Der EuGH hat die Bedeutung des Begriffs der personenbezogenen Daten im Zusammenhang mit der Übermittlung pseudonymisierter Daten an Dritte präzisiert. Pseudonymisierte oder geschwärzte Dokumente dürfen zwar erhoben werden, ihre Weitergabe kann aber dennoch eine Informationspflicht auslösen. Verantwortliche müssen Betroffene daher frühzeitig informieren, auch wenn ein Empfänger die Daten nicht mehr ohne weiteres einer Person zuordnen kann. Warum dieses Urteil für den Umgang mit sensiblen Daten so wichtig ist, erfahren Sie hier.

Der Europäische Gerichtshof (EuGH) hat entschieden, dass persönliche Meinungen auch in pseudonymisierter Form personenbezogene Daten darstellen können. Außerdem stellte er klar, dass die Informationspflicht eines Verantwortlichen bereits bei der Erhebung von Daten entsteht. Maßgeblich ist nicht die Sicht eines späteren Empfängers, sondern die Perspektive des Verantwortlichen selbst. Damit hob der EuGH eine Entscheidung des Gerichts der Europäischen Union auf und verwies die Sache zurück (EuGH, Urt. v. 04.09.2025, Az. C-413/23 P).

Weitergabe von Stellungnahmen nach Bankenabwicklung

Im Jahr 2017 wurde die spanische Bank Banco Popular Español abgewickelt. Der Einheitliche Abwicklungsausschuss (Single Resolution Board, SRB) entschied am 7. Juni 2017 zunächst vorläufig, ob ehemalige Anteilseigner und Gläubiger eine Entschädigung erhalten sollten. Da die Betroffenen in diesem Verfahren nicht gehört wurden, eröffnete der SRB später ein Anhörungsverfahren. Die Anteilseigner und Gläubiger konnten Stellungnahmen zu der Entscheidung abgeben.


Neu für Unternehmen 🔥

Rundum-Datenschutz im Abo

Vermeiden Sie hohe Datenschutz-Bußgelder & Abmahnungen.
Mit unseren Datenschutz-Paketen ab 711 € mtl.

✓ Rechtssicherheit
✓ Abmahnschutz
✓ Persönliche Betreuung im Ernstfall

Die Anforderungen an den Datenschutz wechseln ständig: Hochautomatisierte Abmahnkanzleien spüren bestehende Datenschutzlücken in Sekunden auf und strafen Sie mit saftigen Bußgeldern ab! Bleiben Sie mit dem wöchentlichen Datenschutz-Update unserer Datenschutzpakete immer einen Schritt voraus. Mit dem Abmahnkostenschutz bieten wir Ihnen nicht nur Sicherheit, sondern auch die Gewissheit, dass Sie im Falle einer Abmahnung nicht allein sind.

Pakete entdecken →

Ein Teil dieser Stellungnahmen wurde pseudonymisiert an das Beratungsunternehmen Deloitte weitergegeben. Deloitte sollte die Auswirkungen der Bankenabwicklung auf Anteilseigner und Gläubiger prüfen. Mehrere Betroffene wandten sich an den Europäischen Datenschutzbeauftragten (EDSB). Sie bemängelten, dass sie nicht darüber informiert worden seien, dass ihre Stellungnahmen in dieser Form an ein externes Unternehmen übermittelt wurden.

Der EDSB bewertete Deloitte als Empfänger personenbezogener Daten. Er war der Ansicht, dass der SRB mit der Weitergabe der Stellungnahmen gegen seine Informationspflicht nach der Verordnung (EU) 2018/1725 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch Organe und Einrichtungen der Europäischen Union verstoßen habe. Der SRB klagte daraufhin vor dem Gericht der Europäischen Union (EuG). Dieses erklärte die Entscheidung des EDSB für teilweise nichtig (EuG, Urt. v. 2023, Az. T-557/20). Gegen diese Entscheidung legte der EDSB Rechtsmittel ein.

Kriterien für personenbezogene Daten und Reichweite der Informationspflicht

Der EuGH hob das EuG-Urteil nun auf und stellte klar, dass persönliche Meinungen und Sichtweisen immer personenbezogene Daten seien. Sie seien eng mit der Person verbunden, die sie äußere, und daher unmittelbar auf diese beziehbar. Das EuG habe deshalb einen Rechtsfehler begangen, als es verlangte, dass der EDSB zusätzlich Inhalt, Zweck und Auswirkungen der Stellungnahmen berücksichtigen müsse.

Darüber hinaus bestätigte der EuGH, dass pseudonymisierte Daten nicht in jedem Fall personenbezogene Daten darstellen. Ob Daten personenbezogen sind, hänge davon ab, ob eine Person tatsächlich identifiziert werden könne. Sofern die für die Identifizierung erforderlichen Informationen nicht vorhanden oder unzugänglich seien, so seien pseudonymisierte Daten für den Empfänger nicht mehr personenbezogen. Damit verdeutlichte der EuGH, dass die Pseudonymisierung ein wirksames Mittel sein kann, um Daten vor unbefugter Identifizierung zu schützen.

Besondere Bedeutung hat die Entscheidung zur Reichweite der Informationspflicht. Der EuGH stellte klar, dass diese Pflicht bereits bei der Erhebung der Daten durch den Verantwortlichen bestehe. Entscheidend sei die Perspektive des Verantwortlichen, in diesem Fall des SRB. Es komme nicht darauf an, ob ein späterer Empfänger wie Deloitte die Daten noch als personenbezogen einordnen könne. Die Betroffenen hätten daher schon bei der Erhebung informiert werden müssen. Damit sei die Pflicht unabhängig davon, ob pseudonymisierte Daten im Einzelfall für Dritte noch identifizierbar seien.

Der EuGH verwies den Rechtsstreit an das EuG zurück. Dieses muss nun unter Beachtung der Vorgaben des EuGH erneut prüfen, ob die Entscheidung des EDSB rechtmäßig war.

Die Entscheidung zeigt, dass der Begriff der personenbezogenen Daten weit auszulegen ist. Meinungen und Ansichten sind auch dann geschützt, wenn sie pseudonymisiert weitergegeben werden. Gleichzeitig unterstreicht der EuGH, dass eine Pseudonymisierung in bestimmten Fällen aber durchaus eine wirksame Maßnahme sein kann, nämlich wenn eine Identifizierung ausgeschlossen ist. Vor allem aber stärkt das Urteil die Informationsrechte der Betroffenen. Verantwortliche müssen frühzeitig prüfen, wie sie ihrer Informationspflicht nachkommen. Sie dürfen diese nicht davon abhängig machen, ob ein Dritter Daten als personenbezogen wahrnimmt.

Das Urteil des EuGH macht deutlich, wie anspruchsvoll die Einhaltung der Datenschutzvorgaben sein kann. Schon kleine Fehler bei der Informationspflicht können zu Beschwerden und rechtlichen Auseinandersetzungen führen. WBS.LEGAL verfügt über langjährige Erfahrung im Datenschutzrecht. Wir unterstützen Unternehmen und Betroffene bei allen datenschutzrechtlichen Fragen. Wenn Sie eine Beratung benötigen oder sich gegen die Verarbeitung Ihrer Daten wehren möchten, stehen wir Ihnen jederzeit zur Seite. Kontaktieren Sie uns gerne unter 0221 / 951 563 0 (Beratung bundesweit), um Ihre Rechte zu sichern und rechtliche Risiken zu vermeiden.

tsp