Anonymität ist relativ: EuGH-Urteile zum Personenbezug

Anonyme Daten sind das Versprechen der datengetriebenen Wirtschaft: kein Personenbezug, keine DSGVO, freie Bahn für KI-Training, Forschung und Statistik. Doch wann Daten als anonym betrachtet werden dürfen, sorgt seit Jahren für Streit, nicht zuletzt vor dem EuGH. Um hier den Überblick zu behalten, sind die aktuellen Vorträge von Prof. Roßnagel ans Herz zu legen. Nachfolgend seine wichtigsten Punkte.

Das SRB-Urteil des EuGH

Mit dem SRB-Urteil hat der EuGH im September 2025 viele aufhorchen lassen – manche sprechen gar von einem Paradigmenwechsel. Prof. Dr. Alexander Roßnagel, der Hessische Beauftragte für Datenschutz und Informationsfreiheit, sieht das nüchterner: Die Rechtsprechung sei gefestigt, das Urteil folgerichtig, wie er beispielsweise im Mai 2026 auf dem Datenschutzkongress in Berlin überzeugend darlegte.

Anonyme oder personenbezogene Daten – die Weichenstellung der DSGVO

Die Frage nach der Anonymität von Daten ist alles andere als eine akademische, denn nur bei der Verarbeitung personenbezogener Daten muss die DSGVO beachtet werden. Im Zentrum der rechtlichen Bewertung eines datenbasierten Projekts steht oft die Frage: Sind Personen identifizierbar? Wer sie mit „nein“ beantwortet, verlässt den Anwendungsbereich der DSGVO und hat vermeintlich freie Fahrt. Entsprechend hart wird um die Antwort gerungen.

Personenbezug ist keine Eigenschaft, sondern eine Wissensbeziehung

Der vielleicht wichtigste Punkt von Roßnagel zu dieser Frage: Personenbeziehbarkeit ist keine sachliche Eigenschaft eines Datums. Ein Datensatz trägt sein „personenbezogen“ nicht wie eine Farbe oder ein Gewicht in sich. Maßgeblich sind die bestehenden Beziehungen, zwischen dem Inhaber von Wissen, dem fraglichen Datum und der betroffenen Person.

Anonymität bedeutet in dieser Logik, dass das aktuell verfügbare Wissen nicht für eine Identifizierung ausreicht. Und diese Bewertung kann sich verändern, sobald sich Umstände in den bestehenden Beziehungen ändern. Personenbeziehbare Daten können anonym werden, anonyme Daten können wieder personenbeziehbar werden, weil sich Teile des Datensatzes selbst ändern, aber auch weil sich Umstände drumherum verändern. Bestes Beispiel hierfür ist ein Szenario, in dem ein Datensatz vor zwei Jahren nicht identifizierbar war, heute mit Hilfe von KI aber schon.

Dieser Ansatzpunkt ist gleichzeitig der Schlüssel, um das SRB-Urteil ohne Widerspruch in die bisherige Rechtsprechung einzuordnen.

Die EuGH-Rechtsprechung zum Personenbezug

Wer das SRB-Urteil isoliert liest, mag es für eine Kehrtwende halten. Wer die Entscheidungen nebeneinanderlegt, erkennt eine konsistente Linie, die der EuGH seit Jahren zieht. In allen Fällen lautet die Frage gleich: Verarbeitet der Verantwortliche anonyme oder personenbezogene Daten? Variiert wird nur, welches Zusatzwissen wie zu berücksichtigen ist.

• Breyer (Urteil vom 19.10.2016, C-582/14) – Dynamische IP-Adressen sind für den Diensteanbieter personenbezogen, weil er das Wissen des Zugangsproviders auf rechtlich zulässigem Weg praktisch mobilisieren kann. Geprägt wurde der Maßstab des „mobilisierbaren Wissens“: relevant ist, was der Verantwortliche praktisch und rechtmäßig einsetzen kann.
• Scania (Urteil vom 9.11.2023, C-319/22) – Die Fahrzeug-Identifizierungsnummer ist für sich genommen ein Sachdatum. Sie wird zum personenbezogenen Datum, wenn der Empfänger – etwa ein Reparaturbetrieb mit Zugang zur Zulassung – sie einer Person zuordnen kann. Maßgeblich ist das Zusatzwissen informierter Empfänger.
• OLAF (Urteil vom 7.3.2024, C-479/22 P) – Bei einer Pressemitteilung über mutmaßlichen Forschungsbetrug kommt es darauf an, welche Empfänger über welches Zusatzwissen verfügen. Für die breite Öffentlichkeit anonym, für die einschlägige Fachöffentlichkeit identifizierbar. Es bleibt dasselbe Datum, unterschiedlich bewertet je nach Empfängerkreis.
• IAB Europe (Urteil vom 7.3.2024, C-604/22) – Der TC-String ist für den Verband personenbezogen, weil dieser einen rechtlichen Anspruch auf die identifizierenden Informationen seiner Mitglieder hat. Ein Rechtsanspruch reicht aus, um fremdes Wissen zuzurechnen.
• SRB (Urteil vom 4.9.2025, C-413/23 P) – Pseudonyme Daten, die der Abwicklungsausschuss an Deloitte übermittelte, waren für Deloitte mangels Zuordnungsmöglichkeit anonym. Auch hier ist allein das verfügbare Wissen des jeweils Verantwortlichen entscheidend.

Quer durch alle Entscheidungen zieht sich derselbe Blickwinkel: die Sicht des Verantwortlichen und das ihm verfügbare bzw. mobilisierbare Wissen. Der relative Personenbezug galt insofern schon immer. Das SRB-Urteil erfindet ihn nicht neu, sondern konkretisiert, wie die Zuordenbarkeit durch Dritte in diese Bewertung einfließt.

Die Perspektive des Verantwortlichen

Für die Bewertung der Personenbeziehbarkeit muss also nicht jedes theoretisch denkbare Wissen irgendwo auf der Welt betrachtet werden, sondern nur das vom Verantwortlichen mobilisierbare Wissen zur Identifizierung. Das vielfach vertretene absolute Verständnis vom Personenbezug ist mit dieser Rechtsprechung nicht vereinbar.

Auch ein wirksamer Datenschutz kann ohne das strenge, absolute Verständnis vom Personenbezug auskommen, wenn man diese Frage als Teil eines risikoorientierten Ansatzes versteht.

Anonymität als Risikobewertung

Anonymität ist nach alledem eine Risikobewertung. Es geht um die Betrachtung eines möglichen Schadens durch die Einschätzung der Wahrscheinlichkeit einer Identifizierung, wobei ein akzeptabler Risikorest verbleiben darf. Der Maßstab ist das „allgemeine Ermessen“ aus Erwägungsgrund 26: die praktisch konkrete Wahrscheinlichkeit, dass Mittel zur Identifizierung eingesetzt werden.

In die Abwägung gehören alle objektiven, im Einzelfall verfügbaren Mittel sowohl risikosteigernde als auch risikomindernde. Und genau hier liegt der praktische Hebel für Verantwortliche: Verarbeitungskontexte und Schutzmaßnahmen verschieben die Bewertung. Zugriffsbeschränkungen, technische und organisatorische Maßnahmen, Treuhänderlösungen, kontrollierte Use-and-Access-Umgebungen oder konsequente Löschung können ein Datum praktisch anonym halten. Umgekehrt ist der Maßstab je nach Anwendungsbereich unterschiedlich streng. Es macht einen Unterschied, ob es um Forschung, Statistik, Werbung oder KI-Training geht.

Wann das Wissen Dritter zählt

Damit zur Frage, die das SRB-Urteil bedeutsam macht: Wann muss sich der Verantwortliche das Wissen Dritter zurechnen lassen? Antwort: Immer dann, wenn er es nach allgemeinem Ermessen für die Identifizierung nutzen wird, weil es für ihn mobilisierbar ist. Mobilisierbar heißt konkret praktisch möglich und rechtlich zulässig, wobei grundsätzlich rechtmäßiges Handeln der Beteiligten zu unterstellen ist.

Zwei Anknüpfungspunkte sind zu prüfen: ein faktischer Zugriff auf das Wissen des Dritten oder ein rechtlicher Anspruch darauf. Verfügt der Verantwortliche über keines von beidem, bleibt das Drittwissen außer Betracht und das Datum für ihn anonym. Es ist dieselbe Betrachtungsweise wie zuvor bei Breyer und IP-Adressen.

Pseudonyme Daten mit anonymer Wirkung

Aus diesem Raster folgt die vielleicht praxisrelevanteste Feststellung des SRB-Urteils: Pseudonyme Daten sind das Ergebnis einer Sicherungsmaßnahme nach Art. 4 Nr. 5 DSGVO. Für die Bewertung gelten die allgemeinen Grundsätze:

• Für jeden Verantwortlichen, der keinen Personenbezug herstellen kann, sind sie anonym – pseudonyme Daten mit anonymer Wirkung.
• Für den Verantwortlichen, der die Pseudonyme zuordnen kann, bleiben sie personenbezogen (Erwägungsgrund 26 Satz 2).

Pseudonymisierung ist damit nicht nur eine Sicherheitsmaßnahme. Sie kann bei Dritten ohne Zuordnungsschlüssel anonyme Wirkung entfalten. Die in Deutschland lange dominierende Auffassung, pseudonyme Daten seien stets und für jeden personenbezogen, ist damit vom Tisch.

Offenlegung: Wenn Daten ihren Charakter wechseln

Spiegelbildlich gilt für die Weitergabe: Legt der Verantwortliche Daten offen, muss er sich das Wissen der Empfänger zurechnen lassen. Bei Übermittlungsketten allerdings nur, soweit er die Weitergabe veranlasst hat oder kennt. So lassen sich zwei Konstellationen unterscheiden:

• Sind Daten für den Verantwortlichen anonym, für den Empfänger aber personenbezogen, werden sie für den Verantwortlichen „indirekt“ personenbezogen.
• Sind Daten für den Verantwortlichen personenbezogen, für den Empfänger aber anonym, legt der Verantwortliche gleichwohl personenbezogene Daten offen.

Letzteres war die eigentliche Botschaft des SRB-Falls für die Praxis: Aus Sicht des Abwicklungsausschusses waren die Daten personenbezogen. Er hätte über die Empfänger informieren müssen, auch wenn die übermittelten Daten bei Deloitte anonym ankamen. Wer offenlegt, braucht also eine Rechtsgrundlage und muss seine Informationspflichten erfüllen; die Anonymität beim Empfänger entlastet den Absender nicht.

Andere Ansichten

So überzeugend die relative Einordnung ist, unwidersprochen bleibt sie nicht. Stein des Anstoßes ist die Randnummer 85 des Urteils. Dort hält der EuGH für eine etwaige spätere Übermittlung an Dritte fest: Lässt sich nicht ausschließen, dass diese Dritten die Daten nach allgemeinem Ermessen zuordnen können, ist die betroffene Person als identifizierbar anzusehen und zwar auch gegenüber der übermittelnden Stelle, die der EuGH insoweit von einem „indirekten“ Personenbezug sprechen lässt (Rn. 84).

Aus diesem Halbsatz lesen einige Stimmen ein Festhalten am absoluten Ansatz heraus. So wird etwa kritisiert, der EuGH rechne den Personenbezug beim Empfänger dem Absender zu, ohne dessen eigene Mittel zur Identifizierung im konkreten Fall zu prüfen, was eher nach objektiver Betrachtung klinge als nach der Sicht des jeweils Verantwortlichen. Auch der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte betonen in der Debatte um die geplante Omnibus-Reform, schon nach geltender Rechtsprechung könnten Daten personenbezogen sein, wenn ein Empfänger mit hinreichender Wahrscheinlichkeit über Identifizierungsmittel verfügt und zwar dann für beide Seiten.

Dieser vermeintliche Widerspruch lässt sich entschärfen, wenn man Roßnagels Ausgangsgedanken konsequent zu Ende denkt: Auch der „indirekte“ Personenbezug ist nichts anderes als eine zugerechnete Wissensbeziehung. Entscheidend bleibt, ob die spätere Übermittlung dem Verantwortlichen zuzurechnen ist, weil er sie veranlasst hat oder kennt. Wo das nicht der Fall ist, bleibt es bei der Sicht des Verantwortlichen. Festzuhalten ist gleichwohl: Die Reichweite dieser Zurechnung ist noch nicht ausgereizt, und die nächste Vorlage zu diesem Punkt dürfte nur eine Frage der Zeit sein.

Folgen für die Praxis

Wer aus dem Urteil einen Freifahrtschein für „anonyme“ Datenpools ableitet, zieht die falschen Schlüsse. Denn der Kerngedanke wirkt in beide Richtungen: Weil Personenbezug keine losgelöste Eigenschaft eines Datums ist, sondern eine Bewertung von Wissen im Kontext, können heute anonyme Daten morgen wieder personenbezogen werden, indem sich Teile des Datensatzes oder der Kontext ändern. Dann wäre für einst anonyme Daten plötzlich wieder die DSGVO anzuwenden.

Für Verantwortliche heißt das: Anonymität ist kein Zustand, den man einmal feststellt und abhakt. Sie ist wiederkehrend zu prüfen, nach dem Stand der Technik, nach dem hinzugekommenen Zusatzwissen, nach neuen  Verarbeitungskontexten.