Wie die neue EDPB-Leitlinie zu Blockchain und Datenschutz bei Bitcoin an genau der Stelle scheitert, die sie eigentlich regeln wollte
Am 7. Juli 2026 hat der European Data Protection Board (EDPB) die finale Fassung seiner Guidelines 02/2025 on processing of personal data through blockchain technologies (Version 2.0) verabschiedet. Nach der öffentlichen Konsultation zum Entwurf aus April 2025 lag die Erwartung nahe, dass die zentrale Schwachstelle der Vorversion nachgebessert würde: die Frage, wer eigentlich Verantwortlicher im Sinne der DSGVO ist, wenn personenbezogene Daten über eine öffentliche, dezentrale Blockchain wie Bitcoin verarbeitet werden.
Das Ergebnis vorweg: Die Leitlinie ist an vielen Stellen sorgfältig und praxisnah – bei Verschlüsselung, Aufbewahrungsfristen, DPIA-Anforderungen oder der Abgrenzung von On-Chain- und Off-Chain-Speicherung liefert sie brauchbare Orientierung. Doch bei der Grundfrage der Verantwortlichkeit für wirklich dezentrale, permissionless Netzwerke bleibt sie unscharf – und das ist kein redaktionelles Versehen, sondern eine strukturelle Grenze dessen, was eine Aufsichtsbehörde per Leitlinie überhaupt regeln kann.
Warum das für Bitcoin-Interessierte relevant ist
Man muss kein Jurist sein, um das Problem zu verstehen. Die DSGVO baut auf einem einfachen Prinzip auf: Für jede Verarbeitung personenbezogener Daten muss es jemanden geben, der über Zwecke und Mittel entscheidet – den „Verantwortlichen“ (Art. 4 Nr. 7 DSGVO). Dieser jemand trägt Pflichten: Er muss Auskunft geben, löschen, informieren, im Zweifel haften.
Bitcoin wurde aber bewusst so konstruiert, dass es niemanden gibt, der diese Rolle ausfüllt. Keine Firma, keine Stiftung, kein Vorstand. Jeder Full Node läuft eigenständig, jeder Miner konkurriert wirtschaftlich statt zu kooperieren, und Software-Updates der Core-Entwickler haben nur die Autorität, die ihnen die Nodes freiwillig einräumen, indem sie sie installieren. Genau das ist der Punkt, der die Leitlinie in Erklärungsnot bringt: Ein Regelwerk, das einen Adressaten braucht, trifft auf ein System, das keinen hat.
Was die Leitlinie zur Verantwortlichkeit tatsächlich sagt
Die Leitlinie widmet der Frage in Abschnitt 3.3 „Roles and responsibilities“ (Rn. 36–44) einigen Raum. Zusammengefasst:
Rn. 38 stellt zunächst die Grundregel klar: Wo die Verantwortlichkeit nicht bereits gesetzlich zugewiesen ist, braucht es eine „factual assessment“ anhand von Kriterien wie der Art des Dienstes, dem Governance-Mechanismus, den technischen und organisatorischen Merkmalen der Blockchain und den Beziehungen zwischen den Beteiligten.
Rn. 39–40 heben hervor, dass der Governance-Mechanismus für diese Zuordnung oft entscheidend ist – und dass permissioned Blockchains (also Netzwerke mit einer zugangskontrollierenden Autorität) hierbei klar im Vorteil sind. Wörtlich:
„This option offers a clearer allocation of responsibilities, which is a key element for the protection of data subjects, and organisations should favour permissioned blockchains.“ (Rn. 40)
Das ist bereits ein erstes Indiz: Die EDPB empfiehlt faktisch, permissionless Netzwerke wie Bitcoin zu meiden, statt eine Lösung für sie anzubieten.
Rn. 42 differenziert dann bei den Nodes selbst: Solche mit rein technischer Prüffunktion – Formatkontrolle, Plausibilitätscheck, Berechtigungsprüfung – ohne eigenes Interesse an der Auswahl konkreter Transaktionen sollen nicht als Verantwortliche gelten. Sie handeln, so die Logik, nicht „on behalf of“ jemand anderem, bestimmen aber auch nicht selbst über Zweck und Mittel.
Rn. 43–44 wenden sich dann explizit dem Fall zu, um den es bei Bitcoin geht: public permissionless blockchains. Hier räumt die EDPB ein, dass Nodes durchaus als Verantwortliche oder gemeinsam Verantwortliche zu qualifizieren sein können, wenn sie „a decisive influence on the determination of purposes and essential means“ ausüben – etwa bei Fork-Entscheidungen. Und dann kommt der entscheidende Satz, auf den die gesamte Konstruktion hinausläuft:
„In this case, the EDPB strongly encourages the establishment of a consortium or any other type of legal entities among the nodes. This entity, when it exists, would then be controller of this processing.“ (Rn. 44)
„When it exists.“ Nicht „weil sie existiert“, sondern als Bedingung im Konjunktiv. Bei Bitcoin existiert eine solche Entität nicht – keine Stiftung, kein Konsortium, keine koordinierte Rechtsperson hinter dem Protokoll. Die Leitlinie beschreibt damit sehr präzise, was fehlt, ohne zu sagen, was daraus folgt, wenn es fehlt.
Die Leerstelle, die bleibt
Damit lässt die Leitlinie im Kern zwei Lesarten offen, ohne sich für eine zu entscheiden:
- Es gibt bei Bitcoin schlicht keinen Verantwortlichen – ein Regelungsvakuum, das die DSGVO eigentlich nicht vorsieht.
- Jeder einzelne Node-Betreiber könnte für seinen eigenen Verarbeitungsbeitrag (das dauerhafte Vorhalten der vollständigen Chain samt aller Public Keys) individuell verantwortlich sein – ein Gedanke, den Rn. 42–44 zumindest anlegen, ohne ihn auszubuchstabieren.
Die zweite Lesart ist dogmatisch nicht abwegig, hilft aber praktisch nicht weiter: Tausende pseudonyme, global verteilte, oft private Node-Betreiber sind keine adressierbaren Verantwortlichen im Sinne einer wirksamen Aufsicht. Gegen wen sollte ein Betroffener sein Auskunfts- oder Löschungsrecht geltend machen? Wer würde ein Bußgeld erhalten? Die Leitlinie beantwortet das nicht – und kann es strukturell auch nicht, ohne den Verantwortlichenbegriff der DSGVO zu verlassen.
Bezeichnend ist außerdem, dass die Leitlinie an mehreren Stellen die technischen Eigenschaften genau jener Systeme beschreibt, die sie damit eigentlich ausklammert: Rn. 3–4 zählen „distributed“, „disintermediated“ und „transparent“ als Kerneigenschaften von Blockchains auf; Rn. 22 stellt klar, dass permissionless Blockchains allen Teilnehmern gleiche Rechte einräumen und dezentralisiert sind. Bitcoin wird dabei ausdrücklich als Beispiel für proof-of-work-basierte, permissionless öffentliche Chains benannt (Rn. 17, 21). Die Leitlinie weiß also genau, mit welchem Systemtyp sie es zu tun hat – sie löst die daraus folgende Verantwortlichkeitsfrage nur nicht auf.
Wo die Leitlinie funktioniert – und wo nicht
Um fair zu bleiben: Die Leitlinie ist nicht überall zahnlos. Sie funktioniert gut für zwei Szenarien:
- Permissioned / konsortiale Blockchains: Dort existiert ohnehin eine steuernde Instanz mit Vertragswerk, Governance-Struktur und einer klar bestimmbaren Autorität (Rn. 23, 40). Hier lässt sich die klassische Verantwortlichenprüfung sauber anwenden.
- Die Anwendungsebene: Wer sich aktiv entscheidet, personenbezogene Daten in eine Transaktion zu schreiben oder eine dApp auf Bitcoin aufzusetzen, ist für diese Verarbeitung Verantwortlicher – unabhängig davon, ob das darunterliegende Netzwerk selbst einen Verantwortlichen hat (Rn. 45 stellt klar, dass Blockchain „only a technology“ ist, „not by itself a processing“).
Was die Leitlinie nicht liefert, ist eine Antwort für die Infrastrukturebene eines Netzwerks wie Bitcoin: das bloße Betreiben, Validieren und Replizieren der Chain durch ein unorganisiertes, globales Kollektiv ohne gemeinsame Rechtsperson.
Fazit: Dezentralität gewinnt, weil sie nicht greifbar ist
Am Ende bleibt ein bemerkenswertes Ergebnis: Ausgerechnet die Eigenschaft, die Bitcoin regulatorisch eigentlich verwundbar machen sollte – seine radikale Dezentralität – ist der Grund, warum die DSGVO an ihm abprallt. Die Verordnung ist auf Adressierbarkeit angewiesen: einen Namen, eine Rechtsperson, jemanden, der haftet. Bitcoin hat das nicht, und die EDPB kann diesen Umstand per Leitlinie nicht wegdefinieren.
Die Leitlinie begegnet dem nicht mit einer offenen Aussage, sondern mit einer Vermeidungsstrategie: Sie empfiehlt permissioned Architekturen (Rn. 40, Recommendation 5), betont, dass öffentliche Chains nur genutzt werden sollten, wenn öffentlicher Zugang für den Zweck tatsächlich erforderlich ist (Rn. 49), und formuliert die Bedingung für einen Verantwortlichen bei permissionless Netzwerken so, dass sie bei Bitcoin gerade nicht erfüllt ist („when it exists“, Rn. 44).
Ob das bewusst so offengelassen wurde, lässt sich von außen nicht sicher beurteilen. Plausibler als ein Versehen ist: Eine europäische Aufsichtsbehörde hätte kaum offen schreiben können, dass eines der bekanntesten und am weitesten verbreiteten dezentralen Systeme der Welt sich ihrem zentralen Regelungsinstrument – dem Verantwortlichenbegriff – schlicht entzieht. Eine solche Aussage wäre faktisch eine Kapitulation vor der Realität dezentraler Systeme gewesen. Die Leitlinie umschifft diese Aussage, indem sie die Frage in eine Bedingung kleidet, die bei Bitcoin nicht erfüllt ist, ohne die Konsequenz daraus explizit zu benennen.
Für alle, die sich für Bitcoin interessieren, ist das im Ergebnis eine gute Nachricht in schlechter Verpackung: Die DSGVO wurde nicht so geschrieben, dass sie auf ein System wie Bitcoin passt – und die aktuelle Leitlinie ändert daran nichts. Wer personenbezogene Daten aktiv und gezielt auf einer öffentlichen Chain verarbeitet (etwa über eine Anwendung oder einen Dienst), bleibt dafür verantwortlich. Das Netzwerk selbst aber bleibt, was es von Beginn an sein sollte: nicht greifbar.
Genau darin liegt auch ein Stück wirtschaftlicher Erklärung für Bitcoins Position. Jedes System mit einem greifbaren Verantwortlichen trägt dessen Last: Governance-Strukturen aufbauen, Prozesse für Auskunft und Löschung implementieren, Haftungsrisiken einpreisen, sich auf behördliche Anordnungen einstellen. Das kostet Ressourcen und schafft Angriffsfläche – regulatorisch wie wirtschaftlich. Bitcoin trägt diese Last nicht, weil es niemanden gibt, an den sie adressiert werden könnte. Nicht, weil es über dem Recht stünde, sondern weil das Recht in seiner heutigen, auf Adressierbarkeit angewiesenen Form schlicht nicht greift. Ein Teil der ökonomischen Bedeutung, die Bitcoin erlangt hat, dürfte genau darauf zurückzuführen sein: Es ist das seltene Beispiel eines global bedeutsamen Systems, das sich der Notwendigkeit entzieht, für seine eigene Regulierbarkeit zu sorgen – und diesen Platz nimmt es zu Recht ein, solange kein Regelwerk entsteht, das diese strukturelle Lücke tatsächlich schließt.
Damit schließt sich auch der Kreis zum Ursprung. Satoshi Nakamoto beschrieb im Bitcoin-Whitepaper von 2008 das Ziel, Zahlungen zwischen zwei Parteien direkt abzuwickeln, ohne den Umweg über eine vermittelnde Institution. Genau diese Abwesenheit einer vermittelnden, greifbaren Instanz ist es, an der 18 Jahre später auch der Versuch der DSGVO scheitert, dem System einen datenschutzrechtlich Verantwortlichen zuzuweisen. Was als Konstruktionsprinzip gegen Banken und Intermediäre gedacht war, entzieht sich damit gleichermaßen der Regulierung – nicht als Nebeneffekt, sondern als eingebaute Konsequenz der ursprünglichen Idee.
Weiterführend
Quellen & Weiterführende Links
- EDPB, Guidelines 02/2025 on processing of personal data through blockchain technologies, Version 2.0, adopted 7 July 2026
- Art. 4 Nr. 7 DSGVO
- Art. 24, 25 DSGVO
- Satoshi Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
Rechtlicher Hinweis: Dieser Artikel gibt eine persönliche fachliche Einschätzung wieder und ersetzt keine Rechtsberatung im Einzelfall