Was passiert mit unseren Daten? Neue Grundsatzurteile der EU-Gerichte zum Datenschutz

Anbieter zum Thema

netfiles GmbH

Cloudgermany.de GmbH

STACKIT GmbH & Co. KG

Unsere Daten reisen um die ganze Welt. Überall gelten andere Regeln für pseudonymisierte Daten. Unternehmen müssen den Datenschutz daher nicht nur rechtlich, sondern auch technisch und organisatorisch angehen, um neue EU-Grundsatzurteile zu berücksichtigen.

Im September haben der Europäische Gerichtshof (EuGH) und das Gericht der Europäischen Union (EuG) neue Urteile zum Datenschutzrecht gefällt. Sie betreffen drei zentrale Fragen:

• 1. Wann Daten als personenbezogen gelten,

• 2. welche Anforderungen für Datentransfers die USA – bestehen, und

• 3. unter welchen Voraussetzungen Schadensersatz nach der DSGVO verlangt werden kann.

Datennutzung versus Datenschutz

Kommt jetzt die Kehrtwende im Datenschutz?

Wann sind Daten personenbezogen? – EuGH, Urteil vom 4. September 2025 (C-413/23 P)

Im Verfahren des Einheitlichen Europäischen Abwicklungsausschusses (Single Resolution Board, SRB), ging es um die Frage des Personenbezugs bzw. der Anonymität von Daten. Im Sachverhalt ging es um Fragebögen, die im Zusammenhang mit der Abwicklung an Anteilseigner und Gläubiger einer europäischen Bank versandt wurden. Die Antworten wurden pseudonymisiert an eine Wirtschaftsprüfungsgesellschaft übermittelt. Betroffene rügten, sie seien nicht über diese Weitergabe informiert worden. Der SRB argumentierte, dass für die Daten für die Wirtschaftsprüfungsgesellschaft keine Informationspflicht mehr bestünde, weil die Daten für sie anonym gewesen seien.

Persönliche Ansichten sind personenbezogene Daten
Zum einen stellte der EuGH klar: Persönliche Ansichten sind eng mit der sie äußernden Person verknüpft und daher grundsätzlich personenbezogene Daten. Allerdings könne eine wirksame Pseudonymisierung dazu führen, dass Daten ihren Personenbezug verlieren. Maßgeblich ist, ob aus Sicht des Verantwortlichen der Empfänger im Sinne des 26. Erwägungsgrundes der DSGVO „nach allgemeinem Ermessen wahrscheinlich“ nicht über Mittel verfügt, die eine Re-Identifizierung ermöglichen.

Bedeutung für Unternehmen
Für Unternehmen ist zu beachten, dass der EuGH den Begriff der personenbezogenen Daten weiterhin weit auslegt, wenngleich „relativ“ verstanden, also aus Sicht der jeweils handelnden Organisation. Damit eröffnet sich die Möglichkeit für Unternehmen, Daten beispielsweise für die Forschung oder das KI-Training zu verwenden, sofern und soweit die Daten aus Sicht des jeweiligen Unternehmens anonym sind, weil es nach allgemeinem Ermessen wahrscheinlich keine Mittel zur Re-Identifizierung gibt. Zu dokumentieren ist dies durch ein belastbares Pseudonymisierungskonzept.

Zum anderen behandelte der EuGH die Frage, aus wessen Perspektive und zu welchem Zeitpunkt die Personenbezogenheit zu beurteilen ist. Der EuGH stellte insoweit auf die Perspektive des die Daten übermittelnden SRB ab, für den Informationspflichten gegenüber den Betroffenen bestanden hätten.

Für datenverarbeitende Unternehmer bedeutet dies, dass die Informationspflichten zum Zeitpunkt der Erhebung und aus seiner Sicht zu beurteilen sind. Die Tatsache, dass für etwaige Empfänger kein Personenbezug herstellbar ist, ist insofern nicht ausschlaggebend.

Datentransfers in die USA – EuG, Urteil vom 3. September 2025 (T-553/23)

Die zweite Entscheidung betrifft die Übermittlung personenbezogener Daten in die USA auf Grundlage des „Data Privacy Frameworks“ (DPF).

Die Nichtigkeitsklage von Philippe Latombe (französischer Abgeordneter; Mitglied der CNIL) richtete sich gegen den Durchführungsbeschluss der EU-Kommission, der das Datenschutzniveau für die USA auf Grundlage des DPF als angemessen anerkennt. Zentrales Argument der Kommission war, dass die Einrichtung des sogenannten Data Protection Review Court (DPRC) angemessene Verfahrensgarantien für EU-Bürgerinnen und -Bürger sichere.

Cloud-Regionen innerhalb der EU

Datengrenzen für die Cloud: Was bringt es für den Datenschutz?

Kritikpunkte und Bewertung
Latombe rügte insbesondere, der DPRC sei kein unparteiisches und unabhängiges Gericht. Zudem sei die massenhafte Datenerhebung („Bulk Collection“) durch US-Nachrichtendienste rechtswidrig.

Das EuG bestätigte die Angemessenheit des Durchführungsbeschlusses. Beobachter kritisieren die Entscheidung mit Blick auf die tatsächliche Lage in den USA sowie die Vorentscheidungen des EuGH. Das aktuelle Abkommen entspreche in wesentlichen Punkten früheren Abkommen, die der EuGH für rechtswidrig erklärt hat. Zudem sei das DPCR nur aufgrund eines Präsidialdekretes für unabhängig erklärt, dieses könne leicht revidiert werden. Eine gesetzliche Absicherung der Unabhängigkeit des DPCR bestehe nicht.

Konsequenzen für Unternehmen
Kurzfristig schafft das Urteil für Unternehmen Rechtssicherheit: Unternehmen können sich auf den aktuellen Angemessenheitsbeschluss stützen, sofern ihre US-Dienstleister nach dem DPF zertifiziert sind. Langfristig sollten sie jedoch Fallback-Lösungen bereithalten – etwa Standardvertragsklauseln oder technische Zusatzmaßnahmen –, falls das DPF erneut gerichtlich überprüft oder aufgehoben wird.

Schadensersatz nach Art. 82 DSGVO – EuGH, Urteil vom 4. September 2025 (C-655/23)

Im dritten Fall führte ein Bewerber, Gehaltsverhandlungen über das berufliche Netzwerk Xing mit der Quirin Privatbank. Die Bank versandte die Absage versehentlich an einen ehemaligen Kollegen des Bewerbers. Dieser erhob Klage auf Schadensersatz.

Der EuGH entschied, dass der Begriff des „immateriellen Schadens“ nach Art. 82 Abs. 1 DSGVO negative Gefühle umfasst, die eine Person infolge einer unbefugten Übermittlung empfindet: etwa Sorge oder Ärger aufgrund von Kontrollverlust, möglicher missbräuchlicher Verwendung oder drohender Rufschädigung. Zudem wird der Grad des Verschuldens des Verantwortlichen bei der Bemessung der Ersatzhöhe nicht berücksichtigt. Diese müssen allerdings dargelegt und im Falle des Bestreitens vor Gericht bewiesen werden.

Bedeutung für Unternehmen
Die dritte Entscheidung zeigt, dass die Anforderungen an den Schadensersatz grundsätzlich gering sind. Verstöße gegen die DSGVO können damit leicht Schadensersatzforderungen nach sich ziehen – auch aufgrund subjektiver negativer Beeinträchtigungen. Für Unternehmen bedeutet das, dass auch nur kleine Verstöße Schadensersatzforderungen auslösen können. Der beste Schutz hiergegen ist ein funktionierendes Datenschutz-Management, in dem das Risiko von DSGVO-Verstößen strukturell minimiert und durch eine funktionierende Governance anlassbezogen Maßnahmen ergriffen werden.

Strafanzeige nach digitalem Unterricht

Microsoft 365 Education darf Schüler nicht tracken

4 Dinge, die CIOs jetzt prüfen sollten

• 1. Pseudonymisierung: Sofern pseudonyme Daten für eigene Zwecke genutzt werden sollen – wird durch ein belastbares Pseudonymisierungskonzept sicher dokumentiert, dass Re-Identifizierungen technisch und organisatorisch ausgeschlossen sind?

• 2. Datentransfers: Sind die US-Dienstleister nach dem DPF zertifiziert?

• 3. Fallback-Lösungen: Welche Vorsorgemaßnahmen gibt es für den Fall einer erneuten Aufhebung des Beschlusses?

• 4. Datenschutz-Management: Existieren Zuständigkeiten und Prozesse zur Behebung und schnellen Bewertung von Datenschutzverstößen?

Die neuen Urteile zeigen: Der EuGH und das EuG schärfen die Pflichten für Verantwortliche, lassen aber auch Gestaltungsspielräume, die praxisnah genutzt werden sollten. Unternehmen sollten Datenschutz daher nicht nur rechtlich, sondern auch technisch und organisatorisch durchdacht umsetzen – von der Pseudonymisierung über internationale Transfers bis hin zum Vorfallsmanagement.

Über den Autor

Dr. Philipp Siedenburg ist Operating Partner am Standort Berlin der ISiCO GmbH und spezialisiert auf das Datenschutz- und Informationssicherheitsrecht.

Die Beratungsschwerpunkte von Philipp Siedenburg liegen im Gesundheitsdatenschutz, insbesondere in den Feldern Datenschutz- und Informationssicherheitsmanagement, Klinische Informationssysteme, Forschung und Telematikinfrastruktur. Er berät u. a. Klinikkonzerne, Forschungseinrichtungen und Unternehmen aus den Bereichen Digital Health, Pharma, eHealth und der Versicherungswirtschaft bei der Analyse und Gestaltung digitaler Geschäftsprozesse und -modelle in regulierten Umgebungen. Einen besonderen Schwerpunkt seiner Tätigkeit bilden Datenschutz-Folgenabschätzungen sowie das Risikomanagement für komplexe Datenverarbeitungsprozesse.

Datenschutz bei LLMs

ChatGPT, Gemini und Co. unter der Lupe: Welche KI schnüffelt am meisten?

(ID:50622072)