Anonyme Daten nach der DSGVO: die drei Tests des EDSA und 7 Millionen Euro Bußgeld
Die EDSA-Leitlinien 02/2026 nennen drei Tests für anonyme Daten. Italiens Garante verhängte 7 Mio. Euro gegen IQVIA wegen nicht anonymer Gesundheitsdaten.
Wer einen Datensatz "anonym" nennt, ist nur dann außerhalb der DSGVO, wenn er es wirklich ist. Am 7. Juli 2026 nahm der Europäische Datenschutzausschuss (EDSA) die Leitlinien 02/2026 zur Anonymisierung zur Konsultation an, die am 30. Oktober 2026 endete. Am 23. September 2026 zeigte die italienische Datenschutzbehörde Garante, was passiert, wenn die Behauptung nicht hält: 7 Millionen Euro Bußgeld gegen IQVIA Solutions Italy.
Die drei Tests des EDSA
Daten sind für eine Stelle anonym, wenn sie sich nicht auf eine identifizierte oder identifizierbare Person beziehen, gemessen an den Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden. Das wird aus der Sicht jeder relevanten Stelle geprüft; dieselben Daten können für die eine anonym und für die andere personenbezogen sein. Sicher anonym sind sie, wenn alle drei Kriterien erfüllt sind:
- Keine Isolierung von Datensätzen: keine eindeutige Wertekombination, die zu einer Person gehört.
- Keine Verknüpfung: kein Datensatz, der sich mit einem Datensatz über dieselbe Person in einem anderen Bestand verknüpfen lässt.
- Keine Inferenz: keine spezifische und aussagekräftige Schlussfolgerung über eine Person.
Fällt ein Kriterium, ist eine weitere Analyse nötig. Laut den Leitlinien sind Daten, die für den Verantwortlichen personenbezogen sind, das auch für seinen Auftragsverarbeiter, und eine Re-Identifizierungstechnik, die ein Partner einfach bei einem Dritten in Auftrag geben könnte, zählt als wahrscheinlich genutztes Mittel.
Die Entscheidung zu IQVIA
IQVIA führte eine Datenbank mit Gesundheitsdaten von rund einer Million Patienten von 800 Hausärzten, genutzt für Studien, die auch Pharmaunternehmen in Auftrag gaben. Die Garante stellte fest, dass die Daten nicht anonym waren: Ein dauerhafter Code je Patient erlaubte die Verfolgung über die Zeit und machte es mit Geburtsjahr, Geschlecht, Diagnosen, Verordnungen und Standortdaten möglich, Patienten herauszugreifen und zu re-identifizieren.
IQVIA verarbeitete Gesundheitsdaten ohne geeignete Rechtsgrundlage, ohne Information der Patienten, ohne Speicherfristen (die Daten reichten bis 2001 zurück), ohne DSFA und ohne angemessene Sicherheit. Will das Unternehmen weitermachen, muss es binnen 120 Tagen die Vorgaben erfüllen.
Was jetzt zu tun ist
Listen Sie die Datensätze auf, die Sie als anonym behandeln, und prüfen Sie sie an den drei Kriterien. Fallen sie durch, behandeln Sie sie als personenbezogene Daten: mit Rechtsgrundlage, Eintrag im Verarbeitungsverzeichnis und, bei Gesundheitsdaten in großem Umfang, einer DSFA.
Dazr Compliance führt das Verzeichnis nach Artikel 30 mit Rechtsgrundlage und Bedingung nach Artikel 9 je Tätigkeit, prüft jede Tätigkeit an den neun EDSA-Kriterien für eine DSFA und hält die DSFAs mit Risiken, Maßnahmen und Freigabe.
Quellen
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
Zur Information, keine Rechtsberatung. Zuletzt aktualisiert am 7. November 2026.
Auch verfügbar auf: English, Nederlands, Italiano, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål