Urteil : Anonymisierung, neu vermessen : aus der RDV 5/2026, Seite 293 bis 295
Die neuen EDSA-Leitlinien 02/2026 vermessen den Personenbezug und die Anonymisierung neu. Besonders relevant sind die Auftraggeberperspektive bei Auftragsverarbeitern und die zunehmende Bedeutung von KI für die Re-Identifizierung.
Der EDSA hat am 7.7.2026 in seiner Juli-Plenarsitzung die Leitlinien 02/2026 zur Anonymisierung angenommen. Die Leitlinien stehen bis zum 30.10.2026 zur öffentlichen Konsultation bereit.[1] Sie lösen die Stellungnahme 05/2014 der Artikel-29-Datenschutzgruppe ab, also eine zwölf Jahre alte Stellungnahme und damit ein Papier, das älter ist als die DS‑GVO selbst. Das Timing ist besonders deswegen interessant, weil seit November 2025 im Streit um den Digitalen Omnibus auch über die Neudefinition der personenbezogenen Daten gerungen wird. Das war Thema der vorausgehenden Ausgabe dieses Berichts.[2] Nun legt der EDSA seine Meinung zu dem Thema vor, und die enthält einige spannende Passagen.
Ein Maßstab von 2014 und vier Urteile
Der EDSA begründet die Neufassung mit der Entwicklung der Technik und des Rechts seit 2014.[3] Grundlage hierfür ist vor allem der Fortschritt im Bereich der Künstlichen Intelligenz und die umfangreiche EuGH-Rechtsprechung zum Personenbezug. Zentral sind vier Urteile, namentlich Breyer,[4] Scania,[5] OC[6] und zuletzt EDSB/SRB.[7] Die Kernfolgerung aus all diesen Urteilen ist der relative Personenbezug, der sich mittlerweile etabliert hat und der auch den neuen Leitlinien zugrunde liegt. Ausgangspunkt für die Bewertung des Personenbezugs und der Anonymisierung ist damit die Perspektive der jeweiligen Stelle.[8]Das heißt, bevor man den Personenbezug ermittelt, ist zu bestimmen, für wen er ermittelt wird.[9] Erst dann ist zu prüfen, welche Mittel von der betreffenden Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die betroffen Person zu identifizieren.
Viel Wind um die Auftragsverarbeiter
Ein zentraler Kritikpunkt aus der Praxis ist die Bestimmung der maßgeblichen Perspektive bei der Auftragsverarbeitung. Im Falle einer Auftragsverarbeitung, also einer weisungsabhängigen Datenverarbeitung für einen anderen, kommt es nach den Leitlinien nicht mehr auf die Perspektive des Dienstleisters an, sondern auf die des Auftraggebers. Es zählt allein, ob die Daten für den Auftraggeber personenbezogen sind. So gelesen ist es nicht mehr möglich, einen weisungsgebundenen Dienstleister aus der DS‑GVO herauszuhalten, indem man die Daten anonymisiert, bevor man sie an ihn weitergibt. Sie bleiben für ihn personenbezogen, auch wenn er sie mit eigenen Mitteln niemandem zuordnen kann.[10] Der EDSA begründet das teleologisch. Er möchte verhindern, dass das Konzept der Auftragsverarbeitung zur Pflichtenflucht führt und die Pflichten der DS‑GVO im Ergebnis über eine Auslagerung unterlaufen werden.[11]
Die Folge für die Praxis ist vor allem eines: Aufwand. Auch bei anonymisierten Daten muss mit dem Auftragsverarbeiter ein Vertrag nach Art. 28 DS‑GVO geschlossen werden. Außerdem gelten die Sicherheits- und Meldepflichten, und bei Drittlandbezug unterliegen die Daten dem Kapitel V der DS-GVO.[12]Nicht zuletzt deswegen ist die Beurteilung der Auftragsverarbeitung des EDSA in der Praxis auf erhebliche Kritik gestoßen.
Eingewandt wird zudem, dass die relative Betrachtung so für die gesamte Auftragskette faktisch einkassiert werde. Die Behandlung der Auftragsverarbeitung war bereits bei der Stakeholder-Anhörung umstritten, und er dürfte auch in der Konsultation zu den größten Klärungsbedarfen gehören.
Über die rechtliche Tragweite ist allerdings auch dann noch nichts gesagt, wenn der EDSA bei seiner Linie bleibt. Der EDSA ist eine Einrichtung der Union mit eigener Rechtspersönlichkeit, in der die Leiter der nationalen Aufsichtsbehörden und der EDSB zusammenwirken[13]und die eine einheitliche Anwendung der DS‑GVO sichern soll.[14] Verbindliches Recht setzen seine Leitlinien nicht. Zu erwarten ist zwar, dass die Behörden ihre Prüfpraxis daran ausrichten und sich auch die Gerichte daran orientieren, das letzte Wort hat aber der EuGH.
Auf welche Mittel kommt es an?
Steht fest, auf wessen Perspektive es ankommt, ist zu prüfen, ob die jeweilige Stelle die betroffene Person mit Mitteln identifizieren kann, die nach allgemeinem Ermessen wahrscheinlich genutzt werden (ErwG 26 DS‑GVO). Diesen Maßstab hat der EuGH seit Breyer konkretisiert. Die Leitlinie legt ihn streng aus.
Klargestellt wird in der Stellungnahme unter anderem, dass in die Prüfung die Mittel aller, die zur Identifizierung beitragen könnten, mit einzubeziehen sind.[15] Ein Bruch mit dem relativen Ansatz ist das nicht, denn geprüft wird nach wie vor die Identifizierungsmöglichkeit ausgehend von der datenverarbeitenden Stelle. Die Einbeziehung Dritter bedeutet zunächst, dass auch das Wissen derjenigen zu berücksichtigen ist, derer Hilfe sich die ausgehende Stelle bei der Identifizierung bedienen könnte. Bedacht werden aber nicht nur Dritte, die dem Verantwortlichen bei dessen Identifizierung unterstützen, sondern auch Empfänger, die die Daten eigenständig einer Person zuordnen können. Ausreichend ist, dass sie die Daten vom Verantwortlichen erlangen. Sind die Empfänger in der Lage, die Daten einer Person zuzuordnen, sind die Daten nicht nur für diese personenbezogen, sondern mittelbar auch für den verantwortlichen Übermittler. Dem EDSA zufolge sind hierbei nicht nur Dritte zu berücksichtigen, die die Daten durch aktive Weitergabe erlangen, sondern auch Dritte, die die Daten durch Leck oder unbefugten Zugriff, etwa illoyaler Beschäftigter, fremder Nachrichtendienste oder Cyberkrimineller erhalten.[16] Der Kreis der nach dem EDSA zu berücksichtigen Dritten ist damit denkbar weit gezogen. Begrenzt wird er allein durch die Wahrscheinlichkeit: Wer die Daten realistisch weder erlangen noch von anderen erhalten kann, bleibt außer Betracht.[17]
Als Mittel zählt sodann alles vom einfachen Lesen über die Websuche bis zur komplexen Analyse.[18]Prinzipiell ausgeschlossen wird nur, was unmöglich ist, unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft verlangt oder gesetzlich verboten ist.[19] Ob der Einsatz eines Mittels wahrscheinlich ist, bemisst sich hierbei nach objektiven Faktoren: den Eigenschaften der Daten, den Zugangsbeschränkungen, den verfügbaren Zusatzinformationen, dem Aufwand ihrer Beschaffung und der verfügbaren Technik einschließlich absehbarer Entwicklungen.[20] Abraten tut der EDSA hingegen von der fehlenden Motivation zur Re-Identifizierung als Prüffaktor. Motive ließen sich objektiv kaum feststellen und würden sich ändern. Identifiziert werden könne auch aus Versehen, aus Nachlässigkeit oder weil äußere Umstände die Stelle dazu zwingen. Stattdessen sollen als objektive Kriterien der Wert, den die re-identifizierten Daten für die jeweilige Stelle hätten, und das Risiko, das sie mit der Re-Identifizierung selbst eingeht, berücksichtigt werden.[21]
Der Ausschluss gesetzlich verbotener Mittel steht dabei für den EDSA unter einem Vorbehalt. Er beruht auf der Annahme, dass sich die Beteiligten an das Recht halten, und diese Annahme ist widerleglich. Wird ein Verbot kaum durchgesetzt, übersteigt der Gewinn den Aufwand oder wurde es in vergleichbaren Lagen schon gebrochen, zählen auch rechtswidrige Mittel.[22]Deswegen kommen als Empfänger auch Cyberkriminelle prinzipiell in Betracht. Ob diese Lesart Bestand hat, ist genauso offen wie die zur Auftraggeber-Perspektive. Der EuGH hat bisher schlicht festgehalten, dass ein Mittel nicht vernünftigerweise wahrscheinlich genutzt wird, wenn die Identifizierung gesetzlich verboten oder praktisch nicht durchführbar ist.[23] Ob diese Annahme widerlegt werden kann, wenn das Verbot faktisch nicht abhält, hat er bislang nicht entschieden.
Praktisch entscheidend ist darüber hinaus ein Satz zur Technik. Die dokumentierten Verfahren zur Re-Identifizierung seien zunehmend zugänglich, verlangten überschaubare Mittel und liefen auf handelsüblicher Hardware, und die Entwicklung agentischer KI werde Zeit- und Kostenaufwand weiter senken.[24] Der EDSA macht hier deutlich, dass sich die Schwelle des unverhältnismäßigen Aufwands, die der EuGH in Breyer gezogen hat, mit der technischen Fortentwicklung stetig weiter nach unten verschiebt.
Fazit
Die Leitlinien beenden zwölf Jahre Stillstand bei einer Frage, die über den Anwendungsbereich des gesamten Datenschutzrechts entscheidet. Fest steht nach vier zentralen Urteilen des EuGH, ob Daten anonym sind, hängt von der Perspektive der jeweiligen Stelle und den von ihr wahrscheinlich genutzten Mitteln ab. Wie eng der Ausschuss dieses Programm führt, zeigen die beiden dargestellten Weichenstellungen: die Auftraggeber-Perspektive, die Auftragsverarbeitern den Weg aus der DS‑GVO versperrt, und die Einbeziehung rechtswidriger Mittel, mit der er über die bisherige Linie des EuGH hinausgeht. Beides steht unter einem Vorbehalt, denn Rechtsbindung erzeugen die Leitlinien nicht. Ob der Gerichtshof folgt, ist offen.
*Axel Voss ist Mitglied des Europäischen Parlaments für die EVP. Er ist Berichterstatter des hier besprochenen Initiativberichts. Lucia Burkhardt ist wissenschaftliche Mitarbeiterin an der Kölner Forschungsstelle für Medienrecht an der Technischen Hochschule Köln.
[1] EDSA, Guidelines 02/2026 on Anonymisation, Version 1.0, angenommen am 7.7.2026 zur öffentlichen Konsultation, https://www.edpb.europa.eu/system/files/2026-07/edpb_guidelines_202602_anonymisation_v1_en_0.pdf (zuletzt abgerufen am 4.8.2026).
[2] Dazu die vorausgehende Ausgabe des Berichts aus Brüssel, RDV 2026.
[3] EDSA, Guidelines 02/2026, Rn. 2.
[4] EuGH, Urt. v. 19.10.2016 – C-582/14.
[5] EuGH, Urt. v. 9.11.2023 – C-319/22
[6] EuGH, Urt. v. 7.3.2024 – C-479/22 P
[7] EuGH, Urt. v. 4.9.2025 – C-413/23 P, RDV 2026, 39.
[8] EDSA, Guidelines 02/2026, Rn. 6 f.
[9] EDSA, Guidelines 02/2026, Rn. 11 f
[10] EDSA, Guidelines 02/2026, Rn. 15.
[11] EDSA, Guidelines 02/2026, Rn. 15.
[12] EDSA, Guidelines 02/2026, Fn. 12: genannt werden u.a. Art. 27, 28, 29, 30 Abs. 2, 31, 32, 33 Abs. 2, 37, 38, 44, 46, 48 und 49 Abs. 6 DS‑GVO.
[13] Art. 68 Abs. 1 und 3 DS‑GVO.
[14] Art. 70 Abs. 1 lit. e DS‑GVO.
[15] EDSA, Guidelines 02/2026, Rn. 30; zum Begriff der relevanten Stelle auch das Glossar der Leitlinien (Abschnitt 4).
[16] EDSA, Guidelines 02/2026, Rn. 30.
[17] EDSA, Guidelines 02/2026, Rn. 9; veranschaulichend Rn. 94 (Beispiel 22).
[18] EDSA, Guidelines 02/2026, Rn. 28.
[19] EDSA, Guidelines 02/2026, Rn. 26, unter Verweis auf EuGH, Urt. v. 4.9.2025 – C-413/23 P.
[20] EDSA, Guidelines 02/2026, Rn. 29.
[21] EDSA, Guidelines 02/2026, Rn. 31.
[22] EDSA, Guidelines 02/2026, Rn. 32 f.
[23] EuGH, Urt. v. 19.10.2016 – C-582/14, Rn. 46; ferner EuGH, Urt. v. 7.3.2024 – C-479/22 P, Rn. 51; EuGH, Urt. v. 4.9.2025 – C-413/23 P, Rn. 82.
[24] EDSA, Guidelines 02/2026, Rn. 92.