Das EuGH-Urteil C-413/23 P erklärt: pseudonymisierte Daten und relativer Ansatz

Letzte Aktualisierung : 2026-10-11

Für den Inhaber der Zuordnungstabelle ja; für den Empfänger, der nicht mit vernünftigem Aufwand re-identifizieren kann, nein: Das ist der relative Ansatz, den der EuGH am 4. September 2025 verfolgt hat.

Dies ist keine Rechtsberatung. Diese Seite erklärt ein Urteil für Leserinnen und Leser ohne juristische Ausbildung. Sie beschränkt sich auf das, was der Gerichtshof geschrieben hat, und berührt Ihre berufliche Verantwortung nicht. Für eine Entscheidung über einen realen Fall wenden Sie sich an Ihre Kammer oder an einen qualifizierten Berater.

Der Sachverhalt

Im Juni 2017 stellte der Einheitliche Abwicklungsausschuss (SRB) die Bank Banco Popular Español unter Abwicklung (Rn. 10 bis 12). Betroffene Aktionäre und Gläubiger konnten Stellungnahmen zum Entwurf der Entscheidung über ihre Entschädigung abgeben. Jede Stellungnahme war mit einem Code verknüpft, sodass der SRB sie ihrem Verfasser zuordnen konnte. Eine Teilmenge von 1 104 Stellungnahmen wurde zur Bewertung an Deloitte übermittelt (Rn. 17 bis 28).

Die Information an die Teilnehmer nannte Deloitte nicht als möglichen Empfänger. Fünf Beschwerden veranlassten den Europäischen Datenschutzbeauftragten (EDSB), einen Verstoß gegen Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725 festzustellen, der verlangt, die Person über die Empfänger ihrer Daten zu informieren (Rn. 29 bis 34). Am 26. April 2023 hob das Gericht der Europäischen Union diese Entscheidung auf (Rechtssache T-557/20), weil die an Deloitte übermittelten Stellungnahmen keine personenbezogenen Daten seien (Rn. 35 bis 38).

Die dem Gerichtshof gestellte Frage

Der EDSB, unterstützt vom Europäischen Datenschutzausschuss, legte ein Rechtsmittel ein (Rn. 39 bis 42). Für diese Seite sind zwei Fragen wichtig. Betrifft eine Stellungnahme, die die Meinung einer Person ausdrückt, diese Person? Und bleiben pseudonymisierte Daten für einen Empfänger personenbezogen, der die zur Re-Identifizierung nötigen Informationen nicht besitzt?

Die Antwort des Gerichtshofs

Das Urteil vom 4. September 2025 (Erste Kammer, ECLI:EU:C:2025:645) hebt das Urteil des Gerichts auf. Das sagt es, Randnummer für Randnummer.

  • Meinungen betreffen eine Person. Eine persönliche Meinung oder Ansicht ist mit ihrem Urheber verbunden, ohne dass nach einem bestimmten Inhalt, Zweck oder Ergebnis gesucht werden muss. Das Gericht hat sich in diesem Punkt geirrt (Rn. 54 bis 61).
  • Die Einstufung hängt von einer Prüfung ab. Die Anwendung der Verordnung setzt eine Prüfung voraus, ob die Person identifiziert oder identifizierbar ist (Rn. 69). Die Pseudonymisierung gehört nicht zur Definition der personenbezogenen Daten (Rn. 72). Sie setzt zusätzliche Informationen voraus, die eine Re-Identifizierung erlauben (Rn. 73).
  • Für den Inhaber des Schlüssels bleiben die Daten personenbezogen. Der SRB verfügte über die zusätzlichen Informationen, mit denen sich die Stellungnahmen ihren Verfassern zuordnen ließen (Rn. 76).
  • Für den Empfänger kann es anders sein. Nach Rn. 77 können die an Deloitte übermittelten Stellungnahmen für Deloitte nicht personenbezogen sein, unter zwei Bedingungen: Deloitte kann die Pseudonymisierungsmaßnahmen bei seiner eigenen Verarbeitung nicht aufheben, und diese Maßnahmen hindern Deloitte tatsächlich daran, die Stellungnahmen der Person zuzuordnen, auch durch Abgleich mit anderen Daten.
  • Die allgemeine Regel. Pseudonymisierte Daten sind nicht „in jedem Fall und für jede Person” als personenbezogene Daten anzusehen (Rn. 86; im französischen Urteilstext: « en toute hypothèse et pour toute personne »). Kann der Empfänger die Daten vernünftigerweise einer Person zuordnen, etwa durch Abgleich mit weiteren Daten, die er besitzt, bleibt die Person für ihn identifizierbar (Rn. 85). Der Begriff der personenbezogenen Daten ist weit, aber nicht unbegrenzt (Rn. 88).
  • Die Informationspflicht wird anders beurteilt. Für die Pflicht, über Empfänger zu informieren, entscheidet der Gerichtshof, dass die Identifizierbarkeit zum Zeitpunkt der Erhebung und aus Sicht des Verantwortlichen zu beurteilen ist (Rn. 111). Diese Pflicht gilt vor jeder Übermittlung, gleichgültig ob der Empfänger die Personen identifizieren kann (Rn. 112 bis 115). Das Gericht hat daher einen Fehler begangen, als es die Sicht von Deloitte verlangte.
  • Wie es weitergeht. Das Gericht befasst sich erneut mit dem zweiten Klagegrund der ursprünglichen Klage, der Tatsachenwürdigungen erfordert (Rn. 121 und 122). Der Gerichtshof selbst hat also nicht entschieden, dass die Stellungnahmen für Deloitte nicht personenbezogen waren.

Generalanwalt Dean Spielmann legte seine Schlussanträge am 6. Februar 2025 vor (ECLI:EU:C:2025:59). Er schlug bereits vor, das Urteil des Gerichts aufzuheben und die Sache zurückzuverweisen, und unterschied dabei die relative Beurteilung pseudonymisierter Daten von der Sicht des Verantwortlichen bei der Informationspflicht.

Was das für eine Fachperson ändert, die einen pseudonymisierten Prompt sendet

Nehmen wir eine Einzelanwältin, einen niedergelassenen Arzt oder einen Steuerberater, die Namen durch Marker wie {{PERSON_a1b2}} ersetzen, bevor sie einen Text an einen Anbieter eines Sprachmodells senden, und die Zuordnungstabelle auf dem eigenen Rechner behalten.

  • Für Sie bleiben die Daten personenbezogen. Sie besitzen die Zuordnungstabelle, wie der SRB im Urteil (Rn. 76). Die DSGVO gilt weiter für Ihre Verarbeitung, und die lokale Verarbeitung von ndaact.ai wird als clientseitige Pseudonymisierung beschrieben (Art. 4 Nr. 5 DSGVO).
  • Für den Anbieter stellt sich die Frage anders. Erhält er nur Marker, ohne die Tabelle, und hat er kein vernünftiges Mittel, den Text einer Person zuzuordnen, lässt sich mit dem relativen Ansatz des Gerichtshofs vertreten, dass diese Daten für ihn nicht personenbezogen sind. Diese Einstufung wird im Einzelfall nach den Bedingungen von Rn. 77 beurteilt. Wir sprechen von De-Identifizierung gegenüber dem Dritten, nicht von Anonymisierung des Prompts.
  • Ihre Informationspflicht bleibt bestehen. Rn. 111 ordnet die Pflicht, über Empfänger zu informieren, dem Verantwortlichen zu, und zwar zum Zeitpunkt der Erhebung. Wer als Fachperson Mandantendaten erhebt, kann aus dem Urteil also nicht ableiten, dass die Nennung des Modellanbieters überflüssig wird.
  • Der Anwendungsbereich des Urteils ist eng. Es legt die Verordnung 2018/1725 aus, die für die Organe der Union gilt. Der Gerichtshof knüpft seine Lesart an den Begriff der personenbezogenen Daten der DSGVO an, doch der Fall betrifft kein Sprachmodell. Die Übertragung auf Ihre Praxis ist eine Analyse, die Sie mit Ihrem Berater vornehmen sollten.

Die Grenzen

  • Indirekte Identifikatoren. Rn. 77 betrifft Maßnahmen, die die Zuordnung verhindern, auch durch Abgleich. Ein Satz wie „mein Mandant, der einzige Bio-Bäcker der Gemeinde” kann eine Person identifizieren, obwohl kein Name im Text steht.
  • Die Erkennung kann Entitäten übersehen. ndaact.ai ersetzt die Entitäten, die es erkennt. Eine nicht erkannte Entität gelangt im Klartext zum Modellanbieter, mit dem Rest des Textes, und die Marker decken nur ab, was erkannt wurde.
  • Was der Anbieter abgleichen kann. Rn. 85 betrifft einen Empfänger, der über andere Daten verfügt. Der Kontext einer Akte, Daten oder Beträge können genügen, um eine Person zu re-identifizieren, wenn der Anbieter weitere Informationen besitzt.
  • Dieses Urteil bestätigt kein Werkzeug. Es nennt weder ndaact.ai noch ein anderes Produkt und befreit von keiner Pflicht. Es beschreibt, wie der Gerichtshof den Personenbezug pseudonymisierter Daten beurteilt.

Die Texte

Quelle: EuGH, EDSB/SRB, C-413/23 P, 4. September 2025.

Diese Seite ist eine Übersetzung. Maßgeblich ist die französische Fassung.