---
id: edsb-srb-pseudonymisierte-daten-eugh-2025
title: 'EDSB gegen SRB: Pseudonymisierte Daten nicht immer personenbezogen'
date: '2025-09-04'
datePrecision: day
dateSources:
  - s3
  - s5
summary: >-
  Am 4. September 2025 entschied der EuGH im Streit zwischen EDSB und SRB, dass
  pseudonymisierte Daten nicht für jeden personenbezogen sind. Über Empfänger
  informieren muss der Verantwortliche trotzdem, beurteilt aus seiner Sicht beim
  Erheben der Daten.
themeId: theme-datenschutzrecht-der-eu
wikidata:
  - id: Q567618
    name: Anonymisierung und Pseudonymisierung
  - id: Q1377705
    name: Europäischer Datenschutzbeauftragter
seeAlso:
  - id: schufa-scoring-eugh-2023
    note: >-
      Auch dort legte der EuGH einen Grundbegriff des Datenschutzrechts aus, die
      automatisierte Entscheidung.
  - id: dsgvo-anwendbar-2018
    note: >-
      Die Verordnung 2018/1725, um die es hier geht, überträgt die Regeln der
      DSGVO auf die Einrichtungen der EU.
verification: verified
sources:
  - key: s1
    title: EDPS v SRB (Concept of personal data), Pressemitteilung Nr. 107/25
    publisher: Gerichtshof der Europäischen Union
    url: https://curia.europa.eu/site/upload/docs/application/pdf/2025-09/cp250107en.pdf
    accessedAt: '2026-10-24'
  - key: s2
    title: >-
      Judgment of the Court (First Chamber) of 4 September 2025, EDPS v SRB,
      C-413/23 P (EUR-Lex)
    publisher: Gerichtshof der Europäischen Union
    url: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A62023CJ0413
    accessedAt: '2026-10-24'
  - key: s3
    title: Pseudonymized data after EDPS v SRB
    publisher: Clifford Chance
    url: https://www.cliffordchance.com/insights/resources/blogs/talking-tech/en/articles/2025/09/pseudonymized-data-after-edps-v-srb.html
    accessedAt: '2026-10-24'
  - key: s4
    title: >-
      CJEU clarifies concept of personal data for a transfer of pseudonymised
      data to third parties
    publisher: A&O Shearman
    url: https://www.aoshearman.com/en/insights/ao-shearman-on-data/cjeu-clarifies-concept-of-personal-data-for-a-transfer-of-pseudonymised-data-to-third-parties
    accessedAt: '2026-10-24'
  - key: s5
    title: >-
      Pseudonymised Data: Not Always Personal According to The Latest CJEU
      Judgement
    publisher: DSN Group
    url: https://www.dsn-group.com/privacy-notes/pseudonymised-data-not-always-personal-according-to-the-latest-cjeu-judgement-1555813
    accessedAt: '2026-10-24'
provenance:
  origin: recherche
  model: beschaffer:sonnet
  createdBy: '/research (Musterlauf: datenschutz)'
  reviewedBy: research
  reviewedAt: '2026-10-24'
---

Der Gerichtshof der Europäischen Union entschied am 4. September 2025 in der
Rechtssache C-413/23 P zwischen dem Europäischen Datenschutzbeauftragten (EDSB)
und dem Einheitlichen Abwicklungsausschuss (SRB).[^s3][^s5] Pseudonymisierte
Daten sind danach nicht in jedem Fall und für jede Person
personenbezogen.[^s1][^s2] Ob eine Person bestimmbar ist, wird für die Pflicht,
die Betroffenen über Empfänger zu informieren, aber beim Erheben der Daten und
aus Sicht des Verantwortlichen beurteilt.[^s1][^s4]

Nach der Abwicklung der Banco Popular Español am 7. Juni 2017 entschied der SRB
vorläufig, ob ihren Aktionären und Gläubigern eine Entschädigung zustand.[^s1]
Deren Stellungnahmen gab er pseudonymisiert an die Prüfungs- und
Beratungsgesellschaft Deloitte weiter, die die Folgen der Abwicklung bewerten
sollte.[^s1] Den Schlüssel zu den Identitäten behielt allein der SRB.[^s3]
Betroffene beschwerten sich beim EDSB, weil der SRB sie nicht über die
Weitergabe an Deloitte informiert hatte.[^s1] Der EDSB stellte einen Verstoß
gegen Artikel 15 der Verordnung 2018/1725 fest und erteilte dem SRB eine
Verwarnung.[^s2] Das Gericht der EU erklärte diese Entscheidung am 26. April
2023 für nichtig, weil der EDSB nicht aus der Sicht von Deloitte geprüft habe,
ob personenbezogene Daten empfangen wurden.[^s2][^s4]

Der Gerichtshof hob das Urteil des Gerichts auf und verwies die Sache an das
Gericht zurück.[^s1][^s2] Dort ist noch die zweite Rüge des SRB zu prüfen, der
EDSB habe das Recht auf gute Verwaltung verletzt.[^s3] Die Informationspflicht
des SRB galt nach dem Urteil schon vor der Weitergabe, gleich ob die Daten für
Deloitte nach der Pseudonymisierung noch personenbezogen waren.[^s1] Nach
Einschätzung von A&O Shearman sprach der Gerichtshof damit zum ersten Mal
ausdrücklich aus, dass pseudonymisierte Daten nicht immer personenbezogen
sind.[^s4] Clifford Chance wendet ein, das Urteil liefere keinen Test für
Anonymisierung, den Unternehmen anwenden könnten.[^s3]

Ende der Datei: 5 Quellen.