--- title: EuGH C-413/23 P (EDSB ./. SRB, VO 2018/1725) – Personenbezug pseudonymisierter Daten & Informationspflicht bei Weitergabe seo_title: EuGH C-413/23 P – Personenbezug pseudonymisierter… slug: eugh-c-413-23-p-pseudonymisierte-daten-personenbezug topic: datenschutz legal_status: in_force authority_level: A valid_from: 2025-09-04 valid_to: null last_reviewed: 2026-08-16 status: aktuell license: CC-BY-4.0 url: https://nexvyra.de/fakten/eugh-c-413-23-p-pseudonymisierte-daten-personenbezug.md wikidata_subjects: [] factcheck_status: ok --- # EuGH C-413/23 P (EDSB ./. SRB, VO 2018/1725) – Personenbezug pseudonymisierter Daten & Informationspflicht bei Weitergabe ## Kurzantwort Mit Urteil vom **4. September 2025** in der Rechtssache **C-413/23 P (EDSB ./. SRB)** hat der **Gerichtshof der Europäischen Union** klargestellt, dass **pseudonymisierte Daten nicht „in jedem Fall und für jede Person"** personenbezogene Daten sind. Ob eine Person identifizierbar ist, richtet sich nach den **Umständen des Einzelfalls** – eine wirksame Pseudonymisierung kann Dritte tatsächlich daran hindern, die betroffene Person zu identifizieren. Damit bestätigt der EuGH einen **relativen (kontextbezogenen) Personenbezug**: Dieselben Daten können beim Verantwortlichen personenbezogen sein und beim Empfänger nicht. Gleichzeitig hat der EuGH die **Informationspflicht** des Verantwortlichen gestärkt: Sie ist **zum Zeitpunkt der Datenerhebung und aus Sicht des Verantwortlichen** zu beurteilen – **unabhängig davon**, ob die Daten beim späteren Empfänger noch personenbezogen sind. Wer Daten erhebt und sie später (auch nur pseudonymisiert) an Dritte weitergibt, muss die Empfänger bzw. Empfängerkategorien **schon bei der Erhebung** in der Datenschutzerklärung nennen. Der EuGH hat das Urteil des EuG vom 26.04.2023 (T-557/20) **aufgehoben und die Sache zurückverwiesen** – das Verfahren ist damit noch nicht endgültig abgeschlossen. Formal betrifft das Urteil die **Verordnung (EU) 2018/1725** (Datenschutz für EU-Organe). Da deren Begriffe „personenbezogene Daten", „identifizierbar" und „Pseudonymisierung" **wortgleich** mit Art. 4 Nr. 1 und Nr. 5 DSGVO sind, wird das Urteil allgemein auch für die **DSGVO** herangezogen. ## Kernfakten | Punkt | Wert | |---|---| | Aktenzeichen | C-413/23 P (Rechtsmittel) | | Bezeichnung | EDSB ./. SRB („Begriff der personenbezogenen Daten") | | Entscheidungsdatum | 04.09.2025 | | Spruchkörper | Gerichtshof (Erste Kammer) | | CELEX-Nummer | 62023CJ0413 | | Ausgelegte Norm | Verordnung (EU) 2018/1725 (EU-Organe) – parallel zu Art. 4 Nr. 1, Nr. 5 DSGVO | | Vorinstanz | EuG, Urteil vom 26.04.2023, T-557/20 (SRB ./. EDSB) | | Verfahrensausgang | EuG-Urteil **aufgehoben**, Sache an das EuG **zurückverwiesen** | | Sachverhalt | SRB übermittelte pseudonymisierte Stellungnahmen ehemaliger Anteilseigner/Gläubiger der Banco Popular Español an Deloitte | | Leitsatz 1 | Persönliche **Meinungen/Sichtweisen** beziehen sich zwangsläufig auf ihren Verfasser – keine Prüfung von Inhalt, Zweck und Auswirkungen nötig | | Leitsatz 2 | Pseudonymisierte Daten sind **nicht in jedem Fall und für jede Person** personenbezogene Daten | | Leitsatz 3 | Identifizierbarkeit für die Informationspflicht: maßgeblich ist der **Zeitpunkt der Erhebung** und die **Sicht des Verantwortlichen** | | Maßstab Identifizierbarkeit | Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden (ErwGr. 26 DSGVO / ErwGr. 16 VO 2018/1725) | | Anknüpfende EuGH-Rechtsprechung | C-582/14 (Breyer, 19.10.2016); C-319/22 (Scania, 09.11.2023) | | Definition Pseudonymisierung | Art. 4 Nr. 5 DSGVO – Verarbeitung ohne zusätzliche Informationen nicht mehr zuordenbar; Zusatzinformationen gesondert aufbewahrt | | Pseudonymisierung als TOM | Art. 32 Abs. 1 lit. a DSGVO (ausdrücklich genannt) | | Betroffene Informationspflicht (DSGVO) | Art. 13 Abs. 1 lit. e, Art. 14 Abs. 1 lit. e – Empfänger/Empfängerkategorien | | Bußgeldrahmen bei Verstoß (DSGVO) | bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. b DSGVO) | | Aufsichtsleitlinien | EDSA/EDPB Guidelines 01/2025 on Pseudonymisation, angenommen 16.01.2025; Konsultation bis 28.02.2025 – finaler Fassungsstand prüfen | | Anonymisierung | Vom Urteil **nicht** betroffen – echt anonyme Daten fallen ohnehin nicht unter die DSGVO (ErwGr. 26) | ## Geltungsbereich Das Urteil erging in einem **Rechtsmittelverfahren** über die **Verordnung (EU) 2018/1725**, die den Datenschutz bei **Organen, Einrichtungen und sonstigen Stellen der Union** regelt – hier beim **Einheitlichen Abwicklungsausschuss (SRB)**. Die Verordnung ist das institutionelle Gegenstück zur DSGVO und verwendet **dieselben Definitionen**. Der EuGH stützt seine Begründung ausdrücklich auf seine allgemeine Rechtsprechung zum Begriff der Identifizierbarkeit (Breyer, Scania), die zur DSGVO bzw. deren Vorgängerrichtlinie ergangen ist. Für **deutsche Verantwortliche** gilt das Urteil daher nicht unmittelbar, entfaltet aber **Auslegungswirkung für die DSGVO**: Deutsche Gerichte und Aufsichtsbehörden legen Art. 4 Nr. 1 DSGVO im Licht dieser Rechtsprechung aus. Praktisch relevant ist es für alle Konstellationen, in denen pseudonymisierte Datensätze an **Dienstleister, Forschungseinrichtungen, Auditoren, Analyse-Anbieter oder Datenempfänger** weitergegeben werden. ## Was der EuGH konkret entschieden hat **1. Persönliche Meinungen sind personenbezogen – ohne Zusatzprüfung.** Das EuG hatte verlangt, der EDSB hätte „Inhalt, Zweck und Auswirkungen" der übermittelten Stellungnahmen prüfen müssen, um festzustellen, ob sie sich auf die Verfasser „beziehen". Das ist nach dem EuGH ein Rechtsfehler: Persönliche Meinungen oder Sichtweisen sind **Ausdruck der Gedanken einer Person** und deshalb **zwangsläufig eng mit dieser Person verknüpft**. Eine gesonderte Prüfung des Bezugselements erübrigt sich. **2. Kein absoluter Personenbezug pseudonymisierter Daten.** Der EuGH bestätigt das EuG darin, dass pseudonymisierte Daten **nicht pauschal für jedermann** personenbezogene Daten sind. Die Pseudonymisierung kann – je nach den Umständen – andere Personen als den Verantwortlichen **tatsächlich daran hindern**, die betroffene Person zu identifizieren, sodass sie für diese Personen **nicht oder nicht mehr identifizierbar** ist. Maßstab bleibt, ob Mittel zur Re-Identifizierung **nach allgemeinem Ermessen wahrscheinlich genutzt** werden – zu bewerten anhand technischer, organisatorischer und rechtlicher Faktoren. **3. Informationspflicht: Erhebungszeitpunkt, Sicht des Verantwortlichen.** Die Informationspflicht besteht im **Rechtsverhältnis zwischen betroffener Person und Verantwortlichem**. Ihr Gegenstand sind die Informationen **so, wie sie dem Verantwortlichen übermittelt wurden – also vor einer möglichen Weitergabe an Dritte**. Die Identifizierbarkeit ist daher **zum Zeitpunkt der Erhebung** und **aus Sicht des Verantwortlichen** zu beurteilen. Die Pflicht des SRB entstand somit **vor** der Übermittlung und **unabhängig davon**, ob die Daten aus Sicht von Deloitte nach der Pseudonymisierung noch personenbezogen waren. ## Was das für Verantwortliche in Deutschland bedeutet **Datenschutzerklärung.** Wer damit rechnet, Daten – auch nur pseudonymisiert – an Dienstleister weiterzugeben, muss **Empfänger oder Empfängerkategorien bereits bei der Erhebung** nennen (Art. 13 Abs. 1 lit. e DSGVO). Das Argument „beim Empfänger sind die Daten nicht mehr personenbezogen" **entbindet nicht** von dieser Pflicht. **Rolle des Empfängers.** Umgekehrt kann ein Empfänger, der die Zuordnung faktisch nicht herstellen kann, **selbst nicht Verantwortlicher oder Auftragsverarbeiter** hinsichtlich personenbezogener Daten sein. Ob das trägt, hängt von einer **dokumentierten Einzelfallbewertung** ab: Wo liegt der Schlüssel? Bestehen vertragliche Re-Identifizierungsverbote? Welche Zusatzdaten hat der Empfänger sonst? Ohne diese Dokumentation ist die Argumentation im Aufsichtsverfahren nicht belastbar. **Nachweislast.** Die Beweislast für ein wirksames Pseudonymisierungskonzept liegt beim Verantwortlichen (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht). Empfehlenswert sind: getrennte Schlüsselverwahrung, Zugriffsbeschränkungen, vertragliches Re-Identifizierungsverbot, Risikoanalyse zum Re-Identifizierungspotenzial – und deren Dokumentation. **Sanktionsrisiko.** Ein Verstoß gegen die Informationspflichten nach Art. 13/14 DSGVO fällt in den **oberen Bußgeldrahmen** des Art. 83 Abs. 5 lit. b DSGVO: bis **20 Mio. EUR oder 4 %** des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist. **Kein Freibrief.** Das Urteil senkt **nicht** das Schutzniveau beim Verantwortlichen. Für ihn bleiben pseudonymisierte Daten personenbezogen, solange er den Schlüssel hat oder die Zuordnung anderweitig herstellen kann. ## Häufige Fehler - **„Pseudonymisierte Daten sind jetzt keine personenbezogenen Daten mehr."** Falsch – der EuGH sagt nur, dass sie **nicht für jede Person** personenbezogen sind. Beim Verantwortlichen mit Schlüssel bleiben sie es. - **„Pseudonymisierung = Anonymisierung."** Falsch – Pseudonymisierung ist nach Art. 4 Nr. 5 DSGVO **umkehrbar** und bleibt eine Verarbeitung personenbezogener Daten. Nur **echte Anonymisierung** führt aus dem Anwendungsbereich der DSGVO heraus. - **„Wenn der Empfänger nicht re-identifizieren kann, muss ich ihn nicht in der Datenschutzerklärung nennen."** Falsch – genau das hat der EuGH verworfen. Die Informationspflicht knüpft an den **Erhebungszeitpunkt** an. - **„Das Urteil betrifft nur EU-Behörden, nicht mich."** Zu kurz gegriffen – es legt die VO 2018/1725 aus, deren Begriffe mit der DSGVO **wortgleich** sind; die Auslegung wird auf die DSGVO übertragen. - **„Der Fall ist abschließend entschieden."** Falsch – der EuGH hat aufgehoben und **an das EuG zurückverwiesen**. Die Endentscheidung im Ausgangsverfahren steht aus. - **„Meinungsäußerungen sind keine personenbezogenen Daten."** Falsch – eine persönliche Meinung ist als Ausdruck der Gedanken einer Person **zwangsläufig** mit ihr verknüpft. - **„Ein Pseudonymisierungs-Tool reicht als Nachweis."** Falsch – entscheidend ist die **Gesamtbetrachtung** aus technischen, organisatorischen und rechtlichen Maßnahmen, dokumentiert. ## Quellen - EuGH, Pressemitteilung Nr. 107/25 vom 04.09.2025 (deutsch) – Rechtssache C-413/23 P: https://curia.europa.eu/site/upload/docs/application/pdf/2025-09/cp250107de.pdf - EuGH, Press Release No 107/25 of 4 September 2025 (englisch): https://curia.europa.eu/site/upload/docs/application/pdf/2025-09/cp250107en.pdf - EUR-Lex – Urteil C-413/23 P, CELEX 62023CJ0413: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62023CJ0413 - EUR-Lex – Zusammenfassung des Urteils, CELEX 62023CA0413: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CA0413 - Verordnung (EU) 2018/1725 (Datenschutz bei EU-Organen) – Volltext EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32018R1725 - Verordnung (EU) 2016/679 (DSGVO) – Volltext EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 - EDSA/EDPB – Guidelines 01/2025 on Pseudonymisation (PDF): https://www.edpb.europa.eu/system/files/2025-01/edpb_guidelines_202501_pseudonymisation_en.pdf - EDSA/EDPB – Pressemitteilung zur Annahme der Pseudonymisierungs-Leitlinien (16.01.2025): https://www.edpb.europa.eu/news/news/2025/edpb-adopts-pseudonymisation-guidelines-and-paves-way-improve-cooperation_en - LDI NRW – EuGH zu „personenbezogene Daten" und „Pseudonymisierung": https://www.ldi.nrw.de/eugh-zu-personenbezogene-daten-und-pseudonymisierung-wichtige-klarstellungen-fuer-fachleute ## Änderungsverlauf - 2026-08-16: Erstveröffentlichung durch EU-Recht-Bot. EuGH-Urteil C-413/23 P vom 04.09.2025 (EDSB ./. SRB) mit den drei Leitsätzen aufgenommen: persönliche Meinungen als personenbezogene Daten ohne Zusatzprüfung, relativer Personenbezug pseudonymisierter Daten, Beurteilung der Identifizierbarkeit für die Informationspflicht zum Erhebungszeitpunkt aus Sicht des Verantwortlichen. Quellenbasis: amtliche EuGH-Pressemitteilung Nr. 107/25 (DE und EN), EUR-Lex CELEX 62023CJ0413, VO 2018/1725, DSGVO, EDSA-Leitlinien 01/2025. factcheck_status=review_needed, weil (1) das Verfahren an das EuG zurückverwiesen und damit noch nicht endgültig abgeschlossen ist (Nachfolgeverfahren zu T-557/20) und (2) der finale Fassungsstand der EDSA-Leitlinien 01/2025 nach Abschluss der öffentlichen Konsultation (28.02.2025) noch zu verifizieren ist. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot" ## Siehe auch - [Drittlandtransfer nach Schrems II](/fakten/drittlandtransfer-schrems-ii.html) - [DSGVO Art. 32 – Technische und organisatorische Maßnahmen (TOM)](/fakten/dsgvo-tom-art-32.html) - [DSGVO Art. 28 – Auftragsverarbeitung (AVV)](/fakten/dsgvo-auftragsverarbeitung-art-28.html) - [DSGVO Art. 15 – Auskunftsrecht](/fakten/dsgvo-auskunftsrecht-art-15.html) - [Transfer Impact Assessment (TIA)](/fakten/transfer-impact-assessment-tia-schrems-ii.html) - [EuGH C-446/21 (Schrems ./. Meta) – Datenminimierung](/fakten/eugh-c-446-21-schrems-meta-datenminimierung-werbung.html) ## Stand - Stand: 2026-08-16 - Entscheidungsdatum: 2025-09-04 (EuGH, Erste Kammer, C-413/23 P) - Verfahrensstand: EuG-Urteil T-557/20 aufgehoben, Sache an das EuG zurückverwiesen – Endentscheidung offen - Status: aktuell - Quellenautorität: A (EuGH-Pressemitteilung Nr. 107/25, EUR-Lex CELEX 62023CJ0413, VO 2018/1725, VO 2016/679, EDSA) - Lizenz: CC BY 4.0