Ob Daten „personenbezogen“ sind, entscheidet darüber, ob die DSGVO überhaupt anwendbar ist. Besonders umstritten war bislang, wie pseudonymisierte Daten zu behandeln sind, die an Dritte weitergegeben werden, die selbst niemanden identifizieren können. Mit Urteil vom 4. September 2025 (Rs. C-413/23 P, EDSB/SRB) hat der Gerichtshof der Europäischen Union dazu wichtige Klarstellungen getroffen.
Der Fall
Der Einheitliche Abwicklungsausschuss (SRB), eine EU-Einrichtung, hatte im Rahmen der Abwicklung einer Bank Stellungnahmen von Aktionären und Gläubigern eingeholt. Diese Stellungnahmen wurden mit einem alphanumerischen Code versehen und ohne Namen an ein Beratungsunternehmen weitergegeben, das sie auswerten sollte. Nur der SRB konnte die Codes den Personen zuordnen. Betroffene beschwerten sich beim Europäischen Datenschutzbeauftragten (EDSB), weil sie über die Weitergabe nicht informiert worden waren. Der EDSB gab ihnen recht; das Gericht der EU hob diese Entscheidung auf. Der EuGH hatte nun im Rechtsmittelverfahren zu entscheiden.
Die Kernaussagen
- Pseudonymisierte Daten sind nicht in jedem Fall für jeden personenbezogen. Je nach den Umständen kann die Pseudonymisierung verhindern, dass andere Personen als der Verantwortliche die betroffene Person identifizieren. Für einen Empfänger, der vernünftigerweise keine Möglichkeit zur Identifizierung hat, können die Daten daher nicht personenbezogen sein.
- Wer wie der SRB über die Zuordnungsinformationen verfügt, verarbeitet weiterhin personenbezogene Daten.
- Ob die Betroffenen über die Empfänger informiert werden mussten, ist aus Sicht des Verantwortlichen zum Zeitpunkt der Erhebung zu beurteilen, nicht aus Sicht des Empfängers. Die Informationspflicht bestand daher unabhängig davon, ob die Daten für das Beratungsunternehmen personenbezogen waren.
- Persönliche Stellungnahmen und Ansichten sind als Ausdruck des Denkens einer Person eng mit ihr verknüpft und damit personenbezogen.
Der EuGH hob das Urteil des Gerichts auf und verwies die Sache zurück.
Was bedeutet das für Unternehmen?
Das Urteil bestätigt einen „relativen“ Ansatz beim Personenbezug. Es kann Datenweitergaben erleichtern, etwa an Analysedienstleister, Forschungspartner oder KI-Entwickler, wenn diese die Daten wirksam nicht re-identifizieren können. Zugleich gilt:
- Der Verantwortliche bleibt an die DSGVO gebunden und muss die Betroffenen über Empfänger informieren; siehe unseren Beitrag zu den Informationspflichten nach Art. 13 DSGVO.
- Ob ein Empfänger tatsächlich nicht identifizieren kann, hängt von technischen und organisatorischen Vorkehrungen ab: Trennung der Zuordnungsschlüssel, vertragliche Verbote der Re-Identifizierung, Begrenzung zusätzlicher Informationen.
- Eine sorgfältige Dokumentation dieser Bewertung ist unverzichtbar, ebenso wie angemessene technische und organisatorische Maßnahmen.
Pseudonymisierung ist ein wirksames Werkzeug, ihre Wirkung muss aber für jeden Empfänger konkret geprüft und dokumentiert werden. Wenn Sie Daten pseudonymisiert an Dienstleister oder Partner weitergeben möchten, prüfen wir Ihr Konzept. Nachricht senden oder Termin buchen.