Garante verhängt 7-Millionen-Euro-Bußgeld gegen IQVIA wegen Pseudonym-IDs

Italiens Datenschutzbehörde Garante hat gegen IQVIA Solutions Italy S.r.l. ein Bußgeld von 7 Millionen Euro verhängt. Betroffen sind laut einem Bericht des Fachdienstes PPC Land Gesundheitsdaten von rund einer Million Patientinnen und Patienten aus rund 800 Hausarztpraxen, die das Unternehmen in seiner Datenbank ‚Longitudinal Patient Data‘ als anonym bezeichnet hatte. Die Entscheidung Nr. 710 wurde dem Bericht zufolge am 23. September 2026 gefasst und am 2. Oktober veröffentlicht.

Ein stabiler Code als Streitpunkt

Im Zentrum steht ein fester, 22-stelliger alphanumerischer Patientencode, erzeugt durch eine firmeneigene Software und über Jahre hinweg unverändert. An diesem Code hingen Diagnosen, Verschreibungen, Besuchsdaten und Standortangaben. Die Garante argumentierte laut Bericht, ein Hash schütze nur den Teil eines Datensatzes, der direkt mit der Identität verknüpft sei – er sei aber genau dazu gebaut, Eindeutigkeit zu bewahren, damit eine Krankengeschichte einer Person zugeordnet werden kann. Deshalb sei eine Re-Identifizierung mit vertretbarem Aufwand möglich gewesen.

Entwickler statt bloßer Empfänger

IQVIA berief sich laut Bericht auf das EuGH-Urteil C-413/23 P vom 4. September 2025, wonach pseudonymisierte Daten für einen Empfänger, der sie nicht re-identifizieren kann, außerhalb der Definition personenbezogener Daten liegen können. Die Garante unterschied jedoch zwischen einem bloßen Empfänger und einem Entwickler der Anonymisierung: Verträge bezeichneten IQVIA als Verantwortlichen, eine Klausel eines Vertrags vom 26. Februar 2020 garantierte die Anonymisierung nach einer von IQVIA selbst vorgeschlagenen Anlage, und der Softwareanbieter bestätigte, die Software nach IQVIA-Vorgaben gebaut zu haben. Unter Verweis auf das Fashion-ID-Urteil C-40/17 lehnte die Behörde eine getrennte Betrachtung von Datenerhebung und Anonymisierung ab.

Liste der Verstöße

Die Entscheidung listet laut Bericht Verstöße gegen die Artikel 5(1)(a),(e),(f), 5(2), 9, 13, 25, 28, 32 und 35 der DSGVO: fehlende Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten, keine direkte Information der Patienten, keine Löschrichtlinie bei Datensätzen bis zurück ins Jahr 2001, nie formell als Auftragsverarbeiter bestellte Ärzte und keine Datenschutz-Folgenabschätzung trotz groß angelegter Verarbeitung von Gesundheitsdaten. Hinzu kam ein von IQVIA selbst entdeckter Vorfall: Ein Add-on übertrug ungefilterte Freitextfelder mit Namen, Geburtsdaten, Steuercodes, Adressen, E-Mail-Adressen und Telefonnummern für 3.370 Patienten, bei 3.080 davon zusätzlich Gesundheitsdaten – täglich in Dateien an die Società Italiana di Medicina Generale. IQVIA machte dafür die Ärzte verantwortlich; die Garante wertete dies dagegen als eigenständiges Sicherheits- und Rechenschaftsversagen.

Bußgeldberechnung und Auflagen

Berechnungsgrundlage war laut Bericht der konsolidierte Umsatz der US-börsennotierten Muttergesellschaft IQVIA Holdings Inc., gestützt auf das Prinzip des bestimmenden Einflusses aus C-97/08, bei einer gesetzlichen Obergrenze von 20 Millionen Euro oder 4 Prozent des weltweiten Umsatzes. Mildernd wirkten die 2023 eingestellte Datenübermittlung durch die Ärzte, fehlende Patientenbeschwerden und der Wert der Datenbank als Forschungsressource. Innerhalb der Einspruchsfrist steht laut Bericht eine Vergleichszahlung von 3,5 Millionen Euro offen; IQVIA erklärte, die Entscheidung zur Kenntnis zu nehmen und behalte sich einen Einspruch vor. Die Nachbesserungsanordnung gibt dem Unternehmen 120 Tage Zeit, entweder eine Rechtsgrundlage zu schaffen, Informationspflichten nach Artikel 13 zu erfüllen, eine Folgenabschätzung vorzulegen und die Ärzte als Auftragsverarbeiter zu benennen – oder die Anonymisierung an die Ärzte zu übergeben, unter Bedingungen wie Äquivalenzklassen von mindestens zehn Datensätzen je Kombination von Quasi-Identifikatoren und einem k-Anonymitäts-Schwellenwert.

Bedeutung über den Einzelfall hinaus

PPC Land zieht eine Parallele zur Werbebranche: Eine stabile pseudonyme Kennung in Verbindung mit reichhaltigen Verhaltensdaten beschreibe im Kern auch gehashte E-Mail-Adressen, verlagsseitige Nutzer-IDs, Identity Graphs und Clean-Room-Join-Keys. Dem Bericht zufolge hatte bereits die US-Handelsaufsicht FTC im Juli 2024 erklärt, Hashing mache Daten nicht anonym, und der Europäische Datenschutzausschuss ersetzte den alten Singling-out-Test durch ein dreiteiliges Prüfschema, das am 7. Juli 2026 in den Leitlinien 02/2026 zur Anonymisierung mündete.

Quellen

• PPC Land (Fachpresse-Bericht über die Garante-Entscheidung)

Pflichthinweis: Dieser Text wurde ganz oder teilweise mit Unterstützung eines KI-Systems erstellt.