TL;DR
Mit Entscheidung Nr. 710 vom 23. September 2026, bekannt gegeben am 2. Oktober, hat der italienische Garante gegen IQVIA Solutions Italy ein Bußgeld von 7 Millionen Euro verhängt. Die aus der Praxissoftware von rund 800 Hausärzten gespeiste Datenbank enthielt die Krankengeschichte von etwa einer Million Patienten. Sie war nicht anonym: jeder Patient hatte einen stabilen Code, mit dem er über die Zeit verfolgt werden konnte. IQVIA galt ab der Erhebung als Verantwortlicher. Verstöße: Rechtsgrundlage und Bedingung nach Art. 9, Information, Speicherdauer (Daten seit 2001), fehlende Bestellung der Ärzte als Auftragsverarbeiter, keine DSFA, Sicherheit. 120 Tage zur Anpassung; das Unternehmen behält sich Rechtsmittel vor.
Was geschehen ist
Ein in der Praxisverwaltungssoftware installiertes Zusatzmodul extrahierte Patientendaten und übermittelte sie an die Datenbank des Unternehmens: Geburtsjahr, Geschlecht, Familienstand, Arztbesuche, Diagnosen, Symptome, Allergien, Gewicht, Verordnungen, Impfungen, Untersuchungen, Arbeitsunfähigkeitsbescheinigungen sowie Standortdaten. Im Gegenzug erhielten die Ärzte das Softwareabonnement. Die Daten dienten Beobachtungsstudien im Auftrag von Pharmaunternehmen, geliefert in aggregierter Form. Die Prüfungen fanden im April 2025 statt. Inzwischen meldete das Unternehmen eine Datenschutzverletzung: in Freitextfeldern standen Namen, Steuernummern und Kontaktdaten von 3.370 Patienten, bei 3.080 davon zusammen mit Gesundheitsdaten.
Warum die Daten nicht anonym waren
- DER STABILE CODE. Jeder Patient behielt während der gesamten Erhebung dieselbe Kennung: genau dazu diente sie, um ihn über die Zeit zu verfolgen. Das ist die Bedingung, unter der eine Person aus einer Gruppe herausgegriffen werden kann, das erste der drei Anonymisierungskriterien.
- k-ANONYMITÄT REICHT NICHT. Die Vorgabe wirkte nur auf Quasi-Identifikatoren. Eine über Jahre beobachtete Folge von Diagnosen, Klinikaufenthalten und Medikamenten ist aber selbst ein Identifikator: große Äquivalenzklassen nützen nichts, wenn der übrige Datensatz einzigartig ist.
- HASHING BESEITIGT DIE EINZIGARTIGKEIT NICHT. Den Code zu hashen macht die Identität unlesbar, erhält aber die eindeutige Verknüpfung zwischen Datensatz und Person: genau dafür ist es gebaut.
- KEIN BLOSSER EMPFÄNGER. Das SRB-Urteil des EuGH (C-413/23, 4. September 2025) sagt, dass pseudonymisierte Daten für einen Empfänger, der die Maßnahmen nicht aufheben kann, nicht personenbezogen sein müssen. IQVIA hatte diese Maßnahmen selbst entworfen: es war ab der Erhebung Verantwortlicher, und die Fähigkeit zur Reidentifizierung mit vertretbaren Mitteln genügt.
Anonymisieren ist Verarbeiten
Das ist der Punkt, der für alle gilt. Anonymisierung ist eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage. Der Vertrag mit den Ärzten konnte keine für die Patienten sein, die nicht Vertragspartei waren; für Gesundheitsdaten war zudem eine Bedingung nach Art. 9 nötig, und es gab keine. Die an die Ärzte delegierte Information enthielt nicht die Angaben nach Art. 13. Und die Ärzte, die über Zwecke und Mittel des Vorgangs nicht entschieden, hätten nach Art. 28 als Auftragsverarbeiter bestellt werden müssen: auch diesen Verstoß hat der Garante festgestellt.
Die weiteren Verstöße und das Bußgeld
Keine Speicherfrist: die ältesten Daten reichten bis 2001 zurück, obwohl das Unternehmen erklärte, Studien bräuchten keine Daten älter als zehn Jahre; die vorgelegte Richtlinie betraf Verwaltungs- und Steuerunterlagen. Keine Folgenabschätzung, unzureichende Sicherheitsmaßnahmen. Das Unternehmen hat 120 Tage, um die Verarbeitung anzupassen, wenn es weitermachen will; andernfalls müssen die Ärzte selbst anonymisieren, mit den vom Garante festgelegten Garantien. In die Höhe flossen die Zahl der Patienten und die Art der Daten ein, aber auch der Stopp der Übermittlungen seit 2023 und die Kooperation. Am 26. Mai 2026 hatte die CNIL die französische Gesellschaft der Gruppe mit 5 Millionen belegt, mit demselben Ergebnis: pseudonymisiert heißt nicht anonym.
Was das für Datenschutzbeauftragte bedeutet
Fünf Prüfungen
Erstens: jeden Datensatz, den ein Mandant „anonym“ nennt, auf zwei Dinge prüfen — eine stabile Kennung und reichhaltigen Inhalt. Liegt beides vor, ist er pseudonymisiert und gehört als Verarbeitung personenbezogener Daten ins Verzeichnis. Zweitens: wer die Anonymisierung entwirft, ist dafür verantwortlich und braucht eine Rechtsgrundlage, bei Gesundheitsdaten mit Art. 9. Drittens: Freitextfelder sind die Stelle, an der Namen durchrutschen; vor der Extraktion an echten Daten testen. Viertens: auch Forschungsdatenbanken brauchen eine schriftliche Speicherfrist. Fünftens: Gesundheitsdaten in großem Umfang verlangen eine DSFA vorher, nicht nachher. In DPO Workspace lässt sich eine Verarbeitung mit besonderen Kategorien ohne Bedingung nach Art. 9 nicht aktivieren.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
