EuGH-Urteil klärt: Wann sind pseudonymisierte Daten personenbezogen?
Hellmut Rudolph
EuGH-Urteil klärt: Wann sind pseudonymisierte Daten personenbezogen?
Der Europäische Gerichtshof (EuGH) hat in einem aktuellen Urteil den rechtlichen Status pseudonymisierter Daten präzisiert. Die Entscheidung bestätigt, dass solche Daten nicht automatisch als personenbezogene Informationen gelten – entscheidend ist vielmehr, wer sie verarbeitet und auf welche Weise. Dieses Urteil hat Auswirkungen darauf, wie Unternehmen und KI-Entwickler Daten im Einklang mit Datenschutzbestimmungen verarbeiten.
Der EuGH stellte klar, dass pseudonymisierte Daten nicht per se als personenbezogene Daten einzustufen sind. Ausschlaggebend ist stattdessen, ob die Organisation, die sie verarbeitet, die Informationen einer identifizierbaren Person zuordnen kann. Selbst wenn zusätzliche Details an anderer Stelle existieren, die theoretisch die Identität einer Person offenlegen könnten, macht dies die Daten nicht für jeden Beteiligten automatisch zu personenbezogenen Daten.
Das Gericht betonte, dass die Einordnung davon abhängt, wer die Kontrolle über die Daten hat. So können Daten, die in den Händen einer Organisation als anonym gelten, bei der Weitergabe an eine andere Stelle plötzlich personenbezogen werden – nämlich dann, wenn der neue Verantwortliche über die Mittel verfügt, um die betroffenen Personen zu reidentifizieren.
KI-Systeme, die mit personenbezogenen Daten trainiert werden, behalten in der Regel einen Personenbezug und unterliegen damit den Datenschutzregeln. Sind Daten jedoch wirklich anonymisiert – also ohne jede Möglichkeit, sie einer bestimmten Person zuzuordnen –, fallen sie nicht mehr unter diese Vorschriften. Die Richter wiesen darauf hin, dass pseudonymisierte Daten solange geschützt bleiben, bis die identifizierenden Merkmale dauerhaft und sicher getrennt wurden.
Cashback bei deinen
Lieblingsrestaurants und Services
Kaufe Gutscheine und spare in deinen Lieblingsorten in deiner Nähe
Die Entscheidung schafft mehr Klarheit darüber, wann pseudonymisierte Daten als personenbezogen gelten. Organisationen müssen nun stärker prüfen, ob sie selbst in der Lage sind, aus solchen Daten Rückschlüsse auf Einzelpersonen zu ziehen. Für KI-Entwickler und Datenverantwortliche bedeutet dies, dass sie ihre Verarbeitungsmethoden strenger darauf überprüfen müssen, ob sie den Datenschutzbestimmungen entsprechen.
