Wer Mandantenakten, Lohnunterlagen oder Mitarbeiterbefragungen weitergibt, stellt sich dieselbe Frage: Reicht es, Namen durch Platzhalter zu ersetzen, oder muss geschwärzt werden, bis nichts mehr zurückführt? Zwei Texte geben darauf seit Kurzem eine genauere Antwort. Der Gerichtshof der Europäischen Union hat am 4. September 2025 in der Rechtssache C-413/23 P (EDSB gegen SRB) entschieden, dass pseudonymisierte Daten nicht für jeden Empfänger automatisch personenbezogen sind. Der Europäische Datenschutzausschuss (EDSA) hat daraufhin am 7. Juli 2026 den Entwurf seiner Leitlinien 02/2026 zur Anonymisierung angenommen. Stellungnahmen sind bis zum 30. Oktober 2026, 23:59 Uhr MEZ, möglich.
Der folgende Beitrag stützt sich ausschließlich auf die Originaltexte und nennt zu jeder Aussage die Randnummer.
Zahlen und Daten, geprüft an den Primärquellen
| Punkt | Stand | Fundstelle |
|---|---|---|
| Dokument | Leitlinien 02/2026 zur Anonymisierung, Version 1.0 | EDSA, Deckblatt |
| Angenommen | 7. Juli 2026, zur öffentlichen Konsultation | Versionshistorie, S. 1 |
| Konsultation | 8. Juli bis 30. Oktober 2026, 23:59 Uhr MEZ, also 115 Tage | Konsultationsseite des EDSA |
| Umfang | 103 Randnummern, 25 Beispiele, ein Ablaufdiagramm im Anhang | EDSA-PDF |
| Ersetzt | Stellungnahme 05/2014 der Artikel-29-Gruppe | Rn. 2 |
| Schwesterdokument | Leitlinien 01/2025 zur Pseudonymisierung, angenommen am 16. Januar 2025, Konsultation bis 14. März 2025, noch keine Endfassung | Konsultationsseite des EDSA |
| Urteil | EuGH (Erste Kammer), 4. September 2025, C-413/23 P | Urteilskopf |
| Sachverhalt | 23.822 Stellungnahmen von 2.855 Personen, davon 1.104 mit 33-stelligem Zufallscode an Deloitte | Rn. 23 bis 26 |
| Gesetzgebung | Digital-Omnibus, COM(2025) 837: Das Ratsmandat vom 21. Oktober 2026 streicht die neue Fassung von Art. 4 Nr. 1, das Parlament hat noch nicht abgestimmt | Ratsdok. 14756/26, Legislative Observatory des EP |
Ein Hinweis vorab, weil er in manchen Zusammenfassungen untergeht: Die Leitlinien 02/2026 behandeln nur die Anonymisierung. Das Wort „Pseudonymisierung“ kommt darin nicht vor, und die Leitlinien 01/2025 werden nicht zitiert. Wer sich mit Zuordnungstabellen und Pseudonymisierungsverfahren beschäftigt, muss weiterhin den Entwurf von 2025 heranziehen.
Der Fall SRB in wenigen Sätzen
Nach der Abwicklung der Banco Popular Español im Jahr 2017 gab der Einheitliche Abwicklungsausschuss (SRB) betroffenen Anteilseignern und Gläubigern Gelegenheit zur Stellungnahme. Eingegangen sind 23.822 Kommentare von 2.855 Teilnehmern; 20.101 davon waren identisch, übrig blieben 3.730 inhaltlich eigenständige Kommentare (Rn. 24 und 25). Die 1.104 Kommentare zur Bewertung gingen am 17. Juni 2019 an Deloitte (Rn. 26). Jeder Kommentar trug einen zufällig erzeugten, 33-stelligen Code; die Verbindung zu den Identitätsnachweisen aus der Registrierung konnte nur der SRB herstellen (Rn. 23 und 28). Beschwerdeführer rügten, dass die Datenschutzhinweise Deloitte nicht als Empfänger nannten.
Für die Praxis sind vier Aussagen des Gerichtshofs entscheidend.
Erstens: Meinungsäußerungen sind personenbezogene Daten dessen, der sie äußert, weil sie mit dieser Person zwangsläufig eng verbunden sind (Rn. 58). Eine gesonderte Prüfung von Zweck oder Wirkung ist dann nicht nötig.
Zweitens: Pseudonymisierung gehört nicht zur Definition personenbezogener Daten, sondern ist eine Maßnahme zur Risikominderung (Rn. 72). Weil der Schlüssel existiert, sind pseudonymisierte Daten nicht in allen Fällen anonym (Rn. 73). Sie sind aber auch nicht in allen Fällen und für jede Person personenbezogen (Rn. 86). Für einen Empfänger können sie es nicht sein, wenn er die Schutzmaßnahmen nicht aufheben kann und diese tatsächlich verhindern, dass er die Daten etwa durch Abgleich mit anderen Informationen zuordnet (Rn. 77).
Drittens: Werden die Daten weitergegeben und lässt sich nicht ausschließen, dass der nächste Empfänger sie zuordnen kann, sind sie für diese Übermittlung und dessen Verarbeitung wieder personenbezogen (Rn. 85).
Viertens: Die Informationspflicht über Empfänger richtet sich nach der Sicht des Verantwortlichen im Zeitpunkt der Erhebung (Rn. 111). Der SRB hätte Deloitte also nennen müssen, unabhängig davon, ob die Daten für Deloitte personenbezogen waren (Rn. 112). Der Gerichtshof hob das Urteil des Gerichts von 2023 auf, wies den Hauptklagegrund des SRB selbst zurück und verwies die Sache nur wegen eines weiteren Klagegrunds zur guten Verwaltung zurück (Rn. 118 bis 122).
Formal betrifft das Urteil die Verordnung 2018/1725 für EU-Institutionen. Der Gerichtshof stellt aber klar, dass der Begriff der personenbezogenen Daten dort genauso auszulegen ist wie in Art. 4 Nr. 1 DSGVO (Rn. 52).
Was der EDSA daraus macht
Der Entwurf übernimmt den relativen Ansatz ausdrücklich: Ob Daten anonym sind, kann von einer Stelle zur anderen unterschiedlich zu beantworten sein (Rn. 6, mit Verweis auf SRB). Die Leitfrage jeder Prüfung lautet, für wen die Daten anonym sein sollen (Rn. 12). Gleichzeitig zieht der EDSA klare Grenzen.
Die wichtigste betrifft Dienstleister. Verarbeitet eine Stelle Daten im Auftrag eines Verantwortlichen, für den die Daten personenbezogen sind, gilt dessen Perspektive auch für sie; sie ist Auftragsverarbeiter mit allen Pflichten (Rn. 15). Im Beispiel 3 schickt ein Onlinehändler Auszüge an eine Analyseagentur, die für ihn tätig ist: personenbezogen für beide. Nur ein Empfänger, der selbst über Zwecke und Mittel entscheidet, etwa ein unabhängiges Forschungsinstitut, wird aus eigener Sicht beurteilt (Beispiel 4).
Weitere Leitplanken: Die Wahrscheinlichkeit einer Identifizierung muss nicht null sein, aber in der Realität unerheblich (Rn. 22). Ein vertragliches Verbot der Re-Identifizierung ist kein gesetzliches Verbot und kann technische Maßnahmen nur ergänzen (Rn. 34). Auf fehlendes Interesse an einer Re-Identifizierung soll man sich nicht verlassen (Rn. 31). Und der EDSA rechnet damit, dass agentische KI Zeit und Kosten der Re-Identifizierung weiter senkt (Rn. 92); KI-Modelle lassen sich zudem gezielt nach Informationen über Einzelne befragen (Rn. 82).
Für die eigentliche Prüfung schlägt der EDSA drei Kriterien vor: keine Isolierbarkeit eines Datensatzes, keine Verknüpfbarkeit mit anderen Daten, keine Ableitbarkeit von Aussagen über Einzelne. Sind alle drei erfüllt, gelten die Daten als anonym (Rn. 52). Geprüft wird entweder kontextbezogen, Stelle für Stelle, oder vereinfacht und damit vorsichtiger (Rn. 45 bis 47). Daten, die Personen noch erkennbar machen, sollen nicht als „anonym“ oder „entpersonalisiert“ bezeichnet werden (Rn. 40), und der Anonymisierungsprozess samt Tests ist zu dokumentieren (Rn. 41). Prüfungen nach der Stellungnahme von 2014 müssen nicht wiederholt werden (Fußnote 3).
Spannung zwischen den Entwürfen von 2025 und 2026
Die Leitlinien 01/2025 halten fest, pseudonymisierte Daten blieben auch dann personenbezogen, wenn Daten und Zusatzinformationen nicht in derselben Hand liegen (Rn. 22). Der Gerichtshof hat dieser pauschalen Lesart widersprochen, und der Entwurf 02/2026 folgt dem Urteil, das er in zehn Fußnoten zitiert. Eine überarbeitete Fassung der Pseudonymisierungsleitlinien gibt es bislang nicht.
Einig sind sich beide Texte in den Punkten, auf die es im Alltag ankommt: Wer den Schlüssel hat, verarbeitet immer personenbezogene Daten (02/2026 Rn. 37). Eine Zuordnungstabelle ist selbst ein personenbezogener Datenbestand und muss geschützt werden (01/2025 Rn. 93). Und Pseudonymisierung bleibt eine wirksame Schutzmaßnahme im Sinne von Art. 25 und Art. 32 DSGVO, auch wenn sie die Daten nicht aus dem Anwendungsbereich herausnimmt.
Der Digital-Omnibus: Jetzt ist der Gesetzgeber am Zug
Mit dem relativen Ansatz befasst sich inzwischen auch der Unionsgesetzgeber. Die Kommission hat am 19. November 2025 den Digital-Omnibus vorgelegt, COM(2025) 837 (Verfahren 2025/0360 (COD)), der die Definition in Art. 4 Nr. 1 DSGVO um drei Sätze ergänzen würde. Im Kern sollen Informationen für eine Stelle nicht personenbezogen sein, wenn diese Stelle die Person mit den Mitteln, die sie vernünftigerweise einsetzen würde, nicht identifizieren kann. Der letzte Satz stellt klar, dass daran auch ein möglicher späterer Empfänger mit Identifizierungsmitteln nichts ändern soll (Art. 3 Nr. 1 des Vorschlags). Die Kommission versteht das als Kodifizierung der Rechtsprechung zur Pseudonymisierung (Begründung, S. 10 f.). Ein neuer Art. 41a sollte es ihr außerdem erlauben, per Durchführungsrechtsakt festzulegen, wann pseudonymisierte Daten für bestimmte Stellen nicht mehr personenbezogen sind.
EDSA und EDSB lehnen beides in ihrer Gemeinsamen Stellungnahme 2/2026 vom 10. Februar 2026 ab. Der Vorschlag greife ein einzelnes Element aus einem einzigen Urteil heraus (Rn. 15) und gehe mit dem letzten Satz über SRB hinaus. Der Gerichtshof habe nämlich gerade bestätigt, dass Daten, die einem Empfänger mit Identifizierungsmitteln zur Verfügung gestellt werden, für diesen und mittelbar auch für den Übermittelnden personenbezogen sind (Rn. 16, unter Verweis auf SRB Rn. 84 und 85). Die beiden Behörden appellieren an Parlament und Rat, die Änderung nicht zu übernehmen (Rn. 21), Art. 41a zu streichen (Rn. 25) und die offenen Fragen der Leitlinienarbeit des EDSA zu überlassen (Rn. 19). Eine dieser Fragen, ob ein Empfänger ohne eigene Identifizierungsmittel, der im Auftrag tätig wird, Auftragsverarbeiter ist (Fn. 29), beantworten die Leitlinien 02/2026 inzwischen mit Ja (Rn. 15).
Der Rat schlägt einen anderen Weg ein als die Kommission. In seinem Verhandlungsmandat, das der Ausschuss der Ständigen Vertreter am 21. Oktober 2026 gebilligt hat (Ratsdokument 14756/26), sind die neuen Sätze in Art. 4 Nr. 1 gestrichen. An die Stelle von Art. 41a tritt ein neuer Art. 25a zur Pseudonymisierung. Danach sind pseudonymisierte Daten für einen Dritten, der die Person nicht identifizieren kann, nicht personenbezogen (Abs. 2). Gibt dieser Dritte sie an jemanden weiter, der dazu in der Lage ist, sind Übermittlung und anschließende Verarbeitung eine Verarbeitung personenbezogener Daten (Abs. 3). Für einen Auftragsverarbeiter bleiben sie in jedem Fall personenbezogen (Abs. 4). Statt Durchführungsrechtsakten soll der EDSA eine Stellungnahme zu Pseudonymisierung und Anonymisierung abgeben (Abs. 6). Im Europäischen Parlament liegt den gemeinsam federführenden Ausschüssen ITRE und LIBE ein Berichtsentwurf vor, abgestimmt hatten sie bis zum 27. Oktober 2026 aber nicht. Der Trilog hat also noch nicht begonnen, und geltendes Recht ist aus dem Omnibus bislang nichts.
| Text | Datum und Stand | Aussage zu pseudonymisierten Daten |
|---|---|---|
| EuGH, EDSB/SRB, C-413/23 P | Urteil vom 4. September 2025 | Nicht „in allen Fällen und für jede Person“ personenbezogen (Rn. 86) |
| EDSA-Leitlinien 01/2025 | Entwurf vom 16. Januar 2025, keine Endfassung | Personenbezogen, auch wenn Daten und Schlüssel in verschiedenen Händen liegen (Rn. 22) |
| EDSA-Leitlinien 02/2026 | Entwurf vom 7. Juli 2026, Konsultation bis 30. Oktober 2026 | Relativer Maßstab, für Auftragsverarbeiter aber stets personenbezogen (Rn. 15) |
| Kommission, Digital-Omnibus, COM(2025) 837 | Vorschlag vom 19. November 2025 | Relative Fassung von Art. 4 Nr. 1, Durchführungsrechtsakte nach Art. 41a |
| Gemeinsame Stellungnahme 2/2026 von EDSA und EDSB | 10. Februar 2026 | Definition nicht ändern, Art. 41a streichen (Rn. 21, 25) |
| Mandat des Rates, Dok. 14756/26 | AStV, 21. Oktober 2026 | Art. 4 Nr. 1 unverändert, neuer Art. 25a, personenbezogen für Auftragsverarbeiter (Abs. 4) |
| Europäisches Parlament, ITRE und LIBE | Berichtsentwurf, bis 27. Oktober 2026 keine Ausschussabstimmung | Noch keine Position |
Nebeneinandergelegt passen die Texte besser zusammen, als die Debatte vermuten lässt. Der Gerichtshof hat anerkannt, dass es für den Personenbezug darauf ankommt, wer die Daten in Händen hält (SRB Rn. 86). Der EDSA hat daraus einen Prüfmaßstab gemacht, der Dienstleister im Anwendungsbereich der DSGVO hält (02/2026 Rn. 15), und der Text des Rates würde genau diese Grenzen in die Verordnung selbst schreiben. Die einzige Formulierung, die Weitergaben an Dritte großzügiger behandelt hätte, der dritte Satz der Kommission, findet weder bei den Aufsichtsbehörden noch im Rat Unterstützung. Wer heute entscheidet, wie ein Dokument für ein KI-Tool oder einen Dritten vorzubereiten ist, orientiert sich deshalb weiter an SRB und den beiden Entwürfen des EDSA.
Umkehrbar pseudonymisieren oder endgültig schwärzen?
Die Wahl hängt weniger vom Dokument ab als davon, wer es bekommt.
| Weitergabe an | Rolle | Sinnvolles Verfahren | Personenbezug beim Empfänger |
|---|---|---|---|
| KI-Dienst, der in Ihrem Auftrag arbeitet | Auftragsverarbeiter | Umkehrbare Pseudonymisierung, Zuordnungstabelle bleibt bei Ihnen | Ja (Rn. 15), AVV erforderlich |
| Kolleginnen und Kollegen im Haus | Eigene Organisation | Umkehrbare Pseudonymisierung | Ja, aber geringeres Risiko |
| Gericht, Gegenseite, Veröffentlichung | Unabhängiger Dritter | Endgültige Schwärzung inklusive Metadaten | Nur wenn Re-Identifizierung realistisch ist (Rn. 21, 22) |
| Unabhängige Forschung | Unabhängiger Dritter | Anonymisierung, geprüft an den drei Kriterien | Aus Sicht des Empfängers (Beispiel 4) |
Umkehrbare Pseudonymisierung ersetzt Namen und Kennungen durch gleichbleibende Platzhalter; die Zuordnungstabelle bleibt beim Verantwortlichen. Das passt, wenn die echten Werte später wieder gebraucht werden, etwa beim Entwurf eines Schriftsatzes mit KI-Unterstützung. Datenschutzrechtlich bleibt das Dokument für Sie und Ihren Dienstleister personenbezogen. Der Gewinn liegt in Datenminimierung und Sicherheit: Der Anbieter sieht deutlich weniger, und ein Vorfall auf seiner Seite legt Platzhalter offen, keine Identitäten.
Endgültige Schwärzung entfernt die Information ohne Schlüssel, einschließlich der Dokument-Metadaten. Sie ist das Mittel der Wahl, sobald ein Dokument die eigene Kontrolle verlässt. Genau hier greifen SRB und die drei Kriterien, denn maßgeblich ist, was der Empfänger mit vernünftigerweise verfügbaren Mitteln herausfinden kann.
Was das für einzelne Berufsgruppen bedeutet
Kanzleien. Bei Schriftsätzen und Anlagen für Gericht oder Gegenseite kommt es darauf an, ob Leser mit Zusatzwissen die Person erkennen; der EDSA nennt ausdrücklich investigative Journalisten, Kollegen und Nachbarn als mögliche Akteure (Rn. 30). Die Schwachstelle ist fast immer der Fließtext: Funktion, Datum und Ort reichen oft, um jemanden herauszugreifen, auch ohne Namen.
Steuerberatung und Buchhaltung. Buchungsjournale und Lohnexporte sind strukturierte Daten, auf die sich die drei Kriterien fast wörtlich übertragen lassen. Steuer-ID und IBAN sind Kennungen; Gehalt, Eintrittsdatum und Abteilung können zusammen einen Datensatz isolieren. Spaltenweise Pseudonymisierung erhält die Rechenbarkeit und entfernt die Kennungen.
Personalabteilungen. Mitarbeiterbefragungen sind ein klassischer Fall scheinbarer Anonymität. Der EDSA beschreibt eine Teambefragung, bei der schon aggregierte Werte verraten, wie jedes Teammitglied geantwortet hat (Beispiel 17), und SRB bestätigt, dass Meinungen personenbezogene Daten ihres Urhebers sind. Mindestgruppengrößen sind hier wichtiger als das Entfernen von Namen.
KI-Nutzung im Büro. Ein KI-Anbieter, der Eingaben in Ihrem Auftrag verarbeitet, ist nach Lesart des EDSA Auftragsverarbeiter; für ihn bleiben die Daten personenbezogen. Pseudonymisierung ändert daran nichts, wohl aber an dem, was er zu sehen bekommt. Entscheidend sind zwei Fragen: Verlässt die Zuordnungstabelle jemals Ihr Haus, und speichert oder trainiert der Anbieter mit den Eingaben?
Redactic deckt beide Wege ab: Platzhalter für die Arbeit mit KI, wobei die echten Werte nur im Browser des Nutzers zurückgesetzt werden, und endgültige Schwärzung mit Entfernung der Metadaten für Dokumente, die das Haus verlassen. Im FIRM-Tarif steht zusätzlich ein optionaler Chat zur Verfügung, der erkannte sensible Werte maskiert, bevor der Inhalt an den gewählten KI-Anbieter geht.
Häufige Fragen
Sind pseudonymisierte Daten nach dem SRB-Urteil noch personenbezogen?
Für den Verantwortlichen mit Schlüssel immer. Für einen unabhängigen Empfänger, der die Pseudonymisierung nicht aufheben und die Daten auch nicht durch Abgleich zuordnen kann, möglicherweise nicht (EuGH Rn. 77 und 86). Für einen Auftragsverarbeiter dagegen schon (EDSA Rn. 15).
Geht es in den Leitlinien 02/2026 um Pseudonymisierung?
Nein, um Anonymisierung. Pseudonymisierung behandeln die Leitlinien 01/2025, die bislang nur als Konsultationsfassung vorliegen.
Bis wann und wie kann man Stellung nehmen?
Bis zum 30. Oktober 2026, 23:59 Uhr MEZ, über das Formular auf der Konsultationsseite des EDSA. Die Beiträge werden auf der Website des EDSA veröffentlicht.
Macht ein Vertrag, der die Re-Identifizierung verbietet, die Daten für den Empfänger anonym?
Allein nicht. Ein vertragliches Verbot ist nach dem EDSA kein gesetzliches Verbot und ergänzt technische Maßnahmen nur (Rn. 34).
Ändert der Digital-Omnibus die Definition personenbezogener Daten in der DSGVO?
Noch nicht, und in der ursprünglich vorgeschlagenen Form wohl auch nicht. Der Kommissionsvorschlag COM(2025) 837 würde Art. 4 Nr. 1 DSGVO um einen relativen Maßstab ergänzen. EDSA und EDSB haben empfohlen, ihn nicht zu übernehmen (Gemeinsame Stellungnahme 2/2026, Rn. 21), und das Verhandlungsmandat des Rates vom 21. Oktober 2026 streicht ihn zugunsten eines neuen Art. 25a. Danach bleiben pseudonymisierte Daten für Auftragsverarbeiter personenbezogen, ebenso bei einer Weitergabe an jemanden, der die Person identifizieren kann. Das Europäische Parlament hat seine Position noch nicht festgelegt, der Trilog hat nicht begonnen. Bis ein Text verabschiedet ist, bleiben SRB und die Leitlinien des EDSA maßgeblich.
Müssen ältere Anonymisierungsprüfungen wiederholt werden?
Nein (Fußnote 3). Der EDSA empfiehlt aber regelmäßige Neubewertungen, weil Re-Identifizierung mit der Zeit leichter wird (Rn. 35).
Wenn Sie beide Verfahren an eigenen Dokumenten ausprobieren möchten, finden Sie Redactic unter redactic.eu. Erkennung und Schwärzung laufen auf von Redactic kontrollierter Infrastruktur in Europa, optionale KI-Aufgaben sind ein getrennter Schritt, der mit dem vorbereiteten Text arbeitet. Den Auftragsverarbeitungsvertrag finden Sie auf den Vertrauensseiten.
So zitieren Sie diesen Beitrag
Redactic: „Pseudonymisierung vs. Anonymisierung: EDSA 02/2026 und EuGH“, redactic.eu, Oktober 2026, https://redactic.eu/de/blog/pseudonymisierung-anonymisierung-edsa-leitlinien-02-2026-eugh-srb/
Primärquellen: EDSA, Leitlinien 02/2026 zur Anonymisierung (Version 1.0, 7. Juli 2026); EDSA, Leitlinien 01/2025 zur Pseudonymisierung (16. Januar 2025); EuGH, Urteil vom 4. September 2025, C-413/23 P, EDSB/SRB; Europäische Kommission, Digital-Omnibus, COM(2025) 837 final, 19. November 2025; EDSA und EDSB, Gemeinsame Stellungnahme 2/2026, 10. Februar 2026; Rat der EU, Dok. 14756/26 (Verhandlungsmandat), 22. Oktober 2026.
Verwandte Leitfäden
- Leitfaden Datenschwärzen DSGVO und KI 2026: PII korrekt maskieren
- Shadow AI im HR: KI nutzen ohne DSGVO-Verstöße (2026)
- Vertragsschwärzen und Prozessführung: Zeugen, sensible Klauseln (Leitfaden 2026)
- Datenschwärzen für Steuerberater: Lohnabrechnung, Steuer-IDs, DSGVO-Workflow (2026)
So setzt Redactic das in die Praxis um: Redactic, Dokumentenschwärzung · Vertrauensseiten und AVV.