Was Unternehmen und Behörden jetzt zur Informationspflicht nach der DSGVO wissen müssen
Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 4. September 2025 (C‑413/23 P) klargestellt, wie pseudonymisierte Daten datenschutzrechtlich zu bewerten sind – und wann eine Informationspflicht gegenüber betroffenen Personen besteht. Im Zentrum steht dabei die Frage: Wann handelt es sich (noch) um personenbezogene Daten, obwohl Namen, Adressen oder Klarnamen nicht mehr direkt sichtbar sind?
Die Antwort des EuGH: Pseudonymisierte Daten bleiben personenbezogene Daten – wenn eine Stelle existiert, die den Bezug zur natürlichen Person wiederherstellen kann.
Ein Urteil mit Folgen – nicht nur für Behörden.
Hintergrund: Worum ging es?
Im Rahmen der Abwicklung der spanischen Bank Banco Popular im Jahr 2017 hatte der Einheitliche Abwicklungsausschuss (SRB) betroffene Gläubiger und Anteilseigner zu einer Online-Stellungnahme eingeladen. Sie sollten sich dazu äußern, ob ihnen möglicherweise eine Entschädigung zusteht. Die übermittelten Stellungnahmen wurden pseudonymisiert an das Beratungsunternehmen Deloitte zur Auswertung weitergegeben – mit einem alphanumerischen Code versehen, aber ohne direkte Identitätsdaten.
Was nach einem sauberen Verfahren klingt, hatte aus datenschutzrechtlicher Sicht einen Haken: In der Datenschutzerklärung wurden die Betroffenen nicht darüber informiert, dass ihre Daten an Deloitte übermittelt werden könnten.
Daraufhin riefen mehrere Betroffene den Europäischen Datenschutzbeauftragten (EDSB) an – und dieser rügte den SRB. Zu Recht, wie der EuGH nun bestätigt.
Der rechtliche Knackpunkt: Pseudonymisiert ≠ anonym
Der EuGH hatte zu prüfen, ob die an Deloitte übermittelten Daten überhaupt „personenbezogene Daten“ im Sinne der Verordnung (EU) 2018/1725 (das Pendant zur DSGVO auf EU-Ebene) waren – immerhin fehlten Klarnamen und Adressen.
Das Gericht stellte klar:
Pseudonymisierte Stellungnahmen sind personenbezogene Daten, weil:
sie Meinungen oder Sichtweisen enthalten, die Rückschlüsse auf die betroffene Person erlauben,
der SRB jederzeit den Personenbezug wiederherstellen konnte (mittels alphanumerischem Code),
und die Betroffenen somit identifizierbar blieben.
Der zentrale Maßstab: Nicht die Perspektive des Empfängers (z. B. Deloitte), sondern die des Verantwortlichen (hier: SRB) ist für die Einordnung entscheidend. Denn dieser kann den Personenbezug jederzeit herstellen – und trägt deshalb auch die datenschutzrechtliche Verantwortung.
Informationspflicht: Kein Spielraum bei Transparenz
Ebenfalls deutlich positioniert sich der EuGH in Sachen Informationspflicht:
Der SRB hätte die betroffenen Personen zum Zeitpunkt der Datenerhebung darüber informieren müssen, dass ihre Daten an Deloitte weitergegeben werden könnten (Art. 15 Abs. 1 Buchst. d VO 2018/1725, vergleichbar mit Art. 13 DSGVO).
Dass Deloitte die Daten nur pseudonymisiert sah, entbindet nicht von der Pflicht zur Aufklärung. Die Entscheidung, wem die Daten offengelegt werden, liegt nicht beim Verantwortlichen allein – sondern auch bei den Betroffenen.
Die Folge bei Verstößen: Der Datenschutzbeauftragte darf rügen – und betroffene Personen können auf Schadensersatz klagen.
Was bedeutet das für Unternehmen und Behörden?
Das Urteil betrifft in erster Linie EU-Behörden, ist aber analog auf die DSGVO übertragbar – denn beide Regelwerke beruhen auf denselben Grundprinzipien. Das macht das Urteil auch für private Unternehmen relevant:
-
Pseudonymisierte Daten sind keine anonymen Daten. Wer die Daten mit vertretbarem Aufwand einer natürlichen Person zuordnen kann – direkt oder indirekt –, unterliegt dem vollen Anwendungsbereich der DSGVO.
-
Die Informationspflicht greift auch bei pseudonymisierten Daten. Ob der Empfänger (z. B. ein Dienstleister) die Person identifizieren kann, spielt dabei keine Rolle.
-
Transparenz zählt. Datenschutzerklärungen müssen alle potenziellen Empfänger personenbezogener Daten nennen – auch wenn die Übermittlung nur „für den Fall der Fälle“ geplant ist.
-
Wer Dritte einbindet, muss technische und organisatorische Maßnahmen dokumentieren. Die „organisatorische Trennung“ von Daten allein reicht nicht – entscheidend ist, ob die Identifizierbarkeit realistisch ausgeschlossen ist.
Fazit: Transparenzpflicht ist Chefsache
Das Urteil des EuGH stärkt den Schutz personenbezogener Daten – auch in vermeintlich „entpersonalisierten“ Zusammenhängen. Für Unternehmen und Behörden bedeutet das: Wer personenbezogene Daten verarbeitet – und sei es pseudonymisiert –, steht in der Informationspflicht.
Datenschutz ist keine Frage der Form, sondern der Rückverfolgbarkeit. Wer personenbezogene Daten pseudonymisiert, bleibt verantwortlich – und muss alle rechtlichen Informations- und Dokumentationspflichten erfüllen.
Wer sich darauf nicht einstellt, riskiert nicht nur Bußgelder – sondern auch einen Reputationsschaden, der sich vermeiden lässt.