Mobile-Menu

EuGH präzisiert Personenbezug pseudonymisierter Daten Wann pseudonyme Daten personen­bezogen sind und was das für KI heißt

Von Dipl.-Phys. Oliver Schonschek 4 min Lesedauer

Anbieter zum Thema

INFOMOTION GmbH
Insider Research

Der Europäische Gerichtshof hat klargestellt: Pseudonymisierte Daten sind nicht automatisch personenbezogen. Entscheidend ist, ob der jeweilige Verantwortliche eine Person identifizieren kann. Das erleichtert Datenschutz und KI-Training erheblich.

Das EuGH-Urteil zur Pseudonymisierung schafft Rechtssicherheit: Ob Daten personenbezogen sind, hängt von den Umständen und der Zugriffsmöglichkeit des Verantwortlichen ab.(Bild: © btiger - stock.adobe.com)
Das EuGH-Urteil zur Pseudonymisierung schafft Rechtssicherheit: Ob Daten personenbezogen sind, hängt von den Umständen und der Zugriffsmöglichkeit des Verantwortlichen ab.
(Bild: © btiger - stock.adobe.com)

Wer sich auf Daten ohne Personenbezug beschränkt, kann Datenschutzfragen vermeiden, zum Beispiel bei dem Training eines KI-Modells. Doch wann liegt kein Personenbezug mehr vor? Kann man mit pseudonymen Daten arbeiten oder haben diese immer noch einen Bezug zu Personen? Müssen es anonyme Daten sein? Hier gibt es neue Entwicklungen. Wir geben einen Überblick.

Personenbezug bei KI-Modellen

„In unserer Beratungstätigkeit stoßen wir immer wieder auf Mythen“, erklärt der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg. Dazu gehört der Mythos: „KI-Modelle haben nie Personenbezug“. Stattdessen erklärt er: „KI-Modelle, die mit personenbezogenen Daten trainiert wurden, haben in aller Regel einen Personenbezug“.

Wie aber vermeidet man den Personenbezug bei dem Training von KI-Modellen? Man nutzt anonyme Daten. Aber würden auch pseudonyme Daten ausreichen? Die Datenschutz-Grundverordnung besagt in den Begriffsbestimmungen, dass „Pseudonymisierung die Verarbeitung personenbezogener Daten in einer Weise ist, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“.

Es kommt also auf die sichere Trennung von diesen „zusätzlichen Informationen“ an. Entsprechend findet man in der DSGVO (Erwägungsgründe): „Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden.“ Solche pseudonymisierten Daten unterliegen also dem Datenschutz.

Wichtiges Urteil des EuGH

Der Europäische Gerichtshof (EuGH) hat sich nun in seinem Urteil vom 4. September 2025 (Aktenzeichen C-413/23 P) mit verschiedenen Fragen zum Thema „personenbezogene Daten“ und „Pseudonymisierung“ befasst, wie die Datenschutzaufsichtsbehörden berichten.

Pseudonymisierte Daten sind demnach nicht in jedem Fall und für jede Person als personenbezogene Daten zu betrachten. Die Pseudonymisierung kann, je nach den Umständen des Falles, andere Personen als den Verantwortlichen tatsächlich daran hindern, die betroffene Person zu identifizieren, so dass diese für sie nicht oder nicht mehr identifizierbar ist, so der EuGH. Die maßgebliche Sicht für die Beurteilung der Identifizierbarkeit betroffener Personen richtet sich wesentlich nach den Umständen der Datenverarbeitung im Einzelfall. Es kommt also auf den genauen Fall an, ob pseudonymisierte Daten einen Personenbezug aufweisen und entsprechend auch ein KI-Modell, das damit trainiert wurde, in aller Regel einen Personenbezug hat oder nicht.

Auch wenn dies rechtstheoretisch klingen mag, ist es durchaus eine wichtige Klarstellung für die Praxis.

Hohe Relevanz für Praxis-Fragen im Datenschutz

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Prof. Dr. Alexander Roßnagel, zum Beispiel begrüßt diese Entscheidung sehr, „weil sie einen jahrelangen Streit um das Verständnis von Anonymität beendet. Dieser Streit ist deswegen bedeutsam, weil anonyme Daten nicht in den Anwendungsbereich der DSGVO fallen. Die Feststellungen des EuGH erleichtern künftig die Annahme von Anonymität und die Verarbeitung von anonymen Daten erheblich.“

Die Aufsichtsbehörde aus Hessen macht deshalb die Folgen des Urteils deutlich: Anonymität oder Personenbeziehbarkeit muss allein aus der Sicht des jeweils Verantwortlichen bestimmt werden. Die gleichen Daten können daher für unterschiedliche Verantwortliche anonym oder personenbeziehbar sein. Daten können ihren Charakter als anonym oder personenbezogen wechseln, wenn sie einem anderen Verantwortlichen übermittelt werden.

Prof. Roßnagel macht klar: Auch pseudonyme Daten können anonym sein, wenn der Verantwortliche die pseudonymen Daten nicht einer bestimmten Person zuordnen kann. Anonyme Daten, die wieder personenbeziehbar sind, fallen dann aber wieder unter die DSGVO.

Offensichtlich kommt es darauf an, wer die zusätzlichen Informationen, die pseudonyme Daten einer konkreten Person zuordnen lassen, unter Kontrolle hat. Ist dies bei einem Unternehmen der Fall, sind die Daten personenbezogen, ist dies bei einem anderen Unternehmen nicht der Fall, sind sie dagegen anonym und unterliegen nicht der DSGVO.

Entsprechend bedeutet „die Existenz von zusätzlichen, die Identifizierung der betroffenen Person ermöglichenden Information für sich genommen nicht (…), dass pseudonymisierte Daten … in jedem Fall und für jede Person als personenbezogene Daten zu betrachten sind“. Entscheidend sei allein, ob der jeweils Verantwortliche die Daten einer bestimmten Person zuordnen kann.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Big Data, Analytics & AI

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Wichtige Folgen auch für KI (Künstliche Intelligenz)

Zur Bedeutung des Urteils fasst Roßnagel zusammen: „Mit diesem überzeugenden Urteil bekräftigt der EuGH seine bisherige Rechtsprechung zur Anonymität von Daten. Es widerlegt eindeutig das bisher vielfach vertretene absolute Verständnis von Anonymität, nach dem die Möglichkeit von irgendjemandem, Daten einer Person zuzuordnen, Anonymität ausschließt. Dadurch wurde der Begriff der Anonymität sehr eingeengt und auf sehr seltene Fälle beschränkt“.

Indem der EuGH der relativen Ansicht von Anonymität folge, nach der Anonymität immer nur für den jeweiligen Verantwortlichen bestimmt werden muss, werde die Anwendbarkeit der DSGVO auf die praktisch relevanten Fälle beschränkt und Datenverarbeitung, insbesondere auch für die Entwicklung von KI, erheblich erleichtert.

Auch der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit betont die Bedeutung dieser rechtlichen Bewertung: „Das Problem, wie Daten rechtssicher zu anonymisieren sind, stellt sich in zahlreichen Bereichen. So taucht diese Fragen immer wieder bei medizinischen oder statistischen Forschungsdaten auf, kann jedoch auch beim Training von KI-Modellen oder der Anwendung von KI-Systemen sehr relevant sein, da anonymisierte Datensätze DSGVO-rechtskonforme Trainings- und Ausgabedaten sind“.

Hier zeigt sich erneut, dass der Datenschutz nicht etwa die Entwicklung von KI behindert, wenn denn der Datenschutz richtig verstanden und angewendet wird.

(ID:50619851)

Weiterführende Inhalte