Pseudonymisierungs-Gateway für LLMs: Verlässt der Prompt den DSGVO-Bereich?

Ein Pseudonymisierungs-Gateway holt dich nicht aus der DSGVO. Bestenfalls holt es den Modellanbieter heraus, und das ist eine deutlich engere Aussage, die du belegen können musst. Die Kategorie verkauft ein implizites Versprechen: Schick den Prompt durch die Pseudonymisierung, dann ist der Weg zum gehosteten Modell kein Datenschutzproblem mehr. Seit dem 4. September 2025 hat dieses Versprechen eine präzise juristische Form, und die ist nützlicher als das Marketing, weil sie dir genau sagt, welche Nachweise du als Käufer sammeln musst.

An diesem Tag hat der Gerichtshof der Europäischen Union in der Rechtssache C-413/23 P, EDSB gegen SRB, entschieden, dass pseudonymisierte Daten nicht in allen Fällen und für jede Person als personenbezogene Daten anzusehen sind. Lies den zweiten Teil des Satzes genau. Die Daten können für dich personenbezogen bleiben und es für den Empfänger nicht mehr sein. Deine Pflichten verschieben sich nicht. Der Status des Empfängers kann sich verschieben, wenn die Fakten das hergeben.

Diese Seite behandelt die Käuferfrage: Was ändert eine gekaufte Pseudonymisierungsplattform an deiner Rechtslage, und welche Nachweise brauchst du, bevor du dich darauf verlässt? Unser Leitfaden zur PII-Redaktion vor dem Prompt behandelt den Bau der Erkennungs- und Platzhalterschicht mit Presidio, Privacy Filter oder Managed DLP. Unser Leitfaden zur EU-Datenresidenz behandelt, wo das Modell selbst läuft, und unser Leitfaden zu DSGVO und AI Act behandelt die Artefaktliste, die ein DACH-Produktteam liefern muss. Quellen geprüft am 18. August 2026.

Was ist ein Pseudonymisierungs-Gateway für LLMs?

Es ist ein Kontrollpunkt zwischen deinen Nutzerinnen und Nutzern und einem oder mehreren gehosteten Modellen, der identifizierende Werte auf dem Hinweg durch Platzhalter ersetzt und sie auf dem Rückweg wieder einsetzt. Der Mechanismus besteht aus drei Schritten, und jedes Produkt der Kategorie implementiert dieselben drei.

1. Erkennen und ersetzen. Namen, Adressen, Kundennummern, Kontodaten und Erwähnungen im Fließtext werden gefunden und durch typisierte Platzhalter ausgetauscht.
2. Modell aufrufen. Der Prompt mit Platzhaltern geht an den Anbieter. Der Anbieter sieht nie die Originalwerte, nur die Token.
3. Zurückspielen. Die Antwort kommt zurück, die Platzhalter werden auf die Originalwerte abgebildet, und die Nutzerin sieht eine vollständige Antwort.

Die Produkte unterscheiden sich in der Verpackung, nicht im Mechanismus. Manche verkaufen eine API, die du vor deine eigene Anwendung setzt. Manche verkaufen ein fertiges Chatprodukt mit dem Gateway darin. Pryvet, eine deutsche Plattform dieser Kategorie, eignet sich gut als Beispiel, weil dort genug Details veröffentlicht sind, um sie zu prüfen. Die veröffentlichte Preisseite beginnt bei 29 Euro pro Nutzer und Monat mit Kontingenten ab zehn Mitarbeitenden, und sie gruppiert die auswählbaren Modelle nach Serverstandort in deutsche, europäische und US-amerikanische Modelle, wobei GPT-5.2, Gemini 2.5 Pro, Claude Opus 4.7 und Alibaba Qwen in der dritten Gruppe stehen. Das Trust Center listet die Unterauftragsverarbeiter dahinter, darunter T-Systems, Microsoft Azure, AWS, MongoDB Atlas und Auth0 auf der Infrastrukturseite sowie Anthropic, OpenAI, Google, Mistral, DeepSeek und Alibaba Qwen auf der Modellseite.

Diese Gruppierung nach Serverstandort ist das Ehrlichste auf irgendeiner Anbieterseite dieser Kategorie, und genau deshalb ist die folgende juristische Analyse wichtig. Das Gateway ist die Kontrolle. Das Ziel bleibt eine Entscheidung, die du pro Anfrage triffst, und ein US-gehostetes Ziel bleibt eine Übermittlung nach Kapitel V für alles, was dein Haus tatsächlich verlässt.

Unabhängigkeit und Marken: Wavect veröffentlicht diese Seite und ist selbst Anbieter, wir haben also ein wirtschaftliches Interesse daran. Mit den hier genannten anderen Unternehmen sind wir weder verbunden noch von ihnen beauftragt oder empfohlen, und alle Firmennamen, Marken und Warenzeichen Dritter gehören ihren jeweiligen Inhabern. Aussagen über andere Anbieter stammen aus öffentlich zugänglichen Quellen, vor allem aus deren eigenen veröffentlichten Seiten, mit Stand des auf dieser Seite genannten Prüfdatums, und können sich seither geändert haben. Bitte prüfe sie vor einer Entscheidung selbst. Diese Seite wurde nach bestem Wissen und Gewissen erstellt, mit dem Ziel, möglichst objektiv zu bleiben. Wenn dir etwas falsch oder unfair erscheint, schreib uns und wir korrigieren es: [email protected]

Nimmt Pseudonymisierung einen Prompt aus dem Anwendungsbereich der DSGVO?

Für dich nicht, und das ist geklärt. Art. 4 Nr. 5 DSGVO definiert Pseudonymisierung als Verarbeitung, nach der die Daten ohne zusätzliche Informationen nicht mehr einer betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden. Die Definition setzt voraus, dass es diese zusätzlichen Informationen noch gibt. Gäbe es sie nicht, könntest du die Antwort nicht zurückspielen, und das Produkt würde nicht funktionieren.

Die EDSA-Leitlinien 01/2025 zur Pseudonymisierung sagen es in Randnummer 22 direkt: Pseudonymisierte Daten, die sich mithilfe zusätzlicher Informationen einer natürlichen Person zuordnen lassen, sind personenbezogen, und das gilt auch dann, wenn pseudonymisierte Daten und Zusatzinformation nicht in derselben Hand liegen. Späteres Löschen der Zuordnung hilft rückwirkend ebenfalls nicht. Die Leitlinien halten fest, dass die Daten nur dann anonym werden, wenn die Voraussetzungen für Anonymität erfüllt sind, und das ist eine eigene, deutlich höhere Hürde.

Was der EuGH 2025 ergänzt hat, ist die Empfängerseite. Identifizierbarkeit wird pro Akteur und pro Situation beurteilt, dieselben Bytes können also für die Partei mit dem Schlüssel personenbezogen sein und für eine Partei, die ihn realistisch nicht bekommt, nicht. Der Gerichtshof hat im selben Urteil auch die Grenze dieser Idee bestätigt: Deine Pflicht, Menschen über Empfänger zu informieren, wird zum Erhebungszeitpunkt und aus deiner Sicht beurteilt, also vor jeder Pseudonymisierung.

Zwei Einschränkungen gehören in jedes Memo, das das zitiert. Der Gerichtshof hat das Urteil des Gerichts aufgehoben und die Sache zurückverwiesen, das Verfahren ist also nicht abgeschlossen. Und die EDSA-Leitlinien tragen den Vermerk "Adopted - version for public consultation", angenommen am 16. Januar 2025, mit einer Konsultation bis zum 28. Februar 2025. Beides ist die beste heute verfügbare Grundlage. Keines ist ein letztes Wort, und eine darauf gebaute Aussage braucht ein Prüfdatum.

Was müsstest du beweisen, damit der Modellanbieter außerhalb des Anwendungsbereichs steht?

Der EDSA hat den Test bereits geschrieben, und die wenigsten Käufer haben ihn gelesen. Die Randnummern 63 bis 68 der Leitlinien beschreiben, wann Pseudonymisierung als zusätzliche Maßnahme für eine Drittlandsübermittlung wirkt. Drei Bedingungen müssen zusammen erfüllt sein.

Randnummer 70 ergänzt die Regel, die auch ohne Übermittlungsfrage gilt: Bevor du pseudonymisierte Daten an einen Dritten übermittelst, musst du mindestens die Mittel bestimmen, die diesem Empfänger zur Zuordnung zur Verfügung stehen. Bei einem Frontier-Modellanbieter heißt das, explizit zu benennen, was der Anbieter ohnehin schon hält, einschließlich deines übrigen Traffics, und wie lange er es speichert. Ein Gateway, das den Prompt kürzt, aber eine stabile Nutzerkennung in den Metadaten lässt, hat diesen Test nicht bestanden.

Warum Fließtext die Pseudonymisierung auf Feldebene aushebelt

Namen ersetzen ist einfach. Zu verhindern, dass ein Prompt genau eine Person beschreibt, ist es nicht. Hier bricht die Bedingung "nicht heraussuchbar" in der Praxis, und die Evidenz ist für die ganze Kategorie unangenehm.

Forschende der ETH Zürich haben in Beyond Memorization: Violating Privacy Via Inference with Large Language Models gezeigt, dass aktuelle Modelle persönliche Merkmale wie Wohnort, Einkommen und Geschlecht aus gewöhnlichem Text ableiten und dabei bis zu 85 Prozent Top-1- und 95 Prozent Top-3-Trefferquote erreichen, zu etwa einem Hundertstel der Kosten und einem Zweihundertvierzigstel der Zeit, die ein Mensch braucht. Die Angriffsfläche ist nicht das Namensfeld. Es ist der Schreibstil.

Der EDSA denkt dasselbe Problem von der anderen Seite. Randnummer 21 der Leitlinien hält fest, dass Informationen außerhalb deiner Kontrolle, "zum Beispiel aus öffentlich zugänglichen Quellen wie Beiträgen in einem sozialen Netzwerk oder einem Onlineforum", zur Zuordnung beitragen und in deiner Bewertung der Wirksamkeit berücksichtigt werden müssen.

In echten Prompts sieht der Rest, der eine gute Feldprüfung überlebt, meistens so aus.

• Rolle plus Organisation plus Ereignis. "Unser Interims-CFO, der im März am Standort Innsbruck angefangen hat" identifiziert eine Person ohne eine einzige benannte Entität.
• Seltene Kombinationen. Eine Diagnose, eine Postleitzahl und eine Altersgruppe. Einzeln kein Name. Zusammen eine Person.
• Zitierte Korrespondenz. Schreibstil, Grußformeln und interne Abkürzungen reisen mit einer eingefügten E-Mail mit, auch wenn der Header entfernt ist.
• Anhänge und Screenshots. Ein Gateway, das strukturierten Text parst, lässt ein Bild möglicherweise unverändert durch. Frag explizit nach, denn Bildschirminhalte lassen sich nicht wie ein Formularfeld schwärzen.
• Retrieval-Kontext. Wenn der Assistent RAG nutzt, sind die abgerufenen Chunks ebenfalls Promptinhalt. Berechtigungsbewusstes Retrieval ist eine eigene Kontrolle, siehe unseren Leitfaden zu RAG-Berechtigungen.

Nichts davon macht das Gateway sinnlos. Es macht die Aussage abhängig von deinem Textkorpus. Eine Ticketwarteschlange mit "Drucker im 3. Stock klemmt" pseudonymisiert sauber. Ein HR-Beschwerdeverlauf nicht, und daran ändert auch die beste Platzhalter-Technik nichts. Die ehrliche Architekturentscheidung lautet, die zweite Kategorie anders zu routen, statt einen stärkeren Detektor zu kaufen.

Acht Fragen an einen Anbieter von Pseudonymisierungsplattformen

Sortiert danach, wie oft die Antwort eine Entscheidung ändert, nicht nach ihrer Position im Sicherheitsfragebogen. Unser Sicherheitsfragebogen für KI-Anbieter deckt die generische Ebene darunter ab.

1. Wo liegt die Zuordnung, und wer kann sie lesen? Benenne Rechtsordnung, Betreiber und Zugriffsweg. Die EDSA-Bedingung heißt Ausschließlichkeit, "unsere Cloud" ist also keine Antwort, und "eine Hyperscaler-Region in Deutschland" wird erst dann zu einer, wenn du weißt, wer die Schlüssel hält.
2. Ist Pseudonymisierung standardmäßig aktiv oder ein Tarif-Feature? Diese Frage lohnt sich bei jedem Produkt. In Pryvets veröffentlichter Matrix sind etwa im Professional-Tarif automatische Datenlöschung und Pseudonymisierung personenbezogener Daten als optional ausgewiesen, während der Enterprise-Tarif sensitive Daten und ein optionales eigenes Regelwerk ergänzt. Eine Kontrolle, die sich abschalten lässt, musst du an anderer Stelle in deiner Richtlinie durchsetzen.
3. Welches Modell, in welchem Land, für diese Anfrage? Eine Plattform, in der Nutzende ein US-gehostetes Modell auswählen können, hat die Übermittlungsentscheidung an die Nutzenden übergeben. Entscheide, ob das akzeptabel ist, und setze es dann per Konfiguration durch, nicht per Schulung.
4. Was genau schickt ihr außer dem Prompt? Mandanten-, Nutzer- und Sitzungskennungen sowie Systemprompts reisen mit. Stabile Nutzerkennungen hebeln die Heraussuchbarkeits-Bedingung schon allein aus.
5. Was wird gespeichert, bei euch und beim Modellanbieter? Lass dir die Aufbewahrungseinstellung pro Anbieter schriftlich geben, und lass dir sagen, was mit dem Zuordnungsspeicher passiert, wenn ein Chat gelöscht wird.
6. Was ist im Erkennungsumfang, und was geht durch? Strukturierte Felder, Fließtext, Tabellen, PDFs, Bilder, Audio. Frag nach der Fehlerquote bei deutschen Komposita sowie bei österreichischen und schweizerischen Formaten, nicht nach einem englischen Benchmark.
7. Wer ist Auftragsverarbeiter, und was steht wirklich im AVV? Vertrag nach Art. 28, aktuelle Unterauftragsverarbeiterliste, Ankündigungsfrist bei Änderungen und Auditrechte. Eine veröffentlichte Liste, wie Pryvet sie pflegt, ist die Mindestanforderung, kein Alleinstellungsmerkmal.
8. Welche Nachweise bekomme ich für meine eigene Akte? Eine Zulieferung für das Transfer Impact Assessment, eine Architekturbeschreibung der Pseudonymisierungsdomäne und die Ergebnisse des letzten Penetrationstests. Kann der Anbieter das nicht liefern, schreibst du es selbst, und diese Kosten gehören in den Vergleich.

Was dir bleibt, egal welche Plattform du kaufst

Jede Pflicht in dieser Tabelle überlebt den Kauf. Die Anbieter sind dabei nicht unehrlich. Käufer lesen ein Compliance-Siegel nur häufig als Übertragung von Verantwortung, und das ist es nie.

Gateway kaufen, Modell verlagern oder Daten draußen lassen?

Vier Optionen, und das Gateway ist nur in einem Band die beste Antwort. Die Kostenmodelle für die Alternativen stehen in unserer Kostenanalyse zum Self-Hosting und in unserer Kostenaufstellung zum internen KI-Assistenten.

In der dritten Zeile steht bewusst Verarbeitungsregion und nicht Nationalität. Der Firmensitz eines Anbieters sagt dir, welchem Gesellschaftsrecht er unterliegt, nicht, wo eine konkrete Anfrage bedient wird, und auch ein europäischer Anbieter kann die Inferenz in einer Drittlandsregion oder auf einer Drittlandscloud laufen lassen. Lege die Region im Vertrag fest, pro Modell und pro Endpunkt, und lass dir schriftlich geben, dass sie nicht stillschweigend auf eine andere ausweicht. Eine europäische Marke ohne benannten Verarbeitungsort lässt dich genau mit der Kapitel-V-Frage zurück, der du ausweichen wolltest.

In der Praxis ist die gute Antwort meistens eine Kombination aus zweien davon: eine harte Regel, dass die meiste Arbeit nie personenbezogene Daten trägt, plus ein kontrollierter Pfad für die Arbeit, die es doch tut. Genau diese Form haben wir bei PromptID gebaut, wo modellunabhängige Aufrufe hinter einer einzigen Orchestrierungsschicht laufen, sodass der Anbieter eine Konfigurationsentscheidung ist statt einer Architekturfestlegung. Wenn du noch zwischen Plattform und Eigenbau schwankst, ist unser Leitfaden Individualsoftware gegen Standardsoftware die neutrale Fassung dieser Entscheidung.

Ein zweiwöchiger Nachweis-Pilot

Bewerte diese Kategorie nicht anhand einer Demo. Bewerte sie an deinen eigenen schlimmsten Prompts, und beende sie mit einer Akte, die du deinem Datenschutzbeauftragten übergeben kannst.

1. Baue ein Korpus aus 200 Prompts aus echtem Traffic, gewichtet auf die unangenehmen Fälle: HR, Recht, Support-Eskalationen, alles mit Anhang.
2. Führe den Heraussuchbarkeits-Test durch. Nimm die pseudonymisierte Ausgabe und lass ein starkes Modell beschreiben, wer sie geschrieben hat und über wen. Zähle, wie oft sich die Grundgesamtheit unter zehn Personen verengt.
3. Miss die Fehlerquote nach Kategorie, getrennt für deutsche, österreichische und schweizerische Formate und getrennt für Fließtext und strukturierte Felder.
4. Miss den Qualitätsunterschied bei der Aufgabe. Platzhalter verändern Antworten. Bewerte dieselben Aufgaben mit und ohne Gateway, denn ein konformer Assistent, den niemand nutzt, ist keine Kontrolle.
5. Protokolliere Latenz und Kosten pro Anfrage über das Gateway gegen den Direktaufruf. Zwei Modell-Roundtrips sind in dieser Kategorie üblich.
6. Schreibe die Architektur des Zuordnungsspeichers auf, eine Seite: Ort, Betreiber, Zugriff, Aufbewahrung, Löschung. Das ist deine Pseudonymisierungsdomäne, und dieses Dokument wird am EDSA-Test gemessen.
7. Lege die Routing-Regel fest, die den Piloten überlebt: welche Promptklassen ans Gateway gehen, welche an ein EU-gehostetes Modell und welche das Haus nie verlassen.

Primärquellen

• Gerichtshof der Europäischen Union, Pressemitteilung 107/25 vom 4. September 2025 zur Rechtssache C-413/23 P, EDSB gegen SRB
• EDSA-Leitlinien 01/2025 zur Pseudonymisierung, Konsultationsseite, angenommen am 16. Januar 2025
• Verordnung (EU) 2016/679, DSGVO, einschließlich der Definition der Pseudonymisierung in Art. 4 Nr. 5
• ETH Zürich SRI Lab, Beyond Memorization: Violating Privacy Via Inference with Large Language Models
• Pryvet-Sicherheitsseite, zur Pseudonymisierung vor der Verarbeitung und zur Verarbeitung auf deutschen oder europäischen Servern