EuGH: Relativer Personenbezug bei pseudonymisierten Daten – mehr Rechtssicherheit, aber keine Entwarnung bei den Informationspflichten

Mit Urteil vom 4. September 2025 (C‑413/23 P – EDSB/SRB) hat der Europäische Gerichtshof (EuGH) eine wegweisende Entscheidung zur Einordnung pseudonymisierter Daten getroffen. Im Mittelpunkt stand die Frage, ob pseudonymisierte Daten für einen Empfänger, der über keine Möglichkeit zur Re-Identifizierung verfügt, als personenbezogene Daten anzusehen sind – und welche Informationspflichten den übermittelnden Verantwortlichen treffen.

Das Urteil erging zwar unmittelbar zur Verordnung (EU) 2018/1725, die für Organe und Einrichtungen der Union gilt. Aufgrund der weitgehend wortgleichen Begriffsbestimmungen (Art. 3 Nr. 1 und Nr. 6 VO (EU) 2018/1725 einerseits, Art. 4 Nr. 1 und Nr. 5 DSGVO andererseits) sind die Aussagen des Gerichtshofs jedoch auf die Datenschutz-Grundverordnung (DSGVO) übertragbar. Für Unternehmen, Forschungseinrichtungen und Anbieter von KI-Systemen ist die Entscheidung daher von erheblicher praktischer Bedeutung.

Executive Summary

Der EuGH bestätigt, dass der Personenbezug keine absolute Eigenschaft von Daten ist. Ob Daten personenbezogen oder anonym sind, ist aus der Perspektive des jeweiligen Verantwortlichen und anhand der ihm realistischerweise zur Verfügung stehenden Mittel zu beurteilen. Pseudonymisierte Daten sind damit nicht automatisch für jeden Empfänger personenbezogene Daten (sog. relativer Ansatz).

Zugleich setzt der EuGH dieser relativen Betrachtung deutliche Grenzen: Persönliche Stellungnahmen und Meinungen „beziehen sich” als Ausdruck der Person stets auf diese und sind daher ihrem Wesen nach personenbezogen. Vor allem aber beurteilen sich die Informationspflichten des Verantwortlichen nach dessen eigener Perspektive im Zeitpunkt der Datenerhebung – unabhängig davon, ob die Daten für einen späteren Empfänger anonym sind.

Wer personenbezogene Daten erhebt und später pseudonymisiert weitergibt, muss die betroffenen Personen daher bereits bei der Erhebung über die (Kategorien von) Empfänger(n) informieren.

Hintergrund des Verfahrens

Dem Verfahren lag ein Rechtsstreit zwischen dem Europäischen Datenschutzbeauftragten (EDSB) und dem Einheitlichen Abwicklungsausschuss der Europäischen Union (Single Resolution Board – SRB) zugrunde.

Im Rahmen der Abwicklung der Banco Popular Español S.A. gab der SRB betroffenen Anteilseignern und Gläubigern Gelegenheit, zu einer vorläufigen Entscheidung über mögliche Entschädigungen Stellung zu nehmen. Einen Teil dieser Stellungnahmen übermittelte der SRB zur Auswertung an die Wirtschaftsprüfungsgesellschaft Deloitte – allerdings erst, nachdem er die Stellungnahmen pseudonymisiert und mit einem alphanumerischen Code versehen hatte. Den Schlüssel zur Zuordnung der Codes zu den jeweiligen Personen behielt allein der SRB; Deloitte hatte hierauf keinen Zugriff.

Mehrere Betroffene beschwerten sich beim EDSB, weil sie in den Datenschutzhinweisen des SRB nicht über eine mögliche Übermittlung an Deloitte informiert worden waren. Der EDSB stellte einen Verstoß gegen die Informationspflicht aus Art. 15 Abs. 1 lit. d VO (EU) 2018/1725 (entspricht Art. 13 Abs. 1 lit. e DSGVO) fest. Das Gericht der Europäischen Union (EuG) erklärte diese Entscheidung mit Urteil vom 26. April 2023 (T‑557/20) für nichtig. Auf das Rechtsmittel des EDSB hat der EuGH das Urteil des EuG nun aufgehoben und die Sache zur erneuten Entscheidung an das EuG zurückverwiesen.

Kernaussagen des EuGH

Aus der Entscheidung ergeben sich insbesondere folgende Grundsätze:

• Der Personenbezug ist keine absolute, unveränderliche Eigenschaft eines Datensatzes. Die Anwendung des Datenschutzrechts setzt grundsätzlich die Prüfung voraus, ob die betroffene Person identifiziert oder identifizierbar ist (EuGH – Rechtssache C‑413/23 P, Rdn. 69 f.); pseudonymisierte Daten sind daher nicht in jedem Fall und für jede Person als personenbezogene Daten zu betrachten (EuGH – Rechtssache C‑413/23 P, Rdn. 86).

• Maßgeblich ist, ob die betroffene Person mit Mitteln identifiziert werden kann, die nach allgemeinem Ermessen wahrscheinlich genutzt werden; dabei sind objektive Faktoren wie Kosten und Zeitaufwand zu berücksichtigen. Ist die Identifizierung gesetzlich verboten oder praktisch nicht durchführbar, scheidet ein Personenbezug aus (EuGH – Rechtssache C‑413/23 P, Rdn. 79, 82). Welche Perspektive für die Beurteilung der Identifizierbarkeit maßgeblich ist, richtet sich nach den Umständen der Datenverarbeitung im Einzelfall (EuGH – Rechtssache C‑413/23 P, Rdn. 100).

• Dieselben Daten können danach für den übermittelnden Verantwortlichen, der über den Schlüssel verfügt, personenbezogen bleiben (EuGH – Rechtssache C‑413/23 P, Rdn. 76) und zugleich für einen Empfänger ohne Zugriff auf den Schlüssel nicht personenbezogen sein – sofern die technischen und organisatorischen Maßnahmen vom Empfänger nicht aufgehoben werden können und tatsächlich verhindern, dass er die Daten der betroffenen Person zuordnet, auch nicht durch Abgleich mit anderen ihm verfügbaren Informationen (EuGH – Rechtssache C‑413/23 P, Rdn. 77, 86).

• Persönliche Stellungnahmen, Meinungen und Sichtweisen sind als Ausdruck des Denkens einer Person zwangsläufig eng mit dieser verknüpft und erfüllen bereits deshalb das Merkmal des „Beziehens” auf eine Person; einer gesonderten Prüfung von Inhalt, Zweck und Auswirkungen bedarf es insoweit nicht (EuGH – Rechtssache C‑413/23 P, Rdn. 58–60, 120).
• Für die Pflichten des erhebenden Verantwortlichen – insbesondere die Informationspflichten – ist die Identifizierbarkeit der betroffenen Person zum Zeitpunkt der Erhebung und aus der Sicht des Verantwortlichen zu beurteilen (EuGH – Rechtssache C‑413/23 P, Rdn. 111). Eine spätere Pseudonymisierung vor der Weitergabe lässt diese Pflichten nicht entfallen (EuGH – Rechtssache C‑413/23 P, Rdn. 112 f.).

Ob die an Deloitte übermittelten Daten aus deren Sicht tatsächlich anonym waren, hat der EuGH nicht abschließend entschieden.

Informationspflichten bleiben bestehen

Der praktisch wichtigste Teil der Entscheidung betrifft die Transparenzpflichten. Für den SRB waren die erhobenen Stellungnahmen unzweifelhaft personenbezogene Daten. Der EuGH stellt klar, dass der Verantwortliche die betroffenen Personen bereits bei der Datenerhebung über die Empfänger oder Kategorien von Empfängern informieren muss – und zwar unabhängig davon, ob die Daten dem Empfänger später nur in pseudonymisierter Form zugehen und für diesen möglicherweise anonym sind.

Die verbreitete Argumentation, eine Weitergabe pseudonymisierter Daten sei mangels Personenbezugs „beim Empfänger” transparenzrechtlich irrelevant, trägt damit nicht. Wer die Weitergabe pseudonymisierter Daten an Dienstleister oder Kooperationspartner plant, muss dies in seinen Datenschutzhinweisen abbilden.

Bedeutung für Unternehmen und KI-Anwendungen

Die Entscheidung besitzt erhebliche praktische Relevanz. Unternehmen tauschen im Rahmen von Forschungsprojekten, Data-Analytics-Anwendungen sowie beim Training und der Entwicklung von KI-Systemen regelmäßig pseudonymisierte Datensätze mit externen Dienstleistern oder anderen Verantwortlichen aus.

Der EuGH eröffnet insoweit Gestaltungsspielräume: Verfügt der Empfänger über keine realistische Möglichkeit zur Re-Identifizierung, können die Daten für ihn außerhalb des Anwendungsbereichs des Datenschutzrechts liegen. Das schafft insbesondere für datengetriebene Geschäftsmodelle, wissenschaftliche Forschung und KI-Anwendungen mehr Rechtssicherheit.

Zugleich bleibt eine sorgfältige Einzelfallprüfung unerlässlich. Zu bewerten ist stets, welche Zusatzinformationen dem jeweiligen Beteiligten tatsächlich zur Verfügung stehen, ob eine Re-Identifizierung mit vertretbarem Aufwand möglich ist und ob die Pseudonymisierung technisch und organisatorisch belastbar ausgestaltet wurde. Erhält der Empfänger zu einem späteren Zeitpunkt Zugriff auf den Schlüssel oder sonstige identifizierende Informationen, unterfallen die Daten für ihn wieder vollumfänglich dem Datenschutzrecht.

Einordnung

Der EuGH bestätigt im Grundsatz eine relative, kontextbezogene Beurteilung des Personenbezugs und beendet damit eine langjährige Kontroverse jedenfalls in ihren Grundzügen. Ein Freibrief für die Weitergabe pseudonymisierter Daten ist das Urteil jedoch nicht: Die Informations- und Rechenschaftspflichten des erhebenden Verantwortlichen bestehen uneingeschränkt fort, und die konkreten Maßstäbe für die Anonymität aus Empfängersicht wird erst das fortgesetzte Verfahren vor dem EuG weiter konturieren.

Melden Sie sich gerne bei uns, wenn Sie Fragen zur datenschutzrechtlichen Bewertung Ihrer Datenverarbeitungen, zur Gestaltung von Anonymisierungs- und Pseudonymisierungskonzepten oder allgemein zum Datenschutz- und KI-Recht haben.

RA Sebastian Schwiering
Wissenschaftliche Mitarbeiter Jamal Lale, LL.M.