Pseudonym ist noch lange nicht anonym – 5 Mio. € gegen IQVIA und was MedTech daraus mitnehmen sollte

CNIL, Entscheidung vom 26.05.2026 – SAN-2026-008 (IQVIA Operations France)

Wer Gesundheitsdaten in großem Stil zusammenführt, kann sich nicht darauf zurückziehen, das Ergebnis sei „anonym“ und damit außerhalb der DSGVO. Genau diese Rechnung ist der französischen IQVIA-Gesellschaft nicht aufgegangen: Die CNIL hat 5 Mio. € verhängt.

Der Sachverhalt in Kürze

IQVIA erstellt Studien für die Pharmaindustrie und betrieb dafür zwei behördlich genehmigte Gesundheitsdaten-Warehouses. Gespeist wurden diese aus rund 14.000 Apotheken sowie von mehreren tausend Ärztinnen und Ärzten. Bei der Kontrolle zeigte sich: Betroffene wurden nicht ordnungsgemäß informiert, Betroffenenrechte liefen faktisch ins Leere, und die technischen Schutzmaßnahmen blieben hinter dem Erforderlichen zurück.

Die Verteidigungslinie des Unternehmens: Die Bestände seien anonym, folglich greife das Datenschutzrecht gar nicht.

Warum die Behörde das anders sah

Nach Auffassung der CNIL lagen keine anonymen, sondern pseudonyme Daten vor, weil eine Rückführung auf einzelne Personen mit vertretbarem Aufwand möglich blieb. Drei Erwägungen trugen dieses Ergebnis:

1. Ein durchgängiger Identifikator je Patient, der sämtliche Datenpunkte einer Person miteinander verklammert.
2. Der Detailgrad der Bestände – unter anderem Geburtsjahr, Geschlecht, behandelnder Hausarzt, Verordnungen, Diagnosen, Beschwerden, Unverträglichkeiten, Körpermaße, Vitalwerte, Impfstatus, durchgeführte Untersuchungen und Arbeitsunfähigkeitszeiten.
3. Die Verknüpfbarkeit mit frei zugänglichen Quellen. Wie niedrig diese Hürde tatsächlich liegt, führte der Berichterstatter praktisch vor: Über eine Selbsthilfegruppe in einem sozialen Netzwerk war eine Studienteilnehmerin binnen weniger Minuten zuzuordnen.

Zwei weitere Punkte sind für die Praxis besonders relevant:

• Vertragliche Re-Identifizierungsverbote reichen nicht. Untersagt man Partnern per Vereinbarung die Rückführung, ändert das an der objektiven Möglichkeit nichts. Ein gesetzliches Verbot mag anders zu bewerten sein – eine Klausel im Vertrag ist kein Ersatz dafür.
• Auf die Absicht kommt es nicht an. Dass niemand im Unternehmen re-identifizieren wollte, hat die CNIL ausdrücklich für unerheblich gehalten. Maßgeblich ist allein, ob es ginge.

Die Einordnung zum SRB-Urteil des EuGH

Das Unternehmen konnte sich auf eine für Datenverarbeiter durchaus günstige Linie berufen: Der EuGH hatte am 04.09.2025 (C-413/23 P, „SRB“) einen relativen Maßstab bestätigt. Dieselben pseudonymisierten Datensätze können danach beim Schlüsselinhaber personenbezogen und zugleich bei einem Dritten ohne Zugriff auf Zuordnungsmittel anonym sein.

Die CNIL zieht die Grenze dort, wo die Rolle wechselt: IQVIA war kein Empfänger am Ende einer Kette, sondern von der Erhebung an Verantwortlicher der gesamten Verarbeitung – und derjenige, der die Zusammenführung überhaupt erst herstellt. Die Relativität aus dem SRB-Urteil entlastet den Dritten ohne Schlüssel. Sie entlastet nicht denjenigen, der das Warehouse konzipiert, befüllt und die Verknüpfungslogik in der Hand hat.

Was zusätzlich beanstandet wurde

Neben der Anonymitätsfrage rügte die Behörde konkrete Umsetzungsdefizite: Zugriffsprotokolle wurden nicht systematisch ausgewertet, eine Mehr-Faktor-Authentifizierung fehlte, die Patienteninformation war fehlerhaft und ein funktionierendes Widerspruchsverfahren nicht eingerichtet. Hinzu kam, dass ein Teil der Apotheken die eigenen Kundinnen und Kunden nicht korrekt über die Weitergabe aufklärte und die eingesetzte Apothekensoftware Patientendaten ohne Einwilligung übermittelte – ein klassischer Privacy-by-Design-Verstoß, der bereits in der Produktarchitektur angelegt war.

Bei der Bemessung wirkten die Sensibilität der Kategorie, das Volumen (mehrere zehn Millionen Betroffene), die Marktstellung und die Finanzkraft erhöhend. Mildernd berücksichtigt wurde immerhin die vorgenommene Pseudonymisierung, weil eine unmittelbare Identifizierung dadurch ausschied.

Dos

• Anonymität nachweisbar herleiten und nicht einfach behaupten. Dokumentieren Sie je Datenbestand, welche Angriffsszenarien (Singling out, Verknüpfung, Inferenz) geprüft und wie sie ausgeschlossen wurden.
• Nach Konstellation differenzieren. Was gegenüber einem externen Empfänger anonym sein kann, bleibt intern personenbezogen. Legen Sie für jede Empfängerrolle getrennt fest, welcher Status gilt.
• Identifikatoren angreifen, nicht nur maskieren. Prüfen Sie Aggregation, k-Anonymität, Rauschen, Generalisierung von Datumsangaben und die Trennung längsschnittfähiger Verläufe.
• Datentiefe aktiv begrenzen. Jedes zusätzliche Merkmal – Vitalwert, Verordnung, Behandlerangabe – verkleinert die Vergleichsgruppe. Weniger Attribute sind hier auch juristisch das robustere Design.
• Die Basisprozesse belastbar aufsetzen: verständliche Patienteninformation, funktionierender Widerspruchsweg, Auswertung von Zugriffsprotokollen, MFA für privilegierte Zugänge.
• Die Quelle mitdenken. Wenn Kliniken, Praxen oder Apotheken für Sie erheben, gehört deren Informations- und Rechtsgrundlagenkette zu Ihrem Risiko – bis in die Konfiguration der eingesetzten Software hinein.
• Genehmigungen laufend nachhalten. Eine behördliche Freigabe schützt nur, soweit die Praxis ihr auch entspricht.

Don’ts

• Nicht auf das SRB-Urteil setzen, wenn Sie selbst die Zusammenführung verantworten. Der relative Maßstab hilft dem Dritten ohne Zuordnungsmittel – nicht dem Betreiber des Datenbestands.
• Kein Vertrauen auf Vertragsklauseln als Anonymitätsargument. Ein Re-Identifizierungsverbot ist eine sinnvolle Ergänzung, aber kein Ersatz für technische Wirksamkeit.
• Die fehlende Absicht nicht als Argument führen. Geprüft wird die Möglichkeit, nicht das Motiv.
• „Pseudonymisiert“ und „anonym“ nicht synonym verwenden – weder intern, noch in Verzeichnissen, Datenschutzhinweisen oder gegenüber Kunden.
• Öffentlich verfügbare Quellen nicht ausblenden. Soziale Netzwerke, Patientenforen und Register gehören in die Risikobetrachtung.
• KI-Trainingsdaten nicht als Sonderfall behandeln. Für Real-World-Evidence-Produkte, Registerauswertungen und Modelltraining gilt derselbe Maßstab.

Für MedTech konkret: Betroffen ist jeder, der Post-Market-Surveillance-Daten, Geräte-Telemetrie, Registerdaten oder RWE-Datensätze mit stabilen Kennungen über die Zeit fortschreibt. Die Kombination aus durchgängigem Identifikator und wachsendem Merkmalsumfang ist genau das Muster, das die CNIL hier für nicht anonymisierbar gehalten hat.

Gegen Entscheidungen der CNIL steht der Rechtsweg offen – der Fall ist damit nicht zwingend abschließend entschieden. An der Prüfsystematik ändert das für die Praxis wenig.