Relativer Personenbezug: Wann Daten beim Empfänger anonym sein können

Im Kundenservice wiederholen sich Beschwerden. Das Team möchte verstehen, wo die Abläufe stocken, und dafür E-Mails mit KI auswerten. In den Nachrichten stehen zugleich Namen, Vertragsdetails und persönliche Umstände. Vor einer Weitergabe muss deshalb geklärt werden, welche Angaben die Analyse braucht und ob der konkrete Empfänger Menschen aus der geschützten Fassung erkennen könnte. Genau dabei hilft die Prüfung des relativen Personenbezugs.

Wie könnte Ursula die Beschwerdeanalyse vorbereiten?

Angenommen, ein Kundenservice möchte 500 Beschwerde-Mails nach wiederkehrenden Problemen auswerten. Ursula aus der Rechtsabteilung prüft den vorgesehenen externen KI-Dienst. Für die Originaldaten fehlt die Freigabe. Das intern verfügbare Modell liefert für diese Aufgabe keine ausreichenden Ergebnisse. Die gewünschte Analyse bleibt liegen.

Ursula und das Team legen zuerst fest, was sie wissen wollen: Welche zugesagten Schritte werden nicht rechtzeitig erledigt? Dafür brauchen sie den Verlauf einer Beschwerde. Der Name der betroffenen Person trägt zu dieser Frage wenig bei. Wiederkehrende Fälle müssen jedoch erkennbar zusammengehören.

Welche Angaben braucht die Auswertung wirklich?

Die folgende kleine Mailserie ist vollständig erfunden. Sie zeigt eine redaktionell erstellte Arbeitsfassung, keinen automatisch erzeugten Produktexport.

Nachricht 1: Ein zugesagter Rabatt fehlt

Ausgangsnachricht: Lara Becker, Kundennummer K104: „Der zugesagte Rabatt fehlt auf der Rechnung. Bitte korrigieren.“

Arbeitsfassung: Fall A, Tag 1: Ein zugesagter Rabatt fehlt. Eine Rechnungskorrektur wird angefragt.

Erhalten bleibt: Der Fehler und die gewünschte Handlung.

Nachricht 2: Die Korrektur steht weiter aus

Ausgangsnachricht: Lara Becker, K104, zwei Tage später: „Die Korrektur ist noch nicht da. Ihre Bestätigung habe ich erhalten.“

Arbeitsfassung: Fall A, Tag 3: Die Anfrage wurde bestätigt. Die Korrektur steht weiterhin aus.

Erhalten bleibt: Der Bezug zum ersten Fall und sein zeitlicher Verlauf.

Nachricht 3: Eine andere Zusage bleibt offen

Ausgangsnachricht: Deniz Sommer, K208: „Die angekündigte Erstattung ist noch nicht eingegangen.“

Arbeitsfassung: Fall B, Tag 1: Eine zugesagte Erstattung steht aus.

Erhalten bleibt: Ein weiterer Fall mit einem offenen Folgeschritt.

Namen und Kundennummern entfallen in dieser Arbeitsfassung. Der Bezug zwischen den ersten beiden Nachrichten bleibt erhalten. Für die echte Auswahl müssten auch Signaturen, Dateinamen, Anhänge und identifizierende Einzelheiten im Text geprüft werden. Vertrauliche Konditionen verdienen eine eigene Entscheidung, selbst wenn kein Personenname mehr sichtbar ist.

Woran erkennt das Team eine brauchbare Antwort?

Die fachliche Sollantwort steht vor dem Modelltest fest: Die erste Beschwerde wurde bestätigt, ihre Korrektur blieb offen. Eine weitere Nachricht betrifft eine ausstehende Erstattung. Die drei Nachrichten belegen keine gemeinsame Ursache. Eine Auswertung, die daraus bereits einen Personalengpass oder einen Softwarefehler ableitet, geht über das Material hinaus.

Mit dieser kleinen Probe kann das Team zwei Fragen getrennt prüfen: Ist die Arbeitsfassung für den vorgesehenen Datenweg vertretbar? Kann das ausgewählte Modell die zugesagten und noch offenen Schritte korrekt unterscheiden? Erst dann lohnt sich die Erweiterung auf den größeren Bestand.

veronto alias setzt an der Schutzverarbeitung vor dem Modell an. Für Ihren Anwendungsfall betrachten wir gemeinsam, welche Angaben ersetzt werden sollen und welche Zusammenhänge für eine brauchbare Antwort erhalten bleiben müssen. Die Browser-Demo zeigt einen begrenzten Ausschnitt dieses Ansatzes; den konkreten Datenweg prüfen wir im Pilot. Den eigenen KI-Anwendungsfall besprechen.

Die rechtliche Freigabe bezieht sich weiterhin auf Anbieter, Verarbeitung und Übermittlung. Die folgenden Abschnitte erklären, welche Rolle Pseudonymisierung dabei spielt.

Bleiben pseudonymisierte Daten personenbezogen?

Für die Stelle mit Zuordnungsschlüssel, Ursprungsdaten oder einem realistischen Zugriff auf Zusatzinformationen lautet die Antwort regelmäßig ja. Art. 4 Nr. 5 DSGVO beschreibt Pseudonymisierung ausdrücklich als Verarbeitung personenbezogener Daten. Die Zuordnung wird erschwert und abgesichert, bleibt in der kontrollierten Umgebung aber möglich. Die Grundlagen dazu erklärt der Glossarbeitrag zur Pseudonymisierung.

Für einen getrennten Empfänger kann die Beurteilung anders ausfallen. Die EuGH-Pressemitteilung zum Urteil C-413/23 P vom 4. September 2025 erläutert: Pseudonymisierte Daten sind nicht unter allen Umständen für jede Person und jede Stelle personenbezogen. Entscheidend können die vernünftigerweise einsetzbaren Identifizierungsmittel sein. Daraus folgt aber nicht, dass alle Pflichten aus Sicht des Empfängers beurteilt werden.

Der Geltungsbereich ist wichtig: Das Urteil betrifft die Verordnung (EU) 2018/1725 für Organe und Einrichtungen der Union. Deren Begriffe der personenbezogenen Daten und der Pseudonymisierung entsprechen in den hier relevanten Punkten weitgehend der DSGVO. Für Unternehmen ist das Urteil daher ein gewichtiger Auslegungsmaßstab. Es ist keine pauschale Freigabe für Übermittlungen nach der DSGVO.

Welche Identifizierungsmittel zählen?

Erwägungsgrund 26 DSGVO nennt Kosten, Zeitaufwand, verfügbare Technologie und technische Entwicklung. Für einen tatsächlichen Prozess gehören außerdem folgende Fragen in die Prüfung:

• Besitzt der Empfänger den Schlüssel, Ursprungsdokumente oder korrelierbare Bestandsdaten?
• Kann er rechtlich oder organisatorisch auf diese Informationen zugreifen?
• Verraten Accountdaten, Protokolle, Dateinamen oder Metadaten die Identität?
• Genügen öffentliche Register oder eine seltene Merkmalskombination zur Zuordnung?
• Werden mehrere Datensätze derselben Person beim Empfänger zusammengeführt?
• Erhalten Unterauftragnehmer oder weitere Stellen mehr Informationen als der erste Empfänger?

Ein fehlender Schlüssel ist ein starker Schutz. Er beantwortet diese Fragen noch nicht vollständig. Besonders bei Gesundheitsdaten, kleinen Gruppen und außergewöhnlichen Ereignissen kann schon der Inhalt selbst identifizieren.

Wie prüfen Sie eine pseudonymisierte Weitergabe?

1. Zweck und Datenbedarf festhalten

Dokumentieren Sie, wofür die Daten verarbeitet werden und welche fachlichen Angaben dafür nötig sind. Pseudonymisierung ist eine Schutzmaßnahme. Sie liefert keine eigene Rechtsgrundlage. Bei einer Zweckänderung sind die Vereinbarkeit nach Art. 6 Abs. 4 DSGVO oder eine tragfähige neue Grundlage zu prüfen. Für besondere Kategorien kommt eine Ausnahme nach Art. 9 Abs. 2 DSGVO hinzu.

2. Empfänger und Zusatzwissen erfassen

Prüfen Sie den tatsächlichen Empfänger, seine Rolle und seine Zugriffsmöglichkeiten. Dazu zählen eigene Datenbestände, Accounts, Logs, Supportzugriffe, Unterauftragnehmer und mögliche Folgeübermittlungen. Vertragliche Reidentifikationsverbote und Zugriffsbeschränkungen können das Risiko senken, ersetzen aber keine technische und organisatorische Prüfung.

Bei Auftragsverarbeitung sollten Sie aus einem fehlenden Schlüssel beim Dienstleister nicht ableiten, dass Art. 28 DSGVO entfällt. Der EDPB-Entwurf 02/2026, Randnummer 15, beurteilt den Personenbezug bei einer Verarbeitung im Auftrag aus der Perspektive des Verantwortlichen. Nach dieser Entwurfsposition bleibt der Auftragsverarbeiter an die DSGVO gebunden. Das ist eine ausdrücklich vorläufige Behördenposition, keine endgültige Leitlinie.

3. Übermittlung und Ergebnis getrennt bewerten

Für den Absender können die Daten beim Versand weiterhin personenbezogen sein. Dann gelten die allgemeinen Anforderungen der DSGVO und bei einer Drittlandübermittlung Kapitel V. Ob Pseudonymisierung als zusätzliche Schutzmaßnahme ausreicht, braucht eine eigene Transferprüfung. Ein fehlender Schlüssel allein belegt das nicht.

Die Prüfung endet nicht beim Versand. Legen Sie fest, welche Ausgabe der Empfänger erzeugt, ob sie mit anderen Daten angereichert wird und wann der Empfängerkreis oder die technische Lage eine Neubewertung auslöst. Bei Berufsgeheimnissen kommt eine weitere Ebene hinzu, etwa beim KI-Einsatz im Mandat.

Was trennt der EuGH im SRB-Fall?

Der Single Resolution Board übermittelte pseudonymisierte Stellungnahmen an Deloitte. Der EuGH hob das frühere Urteil des Gerichts auf und verwies die Sache zurück. Für die Informationspflicht des SRB war jedoch nicht maßgeblich, ob Deloitte die Personen später identifizieren konnte: Diese Pflicht war bereits bei der Erhebung aus Sicht des Verantwortlichen zu beurteilen.

Die gerichtliche Pressemitteilung 107/25 stellt genau diese Trennung heraus. Die Rückverweisung darf deshalb nicht als Auftrag zu einer für diese Informationspflicht entscheidenden Deloitte-Prüfung beschrieben werden. Ebenso wenig ist sie eine Anonymitätsfreigabe für einen eigenen Datentransfer. Die Pressemitteilung erläutert das Urteil, ist aber selbst kein verbindlicher Urteilstext.

Die ältere Rechtsprechung bleibt Teil des Maßstabs. Die Fälle betreffen unterschiedliche Wege zur Zuordnung:

Entscheidung	Möglicher Weg zur Identifizierung
Breyer, C-582/14	Zusatzinformationen bei einem Dritten zählen, wenn ein realistischer rechtlicher Zugang besteht.
EuGH-Urteil Scania, C-319/22	Eine Fahrzeugidentifikationsnummer kann durch verfügbares Halterwissen personenbezogen werden.
IAB Europe, C-604/22	Eine Zeichenfolge kann zusammen mit weiteren Identifikatoren eine Person bestimmbar machen.

Welchen Status haben die EDPB-Leitlinien?

Die EDPB Guidelines 02/2026 on Anonymisation wurden am 8. Juli 2026 zur öffentlichen Konsultation gestellt. Die Konsultation läuft nach dem am 8. September 2026 sichtbaren Stand bis 30. Oktober 2026. Die verlinkte Fassung ist ein Entwurf und keine endgültige Leitlinie.

Der Entwurf betrachtet das Herausgreifen einzelner Personen, das Verknüpfen von Datensätzen und das Ableiten personenbezogener Informationen. Wird eines der Kriterien nicht erfüllt, verlangt er weitere Analyse, nicht automatisch das Urteil „personenbezogen“. Neue Informationen können eine erneute Bewertung nötig machen. Diese Kriterien helfen bei der Prüfung, bleiben aber eine vorläufige Position des EDPB.

Auch der hier verlinkte Text der Guidelines 01/2025 on Pseudonymisation ist die Konsultationsfassung. Deren Rückmeldefrist ist beendet; das macht diese Fassung nicht zu einer endgültigen Leitlinie.

Eine kurze Prüfliste für das Projekt

1. Zweck, Rechtsgrundlage und notwendigen Datenumfang festhalten.
2. Schlüssel, Ursprungsdaten und Zusatzwissen je beteiligter Stelle erfassen.
3. Identifizierende Angaben in Inhalt, Datei und Metadaten reduzieren.
4. Rollen, Zugriffe, Reidentifikationsverbot und Folgeübermittlungen regeln.
5. Besondere Kategorien und ein mögliches hohes Risiko gesondert prüfen.
6. Bei Drittlandbezug Transferinstrument und zusätzliche Maßnahmen dokumentieren.
7. Ergebnis, Restrisiko und Anlass für eine Neubewertung festhalten.

Bei Dokumenten ist die konkrete Bearbeitung ein eigener Schritt. redact veranschaulicht sie in einer Browserdemo. Ob die bearbeitete Datei beim Empfänger anonym ist, entscheidet keine sichtbare Schwärzung und kein Platzhalter, sondern die dokumentierte Kontextprüfung.

Quellen und Stand

Das Praxisbeispiel mit Mailserie und Sollantwort wurde am 8. September 2026 ergänzt.

Redaktioneller Stand: 8. September 2026. Der Beitrag ist eine allgemeine Information und keine Rechtsberatung. Die Darstellung des SRB-Falls stützt sich hier auf die ausdrücklich gekennzeichnete gerichtliche Pressemitteilung und den EDPB-Entwurf, nicht auf einen erneut vollständig abgerufenen Urteilstext. Die DSGVO wurde anhand der amtlichen BfDI-Wiedergabe, Stand März 2026, abgeglichen. Die Übertragung auf einen DSGVO-Fall ist eine rechtliche Einordnung. Neue Leitlinienfassungen, Rechtsprechung oder Identifizierungsmittel sind Anlässe für eine Aktualisierung.

• DSGVO, Art. 4 und Erwägungsgrund 26, amtliche Wiedergabe der BfDI
• EuGH-Pressemitteilung zum Urteil C-413/23 P, EDPS gegen SRB
• EuGH, C-582/14, Breyer
• EuGH-Urteil C-319/22, Scania
• EuGH, C-604/22, IAB Europe
• EDPB Guidelines 01/2025 on Pseudonymisation, Konsultationsfassung
• EDPB Guidelines 02/2026 on Anonymisation, Konsultationsfassung
• EDPB Guidelines 02/2026, Entwurf im Volltext