Die Rücknahme der SRB-Klage: Warum die EuGH-Linie über Pseudonymisierung weiterhin maßgeblich ist
Die europäische Datenschutzwelt hat in den letzten Monaten mit großem Interesse die Rechtssache des Single Resolution Board (SRB) vor dem Gericht der Europäischen Union verfolgt. Diese Klage hatte das Potenzial, neu Ausschluss darüber zu geben, wann Daten als personenbezogene Daten anzusehen seien und wie die Pseudonymisierung dabei zu berücksichtigen sei.
Unerwartet wurde die Klage jedoch zurückgezogen. Damit bleibt die bestehende, klare Linie des Gerichtshofs der Europäischen Union (EuGH) vollständig erhalten. Das ist eine gute Nachricht für Organisationen, die Daten verantwortungsbewusst und sicher austauschen möchten – vorausgesetzt, sie wenden die Pseudonymisierung korrekt an.
Als Trusted Third Party (TTP) sieht Viacryp täglich, wie wichtig diese Klarheit ist. In diesem Artikel erklären wir, was die Rücknahme bedeutet, warum die EuGH-Linie weiterhin so wichtig ist und wie die Pseudonymisierung Organisationen dabei hilft, Daten auszutauschen, ohne personenbezogene Daten zu verarbeiten. Wir schließen mit einem konkreten Beispiel aus dem Gesundheitswesen, wo Datenaustausch unerlässlich ist, um Betrug zu bekämpfen.
Was ist mit der SRB-Klage geschehen?
In der SRB-Klage ging es um die Frage, ob bestimmte pseudonymisierte Daten noch als personenbezogene Daten anzusehen sind, wenn die empfangende Partei selbst keine Möglichkeit hatte, die betroffenen Personen zu identifizieren. Der SRB argumentierte, dass die Daten für ihn faktisch anonym seien.
Die Klage wurde jedoch zurückgenommen, bevor das Gericht darüber entscheiden konnte. Deshalb bleibt die aktuelle Klarstellung des EuGH zur Pseudonymisierung und die Definition von personenbezogenen Daten vom Gerichtshof maßgeblich.
Wie genau lautet der Standpunkt des EuGH zur Pseudonymisierung?
Der EuGH ist eindeutig: Daten sind nur dann personenbezogene Daten, wenn eine Partei vernünftigerweise die Möglichkeit hat, eine Person zu identifizieren.
Dies bedeutet:
- Wenn eine Partei keinen Zugang zu den zusätzlichen Informationen hat, die erforderlich sind, um ein Pseudonym einer Person zuzuordnen,…
- …und diesen Zugang auch nicht vernünftigerweise erlangen kann,…
- …sind die Daten für diese Partei keine personenbezogenen Daten.
Dies ist eine entscheidende Nuance. Es bedeutet, dass Pseudonymisierung – sofern sie ordnungsgemäß durchgeführt wird – Daten für die empfangende Partei in nicht personenbezogene Daten umwandeln kann. Damit fällt die Verarbeitung nicht unter die DSGVO.
Allerdings muss die Pseudonymisierung dann strenge Voraussetzungen erfüllen. Und genau hier kommt Viacryp ins Spiel.
Wie Viacryp Pseudonymisierung anwendet: Trennung, Spaltung und Kontrolle
Die Pseudonymisierungsstraße von Viacryp ist gut konzipiert und erfüllt nachweislich die Anforderungen des EuGH. Die Grundprinzipien:
- Spaltung der Daten (Wer vs. Was)
Identifizierende Daten („Wer“) werden in einem frühen Prozessstadium von Verhaltens- oder Analysedaten („Was“) getrennt. - Trennung der Verantwortlichkeiten
1. Die Quelle behält die ursprünglichen personenbezogenen Daten.
2. Viacryp empfängt nur gehashte Identifikatoren.
3. Der Abnehmer erhält nur Pseudonyme und verschlüsselte Verhaltensdaten. - Keine Partei kann das Puzzle alleine lösen
Durch Hashing, Verschlüsselung und eine strenge organisatorische Trennung kann keine der Parteien – außer der Quelle – den Personenbezug wieder herstellen. - Keine Wiederholbarkeit („anti-replay“)
Hashing und Verschlüsselung werden in einer solchen Weise durchgeführt, dass derselbe Input niemals automatisch denselben Output ergibt. - Unabhängige Audits und vollständige Transparenz
Die Funktionsweise der Pseudonymisierungsstraße ist öffentlich dokumentiert und wird regelmäßig geprüft.
Das Ergebnis ist, dass der Abnehmer Daten erhält, die für ihn keine personenbezogenen Daten darstellen. Und genau das ist es, was der EuGH meint.
Ein wichtiger Punkt dabei ist, dass dies natürlich von den Daten über das Verhalten abhängt, wie identifizierbar es ist. Es bleibt zu überlegen, welche Daten gesendet und verknüpft werden sollen.
Warum dies für Datenaustausch relevant ist, beispielsweise bei Betrug im Gesundheitswesen
In einer kürzlich auf LinkedIn geführten Diskussion wurde ein aktuelles Problem angesprochen: Betrug im Gesundheitswesen. Verschiedene Parteien – Krankenkassen, Gemeinden, Aufsichtsbehörden – verfügen über Informationsfragmente, die zusammen ein Betrugsmuster aufdecken könnten. Sie dürfen diese Informationen jedoch nicht einfach austauschen, da es sich häufig um personenbezogene Daten handelt.
Genau in solchen Situationen macht Pseudonymisierung den entscheidenden Unterschied.
Wie Pseudonymisierung in diesem Szenario helfen kann
- Jede Partei liefert ihre Daten über ein Supply-Modul
Identifizierungsdaten werden gehasht, Verhaltensdaten verschlüsselt. - Viacryp kombiniert die Datensätze aufgrund von Pseudonymen
ohne jemals Zugriff auf die ursprünglichen personenbezogenen Daten zu haben. - Die Abnehmer erhalten pseudonymisierte, entschlüsselte Verhaltensdaten.
Sie können Muster erkennen, Risiken analysieren und Betrugsfälle aufdecken. - Niemand erhält Zugang zu personenbezogenen Daten.
Die Quelle bleibt die einzige Partei, die die Identität kennt.
Was bedeutet dies aus rechtlicher Sicht?
Für die Abnehmer sind die Daten keine personenbezogenen Daten mehr, weil:
- sie keinen Zugriff auf die zusätzlichen Informationen (den Schlüssel) haben,
- sie diese Informationen auch nicht vernünftigerweise erlangen können,
- und die Pseudonymisierung technisch und organisatorisch robust ist.
Dadurch können die Parteien gemeinsam gegen Betrug vorgehen, ohne gegen die GDPR zu verstoßen.
Fazit: Die Rücknahme bestätigt den Status quo, und das ist eine gute Nachricht.
Die Rücknahme der SRB-Klage ändert nichts an der juristischen Realität: Die EuGH-Linie bleibt maßgeblich und bietet Raum für einen verantwortungsvollen Datenaustausch durch robuste Pseudonymisierung.
Für Organisationen, die zusammenarbeiten möchten, ohne personenbezogene Daten zu teilen – beispielsweise im Gesundheitswesen, im sozialen Bereich, im Finanzsektor oder im öffentlichen Sektor – ist dies eine Bestätigung dafür, dass Pseudonymisierung, sofern sie korrekt durchgeführt wird, ein rechtlich solider und technisch sicherer Weg ist.
Viacryp setzt sich weiterhin dafür ein, diesen Weg zugänglich, transparent und zuverlässig zu gestalten.
