Bericht : Personenbezug nach Maß? : aus der RDV 4/2026, Seite 224 bis 226
Der Digitale Omnibus stellt den Personenbezug nach der DS-GVO auf den Prüfstand und sorgt mit neuen Regeln zu Pseudonymisierung und Identifizierbarkeit für Streit.
Am 19.11.2025 hat die Europäische Kommission ihren Vorschlag für einen Digitalen Omnibus vorgelegt. Unter den zahlreichen großen Posten steht eine wenige Zeilen lange Änderung, die tief reicht und entsprechend heftig umstritten ist.[1] Sie bestimmt den Begriff der personenbezogenen Daten und damit den Anwendungsbereich der DS-GVO insgesamt. Die Kommission spricht von einer bloßen Klarstellung der Rechtsprechung. Der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDSB) halten ihr in einer gemeinsamen Stellungnahme vom 10.2.2026 entgegen. Die Defi nition werde spürbar enger. Sie raten von ihrer Annahme ab.[2]
Ein alter Streit
Art. 4 Nr. 1 DS-GVO versteht unter personenbezogenen Daten alle Informationen über eine identifi zierte oder identifi zierbare natürliche Person.[3]Diesem Begriff will die Kommission einen Abs. anfügen, der die Frage der Identifi zierbarkeit ausdrücklich auf die jeweils handelnde Stelle bezieht.[4]
Neu ist der Gedanke nicht. Hinter ihm steht ein Streit, der im Datenschutzrecht lange geführt wurde. Die Frage, die sich stellte, war: Ist ein Datum schon personenbezogen, sobald irgendwer auf der Welt die dahinterstehende Person bestimmen könnte? Oder kommt es darauf an, ob die konkret verarbeitende Stelle dies kann? Der Wortlaut der DS-GVO ist bisher uneindeutig. ErwG 26 konkretisiert lediglich den erforderlichen Aufwand und stellt auf die Mittel ab, die nach allgemeinem Ermessen wahrscheinlich genutzt werden.[5]
Der EuGH hat sich für ein relatives Verständnis entschieden und auf den jeweiligen Verantwortlichen abgestellt.[6] Er hat die Personenbezogenheit dynamischer IP-Adressen für Webseitenbetreiber beispielsweise deswegen bejaht, weil den Betreibern rechtliche Mittel offenstehen, um den Inhaber einer dynamischen IP-Adresse über den Zugangsanbieter zu identifi zieren.[7] In Sachen EDSB/SRB hat der Gerichtshof die Linie ausdrücklich auch auf pseudonymisierte Daten erstreckt. Werden pseudonymisierte Daten einem Empfänger zugänglich gemacht, der die Personen mit vernünftigem Aufwand bestimmen kann, sind sie personenbezogen, und zwar für diesen Empfänger und mittelbar auch für die Stelle, die sie herausgibt.[8]
Kodifikation oder Kurskorrektur?
Erklärtes Ziel der Kommission ist, die Rechtsprechung des EuGH nachzuzeichnen.[9] Als bloße Nachzeichnung der Rechtsprechung lasse sich der Zusatz EDSA und EDSB zufolge jedoch nur zum Teil lesen. In ihrer Joint Opinion 2/2026 halten sie fest, dass die vorgeschlagene Defi nition über eine reine Klarstellung hinausgehe.[10]Den Anstoß nehmen sie vor allem am dritten S. der Ergänzung. Er erklärt, Daten seien nicht allein deshalb personenbezogen, weil ein potenzieller späterer Empfänger die betroffene Person identifizieren könne. Das gehe zu weit und kehre teilweise um, was der Gerichtshof in Sachen EDSB/SRB entschieden habe. Der habe solche Daten auch der herausgebenden Stelle zugerechnet.[11] Praktisch, sodie Stellungnahme, lade der Zusatz dazu ein, Daten so lange weiterzureichen, bis sie bei einer Stelle liegen, für die sie isoliert betrachtet anonym wirken.
Den zweiten Einwand führen sie handwerklich. Eine Definition solle sagen, was ein personenbezogenes Datum ist, nicht, woran es im Einzelfall fehlt. Eine solche Verneinung verlagere die Unsicherheit nur, zumal die Defi nition am Ende nach wie vor an dem unbestimmten „vernünftigerweise“ hinge, das der Vorschlag nicht ausfüllt.[12] Weil der Begriff den Anwendungsbereich des gesamten Datenschutzrechts und mit Art. 8 GRCh ein Grundrecht trägt, raten EDSA und EDSB die Definitionsänderung nicht zu beschließen.[13]
Nicht alle teilen diese Bewertung. Ob ein Datum personenbezogen sei, dürfe, so der Branchenverband Bitkom, keine „abstrakt-theoretische Übung“ sein; es komme auf die Mittel an, die der konkret handelnden Stelle realistischerweise zur Verfügung stünden, und gerade deshalb gehöre der relative Ansatz in den Normtext.[14] Grundsätzlicher argumentiert das International Center for Law and Economics (ICLE). Die DS-GVO sei in der Praxis zu einem Recht geworden, das nahezu alles erfasst,[15]und es sei unverhältnismäßig, einer Stelle, die niemanden realistisch identifi zieren könne, das volle Pflichtenprogramm aufzuerlegen. Verhältnismäßigkeit wirke in beide Richtungen, auch zugunsten unternehmerischer Freiheit und Forschung (Art. 16, Art. 13 GRCh).[16] Den umstrittenen dritten S. deutet das ICLE abweichend vom EDSA. Maßgeblich sei der Vorbehalt „nicht allein deshalb“ (merely because). Hiernach mache zwar die bloße abstrakte Möglichkeit, dass ein Empfänger identifi zieren könne, die Daten für die abgebende Stelle noch nicht personenbezogen, wohl aber eine gezielt auf identifi zierende Empfänger zugeschnittene Offenlegung. So bleibe die mittelbare Identifizierbarkeit aus dem Urteil EDSB/SRB erhalten, die EDSA hier wegfallen sehe.[17]
Der zweite Hebel: Pseudonymisierung per Durchführungsrechtsakt
Die Definition steht nicht allein. Ein neuer Art. 41a DS-GVO soll die Kommission ermächtigen, durch Durchführungsrechtsakt zu bestimmen, wann pseudonymisierte Daten für bestimmte Stellen keine personenbezogenen Daten mehr sind.[18] Über die Reichweite eines Grundrechts entschiede dann die Exekutive im Verordnungswege. EDSA und EDSB halten das für unvereinbar damit, dass die Begriffe der DS-GVO von unabhängigen Aufsichtsbehörden unter gerichtlicher Kontrolle angewendet werden, und empfehlen, die Vorschrift zu streichen.[19] Auch die Befürworter der Kodifikation sehen den Durchführungsrechtsakt teilweise skeptisch, nur aus dem entgegengesetzten Grund: Bitkom fürchtet weniger zu viel exekutive Macht als zu wenig Bindung. Eine Verlagerung der Maßstäbe in delegierte Rechtsakte oder Leitlinien schaffe keine Sicherheit.[20]
Fazit
Wer in diesem Streit recht hat, ist noch nicht ausgemacht. Der relative Personenbezug entspricht der Rechtsprechung, und die Praxis wartet auf verlässliche Maßstäbe für Pseudonymisierung und Anonymisierung. Insofern trifft die Reform einen echten Bedarf. Zugleich rührt sie an dem Begriff, an dem der gesamte Anwendungsbereich des Datenschutzrechts und mit Art. 8 GRCh ein Grundrecht hängt und eine Negativ-Definition mit einem unbestimmten Schlüsselbegriff samt delegierter Grenzziehung kann die erhoffte Sicherheit ebenso gut verfehlen. Ob der bessere Weg eine engere Fassung des dritten Satzes ist, wird das weitere Verfahren zeigen müssen. Dass der Rat die neue Definition in einem bereits bekannt gewordenen Kompromiss wieder gestrichen hat,[21]macht vor allem deutlich, wie offen der Ausgang ist.
*Axel Voss ist Mitglied des Europäischen Parlaments für die EVP. Er ist Berichterstatter des hier besprochenen Initiativberichts. Lucia Burkhardt ist wissenschaftliche Mitarbeiterin an der Kölner Forschungsstelle für Medienrecht an der Technischen Hochschule Köln.
[1] Vorschlag der Kommission für eine Verordnung zur Vereinfachung des digitalen Rechtsrahmens (Digital Omnibus), COM(2025) 837 fi nal; überblicksartig dargestellt bei Voss/Köhler, Bericht aus Brüssel, RDV 2026, 57
[2] EDSA-EDSB, Joint Opinion 2/2026 (Digital Omnibus), angenommen am 10.2.2026, Rn. 17, 21.
[3] Art. 4 Nr. 1 DS-GVO.
[4] Vorgeschlagener Zusatz zu Art. 4 Nr. 1 DS-GVO, COM(2025) 837 fi nal.
[5] ErwG 26 S. 3 DS-GVO.
[6] EuGH, Urt. v. 7.3.2024 – C-479/22 P, Rn. 50 f., 55 f.; EuGH, Urt. v. 19.10.2016 – C-582/14 – Breyer.
[7] EuGH, Urt. v. 19.10.2016 – C-582/14, Rn. 45 f., 49.
[8] EuGH, Urt. v. 4.9.2025 – C-413/23 P, Rn. 76, 84; ergangen zur VO (EU) 2018/1725, begriffl ich DS-GVO-gleichlaufend (ErwG 5).
[9] EDSA-EDSB, Joint Opinion 2/2026, Rn. 12.
[10] EDSA-EDSB, Joint Opinion 2/2026, Rn. 6, 13, 21.
[11] Ebd., Rn. 16 f.
[12] Ebd., Rn. 17 f.
[13] Ebd., Rn. 14, 21.
[14] Bitkom, Stellungnahme zum Digital Omnibus (DS-GVO), 2026, Abschnitt 1, S. 2.
[15] ICLE, Comments on GDPR and ePrivacy in the Digital Omnibus, 2026, S. 4.
[16] Ebd., S. 6.
[17] Ebd., S. 9.
[18] Art. 41a DS-GVO i.d.F. des Digitalen Omnibus, COM(2025) 837 fi nal.
[19] EDSA-EDSB, Joint Opinion 2/2026, Rn. 23, 25.
[20] Bitkom, Stellungnahme zum Digital Omnibus (DS-GVO), 2026, Abschnitt 1, S. 2.
[21] IAPP, EU member states’ leaked Digital Omnibus compromise proposal eliminates revised GDPR defi nition of ‘personal data’, https://iapp.org/news/a/eumember-states-leaked-digital-omnibus-compromise-proposal-eliminatesrevised-gdpr-definition-of-personal-data (zuletzt abgerufen am 19.6.2026).