EDSB gegen SRB: Pseudonymisierte Daten nicht immer personenbezogen
Am 4. September 2025 entschied der EuGH im Streit zwischen EDSB und SRB, dass pseudonymisierte Daten nicht für jeden personenbezogen sind. Über Empfänger informieren muss der Verantwortliche trotzdem, beurteilt aus seiner Sicht beim Erheben der Daten.
Der Gerichtshof der Europäischen Union entschied am 4. September 2025 in der Rechtssache C-413/23 P zwischen dem Europäischen Datenschutzbeauftragten (EDSB) und dem Einheitlichen Abwicklungsausschuss (SRB).3,5 Pseudonymisierte Daten sind danach nicht in jedem Fall und für jede Person personenbezogen.1,2 Ob eine Person bestimmbar ist, wird für die Pflicht, die Betroffenen über Empfänger zu informieren, aber beim Erheben der Daten und aus Sicht des Verantwortlichen beurteilt.1,4
Nach der Abwicklung der Banco Popular Español am 7. Juni 2017 entschied der SRB vorläufig, ob ihren Aktionären und Gläubigern eine Entschädigung zustand.1 Deren Stellungnahmen gab er pseudonymisiert an die Prüfungs- und Beratungsgesellschaft Deloitte weiter, die die Folgen der Abwicklung bewerten sollte.1 Den Schlüssel zu den Identitäten behielt allein der SRB.3 Betroffene beschwerten sich beim EDSB, weil der SRB sie nicht über die Weitergabe an Deloitte informiert hatte.1 Der EDSB stellte einen Verstoß gegen Artikel 15 der Verordnung 2018/1725 fest und erteilte dem SRB eine Verwarnung.2 Das Gericht der EU erklärte diese Entscheidung am 26. April 2023 für nichtig, weil der EDSB nicht aus der Sicht von Deloitte geprüft habe, ob personenbezogene Daten empfangen wurden.2,4
Der Gerichtshof hob das Urteil des Gerichts auf und verwies die Sache an das Gericht zurück.1,2 Dort ist noch die zweite Rüge des SRB zu prüfen, der EDSB habe das Recht auf gute Verwaltung verletzt.3 Die Informationspflicht des SRB galt nach dem Urteil schon vor der Weitergabe, gleich ob die Daten für Deloitte nach der noch personenbezogen waren.1 Nach Einschätzung von A&O Shearman sprach der Gerichtshof damit zum ersten Mal ausdrücklich aus, dass pseudonymisierte Daten nicht immer personenbezogen sind.4 Clifford Chance wendet ein, das Urteil liefere keinen Test für Anonymisierung, den Unternehmen anwenden könnten.3
Siehe auch
- SCHUFA-Urteil: Der EuGH zieht dem Scoring 2023 Grenzen 2023 Auch dort legte der EuGH einen Grundbegriff des Datenschutzrechts aus, die automatisierte Entscheidung.
- DSGVO gilt ab 25. Mai 2018 und löst die Richtlinie von 1995 ab 2018 Die Verordnung 2018/1725, um die es hier geht, überträgt die Regeln der DSGVO auf die Einrichtungen der EU.