Die härteste Stelle in der Entscheidung gegen IQVIA ist nicht die Summe. Sieben Millionen Euro sind für ein Unternehmen aus dem Umfeld von Gesundheitsdatenanalyse und klinischer Forschung erheblich, aber nicht der Kern. Der Kern liegt in einer technischen Feststellung: Die Daten waren nach Ansicht der italienischen Datenschutzbehörde nicht anonym.
Damit kippt die Architektur des gesamten Datenmodells. Was als auswertbarer, angeblich anonymisierter Gesundheitsbestand behandelt wurde, bleibt aus Sicht der Behörde personenbezogene Verarbeitung. Und weil es um Diagnosen, Symptome, Verschreibungen, Untersuchungen, Impfungen und Ortsdaten geht, landet der Fall sofort in der empfindlichsten Zone der DSGVO.
Die Mitteilung des Europäischen Datenschutzausschusses beschreibt einen Datenbestand zu rund einer Million Patienten von 800 Hausärzten. Genutzt wurde er für Studien, die unter anderem auch von Pharmaunternehmen beauftragt wurden. Die italienische Behörde untersuchte IQVIA Solutions Italy S.r.l. nach Inspektionen im April 2025; verbunden wurde das Verfahren mit einer von IQVIA gemeldeten Datenschutzverletzung.
Ein Identifier ist kein neutrales Detail
Die technische Frage lautet: Wann ist ein Datensatz wirklich nicht mehr einer Person zuordenbar? IQVIA vertrat nach Darstellung der Behörde die Position, die Daten seien anonym. Die Aufsicht kam zum gegenteiligen Ergebnis. Entscheidend war ein dauerhafter Identifikator, der jedem Patienten zugewiesen wurde.
Ein solcher Identifier muss keinen Namen enthalten, keine Steuernummer, keine Telefonnummer. Er reicht trotzdem, um Datensätze über Zeiträume hinweg miteinander zu verknüpfen. Bei Gesundheitsdaten ist genau diese Zeitachse wertvoll: Verlauf, Wiederholung, Therapie, Rezept, Untersuchung, Impfung, Ort. Für Forschung und Marktanalyse ist das nützlich. Für Datenschutzrecht ist es gefährlich.
Die Behörde sah die Möglichkeit, einzelne Personen aus dem Bestand herauszugreifen und potenziell wiederzuerkennen, wenn der stabile Identifier mit den übrigen Merkmalen kombiniert wird. Jahrgang, Geschlecht, Diagnosemuster, Symptome, Medikamente, Untersuchungen und Standortdaten ergeben keine grobe Statistik mehr. Sie bilden ein Profil mit Kontur.
Das ist der technische Bruch im Fall. Anonymisierung ist kein Etikett, das auf einen Datenbestand geklebt wird. Sie ist ein Zustand, der gegen naheliegende Verknüpfungen bestehen muss. Wenn ein Datensatz dauerhaft pro Person verfolgt werden kann, bleibt er operativ nah an der Person, auch wenn direkte Namen entfernt wurden.
Der Bestand war nicht nur theoretisch riskant
Die Entscheidung enthält noch eine zweite Ebene. Neben dem strukturellen Problem des persistenten Identifikators fand die Behörde in der Datenbank auch direkt identifizierende Informationen zu etwa 3.370 Patienten. Bei rund 3.080 davon handelte es sich um Gesundheitsdaten.
Das verschiebt den Fall aus der abstrakten Debatte über Re-Identifizierung in einen konkreteren Bereich. Es ging nicht nur um die Möglichkeit, über Kombinationen wieder auf Personen zu schließen. In Teilen des Bestands lagen nach Angaben der Behörde direkte Identifikatoren vor.
Für Unternehmen, die mit Gesundheitsdaten arbeiten, ist diese Unterscheidung wichtig, aber nicht entlastend. Auch ohne direkte Namen können Daten personenbezogen sein, wenn sie mit vernünftig verfügbaren Mitteln einer Person zugeordnet werden können. Mit direkten Identifikatoren wird nur sichtbarer, wie dünn die Trennlinie zwischen Analysebestand und Patientendossier werden kann.
Die fehlende Rechtsgrundlage zieht die Technik mit herunter
Der Fall bleibt nicht bei der Frage der Anonymisierung stehen. Die italienische Datenschutzbehörde stellte fest, dass IQVIA als Verantwortlicher Gesundheitsdaten ohne geeignete Rechtsgrundlage verarbeitet habe. Außerdem seien die Patienten nicht ausreichend informiert worden.
Das ist keine Formalie am Rand. Bei Gesundheitsdaten greift Artikel 9 DSGVO, also das Regime für besondere Kategorien personenbezogener Daten. Wer solche Daten verarbeitet, braucht nicht nur ein technisches Konzept, sondern eine belastbare rechtliche Konstruktion. Informationspflichten nach Artikel 13 sind dabei Teil der Infrastruktur: Betroffene müssen verstehen können, was mit ihren Daten geschieht, auf welcher Grundlage und zu welchem Zweck.
Hinzu kamen weitere Mängel. Die Behörde nannte fehlende angemessene Aufbewahrungsfristen, keine durchgeführte Datenschutz-Folgenabschätzung und unzureichende Sicherheitsmaßnahmen. Gerade die Datenschutz-Folgenabschätzung ist in solchen Konstellationen kein nachträgliches Dokument für die Ablage. Sie zwingt dazu, Risiken vor der Verarbeitung systematisch zu prüfen: Welche Daten fließen? Wer kann zugreifen? Wie lange bleiben sie erhalten? Welche Re-Identifizierungsrisiken entstehen durch Kombinationen?
In diesem Fall wirkt die fehlende Folgenabschätzung wie ein Symptom. Der Datenbestand war groß, sensibel und für Auswertungen gebaut. Genau dort muss das Risikomodell vor dem Betrieb stehen, nicht hinterher.
Die Aufsicht greift in das Betriebsmodell ein
Die Sanktion besteht nicht nur aus dem Bußgeld. Wenn IQVIA die Verarbeitung fortsetzen will, muss das Unternehmen sie innerhalb von 120 Tagen an die DSGVO anpassen. Dazu gehören nach der Entscheidung eine passende Rechtsgrundlage, die Erfüllung der Informationspflichten gegenüber Patienten, eine Datenschutz-Folgenabschätzung und die Bestellung der Hausärzte als Auftragsverarbeiter.
Alternativ muss die Anonymisierung unabhängig durch die Hausärzte erfolgen, unter den von der italienischen Behörde festgelegten Schutzvorkehrungen. Das ist operativ relevant. Die Behörde adressiert nicht bloß ein einzelnes Datenfeld oder eine fehlende Klausel. Sie zwingt zur Klärung der Rollen, der Vorverarbeitung und der Verantwortlichkeiten.
Damit trifft die Entscheidung eine typische Schwachstelle datengetriebener Gesundheitsmodelle: Viele Beteiligte liefern, bereinigen, pseudonymisieren, analysieren und verwerten Daten. Je länger diese Kette wird, desto leichter verschwimmt, wer rechtlich wofür verantwortlich ist. Die italienische Behörde zieht diese Rollen wieder auseinander.
Was der Fall für Gesundheitsdatenanalyse bedeutet
Für die Branche ist der Fall unangenehm, weil er eine bequeme Annahme beschädigt: Entfernte Namen reichen nicht. Auch ein pseudonymer Langzeitbestand kann personenbezogen bleiben, wenn er Personen stabil trennt, Verläufe abbildet und mit reichhaltigen Merkmalen gefüllt ist.
Das betrifft nicht nur IQVIA. Alle Unternehmen, die Gesundheitsdaten für Forschung, Versorgungsanalysen oder kommerzielle Studien auswerten, müssen ihre Anonymisierungslogik technisch prüfen. Nicht nach Präsentationsfolie, sondern nach Angriffspunkt: Gibt es dauerhafte Kennungen? Lassen sich seltene Diagnosekombinationen isolieren? Enthalten Standortdaten genug Präzision? Werden mehrere Zeitpunkte zusammengeführt? Gibt es Restfelder, die direkte Identifikation ermöglichen?
Die italienische Behörde berücksichtigte bei der Höhe des Bußgelds auch mildernde Faktoren: die Aussetzung von Datenübermittlungen durch Hausärzte und die Kooperation von IQVIA während des Verfahrens. Trotzdem bleibt die Entscheidung hart in der Sache. Bei Gesundheitsdaten zählt nicht die Behauptung, ein Bestand sei anonym. Es zählt, ob die Konstruktion diese Behauptung trägt.
Der Fall zeigt damit eine nüchterne Grenze der Datenökonomie im Gesundheitssektor. Je nützlicher ein Datensatz für Verlaufsauswertungen ist, desto eher enthält er Merkmale, die Personen wieder unterscheidbar machen. Wer diese Spannung nicht technisch und rechtlich auflöst, verarbeitet keine abstrakten Datenpunkte. Er verarbeitet Patientengeschichten.
