1. Pseudonymisierte Daten können nicht in jedem Fall und für jede Person als personenbezogene Daten betrachtet werden. Denn die Pseudonymisierung kann – je nach den Umständen des Einzelfalls – andere Personen als den Verantwortlichen tatsächlich an einer Identifizierung der betroffenen Person hindern, sodass Letztere für sie nicht oder nicht mehr identifizierbar ist.
2. Für die Bestimmung, ob es sich bei übermittelten Informationen um personenbezogene Daten handelt, ist auf die Perspektive des Empfängers der Datenübermittlung abzustellen.
Anmerkung
Dem Urteil des EuGH (veröffentlicht in GRUR-RS 2025, 22620) liegt die Entscheidung des Europäischen Datenschutzbeauftragten (EDSB) vom 24.11.2020 (Beschwerde-Nrn. 2019-947, 2019-998, 2019-999, 2019-1000 und 2019-1122) zugrunde, mit der dieser gegenüber dem Single Resulotion Board (SRB) eine Verwarnung gemäß Art. 58 Abs. 2 lit. b VO (EU) 2018/1725 wegen vorgeblichen Verstößen gegen Informationspflichten aus Art. 15 VO (EU) 2018/1725 im Zusammenhang mit der Abwicklung der Banco Popular ausgesprochen hatte.
Der SRB hatte dem Wirtschaftsprüfer Deloitte im Jahr 2019 insgeamt 1.104 Stellungnahmen von Anteilseignern oder Gläubigern der Banco Popular übermittelt. Die übermittelten Stellungnahmen selbst enthielten dabei keine Angaben zur Identität der jeweils erklärenden Personen. Über eindeutige alphanumerische Codes, die der SRB jeder Stellungnahme bei deren Erhebung im Rahmen der Registrierungsphase zugewiesen hatte, war es dem SRB jedoch möglich, die Stellungnahmen den separat gespeicherten Stammdaten der Erklärenden zuzuordnen, die im Registrierungsverfahren ebenfalls erhoben wurden. Deloitte hatte dagegen keinen Zugang zu diesen Stammdaten.
Nach Auffassung des EDSB handelt es sich bei den vom SRB an Deloitte übermittelten Stellungnahmen ihrem Inhalt nach um pseudonymisierte und damit personenbezogene Daten, weil die Stellungnahmen personenbezogene Daten waren und für SRB aufgrund des alphanumerischen Codes mit den Stammdaten der Erklärenden verknüpft werden konnten, auch wenn diese Deloitte nicht mitgeteilt wurden.
Deloitte hätte nach Auffassung des EDSB vor diesem Hintergrund bei Erhebung der Daten bei den Betroffenen in der Datenschutzerklärung des SRB als Empfänger personenbezogener Daten im Sinne von Art. 3 Nr. 13 VO (EU) 2018/1725 ausgewiesen werden müssen.
Der SRB erhob gegen die Entscheidung des EDSB Klage vor dem EuG, der die Entscheidung des EDSB mit Urteil vom 26.4.2023 – T-557/20 (BeckRS 2023, 8240) für nichtig erklärte. Hiergegen legte der EDSB Rechtmittel beim EuGH ein.
Der EuGH hat das Urteil des EuG aufgehoben und die Sache zur erneuten Entscheidung zurückverwiesen.
Im Hinblick auf die zwischen den Parteien streitige und vom EuG verneinte Frage, ob es sich bei dem Inhalt der Stellungnahmen für Deloitte als Empfänger um personenbezogene Daten handelt, müsse dabei nach Auffassung des EuGH Berücksichtigung finden, dass in ErwG 16 VO (EU) 2018/1725 ausgeführt wird, dass bei der Prüfung der Identifizierbarkeit einer natürlichen Person alle Mittel berücksichtigt werden sollten, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren. Die Ausführungen wären nach Auffassung des EuGH demnach sinnentleert, wenn pseudonymisierte Daten in jedem Fall und in Bezug auf jede Person als personenbezogene Daten zu betrachten wären (EuGH, a.a.O. Rn. 79 f.).
Von dem Verantwortlichen pseudonymisierte Daten, die an einen Dritten weitergegeben werden, seien für den Dritten als Empfänger demnach nur dann als personenbezogen anzusehen, wenn nicht ausgeschlossen werden kann, dass der Empfänger nach allgemeinem Ermessen in der Lage ist, die pseudonymisierten Daten anhand von Mitteln wie etwa einem Abgleich mit anderen ihm zur Verfügung stehenden Daten der betroffenen Person zuzuordnen (EuGH, a.a.O. Rn. 85).
Im Hinblick auf die Informationspflicht nach Art. 15 Abs. 1 lit. d VO (EU) 2018/1725 sei, in Abweichung von der Auffassung des EuG, indes auf die Perspektive des Absenders zum Zeitpunkt der Erhebung der später offenbarten Daten bei der betroffenen Person abzustellen (EuGH, a.a.O. Rn. 111). Dies begründet der EuGH damit, dass Art. 15 Abs. 1 VO (EU) 2018/1725 für den Zeitpunkt der Information auf den Erhebungszeitpunkt abstellt (EuGH, a.a.O. Rn. 102 f.) und dem Verantwortlichen zu diesem Zeitpunkt noch nicht bekannt sein könne, ob ein potenzieller Empfänger nach einer späteren Übermittlung der in Rede stehenden Daten gegebenenfalls über Möglichkeiten zur Identifizierung der betroffenen Person verfügt (EuGH, a.a.O. Rn. 113).
Zur Übertragbarkeit seiner Ausführungen zum Personenbezug im Sinne von Art. 3 Nr. 1 VO (EU) 2018/1725 auf den im Wesentlichen gleichlautenden Art. 4 Nr. 1 DSGVO, stellte der EuGH zudem klar, dass eine gleichlaufende Auslegung beider Normen schon zur Gewährleistung einer einheitlichen und kohärente Anwendung des Unionsrechts erforderlich sei (EuGH, a.a.O. Rn. 52).
Damit bestätigt der EuGH die insbesondere auch seitens der nationalen Datenschutzaufsichten zum Teil verneinte Relativität des Personenbezugs eines Datums und stellt klar, dass bei der Übermittlung von (pseudonymisierten) Daten hinsichtlich der Frage des Personenbezugs nicht statisch auf die Perspektive des absendenden Verantwortlichen, sondern die des Empfängers abzustellen ist.
Nicht problematisiert, da nicht streitrelevant, wird vom EuGH dagegen die Frage, ob die Übermittlung von Daten, die aus der Perspektive des Absenders pseudonymisiert, aus der des Empfängers jedoch anonymisiert sind, einer Rechtsgrundlage nach Art. 5 Abs. 1 lit. a, 6 Abs. 1 DSGVO bzw. im Falle besonderer Kategorien personenbezogener Daten zusätzlich nach Art. 9 Abs. 2 DSGVO bedarf.
Insoweit scheint es angesichts der Ausführungen des EuGH sowie des Umstands, dass die Rechtmäßigkeit der Verarbeitung zum Zeitpunkt ihrer Vornahme gegeben sein muss (vgl. zu Art. 6 Abs. 1 lit. f DSGVO etwa EuGH ZD 2020, 148 Rn. 44) jedenfalls bis zu einer Klärung durch den EuGH vertretbar, auf die Perspektive des Empfängers abzustellen. Im Ergebnis bedeutet dies, dass der sachliche Anwendungsbereich der DSGVO für die Übermittlung mangels Vorliegens personenbezogener Daten nicht eröffnet ist und es daher keiner Rechtsgrundlage nach Art. 6 Abs. 1, 9 Abs. 2 DSGVO bedarf.
Die durch die Übermittlung dem Anwendungsbereich der DSGVO entzogenen anonymen Daten könnten dann durch den Empfänger auch zu solchen Zwecken weiterverarbeitet werden, für die bei Verarbeitung als lediglich pseudonymisierte Daten durch den ursprünglichen Verantwortlichen keine Rechtsgrundlage bestanden hätte (z.B. Training eines KI-basierten Sprachmodells mit Gesundheitsdaten).
Ansprechpartner
RA Tim Brauer, LL.M.
