Die Entscheidung in Kürze
Die italienische Datenschutzbehörde, die Garante per la protezione dei dati personali, hat gegen IQVIA Solutions Italy ein Bußgeld von 7 Millionen Euro verhängt und die Entscheidung am 2. Oktober 2026 veröffentlicht. Das Unternehmen hatte eine Datenbank mit Gesundheitsinformationen zu rund einer Million Patienten aus 800 Hausarztpraxen aufgebaut, die für Studien im Auftrag von Pharmaunternehmen genutzt wurde. IQVIA behandelte die Daten als anonym. Die Behörde sah das anders: Jeder Patient trug einen dauerhaften Code, über den sich seine Datensätze im Zeitverlauf verfolgen ließen, und zusammen mit detaillierten klinischen Merkmalen konnten Einzelpersonen „mit vertretbarem Aufwand“ herausgegriffen und re-identifiziert werden.
Weil es sich um personenbezogene Daten handelte, galten sämtliche DSGVO-Pflichten – und die meisten fehlten nach Ansicht der Garante: keine tragfähige Rechtsgrundlage, unzureichende Information der Patienten, keine Speicherfristen (die Datensätze reichten bis 2001 zurück), keine Datenschutz-Folgenabschätzung und unzureichende Sicherheit. IQVIA hat 120 Tage Zeit, die Verarbeitung rechtskonform zu gestalten, wenn der Datenfluss weiter genutzt werden soll.
Für alle, die DSGVO-konforme Datenprodukte entwickeln, ist die Lehre unmissverständlich: Anonymisierung ist ein rechtliches Ergebnis, das Sie nachweisen müssen – kein Etikett, das man einer Pipeline anheftet, nachdem die Namensspalte gehasht wurde.
Was hat die Garante festgestellt?
Die Daten flossen aus der Praxissoftware der Hausärzte in eine IQVIA-Datenbank, die für pharmazeutische Markt- und Outcome-Studien genutzt wurde. Die Garante kam zu dem Schluss, dass IQVIA bereits ab der Erhebung Verantwortlicher im Sinne der DSGVO war und nicht bloß passiver Empfänger bereits anonymer Auszüge. Diese Einstufung ist entscheidend: Sie machte das Unternehmen für Rechtsgrundlage und Patienteninformation genau an dem Punkt verantwortlich, an dem die Daten die Arztpraxis verließen.
Jeder Datensatz enthielt Geburtsjahr, Geschlecht, Diagnosen, Symptome, Verordnungen, Untersuchungen, Impfungen und Ortsangaben. Darüber hinaus fand die Behörde vollständige Identifikationsdaten – Namen, Steuernummern, Adressen und Kontaktinformationen – zu mehr als 3.300 Patienten, von denen über 3.000 mit Gesundheitsinformationen verknüpft waren. Il Sole 24 Ore, das am 3. Oktober über die Entscheidung berichtete, hob zudem Mängel beim Schutz der Daten hervor.
IQVIA erklärte, konstruktiv mit der Behörde zusammengearbeitet zu haben, Schutzmaßnahmen wie Pseudonymisierung und Verschlüsselung einzusetzen und sich Rechtsmittel vorzubehalten. Der betroffene Datensatz sei außerdem nicht für die klinische Forschung oder Studiendienstleistungen des Unternehmens verwendet worden. Der italienische Ärzteverband FNOMCeO betonte, dass die Hausärzte keine Verantwortung trügen und die Sicherstellung der Compliance Aufgabe des Unternehmens gewesen sei.
Warum waren die Datensätze nicht anonym?
Die DSGVO zieht eine harte Grenze zwischen zwei Dingen, die in der Technik oft verschwimmen. Bei pseudonymisierten Daten sind direkte Identifikatoren durch einen Code ersetzt, eine Person lässt sich aber mit Zusatzinformationen oder vertretbarem Aufwand weiterhin re-identifizieren – sie bleiben nach Art. 4 Nr. 5 personenbezogene Daten. Anonyme Daten sind laut Erwägungsgrund 26 solche, bei denen niemand mit Mitteln identifizierbar ist, die vernünftigerweise eingesetzt würden; nur diese fallen aus dem Anwendungsbereich der Verordnung.
Der IQVIA-Datensatz scheiterte am Anonymitätstest über zwei klassische Vektoren. Erstens Verknüpfbarkeit: Ein stabiler Patientenschlüssel erlaubte es, jeden Arztbesuch, jede Verordnung und jede Untersuchung zu einem Längsschnittprofil zusammenzufügen. Zweitens Herausgreifen (Singling-out): Geburtsjahr, Geschlecht, Ort und eine bestimmte Diagnose oder Impfhistorie grenzen eine Population schnell ein, besonders in kleineren Orten oder bei seltenen Erkrankungen. Je reichhaltiger und länger der Datensatz, desto einzigartiger wird er – und genau das macht ihn für die Forschung wertvoll und für den Datenschutz gefährlich.
Das deckt sich mit den Leitlinien des Europäischen Datenschutzausschusses (EDSA) zur Pseudonymisierung vom Januar 2025, die Pseudonymisierung als Sicherheitsmaßnahme zur Risikominderung einordnen, nicht als Ausweg aus der DSGVO. Die Garante hat der Verwechslung beider Begriffe nun einen siebenstelligen Preis gegeben.
Reicht HIPAA-De-Identifizierung für die DSGVO?
Nicht automatisch – und hier geraten vor allem US-Anbieter, mit denen DACH-Unternehmen zusammenarbeiten, in die Falle. HIPAA kennt zwei Wege zur De-Identifizierung: Safe Harbor, bei dem 18 festgelegte Identifikatoren entfernt werden, und Expert Determination, bei der ein qualifizierter Statistiker ein sehr geringes Re-Identifizierungsrisiko bescheinigt. Safe Harbor erlaubt unter Bedingungen weiterhin einen dauerhaften Re-Identifizierungscode und verlangt nicht, jedes detaillierte klinische Feld zu vergröbern.
Ein Datensatz, der Safe Harbor erfüllt, kann aus Sicht einer europäischen Aufsichtsbehörde also durchaus pseudonymisierte personenbezogene Daten enthalten, wenn er Längsschnittschlüssel und detaillierte Merkmale behält – genau das IQVIA-Muster. Wer im Bereich HealthTech Real-World-Daten lizenziert, EU-Patientenanalysen betreibt oder Modelle auf europäischen klinischen Daten trainiert, sollte davon ausgehen, dass die DSGVO greift, solange keine DSGVO-spezifische Anonymisierungsbewertung etwas anderes ergibt.
Was das für Softwareteams in DACH bedeutet
„Anonym“ im Vertrag ist keine Verteidigung. Datenüberlassungsverträge und Lieferantenfragebögen bezeichnen Datenlieferungen routinemäßig als anonymisiert. Die Garante hat sich die tatsächlichen Felder und Schlüssel angesehen, nicht die Papierlage. Wenn Ihre Plattform Partnerdaten mit dem Etikett „anonym“ übernimmt, prüfen Sie sie selbst; stellt sich heraus, dass es personenbezogene Daten sind, können auch Sie Verantwortlicher sein.
KI-Trainingsdaten erben das Problem. Gesundheitsdaten, mit denen Modelle trainiert oder feinjustiert werden, unterliegen demselben Test. Modelle können seltene Merkmalskombinationen memorieren, und ein Trainingskorpus mit stabilen Patienten-IDs ist pseudonymisiert – mit allen Pflichten: Rechtsgrundlage, DSFA, Speicherbegrenzung und zunehmend die Anforderungen des EU AI Act an die Daten-Governance für hochriskante medizinische KI.
Speicherbegrenzung ist eine Architekturentscheidung. Fünfundzwanzig Jahre Datensätze ohne Löschkonzept waren einer der Befunde. Speicherfristen müssen von der Pipeline durchgesetzt werden – partitionierte Speicherung, geplante Löschläufe, Data Lineage, die zeigt, was gelöscht wurde – und nicht in einem Löschkonzept stehen, das niemand ausführt.
Die Durchsetzung bei Gesundheitsdaten wird konkreter. Aufsichtsbehörden sanktionieren nicht mehr nur Datenpannen, sondern prüfen Data-Engineering-Entscheidungen wie Tokenisierungsverfahren und die Granularität von Quasi-Identifikatoren. Einkaufsabteilungen von Pharmaunternehmen und Kliniken werden von Dienstleistern zunehmend Re-Identifizierungs-Risikoanalysen verlangen, nicht nur Zertifikate wie ISO 27001.
Eine Engineering-Checkliste für „de-identifizierte“ Gesundheitsdaten
Das ist keine Rechtsberatung, spiegelt aber die technischen Kontrollen wider, die Aufsichtsbehörden laut IQVIA-Entscheidung prüfen werden:
- Ehrlich klassifizieren. Jeder Datensatz mit einem dauerhaften personenbezogenen Schlüssel ist pseudonymisiert und damit personenbezogen, bis eine dokumentierte Re-Identifizierungs-Risikoanalyse das Gegenteil belegt.
- Verknüpfbarkeit aufbrechen, wo möglich. Tokens je Studie oder je Empfänger verwenden (Keyed Hashing mit getrennten Secrets) statt einer globalen Patienten-ID für alle Exporte.
- Quasi-Identifikatoren vergröbern. Geburtsjahre in Altersgruppen zusammenfassen, Orte auf Regionen reduzieren, seltene Diagnosen unterdrücken oder gruppieren; Eindeutigkeit vor der Freigabe mit k-Anonymität oder ähnlichen Metriken messen.
- Identität von klinischen Daten trennen. Direkte Identifikatoren in einem separaten, zugriffsgeschützten Speicher halten; die 3.300 namentlich erfassten Datensätze in der IQVIA-Datenbank sind genau das, was diese Trennung verhindert.
- Speicherfristen im Code durchsetzen. Fristen je Zweck festlegen und automatisierte Löschung mit Protokollierung umsetzen.
- Vor dem Go-live eine DSFA durchführen. Die umfangreiche Verarbeitung von Gesundheitsdaten erfordert nach Art. 35 fast immer eine Datenschutz-Folgenabschätzung; ihr Fehlen wurde hier ausdrücklich gerügt.
- Eingehende Datenlieferungen prüfen. Als anonym gekennzeichnete Partnerdaten erneut testen und sicherstellen, dass Verträge die Rollen (Verantwortlicher, Auftragsverarbeiter) korrekt zuordnen.
Häufig gestellte Fragen
Warum wurde IQVIA in Italien mit 7 Mio. € bestraft?
Die italienische Datenschutzbehörde (Garante) stellte fest, dass IQVIA Solutions Italy eine Datenbank mit Gesundheitsdaten von rund einer Million Patienten aus 800 Hausarztpraxen aufgebaut hatte, die für Studien im Auftrag von Pharmaunternehmen genutzt wurde, und sie als anonym behandelte, obwohl sie es nicht war. Ein dauerhafter Code je Patient ermöglichte zusammen mit Geburtsjahr, Geschlecht, Diagnosen, Verordnungen, Untersuchungen, Impfungen und Ortsangaben, Einzelpersonen mit vertretbarem Aufwand herauszugreifen und zu re-identifizieren. Zudem bemängelte die Behörde eine fehlende Rechtsgrundlage, unzureichende Patienteninformation, fehlende Speicherfristen, keine Datenschutz-Folgenabschätzung und mangelhafte Sicherheit.
Was ist der Unterschied zwischen pseudonymisierten und anonymisierten Daten nach der DSGVO?
Bei pseudonymisierten Daten werden direkte Identifikatoren durch einen Code oder ein Token ersetzt, Personen lassen sich aber mit Zusatzwissen oder vertretbarem Aufwand weiterhin verknüpfen oder re-identifizieren. Nach der DSGVO bleiben sie personenbezogene Daten, und alle Pflichten gelten weiter: Rechtsgrundlage, Transparenz, Speicherbegrenzung, Sicherheit und bei Gesundheitsdaten eine Datenschutz-Folgenabschätzung. Anonymisierte Daten sind so verarbeitet, dass niemand mit Mitteln, die vernünftigerweise eingesetzt würden, identifiziert werden kann; nur dann ist die DSGVO nicht mehr anwendbar. Namen durch stabile IDs zu ersetzen ist Pseudonymisierung, keine Anonymisierung.
Ist die IQVIA-Entscheidung für Unternehmen in Deutschland, Österreich und der Schweiz relevant?
Ja. Die Garante hat zwar eine italienische Gesellschaft sanktioniert, sie wendet aber die DSGVO an, die in Deutschland und Österreich unmittelbar gilt. Die Abgrenzung zwischen pseudonymisierten und anonymen Daten ist für alle Aufsichtsbehörden im EWR dieselbe. Schweizer Anbieter, die Gesundheitsdaten von Personen in der EU verarbeiten, fallen ebenfalls unter die DSGVO; das Schweizer Datenschutzgesetz stuft Gesundheitsdaten zudem als besonders schützenswerte Personendaten ein.
Was sollten Teams für Gesundheitsdaten und KI jetzt tun?
Jeden Datensatz mit dauerhaften Patientenschlüsseln als personenbezogen behandeln, solange keine dokumentierte Re-Identifizierungs-Risikoanalyse das Gegenteil belegt. Quasi-Identifikatoren wie Geburtsjahr, Ort und seltene Diagnosen vergröbern, Tokens je Studie rotieren oder salzen, Speicherfristen festlegen, vor der Verarbeitung eine DSFA durchführen und direkte Identifikatoren physisch getrennt und streng zugriffsgeschützt halten. Dieselben Regeln gelten für Datensätze, mit denen KI-Modelle trainiert oder feinjustiert werden.
Quellen
Garante per la protezione dei dati personali — Dati sanitari: sanzione a IQVIA per 7 milioni di euro (2. Oktober 2026)
Il Sole 24 Ore — Health data of one million patients exposed; Iqvia faces a fine of 7 million (3. Oktober 2026)
BleepingComputer — IQVIA fined $7.8 million for failing to properly anonymize health data (5. Oktober 2026)
MLex — IQVIA fined €7m in Italy for GDPR breach over identifiable patient data (Oktober 2026)