28.10.2026 |

DSGVO gilt nicht immer bei personenbezogenen Daten.

Eigentlich gilt der Grundsatz, dass auch identifizierende Daten von Menschen dem Datenschutz unterliegen, wenn sie durch Kennzeichen ersetzt werden. Eigentlich. Der Europäische Gerichtshof macht davon aber eine Ausnahme. Der Richterspruch hat weitreichende Folgen für Unternehmen.

Firmen mit Sitz in der Europäischen Union (EU), die personenbezogene Daten an andere übermitteln wollen, unterliegen regelmäßig der EU-Datenschutzgrundverordnung (der DSGVO). Was es rechtlich zu beachten gilt, hängt unter anderem davon ab, in welche anderen Länder die personenbezogenen Daten geroutet werden sollen. Dreh- und Angelpunkt ist dabei aber immer, dass es sich um personenbezogene Daten handelt. Fehlt es daran, kommt die DSGVO nicht zur Anwendung.

Ersetzt ein Unternehmen hingegen die personenbezogenen Daten durch Attribute und hat der Empfänger so gut wie keine (legale) Möglichkeit zur Identifizierung einer natürlichen Person, so liegen für die empfangende Company keine personenbezogenen Daten vor – so der Europäische Gerichtshof (EuGH) in seiner Entscheidung „EDSB gegen SRB“. Zitat des EuGH: „Denn die Pseudonymisierung kann – je nach den Umständen des Einzelfalls – andere Personen als den Verantwortlichen tatsächlich an einer Identifizierung der betroffenen Person hindern, so dass letztere für sie nicht oder nicht mehr identifizierbar ist“.

 

Beispiel für fehlende personenbezogene Daten.

Der EuGH kommt – wie immer – abstrakt daher. Nimmt man seine Aussagen aber genau, so ergeben sich handfeste Auswirkungen insbesondere für Unternehmen. Liegt eine Pseudonymisierung vor (die Ersetzung personenbezogener Daten beispielsweise durch Zahlen) ist die EU-Datenschutzgrundverordnung in bestimmten Fällen nicht anwendbar.

Folgendes Beispiel: Das Unternehmen U arbeitet mit der externen Personalberatung X zusammen. Gegenstand des Auftrages ist, dass X bestimmte Parameter von Mitarbeitenden auswerten soll, wer von den Mitarbeitenden für eine Führungsposition in Betracht kommt. Firma U sammelt die personenbezogenen Daten, vergibt eine Kennung (für den Mitarbeiter A die Nummer 4711, für die Mitarbeitende B die Nummer 4813, usw.). Das Unternehmen übermittelt die Parameter einschließlich der zugehörigen Chiffre an die externe Personalberatung X – aber nicht die Namen der Mitarbeitenden. Die Firma U hat zahlreiche technische und organisatorische Maßnahmen getroffen, wonach es der Personalberatung X nahezu unmöglich ist, einen Rückschluss ziehen zu können, welcher Beschäftigte sich tatsächlich hinter der Nummer verbirgt.

 

Auswirkungen in der Praxis und Schutzmaßnahmen.

Nimmt man den Richterspruch, so liegen bei genannter Kennzeichenersetzung keine personenbezogene Daten vor. Das muss aber nicht nur für die empfangende Company gelten, sondern auch für das übermittelnde Unternehmen. Folge: Es sind gar keine gesonderten Verträge zum Datenschutz abzuschließen. Das ist unter Juristen hoch umstritten. Aber: Wo soll das Risiko für betroffene Personen liegen, wenn der Empfänger keine Identifizierung vornehmen kann?

Das befreit Firmenlenker aber nicht vor der Installation von Schutzmaßnahmen. Sie müssen dabei insbesondere drei Aufgaben erfüllen:

  • Anwendungsfälle prüfen: Wo können externe Auswertungen mit konsequent pseudonymisierten Daten erfolgen?
  • Identifizierung ausschließen: Zuordnungsschlüssel getrennt halten und auch eine Identifizierung über weitere Daten verhindern.
  • Bewertung dokumentieren: Die tatsächlichen Zugriffsmöglichkeiten des Empfängers und die Wirksamkeit der Schutzmaßnahmen nachvollziehbar festhalten.

Kostet Geld, kostet Zeit, kostet auch nervige Auseinandersetzungen mit den Fachbereichen. Lohnt sich aber am Ende des Tages.

 

 

Von Prof. Dr. jur. Noogie C. Kaufmann (Master of Arts)

AI-Privacy-Expert (GDDcert. EU)

 

Bildnachweis: Foto von Vadim Bogulov auf Unsplash