Pseudonyme Daten haben f\u00fcr Dritte ohne (Zusatz-)Wissen keinen Personenbezug<\/p>\n
Von Martin Schweinoch<\/a> und Dr. Stefan Peintinger<\/a>, beide FA IT-Recht und Partner bei SKW Schwarz<\/p>\n Der EuGH hat im Urteil vom 4. September 2025 (Az. C\u2011413\/23\u00a0P<\/a> \u2013 \u201eSRB\u201c) eine h\u00f6chst praxisrelevante Entscheidung zum Personenbezug von Daten getroffen. Wann unterliegen Daten aufgrund ihres Personenbezugs den Regelungen zum Datenschutz? Im konkreten Fall war zu entscheiden, ob Daten \u201enur\u201c pseudonym und damit weiter personenbezogen sind oder als anonyme Daten nicht mehr dem Datenschutz unterliegen.<\/p>\n Nach dem EuGH kommt es f\u00fcr den Personenbezug von Daten auf die Perspektive des Verantwortlichen an, insbesondere zum Zeitpunkt der Datenerhebung. Ein Verantwortlicher kann durch Pseudonymisierung verhindern, dass ein anderer Datenempf\u00e4nger die betroffene Person identifiziert. F\u00fcr den Datenempf\u00e4nger ist der pseudonymisierte (Teil-)Datensatz anonym im Sinne der DSGVO, wenn er \u00fcber kein weiteres Zusatzwissen zu (Re-)Identifikation eines Betroffenen verf\u00fcgt. Dabei komme es auf die Umst\u00e4nde des Einzelfalles an.<\/p>\n Dieser Beitrag fokussiert auf die Themen der Pseudonymisierung und Anonymisierung und nicht auf prozessuale Aspekte der Entscheidung des EuGH \u00fcber das Rechtsmittel gegen das Urteil des EuG (Urteil vom 26. April 2023, Az. T-557\/20, mit Anm. Schweinoch\/Peintinger,<\/em>\u00a0CR 2023, S. 532 ff.<\/a>)<\/p>\n Hintergrund und Reichweite der Entscheidung<\/strong><\/p>\n Ein Verantwortlicher (SRB) hatte personenbezogene Daten in Frageb\u00f6gen erhoben. Diese Frageb\u00f6gen hat er mit einem alphanumerischen Code pseudonymisiert (\u201eCodeID\u201c). Dann hat der SRB nur den pseudonymen Fragebogen (ohne \u201eKlardaten\u201c) an Deloitte \u00fcbermittelt. Deloitte verf\u00fcgte \u00fcber keine Mittel, um eine Zuordnung einer CodeID zu einer betroffenen Person zu erreichen. Ma\u00dfgeblich f\u00fcr das Urteil des EuGH war zwar die Verordnung (EU) 2018\/1725<\/a>. Der EuGH hebt aber ausdr\u00fccklich hervor, dass sein Urteil auch f\u00fcr die gleichen Regelungen der DSGVO relevant ist, um eine einheitliche Auslegung der relevanten Begriffe zu erreichen.<\/p>\n Kernaussagen zum Personenbezug<\/strong><\/p>\n Nach dem EuGH ist der Begriff \u201ePersonenbezug\u201c (Art. 3 Nr. 1 VO (EU) 2018\/1725, Art. 4 Nr. 1 DSGVO) weit zu verstehen.\u00a0Der Gesetzgeber hat die Formulierung \u201ealle Informationen<\/em>\u201c im Zusammenhang mit der Bestimmung des Begriffs \u201epersonenbezogene Daten\u201c verwendet. Damit soll diesem Begriff eine weite Bedeutung zukommen. Umfasst sind potenziell alle Arten objektiver und subjektiver Informationen, wenn es sich um Informationen \u201e\u00fcber<\/em>\u201c die in Rede stehende Person handelt. Dazu geh\u00f6ren auch Stellungnahmen oder Beurteilungen.<\/p>\n Der EuGH best\u00e4tigt: Pseudonymisierte Daten sind f\u00fcr einen Verantwortlichen personenbezogene Daten, wenn er diese pseudonymisierten Daten den Klardaten zuordnen kann. Pseudonymisierte Daten, die ein Verantwortlicher an einen Dritten \u00fcbermittelt,\u00a0der nicht \u00fcber Zusatzwissen zur Zuordnung zu relevanten Klardaten verf\u00fcgt, sind f\u00fcr diesen Dritten\u00a0keine\u00a0personenbezogenen Daten.<\/p>\n Diese Daten sind f\u00fcr den Dritten damit anonyme Daten. Nach ErwGrd. 26 S. 5 DSGVO sollen die Grunds\u00e4tze des Datenschutzes nicht f\u00fcr anonyme Informationen gelten. Das sind Informationen, die sich nicht auf eine identifizierbare nat\u00fcrliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert wurden, dass die betroffene Person nicht mehr identifiziert werden kann.<\/p>\n Dies gilt jedenfalls dann, wenn der Dritte nicht in der Lage ist, diese Ma\u00dfnahmen zur \u2013 aus seiner Sicht bestehenden \u2013 Anonymisierung aufzuheben. Diese Ma\u00dfnahmen m\u00fcssen auch geeignet sein, zu verhindern, dass der Dritte f\u00fcr ihn anonyme Daten der betroffenen Person zuordnet. Dabei kommt es auch auf die Mittel an, die der Dritte zur Verf\u00fcgung hat. Wenn der Dritte etwa durch einen Abgleich mit anderen Elementen eine Identifizierung erm\u00f6glichen kann, sind diese Daten f\u00fcr ihn nicht mehr anonym im Sinne des europ\u00e4ischen Datenschutzrechts.<\/p>\n Dabei kann ErwGrd. 26 S. 3 DSGVO herangezogen werden. Danach sollen bei der Pr\u00fcfung der Identifizierbarkeit einer nat\u00fcrlichen Person \u201ealle Mittel<\/em>\u201c ber\u00fccksichtigt werden, die von dem Verantwortlichen\u00a0oder einer anderen Person \u2013 also einem Dritten im Sinne der DSGVO \u2013 nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die nat\u00fcrliche Person direkt oder indirekt zu identifizieren.<\/p>\n Der EuGH verweist sich dabei auf seine bisherige Rechtsprechung, auch die Urteile Breyer (Urt. v. 19.10.2016, CR 2016, 791<\/a>) und IAB Europe (Urt. v. 07.03.2024, CR 2024, 312<\/a> mit Anm. Schweinoch\/Peintinger). Dort hatte der EuGH bereits entschieden, dass ein Mittel zur Identifizierung einer nat\u00fcrlichen Person nach allgemeinem Ermessen wahrscheinlich nicht genutzt wird, wenn das Risiko einer Identifizierung\u00a0de facto\u00a0unbedeutend erscheint. Dies kann etwa der Fall sein, weil die Identifizierung dieser Person gesetzlich verboten oder praktisch nicht durchf\u00fchrbar ist, z.\u00a0B. weil sie einen unverh\u00e4ltnism\u00e4\u00dfigen Aufwand an Zeit, Kosten und Arbeitskraft erfordern w\u00fcrde. Der EuGH best\u00e4tigt dabei seine Rechtsprechung: Die Existenz von zus\u00e4tzlichen, die Identifizierung der betroffenen Person erm\u00f6glichenden Informationen\u00a0bedeutet f\u00fcr sich genommen nicht, dass pseudonyme Daten in jedem Fall und f\u00fcr jede Partei als personenbezogene Daten zu betrachten sind.<\/p>\n In dem Zusammenhang hebt der EuGH auch nochmals hervor, dass ein Verantwortlicher, der \u00fcber Mittel verf\u00fcgt, um eine betroffene Person zu identifizieren, sich nicht darauf berufen kann, dass das Zusatzwissen in H\u00e4nden eines Dritten ist. Eine betroffene Person ist f\u00fcr den Verantwortlichen identifizierbar, auch wenn er das Zusatzwissen nicht unmittelbar zur Verf\u00fcgung hat.<\/p>\n Nach dem EuGH trifft die Informationspflicht nach Art. 13, 14 DSGVO den Verantwortlichen. Der Verantwortliche SRB h\u00e4tte daher auch \u00fcber Deloitte als Empf\u00e4nger informieren m\u00fcssen, unabh\u00e4ngig davon, ob die Daten aus Sicht des Empf\u00e4ngers Deloitte personenbezogen waren oder nicht. Aus Sicht des Verantwortlichen waren die Daten personenbezogen und unterlagen daher weiter den Informationspflichten.<\/p>\n Ein Dritter, der keinen Personenbezug herstellen kann, kann die datenschutzrechtlichen Informationspflichten und die Betroffenenrechte nicht einl\u00f6sen. Dagegen kann (und muss) der Verantwortliche bei der erstmaligen Datenerhebung entsprechend informieren und die Einhaltung der Betroffenenrechte gew\u00e4hrleisten. W\u00fcrde ein Verantwortlicher die Daten zun\u00e4chst selbst vollst\u00e4ndig anonymisieren (z.B. in eine Statistik einflie\u00dfen lassen), dann h\u00e4tten diese Daten keinen Personenbezug mehr und der Verantwortliche m\u00fcsste nicht \u00fcber Empf\u00e4nger der anonymen Daten informieren.<\/p>\n Praxisrelevanz<\/strong><\/p>\n Der EuGH st\u00e4rkt Verantwortliche und Dritte bei der Anonymisierung von personenbezogenen Daten, stellt aber auch die Pflicht zur Information der betroffenen Personen \u00fcber pseudonyme Daten klar. Der EuGH kn\u00fcpft so an seine bisherige Rechtsprechung an, die wohl inzwischen als gefestigt bezeichnet werden kann. Damit bietet diese Rechtsprechung eine Grundlage f\u00fcr die Beantwortung vieler praxisrelevanter Fragen f\u00fcr den Umgang mit und die Verwendung von personenbezogenen oder f\u00fcr die jeweilige Partei eben nicht personenbezogenen Daten. Diese gefestigte Rechtsprechung zum vorhandenen oder nicht vorhandenen Personenbezug von Daten und deren Auswirkungen werden Gegenstand eines zuk\u00fcnftigen Beitrags in Computer & Recht sein.<\/p>\n","protected":false},"excerpt":{"rendered":" Pseudonyme Daten haben f\u00fcr Dritte ohne (Zusatz-)Wissen keinen Personenbezug Von Martin Schweinoch und Dr. Stefan Peintinger, beide FA IT-Recht und Partner bei SKW Schwarz Der EuGH hat im Urteil vom 4. September 2025 (Az. C\u2011413\/23\u00a0P \u2013 \u201eSRB\u201c) eine h\u00f6chst praxisrelevante Entscheidung zum Personenbezug von Daten getroffen. Wann unterliegen Daten aufgrund ihres Personenbezugs den Regelungen zum […]<\/p>\n","protected":false},"author":5282,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[1,9],"tags":[224],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/8001"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/5282"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=8001"}],"version-history":[{"count":3,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/8001\/revisions"}],"predecessor-version":[{"id":8004,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/8001\/revisions\/8004"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=8001"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=8001"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=8001"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\n
\n