Nexvyra

EuGH C-413/23 P (EDSB ./. SRB, VO 2018/1725) – Personenbezug pseudonymisierter Daten & Informationspflicht bei Weitergabe

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-16 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Mit Urteil vom 4. September 2025 in der Rechtssache C-413/23 P (EDSB ./. SRB) hat der Gerichtshof der Europäischen Union klargestellt, dass pseudonymisierte Daten nicht „in jedem Fall und für jede Person" personenbezogene Daten sind. Ob eine Person identifizierbar ist, richtet sich nach den Umständen des Einzelfalls – eine wirksame Pseudonymisierung kann Dritte tatsächlich daran hindern, die betroffene Person zu identifizieren. Damit bestätigt der EuGH einen relativen (kontextbezogenen) Personenbezug: Dieselben Daten können beim Verantwortlichen personenbezogen sein und beim Empfänger nicht.

Gleichzeitig hat der EuGH die Informationspflicht des Verantwortlichen gestärkt: Sie ist zum Zeitpunkt der Datenerhebung und aus Sicht des Verantwortlichen zu beurteilen – unabhängig davon, ob die Daten beim späteren Empfänger noch personenbezogen sind. Wer Daten erhebt und sie später (auch nur pseudonymisiert) an Dritte weitergibt, muss die Empfänger bzw. Empfängerkategorien schon bei der Erhebung in der Datenschutzerklärung nennen. Der EuGH hat das Urteil des EuG vom 26.04.2023 (T-557/20) aufgehoben und die Sache zurückverwiesen – das Verfahren ist damit noch nicht endgültig abgeschlossen.

Formal betrifft das Urteil die Verordnung (EU) 2018/1725 (Datenschutz für EU-Organe). Da deren Begriffe „personenbezogene Daten", „identifizierbar" und „Pseudonymisierung" wortgleich mit Art. 4 Nr. 1 und Nr. 5 DSGVO sind, wird das Urteil allgemein auch für die DSGVO herangezogen.

Kernfakten

PunktWert
AktenzeichenC-413/23 P (Rechtsmittel)
BezeichnungEDSB ./. SRB („Begriff der personenbezogenen Daten")
Entscheidungsdatum04.09.2025
SpruchkörperGerichtshof (Erste Kammer)
CELEX-Nummer62023CJ0413
Ausgelegte NormVerordnung (EU) 2018/1725 (EU-Organe) – parallel zu Art. 4 Nr. 1, Nr. 5 DSGVO
VorinstanzEuG, Urteil vom 26.04.2023, T-557/20 (SRB ./. EDSB)
VerfahrensausgangEuG-Urteil aufgehoben, Sache an das EuG zurückverwiesen
SachverhaltSRB übermittelte pseudonymisierte Stellungnahmen ehemaliger Anteilseigner/Gläubiger der Banco Popular Español an Deloitte
Leitsatz 1Persönliche Meinungen/Sichtweisen beziehen sich zwangsläufig auf ihren Verfasser – keine Prüfung von Inhalt, Zweck und Auswirkungen nötig
Leitsatz 2Pseudonymisierte Daten sind nicht in jedem Fall und für jede Person personenbezogene Daten
Leitsatz 3Identifizierbarkeit für die Informationspflicht: maßgeblich ist der Zeitpunkt der Erhebung und die Sicht des Verantwortlichen
Maßstab IdentifizierbarkeitMittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden (ErwGr. 26 DSGVO / ErwGr. 16 VO 2018/1725)
Anknüpfende EuGH-RechtsprechungC-582/14 (Breyer, 19.10.2016); C-319/22 (Scania, 09.11.2023)
Definition PseudonymisierungArt. 4 Nr. 5 DSGVO – Verarbeitung ohne zusätzliche Informationen nicht mehr zuordenbar; Zusatzinformationen gesondert aufbewahrt
Pseudonymisierung als TOMArt. 32 Abs. 1 lit. a DSGVO (ausdrücklich genannt)
Betroffene Informationspflicht (DSGVO)Art. 13 Abs. 1 lit. e, Art. 14 Abs. 1 lit. e – Empfänger/Empfängerkategorien
Bußgeldrahmen bei Verstoß (DSGVO)bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. b DSGVO)
AufsichtsleitlinienEDSA/EDPB Guidelines 01/2025 on Pseudonymisation, angenommen 16.01.2025; Konsultation bis 28.02.2025 – finaler Fassungsstand prüfen
AnonymisierungVom Urteil nicht betroffen – echt anonyme Daten fallen ohnehin nicht unter die DSGVO (ErwGr. 26)

Geltungsbereich

Das Urteil erging in einem Rechtsmittelverfahren über die Verordnung (EU) 2018/1725, die den Datenschutz bei Organen, Einrichtungen und sonstigen Stellen der Union regelt – hier beim Einheitlichen Abwicklungsausschuss (SRB). Die Verordnung ist das institutionelle Gegenstück zur DSGVO und verwendet dieselben Definitionen. Der EuGH stützt seine Begründung ausdrücklich auf seine allgemeine Rechtsprechung zum Begriff der Identifizierbarkeit (Breyer, Scania), die zur DSGVO bzw. deren Vorgängerrichtlinie ergangen ist.

Für deutsche Verantwortliche gilt das Urteil daher nicht unmittelbar, entfaltet aber Auslegungswirkung für die DSGVO: Deutsche Gerichte und Aufsichtsbehörden legen Art. 4 Nr. 1 DSGVO im Licht dieser Rechtsprechung aus. Praktisch relevant ist es für alle Konstellationen, in denen pseudonymisierte Datensätze an Dienstleister, Forschungseinrichtungen, Auditoren, Analyse-Anbieter oder Datenempfänger weitergegeben werden.

Was der EuGH konkret entschieden hat

1. Persönliche Meinungen sind personenbezogen – ohne Zusatzprüfung. Das EuG hatte verlangt, der EDSB hätte „Inhalt, Zweck und Auswirkungen" der übermittelten Stellungnahmen prüfen müssen, um festzustellen, ob sie sich auf die Verfasser „beziehen". Das ist nach dem EuGH ein Rechtsfehler: Persönliche Meinungen oder Sichtweisen sind Ausdruck der Gedanken einer Person und deshalb zwangsläufig eng mit dieser Person verknüpft. Eine gesonderte Prüfung des Bezugselements erübrigt sich.

2. Kein absoluter Personenbezug pseudonymisierter Daten. Der EuGH bestätigt das EuG darin, dass pseudonymisierte Daten nicht pauschal für jedermann personenbezogene Daten sind. Die Pseudonymisierung kann – je nach den Umständen – andere Personen als den Verantwortlichen tatsächlich daran hindern, die betroffene Person zu identifizieren, sodass sie für diese Personen nicht oder nicht mehr identifizierbar ist. Maßstab bleibt, ob Mittel zur Re-Identifizierung nach allgemeinem Ermessen wahrscheinlich genutzt werden – zu bewerten anhand technischer, organisatorischer und rechtlicher Faktoren.

3. Informationspflicht: Erhebungszeitpunkt, Sicht des Verantwortlichen. Die Informationspflicht besteht im Rechtsverhältnis zwischen betroffener Person und Verantwortlichem. Ihr Gegenstand sind die Informationen so, wie sie dem Verantwortlichen übermittelt wurden – also vor einer möglichen Weitergabe an Dritte. Die Identifizierbarkeit ist daher zum Zeitpunkt der Erhebung und aus Sicht des Verantwortlichen zu beurteilen. Die Pflicht des SRB entstand somit vor der Übermittlung und unabhängig davon, ob die Daten aus Sicht von Deloitte nach der Pseudonymisierung noch personenbezogen waren.

Was das für Verantwortliche in Deutschland bedeutet

Datenschutzerklärung. Wer damit rechnet, Daten – auch nur pseudonymisiert – an Dienstleister weiterzugeben, muss Empfänger oder Empfängerkategorien bereits bei der Erhebung nennen (Art. 13 Abs. 1 lit. e DSGVO). Das Argument „beim Empfänger sind die Daten nicht mehr personenbezogen" entbindet nicht von dieser Pflicht.

Rolle des Empfängers. Umgekehrt kann ein Empfänger, der die Zuordnung faktisch nicht herstellen kann, selbst nicht Verantwortlicher oder Auftragsverarbeiter hinsichtlich personenbezogener Daten sein. Ob das trägt, hängt von einer dokumentierten Einzelfallbewertung ab: Wo liegt der Schlüssel? Bestehen vertragliche Re-Identifizierungsverbote? Welche Zusatzdaten hat der Empfänger sonst? Ohne diese Dokumentation ist die Argumentation im Aufsichtsverfahren nicht belastbar.

Nachweislast. Die Beweislast für ein wirksames Pseudonymisierungskonzept liegt beim Verantwortlichen (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht). Empfehlenswert sind: getrennte Schlüsselverwahrung, Zugriffsbeschränkungen, vertragliches Re-Identifizierungsverbot, Risikoanalyse zum Re-Identifizierungspotenzial – und deren Dokumentation.

Sanktionsrisiko. Ein Verstoß gegen die Informationspflichten nach Art. 13/14 DSGVO fällt in den oberen Bußgeldrahmen des Art. 83 Abs. 5 lit. b DSGVO: bis 20 Mio. EUR oder 4 % des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist.

Kein Freibrief. Das Urteil senkt nicht das Schutzniveau beim Verantwortlichen. Für ihn bleiben pseudonymisierte Daten personenbezogen, solange er den Schlüssel hat oder die Zuordnung anderweitig herstellen kann.

Häufige Fehler

Quellen

Änderungsverlauf

Siehe auch

Stand