Wegweisendes EuGH-Urteil: Wann sind pseudonymisierte Daten wirklich personenbezogen?
Hintergrund der Entscheidung: Übermittlung pseudonymisierter Daten in der Praxis
Der Umgang mit personenbezogenen Daten steht regelmäßig im Fokus von rechtlichen Prüfungen. Jüngst hat der Europäische Gerichtshof (EuGH) einen wichtigen Beschluss zur Datenschutz-Grundverordnung (DSGVO) gefällt, der große Bedeutung für Unternehmen und Organisationen haben wird, die täglich mit sensiblen Informationen arbeiten. Der Anlassfall: Im Rahmen der Abwicklung einer spanischen Großbank wurden pseudonymisierte Stellungnahmen von betroffenen Gläubigern an eine externe Wirtschaftsprüfungsgesellschaft weitergeleitet. Diese Weitergabe führte zu Beschwerden, weil die Betroffenen angeblich nicht ordnungsgemäß über die Datenübertragung informiert wurden.
Die Aufsichtsbehörde, der Europäische Datenschutzbeauftragte (EDSB), sah hierin einen Verstoß gegen die Datenschutzvorgaben. Die verantwortliche Stelle verwies hingegen darauf, dass die Daten durch die Pseudonymisierung keinen Personenbezug mehr hätten – jedenfalls für den Empfänger der Daten. Der Streit landete letztlich vor dem EuGH, der nun für mehr Klarheit sorgt.
Definitionen: Personenbezogene Daten, Anonymisierung und Pseudonymisierung
Zentral ist die Frage, wie eindeutig der Begriff „personenbezogene Daten“ zu fassen ist. Nach DSGVO gilt jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht, als personenbezogen. Die Identifizierbarkeit hängt davon ab, ob eine Person unter Zuhilfenahme zusätzlicher Informationen identifiziert werden kann.
In der Praxis werden verschiedene Techniken eingesetzt, um den Personenbezug zu reduzieren oder zu beseitigen: Bei der Anonymisierung werden Daten so verändert, dass kein Personenbezug mehr möglich ist. Pseudonymisierung hingegen bedeutet, dass die Zuordnung zu einer Person nur mit zusätzlichem Wissen erfolgen kann. Der Unterschied liegt darin, dass bei der Pseudonymisierung eine spätere Re-Identifikation zumindest technisch noch möglich ist, wenn die entsprechenden Zusatzinformationen verfügbar sind.
Die Perspektive entscheidet: Für wen bleibt der Personenbezug erhalten?
Urteilsinhalt: Wer ist wirklich „identifizierbar“?
Der EuGH betont, dass der Personenbezug pseudonymisierter Daten nicht pauschal, sondern im jeweiligen Einzelfall und aus der Sicht der Beteiligten zu beurteilen ist. Verfügt derjenige, der die Daten weitergibt, weiterhin über die Schlüssel zur Re-Identifikation, gilt für ihn die DSGVO. Für den Empfänger pseudonymisierter Daten gilt etwas anderes: Wenn ihm ohne erhebliche zusätzliche Mittel und ohne praktischen Zugang die Zuordnung der Daten zur Person nicht möglich ist, verlieren diese für ihn nach aktueller Rechtsauffassung ihren Personenbezug.
Wichtiger Punkt ist dabei, dass eine „theoretisch“ denkbare Identifizierung nicht ausreicht. Erst wenn plausibel und realistisch eine Re-Identifikation vorgenommen werden kann – etwa unter wirtschaftlich vertretbarem Aufwand und ohne gesetzliche Hindernisse – ist weiterhin von personenbezogenen Daten auszugehen.
Konsequenzen für Verantwortliche und Auftragsverarbeiter
Das Urteil setzt Maßstäbe dafür, wie Unternehmen, Behörden und Dienstleister mit pseudonymisierten Daten umgehen müssen. Bei der Weitergabe solcher Daten bleibt der Absender grundsätzlich verpflichtet, die Datenschutzanforderungen der DSGVO einzuhalten, solange für ihn selbst der Personenbezug fortbesteht. Für den Empfänger hingegen kommt es darauf an, ob er nach den objektiven Umständen eines konkreten Falls überhaupt in der Lage wäre, die Person hinter den Daten zu enttarnen.
Die große Bedeutung liegt auch darin, dass der EuGH der pauschalen Auffassung widerspricht, pseudonymisierte Daten seien immer personenbezogen – und differenziert nach der realen Zugriffsmöglichkeit auf Zusatzinformationen. In der praktischen Umsetzung müssen Unternehmen nun genau prüfen, aus welcher Perspektive der Personenbezug noch gegeben ist.
Fazit: Was das EuGH-Urteil für Datenschutz in der Praxis bedeutet
Pseudonymisierung: Kein Freifahrtschein für Datentransfers
Auch wenn Daten pseudonymisiert werden, entfällt die Pflicht zur Einhaltung der DSGVO nicht automatisch. Entscheidend ist, ob der Übermittelnde oder der Empfänger noch über die Möglichkeit verfügt, Einzelpersonen zu identifizieren. Die rechtlichen Pflichten bleiben für den Verantwortlichen bestehen, solange er selbst eine Re-Identifizierung theoretisch wie praktisch vornehmen kann. Erst mit echter Anonymisierung und vollständig beseitigtem Personenbezug wäre ein Ausstieg aus den strengen Datenschutzanforderungen denkbar.
Weiterhin offene Fragen und Praxistipps
Das Urteil klärt viele, aber nicht alle Fragen: Etwa bleibt weiterhin offen, ob ein Unternehmen bei der Übertragung von pseudonymisierten Daten an einen Dienstleister stets einen Auftragsverarbeitungsvertrag abschließen muss. Hier gibt es weiterhin Unsicherheiten im Zusammenspiel zwischen technischer Machbarkeit und rechtlicher Verantwortung.
Für Unternehmen empfiehlt es sich, kritisch zu prüfen: Wer hat Zugang zu Zusatzinformationen, wie sind Abläufe dokumentiert und welche Rolle spielen technische und organisatorische Maßnahmen zum Schutz vor Re-Identifikation? Die klare Dokumentation von Prozessen und Zuständigkeiten ist heute wichtiger denn je, um im Ernstfall beweisen zu können, dass alle Anforderungen an den Datenschutz eingehalten wurden.
Sind Sie unsicher, wie Sie pseudonymisierte Daten in Ihrem Unternehmen rechtskonform einsetzen oder brauchen Sie Unterstützung bei der Umsetzung von Datenschutz-Vorgaben? Gerne helfen wir Ihnen mit unserer Erfahrung und Kompetenz aus der Praxis weiter. Kontaktieren Sie uns, damit wir gemeinsam Ihre Herausforderungen im Datenschutz meistern!