Kurz gesagt: An deiner DNA-Probe arbeiten immer mehrere Stellen: das Labor, das sie analysiert, die Auswertung, die daraus Werte berechnet, und die Anwendung, die sie dir zeigt. Ein Anbieter, der einen Alleinzugriff verspricht, beschreibt damit nicht sein Verfahren, sondern verkürzt es. Der ehrliche Begriff heißt pseudonymisiert, nicht anonym. Die DSGVO gibt dir dafür konkrete Rechte, darunter Auskunft und Löschung, und sie kennt Ausnahmen, die genauso konkret sind. Beides gehört zusammen, wenn du eine Kaufentscheidung treffen willst.
Hinweis zur Einordnung: Dieser Beitrag ordnet ein, wie DNA-Proben und genetische Daten bei Tests für zuhause verarbeitet werden. Er beschreibt die allgemeine Rechtslage nach der DSGVO und ist keine Rechtsberatung. Für den Einzelfall gilt die Datenschutzerklärung des jeweiligen Anbieters.
Die kurze Antwort
Deine Probe wandert durch mindestens drei Hände, bevor du ein Ergebnis siehst. Das ist keine Nachlässigkeit, sondern der Aufbau des Verfahrens.
Ein Labor extrahiert die DNA aus deinem Speichel und misst sie. Eine Auswertung rechnet aus den Messwerten die Ergebnisse, also etwa ein biologisches Alter oder eine genetische Kategorie. Eine Anwendung zeigt dir das Ergebnis an und speichert es, damit du später wieder hineinschauen kannst. Bei fast allen Anbietern für Endkunden sind das nicht drei Abteilungen desselben Hauses, sondern verschiedene Unternehmen.
Wer diesen Aufbau kennt, liest Werbeversprechen zum Datenschutz anders. Die interessante Frage lautet nicht, ob jemand deine Daten anfasst. Das tun mehrere. Die Frage lautet, unter welchen Bedingungen das geschieht und was du dagegen in der Hand hast.
Warum kein Anbieter einen Alleinzugriff versprechen kann
Weil dann niemand deine Probe analysieren könnte. Die Zusage klingt gut und widerspricht dem Verfahren, das sie beschreiben soll.
Damit aus Speichel ein Alterswert wird, muss mindestens eine Stelle die Messdaten sehen und eine weitere sie mit deinem Zugang verknüpfen. Andernfalls bekämst du dein Ergebnis nie zu Gesicht. Ein Anbieter kann zusagen, dass der Kreis klein bleibt, dass niemand darin deinen Namen braucht und dass niemand die Daten für andere Zwecke nutzt. Er kann nicht zusagen, dass der Kreis leer ist.
Wir haben diese Zusage deshalb von unseren eigenen Seiten genommen. Sie stand dort, sie las sich gut, und sie war nicht haltbar. Übrig geblieben ist eine kürzere und langweiligere Formulierung, die dafür stimmt. Sie steht weiter unten.
Heißt pseudonymisiert dasselbe wie anonym?
Nein, und der Unterschied entscheidet darüber, ob du überhaupt noch Rechte an den Daten hast. Er wird in der Werbung häufig verwischt, weil das eine Wort beruhigender klingt als das andere.
Pseudonymisiert heißt nach Artikel 4 Nummer 5 der Datenschutz-Grundverordnung, dass sich Daten ohne zusätzliche Information nicht mehr einer bestimmten Person zuordnen lassen und diese Zusatzinformation getrennt aufbewahrt wird. Deine Probe trägt also eine ID statt deines Namens. Die Verbindung zwischen ID und Person existiert weiter, sie liegt nur woanders.
Anonymisiert heißt, dass diese Verbindung überhaupt nicht mehr herstellbar ist. Dann sind es keine personenbezogenen Daten mehr, und die DSGVO gilt für sie nicht länger.
Genau daraus folgt der Punkt, den kaum jemand ausspricht: Ein Test, der dir dein persönliches Ergebnis zurückgibt, kann nicht mit anonymen Daten arbeiten. Wären sie anonym, wüsste niemand mehr, wem das Ergebnis gehört. Pseudonymisiert ist deshalb keine schwächere Version von anonym, sondern das einzige, was hier technisch möglich ist. Und es ist die für dich bessere Variante, weil deine Rechte an anonymen Daten erlöschen würden.
Warum genetische Daten schwerer zu anonymisieren sind als andere
Weil sie dich selbst dann noch identifizieren können, wenn kein Name daran steht. Das ist kein theoretischer Einwand, sondern in der Fachliteratur mehrfach vorgeführt worden.
Eine Arbeitsgruppe um Melissa Gymrek zeigte 2013, dass sich aus anonym veröffentlichten Genomdaten über Marker auf dem Y-Chromosom und öffentlich zugängliche Ahnenforschungs-Datenbanken der Nachname der Person und über weitere Merkmale ihre Identität ableiten ließ (Gymrek et al., Science, 2013). Eine spätere Übersichtsarbeit ordnet die bekannten Angriffswege und Schutzmaßnahmen systematisch (Erlich und Narayanan, Nature Reviews Genetics, 2014).
Zwei Einordnungen gehören dazu, sonst wird daraus ein Gruselargument. Erstens beziehen sich diese Arbeiten auf umfangreiche Genomdaten. Ein Test für Endkunden liest in der Regel eine ausgewählte Zahl von Positionen, nicht das ganze Genom, und ist damit weniger aussagekräftig für eine Re-Identifizierung. Zweitens beschreiben sie veröffentlichte Forschungsdatensätze, nicht die Datenbank eines Anbieters.
Was bleibt, ist trotzdem wichtig: Genetische Daten lassen sich nicht mit demselben Selbstverständnis anonymisieren wie eine Postleitzahl. Deshalb behandelt die DSGVO sie als besondere Kategorie personenbezogener Daten mit einem grundsätzlichen Verarbeitungsverbot, von dem es klar benannte Ausnahmen gibt (Artikel 9). Eine davon ist deine ausdrückliche Einwilligung. Genau deshalb musst du bei jedem seriösen Anbieter aktiv zustimmen, bevor die Probe bearbeitet wird.
Welche Rechte dir die DSGVO tatsächlich gibt
Mehr, als die meisten nutzen, und weniger, als manche Werbung suggeriert. Die wichtigsten fünf sind kurz aufzählbar:
- Auskunft (Artikel 15). Du kannst verlangen zu erfahren, welche Daten über dich verarbeitet werden, zu welchem Zweck und wer sie bekommt.
- Berichtigung (Artikel 16) falscher Angaben, etwa eines falschen Geburtsdatums, das in eine Altersberechnung eingeht.
- Löschung (Artikel 17), oft Recht auf Vergessenwerden genannt.
- Datenübertragbarkeit (Artikel 20). Du kannst deine Daten in einem gängigen Format herausverlangen und zu einem anderen Anbieter mitnehmen.
- Widerruf der Einwilligung (Artikel 7 Absatz 3), jederzeit und für die Zukunft. Was vorher rechtmäßig verarbeitet wurde, wird dadurch nicht rückwirkend unrechtmäßig.
Beim Löschen liegt die Stelle, an der Werbung und Rechtslage am weitesten auseinandergehen. Artikel 17 Absatz 3 nennt Ausnahmen, unter anderem wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Handels- und steuerrechtliche Aufbewahrungspflichten für Kaufunterlagen sind dafür das Alltagsbeispiel. Eine Zusage, dass sich restlos alles sofort entfernen lässt, kann ein Anbieter deshalb nicht seriös geben. Die richtige Formulierung lautet, dass du eine Löschung beantragen kannst und der Anbieter dir sagen muss, was gelöscht wird und was aus welchem Grund nicht.
Der EU-Sitz eines Anbieters ist übrigens kein Freibrief, aber er vereinfacht etwas Konkretes: Liegen die Daten im Geltungsbereich, entfällt die zusätzliche Prüfung, unter welchen Bedingungen sie in ein Drittland übermittelt werden dürfen. Bei einem Anbieter außerhalb der EU ist genau das eine Frage, die du dir vor dem Kauf beantworten lassen solltest.
Was wir selbst sagen, und was wir bewusst nicht sagen
Unsere Fassung ist absichtlich kurz. Sie lautet: Die Probe wird pseudonymisiert unter einer individuellen ID verarbeitet, das Labor bekommt keinen Namen. Die Daten liegen DSGVO-konform auf EU-Servern. Zugriff haben außer dir nur die Stellen, die für die Laboranalyse und die Bereitstellung der Ergebnisse nötig sind. Eine Löschung kannst du beantragen.
Drei weitere Zusagen standen früher daneben und stehen heute nirgends mehr: ein Alleinzugriff, eine anonyme statt pseudonymisierte Auswertung und ein Löschversprechen ohne jede Einschränkung. Alle drei haben der eigenen Prüfung nicht standgehalten. Die erste widerspricht dem Verfahren, die zweite verwechselt anonym mit pseudonym, die dritte übergeht gesetzliche Aufbewahrungspflichten.
Was wir hier ebenfalls nicht tun, gehört zur Ehrlichkeit dazu: Wir veröffentlichen in diesem Beitrag keine Aufstellung einzelner Verarbeitungsschritte, Speicherorte oder Fristen. Der Ort dafür ist die Datenschutzerklärung, nicht ein Blogartikel, weil nur dort verbindlich steht, was jeweils gilt. Wer es genauer wissen will, findet dort den Stand und kann uns nach Artikel 15 fragen.
Sechs Punkte, die du vor dem Kauf prüfen kannst
Alle sechs lassen sich in wenigen Minuten auf der Seite eines Anbieters nachsehen, bevor du bestellst.
- Steht da anonym oder pseudonymisiert? Wer bei einem personalisierten Ergebnis mit Anonymität wirbt, hat entweder den Begriff nicht verstanden oder verwendet ihn bewusst falsch.
- Wird das Labor benannt? Ein zertifiziertes Partnerlabor ohne Namen lässt sich nicht nachprüfen.
- Steht dort, wo die Daten liegen? Und falls außerhalb der EU: auf welcher Grundlage.
- Gibt es eine Aussage zur Weitergabe an Dritte? Besonders zu Forschungs- oder Vermarktungszwecken, und ob du dem getrennt zustimmen musst.
- Wird die Einwilligung getrennt abgefragt? Eine Zustimmung zur Analyse ist nicht dasselbe wie eine Zustimmung zur weiteren Nutzung deiner Daten.
- Ist der Löschweg beschrieben, samt Grenzen? Ein Anbieter, der Grenzen nennt, hat sich mit der Frage befasst. Einer, der keine nennt, meistens nicht.
Der letzte Punkt ist der aussagekräftigste, und er funktioniert wie ein Umkehrschluss: Je uneingeschränkter ein Datenschutzversprechen klingt, desto genauer solltest du hinsehen.
Was am Ende bleibt
Ein DNA-Test für zuhause ist kein besonders riskanter Vorgang, aber auch kein datenschutzfreier. Mehrere Stellen arbeiten an deiner Probe, deine Daten bleiben personenbezogen, und du hast dafür Rechte, die weiter reichen als bei den meisten anderen Käufen.
Die Anbieter unterscheiden sich weniger darin, was technisch passiert. Sie unterscheiden sich darin, wie genau sie es aufschreiben. Wer eine Seite findet, die auch die unangenehmen Teile benennt, hat mehr Information in der Hand als bei jedem Versprechen, das ohne Einschränkung auskommt.
Weiterführend: Welche Verfahren es gibt und woran du einen transparenten Test erkennst, sammelt die Übersicht Biologisches Alter testen. Welche Daten bei einer Speichelprobe überhaupt entstehen, erklärt Genetischer und epigenetischer Test. Was du mit dem Ergebnis anfängst, sobald es vorliegt, behandelt Dein Alterstest-Ergebnis. Wie sich die Anbieter sonst unterscheiden, steht im Anbietervergleich.
Quellen
Zuletzt geprüft am 11. August 2026.
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), insbesondere Artikel 4 Nummer 5, Artikel 7 Absatz 3, Artikel 9, Artikel 15 bis 17 und Artikel 20. Volltext bei EUR-Lex
- Gymrek M, McGuire AL, Golan D, Halperin E, Erlich Y. Identifying personal genomes by surname inference. Science. 2013;339(6117):321-324. doi:10.1126/science.1229566
- Erlich Y, Narayanan A. Routes for breaching and protecting genetic privacy. Nature Reviews Genetics. 2014;15(6):409-421. doi:10.1038/nrg3723
