62023CJ0413_RES
Rechtssache C‑413/23 P
Europäischer Datenschutzbeauftragter
gegen
Einheitlicher Abwicklungsausschuss
Urteil des Gerichtshofs (Erste Kammer) vom 4. September 2025
„Rechtsmittel – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verfahren zur Entschädigung von Anteilseignern und Gläubigern einer Bank nach ihrer Abwicklung – Entscheidung des Europäischen Datenschutzbeauftragten, mit der ein Verstoß des Einheitlichen Abwicklungsausschusses gegen seine Verpflichtungen bei der Verarbeitung personenbezogener Daten festgestellt wird – Verordnung (EU) 2018/1725 – Art. 15 Abs. 1 Buchst. d – Pflicht, die betroffene Person zu informieren – Übermittlung pseudonymisierter Daten an einen Dritten – Art. 3 Nr. 1 – Begriff ‚personenbezogene Daten‘ – Art. 3 Nr. 6 – Begriff ‚Pseudonymisierung‘“
Organe der Europäischen Union – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2018/1725 – Begriff „personenbezogene Daten“ – Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – Vom Einheitlichen Abwicklungsausschuss (SRB) infolge des Erlasses von Maßnahmen zur Abwicklung einer Bank eingeleitetes Anhörungsverfahren – Von den durch diese Maßnahmen betroffenen Anteilseignern und Gläubigern beim SRB eingereichte Stellungnahmen – Pseudonymisierte Stellungnahmen, die vom SRB für eine Bewertung an einen unabhängigen Dritten übermittelt werden – Beurteilung der Identifizierbarkeit der betroffenen Personen – Einbeziehung – Ausnahme – Unmöglichkeit, die betroffenen Personen zu identifizieren
(Verordnung 2018/1725 des Europäischen Parlaments und des Rates, 17. Erwägungsgrund und Art. 3 Nr. 1 und 6)
(Rn. 54-60, 72-76, 82, 85, 86)
Organe der Europäischen Union – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2018/1725 – Informationspflicht im Fall der Erhebung personenbezogener Daten bei der betroffenen Person – Vom Einheitlichen Abwicklungsausschuss (SRB) infolge des Erlasses von Maßnahmen zur Abwicklung einer Bank eingeleitetes Anhörungsverfahren – Von den durch diese Maßnahmen betroffenen Anteilseignern und Gläubigern beim SRB eingereichte Stellungnahmen – Pseudonymisierte Stellungnahmen, die vom SRB für eine Bewertung an einen unabhängigen Dritten übermittelt werden – Informationspflicht des SRB in Bezug auf Empfänger von personenbezogenen Daten vor Übermittlung dieser Stellungnahmen – Beurteilung der Identifizierbarkeit der betroffenen Personen bei der Erhebung von Daten aus der Sicht des Verantwortlichen
(Verordnung 2018/1725 des Europäischen Parlaments und des Rates, Art. 15 Abs. 1 Buchst. d)
(vgl. Rn. 103, 106, 108-112, 115)
Zusammenfassung
Der Gerichtshof, der mit einem Rechtsmittel des Europäischen Datenschutzbeauftragten (EDSB) befasst ist, hat das Urteil SRB/EDSB (
1
) aufgehoben und die Rechtssache an das Gericht zurückverwiesen. Dabei hat er den Begriff „personenbezogene Daten“ präzisiert, und zwar im Zusammenhang mit pseudonymisierten Daten und insbesondere in Bezug auf die Informationen, die der betroffenen Person zur Verfügung zu stellen sind, wenn solche Daten an einen Dritten übermittelt werden.
Im vorliegenden Fall leitete der Einheitliche Abwicklungsausschuss (Single Resolution Board, im Folgenden: SRB) mit Beschluss vom 7. Juni 2017 ein Abwicklungsverfahren gegen die Banco Popular Español SA (im Folgenden: Banco Popular) ein, das von der Europäischen Kommission am selben Tag gebilligt wurde. Am 6. August 2018 veröffentlichte der SRB auf seiner Website die Ankündigung betreffend seine vorläufige Entscheidung darüber, ob Anteilseignern und Gläubigern, die von der Abwicklung dieser Bank betroffen sind, eine Entschädigung gewährt werden müsse. In seiner vorläufigen Entscheidung führte er aus, dass für eine endgültige Entscheidung über diese Frage ein Verfahren zu organisieren sei, in dem die Beteiligten ihr Recht auf Anhörung ausüben könnten. Von den teilnehmenden Anteilseignern und Gläubigern wurden Daten erhoben, u. a. zu ihrer Identität sowie zum Nachweis des Eigentums an Kapitalinstrumenten von Banco Popular. Nach Überprüfung ihres Status durch den SRB anhand der erhobenen Daten reichten sie Stellungnahmen zur vorläufigen Entscheidung ein. Einige dieser Stellungnahmen wurden als pseudonymisierte Daten an Deloitte übermittelt, eine Wirtschaftsprüfungs- und Beratungsgesellschaft, die vom SRB mit der Bewertung der Auswirkungen eines Abwicklungsverfahrens auf die Anteilseigner und Gläubiger beauftragt worden war (
2
).
2019 legten mehrere betroffene Anteilseigner und Gläubiger beim EDSB fünf auf die Verordnung 2018/1725 (
3
) gestützte Beschwerden ein, mit denen sie geltend machten, dass der SRB sie nicht darüber informiert habe, dass die sie betreffenden erhobenen Daten an Dritte übermittelt würden.
Der EDSB hat diesen Beschwerden durch den Erlass einer ursprünglichen Entscheidung Folge gegeben, die nach einer durch den SRB beantragten Überprüfung aufgehoben und durch eine überarbeitete Entscheidung ersetzt wurde. Darin vertrat der EDSB die Auffassung, dass Deloitte im vorliegenden Fall Empfängerin personenbezogener Daten der Beschwerdeführer (
4
) sei. Außerdem habe der SRB gegen die in der Verordnung 2018/1725 vorgesehene Informationspflicht (
5
) verstoßen. Konkret warf der EDSB dem SRB vor, in seiner Datenschutzerklärung betreffend die Verarbeitung der personenbezogenen Daten im Rahmen des Verfahrens betreffend das Recht auf Anhörung Deloitte nicht als potenzielle Empfängerin von vom SRB erhobenen und verarbeiteten personenbezogenen Daten genannt zu haben.
Daraufhin erhob der SRB beim Gericht Klage, mit der er insbesondere beantragte, die überarbeitete Entscheidung des EDSB für nichtig zu erklären. Das Gericht gab der Klage teilweise statt und erklärte diese Entscheidung für nichtig.
Würdigung durch den Gerichtshof
Der Gerichtshof äußert sich in seinem Urteil zu den im angefochtenen Urteil geprüften Voraussetzungen für die Einstufung von Daten als personenbezogene Daten.
Als Erstes gelangt er zu dem Schluss, dass das Gericht einen Rechtsfehler begangen hat, als es festgestellt hat, dass der EDSB für die Schlussfolgerung, dass sich die Informationen, die sich aus den an Deloitte übermittelten Stellungnahmen ergäben, im Sinne von Art. 3 Nr. 1 der Verordnung 2018/1725 auf die Personen „bezögen“, die diese Stellungnahmen abgegeben hätten, den Inhalt, den Zweck und die Auswirkungen dieser Stellungnahmen hätte prüfen müssen. Es war nämlich unstreitig, dass diese die persönliche Meinung oder Sichtweise ihrer Verfasser zum Ausdruck brachten.
Hierzu verweist der Gerichtshof auf seine Rechtsprechung, wonach es sich um eine Information über eine identifizierte oder identifizierbare natürliche Person handelt, wenn sie aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer identifizierbaren Person verknüpft ist (
6
). Eine Prüfung des Inhalts einer Information muss demnach nicht zwingend durch eine Analyse ihres Zwecks und ihrer Auswirkungen ergänzt werden. Dies ergibt sich aus der Verwendung der Konjunktion „oder“, mit der die verschiedenen, in dieser Rechtsprechung genannten Kriterien verbunden wurden.
Der Gerichtshof stellt fest, dass die Auslegung des Gerichts, wonach der EDSB die sich aus den an Deloitte übermittelten Stellungnahmen ergebenden Informationen nicht allein auf der Grundlage, dass es sich um persönliche Meinungen oder Sichtweisen handele, als personenbezogene Daten qualifizieren dürfe, sondern dass er auch den Inhalt, den Zweck und die Auswirkungen der auf diese Weise zum Ausdruck gebrachten Meinungen hätte prüfen müssen, um zu ermitteln, ob sie mit einer bestimmten Person verknüpft seien, die besondere Natur von persönlichen Meinungen oder Sichtweisen verkennt, die als Ausdruck der Gedanken einer Person zwangsläufig eng mit dieser Person verknüpft sind (
7
).
Als Zweites äußert sich der Gerichtshof zur in Art. 3 Nr. 1 der Verordnung 2018/1725 vorgesehenen Voraussetzung der „Identifizierbarkeit“ der betroffenen Person, und zwar konkret zum Vorbringen des EDSB, wonach pseudonymisierte Daten in jedem Fall und in Bezug auf jede Person als personenbezogene Daten zu betrachten seien.
Entgegen dem Vorbringen des EDSB hat das Gericht zu Recht entschieden, dass pseudonymisierte Daten für die Zwecke der Anwendung der Verordnung 2018/1725 nicht in jedem Fall und für jede Person als personenbezogene Daten betrachtet werden müssen. Denn die Pseudonymisierung kann – je nach den Umständen des Einzelfalls – andere Personen als den Verantwortlichen tatsächlich an einer Identifizierung der betroffenen Person hindern, so dass letztere für sie nicht oder nicht mehr identifizierbar ist.
Der Gerichtshof weist zunächst darauf hin, dass gemäß der Verordnung 2018/1725 (
8
) die Pseudonymisierung kein Element der Definition des Begriffs „personenbezogene Daten“ ist. Sie bezieht sich vielmehr auf die Umsetzung technischer und organisatorischer Maßnahmen, die das Risiko verringern sollen, dass ein bestimmter Datensatz mit der Identität der betroffenen Personen in Verbindung gebracht wird.
Sodann führt er aus, dass der Begriff „Pseudonymisierung“ das Vorliegen von Informationen voraussetzt, die eine Identifizierung der betroffenen Person ermöglichen. Die bloße Existenz solcher Informationen spricht dagegen, dass Daten, die pseudonymisiert wurden, in jedem Fall als anonymisierte Daten betrachtet werden können, die vom Anwendungsbereich der Verordnung 2018/1725 ausgenommen sind.
Schließlich führt er aus, dass die Pseudonymisierung insbesondere darauf abzielt, zu verhindern, dass die betroffene Person allein anhand pseudonymisierter Daten identifiziert werden kann (
9
). Sofern die für eine Pseudonymisierung im Sinne der Verordnung 2018/1725 erforderlichen technischen und organisatorischen Maßnahmen nämlich tatsächlich ergriffen werden und geeignet sind, eine Zuordnung der in Rede stehenden Daten zu der betroffenen Person zu verhindern, so dass diese nicht oder nicht mehr identifizierbar ist, kann sich die Pseudonymisierung auf die Personenbezogenheit dieser Daten auswirken. Hierzu stellt der Gerichtshof klar, dass der SRB vorliegend – wie dies bei dem Verantwortlichen, der die Pseudonymisierung vorgenommen hat, normalerweise der Fall ist – über zusätzliche Informationen verfügt, die eine Zuordnung der an Deloitte übermittelten Stellungnahmen zur betroffenen Person ermöglichen. Daher bleiben diese Stellungnahmen für den SRB trotz der Pseudonymisierung personenbezogen. Im Hinblick auf Deloitte können diese technischen und organisatorischen Maßnahmen dem Gerichtshof zufolge indes bewirken, dass diese Stellungnahmen für diese Gesellschaft nicht personenbezogen sind. Dies setzt jedoch zum einen voraus, dass Deloitte nicht in der Lage ist, diese Maßnahmen bei der Bearbeitung der Stellungnahmen, die unter ihrer Kontrolle erfolgt, aufzuheben. Zum anderen müssen diese Maßnahmen auch tatsächlich geeignet sind, zu verhindern, dass Deloitte diese Stellungnahmen der betroffenen Person zuordnet, und zwar auch anhand anderer Mittel zur Identifizierung, wie etwa eines Abgleichs mit anderen Elementen.
Dem Gerichtshof zufolge ergibt sich sowohl aus dem 16. Erwägungsgrund der Verordnung 2018/1725 als auch aus seiner Rechtsprechung, dass die Existenz von zusätzlichen, die Identifizierung der betroffenen Person ermöglichenden Informationen für sich genommen nicht bedeutet, dass pseudonymisierte Daten für die Zwecke der Anwendung der Verordnung 2018/1725 in jedem Fall und für jede Person als personenbezogene Daten zu betrachten sind. Insoweit weist der Gerichtshof darauf hin, sich in Bezug auf eine Pressemitteilung, die gewisse Angaben zu einer namentlich nicht genannten Person enthielt, nicht auf die Feststellung beschränkt zu haben, dass die diese Pressemitteilung veröffentlichende Stelle der Union über sämtliche Informationen verfügte, die die Identifizierung dieser Person ermöglichten, sondern vielmehr geprüft zu haben, ob Angaben in dieser Pressemitteilung der betroffenen Öffentlichkeit nach allgemeinem Ermessen eine Identifizierung dieser Person ermöglichten, insbesondere durch einen Abgleich dieser Angaben mit im Internet verfügbaren Informationen (
10
). Außerdem hat der Gerichtshof festgestellt, dass ein Mittel nach allgemeinem Ermessen wahrscheinlich nicht genutzt wird, um die betreffende Person zu identifizieren, wenn das Risiko einer Identifizierung de facto unbedeutend erscheint, weil die Identifizierung dieser Person gesetzlich verboten oder praktisch nicht durchführbar ist, z. B. weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft erfordern würde (
11
). Gleichermaßen hat der Gerichtshof entschieden, dass an sich nicht personenbezogene Daten, die vom Verantwortlichen erhoben und gespeichert wurden, sich dennoch auf eine identifizierbare Person bezogen, da der Verantwortliche über rechtliche Möglichkeiten verfügte, von Dritten zusätzliche Informationen zu erlangen, die die Identifizierung dieser Person erlaubten (
12
). Unter diesen Bedingungen war nämlich der Umstand, dass sich die zur Identifizierung der betroffenen Person erforderlichen Informationen in den Händen verschiedener Personen befanden, nicht geeignet, die Identifizierung der betroffenen Person tatsächlich so zu verhindern, dass sie für den Verantwortlichen nicht identifizierbar war.
Der Gerichtshof führt insbesondere aus, dass an sich nicht personenbezogene Daten dann zu „personenbezogenen“ Daten werden können, wenn der Verantwortliche sie anderen Personen überlässt, die über Mittel verfügen, die nach allgemeinem Ermessen wahrscheinlich die Identifizierung der betroffenen Person ermöglichen (
13
). Im Zusammenhang mit einer solchen Überlassung sind die betreffenden Daten personenbezogen, und zwar sowohl für diese Personen als auch indirekt für den Verantwortlichen.
Als Drittes gelangte Gerichtshof zu dem Schluss, dass das Gericht einen Rechtsfehler begangen hat, als es festgestellt hat, dass der EDSB für die Beurteilung, ob der SRB seine Informationspflicht erfüllt habe, hätte prüfen müssen, ob die an Deloitte übermittelten Stellungnahmen aus der Sicht von Deloitte personenbezogene Daten darstellten.
Zunächst führt der Gerichtshof aus, dass die Verordnung 2018/1725 zwar nicht ausdrücklich festlegt, welche Sicht für die Beurteilung der Identifizierbarkeit der betroffenen Person maßgeblich ist, der Rechtsprechung (
14
) aber zu entnehmen ist, dass sich die maßgebliche Sicht für die Beurteilung der Identifizierbarkeit der betroffenen Person wesentlich nach den Umständen der Datenverarbeitung im Einzelfall richtet.
Was im vorliegenden Fall die Informationspflicht zu potenziellen Empfängern personenbezogener Daten nach Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725 betrifft, so handelt es sich dabei um eine der Informationen, die „zum Zeitpunkt des Erhebens der Daten“, also zum Zeitpunkt des Erhebens der Daten bei der betroffenen Person, zur Verfügung zu stellen sind. Unter Verweis auf die Bedeutung der Erfüllung dieser Informationspflicht legt der Gerichtshof dar, dass, wenn die Erhebung solcher Daten wie im vorliegenden Fall auf der Einwilligung der betroffenen Person beruht, die Gültigkeit dieser Einwilligung u. a. davon abhängt, ob diese Person zuvor die Informationen über alle Umstände im Zusammenhang mit der Verarbeitung der fraglichen Daten erhalten hat, auf die sie nach Art. 15 der Verordnung 2018/1725 Anspruch hat und die ihr ermöglichen, die Einwilligung in voller Kenntnis der Sachlage zu geben. Die Pflicht, der betroffenen Person – zum Zeitpunkt des Erhebens der mit ihr verbundenen personenbezogenen Daten – die potenziellen Empfänger dieser Daten mitzuteilen, zielt u. a. darauf ab, es dieser Person zu ermöglichen, in voller Kenntnis der Sachlage zu entscheiden, ob sie die bei ihr erhobenen personenbezogenen Daten zur Verfügung stellt oder dies verweigert.
Der Gerichtshof führt außerdem aus, dass die Pflicht, diese Information zum Zeitpunkt des Erhebens der personenbezogenen Daten zur Verfügung zu stellen, neben ihrer Unerlässlichkeit für die spätere Verteidigung der Rechte der betroffenen Person gegenüber potenziellen Empfängern insbesondere auch gewährleistet, dass diese Daten vom Verantwortlichen nicht gegen den Willen der betroffenen Person erhoben oder gar an Dritte übermittelt werden.
Die Informationspflicht besteht somit im Rechtsverhältnis zwischen der betroffenen Person und dem Verantwortlichem und hat daher die mit dieser Person verbundenen Informationen zum Gegenstand, wie sie dem Verantwortlichen übermittelt wurden, also vor einer möglichen Übermittlung an Dritte.
Für die Zwecke der Anwendung der in der Verordnung 2018/1725 vorgesehenen Informationspflicht geht der Gerichtshof folglich davon aus, dass die Identifizierbarkeit der betroffenen Person zu dem Zeitpunkt des Erhebens der Daten und aus der Sicht des Verantwortlichen zu beurteilen ist. Die dem SRB obliegende Informationspflicht bestand somit vor der Übermittlung der fraglichen Stellungnahmen und unabhängig davon, ob es sich dabei aus der Sicht von Deloitte nach ihrer etwaigen Pseudonymisierung um personenbezogene Daten handelte oder nicht.
(
1
)	Urteil des Gerichts vom 26. April 2023, SRB/EDSB (T‑557/20, im Folgenden: angefochtenes Urteil, EU:T:2023:219).
(
2
)	Bewertung gemäß Art. 20 Abs. 16 bis 18 der Verordnung (EU) Nr. 806/2014 des Europäischen Parlaments und des Rates vom 15. Juli 2014 zur Festlegung einheitlicher Vorschriften und eines einheitlichen Verfahrens für die Abwicklung von Kreditinstituten und bestimmten Wertpapierfirmen im Rahmen eines einheitlichen Abwicklungsmechanismus und eines einheitlichen Abwicklungsfonds sowie zur Änderung der Verordnung (EU) Nr. 1093/2010 (ABl. 2014, L 225, S. 1).
(
3
)	Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. 2018, L 295, S. 39).
(
4
)	Im Sinne von Art. 3 Nr. 13 der Verordnung 2018/1725.
(
5
)	Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725.
(
6
)	Urteile vom 20. Dezember 2017, Nowak (C‑434/16, EU:C:2017:994, Rn. 35), vom 7. März 2024, OC/Kommission (C‑479/22 P, EU:C:2024:215, Rn. 45), und vom 7. März 2024, IAB Europe (C‑604/22, EU:C:2024:214, Rn. 37 und die dort angeführte Rechtsprechung).
(
7
)	Diese Auslegung wird durch die sich aus dem Urteil vom 20. Dezember 2017, Nowak (C‑434/16, EU:C:2017:994) ergebende Rechtsprechung gestützt.
(
8
)	Art. 3 Nrn. 1 und 6 der Verordnung 2018/1725.
(
9
)	Gemäß Art. 3 Nr. 6 der Verordnung 2018/1725 sind Informationen zur Identifizierung gesondert aufzubewahren und technische und organisatorische Maßnahmen zu ergreifen, „die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“.
(
10
)	Urteil vom 7. März 2024, OC/Kommission (C‑479/22 P, EU:C:2024:215, Rn. 52 bis 64).
(
11
)	Urteil vom 7. März 2024, OC/Kommission (C‑479/22 P, EU:C:2024:215, Rn. 51 und die dort angeführte Rechtsprechung).
(
12
)	Urteile vom 19. Oktober 2016, Breyer (C‑582/14, EU:C:2016:779, Rn. 44, 47 und 48), und vom 7. März 2024, IAB Europe (C‑604/22, EU:C:2024:214, Rn. 43 und 48).
(
13
)	Urteil vom 9. November 2023, Gesamtverband Autoteile-Handel (Zugang zu Fahrzeuginformationen) (C‑319/22, EU:C:2023:837, Rn. 46 und 49).
(
14
)	Siehe die in den Fn. 10 bis 12 der vorliegenden Zusammenfassung angeführte Rechtsprechung.