Personenbezogene Daten und Pseudonymisierung: EuGH präzisiert Anforderungen

November 14, 2025

Kategorien:

Datenschutz in Europa

Der Europäische Gerichtshof (EuGH) hat sich mit verschiedenen Fragen zum Thema personenbezogene Daten und Pseudonymisierung befasst. Anlass war ein Rechtsstreit zwischen dem Europäischen Datenschutzbeauftragten (EDSB) und dem einheitlichen Abwicklungsausschuss (SRB), an dem auch der Europäische Datenschutzausschuss (EDSA) sowie die Europäische Kommission beteiligt waren. Unter Bezugnahme auf seine bisherige Rechtsprechung hat der EuGH im Rahmen dieses Urteils die Bedeutung des Begriffs der personenbezogenen Daten im Zusammenhang mit der Übermittlung pseudonymisierter Daten an Dritte präzisiert.

SRB klagt gegen EDSB-Entscheidung

Nach der Abwicklung von Banco Popular Español erließ der Einheitliche Abwicklungsausschuss (Single Resolution
Board, SRB) am 7. Juni 2017 eine vorläufige Entscheidung darüber, ob ehemaligen Anteilseignern und Gläubigern
dieser Bank aufgrund ihrer Abwicklung eine Entschädigung gewährt werden müsse. Da die betroffenen Personen
vor Erlass dieser Entscheidung nicht gehört wurden, führte der SRB zu einem späteren Zeitpunkt ein Verfahren
durch, in dem diese Personen zu seiner vorläufigen Entscheidung Stellung nehmen konnten. Im Rahmen dieses
Verfahrens übermittelte der SRB bestimmte Stellungnahmen als pseudonymisierte Daten an Deloitte, eine
Wirtschaftsprüfungs- und Beratungsgesellschaft, die er mit der Durchführung einer Bewertung der Auswirkungen
der Abwicklung auf die Anteilseigner und Gläubiger beauftragt hatte.

Mehrere betroffene Anteilseigner und Gläubiger legten beim Europäischen Datenschutzbeauftragten (EDSB)
Beschwerden ein, da der SRB sie nicht darüber informiert habe, dass sie betreffende Daten an Dritte, nämlich an
Deloitte, übermittelt würden. Der EDSB vertrat die Auffassung, dass Deloitte im vorliegenden Fall eine Empfängerin
personenbezogener Daten der Beschwerdeführer sei. Er stellte außerdem fest, dass der SRB gegen die in der
Verordnung 2018/17251 vorgesehene Informationspflicht verstoßen habe. Daraufhin erhob der SRB beim Gericht
der Europäischen Union Nichtigkeitsklage gegen die Entscheidung des EDSB. Das Gericht gab dieser Klage teilweise
statt und erklärte die in Rede stehende Entscheidung für nichtig.

Personenbezogene Daten vs. Pseudonymisierung

Zentraler Kern des Urteils ist die Auslegung der Begriffe „personenbezogene Daten” und „Pseudonymisierung” gemäß der EU-Datenschutzregelung. Die Verordnung (EU) 2018/1725, die für EU-Organe gilt und inhaltlich weitgehend der DSGVO entspricht, definiert personenbezogene Daten als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Der EuGH betont den weiten Anwendungsbereich dieses Begriffs: „Alle Informationen“ ist wörtlich zu verstehen. Er umfasst potenziell alle Arten von Angaben, objektiver oder subjektiver Natur (auch Meinungsäußerungen oder Bewertungen), sofern ein Bezug zu einer Person besteht. Entscheidend ist, ob die Information ihrem Inhalt, Zweck oder ihrer Auswirkung nach mit einer Person verknüpft ist. Im vorliegenden Fall war unstrittig, dass die Stellungnahmen die persönlichen Ansichten der Verfasser widerspiegelten und somit Informationen „über“ diese Personen darstellten. Daran änderte die Verwendung von Codes anstelle von Namen zunächst nichts.

Pseudonymisierung wird legaldefiniert als Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen Person zugeordnet werden können, sofern diese zusätzlichen Informationen getrennt aufbewahrt werden und technischen sowie organisatorischen Maßnahmen unterliegen, die eine Re-Identifizierung verhindern. Wichtig: Die Pseudonymisierung ist kein Bestandteil der Definition von „personenbezogenen Daten“, sondern eine technische Maßnahme, um das Risiko einer Personenverknüpfung zu verringern. Sie reduziert gemäß Erwägungsgrund 17 der VO 2018/1725 (entspricht ErwGr. 28 DSGVO) lediglich die Risiken für die Betroffenen und unterstützt Verantwortliche sowie Auftragsverarbeiter bei der Datenschutz-Compliance. Solange eine Identifizierung zumindest mit Zusatzwissen theoretisch möglich ist, bleiben pseudonymisierte Daten personenbezogene Daten.

Lese-Tipp: Anonymisierung personenbezogener Daten – ein Praxisleitfaden

Relativer Personenbezug ausschlaggebend

Der EuGH stellt klar, dass pseudonymisierte Daten nicht automatisch als „anonym“ anzusehen sind. Entscheidend ist das Vorhandensein von Zusatzinformationen, die eine Identifizierung ermöglichen. Wenn solche Informationen irgendwo vorhanden sind (etwa ein Schlüsselverzeichnis beim Verantwortlichen), widerspricht allein schon deren Existenz der Annahme, pseudonymisierte Daten seien vollständig anonym und fielen nicht unter das Datenschutzrecht. Anonymisierung erfordert vielmehr, dass die betroffene Person gar nicht oder nicht mehr identifizierbar ist. Bei Pseudonymisierung hingegen wird gerade vorausgesetzt, dass es getrennt aufbewahrte Identifizierungsdaten gibt.

Allerdings führt der EuGH einen relativen Personenbezug ein: Man muss unterscheiden, für wen die Daten (noch) personenbezogen sind. Der Ausgangspunkt ist die Perspektive des Verantwortlichen: Der SRB als derjenige, der die Pseudonymisierung vorgenommen hat, verfügte weiterhin über alle zusätzlichen Informationen (Schlüssel), um die Code-Daten wieder konkreten Personen zuzuordnen. Für den SRB blieben die Stellungnahmen daher trotz Pseudonymisierung personenbezogene Daten.

Der EuGH führt aus, dass wirksam pseudonymisierte Daten für einen Empfänger, der keine zusätzlichen Informationen besitzt, grundsätzlich nicht personenbezogen sind. Mit anderen Worten: Aus Deloittes Sicht waren die gelieferten Datensätze im Ergebnis anonyme Informationen, da Namen oder direkte Identifikatoren fehlten und Deloitte keine Möglichkeit hatte, die Codes echten Personen zuzuordnen.Voraussetzung dafür ist laut EuGH jedoch zweierlei:

Der Empfänger darf technisch wie organisatorisch nicht in der Lage sein, die getroffenen Pseudonymisierungsmaßnahmen wieder aufzuheben oder zu umgehen, und
die Maßnahmen müssen tatsächlich effektiv verhindern, dass auch mittels anderer verfügbarer Mittel eine Identifizierung stattfinden kann. Selbst durch Abgleich mit externen Daten darf die betroffene Person für den Empfänger nicht (mehr) bestimmbar sein. Nur unter diesen strengen Bedingungen sind die pseudonymisierten Angaben für den Empfänger de facto anonym.

Bei Pseudonymisierung muss Einzelfall geprüft werden

Mit dieser differenzierten Betrachtung bestätigt der EuGH zugleich den Grundsatz aus Erwägungsgrund 16 Satz 5 DSGVO (bzw. VO 2018/1725): Datenschutzgrundsätze gelten nicht für anonymisierte Informationen, d. h. Daten, die sich nicht (mehr) auf eine identifizierte oder identifizierbare Person beziehen. Sobald also ein Datensatz so verarbeitet wurde, dass kein Beteiligter mehr eine Identifizierung vornehmen kann, handelt es sich um anonyme Daten, die außerhalb des Anwendungsbereichs der DSGVO fallen.

Der EuGH betont jedoch, dass im Einzelfall genau zu prüfen ist, ob wirklich keine Identifizierungsmöglichkeit besteht. Hier sind alle objektiven Faktoren zu berücksichtigen: Insbesondere verfügbare Technologien, der Zeit- und Kostenaufwand einer möglichen Re-Identifizierung und ob eine Zusammenführung mit anderen Daten rechtlich oder praktisch zugänglich ist. Ist das Risiko einer Identifizierung de facto unbedeutend (z. B. wegen rechtlicher Verbote oder unverhältnismäßigen Aufwands), dann spricht viel dafür, dass die Informationen als anonym gelten.

Insgesamt unterstreicht das Urteil damit, dass Pseudonymisierung kein Freibrief ist, um Daten dem Datenschutz zu entziehen. Sie kann aber unter bestimmten Voraussetzungen dazu führen, dass ein Dritter mit den erhaltenen Daten nicht dem Datenschutzrecht unterliegt.

Informationspflicht bereits bei Datenerhebung

Für Unternehmen, ob als Verantwortliche oder Auftragsverarbeiter, hat dieses Urteil wichtige praktische Konsequenzen. Zunächst bestätigt der EuGH unmissverständlich, dass pseudonymisierte Daten weiterhin als personenbezogene Daten zu behandeln sind, solange der Verantwortliche (oder jemand anders) mittels Zusatzinformationen einen Personenbezug herstellen kann. Insbesondere können Verantwortliche sich nicht dadurch ihrer Pflichten entziehen, dass sie Daten pseudonymisieren und an Dritte weitergeben. Die datenschutzrechtlichen Pflichten greifen aus Sicht des ursprünglichen Verantwortlichen vollumfänglich weiter.

Im vorliegenden Fall bedeutete das: Der SRB unterlag beim Erheben der Anteilseigner-Daten seinen Informationspflichten nach Art. 15 VO 2018/1725 (bzw. Art. 13 DSGVO). Einschließlich der Pflicht, die Betroffenen über alle vorgesehenen Empfänger zu informieren. Dass die Daten später gegenüber Deloitte pseudonymisiert wurden, spielt dafür keine Rolle.

Der EuGH stellt klar, dass die Informationspflicht des Art. 15 Abs. 1 lit. d VO 2018/1725 im Verhältnis zwischen Verantwortlichem und betroffener Person besteht und schon bei Datenerhebung erfüllt werden muss. Aus der Perspektive des SRB waren die Teilnehmer identifizierbar (er selbst hatte ja alle Identifizierungsinformationen), also personenbezogen, und folglich hätte er Deloitte als Empfänger benennen müssen. Die spätere Nicht-Identifizierbarkeit aus Sicht von Deloitte ist für die Frage der rechtzeitigen Information irrelevant.

Handlungsempfehlungen für die Praxis

Unternehmen sollten bei der Pseudonymisierung folgende Punkte beachten:

Transparenz über Empfänger: Informieren Sie Betroffene bei der Datenerhebung über alle vorgesehenen Empfänger ihrer Daten (Art. 13 Abs. 1 lit. e DSGVO). Dies gilt auch dann, wenn die Weitergabe in pseudonymisierter Form erfolgen soll. Die Nicht-Nennung eines Empfängers wiegt als Verstoß schwer, selbst wenn der Empfänger die Personen nicht identifizieren kann. Falls bei Erhebung noch unklar ist, welche Dritt-Empfänger beteiligt werden, sollten zumindest Kategorien möglicher Empfänger angegeben werden. Werden Daten erst später pseudonymisiert an Dritte übermittelt ist zu prüfen, ob eine nachträgliche Information der Betroffenen nach Art. 14 DSGVO erforderlich ist.
Anonymisierung vs. Pseudonymisierung: Solange irgendjemand mittels Zusatzdaten oder vertretbarem Aufwand Personen re-identifizieren kann, bleiben die Daten personenbezogen. Vollständige Anonymisierung ist technisch anspruchsvoll. Wenn sie jedoch gelingt, entfallen dafür die DSGVO-Pflichten. Nutzen Sie Pseudonymisierung als Schutzmaßnahme, aber behandeln Sie pseudonymisierte Daten weiterhin mit dem gebotenen Datenschutzniveau.
Wirksame technische/organisatorische Maßnahmen: Trennen Sie Identifikationsschlüssel von den eigentlichen Datensätzen und beschränken Sie den Zugang dazu. Prüfen Sie die Effektivität der Maßnahmen: Können beispielsweise einzelne Personen über spezifische Merkmale im Datensatz erraten werden?
Vertragsgestaltung mit Dienstleistern: Wenn Sie einen Auftragsverarbeiter einschalten und diesem pseudonymisierte Daten übermitteln, stellen Sie im Auftragsverarbeitungsvertrag sicher, dass dieser die Daten nur gemäß Ihren Weisungen verarbeitet und keine Versuche unternimmt, Personen zu identifizieren. Der Dienstleister ist zwar in der Regel selbst nicht in der Lage, ohne Zusatzwissen zu identifizieren. Dennoch sollte ein Verbot der Re-Identifizierung explizit aufgenommen werden. Listen Sie zudem alle Unterauftragnehmer auf, die die pseudonymisierten Daten erhalten, und kontrollieren Sie deren Maßnahmen.
Dokumentation und Auskunftsfähigkeit: Führen Sie ein Verzeichnis, wem Sie pseudonymisierte Daten zur Verfügung stellen. Auch wenn diese Daten für den Empfänger anonym sind, müssen Sie als Verantwortlicher gegenüber Betroffenen auskunftsfähig sein, welche Stellen Daten (in irgendeiner Form) erhalten haben.