Was entschieden wurde
Am 23. September 2026 erließ die italienische Behörde die Entscheidung Nr. 710 gegen IQVIA Solutions Italy S.r.l., veröffentlicht am 2. Oktober. Die Geldbuße beträgt sieben Millionen Euro. Das Verfahren ging auf Prüfungen im April 2025 zurück. Die Datenbank umfasste rund eine Million Patienten von etwa achthundert Hausärzten und diente teils von Pharmaunternehmen beauftragten Studien. Neben der Geldbuße ordnete die Behörde an, die Verarbeitung binnen einhundertzwanzig Tagen anzupassen, falls die Tätigkeit fortgesetzt wird.
Die Verteidigung des Unternehmens war die häufigste auf diesem Feld: die Daten sind anonym, also gilt die DSGVO nicht. Der Gedanke ist formal richtig — Erwägungsgrund 26 sagt tatsächlich, dass die Verordnung anonyme Informationen nicht betrifft — und in der Sache fast immer falsch. Es geht nicht darum, ob der Name dabei ist: es geht darum, ob die Person wiedergefunden werden kann.
Die Linie zwischen anonym und pseudonymisiert
In der Datenbank hatte jeder Patient einen Code. Nicht den Namen, einen Code. Aber dieser Code war stabil: er diente dazu, dieselbe Person über die Zeit zu verfolgen, denn genau das muss eine Längsschnittstudie tun. Eine Kennung, die es erlaubt, die Daten derselben Person miteinander zu verknüpfen, ist keine Anonymisierungsmaßnahme: sie ist die Definition der Pseudonymisierung in Art. 4 Nr. 5. Und pseudonymisierte Daten bleiben personenbezogene Daten.
- Erwägungsgrund 26 verlangt, die nach allgemeinem Ermessen wahrscheinlich genutzten Mittel zur Identifizierung zu bewerten: Kosten, Zeit, verfügbare Technik — nicht die absolute Unmöglichkeit.
- Ein stabiler Code je Person erlaubt es, Ereignisse über die Zeit zu verknüpfen, und genau das macht die Daten zuordenbar.
- Geburtsjahr, Geschlecht, Diagnosen, Verordnungen und ein räumlicher Bezug grenzen zusammen den Kreis auf sehr wenige Personen ein.
- Wer behauptet, Daten seien anonym, muss das nachweisen können, und der Nachweis ist technisch: eine Re-Identifizierungsanalyse, kein Satz in der Datenschutzinformation.
- Sind die Daten nicht anonym, braucht es eine Rechtsgrundlage und eine Information, bei Gesundheitsdaten zudem eine Bedingung nach Art. 9 Abs. 2.
Die Frage an den Dienstleister, und die Antwort, die nichts wert ist
Wenn ein Dienstleister erklärt, «anonyme Daten» zu verarbeiten, lautet die Frage nicht «sind sie anonym?» — er wird Ja sagen. Die Frage lautet: «hat derselbe Patient in zwei Auszügen im Abstand von sechs Monaten denselben Code?». Lautet die Antwort Ja, sind die Daten nicht anonym, was auch immer der Vertrag sagt. Es ist eine technische Frage, in dreißig Sekunden beantwortet, und sie trennt eine Behauptung von einer Prüfung.
Dann die vorgelagerte Seite. Die Daten kamen von Hausärzten. Für einen Datenschutzbeauftragten, der eine Praxis, ein Labor oder eine Gesundheitseinrichtung berät, lautet die heutige Frage, ob eigene Daten in Forschungs- oder Wirtschaftsinformationsdatenbanken landen, auf welcher Rechtsgrundlage, und ob die Patienten davon wissen. Dass ein Dritter verarbeitet, verschiebt die Verantwortung dessen nicht, der erhoben hat.
Was konkret bleibt. Das Wort «anonym» in einem Vertrag oder in einem Verarbeitungsverzeichnis ist keine rechtliche Einordnung: es ist eine Behauptung, die zu beweisen ist. Wo es auftaucht, lohnen sich drei Fragen — wer hat es geprüft, mit welcher Methode, und wann. Fehlen diese drei Antworten, beschreibt jene Zeile des Verzeichnisses eine Verarbeitung, die man außerhalb der DSGVO wähnt und die in Wahrheit darin liegt, mit allem, was daraus folgt.
Offizielle Quelle:Garante per la protezione dei dati personali — Gesundheitsdaten: sieben Millionen Euro Geldbuße (2. Oktober 2026)Offizielle Quelle:Cybersecurity360 — Wann ein Gesundheitsdatum wirklich anonym istOffizielle Quelle:Il Sole 24 Ore — Gesundheitsdaten, sieben Millionen Geldbuße für IQVIASuchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
