In jeder Due Diligence liegt derselbe Ordner: Personalakten, Kundenverträge, CRM-Auszüge. Wer ihn im Datenraum öffnet, verarbeitet nach Art. 4 Ziff. 2 DSGVO Personendaten — ausser die Verkäuferin hat die Namen durch Codes ersetzt und den Schlüssel behalten. Über genau diese Konstellation hat der Gerichtshof der Europäischen Union am 4. September 2025 in der Rechtssache C-413/23 P (EDPS/SRB) entschieden: Pseudonyme Daten sind nicht «in jedem Fall und für jede Person» personenbezogen. In der Hand des Käufers können sie aus dem Anwendungsbereich der DSGVO fallen — aber nur, wenn die Verkäuferin belegen kann, dass dem Empfänger die Mittel fehlen, die nach vernünftigem Ermessen zur Re-Identifikation eingesetzt würden. Damit wird aus einer datenschutzrechtlichen Qualifikation eine Vertrags- und Beweisfrage. Die Pflichten der Verkäuferin selbst bewegt das Urteil nicht.

Was der Gerichtshof entschied

Der Fall stammt aus der Abwicklung der Banco Popular Español von 2017. Der einheitliche Abwicklungsausschuss (SRB) holte bei Aktionären und Gläubigern Stellungnahmen ein, versah jede mit einem alphanumerischen Code (Pseudonymisierung, Art. 4 Ziff. 5 DSGVO) und übermittelte die codierten Kommentare an Deloitte als unabhängige Bewerterin. Den Schlüssel, der Code und Person verband, behielt der SRB. Deloitte erhielt ihn nie.

Daraus zog der Gerichtshof den Schluss, den die Beratungspraxis seit Breyer erwartet, aber nie höchstrichterlich bestätigt gesehen hatte: «Personenbezogen» ist keine absolute Eigenschaft eines Datensatzes. Ob Daten personenbezogen sind, bemisst sich nach den Mitteln, die «nach allgemeinem Ermessen wahrscheinlich» zur Identifikation genutzt werden (Erwägungsgrund 26 DSGVO; C-582/14 Breyer). Dieselben codierten Kommentare konnten für den SRB, der den Schlüssel hielt, Personendaten sein und für Deloitte, dem er fehlte, nicht.

Dass der Fall die Verordnung 2018/1725 betrifft und nicht unmittelbar die DSGVO, mindert seine Wirkung nicht. Der Begriff des Personendatums ist in beiden Texten im Wesentlichen identisch (Art. 3 Ziff. 1 der Verordnung 2018/1725, Art. 4 Ziff. 1 DSGVO). Die Auslegung des Gerichtshofs trägt eins zu eins in den privaten Datenraum, der der DSGVO untersteht.

Die zweite Hälfte des Urteils übersieht die Schlagzeile gern. Das Urteil des Gerichts der EU wurde vollständig aufgehoben; der Gerichtshof gab dem EDPS in beiden Teilen des ersten Rechtsmittelgrundes recht und verwies die Sache zur Entscheidung über den zweiten Klagegrund zurück. Die Pflicht, die betroffene Person über die Empfänger ihrer Daten zu informieren (Art. 15 Abs. 1 Bst. d der Verordnung 2018/1725, dem Pendant der DSGVO für EU-Organe), beurteilt sich im Zeitpunkt der Erhebung und aus Sicht des Verantwortlichen. Der SRB hielt den Schlüssel. Für ihn waren die Daten stets personenbezogen; seine Informationspflicht bestand unabhängig davon, wie sie in Deloittes Händen zu qualifizieren waren.

Übersetzt in den Datenraum

Für die Transaktionspraxis verschiebt das den Angriffspunkt. Fällt der Datenraum in der Hand des Käufers aus dem Personendaten-Begriff, ist der Käufer für diese Daten nicht Verantwortlicher: Er braucht keine eigene Rechtsgrundlage nach Art. 6 DSGVO, trägt für sie kein Melderisiko nach Art. 33 f. DSGVO, und für ihn entfällt der Drittlandtransfer nach Kapitel V DSGVO. Das ist der Gewinn, den die Kommentare feiern.

Der Haken steht im selben Urteil. Die Qualifikation ist nur so belastbar wie das, was die Verkäuferin belegen kann — und die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO liegt bei ihr, nicht beim begünstigten Käufer. Verletzlich ist die Empfängersicht vor allem an einer Stelle: am Herausgreifen des Einzelnen. Art. 4 Ziff. 1 DSGVO nennt identifizierbar auch, wer sich «indirekt» über eine Kennung bestimmen lässt. Ein geschwärzter Name hilft nicht, wenn Funktion, Standort und Dienstalter im Feld daneben stehen. «CFO der Zürcher Tochter, seit zwölf Jahren im Haus» bezeichnet eine einzige Person. Ein Abgleich mit LinkedIn oder dem Handelsregister macht die Re-Identifikation dann «nach allgemeinem Ermessen wahrscheinlich», und der Datensatz bleibt personenbezogen.

Wo die gängige Analyse aufhört

Sie liest das Urteil als Freibrief für Datenteilung und übergeht, dass die begünstigte Partei — der Käufer — nicht die Partei ist, die den Nachweis führen muss. Der Gerichtshof hat keinen Anonymisierungstest geliefert und keine Schwelle genannt; darin sind sich Skadden und Clifford Chance einig. Was bleibt, ist Handwerk am Vertrag und an der Akte.

Und die Qualifikation zerfällt entlang der Transaktion. Derselbe Ordner kann für die Anwaltskanzlei der Verkäuferin, die den Kontext kennt, personenbezogen sein und für das Geschäftsteam des Käufers, dem er fehlt, nicht. Wer den relativen Ansatz nutzen will, denkt deshalb empfängergenau: eine Beurteilung pro Empfänger, nicht eine für den Datenraum.

Daraus folgen drei Bewegungen. Erstens die Aufbereitung: Der geschwärzte Name allein genügt nicht. Zu vergröbern sind die herausgreifenden Merkmale — Gehälter in Bänder, Standort und Funktion dort, wo sie auf eine einzelne Person hinweisen. Zweitens die Klausel: eine Re-Identifikations-Untersagung in NDA und Kaufvertrag. Dazu das Verbot, die Datenraum-Inhalte mit anderen Beständen zu verknüpfen, ein Clean-Team-Setup, das granulare Felder nur externen Beratern öffnet, und die Kontrolle über den Schlüssel, der die Verkäuferin nie verlässt. Drittens die Dokumentation: die Beurteilung im Zeitpunkt der Offenlegung festhalten, nach den Kriterien des Erwägungsgrundes 26 (Kosten, Zeitaufwand, verfügbare Technik), weil im Streitfall die Akte die Verteidigung ist.

Was der Käufer gewinnt, entlastet die Verkäuferin nicht. Sie bleibt Verantwortliche, braucht für die Offenlegung ihr berechtigtes Interesse nach Art. 6 Abs. 1 Bst. f DSGVO und schuldet Belegschaft und Kunden Transparenz. Bei einem EU-Zielunternehmen reden Betriebsrat und mitgliedstaatliches Arbeitnehmerdatenschutzrecht mit; bei einem Schweizer Zielunternehmen begrenzt Art. 328b OR die Bearbeitung von Personaldaten auf das, was Eignung oder Vertragserfüllung verlangt, und verweist im Übrigen auf das DSG.

Für Schweizer Rechtsabteilungen kein neuer Massstab

Der relative Massstab ist hier bekannt. Art. 5 Bst. a DSG bemisst die Bestimmbarkeit aus der Sicht dessen, der über die Daten verfügt; wo die Identifikation einen unverhältnismässigen Aufwand verlangt, den vernünftigerweise niemand auf sich nimmt, liegt keine bestimmbare Person vor. C-413/23 P bringt das EU-Recht auf die Linie, die das Schweizer Recht schon fährt. Für die Verkäuferin eines EU-Geschäfts fragen nun beide Ordnungen dasselbe — und legen die Nachweislast beiderseits bei ihr ab.

Gesichert ist damit: Der relative Ansatz gilt, und die offenlegende Partei behält ihre Pflichten. Offen bleibt der Massstab. Der Gerichtshof hat «nach allgemeinem Ermessen wahrscheinlich» nicht in eine anwendbare Schwelle übersetzt und die Sache an das Gericht der EU zurückverwiesen, das den Transparenzverstoss des SRB neu zu beurteilen hat. Bis dieses Urteil und die EDSA-Leitlinien 01/2025 zur Pseudonymisierung (Stand: Konsultation Januar 2025), sobald sie finalisiert sind, den Test schärfen, ist die Klausel der einzige Schutz, den die Verkäuferin selbst in der Hand hat. Der Schritt für Montag: die Re-Identifikations-Untersagung in die NDA-Vorlage aufnehmen und für den nächsten Datenraum die Bewertungsakte anlegen — datiert, mit den Kriterien des Erwägungsgrundes 26.