Gelten pseudonymisierte Daten beim KI-Anbieter noch als personenbezogen?

Die Antwort hängt davon ab, wer die Daten erhält. Nach dem EuGH-Urteil C-413/23 P vom 4. September 2025 ist der Personenbezug relativ zu beurteilen: Erhält ein Empfänger pseudonymisierte Daten ohne realistische Möglichkeit, den Zuordnungsschlüssel zu erlangen, können die Daten für ihn nicht-personenbezogen sein. Die EDPB-Leitlinie 01/2025 betont dafür das Trennungsgebot — der Schlüssel bleibt lokal. Für den Einsatz von KI ist das die rechtliche Grundlage, auf der lokale Pseudonymisierung steht.

Was bedeutet „relativer Personenbezug“?

Ob Daten personenbezogen sind (Art. 4 Nr. 1 DSGVO), beantwortet man nicht absolut, sondern aus der Perspektive der jeweils verarbeitenden Stelle. Entscheidend ist, ob diese Stelle die Person mit vernünftigem Aufwand identifizieren kann. Der EuGH hat mit dem Urteil C-413/23 P bestätigt: Fehlt dem Empfänger die realistische Möglichkeit, den Zuordnungsschlüssel zu erlangen, sind dieselben Daten für ihn nicht-personenbezogen — während sie beim Absender, der den Schlüssel hält, weiterhin personenbezogen bleiben.

Für ein Immobilienbüro heißt das: Schicken Sie der KI nur Platzhalter wie Vorname_Gruppe1 und behalten die Zuordnungstabelle lokal, verarbeitet der KI-Anbieter aus seiner Sicht keine identifizierbaren Personen.

Warum ist das Trennungsgebot der Kern?

Die EDPB-Leitlinie 01/2025 macht klar, dass Pseudonymisierung nur trägt, wenn der Zuordnungsschlüssel getrennt und geschützt aufbewahrt wird. Liegt der Schlüssel beim selben Empfänger oder ist er leicht zu beschaffen, bleibt der Personenbezug bestehen — dann ist nichts gewonnen. Die technische Umsetzung ist also die halbe Miete: Der Schlüssel darf das Gerät nicht mit den Platzhaltern zusammen verlassen.

Genau hier setzt porthor an: Die Zuordnung zwischen Platzhalter und Klarwert bleibt lokal auf Ihrem Rechner, nur der pseudonymisierte Text geht an die KI. Am Ende setzt porthor die echten Namen lokal wieder ein. Der Unterschied zur unumkehrbaren Anonymisierung — und warum Pseudonymisierung für die KI-Nutzung der praktikablere Weg ist — steht in Pseudonymisierung vs. Anonymisierung.

Heißt das, ich muss mich um nichts mehr kümmern?

Nein. Der relative Personenbezug entlastet den KI-Anbieter, nicht Sie. Bei Ihnen bleiben die Daten personenbezogen, und Ihre Pflichten aus der DSGVO bestehen fort: Rechtsgrundlage, Transparenz, Datenminimierung und der Nachweis, dass das alles eingehalten wird. Was das Urteil ändert, ist die Bewertung des Datenflusses zur KI — nicht Ihre Rolle als Verantwortlicher. Ob Sie Originalangaben überhaupt an ein Chatfenster geben dürfen, klärt der Beitrag Darf ich Kundendaten in ChatGPT eingeben?.

Was heißt das konkret für Ihr Büro?

Der EuGH und die EDPB liefern die rechtliche Rückendeckung für einen konkreten Arbeitsablauf: Originalangaben lokal pseudonymisieren, den Schlüssel getrennt halten, nur Platzhalter an die KI senden, Ergebnis lokal rückübersetzen. So verbinden Sie leistungsfähige Cloud-KI mit belastbarer Datenkontrolle — und können den Vorgang im Zweifel auch belegen.