Pseudonymisierte Daten und ihre Weitergabe an Dritte

Kernaussagen des Urteils: Eine Zusammenfassung

Personenbezug von Meinungsäußerungen

Persönliche Meinungen und Sichtweisen konstituieren personenbezogene Daten. Diese müssen nicht in jedem Fall hinsichtlich ihres Inhalts, Verwendungszwecks oder ihrer Auswirkungen geprüft werden, um ihren Personenbezug zu erkennen.

Relative Identifizierbarkeit pseudonymisierter Daten

Pseudonymisierung bedeutet nicht automatisch, dass Daten für jede andere Person als den Verantwortlichen identifizierbar sind. Ausschließlich wenn Dritte über die Mittel verfügen, die betroffene Person zu identifizieren, gelten die Daten auch für sie als personenbezogen.

Zeitpunkt der Informationspflicht

Die Informationspflicht nach Art. 15 Abs. 1 Buchst. d ist bereits zum Zeitpunkt der Erhebung personenbezogener Daten durch den Verantwortlichen zu erfüllen. Dies ist unabhängig davon, wie der Drittempfänger die Daten beim Empfang klassifiziert – ob als anonymisiert oder personenbezogen.

Hintergrund: Die Abwicklung der Banco Popular Español

Der Ausgangssachverhalt

Der Rechtsstreit nimmt seinen Ursprung in der Abwicklung der Banco Popular Español SA. Am 7. Juni 2017 beschloss das Single Resolution Board (SRB) – ein europäisches Gremium für Bankenabwicklungen – die Abwicklung der Bank, nachdem die gesetzlichen Voraussetzungen hierfür erfüllt waren. Im Zuge dessen wurden die Geschäftsanteile an einen Erwerber übertragen sowie bestimmte Kapitalinstrumente herabgeschrieben oder konvertiert. Die Europäische Kommission genehmigte diesen Abwicklungsplan am selben Tag.

Die Bewertungsprüfung durch Deloitte

Nach Vollzug der Abwicklung mandatierte das SRB die Wirtschaftsprüfungsgesellschaft Deloitte mit einer umfassenden Bewertung. Deren Aufgabe bestand darin zu evaluieren, ob die Aktionäre und Gläubiger der Bank im Vergleich zu einem regulären Insolvenzverfahren besser oder schlechter gestellt wurden. Diese Bewertungsprüfung fand ihren Abschluss im Juni 2018.

Im August 2018 publizierte das SRB eine vorläufige Entscheidung und forderte die betroffenen Aktionäre sowie Gläubiger auf, ihr Interesse an einer Anhörung zu bekunden, um abschließend über potenzielle Entschädigungsansprüche zu entscheiden.

Datenverarbeitung: Das technische Verfahren im Detail

Registrierungsphase und Zugriffsberechtigungen

Während der Registrierungsphase wurden die personenbezogenen Daten der betroffenen Aktionäre und Gläubiger sowie Nachweise über deren Kapitalinstrumente ausschließlich einem limitierten Kreis von SRB-Mitarbeitern zugänglich gemacht. Diese autorisierten Personen mussten die Informationen verarbeiten, um über mögliche Kompensationsansprüche zu befinden.

Pseudonymisierung durch alphanumerische Codes

Die Mitarbeiter, welche in der nachfolgenden Phase die eingereichten Stellungnahmen aus der Konsultationsphase bearbeiteten, verfügten über keinerlei Zugriff auf diese personenbezogenen Daten. Jede einzelne Stellungnahme war mit einem 33-stelligen, randomisiert generierten alphanumerischen Code versehen, der die Identität der Verfasser verschlüsselte und anonymisierte.

Systematische Bearbeitung der Stellungnahmen

In einem ersten Verarbeitungsschritt sortierte das SRB die 23.822 eingereichten Stellungnahmen von 2.855 Beteiligten und identifizierte dabei 20.101 Duplikate. Ausschließlich die Erstversion jeder identischen Stellungnahme wurde einer inhaltlichen Prüfung unterzogen.

Im zweiten Verarbeitungsschritt erfolgte eine thematische Kategorisierung der relevanten Stellungnahmen: 3.730 Stellungnahmen wurden identifiziert, die entweder die vorläufige Entscheidung des SRB oder die Bewertungsprüfung von Deloitte betrafen. Während das SRB die Stellungnahmen zur vorläufigen Entscheidung eigenständig bearbeitete, wurden die 1.104 Stellungnahmen zur Bewertung am 17. Juni 2019 über einen gesicherten Server an Deloitte übermittelt. Lediglich eine limitierte Anzahl autorisierter Deloitte-Mitarbeiter konnte auf diese Dokumente zugreifen.

Informationsseparierung bei Deloitte

Deloitte erhielt ausschließlich die Stellungnahmen mit alphanumerischem Identifikationscode, ohne jeglichen Zugriff auf die ursprünglichen Registrierungsdaten oder Identifizierungsinformationen. Duplikate wurden eliminiert, sodass Deloitte nicht rekonstruieren konnte, ob mehrere Personen identische Stellungnahmen eingereicht hatten. Der Code diente lediglich der Nachvollziehbarkeit und Beweissicherung. Deloitte verfügte zu keinem Zeitpunkt über Zugang zu den personenbezogenen Daten der Beteiligten.

Die datenschutzrechtliche Beschwerde

Im Oktober und Dezember 2019 reichten betroffene Aktionäre und Gläubiger beim Europäischen Datenschutzausschuss (EDSB) fünf Beschwerden ein. Der zentrale Vorwurf lautete: Sie seien nicht darüber informiert worden, dass ihre im Fragebogen erhobenen Daten an Deloitte und Banco Santander weitergegeben würden. Die Beschwerdeführer beriefen sich auf die Datenschutz-Grundverordnung (DSGVO) und sahen einen Verstoß gegen deren Art. 15 Abs. 1 Buchst. d.

Der EDSB kam in seiner Entscheidung zu dem Schluss, dass das SRB gegen Art. 15 der Verordnung 2018/1725 verstoßen hatte, da die Betroffenen nicht über die potenzielle Weitergabe ihrer personenbezogenen Daten an Deloitte informiert wurden.

Als Konsequenz verwarnte der EDSB das SRB gemäß Art. 58 Abs. 2 Buchst. b DSGVO für diesen Verstoß. Der EDSB qualifizierte die vom SRB an Deloitte übermittelten Daten als pseudonymisiert, da die Stellungnahmen personenbezogene Daten enthielten und über einen alphanumerischen Code verknüpft werden konnten, obwohl Deloitte keine direkten Identifikationsangaben erhielt. Deloitte wurde nach Auffassung des EDSB dennoch als Empfänger personenbezogener Daten im Sinne von Art. 3 Nr. 13 der Verordnung 2018/1725 eingestuft.

Das Verfahren vor dem EuGH

Beanstandung durch das SRB

Das SRB beanstandete diese Entscheidung vor dem Europäischen Gerichtshof. Folgende zwei zentrale Punkte seien nach Ansicht des SRB fehlerhaft ausgelegt worden:

1. Voraussetzung gemäß Art. 3 Nr. 1 der Verordnung 2018/1725, dass sich die Informationen auf eine natürliche Person „beziehen“
2. Voraussetzung gemäß Art. 3 Nr. 1 der Verordnung 2018/1725, dass sich die Informationen auf eine „identifizierbare“ natürliche Person beziehen

Personenbezug von Meinungsäußerungen

Der EDSB argumentierte, dass die an Deloitte übermittelten Stellungnahmen personenbezogene Daten darstellten, da sie persönliche Meinungen und Sichtweisen der betroffenen Anteilseigner und Gläubiger enthielten. Datenschutzbehörden müssten nicht in jedem Fall den spezifischen Inhalt, Verwendungszweck oder die konkreten Auswirkungen prüfen, um zu erkennen, dass es sich um personenbezogene Daten handelt, da die Stellungnahmen eindeutig mit identifizierbaren Personen verbunden seien.

Das vorinstanzliche Gericht hatte hingegen gefordert, dass Inhalt, Zweck und Auswirkungen der Stellungnahmen geprüft werden müssten, um deren Personenbezug festzustellen.

Klarstellung des Gerichtshofs

Der Gerichtshof stellt unmissverständlich klar, dass persönliche Meinungen oder Sichtweisen automatisch personenbezogene Daten konstituieren, weil sie untrennbar mit der Person verbunden sind, die sie äußert. Daher stellte es einen Rechtsfehler des Gerichts dar zu fordern, der EDSB hätte zusätzliche Prüfungen vornehmen müssen. Dem ersten Teil des Rechtsmittelgrundes war stattzugeben.

Identifizierbarkeit pseudonymisierter Daten

Der EDSB beanstandete, dass das vorinstanzliche Gericht fälschlicherweise entschieden habe, die an Deloitte übermittelten Stellungnahmen seien nicht auf eine „identifizierbare“ Person bezogen. Er argumentierte, dass pseudonymisierte Daten stets personenbezogen seien, wenn sie mit zusätzlichen Informationen einer Person zugeordnet werden könnten.

Entscheidende Differenzierung des Gerichtshofs

Der Gerichtshof stellt jedoch unmissverständlich klar, dass Pseudonymisierung nicht automatisch bedeutet, dass Daten für jede andere Person als den Verantwortlichen identifizierbar sind. Ausschließlich wenn Dritte über die Mittel verfügen, die betroffene Person zu identifizieren, gelten die Daten auch für sie als personenbezogen. Daher muss nicht jede pseudonymisierte Information automatisch als personenbezogen qualifiziert werden. Die Rüge des EDSB wurde in diesem Punkt zurückgewiesen.

Informationspflicht des Verantwortlichen

Der zweite Teil des ersten Rechtsmittelgrundes betrifft die Auslegung der Voraussetzung der „Identifizierbarkeit“ nach Art. 3 Nr. 1 der Verordnung 2018/1725. Der EDSB rügte, dass das Gericht die Identifizierbarkeit der betroffenen Personen aus der Perspektive des Empfängers (Deloitte) hätte evaluieren müssen.

Der Gerichtshof stellt hingegen eindeutig klar, dass die Informationspflicht nach Art. 15 Abs. 1 Buchst. d bereits zum Zeitpunkt der Erhebung personenbezogener Daten durch den Verantwortlichen (SRB) zu erfüllen ist und sich daher auf die Perspektive des Verantwortlichen bezieht. Es ist dabei unerheblich, ob ein späterer Empfänger die Daten als personenbezogen einstuft oder pseudonymisiert verarbeitet.

Die Pflicht, die betroffene Person über potenzielle Empfänger zu informieren, dient dem Zweck, dass diese in vollständiger Kenntnis aller relevanten Umstände über die Datenverarbeitung entscheiden und ihre Betroffenenrechte wahrnehmen kann. Der Gerichtshof hält daher die Rüge des EDSB für begründet, dass es ein Rechtsfehler war, die Identifizierbarkeit aus der Perspektive von Deloitte zu prüfen.

Implikationen für Unternehmen und Organisationen

Neue Spielräume bei der Datenverarbeitung

Die Entscheidung eröffnet Unternehmen neue Möglichkeiten: Daten lassen sich in pseudonymisierter Form an Dritte ohne den „Entschlüsselungsmechanismus“ weiterleiten und analysieren, ohne dass der Drittempfänger unmittelbar in die Regelungen der DSGVO fällt. Dies eröffnet die Möglichkeit, solche Datensätze relativ frei zu analysieren, ohne dass die DSGVO bzw. Verordnung 2018/1725 direkt greift – solange Dritte die Identifizierbarkeit nicht wiederherstellen können.

Dies ermöglicht weitreichende Möglichkeiten für innovative Geschäftsmodelle und Forschungsprojekte. Wie Unternehmen diese neuen Erkenntnisse in Zukunft handhaben werden und wie dieses EuGH-Urteil wegweisenden Einfluss auf zukünftige Datenanalysen nimmt, wird sich in der Praxis zeigen.

Auswirkungen auf Datenanalyse und Künstliche Intelligenz

KI-Modelle und Machine-Learning-Algorithmen, die auf pseudonymisierten Datensätzen trainiert werden, könnten künftig reichhaltige Informationen und Erkenntnisse gewinnen, ohne dass Unternehmen oder Forschungseinrichtungen direkt datenschutzrechtlich haften, sofern der Zugang zu Identifikationsinformationen fehlt. Dies könnte innovative Anwendungen und technologische Entwicklungen beschleunigen, etwa:

• Personalisierte Dienste und Empfehlungssysteme
• Risikobewertungen und Predictive Analytics
• Marktanalysen und Business Intelligence
• Medizinische Forschung und Diagnostik

All dies wird möglich, ohne dass die Datenbetroffenen unmittelbar tangiert sind.

Gleichzeitig verbleibt die datenschutzrechtliche Verantwortung beim ursprünglichen Datensammler: Wenn der Entschlüsselungsmechanismus existiert, sind die Daten weiterhin als personenbezogen zu qualifizieren, und der Umgang damit muss DSGVO-konform erfolgen.

Risiken und ethische Fragestellungen

Gefahr der Re-Identifikation

Unternehmen könnten in Versuchung geraten, sehr detaillierte Analysen auf pseudonymisierten Daten durchzuführen und daraus indirekt Profile zu erstellen, die die Identifizierbarkeit wiederherstellen könnten – dies ist rechtlich hochgradig problematisch und darf nicht außer Acht gelassen werden.

KI-spezifische Herausforderungen

KI-Modelle und neuronale Netze lernen oft komplexe Muster, die Rückschlüsse auf Einzelpersonen zulassen können (sogenannte Re-Identifikation über Inferenz oder Linking Attacks). Selbst pseudonymisierte Daten können durch KI-Algorithmen und externe Datenquellen potenziell deanonymisiert werden.

Technische und organisatorische Schutzmaßnahmen

Unternehmen müssen daher robuste technische und organisatorische Maßnahmen implementieren, um diese Risiken effektiv minimieren zu können:

Differential Privacy-Techniken: Diese mathematischen Verfahren fügen den Daten kontrolliertes statistisches Rauschen hinzu, sodass einzelne Datenpunkte nicht mehr eindeutig identifizierbar sind, während die Gesamtstatistik weitgehend erhalten bleibt. Dies ermöglicht aussagekräftige Analysen, ohne dass individuelle Personen rekonstruiert werden können.

K-Anonymität und L-Diversität: Bei der K-Anonymität wird sichergestellt, dass jede Person in einem Datensatz mindestens k-1 andere Personen mit identischen Attributen hat, wodurch die Zuordnung zu einer spezifischen Person erschwert wird. L-Diversität geht noch weiter und gewährleistet, dass sensible Attribute innerhalb dieser Gruppen ausreichend divers sind, um Rückschlüsse auf Einzelpersonen zu verhindern.

Strikte Zugriffskontrollen: Implementierung eines mehrstufigen Berechtigungskonzepts mit dem Need-to-Know-Prinzip, bei dem nur autorisierte Mitarbeiter mit nachgewiesenem berechtigtem Interesse Zugriff auf pseudonymisierte Datensätze erhalten. Dies umfasst technische Zugriffsbeschränkungen, Authentifizierungsverfahren und Protokollierung aller Datenzugriffe.

Regelmäßige Privacy Impact Assessments: Systematische Datenschutz-Folgenabschätzungen sollten in regelmäßigen Intervallen durchgeführt werden, um potenzielle Risiken für die Rechte und Freiheiten der Betroffenen frühzeitig zu identifizieren. Diese Assessments evaluieren die Verhältnismäßigkeit der Datenverarbeitung und identifizieren Schwachstellen im Datenschutzkonzept.

Monitoring von Re-Identifikationsrisiken: Kontinuierliche Überwachung und Bewertung der Re-Identifikationswahrscheinlichkeit durch technische Tools und Experten-Reviews. Dies beinhaltet die Analyse, ob durch Kombination mit externen Datenquellen oder durch fortgeschrittene Analysetechniken eine Wiederherstellung der Identifizierbarkeit möglich wäre, sowie die proaktive Anpassung der Schutzmaßnahmen bei erkannten Risiken.

Ausblick und Fazit

Fazit

Das Urteil eröffnet neue Spielräume für Datenanalyse und KI, betont aber zugleich die Verantwortung der Datenverarbeiter. Unternehmen müssen sorgfältig abwägen, wie weit Analysen gehen dürfen, um Datenschutzrisiken zu vermeiden. Die Herausforderung bleibt, Innovation und Datenschutz in ein ausgewogenes Verhältnis zu bringen.