Befindet sich hinter einer Internetadresse lediglich eine Seite, welche über die Wartung der Seite informiert…
Transparenz-Schock für Unternehmer
EuGH zur Pseudonymisierung und Transparenzpflichten (C-413/23 P)
Leiten Sie codierte Stellungnahmen an Dritte weiter? Ohne Vorab-Info drohen erhebliche Risiken. Der Gerichtshof der Europäischen Union hat am 4. September 2025 in der Sache C-413/23 P (EDSB gegen SRB) entschieden. Im Streit stand das Anhörungsverfahren des Einheitlichen Abwicklungsausschusses nach der Abwicklung der Banco Popular und die Frage, ob Betroffene darüber zu informieren waren, dass ihre Stellungnahmen an Deloitte übermittelt werden. Der EuGH hob das Urteil des Gerichts auf und verwies die Sache zur Prüfung eines weiteren Klagegrundes zurück.
Worum ging es?
Betroffene Anteilseigner und Gläubiger reichten Stellungnahmen über einen Online-Fragebogen ein. Jede Eingabe erhielt eine zufällig generierte Kennung. Der SRB sortierte die Beiträge und übermittelte relevante, codierte Stellungnahmen zur Überprüfung der Bewertung an Deloitte. Die Datenschutzerklärung nannte Deloitte nicht als mögliche Empfängerin. Der Europäische Datenschutzbeauftragte sah hierin einen Verstoß gegen Art. 15 Abs. 1 Buchst. d der Verordnung (EU) 2018/1725, da über Empfänger bereits bei der Datenerhebung zu informieren ist.
Wie hat der EuGH entschieden?
Der EuGH gab dem Rechtsmittel des EDSB statt. Bei den an Deloitte übermittelten Stellungnahmen handelt es sich um personenbezogene Daten, da sie ihrem Inhalt nach die persönlichen Sichtweisen ihrer Verfasser wiedergeben und der SRB die Mittel zur Zuordnung besaß. Pseudonymisierung senkt Risiken, beseitigt den Personenbezug jedoch nicht. Für die Informationspflicht über Empfänger kommt es auf den Zeitpunkt der Erhebung und auf die Perspektive des Verantwortlichen an. Der Betroffene muss zu diesem Zeitpunkt erfahren, an wen oder an welche Kategorien von Empfängern seine Daten gelangen können.
Warum hat der EuGH so entschieden?
Der Gerichtshof betont die weite Definition „personenbezogener Daten“ in Art. 3 Nr. 1 der Verordnung (EU) 2018/1725 und die Rolle der Pseudonymisierung als technische und organisatorische Maßnahme nach Art. 3 Nr. 6. Persönliche Stellungnahmen „beziehen sich“ schon kraft ihres Inhalts auf die Verfasser. Die Transparenzpflicht aus Art. 15 Abs. 1 Buchst. d knüpft an den Erhebungszeitpunkt an und soll informierte Entscheidungen der Betroffenen ermöglichen. Die Validität der Einwilligung und die Fairness der Verarbeitung hängen von dieser frühzeitigen Information ab.
Was bedeutet das für die Praxis?
Verantwortliche müssen Empfänger oder Empfängerkategorien bereits im Erhebungsmoment benennen, wenn Daten später extern geprüft oder beraten werden. Auch bei Pseudonymisierungen handelt es sich um personenbezogenes Daten, die der Transparenzpflicht unterliegen. Datenschutzhinweise sollten den tatsächlichen Datenfluss einschließlich externer Gutachter abbilden und mehrstufige Verfahren vollständig erfassen.
[wpforms id=“5482″]
