{
    "slug": "eugh-c-413-23-p-pseudonymisierte-daten-personenbezug",
    "titre": "EuGH C-413/23 P (EDSB ./. SRB, VO 2018/1725) – Personenbezug pseudonymisierter Daten \u0026 Informationspflicht bei Weitergabe",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Mit Urteil vom 4. September 2025 in der Rechtssache C-413/23 P (EDSB ./. SRB) hat der Gerichtshof der Europäischen Union klargestellt, dass pseudonymisierte…",
    "resume_court": "Mit Urteil vom **4. September 2025** in der Rechtssache **C-413/23 P (EDSB ./. SRB)** hat der **Gerichtshof der Europäischen Union** klargestellt, dass **pseudonymisierte Daten nicht „in jedem Fall und für jede Person\u0022** personenbezogene Daten sind. Ob eine Person identifizierbar ist, richtet sich nach den **Umständen des Einzelfalls** – eine wirksame Pseudonymisierung kann Dritte tatsächlich daran hindern, die betroffene Person zu identifizieren. Damit bestätigt der EuGH einen **relativen (kontextbezogenen) Personenbezug**: Dieselben Daten können beim Verantwortlichen personenbezogen sein und beim Empfänger nicht.\n\nGleichzeitig hat der EuGH die **Informationspflicht** des Verantwortlichen gestärkt: Sie ist **zum Zeitpunkt der Datenerhebung und aus Sicht des Verantwortlichen** zu beurteilen – **unabhängig davon**, ob die Daten beim späteren Empfänger noch personenbezogen sind. Wer Daten erhebt und sie später (auch nur pseudonymisiert) an Dritte weitergibt, muss die Empfänger bzw. Empfängerkategorien **schon bei der Erhebung** in der Datenschutzerklärung nennen. Der EuGH hat das Urteil des EuG vom 26.04.2023 (T-557/20) **aufgehoben und die Sache zurückverwiesen** – das Verfahren ist damit noch nicht endgültig abgeschlossen.\n\nFormal betrifft das Urteil die **Verordnung (EU) 2018/1725** (Datenschutz für EU-Organe). Da deren Begriffe „personenbezogene Daten\u0022, „identifizierbar\u0022 und „Pseudonymisierung\u0022 **wortgleich** mit Art. 4 Nr. 1 und Nr. 5 DSGVO sind, wird das Urteil allgemein auch für die **DSGVO** herangezogen.",
    "faits": [
        {
            "point": "Aktenzeichen",
            "valeur": "C-413/23 P (Rechtsmittel)",
            "autorite": "A"
        },
        {
            "point": "Bezeichnung",
            "valeur": "EDSB ./. SRB („Begriff der personenbezogenen Daten\u0022)",
            "autorite": "A"
        },
        {
            "point": "Entscheidungsdatum",
            "valeur": "04.09.2025",
            "autorite": "A"
        },
        {
            "point": "Spruchkörper",
            "valeur": "Gerichtshof (Erste Kammer)",
            "autorite": "A"
        },
        {
            "point": "CELEX-Nummer",
            "valeur": "62023CJ0413",
            "autorite": "A"
        },
        {
            "point": "Ausgelegte Norm",
            "valeur": "Verordnung (EU) 2018/1725 (EU-Organe) – parallel zu Art. 4 Nr. 1, Nr. 5 DSGVO",
            "autorite": "A"
        },
        {
            "point": "Vorinstanz",
            "valeur": "EuG, Urteil vom 26.04.2023, T-557/20 (SRB ./. EDSB)",
            "autorite": "A"
        },
        {
            "point": "Verfahrensausgang",
            "valeur": "EuG-Urteil aufgehoben, Sache an das EuG zurückverwiesen",
            "autorite": "A"
        },
        {
            "point": "Sachverhalt",
            "valeur": "SRB übermittelte pseudonymisierte Stellungnahmen ehemaliger Anteilseigner/Gläubiger der Banco Popular Español an Deloitte",
            "autorite": "A"
        },
        {
            "point": "Leitsatz 1",
            "valeur": "Persönliche Meinungen/Sichtweisen beziehen sich zwangsläufig auf ihren Verfasser – keine Prüfung von Inhalt, Zweck und Auswirkungen nötig",
            "autorite": "A"
        },
        {
            "point": "Leitsatz 2",
            "valeur": "Pseudonymisierte Daten sind nicht in jedem Fall und für jede Person personenbezogene Daten",
            "autorite": "A"
        },
        {
            "point": "Leitsatz 3",
            "valeur": "Identifizierbarkeit für die Informationspflicht: maßgeblich ist der Zeitpunkt der Erhebung und die Sicht des Verantwortlichen",
            "autorite": "A"
        },
        {
            "point": "Maßstab Identifizierbarkeit",
            "valeur": "Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden (ErwGr. 26 DSGVO / ErwGr. 16 VO 2018/1725)",
            "autorite": "A"
        },
        {
            "point": "Anknüpfende EuGH-Rechtsprechung",
            "valeur": "C-582/14 (Breyer, 19.10.2016); C-319/22 (Scania, 09.11.2023)",
            "autorite": "A"
        },
        {
            "point": "Definition Pseudonymisierung",
            "valeur": "Art. 4 Nr. 5 DSGVO – Verarbeitung ohne zusätzliche Informationen nicht mehr zuordenbar; Zusatzinformationen gesondert aufbewahrt",
            "autorite": "A"
        },
        {
            "point": "Pseudonymisierung als TOM",
            "valeur": "Art. 32 Abs. 1 lit. a DSGVO (ausdrücklich genannt)",
            "autorite": "A"
        },
        {
            "point": "Betroffene Informationspflicht (DSGVO)",
            "valeur": "Art. 13 Abs. 1 lit. e, Art. 14 Abs. 1 lit. e – Empfänger/Empfängerkategorien",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen bei Verstoß (DSGVO)",
            "valeur": "bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. b DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Aufsichtsleitlinien",
            "valeur": "EDSA/EDPB Guidelines 01/2025 on Pseudonymisation, angenommen 16.01.2025; Konsultation bis 28.02.2025 – finaler Fassungsstand prüfen",
            "autorite": "A"
        },
        {
            "point": "Anonymisierung",
            "valeur": "Vom Urteil nicht betroffen – echt anonyme Daten fallen ohnehin nicht unter die DSGVO (ErwGr. 26)",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "EuGH, Pressemitteilung Nr. 107/25 vom 04.09.2025 (deutsch) – Rechtssache C-413/23 P",
            "url": "https://curia.europa.eu/site/upload/docs/application/pdf/2025-09/cp250107de.pdf",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Press Release No 107/25 of 4 September 2025 (englisch)",
            "url": "https://curia.europa.eu/site/upload/docs/application/pdf/2025-09/cp250107en.pdf",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Urteil C-413/23 P, CELEX 62023CJ0413",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62023CJ0413",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Zusammenfassung des Urteils, CELEX 62023CA0413",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CA0413",
            "autorite": "A"
        },
        {
            "titre": "Verordnung (EU) 2018/1725 (Datenschutz bei EU-Organen) – Volltext EUR-Lex",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32018R1725",
            "autorite": "A"
        },
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO) – Volltext EUR-Lex",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "EDSA/EDPB – Guidelines 01/2025 on Pseudonymisation (PDF)",
            "url": "https://www.edpb.europa.eu/system/files/2025-01/edpb_guidelines_202501_pseudonymisation_en.pdf",
            "autorite": "A"
        },
        {
            "titre": "EDSA/EDPB – Pressemitteilung zur Annahme der Pseudonymisierungs-Leitlinien (16.01.2025)",
            "url": "https://www.edpb.europa.eu/news/news/2025/edpb-adopts-pseudonymisation-guidelines-and-paves-way-improve-cooperation_en",
            "autorite": "A"
        },
        {
            "titre": "LDI NRW – EuGH zu „personenbezogene Daten\u0022 und „Pseudonymisierung\u0022",
            "url": "https://www.ldi.nrw.de/eugh-zu-personenbezogene-daten-und-pseudonymisierung-wichtige-klarstellungen-fuer-fachleute",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt EuGH C-413/23 P (EDSB ./. SRB, VO 2018/1725) – Personenbezug pseudonymisierter Daten \u0026 Informationspflicht bei Weitergabe?",
            "reponse": "Mit Urteil vom 4. September 2025 in der Rechtssache C-413/23 P (EDSB ./. SRB) hat der Gerichtshof der Europäischen Union klargestellt, dass pseudonymisierte Daten nicht „in jedem Fall und für jede Person\u0022 personenbezogene Daten sind. Ob eine Person identifizierbar ist, richtet sich nach den Umständen des Einzelfalls – eine wirksame Pseudonymisierung kann Dritte tatsächlich daran hindern, die betroffene Person zu…"
        },
        {
            "question": "Für wen gilt EuGH C-413/23 P (EDSB ./. SRB, VO 2018/1725)?",
            "reponse": "Das Urteil erging in einem Rechtsmittelverfahren über die Verordnung (EU) 2018/1725, die den Datenschutz bei Organen, Einrichtungen und sonstigen Stellen der Union regelt – hier beim Einheitlichen Abwicklungsausschuss (SRB). Die Verordnung ist das institutionelle Gegenstück zur DSGVO und verwendet dieselben Definitionen."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei EuGH C-413/23 P (EDSB ./. SRB, VO 2018/1725)?",
            "reponse": "„Pseudonymisierte Daten sind jetzt keine personenbezogenen Daten mehr.\u0022 Falsch – der EuGH sagt nur, dass sie nicht für jede Person personenbezogen sind. Beim Verantwortlichen mit Schlüssel bleiben sie es. „Pseudonymisierung = Anonymisierung.\u0022 Falsch – Pseudonymisierung ist nach Art. 4 Nr. 5 DSGVO umkehrbar und bleibt eine Verarbeitung personenbezogener Daten."
        }
    ],
    "wikidata": [],
    "valid_from": "2025-09-04",
    "valid_to": null,
    "derniere_revision": "2026-08-16",
    "derniere_verification": "2026-08-16",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/eugh-c-413-23-p-pseudonymisierte-daten-personenbezug"
}