Pseudonymisierung

Kurzantwort

Pseudonymisierung ersetzt das Merkmal, das einen Messwert einer Person zuordnet, durch eine alphanumerische Bezeichnung des Messorts. Die Messwerte bleiben damit personenbezogene Daten, weil der Messstellenbetreiber die Zuordnung weiter auflösen kann. § 52 Abs. 3 MsbG verlangt diese Trennung, soweit der Verarbeitungszweck sie zulässt, und macht sie für einen Teil der Letztverbraucher zur Pflicht. Anonymität entsteht erst, wenn die Zuordnung auch mit zusätzlichen Informationen nicht mehr herstellbar ist, etwa durch Aggregation. Genau dort endet die Trennung: Ein Pseudonym ist kein Freibrief, sondern eine abgeschwächte Schutzstufe mit Auflösungsverbot.

Warum Messwerte personenbezogen sind

Ein Lastgang beschreibt das Verhalten eines konkreten Anschlusses über die Zeit. Aus ihm lassen sich Abwesenheiten, Schichtarbeit und Wärmepumpenbetrieb ablesen, zunehmend auch Ladevorgänge. Über die Marktlokations-Identifikation führt zusammen mit den Stammdaten ein direkter Weg zum Namen des Anschlussnutzers.

Die energiewirtschaftliche Verarbeitung braucht diese Zuordnung allerdings nicht überall. Für Abrechnung, Lieferantenwechsel und Kundenkommunikation ist sie unverzichtbar. Für Bilanzierung, Netzplanung und Prognose reicht häufig der Messwert ohne Namen. § 49 MsbG regelt, welche Stellen Messwerte überhaupt erhalten dürfen. § 50 MsbG beschreibt die Aufgaben, für die sie diese Daten einsetzen. Die Pseudonymisierung setzt genau in dieser Lücke an: Sie erhält den Datenfluss, nimmt aber den Personenbezug aus der Übermittlung heraus.

Pseudonymisierung und Anonymisierung

Die DSGVO trennt beide Begriffe scharf. Pseudonymisierung ist nach Art. 4 Nr. 5 DSGVO die Verarbeitung personenbezogener Daten so, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen Person zugeordnet werden können. Diese zusätzlichen Informationen werden gesondert aufbewahrt und technisch wie organisatorisch geschützt. Anonymisierung entfernt den Personenbezug dauerhaft; die Daten fallen dann aus dem Anwendungsbereich der Verordnung.

Für die Praxis heißt das: Pseudonymisierte Messwerte bleiben personenbezogene Daten. Der Verantwortliche muss sie weiter nach Art. 32 Abs. 1 DSGVO schützen. Art. 32 Abs. 1 DSGVO nennt Pseudonymisierung und Verschlüsselung ausdrücklich als geeignete Maßnahme. Art. 25 Abs. 1 DSGVO verlangt, dass der Verantwortliche solche Maßnahmen bereits bei der Ausgestaltung der Verarbeitung vorsieht. Pseudonymisierung ist damit kein nachträglicher Filter, sondern eine Anforderung an das Systemdesign.

Die Pflicht aus § 52 Abs. 3 MsbG

Der Grundsatz steht in § 52 Abs. 3 Satz 1 MsbG: Personenbezogene Daten sind zu anonymisieren oder zu pseudonymisieren, soweit dies im Hinblick auf den Verarbeitungszweck möglich ist. Der Verarbeitungszweck entscheidet also über das Ob. Wo die Abrechnung den Namen braucht, greift die Pflicht nicht.

Satz 2 nennt zwei Regelwege. Eine Anonymisierung erfolgt insbesondere über die Aggregation der Daten von mindestens fünf Anschlussnutzern. Eine Pseudonymisierung erfolgt insbesondere über alphanumerische Bezeichnungen des Ortes der Messung, der Entnahme oder der Einspeisung. Aus der Marktlokation wird damit eine Kennung ohne Namensbezug.

Satz 3 macht die Pseudonymisierung von Last- oder Zählerstandsgängen zur Pflicht, wenn der Verarbeitungszweck sie zulässt. Die wichtigste Fallgruppe betrifft die Übermittlung nach § 60 Abs. 3 an Letztverbraucher mit einem Jahresstromverbrauch bis einschließlich 6 000 Kilowattstunden. Zwei Ausnahmen schließen die Pflicht aus: hinter dem Netzanschluss wird weder eine steuerbare Verbrauchseinrichtung nach § 14a EnWG noch eine Anlage nach EEG oder KWKG betrieben.

Weitere Fallgruppen betreffen Übermittlungen an Verteilernetzbetreiber, an Übertragungsnetzbetreiber und Bilanzkoordinator sowie an Energielieferanten, jeweils gebunden an bestimmte Verarbeitungszwecke aus §§ 66 bis 69 MsbG. Hinzu kommen Fälle, die die Bundesnetzagentur per Festlegung bestimmt.

Satz 4 setzt die Grenze: Eine Auflösung des Pseudonyms ist nur im Rahmen der §§ 66 bis 69 MsbG zugunsten des berechtigten Akteurs möglich. Sie braucht zwingende Gründe und eine Festlegung der Bundesnetzagentur.

Wo im Datenfluss pseudonymisiert wird

Der Messstellenbetreiber erhebt die Werte und bereitet sie auf. § 60 Abs. 1 MsbG verpflichtet ihn, sie im erforderlichen Umfang an die berechtigten Stellen zu übermitteln. Absatz 3 zählt die Empfänger auf und verweist dabei ausdrücklich auf die Anforderungen des § 52 Abs. 3. Die Pseudonymisierung sitzt damit am Übergang zwischen Messstellenbetrieb und Marktkommunikation.

Bei Zählpunkten mit intelligenten Messsystemen soll die Aufbereitung nach § 60 Abs. 2 im Smart-Meter-Gateway erfolgen. Wo die Bundesnetzagentur das per Festlegung bestimmt, wandern Plausibilisierung und Ersatzwertbildung dorthin. Außerhalb der Standardkonfiguration dürfen Messstellenbetreiber Dritten nur anonymisierte und geeignet aggregierte Gänge bereitstellen.

Für die Speicherung gilt eine Frist. Nach § 60 Abs. 6 MsbG muss der Messstellenbetreiber personenbezogene Messwerte löschen oder nach § 52 Abs. 3 Satz 2 anonymisieren, sobald die Speicherung nicht mehr erforderlich ist, spätestens nach drei Jahren ab dem Schluss des Kalenderjahres der Erhebung. Der MaBiS-Hub setzt diese Trennung künftig zentral um; die Bundesnetzagentur hat die Messwertverarbeitung und Pseudonymisierung im Verfahren BK6-24-210-1 als ersten Verfahrensblock behandelt. Der zweite Block folgt zur Bilanzierung und Bilanzkreisabrechnung. Siehe dazu auch MaBiS-Hub.

Vereinfachtes Beispiel

Ein Haushaltskunde verbraucht 3 500 Kilowattstunden im Jahr. Hinter seinem Netzanschluss steht weder eine steuerbare Verbrauchseinrichtung nach § 14a EnWG noch eine Erzeugungsanlage. Bei der Übermittlung nach § 60 Abs. 3 greift damit die Pflicht aus § 52 Abs. 3 Satz 3 Nummer 1. Der Messstellenbetreiber übergibt den Zählerstandgang unter einer alphanumerischen Ortsbezeichnung. Der Verteilernetzbetreiber sieht den Verlauf und rechnet ihn seinem Bilanzkreis zu, ohne den Namen zu kennen.

Ein zweiter Kunde verbraucht 9 800 Kilowattstunden und betreibt eine Wärmepumpe als steuerbare Verbrauchseinrichtung nach § 14a EnWG. Die Fallgruppe bis 6 000 Kilowattstunden greift hier nicht. Die Pflicht kann sich trotzdem ergeben, wenn die Übermittlung einem der Verarbeitungszwecke aus Satz 3 Nummer 2 zugeordnet ist. Ob und für welchen Zweck übermittelt wird, entscheidet also über die Behandlung, nicht allein die Verbrauchshöhe.

Folgen und Fehlerfälle

Die Zuordnungstabelle holt den Personenbezug zurück. § 52 Abs. 3 Satz 2 verlangt, dass die zusätzlichen Informationen gesondert aufbewahrt werden. Liegt die Tabelle im selben System wie die pseudonymisierten Werte und ist für dieselben Rollen lesbar, ist die Trennung wirkungslos.

Die Zweckbindung verfällt. Pseudonymisierte Werte für die Bilanzierung dürfen nicht in die Kundenberatung wandern. Nach Satz 4 ist die Auflösung auf die in §§ 66 bis 69 MsbG genannten Zwecke und auf zwingende Gründe begrenzt.

Das Pseudonym wird als Freibrief gelesen. Wer pseudonymisierte Messwerte als anonyme Daten behandelt, lässt Löschfristen und Auskunftsansprüche fallen. Nach § 60 Abs. 6 MsbG gilt die Dreijahresfrist weiter.

Abrechnung und Bilanzierung werden nicht getrennt. Ein Haushaltskunde hat Anspruch auf seine Abrechnung, der Bilanzkreis braucht seinen Namen nicht. Wer beides über eine Kennung führt, verliert die Pseudonymisierung im ersten Prozessschritt.

Typische Missverständnisse

Pseudonym ist nicht anonym. Die Daten bleiben personenbezogen. Der Unterschied liegt allein darin, dass die Zuordnung für den Empfänger nicht mehr ohne Weiteres möglich ist.

Pseudonymisierung ist kein Aufsichtsthema. Sie folgt aus § 52 Abs. 3 MsbG und aus Art. 25 und Art. 32 DSGVO. Das BNetzA-Verfahren konkretisiert sie, es begründet sie nicht.

Aggregation ersetzt keine Pseudonymisierung. Beide Wege stehen in Satz 2 nebeneinander. Die Aggregation führt zur Anonymisierung, die Ortsbezeichnung zur Pseudonymisierung. Für Kleinstverbräuche kann die Aggregation zusätzlich am Zweck scheitern, weil eine Bilanzierung feinere Zeitreihen braucht.

Die Verbrauchsgrenze ist keine Freigrenze. Die 6 000 Kilowattstunden markieren den Regelfall. Hinter dem Netzanschluss entscheidet die Ausstattung, und für andere Empfänger entscheidet der Verarbeitungszweck.

Zugriffsrechte auf Messwerte regelt der Nachbarartikel Datenschutz und Zugriffsrechte im Smart Metering. Er beantwortet, wer lesen darf. Dieser Artikel beantwortet, unter welcher Kennung die Werte überhaupt unterwegs sind.

Quellen und Pflegehinweis

Tragende Grundlage ist § 52 Abs. 3 MsbG in der Fassung auf gesetze-im-internet.de. Die Übermittlungswege und die Löschfrist stehen in § 60 MsbG. Die Begriffe Pseudonymisierung, Datenschutz durch Technikgestaltung und Sicherheit der Verarbeitung kommen aus der DSGVO.

Bei der Pflege sind drei Punkte zu prüfen. Erstens der Stand des Festlegungsverfahrens BK6-24-210-1: Der zweite Verfahrensblock zur Bilanzierung war zum Redaktionsstand noch offen. Zweitens die Festlegungen nach § 47 Abs. 2 Nummer 13 und § 75 MsbG, weil sie weitere Fallgruppen und Auflösungsgründe bestimmen. Drittens die Verbrauchsgrenze und die Ausnahmetatbestände in § 52 Abs. 3 Satz 3, die der Gesetzgeber ändern kann.