Mit der Veröffentlichung der Leitlinien zur Pseudonymisierung durch den Europäischen Datenschutzausschuss (EDSA) vom 17. Januar 2025 und der Entscheidung des Europäischen Gerichtshofs (EuGH) vom 4. September 2025 in der Rechtssache C-413/23 P (EDSB/SRB) wurde der unionsrechtliche Begriff der Pseudonymisierung neu konturiert. Beide Dokumente schließen eine bislang relevante Auslegungslücke: Sie präzisieren, wie Pseudonymisierung technisch und rechtlich einzuordnen ist, welches Schutzniveau sie garantiert und unter welchen Bedingungen pseudonymisierte Daten weiterhin als personenbezogene Daten zu qualifizieren sind.
Definition & Technik: Pseudonymisierung vs. Anonymisierung erklärt
Nach Art. 4 Nr. 5 DSGVO bezeichnet Pseudonymisierung eine Verarbeitung personenbezogener Daten, bei der diese ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können. Die für die Zuordnung erforderlichen Zusatzinformationen müssen gesondert aufbewahrt und durch technische und organisatorische Maßnahmen geschützt werden.
Der EDSA betont in seinen Leitlinien, dass Pseudonymisierung kein einheitliches Verfahren, sondern ein Bündel technischer und organisatorischer Maßnahmen darstellt, die dem aktuellen Stand der Technik entsprechen müssen. Dazu gehören unter anderem Tokenisierung, die Trennung von Identifikations- und Inhaltsdaten sowie kryptographische Verfahren mit abgesichertem Schlüsselmanagement.
Zentral ist die Abgrenzung zur Anonymisierung. Während pseudonymisierte Daten weiterhin personenbezogene Daten darstellen, wird durch Anonymisierung eine Identifizierung dauerhaft und realistisch ausgeschlossen. Pseudonymisierte Daten fallen daher aus Sicht des Verantwortlichen vollständig unter die DSGVO, anonymisierte Daten dagegen nicht.
Der EuGH bestätigt diese Differenzierung ausdrücklich und weist darauf hin, dass bereits inhaltliche Informationen (z. B. persönliche Meinungen oder Wertungen) eine Personenbeziehbarkeit begründen können, selbst wenn formale Identifikatoren entfernt wurden.
Zweck der Pseudonymisierung und Bedeutung für Verantwortliche
Pseudonymisierung dient primär der Risikominimierung. Durch die Trennung der Identifikationsmerkmale vom eigentlichen Datenmaterial wird das Schadenspotenzial bei Verlust oder unbefugtem Zugriff deutlich reduziert. Dies unterstützt die Einhaltung der Datenschutzgrundsätze nach Art. 5 Abs. 1 lit. c und lit. f DSGVO (Datenminimierung, Integrität und Vertraulichkeit).
Darüber hinaus entfaltet sie eine Compliance-Funktion für zentrale Pflichten der DSGVO. Sie dient als technische Maßnahme, die eine datensparsame Gestaltung fördert (Art. 25 DSGVO) und als Sicherheitsinstrument (Art. 32 DSGVO). Zudem ist die Pseudonymisierung oft ein zentrales Ergebnis einer Datenschutz-Folgenabschätzung (DSFA), um hohe Risiken für die Betroffenen effektiv zu senken.
Pseudonymisierung kann somit eine wirksame Schutzmaßnahme im Sinne der DSGVO darstellen, vorausgesetzt, die technischen und organisatorischen Anforderungen sind ausreichend implementiert.
Daneben kann Pseudonymisierung Rechtmäßigkeitsfragen erleichtern. Durch sie wird die Position des Verantwortlichen bei der Berufung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) gestärkt, indem sie die Risiken für Betroffene senkt und wirkt sich positiv auf die Prüfung der Zweckvereinbarkeit nach Art. 6 Abs. 4 DSGVO aus, insbesondere bei Forschungsvorhaben, statistischen Analysen oder Weiterverarbeitungen. Der EuGH bestätigte in seiner Rechtsprechung, dass Pseudonymisierung jedoch weiterhin keine Rechtsgrundlage oder das Erfordernis der Transparenz ersetzt.
EuGH Urteil C-413/23 P: Wann sind pseudonymisierte Daten personenbezogen?
Nach dem Urteil C-413/23 P bleibt für die Qualifikation als personenbezogene Daten entscheidend, ob der Verantwortliche über Mittel verfügt, um eine Person zu identifizieren. Die Perspektive eines Datenempfängers, der selbst keine Re-Identifizierung vornehmen kann, ist rechtlich unerheblich. Daraus resultiert, dass bereits bei Erhebung Informationspflichten nach Art. 13 und 14 DSGVO bestehen und nicht erst im Hinblick auf die Sichtweise eines späteren Dritten.
In der Leitlinie werden auch weitere Anforderungen an eine wirksame Pseudonymisierung konkretisiert, etwa eine sichere Schlüsselverwaltung, Zugriffskontrollen und Protokollierung, Schutz gegen unbefugte Rückführung und Risikoanalysen. Die Wirksamkeit der Pseudonymisierung hängt daher im Wesentlichen davon ab, wie robust die Architektur gegen eine unbefugte Re-Identifizierung durch Dritte oder Insider geschützt ist.
Ein weiterer Schwerpunkt der Leitlinien betrifft die Zusammenarbeit zwischen Verantwortlichen, insbesondere zwischen Behörden, die verschiedene pseudonymisierte Datensätze rechtlich verknüpfen müssen. Der EDSA hebt hervor, dass es dabei sinnvoll sein kann, Mechanismen zur Pseudonymisierung gemeinsam zu entwickeln oder auszutauschen sowie zentrale Anlaufstellen für die Koordinierung und das Management von Verstößen einzurichten. Diese Aspekte unterstreichen, dass Pseudonymisierung nicht allein eine technische Disziplin ist, sondern zunehmend eine interinstitutionelle organisatorische Aufgabe darstellt – insbesondere dort, wo mehrere Stellen gemeinsame Verantwortlichkeiten oder parallellaufende Aufsichtszuständigkeiten haben. Die praktische Notwendigkeit einer solchen abgestimmten Zusammenarbeit zeigt sich auch im Zusammenspiel zwischen Datenschutz- und Wettbewerbsbehörden.
Bereits im Urteil vom 4. Juli 2023 (ECLI:EU:C:2023:537 –Meta/Bundeskartellamt) stellte der EuGH klar, dass das Bundeskartellamt zwar nicht als Datenschutzaufsichtsbehörde im Sinne des Art. 58 DSGVO tätig werden darf, jedoch im Rahmen seiner wettbewerbsrechtlichen Ermittlungen die Unvereinbarkeit einer Datenverarbeitung mit der DSGVO feststellen kann, sofern diese Feststellung für die Beurteilung eines Missbrauchs einer marktbeherrschenden Stellung erforderlich ist. Dieser Ansatz wird in einem gesonderten Positionspapier des EDSA nochmals vertieft. Er verdeutlicht, dass Pseudonymisierung und deren rechtliche Bewertung zunehmend an den Schnittstellen unterschiedlicher Regulierungsregime relevant wird und eine koordinierte Behördenpraxis notwendig ist.
Praktische Konsequenzen
Um der gesetzlichen Rechenschaftspflicht (Accountability) nachzukommen, müssen Verantwortliche Verfahren, Schlüsselverwaltung und Risikoabwägungen nachweisbar dokumentieren. Pseudonymisierung ist nur dann rechtssicher, wenn der Verantwortliche den Nachweis der Wirksamkeit erbringen kann. Eine unbefugte Re-Identifizierung oder ein Verlust der Zusatzinformationen stellt eine Verletzung des Schutzes personenbezogener Daten dar und kann Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) auslösen.
Sie dient jedoch auch als geeignetes Schutzinstrument im Rahmen von Art. 44 ff. DSGVO zur Übermittlung von Daten in ein Drittland, ersetzt dabei aber nicht die erforderlichen rechtlichen Garantien, wie Standardvertragsklauseln oder Transfer Impact Assessments.
Pseudonymisierung ist ein zentrales, technisch effektives und juristisch bedeutsames Instrument des Datenschutzes, das die Verarbeitung personenbezogener Daten erleichtert und sicherer gestaltet. Sie wirkt entlastend für Verantwortliche und stärkt die Rechtssicherheit vieler Verarbeitungsvorgänge. Jedoch bleibt der personenbezogene Charakter bei der Pseudonymisierung bestehen, sodass eine sichere Implementierung, sorgfältige Dokumentation und ein kohärentes Datenschutzkonzept erforderlich sind.
Gerne helfen wir Ihnen bei der Erstellung und Implementierung entsprechender rechtssicherer Dokumente.
Kontaktieren Sie uns gerne für eine Beratung.
Häufig gestellte Fragen zu Pseudonymisierung nach DSGVO
Die EDSA-Leitlinien vom Januar 2025 und das EuGH-Urteil vom September 2025 haben den unionsrechtlichen Begriff neu konturiert. Beide Dokumente schließen eine Auslegungslücke und präzisieren die technische sowie rechtliche Einordnung. Dabei wird klar definiert, welches Schutzniveau garantiert werden muss und wann pseudonymisierte Daten weiterhin als personenbezogen gelten.
Nach Art. 4 Nr. 5 DSGVO ist dies eine Verarbeitung, bei der personenbezogene Daten ohne zusätzliche Informationen nicht mehr einer spezifischen Person zugeordnet werden können. Diese zwingend erforderlichen Zusatzinformationen müssen gesondert aufbewahrt werden. Zudem sind sie durch angemessene technische und organisatorische Maßnahmen streng vor unbefugtem Zugriff zu schützen.
Der EDSA betont, dass Pseudonymisierung kein einzelnes Verfahren ist, sondern ein Bündel aktueller technischer und organisatorischer Maßnahmen. Dazu zählen beispielsweise die Tokenisierung und die strikte Trennung von Identifikations- und Inhaltsdaten. Auch kryptographische Verfahren mit einem abgesicherten Schlüsselmanagement sind hierfür wesentliche Bestandteile.
Pseudonymisierte Daten stellen weiterhin personenbezogene Daten dar und unterliegen somit vollständig der DSGVO. Bei der Anonymisierung hingegen wird eine Identifizierung von Personen dauerhaft und realistisch ausgeschlossen, weshalb diese Daten aus dem Anwendungsbereich der DSGVO fallen. Der EuGH wies zudem darauf hin, dass bereits inhaltliche Informationen, wie persönliche Wertungen, eine Personenbeziehbarkeit begründen können.
Sie dient in erster Linie der Risikominimierung bei der Datenverarbeitung. Durch die Trennung der Identifikationsmerkmale vom eigentlichen Datenmaterial wird das Schadenspotenzial bei Datenverlusten erheblich reduziert. Dies unterstützt Verantwortliche direkt bei der Einhaltung zentraler Datenschutzgrundsätze wie Datenminimierung, Integrität und Vertraulichkeit.
Nein, die Pseudonymisierung ersetzt weder eine erforderliche Rechtsgrundlage noch die gesetzlichen Transparenzpflichten. Sie kann jedoch Rechtmäßigkeitsfragen erleichtern, beispielsweise indem sie die Position des Verantwortlichen bei der Berufung auf das „berechtigte Interesse“ stärkt. Zudem wirkt sie sich positiv auf die Prüfung der Zweckvereinbarkeit aus, etwa bei komplexen Forschungsvorhaben.
Das EuGH-Urteil C-413/23 P stellt klar, dass Daten personenbezogen bleiben, wenn der Verantwortliche selbst über die Mittel zur Re-Identifizierung verfügt. Die Perspektive eines reinen Datenempfängers, der diese Möglichkeit nicht hat, ist dabei rechtlich unerheblich. Folglich bestehen die Informationspflichten nach DSGVO bereits vollumfänglich bei der Datenerhebung.
Pseudonymisierung wird zunehmend zu einer organisatorischen Aufgabe an den Schnittstellen verschiedener Regulierungsbehörden. Der EDSA empfiehlt bei der Verknüpfung von Datensätzen gemeinsame Mechanismen sowie zentrale Anlaufstellen. Auch Kartellämter prüfen datenschutzrechtliche Aspekte, was die Notwendigkeit einer koordinierten Behördenpraxis bei pseudonymisierten Daten unterstreicht.
Eine unbefugte Re-Identifizierung oder der bloße Verlust der zur Pseudonymisierung gehörenden Zusatzinformationen stellt eine klare Verletzung des Schutzes personenbezogener Daten dar. Ein solcher Vorfall kann sofortige Meldepflichten gegenüber der zuständigen Aufsichtsbehörde nach Art. 33 DSGVO auslösen. Eine sichere und robuste IT-Architektur ist daher zwingend erforderlich.
Um der gesetzlichen Rechenschaftspflicht (Accountability) nachzukommen, müssen Verantwortliche ihre Verfahren, die Schlüsselverwaltung und Risikoabwägungen lückenlos dokumentieren. Die Pseudonymisierung ist rechtlich nur dann sicher, wenn der Nachweis ihrer Wirksamkeit erbracht werden kann. Sie dient zwar als Schutzinstrument bei Datentransfers in Drittländer, ersetzt dabei aber keine rechtlichen Garantien wie Standardvertragsklauseln.
