Der Europäische Gerichtshof hat mit Urteil vom 4. September 2025 (C-413/23 P, EDSB/SRB) eine zentrale Frage des Datenschutzrechts geklärt: Pseudonymisierte Daten sind nicht in jedem Fall für jeden Empfänger personenbezogen.
Die Kernaussagen
- Verfügt ein Empfänger realistischerweise über keine Mittel, die betroffenen Personen zu identifizieren, können die Daten für ihn keine personenbezogenen Daten sein (relativer Personenbezug).
- Für den Verantwortlichen, der den Schlüssel zur Re-Identifizierung besitzt, bleiben die Daten dagegen personenbezogen.
- Die Informationspflichten über Empfänger sind aus Sicht des Verantwortlichen im Zeitpunkt der Erhebung zu beurteilen – die Pseudonymisierung entbindet ihn davon nicht.
Das Urteil schafft Spielraum für Datenweitergaben, etwa an Dienstleister, Forschungspartner oder für KI-Training. Entscheidend sind wirksame technische und vertragliche Maßnahmen gegen eine Re-Identifizierung – und eine saubere Dokumentation.
Mehr zum Thema: Datenschutzrecht · Vertragsmuster Auftragsverarbeitungsvertrag