnetz, der Dateiname den Landkreis und ein Diagramm die exakten Monatswerte aus dem öffentlichen Energiebericht. Die PowerPoint-Eigenschaft nennt den Anlagenleiter. Diese Hinweise gehören in eine gemeinsame Gruppe. Vier einzeln unauffällige Elemente ergeben zusammen einen nahezu eindeutigen Treffer.

Verknüpfungsprüfung

Ein fachkundiger Bewerter beginnt nicht bei null

Beschreiben Sie mögliche Empfänger und ihr Vorwissen. Ein kommunaler Einkäufer kennt benachbarte Versorger, Betreiberformen und aktuelle Modernisierungsprogramme. Ein Wettbewerber erkennt bestimmte Leitsysteme und Partner. Beschäftigte ordnen interne Begriffe zu. Auf einer Website kommen Suchmaschinen und künftige Datenquellen hinzu. Maßstab sind keine rein theoretischen Möglichkeiten, sondern Mittel, die nach Aufwand, Kosten, Zeit, Technik und Interesse vernünftigerweise eingesetzt werden können.

Leiten Sie Suchpfade aus dem Register ab. Kombinieren Sie etwa Anlagenklasse mit Region, Projektzeitraum mit Förderprogramm, Einsparungswert mit Technologie oder Stationszahl mit Auftragstyp. Prüfen Sie eForms- und TED-Bekanntmachungen, nationale Vergabeportale, Ratsinformationssysteme, Geschäftsberichte, Förderlisten, Herstellerreferenzen, Fachvorträge und Stellenanzeigen. Halten Sie Abfrage, Datum, Treffer und Sicherheit fest. Eine erfolglose Suche beweist nur, dass dieser Weg zu diesem Zeitpunkt keinen Treffer lieferte.

Trennen Sie Aussonderung, Verknüpfung und Ableitung. Kann die Merkmalskombination genau einen Betreiber isolieren? Kann der Fall mit einem anderen Dokument verbunden werden? Lässt sich nach einer Verbindung eine nicht veröffentlichte Betriebskennzahl oder Personeneigenschaft ableiten? Diese aus der europäischen Anonymisierungsdiskussion bekannten Prüfungen sind auch außerhalb reiner Datensätze nützlich. Sie ersetzen jedoch keine rechtliche Bewertung des jeweiligen Schutzgegenstands.

Für Wiesenstrom liefern öffentliche Register zunächst fünf mögliche Betreiber. Anlagenzahl und Trockenereignis reduzieren sie auf zwei. Der genaue Ergebniswert führt über eine Vortragsfolie zum Ausgangskunden. Ein Websitebesucher müsste mehrere Quellen suchen; der Zielkäufer besitzt einen Teil davon bereits. Deshalb wird nicht nur der offene Suchaufwand bewertet. Der Freigabeentscheid berücksichtigt das wahrscheinliche Informationsumfeld des tatsächlichen Empfängers.

Bearbeitungslogik

Vergröbern Sie Kontext, bevor Sie den entscheidenden Messwert beschädigen

Bewerten Sie für jedes Merkmal zwei Fragen: Wie stark trägt es zur Zuordnung bei und wie stark zur Eignungsentscheidung? Namen, Kartenform und Dateiautor können meist vollständig entfallen. Ein exakter Tag wird zu einem belegten Zeitraum, wenn nur Aktualität zählt. Eine Gemeinde wird zur Betreiberklasse, sofern Rechts- und Betriebsumfeld erhalten bleiben. Eine Anlagenzahl kann als geprüfte Größenklasse erscheinen. Seltene Produktnamen werden durch die tatsächlich relevante Funktionskategorie ersetzt.

Jede Verallgemeinerung braucht eine feste Ableitungsregel. Aus 27 Pumpen kann “mehr als 20 Pumpen” werden. “Rund 30” ist nur zulässig, wenn eine dokumentierte Rundungsregel das Ergebnis trägt und keine falsche Präzision erzeugt. Ein einzelner deutscher Zweckverband darf nicht zu “mehreren europäischen Wasserversorgern” werden. Ein Datum in ein anderes Jahr zu verschieben, schützt zwar vor Suche, verfälscht aber die Referenz. Bei narrativen Leistungsnachweisen ist Weglassen meist ehrlicher als erfundene Ersatzgeschichte.

Wiesenstrom entfernt Betreibername, Landkreis, Karte, Leitsystemmarke und Trockenjahr. Die Freigabefassung spricht von einem kommunalen Wasserversorger mit mehr als 20 Pumpen an mehreren Stationen und stark wechselnden Lastprofilen. Sie behält 18,6 Prozent, weil der Wert berechnet, freigegeben und für den Käufer wesentlich ist. Der genaue Nachmesszeitraum von zehn Monaten bleibt ebenfalls, während die Kalenderdaten entfallen. Das Protokoll zeigt jede Veränderung neben dem Original.

Vermischen Sie keine Projekte. Ein Fall mit dem Anlagenumfang des ersten Kunden, der Steuerungsmethode des zweiten und dem Ergebnis des dritten ist keine anonymisierte Referenz, sondern eine erfundene Leistung. Aggregierte Portfolioaussagen sind möglich, wenn sie als solche bezeichnet, methodisch berechnet und freigegeben sind. Für den Nachweis eines einzelnen vergleichbaren Auftrags eignen sie sich nur, wenn die Vergabeunterlagen genau diese Form akzeptieren.

Beweisprobe

Eine unkenntliche Referenz darf fachlich nicht zu einer anderen Referenz werden

Leiten Sie jeden Satz der Freigabefassung zurück. Der Prüfpfad nennt Originalaussage, Quelle, Bearbeitung und zulässige Schlussfolgerung. Achten Sie besonders auf Einheiten, Bezugsgrößen, Grundgesamtheit, Ausschlüsse und Rollen. Aus “normierter Energieeinsatz je gefördertem Kubikmeter” darf nicht “Energiekosten” werden. Aus zehn ausgewerteten Monaten wird kein Jahresergebnis. Aus Parameterentwurf und Monitoring wird keine vollständige Betriebsführung.

Prüfen Sie mathematische Einschließung. Eine veröffentlichte Untergrenze muss unter dem Original liegen und aus einer vorab gewählten Regel stammen. Eine Bandbreite muss den Ausgangswert enthalten. Eine Zusammenfassung über Anlagen oder Monate muss neu berechnet werden. Prüfen Sie ebenso die fachliche Einschließung. Der Oberbegriff Wasserversorger trägt den Ausgangsfall. Der Begriff Kritische Infrastruktur kann dagegen eine rechtliche oder tatsächliche Eigenschaft behaupten, die aus den Projektunterlagen nicht folgt.

Geben Sie einem zweiten Fachprüfer nur den anonymisierten Text und die Bewertungsfrage. Fragen Sie, was er über Betreiberform, Größenordnung, Lastproblem, Lieferantenleistung, Messung und Ergebnis versteht. Stimmen diese Schlussfolgerungen mit dem Ausgangsbestand überein? Wenn der Prüfer annimmt, Wiesenstrom habe die Pumpen selbst betrieben oder die absolute Stromrechnung um 18,6 Prozent gesenkt, ist der Satz irreführend, obwohl jede einzelne Zahl korrekt kopiert wurde.

Die geprüfte Aussage lautet schließlich: Wiesenstrom entwarf und begleitete für einen kommunalen Wasserversorger mit mehr als 20 Pumpen die lastabhängige Regelung und das Monitoring. Über einen abgegrenzten Nachmesszeitraum von zehn Monaten sank der mengenbezogene Energieeinsatz gegenüber der bereinigten Ausgangsbasis um 18,6 Prozent; Umbauanlagen waren ausgeschlossen. Der Kunde behielt Schalt- und Betriebsverantwortung. Dieser Text erhält die fachliche Vergleichbarkeit ohne die Suchmerkmale des Ausgangsfalls.

• Jeder veröffentlichte Messwert behält Einheit, Nenner, Zeitraum und Ausschlüsse.
• Die Bearbeitung darf weder Ursache noch Lieferantenrolle vergrößern.
• Ein unbeteiligter Leser testet die tatsächlich entstehende Aussage.
• Fällt die Bewertungsrelevanz weg, wird ein anderer Fall gewählt.
• Benannte Referenz, Zitat und anonyme Fallbeschreibung behalten getrennte Freigaben.

Dateiprüfung

Metadaten und Nachbarseiten können den gelöschten Namen zurückholen

Arbeiten Sie für die Veröffentlichung mit abgeleiteten Dateien. Nehmen Sie Änderungen an, entfernen Sie Kommentare und ausgeblendete Inhalte, prüfen Sie Kopf- und Fußzeilen, Diagrammquellen, eingebettete Objekte sowie Dokumenteigenschaften. Schwärzungen werden durch Suche, Kopieren und Textextraktion getestet. Bilder werden einzeln auf Metadaten, beschnittene Randbereiche und erkennbare Anlagen untersucht. Eine sichtbare Abdeckung genügt nicht, wenn der Ursprungstext darunter bestehen bleibt.

Dateiname und Linkziel gehören zum Inhalt der Offenlegung. Ein neutraler Linktext kann auf eine Kundendomain verweisen. Ein Downloadpfad kann Landkreis und Projektkürzel enthalten. Alternativtexte, Seitentitel und Vorschaubilder werden von Suchsystemen erfasst. Die CNIL weist für Datenverarbeitungen ausdrücklich darauf hin, dass Metadaten bei der Re-Identifizierung helfen können und bei fehlender Erforderlichkeit begrenzt oder entfernt werden sollten. Diese technische Sorgfalt gilt ebenso für kundenbezogene Projektdokumente.

Suchen Sie im gesamten Angebot nach den Merkmalen des Registers. Ein Lebenslauf nennt vielleicht denselben Leitsystemwechsel, die Partnerbeschreibung den Landkreis und die Preisbegründung die Stationszahl. Kein einzelnes Dokument muss den Kunden nennen, wenn der Empfänger die Fragmente gleichzeitig sieht. Der Prüfgegenstand ist daher die zusammenhängende Übergabe, nicht nur die Fallstudienseite.

Speichern Sie eine eindeutige Kennung oder Prüfsumme der freigegebenen Ausgabe in der Akte. Sie dient nur zur Versionszuordnung. Sie schützt den Inhalt nicht. Jede spätere Änderung an Grafik, Dateiname, Übersetzung oder Leistungswert hebt die Zuordnung zur geprüften Fassung auf und führt zurück in Fakten- und Offenlegungsprüfung.

Angriffstest

Eine fremde Person soll die Zuordnung vor dem Käufer versuchen

Bestimmen Sie eine prüfende Person, die an der Bearbeitung nicht beteiligt war. Sie erhält die geplante Freigabedatei, den Empfängertyp, erlaubte Informationsquellen und ein realistisches Zeitbudget. Sensible Fälle brauchen Fachkunde in Offenlegungskontrolle, Datenschutz oder Anlagensicherheit. Die Zuordnungstabelle bleibt bis zum Abschluss verborgen. So zeigt die Prüfung, welche Merkmale ohne internes Wissen tragen.

Dokumentiert werden Suchwege, Kandidaten, stärkster Treffer, Aufwand, Sicherheit und mögliche Folgen. Wahrscheinlichkeit und Schadenswirkung bleiben getrennt. Ein nur mäßig wahrscheinlicher Treffer kann bei sicherheitsrelevanten Betriebsangaben unvertretbar sein. Die Zuordnung eines Unternehmens belegt nicht automatisch die Identität einer Person. Umgekehrt kann ein seltener Funktionstitel eine Person sichtbar machen, obwohl mehrere Betreiber als Kunde infrage kommen.

Die Wiesenstrom-Gegenprüfung findet anhand der Freigabefassung vier plausible Versorger. Erst eine alte Herstellerseite, die nicht im ersten Quellenverzeichnis stand, verbindet Funktionsklasse und Ergebnis mit dem Ausgangskunden. Der Produktname ist bereits entfernt, doch eine charakteristische Beschreibung reicht aus. Die Methode wird daher weiter verallgemeinert. Der wiederholte Test liefert danach keinen belastbaren Einzeltreffer im gesetzten Szenario. Das Ergebnis wird als begrenzte Evidenz festgehalten, nicht als absolute Unmöglichkeit.

Verwenden Sie feste Entscheidungszustände: Freigabe, Freigabe unter Empfängergrenze, weitere Bearbeitung, ausdrückliche Benennungserlaubnis erforderlich, Ersatzfall, Beweiswert verloren oder Nutzung untersagt. Ein Durchschnittsscore über viele Merkmale kann ein einziges entscheidendes Leck verdecken. Der verantwortliche Freigeber sieht deshalb stärkste Zuordnungsroute, verbleibende Unsicherheit, Folgen und fachlichen Nutzen nebeneinander.

Geltung

Eine spätere Bekanntmachung kann eine frühere Freigabe entwerten

Binden Sie die Genehmigung an Text, Anlagen, Dateinamen und Übertragungsweg. Die Akte nennt Faktenprüfer, Kunden- oder Account-Befugnis, erforderliche Datenschutz- und Rechtsprüfung sowie die freigabeberechtigte Person. Hinzu kommen Datum, Ablauf, Sprache, Gebiet, Empfängerklasse, Indexierung und Erlaubnis für Auszüge. Nicht aufgelöste Annahmen stehen sichtbar neben dem Entscheid.

Definieren Sie Wiederholungsanlässe. Dazu zählen eine neue Auftragsbekanntmachung, ein Geschäftsbericht, eine Herstellerreferenz, ein Fachvortrag, eine Korrektur der Kennzahl, ein veränderter Kundenname, eine Übersetzung mit neuen Suchbegriffen oder die Erweiterung vom Käuferkreis ins offene Web. Technische Möglichkeiten und verfügbare Zusatzinformationen ändern sich. Eine ältere Prüfung bleibt ein Nachweis des damaligen Vorgehens, aber kein unbegrenztes Gütesiegel.

Führen Sie für begrenzte Freigaben ein Empfängerregister und für öffentliche Inhalte einen erreichbaren Rückzugsweg. Wird der Fall identifiziert, stoppen Sie weitere Nutzung, sichern Sie Ausgangs- und Freigabenachweise und lassen Sie prüfen, ob Personenbezug, Vertragsgeheimnis oder sicherheitsrelevante Information offengelegt wurde. Einschlägige Melde-, Benachrichtigungs- und Abhilfepflichten beurteilen die zuständigen Stellen. Eine lautlose Textänderung ohne Ursachenakte verhindert Lernen und Rechenschaft.

Der Wiesenstrom-Fall wird schließlich ausschließlich für ein bezeichnetes kommunales Vergabeverfahren freigegeben. Die Website-Nutzung ist ausgeschlossen. In der Akte stehen geprüfte PDF-Kennung, Quellenpfad, Bearbeitungslog, Gegenprüfung, Empfängergrenze und ein neuer Prüftermin. Das Ergebnis ist keine Behauptung vollständiger Unsichtbarkeit. Es ist eine verantwortete, überprüfbare Entscheidung darüber, welche fachliche Evidenz dieser Empfänger erhält und welche Identitätsmerkmale zurückbleiben.