Persistente IDs sind nicht anonym: 7 Mio. € DSGVO-Strafe

Am 9. Oktober 2026 veröffentlichte der Europäische Datenschutzausschuss (EDSA) eine richtungsweisende Vollstreckungsentscheidung: Die italienische Datenschutzbehörde (Garante per la protezione dei dati personali) verhängte ein Bußgeld in Höhe von 7.000.000 Euro gegen das Gesundheitsdaten-Analyseunternehmen IQVIA Solutions Italy S.r.l. (Entscheidung Nr. 710, Docweb 10302141). Für europäische Softwareingenieure, CTOs und KI-Entwickler räumt dieses Urteil mit einem fatalen Branchenirrtum auf: Das Hashen von Identifikatoren oder das Ersetzen von Namen durch persistente Token schafft keine anonymen Daten nach der DSGVO.

Nach europäischem Recht stellen persistente Identifikatoren in Kombination mit Verhaltens-, Diagnose- oder Verlaufsdaten pseudonymisierte personenbezogene Daten dar. Wer pseudonymisierte Daten fälschlicherweise als anonym einstuft, hebelt Einwilligungspflichten aus, versäumt zwingend vorgeschriebene DSFA-Risikoanalysen und riskiert nach Art. 83 Abs. 5 DSGVO Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

---

Was hat die italienische Datenschutzbehörde gegen IQVIA entschieden?

IQVIA betrieb eine Längsschnitt-Patientendatenbank (Longitudinal Patient Data, LPD) mit Gesundheitsdaten von etwa 1.000.000 italienischen Patienten, die über 800 Hausärzte erhoben wurden. IQVIA vertrieb diese Daten an Pharmaunternehmen und Forschungsteams als vollständig "anonyme" Datensätze.

Um direkte Identitäten zu entfernen, wies IQVIA jedem Patienten über die Praxissoftware eine persistente Ziffernkennung (Pat ID) zu. Direkte Merkmale wie Namen und Steuernummern sollten vor dem Export gelöscht werden.

Die Aufsichtsbehörde verwarf diese Argumentation vollständig:

1. Persistente Nachverfolgung verhindert Anonymität: Eine über Jahre gleichbleibende Patienten-ID ermöglicht die lückenlose Verknüpfung von Behandlungsverläufen. Zusammen mit demografischen Daten (Geburtsjahr, Geschlecht, Region) und Ereignissen (Verschreibungen, Diagnosen, Behandlungsdaten) reicht dies aus, um Einzelpersonen herauszugreifen (Singling Out).
2. Vernünftigerweise einsetzbare Mittel zur Re-Identifizierung: Gemäß Erwägungsgrund 26 der DSGVO müssen alle Mittel berücksichtigt werden, die nach vernünftigem Ermessen eingesetzt werden könnten. Dritte, Arbeitgeber oder Versicherer mit externem Zusatzwissen können solche Datensätze problemlos de-anonymisieren.
3. Freitextfelder übertrugen direkte Klardaten: Ärztliche Freitextfelder für Symptomnotizen enthielten unbereinigt Klarnamen, Mobilfunknummern und Steuernummern von 3.370 Patienten (darunter Gesundheitsdaten von 3.080 Personen), die ungeprüft in die Systeme von IQVIA flossen.
4. Unzulässige Speicherung seit 2001: IQVIA speicherte Behandlungsdaten über zwei Jahrzehnte hinweg ohne dokumentierte Löschfristen nach Art. 5 Abs. 1 lit. e DSGVO.

Neben der Geldstrafe von 7 Mio. € ordnete die Behörde an, sämtliche Datenverarbeitungen innerhalb von 120 Tagen vollständig mit der DSGVO in Einklang zu bringen oder die Verarbeitung einzustellen.

---

Warum sind gehashte IDs und Telemetriedaten rechtlich pseudonym, nicht anonym?

Diese Entscheidung betrifft den Kern gängiger Entwicklungs- und Data-Engineering-Praktiken in europäischen SaaS- und KI-Startups. Technische Teams behaupten oft:

"Wir hashen die user_id mit SHA-256 und löschen die E-Mail-Adresse, bevor wir Logs in unser Data Warehouse oder Vektordatenbanken laden. Deshalb sind unsere Logs anonym und fallen nicht unter die DSGVO."

Diese Annahme ist rechtlich unhaltbar.

Nach Art. 4 Nr. 5 DSGVO ist Pseudonymisierung die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können. Pseudonymisierte Daten bleiben vollumfänglich personenbezogene Daten.

Eine echte Anonymisierung im Sinne des Erwägungsgrunds 26 erfordert irreversible Unumkehrbarkeit. Anonymisierung ist kein Sicherheitsfilter für einen Datensatz, sondern die dauerhafte Vernichtung jeder Möglichkeit der Individualisierung, Verknüpfung (Linkability) oder Ableitung. Wer einen persistenten Schlüssel (user_hash, Session-ID oder Geräte-ID) über Sitzungen hinweg aufrechterhält, bewahrt die Verknüpfbarkeit. Damit unterliegt der Datensatz uneingeschränkt der DSGVO und beim Training von Modellen auch der KI-Verordnung.

---

Welche Dokumentation ist für pseudonyme Datenverarbeitung vorgeschrieben?

Verarbeitet Ihr Unternehmen Telemetrie, Produktanalysen oder Kundendaten mit persistenten Pseudonymen, verlangen Datenschutzbehörden folgende Nachweise:

1. Nachweis der Rechtsgrundlage (Art. 6 und Art. 9 DSGVO)

Für besondere Datenkategorien (Gesundheits-, Biometrie-, Genetik- oder Gewerkschaftsdaten) genügt kein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Es ist eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a oder eine gesetzliche Ausnahmeregelung zwingend erforderlich.

2. Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Die systematische Überwachung von Personen über Zeit, die großflächige Verarbeitung sensibler Daten oder das KI-Profiling erfordert zwingend eine DSFA. Das Fehlen dieser Vorabprüfung war ein Hauptgrund für die Millionenstrafe gegen IQVIA.

3. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Jeder pseudonymisierte Datenfluss muss in Ihrem VVT mit Verarbeitungszwecken, Löschkonzepten und technischen Sicherheitsmaßnahmen erfasst sein.

4. Auftragsverarbeitungsverträge (Art. 28 DSGVO)

Liefern Partnerunternehmen, Praxen oder Drittanbieter Rohdaten, müssen Auftragsverarbeitungsverträge oder Vereinbarungen über die gemeinsame Verantwortlichkeit (Art. 26) vorliegen.

---

Welche Bußgelder drohen bei Scheinanonymisierung?

Die Einstufung von personenbezogenen Daten als anonyme Daten werten die europäischen Aufsichtsbehörden als schwerwiegenden Rechtsverstoß:

| Verletzter Bereich | DSGVO-Artikel | Höchststrafe | | :--- | :--- | :--- | | Grundprinzipien der Datenverarbeitung | Art. 5 Abs. 1 lit. a, e | Bis zu 20.000.000 € oder 4 % des weltweiten Jahresumsatzes | | Rechtsgrundlose Verarbeitung sensibler Daten | Art. 9 Abs. 1 | Bis zu 20.000.000 € oder 4 % des weltweiten Jahresumsatzes | | Unterlassene Datenschutz-Folgenabschätzung | Art. 35 Abs. 1 | Bis zu 10.000.000 € oder 2 % des weltweiten Jahresumsatzes | | Missachtung von Privacy by Design & Default | Art. 25 Abs. 1 | Bis zu 10.000.000 € oder 2 % des weltweiten Jahresumsatzes | | Mangelhafte Sicherheitsmaßnahmen (PII-Leaks) | Art. 32 Abs. 1 | Bis zu 10.000.000 € oder 2 % des weltweiten Jahresumsatzes |

Wird ein solches Dataset in ein Hochrisiko-KI-System überführt, drohen nach Art. 99 der KI-Verordnung zusätzliche Sanktionen von bis zu 35.000.000 € oder 7 % des Umsatzes.

---

Was sollten Engineering-Teams jetzt konkret tun?

Warten Sie nicht auf Auskunftsersuchen oder Behördenprüfungen. Setzen Sie diese vier Schritte sofort um:

1. Telemetrie-Identifikatoren auditieren: Prüfen Sie Datenbanken, Data Lakes und Vektorspeicher. Wo Datensätze über persistente Hashes (user_id, device_token) verknüpft sind, stufen Sie die Daten im VVT von "anonym" auf "pseudonymisiert" um.
2. Freitextfelder bereinigen: Implementieren Sie automatisierte Regex-Filter und NER-Pipelines, um Steuernummern, Namen und Kontaktdaten aus Ticket- und Freitextsystemen vor der Speicherung zu eliminieren.
3. DSFA für Datenpipelines erstellen: Dokumentieren Sie die Re-Identifizierungsrisiken, Verknüpfbarkeitstests und Schlüsselmanagement-Verfahren in einer strukturierten DSFA.
4. Löschfristen technisch durchsetzen: Bereinigen Sie historische Event-Logs nach Ablauf der betrieblichen Notwendigkeit unwiderruflich.

Testen Sie Ihre regulatorische Betroffenheit mit unserem kostenlosen Regulation Checker oder analysieren Sie KI-Workflows mit unserem KI-Risiko-Assessor.

---

Haftungsausschluss: EuroComply bietet Tools und Nachweisentwürfe zur Vorbereitung auf die EU-Compliance. Dieser Leitfaden dient ausschließlich Informationszwecken und stellt keine rechtliche, regulatorische oder steuerliche Beratung dar. Technische Dokumentationen und Bewertungen sollten von qualifizierten Rechtsanwälten geprüft werden.