Der Einheitliche Abwicklungsausschuss übermittelte im Juni 2019 1104 Stellungnahmen von Anteilseignern und Gläubigern der Banco Popular an Deloitte, jede nur mit einem alphanumerischen Code versehen. Den Zuordnungsschlüssel behielt er. Aus diesem Vorgang hat der EuGH am 4. September 2025 in der Rechtssache C-413/23 P den Satz gemacht, pseudonyme Daten seien nicht «in allen Fällen und für jede Person» Personendaten (Rn. 86) — und im selben Urteil festgehalten, dass sich die Informationspflicht nach dem Verantwortlichen im Zeitpunkt der Beschaffung bemisst, nicht nach dem Empfänger (Rn. 111 f.).

Damit steht die Asymmetrie im Urteilstext selbst. Derselbe Transfer ist bei Ihnen im Anwendungsbereich und beim Gegenüber möglicherweise nicht. Wer das nur im Pseudonymisierungskonzept vermerkt, hat die falsche Stelle gewählt: Die Asymmetrie wirkt in den Definitionen des Auftragsverarbeitungsvertrags und in der Mitteilung nach Art. 13 Abs. 1 Bst. e DSGVO.

Was das Urteil tatsächlich trennt

Der Gerichtshof arbeitet mit zwei Blickwinkeln auf einen Datenbestand. Beim Abwicklungsausschuss, der den Schlüssel hält, blieben die Stellungnahmen «notwendigerweise» Personendaten (Rn. 76). Bei Deloitte, das den Schlüssel nicht hatte und über keine vernünftigen Mittel zur Re-Identifizierung verfügte, konnten dieselben Angaben diese Eigenschaft verlieren (Rn. 77). Massstab ist der Katalog der «Mittel, die vernünftigerweise eingesetzt werden» aus Erwägungsgrund 16 der Verordnung (EU) 2018/1725, den der Gerichtshof in Rn. 79 auf den Verantwortlichen und auf «eine andere Person» bezieht. Welcher Blickwinkel gilt, hängt nach Rn. 100 von den Umständen der jeweiligen Bearbeitung ab.

Das Urteil legt damit die Verordnung (EU) 2018/1725 aus — die Datenschutzregeln für die EU-Organe —, nicht die DSGVO. Für Auftragsverarbeitungsverträge unter der DSGVO trägt die Auslegung, weil Art. 3 Nr. 1 der Verordnung 2018/1725 und Art. 4 Nr. 1 DSGVO denselben Personendatenbegriff verwenden. Entschieden hat der Gerichtshof das für die DSGVO nicht.

Das ist kein Freipass, sondern eine Beweisfrage, die beim Absender liegt. Diesen Teil haben wir am 1. Juli im Zusammenhang mit dem Datenraum behandelt; er bewegt sich hier nicht.

Die Hälfte, die überlesen wurde

Der Abwicklungsausschuss verlor den Fall trotzdem in diesem Punkt. Nach Rn. 110 betrifft die Informationspflicht die Angaben, wie sie beim Verantwortlichen eingegangen sind, also vor jeder Weitergabe. Die Empfängerin war deshalb zu nennen, obwohl die Daten bei ihr aus dem Anwendungsbereich fallen konnten.

Für die DSGVO steht die Pflicht in Art. 13 Abs. 1 Bst. e und Art. 14 Abs. 1 Bst. e: mitzuteilen sind die Empfänger oder die Kategorien von Empfängern. Das schweizerische Recht kennt die Parallele in Art. 19 Abs. 2 Bst. c DSG, der «gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern» verlangt. Kein Wort in beiden Normen macht die Nennung davon abhängig, was die Angaben beim Empfänger rechtlich sind. Wer die Datenschutzerklärung um eine Empfängerkategorie kürzt, weil der Empfänger den Schlüssel nicht bekommt, hat aus einer Erkenntnis über den Empfänger eine Entlastung beim Absender gemacht. Das trägt nicht.

Wo der Markt zu schnell war

Die verbreitete Lesart nach dem Urteil lautet, pseudonyme Transfers seien nun regelmässig ausserhalb der DSGVO. Die Aufsicht ist dort noch nicht überall. Die EDSA-Leitlinien 01/2025 zur Pseudonymisierung, am 17. Januar 2025 zur Konsultation angenommen, halten in Rn. 22 fest, pseudonyme Daten seien personenbezogen, wenn sie mit den Zusatzinformationen zusammengeführt werden könnten «having regard to the means reasonably likely to be used by the controller or by another person». Und ausdrücklich: Das gelte auch dann, wenn Daten und Zusatzinformationen nicht in derselben Hand liegen.

Der EDSA hat sich beim benachbarten Thema bewegt — in den Anonymisierungsleitlinien, die wir am 11. Juli besprochen haben. Die Pseudonymisierungsleitlinien sind seit anderthalb Jahren Entwurf und stehen im Arbeitsprogramm 2026–2027 weiterhin als offene Position. Ihre Prüferin arbeitet mit dem Entwurf, nicht mit Rn. 86.

Was in den Vertrag gehört

Art. 28 Abs. 3 DSGVO verlangt vom Auftragsverarbeitungsvertrag, Gegenstand und Dauer, Art und Zweck der Bearbeitung, «die Art der personenbezogenen Daten» und «die Kategorien betroffener Personen» festzulegen. Genau diese Angaben sind es, die der relative Personenbezug beim Empfänger auflöst. Ist der Datenbestand in dessen Hand kein Personendatum, fehlt den Pflichten aus Art. 28 Abs. 3 der gesetzliche Anker gegen ihn. Ob er überhaupt Auftragsverarbeiter ist, wird dann zur Streitfrage, und zwar in dem Moment, in dem Sie ein Audit ansetzen.

Die Konsequenz ist handwerklich, nicht dogmatisch. Weisungsbindung (Bst. a), Löschung oder Rückgabe am Ende (Bst. g) und das Prüfrecht (Bst. h) sind als eigenständige vertragliche Pflichten auszuformulieren, nicht per Verweis auf Art. 28 DSGVO zu inkorporieren. Ein Verweis, der ins Leere geht, wenn die Norm nicht greift, kostet Sie genau das Recht, auf das Sie sich verlassen haben.

Zweitens fällt bei fehlendem Personenbezug auch Kapitel V DSGVO weg, ebenso Art. 16 DSG für die Bekanntgabe ins Ausland. Das ist der kommerziell interessante Teil und zugleich der fragilste. Er hält nur, solange der Empfänger keine Mittel zur Zuordnung erlangt. In die Vereinbarung gehört deshalb eine Zusicherung, die drei Dinge untersagt: den Erwerb des Schlüssels, die Zusammenführung mit weiteren Beständen, und das Unterlassen einer Meldung, sobald eines von beiden droht. Kippt der Status, kippt er rückwirkend zu Ihren Lasten.

Konkret für Montag: Ziehen Sie die Anlage «Art der personenbezogenen Daten» aus Ihren drei zuletzt geschlossenen Verträgen mit pseudonymen Übermittlungen und prüfen Sie, ob die dort genannten Pflichten auch ohne Art. 28 DSGVO durchsetzbar wären.

Was feststeht und was nicht

Fest steht Rn. 111 f.: Die Informationspflicht bleibt beim Verantwortlichen und wird im Zeitpunkt der Beschaffung beurteilt. Nicht fest steht, wie der Test konkret anzuwenden ist. Der EuGH hat die Sache an das Gericht zurückverwiesen; zu einer Anwendung des Tests kam es nicht mehr, weil sich die Parteien einigten. Einen durchgearbeiteten Anwendungsfall gibt es bis heute nicht.

Auflösen wird das der Digital-Omnibus, nicht die Rechtsprechung. Die Kommission wollte den entitätsbezogenen Test am 19. November 2025 in Art. 4 Nr. 1 DSGVO schreiben; EDSA und EDPS haben das in der gemeinsamen Stellungnahme 2/2026 vom 10. Februar 2026 als über eine technische Korrektur hinausgehend abgelehnt. Nach der Berichterstattung von EU Tech Reg hat die irische Ratspräsidentschaft im Juli 2026 den zyprischen Kompromisstext verworfen und einen Fragebogen an die Mitgliedstaaten verschickt, der die Pseudonymisierung ausdrücklich aufführt; im Parlament lagen bis zum 15. Juli 2026 über 1000 Änderungsanträge vor, eine Verhandlungsposition wird nicht vor Februar 2027 erwartet. Der nächste Kompromisstext der Ratspräsidentschaft ist das Dokument, an dem sich zeigt, ob die Asymmetrie Gesetzestext wird oder Urteilsauslegung bleibt. Bis dahin trägt sie Ihr Vertrag.