Definition personenbezogener Daten: Was Breyer und EDPS v SRB tatsächlich verändert haben

Dieselbe Datei kann für Sie personenbezogene Daten darstellen und für Ihren Auftragsverarbeiter nicht

Der Gerichtshof hat dies 2016 entschieden und 2025 bestätigt. Die meisten Data Maps, die meisten Auftragsverarbeitungsverträge und die meisten Anonymisierungsaussagen wurden auf der gegenteiligen Annahme aufgebaut. Nachfolgend erfahren Sie, was die Rechtsprechung tatsächlich besagt und welche Konsequenzen sie für Ihren Anwendungsbereich hat.

Inhalt

1. Was verlangt Artikel 4 Absatz 1 GDPR tatsächlich?
2. Was hat der EuGH in Breyer, C-582/14, entschieden?
3. Bedeutet Breyer, dass jeder identifizieren kann und daher alles personenbezogene Daten sind?
4. Was hat sich zwischen 2016 und 2025 verändert?
5. Was hat EDPS v SRB, C-413/23 P, im September 2025 geklärt?
6. Sind pseudonymisierte Daten immer personenbezogene Daten?
7. Warum die Digital Omnibus-Verordnung die Rechtsprechung wichtiger macht, nicht weniger
8. Was ändert sich dadurch in Ihrem Verarbeitungsverzeichnis?
9. Benötigen Sie noch einen Auftragsverarbeitungsvertrag mit einem Auftragsverarbeiter, der niemanden identifizieren kann?
10. Sind IP-Adressen und Sicherheitsprotokolle personenbezogene Daten?
11. Der Vier-Fragen-Test für jeden Datenfluss
12. Warum ich gleichzeitig einen engeren und einen weiteren Anwendungsbereich verteidige
13. Was noch offen bleibt

Das Wesentliche

• Personenbezogene Daten sind keine Eigenschaft eines Datensatzes. Sie sind eine Eigenschaft der Beziehung zwischen einem Datensatz und demjenigen, der ihn hält. Der EuGH hat dies in EDPS v SRB (C-413/23 P, 4. September 2025) ausdrücklich bestätigt. Hinreichend pseudonymisierte Daten können für den ursprünglichen Verantwortlichen personenbezogene Daten und für einen Empfänger, der sie nicht rückgängig machen kann, keine personenbezogenen Daten darstellen. Dieselben Bytes, zwei Inhaber, zwei Rechtsstatus.
• Breyer (C-582/14, 19. Oktober 2016) besagt nicht, was die meisten Menschen denken. Das Urteil stellt nicht fest, dass eine Identifizierung durch irgendjemanden, irgendwo, Daten zu personenbezogenen Daten macht. Es stellt fest, dass das fehlende Element bei einem Dritten liegen kann, sofern Sie über ein Mittel verfügen, das "nach vernünftigem Ermessen wahrscheinlich eingesetzt" wird, um es zu erreichen. Das Gericht hat eine Identifizierung, die gesetzlich verboten ist oder unverhältnismäßigen Aufwand an Zeit, Kosten und Personal erfordert, ausdrücklich ausgeschlossen.
• In Breyer war es ein konkreter und rechtmäßiger Weg, der den Ausschlag gab. Der Webseitenbetreiber protokollierte IP-Adressen genau zu dem Zweck, Angreifer zu verfolgen, und es bestanden rechtliche Wege, um Teilnehmerdaten vom ISP zu erhalten. Der Zweck schuf den Weg. Der Weg schuf den Anwendungsbereich.
• Dies bricht mit einem Jahrzehnt Aufsichtspraxis. Datenschutzbehörden behandelten pseudonymisierte Daten durchgehend als personenbezogene Daten. Diese Position spiegelt die Entscheidung des Gerichts nicht mehr wider.
• Der Gesetzgeber hat versucht, den relativen Ansatz zu kodifizieren, und ist gescheitert. Die Digital Omnibus-Verordnung schlug im November 2025 einen neuen Absatz in Artikel 4 Absatz 1 vor. Der EDPB und der EDPS haben sich in der Gemeinsamen Stellungnahme 2/2026 dagegen ausgesprochen. Der Kompromisstext des Rates vom 20. Februar 2026 hat ihn gestrichen. Die zypriotische Ratspräsidentschaft hat ihren Text Ende Juni 2026 mangels qualifizierter Mehrheit aus dem COREPER II zurückgezogen. Die Rechtsprechung ist der einzige operative Standard.

Eine Organisation, die ich letztes Jahr geprüft habe, führte in ihrem Verarbeitungsverzeichnis für ihre gesamte Produkt-Telemetriepipeline eine einzige Zeile. Kategorie: technische Daten. Personenbezogene Daten: nein.

The pipeline collected device identifiers, session tokens and IP addresses. It shipped them to an analytics vendor. The vendor could not identify anyone, and that was the stated reason for the "no."

Zwei Probleme, in entgegengesetzten Richtungen.

Das erste: Das Unternehmen selbst konnte nahezu jede dieser Sitzungen identifizieren, weil es die Kontodatenbank hielt, der das Sitzungstoken zugeordnet war. In seinen eigenen Händen waren diese Daten eindeutig personenbezogen. Der Eintrag war falsch.

Das zweite, und interessantere: Der Eintrag war auch in Bezug auf den Dienstleister falsch, und zwar in die entgegengesetzte Richtung. Niemand hatte je geprüft, ob der Dienstleister eine Person erreichen konnte. Niemand hatte schriftlich festgehalten, warum nicht. Das Unternehmen war zufällig zum richtigen Schluss über den Dienstleister gelangt und konnte diesen nicht verteidigen.

One line in a spreadsheet, two errors, pointing opposite ways. That is what happens when you treat "personal data" as a property of the file rather than a property of the holder.

Der Gerichtshof hat diese Frage geklärt. Zweimal. Außerhalb des Datenschutzrechts hat kaum jemand eines dieser Urteile gelesen.

Was verlangt Artikel 4 Absatz 1 GDPR tatsächlich?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Everyone stops at "identified." All the difficulty lives in "identifiable."

Erwägungsgrund 26 liefert den Maßstab. Es sind alle Mittel zu berücksichtigen, die vernünftigerweise eingesetzt werden könnten, entweder vom Verantwortlichen oder von einer anderen Person, um die betreffende Person direkt oder indirekt zu identifizieren.

Zwei Wendungen in diesem Satz leisten die gesamte Arbeit, und sie ziehen in entgegengesetzte Richtungen.

"Or by another person" widens the scope. Identification does not have to be something you can perform alone.

"Reasonably likely to be used" narrows it back. Theoretical possibility is not enough.

Jedes Urteil des letzten Jahrzehnts ist das Ergebnis des Gerichtshofs, der zwischen diesen beiden Wendungen kalibriert. Zitieren Sie eine ohne die andere, und Sie werden die Antwort falsch bekommen, in welche Richtung es Ihnen auch gerade passt.

Was hat der EuGH in Breyer, C-582/14, entschieden?

Patrick Breyer, ein deutscher Politiker und Datenschutzaktivist, besuchte Websites deutscher Bundesbehörden. Diese Websites protokollierten die IP-Adressen der Besucher zusammen mit aufgerufenen Seiten, eingegebenen Suchbegriffen, Zeitstempeln und Datenmengen. Der angegebene Zweck war die Abwehr von Cyberangriffen und die anschließende Strafverfolgung.

Breyer wollte die Protokollierung stoppen. Der Fall gelangte zum Bundesgerichtshof, der dem Gerichtshof eine Frage zur Vorabentscheidung vorlegte.

Die vorgelegte Frage ist der wertvolle Kern. Breyers IP-Adresse war dynamisch. Sie änderte sich mit jeder Verbindung. Im Serverprotokoll einer Bundesbehörde allein identifizierte sie niemanden. Nur der Internetdienstanbieter hielt den Teilnehmerdatensatz, der diese Adresse zu einem bestimmten Zeitpunkt einer Person zuordnen konnte.

Also: Ist eine dynamische IP-Adresse personenbezogenes Datum in den Händen des Webseitenbetreibers, wenn der Betreiber niemanden identifizieren kann und ein Dritter das fehlende Element hält?

Der Gerichtshof antwortete mit Ja, unter Bedingungen.

Er stellte fest, dass es nicht erforderlich ist, dass alle zur Identifizierung erforderlichen Informationen in den Händen einer einzigen Person liegen. Von einem Dritten gehaltene Daten können berücksichtigt werden.

Aber nicht automatisch. Der vom Gericht festgelegte Maßstab war, ob die Möglichkeit, die IP-Adresse mit den zusätzlichen Daten des ISP zu kombinieren, ein Mittel darstellt, das nach vernünftigem Ermessen wahrscheinlich eingesetzt wird, um die Person zu identifizieren.

Und es zog die Grenze ausdrücklich. Das wäre nicht der Fall, wenn die Identifizierung gesetzlich verboten ist oder praktisch unmöglich, weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Personal erfordert, sodass das Identifizierungsrisiko in der Realität insignifikant ist.

Was den Fall entschied, war keine Abstraktion. Es war ein konkreter Sachverhalt. Da der Betreiber genau zu dem Zweck protokollierte, auf Cyberangriffe zu reagieren, bestanden rechtliche Wege, über die er sich an die zuständige Behörde wenden und die Teilnehmerdaten erhalten konnte. Der Weg bestand, er war rechtmäßig, er war nutzbar. Daher waren die IP-Adressen in den Händen des Betreibers personenbezogene Daten.

Der eigene Zweck des Betreibers war es, der den Weg geschaffen hat.

Bedeutet Breyer, dass jeder identifizieren kann und daher alles personenbezogene Daten sind?

Nein. Und dies ist die Auslegung, die den größten Schaden angerichtet hat.

Die verbreitete Version von Breyer lautet: Die Identifizierung muss nicht durch Sie erfolgen, sie kann durch jeden erfolgen, daher sind praktisch alle Daten personenbezogene Daten.

Das reduziert den Test auf einen absoluten, und das Gericht hat dies ausdrücklich abgelehnt. Breyer ist ein relativer Test mit einer Drittpartei-Erweiterung. Die Erweiterung ist real. Der Test bleibt relativ, und er ist weiterhin an Verhältnismäßigkeit und Rechtmäßigkeit geknüpft.

Die vertretbare Kurzfassung:

Die Elemente müssen nicht in denselben Händen liegen. Sie benötigen jedoch ein Mittel, das fehlende Element zu erreichen, das sowohl verhältnismäßig als auch rechtmäßig ist.

That is a very different sentence from "anyone, anywhere, therefore everything." One of them will get you removed from a scoping workshop.

Was hat sich zwischen 2016 und 2025 verändert?

Breyer hinterließ eine Lücke. Das Urteil bestätigte, dass Informationen Dritter berücksichtigt werden, klärte jedoch nicht, was gilt, wenn ein bestimmter Inhaber diese tatsächlich nicht erreichen kann.

That hole filled slowly. The Court reaffirmed the broad reach of the "relates to" limb in IAB Europe (C-604/22). It reaffirmed the insignificant-risk boundary in OC v Commission (2024): identification means are not reasonably likely where identification is prohibited by law or demands disproportionate effort.

Unterdessen vertraten die Aufsichtsbehörden in der Praxis eine weitaus strengere Linie. Die gängige Position lautete jahrelang: Pseudonymisierte Daten sind immer personenbezogene Daten, Punkt. Ein Schlüssel existiert irgendwo, daher sind die Daten für jeden, der sie berührt, personenbezogen.

Diese Position hatte den Vorteil, einfach anwendbar zu sein. Sie hatte auch einen Fehler. Sie entsprach nicht dem, was das Gericht gesagt hatte.

Was hat EDPS v SRB, C-413/23 P, im September 2025 geklärt?

Die Banco Popular Español kollabierte 2017. Das Einheitliche Abwicklungsgremium musste prüfen, ob ehemaligen Aktionären und Gläubigern eine Entschädigung zustand. Es führte eine Anhörungskonsultation durch und sammelte schriftliche Stellungnahmen betroffener Beteiligter.

Das SRB übermittelte diese Stellungnahmen anschließend für Bewertungsarbeiten an Deloitte. Es entfernte die identifizierenden Informationen zuvor. Deloitte erhielt einen pseudonymisierten Datensatz und nie den Schlüssel.

Betroffene Beteiligte beschwerten sich beim Europäischen Datenschutzbeauftragten. Der EDPS befand, dass die Stellungnahmen in den Händen von Deloitte personenbezogene Daten blieben, da das SRB die Fähigkeit zur Re-Identifizierung behielt. Deloitte war daher ein Empfänger personenbezogener Daten, und das SRB hatte es in seiner Datenschutzerklärung nicht benannt.

Das Gericht erster Instanz hob diese Entscheidung im April 2023 (T-557/20) auf und stellte fest, dass die Identifizierbarkeit aus der Perspektive des Empfängers zu beurteilen ist. Der EDPS legte Rechtsmittel ein.

Am 4. September 2025 hob der Gerichtshof das Urteil des Gerichts erster Instanz auf und stellte dabei drei voneinander zu unterscheidende Dinge fest.

Erstens. Meinungsäußerungen sind ihrer Natur nach personenbezogene Daten. The Court disagreed with the General Court on the "relates to" limb. Personal opinions and views, as an expression of a person's thoughts, are inherently linked to their author. No content, purpose or effect analysis is needed. Free-text fields, survey comments, incident reports written in someone's own words: these relate to their author automatically.

Two. "Personal" is not an absolute characteristic of data. Hinreichend pseudonymisierte Daten können für den ursprünglichen Verantwortlichen personenbezogene Daten darstellen, während sie für einen Empfänger, der die Pseudonymisierung nicht rückgängig machen kann und über kein anderes vernünftigerweise wahrscheinliches Identifizierungsmittel verfügt, keine personenbezogenen Daten darstellen. Derselbe Datensatz, zwei Inhaber, zwei Rechtsstatus. Das Gericht wies das Argument des EDPS ausdrücklich zurück, wonach eine relative Beurteilung den Begriff unangemessen einengen und den Schutz schwächen würde.

Drittens. Transparenz wird dennoch zum Zeitpunkt der Erhebung aus der Perspektive des Verantwortlichen beurteilt. Das SRB verlor trotzdem in dem für es entscheidenden Punkt. Für die Pflicht zur Information der betroffenen Personen über Empfänger wird die Identifizierbarkeit aus der Perspektive des Verantwortlichen zum Zeitpunkt der Erhebung beurteilt. Sie können keine Daten erheben, über die beabsichtigte Übermittlung schweigen und anschließend argumentieren, die Pseudonymisierung habe die Offenlegung des Empfängers entbehrlich gemacht.

Die dritte Feststellung ist diejenige, die Menschen überspringen, wenn sie sich über die zweite begeistern. Überspringen Sie sie nicht. Sie ist die, die Sie einen Befund kosten wird.

Sind pseudonymisierte Daten immer personenbezogene Daten?

Nein, und darin liegt der praktische Bruch.

Jahrelang lautete die gängige Annahme: ja, ausnahmslos, in jedem Inhaberverhältnis. EDPS v SRB ist das erste Urteil, in dem das Gericht ausdrücklich das Gegenteil festgestellt hat.

Die korrekte Formulierung hat nun drei Teile.

Für den Verantwortlichen, der den Schlüssel hält, sind pseudonymisierte Daten personenbezogene Daten. Pseudonymisierung ist eine Sicherheitsmaßnahme, kein Ausscheiden aus dem Anwendungsbereich.

Für einen Empfänger, der den Schlüssel nicht hält und über kein anderes vernünftigerweise wahrscheinliches Mittel verfügt, können dieselben Daten vollständig außerhalb der Definition liegen.

Und die Beweislast für diesen zweiten Satz liegt bei Ihnen. Sie erfordert eine schriftliche Beurteilung, die den Inhaber, die diesem Inhaber zur Verfügung stehenden Mittel und den Grund benennt, warum das verbleibende Re-Identifizierungsrisiko insignifikant ist.

If you built your data map on "pseudonymised equals personal, everywhere, always," your map now describes a rule that no longer exists.

Warum die Digital Omnibus-Verordnung die Rechtsprechung wichtiger macht, nicht weniger

Am 19. November 2025 veröffentlichte die Europäische Kommission die Digital Omnibus-Verordnung, das umfangreichste Paket vorgeschlagener GDPR-Änderungen seit Anwendungsbeginn der Verordnung. Darunter befand sich ein neuer Absatz in Artikel 4 Absatz 1, der den relativen Ansatz nahezu wortgleich kodifizierte: Informationen wären für eine bestimmte Stelle keine personenbezogenen Daten, wenn diese Stelle die betreffende Person unter Berücksichtigung der von ihr vernünftigerweise einzusetzenden Mittel nicht identifizieren kann, und würden nicht allein deshalb zu personenbezogenen Daten, weil ein nachfolgender Empfänger über solche Mittel verfügt.

Es hat nicht überlebt.

Am 10. Februar 2026 verabschiedeten der EDPB und der EDPS die Gemeinsame Stellungnahme 2/2026 und forderten die Mitgesetzgeber auf, die Änderungen an Artikel 4 Absatz 1 in der vorliegenden Fassung nicht zu übernehmen. Ihre Begründung: Der Vorschlag geht weit über eine gezielte oder technische Änderung hinaus, gibt die Rechtsprechung des Gerichtshofs nicht zutreffend wieder und dürfte die Rechtsunsicherheit eher erhöhen als verringern.

Der Kompromisstext des Rates vom 20. Februar 2026, der von der zypriotischen Ratspräsidentschaft zirkuliert wurde, strich die überarbeitete Definition vollständig, zusammen mit der vorgeschlagenen Erweiterung der Definition wissenschaftlicher Forschung und den Änderungen an Artikel 22.

Und die Akte ist seitdem nicht abgeschlossen. Ende Juni 2026 zog die zypriotische Ratspräsidentschaft ihren Kompromisstext aus dem COREPER II-Genehmigungsverfahren zurück, nachdem deutlich wurde, dass er keine qualifizierte Mehrheit unter den Mitgliedstaaten erzielen konnte. Der Rat übergab die Präsidentschaft am 1. Juli 2026 ohne eine gesicherte Position an die irische Ratspräsidentschaft. Die KI-Hälfte des Pakets wurde vom Rat am 29. Juni 2026 angenommen. Die Datenhälfte, die GDPR, ePrivacy, NIS2 und DORA umfasst, befindet sich noch in Verhandlung; eine endgültige Annahme ist realistischerweise nicht vor Ende 2026 zu erwarten.

Lesen Sie die Abfolge richtig. Der Gesetzgeber hat versucht, schriftlich festzuhalten, was das Gericht bereits entschieden hatte. Die Regulierungsbehörden teilten ihm mit, dass die Formulierung die Rechtsprechung falsch wiedergibt. Er ruderte zurück.

Das bedeutet: Die Rechtsprechung ist das geltende Recht. Breyer plus EDPS v SRB ist Ihr operativer Standard heute, und es kommt keine gesetzliche Abkürzung, die die Analyse für Sie erledigt.

Was ändert sich dadurch in Ihrem Verarbeitungsverzeichnis?

Die meisten Verarbeitungsverzeichnisse enthalten eine einzige Spalte: Beinhaltet diese Verarbeitung personenbezogene Daten, ja oder nein.

Diese Spalte setzt eine absolute Eigenschaft voraus. Diese Eigenschaft existiert nicht.

Die korrekte Struktur ist pro Datenfluss und pro Akteur. Sind diese Daten personenbezogen für uns. Sind sie personenbezogen für die Stelle, an die wir sie übermitteln. Was konkret macht den Unterschied.

Zwei Konsequenzen, und sie verlaufen in entgegengesetzten Richtungen, weshalb niemand beide erfasst.

Sie sind wahrscheinlich irgendwo im Anwendungsbereich zu weit gefasst und führen den vollständigen GDPR-Mechanismus über Datensätze aus, die in den Händen der sie haltenden Stelle tatsächlich nicht personenbezogen sind. Das bedeutet Kosten und Reibung ohne jeden Schutznutzen.

Sie sind fast sicher irgendwo anders zu eng gefasst und halten etwas, das Sie als anonym bezeichnet haben, während ein rechtmäßiger Weg zur fehlenden Hälfte offen vor Ihnen liegt. Breyer ist das Urteil, das Sie dort ertappt, und es ertappt Sicherheitsteams häufiger als jeden anderen.

Benötigen Sie noch einen Auftragsverarbeitungsvertrag mit einem Auftragsverarbeiter, der niemanden identifizieren kann?

Wenn ein Empfänger tatsächlich niemanden identifizieren kann, unter Berücksichtigung aller vernünftigerweise wahrscheinlich einzusetzenden Mittel, dann sind die Daten in den Händen dieses Empfängers keine personenbezogenen Daten, und Artikel 28 findet auf sie als solche keine Anwendung.

Ich rate Ihnen nicht, Ihre Auftragsverarbeitungsverträge zu zerreißen, und ich möchte präzise erläutern, warum.

Die Beurteilung ist eine Momentaufnahme. Datensätze werden angereichert. Mitarbeitende wechseln zwischen Organisationen. Ein Empfänger, der heute niemanden identifizieren kann, kann die Mittel morgen durch eine unverbundene Akquisition oder einen unverbundenen Datenkauf erlangen. Vertragliche Verpflichtungen sind auch Teil dessen, was eine Re-Identifizierung rechtlich unmöglich macht, was eines der eigenen Kriterien des Gerichtshofs ist. Entfernen Sie den Vertrag, und Sie entfernen möglicherweise genau das, was die Daten außerhalb des Anwendungsbereichs hielt.

Was ich Ihnen sage, ist: Hören Sie auf, diese Verträge reflexartig zu unterzeichnen, und beginnen Sie damit, in einem Absatz darlegen zu können, warum dieser Empfänger im Anwendungsbereich ist oder nicht, und was die Antwort ändern würde.

Dieser Absatz ist das Artefakt, das ein Prüfer verlangen sollte. Nach meiner Erfahrung tut das fast keiner.

Sind IP-Adressen und Sicherheitsprotokolle personenbezogene Daten?

Hier trifft Breyer am härtesten, und hier sind Sicherheitsteams am stärksten exponiert, weil wir diejenigen sind, die die Daten erzeugen.

Webserver-Protokolle. VPN- und Firewall-Protokolle. EDR-Telemetrie. Gerätekennungen. SIEM-Anreicherung. Threat-Intelligence-Feeds mit IP-Adressen und Kontonamen.

Die Breyer-Logik gilt für all das unmittelbar, und der erschwerende Faktor ist unser eigener erklärter Zweck. Wir führen diese Protokolle genau deshalb, um im Ereignisfall Attribution zu betreiben. Dieser Zweck ist es, der einen rechtmäßigen Weg zur Identifizierung begründet. Die deutsche Bundesregierung verlor Breyer teilweise aufgrund des Zwecks ihrer Protokollierung.

So the argument "these are just IPs, it is technical data, it is not personal" is dead on arrival in a security context. Your own purpose defeats it.

Das bedeutet nicht: Hören Sie mit dem Protokollieren auf. Breyer hat bestätigt, dass berechtigtes Interesse genau hierfür verfügbar ist. Es bedeutet: Protokollieren Sie mit einer angegebenen Rechtsgrundlage, einer verteidigbaren Aufbewahrungsfrist und einem Datenschutzhinweis, der widerspiegelt, was Sie tatsächlich tun.

Der Vier-Fragen-Test für jeden Datenfluss

Pro Akteur, pro Datenfluss. Niemals pro Datensatz.

1. Wer hält die Daten? Benennen Sie die konkrete Stelle. Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter, Empfänger. Wenn Sie sie nicht benennen können, können Sie auch keine Beurteilung vornehmen.

2. Was ist das fehlende Element, und wo befindet es sich? Identifizieren Sie die zusätzlichen Informationen, die erforderlich sind, um die Daten mit einer Person zu verknüpfen, und bestimmen Sie, wer sie hält.

3. Gibt es einen verhältnismäßigen und rechtmäßigen Weg zu diesem Element? Vertrag. Gesetzliche Befugnis. Käuflich erwerblicher Datensatz. Behördlicher oder gerichtlicher Weg. Ein von einem verbundenen Unternehmen gehaltener Schlüssel. Gewöhnliche technische Korrelation mit anderen bereits gehaltenen Daten. Wenn ein nutzbarer Weg besteht, sind die Daten für diesen Inhaber personenbezogen.

4. Wenn nicht: Warum ist das verbleibende Risiko insignifikant? Halten Sie den Grund schriftlich fest. Gesetzliches Verbot. Vertragliches Verbot. Schlüssel vernichtet oder unter Kontrollen getrennt. Unverhältnismäßiger Aufwand an Zeit, Kosten und Personal. Geben Sie dann an, welches Ereignis Sie dazu veranlassen würde, die Beurteilung erneut durchzuführen.

Vier Fragen. Eine Seite pro wesentlichem Datenfluss. Diese Seite ist es, die eine Scoping-Entscheidung von einer Gewohnheit in eine Position verwandelt, die Sie verteidigen können, wenn eine Aufsichtsbehörde fragt, warum etwas außerhalb Ihres Anwendungsbereichs liegt.

Warum ich gleichzeitig einen engeren Anwendungsbereich verteidige und für einen weiteren plädiere

Es gibt einen offensichtlichen Einwand gegen alles Vorstehende, und er verdient eine direkte Antwort, keine Fußnote.

Der relative Ansatz kann missbraucht werden. Er gibt jeder Organisation ein Argument für die Einschränkung ihres eigenen Anwendungsbereichs, und der Anreiz, zu diesem Schluss zu gelangen, ist enorm. Der EDPS hat genau dieses Argument vor dem Gericht vorgebracht und verloren. Der EDPB hat eine Version davon gegen die Formulierung der Digital Omnibus-Verordnung vorgebracht und dabei obsiegt.

Ich halte die Bedenken für berechtigt, und ich meine, die Antwort darauf ist nicht, so zu tun, als sage die Rechtsprechung etwas anderes.

Ein relativer Test schwächt den Schutz nicht, wenn er ehrlich angewendet wird, denn er ist symmetrisch. Er schränkt Ihren Anwendungsbereich dort ein, wo Sie eine Person tatsächlich nicht erreichen können. Er erweitert Ihren Anwendungsbereich, und das ist die Hälfte, die niemand will, überall dort, wo ein rechtmäßiger Weg besteht, nach dem Sie nicht gesucht hatten. Korrekt angewendet erzeugt er in Sicherheitstelemetrie und Anreicherungspipelines mehr Anwendungsbereich, als der bequeme absolute Test je getan hat.

Der Missbrauch liegt nicht im relativen Ansatz. Der Missbrauch besteht darin, nur die Hälfte davon anzuwenden: die Einschränkung ohne die Erweiterung zu nehmen, die Empfängerausnahme zu beanspruchen, ohne je die Beurteilung schriftlich vorzunehmen, und Frage drei nie auf die eigenen Protokolle anzuwenden.

Wenn Sie diesen Artikel nur dazu verwenden, Ihr ROPA zu verkleinern, haben Sie ihn falsch verwendet.

Was noch offen bleibt

Drei Punkte sind es wert, beobachtet zu werden.

Die Datenhälfte der Digital Omnibus-Verordnung wird noch unter der irischen Ratspräsidentschaft verhandelt; eine Annahme wird frühestens Ende 2026 erwartet. Die Überarbeitung von Artikel 4 Absatz 1 ist im derzeitigen Ratstext nicht enthalten. Das kann sich ändern.

Die EDPB-Leitlinien 01/2025 zur Pseudonymisierung wurden vor dem Urteil vom September 2025 erarbeitet und nehmen eine strengere Haltung ein als das Gericht. Wie der Ausschuss seine Leitlinien mit EDPS v SRB in Einklang bringt, wird für Ihren Prüfer mehr Gewicht haben als das Urteil selbst.

Und die praktische Frage, die das Urteil aufwirft, ohne sie zu beantworten: Was regelt die Beziehung, wenn ein Auftragsverarbeiter tatsächlich außerhalb des Anwendungsbereichs liegt. Vertragsrecht und Vertraulichkeit, mutmaßlich. Aber niemand hat eine vertretbare Mustervorlage veröffentlicht, und ich möchte nicht die erste Organisation sein, die dies vor Gericht ausstreitet.

Das ist kein Grund zu warten. Die Scoping-Arbeit ist so oder so dieselbe, und die vier Fragen oben hängen nicht davon ab, wie die Omnibus-Verordnung ausgeht.

Sehen Sie sich einen Datenfluss an. Wählen Sie denjenigen, den Sie noch nie hinterfragt haben. Das ist der richtige.

Quellen

• EuGH, Rechtssache C-582/14, Patrick Breyer gegen Bundesrepublik Deutschland, Urteil vom 19. Oktober 2016.
• EuGH, Rechtssache C-413/23 P, EDPS v SRB, Urteil vom 4. September 2025, mit dem das Urteil des Gerichts erster Instanz in T-557/20 vom 26. April 2023 aufgehoben wurde.
• EuGH, Rechtssache C-604/22, IAB Europe.
• EuGH, OC v Commission, 2024, zum insignifikanten Re-Identifizierungsrisiko.
• EDPB-EDPS Gemeinsame Stellungnahme 2/2026 zum Vorschlag der Digital Omnibus-Verordnung, verabschiedet am 10. Februar 2026.
• Rat der Europäischen Union, Kompromisstext der zypriotischen Ratspräsidentschaft zur Digital Omnibus-Verordnung, 20. Februar 2026, und Rückzug aus dem COREPER II-Genehmigungsverfahren, Ende Juni 2026.
• Europäische Kommission, Digital Omnibus-Paket, veröffentlicht am 19. November 2025.
• EDPB-Leitlinien 01/2025 zur Pseudonymisierung.
• Verordnung (EU) 2018/1725 (EUDPR), inhaltlich gleichwertig mit der GDPR hinsichtlich der Definition personenbezogener Daten und der Transparenzpflichten.

Häufig gestellte Fragen

Ist eine IP-Adresse ein personenbezogenes Datum im Sinne der GDPR?

Das hängt davon ab, wer sie hält. Nach Breyer (C-582/14) ist eine dynamische IP-Adresse für einen Webseitenbetreiber personenbezogen, wenn dieser über einen verhältnismäßigen und rechtmäßigen Weg verfügt, die Teilnehmerdaten vom Internetdienstanbieter zu erhalten. Wenn kein solcher Weg besteht, muss das nicht der Fall sein. Für ein Sicherheitsteam, das IP-Adressen protokolliert, um Angreifer zu verfolgen, besteht der Weg in der Regel, da der erklärte Zweck ihn begründet.

Besagt Breyer, dass Daten personenbezogen sind, wenn irgendeine Person sie identifizieren kann?

Nein. Das ist die häufigste Fehllektüre. Breyer bestätigt, dass die zusätzlichen zur Identifizierung erforderlichen Informationen nicht von derselben Person gehalten werden müssen, knüpft dies jedoch daran, dass die Kombination ein Mittel darstellt, das nach vernünftigem Ermessen wahrscheinlich eingesetzt wird. Das Gericht hat eine Identifizierung, die gesetzlich verboten ist oder einen unverhältnismäßigen Aufwand an Zeit, Kosten und Personal erfordert, sodass das Risiko insignifikant wird, ausdrücklich ausgeschlossen.

Sind pseudonymisierte Daten immer personenbezogene Daten?

Nein, nicht für jeden Inhaber. In EDPS v SRB (C-413/23 P, 4. September 2025) hat der Gerichtshof bestätigt, dass hinreichend pseudonymisierte Daten für den Verantwortlichen, der den Schlüssel hält, personenbezogene Daten sein können, während sie für einen Empfänger, der die Pseudonymisierung nicht rückgängig machen kann und über kein anderes vernünftigerweise wahrscheinliches Identifizierungsmittel verfügt, keine personenbezogenen Daten darstellen. Für den Verantwortlichen, der den Schlüssel hält, bleiben sie personenbezogene Daten.

Kann derselbe Datensatz für eine Organisation personenbezogene Daten darstellen und für eine andere nicht?

Yes. That is the direct holding of EDPS v SRB. "Personal" is not an absolute characteristic of the data. It is assessed relative to the entity holding it and the means reasonably likely to be available to that entity.

Benötige ich noch einen Auftragsverarbeitungsvertrag, wenn mein Auftragsverarbeiter niemanden identifizieren kann?

Wenn der Empfänger tatsächlich niemanden identifizieren kann, findet Artikel 28 auf diese Daten als solche keine Anwendung. In der Praxis sollten Sie vertragliche Kontrollen in der Regel aufrechterhalten: Die Beurteilung kann sich im Laufe der Zeit ändern, und ein vertragliches Verbot der Re-Identifizierung ist selbst einer der Faktoren, die die Daten außerhalb des Anwendungsbereichs halten. Was sich ändert, ist, dass Sie die Position schriftlich begründen können sollten, anstatt reflexartig zu unterzeichnen.

Hat die Digital Omnibus-Verordnung die Definition personenbezogener Daten geändert?

Derzeit nicht. Die Kommission hat im November 2025 eine überarbeitete Fassung von Artikel 4 Absatz 1 vorgeschlagen. Der EDPB und der EDPS haben sich in der Gemeinsamen Stellungnahme 2/2026 vom 10. Februar 2026 dagegen ausgesprochen, und der Kompromisstext des Rates vom 20. Februar 2026 hat sie vollständig gestrichen. Die zypriotische Ratspräsidentschaft hat ihren Text Ende Juni 2026 mangels qualifizierter Mehrheit aus dem COREPER II zurückgezogen, und die Akte wurde ohne eine Ratsposition an die irische Ratspräsidentschaft übergeben. Die Rechtsprechung bleibt der operative Standard.

Wie dokumentiere ich eine Anonymisierungsaussage so, dass sie einer Prüfung standhält?

Benennen Sie den Inhaber, identifizieren Sie die zur Identifizierung erforderlichen zusätzlichen Informationen und deren Speicherort, geben Sie an, ob ein verhältnismäßiger und rechtmäßiger Weg dazu besteht, und wenn nicht, erläutern Sie, warum das verbleibende Risiko unter Anwendung der eigenen Kriterien des Gerichtshofs insignifikant ist: gesetzliches Verbot, vertragliches Verbot, Fehlen des Schlüssels oder unverhältnismäßiger Aufwand an Zeit, Kosten und Personal. Halten Sie dann fest, welches Ereignis eine erneute Beurteilung erforderlich machen würde. Eine Anonymisierungsaussage, die keinen Inhaber benennt, ist keine Beurteilung.

Gilt das auch für Sicherheitsprotokolle und SIEM-Daten?

Ja, und zwar nachdrücklicher als für die meisten anderen Kategorien. Sicherheitsprotokolle werden genau zu dem Zweck aufbewahrt, Attribution zu unterstützen, und dieser Zweck begründet einen rechtmäßigen Weg zur Identifizierung. Die Breyer-Logik gilt unmittelbar. Die richtige Reaktion ist nicht, mit dem Protokollieren aufzuhören, sondern eine Rechtsgrundlage anzugeben, die Aufbewahrungsfrist zu verteidigen und den Datenschutzhinweis der Realität anzupassen.

Christophe Mazzola ist Gründer der Cyber Academy und praktizierender CISO. Er bietet PECB- und ISACA-Zertifizierungstrainings in ganz Europa an, darunter ISO/IEC 27001 Lead Implementer und Lead Auditor, ISO 31000 Lead Risk Manager sowie ISO/IEC 27701.