Pseudonymisierung und DSGVO: Bahnbrechende Schlussanträge des Generalanwalts in der Rechtssache EDSB gegen SRB (C-413/23 P)
Die Pseudonymisierung kann beeinflussen, ob Daten für einen bestimmten Empfänger personenbezogene Daten sind. Entscheidend ist aber, ob der Empfänger tatsächlich in der Lage ist, einzelne Personen zu identifizieren. Der Gerichtshof der Europäischen Union hat im September 2025 bestätigt, dass bei dieser Beurteilung die Umstände des Empfängers zu berücksichtigen sind und nicht nur die Möglichkeit des Verantwortlichen, die Daten einer Person zuzuordnen. Der Beitrag erläutert den Rechtsstreit zwischen dem EDSB und dem SRB, die Weitergabe von Daten an einen externen Berater und die Folgen für den Datenschutz.
Eine mögliche Wende im Verständnis der Pseudonymisierung
Diese Haltung bedeutet eine erhebliche Wende im Verständnis der Pseudonymisierung als Mittel, mit dem sich erreichen ließe, dass Daten für ihren Empfänger keine personenbezogenen Daten mehr sind. Ist die Pseudonymisierung ausreichend durchgeführt und eine Re-Identifizierung von Personen nicht möglich, sollten solche Daten nicht dem Schutz der DSGVO unterliegen.
Die gegenteilige Auffassung des EDSB
Der Europäische Datenschutzbeauftragte (EDSB) vertritt jedoch seit Langem eine andere Auffassung. Ihm zufolge bleiben pseudonymisierte Daten personenbezogene Daten, da es nicht darauf ankommt, ob der Empfänger über Mittel zur Re-Identifizierung von Personen verfügt. Ähnlich argumentierte er auch in der Rechtssache T-557/20 SRB/EDSB, in der er ausführte, dass die DSGVO nicht zwischen denjenigen unterscheidet, die pseudonymisierte Daten speichern, und denjenigen, die die zusätzlichen Informationen zur Re-Identifizierung aufbewahren. Nach seiner Ansicht handelt es sich daher stets um pseudonymisierte und nicht um anonymisierte Daten.
Auswirkungen auf die Praxis und künftige Entwicklung
Der Gerichtshof der Europäischen Union (EuGH) hat noch kein abschließendes Urteil gefällt; dieses wird im Laufe dieses Jahres erwartet. Der Gerichtshof ist an die Schlussanträge des Generalanwalts nicht gebunden, sodass der Ausgang weiterhin offen ist.
Besonders interessant wird dieser Fall im Zusammenhang mit den kürzlich veröffentlichten Leitlinien des Europäischen Datenschutzausschusses (EDSA) zur Pseudonymisierung, die derzeit öffentlich konsultiert werden. Es wird erwartet, dass der Ausgang dieses Verfahrens erhebliche Auswirkungen auf die Praxis der Weitergabe und Verarbeitung von Daten in der EU haben kann, insbesondere im Hinblick auf den Einsatz von Pseudonymisierungstechniken und Sicherheitsrichtlinien beim Umgang mit Daten.
Fazit
Die Schlussanträge des Generalanwalts eröffnen einen neuen Blick auf die Pseudonymisierung als mögliches Instrument, um die Anwendung der DSGVO auf weitergegebene Daten auszuschließen. Sollte der EuGH diese Auffassung übernehmen, könnte dies den Datenaustausch zwischen Organisationen erleichtern, zugleich aber den Schutz personenbezogener Daten schwächen. Wie das endgültige Urteil ausfällt, erfahren wir erst mit der Entscheidung des EuGH, die erhebliche Auswirkungen auf die Rechtspraxis im Bereich des Datenschutzes haben wird.