von: Antonia Witter
Mit Urteil vom 18. Juni 2026 (C-484/24) hat der Europäische Gerichtshof (EuGH) u.a. geklärt, ob Gerichte personenbezogene Daten als Beweismittel verwenden dürfen, wenn diese möglicherweise unter Verstoß gegen die DSGVO erlangt wurden. Die Entscheidung betrifft zwar einen arbeitsrechtlichen Fall, ihre Bedeutung reicht jedoch weit darüber hinaus: Der EuGH äußert sich grundlegend zur datenschutzrechtlichen Behandlung personenbezogener Daten als Beweismittel in Zivilverfahren.
Was war passiert?
Ein Arbeitgeber verlangte von einer ehemaligen Mitarbeiterin Schadensersatz. Der Arbeitgeber warf ihr vor, Betriebsgegenstände über ihr privates eBay-Konto verkauft zu haben. Die im Verfahren als Beweis vorgelegten Daten waren jedoch möglicherweise nicht datenschutzkonform erhoben worden.
Das vorlegende Gericht legte dem EuGH mehrere Fragen zur Auslegung der DSGVO vor. Dabei ging es insbesondere darum, ob derartige Daten trotz möglicher Datenschutzverstöße im Gerichtsverfahren verwertet werden dürfen, welche datenschutzrechtliche Grundlage für ihre Verarbeitung im Rahmen eines Rechtsstreits einschlägig ist und ob Art. 17 Abs. 3 lit. e DSGVO insoweit als eigenständige Erlaubnisnorm herangezogen werden kann.
Mehrere Rechtsgrundlagen können nebeneinander gelten
Eine der praxisrelevantesten Aussagen des Urteils betrifft eine Grundsatzfrage, die weit über den entschiedenen Fall hinausreicht: Darf sich ein Verantwortlicher für ein und dieselbe Verarbeitung gleichzeitig auf mehrere Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO stützen? Der EuGH lässt daran nun keinen Zweifel: Mehrere Rechtsgrundlagen können nebeneinander einschlägig sein – vorausgesetzt, die Voraussetzungen jeder einzelnen Rechtsgrundlage sind eigenständig erfüllt. Eine bloß vorsorgliche Nennung mehrerer Erlaubnistatbestände genügt nicht. Der Verantwortliche muss vielmehr prüfen und dokumentieren, welche Rechtsgrundlagen im konkreten Fall tatsächlich eingreifen.
Auf welcher Rechtsgrundlage dürfen Gerichte personenbezogene Daten überhaupt verarbeiten?
Zunächst stellt der EuGH klar: Auch Gerichte verarbeiten personenbezogene Daten im Sinne der DSGVO, wenn sie entsprechende Dokumente zu den Akten nehmen. Sie brauchen dafür wie jeder andere Verantwortliche eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO.
Für die konkrete Verarbeitung durch das Gericht kommt nach Auffassung des EuGH Art. 6 Abs. 1 lit. c DSGVO als Rechtsgrundlage in Betracht. Anders als das vorlegende Gericht angenommen hatte, sei die Verarbeitung hier nicht auf Art. 6 Abs. 1 lit. e DSGVO zu stützen. Die rechtliche Verpflichtung bestehe darin, dass Gerichte über die Zulässigkeit vorgelegter Beweismittel entscheiden und sie bei ihrer Entscheidung würdigen müssen.
Klargestellt hat der EuGH außerdem, dass Art. 17 Abs. 3 lit. e DSGVO keine eigenständige Rechtsgrundlage für die gerichtliche Verarbeitung darstellt. Die Vorschrift regelt nur eine Ausnahme vom Recht auf Löschung: Sind Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich, müssen sie nicht gelöscht werden. Das ersetzt keine Erlaubnisnorm nach Art. 6 DSGVO.
Unter welchen Voraussetzungen dürfen die Daten dann als Beweis verwertet werden?
Ob ein Beweismittel verwertbar ist, richtet sich weiterhin nach nationalem Prozessrecht. Dass die Grundsätze zur Beweisverwertung in Deutschland nur als Richterrecht und nicht als geschriebenes Gesetz bestehen, hält der EuGH grundsätzlich für vereinbar mit Art. 6 Abs. 1 lit. c, Abs. 3 DSGVO und Art. 8 Abs. 2, Art. 52 GrCh. Er stellt daran aber klare Anforderungen: Die nationale Rechtsprechung muss
- klar, präzise und für die Betroffenen vorhersehbar festlegen, unter welchen Umständen personenbezogene Daten enthaltende Beweismittel verwendet werden dürfen,
- ein im öffentlichen Interesse liegendes Ziel verfolgen,
- und in einem angemessenen Verhältnis zu diesem Ziel stehen.
Liegen diese Voraussetzungen vor, dürfen nationale Gerichte auch datenschutzwidrig erlangte personenbezogene Daten verarbeiten. Ein absolutes Beweisverwertungsverbot sieht die DSGVO nicht vor. Das Recht auf Schutz personenbezogener Daten ist kein uneingeschränktes Recht, sondern muss mit dem Recht auf wirksamen gerichtlichen Rechtsschutz abgewogen werden.
Das gilt sowohl, wenn die Daten selbst rechtswidrig erhoben wurden, als auch bei einer Verletzung der Informationspflichten nach Art. 13 DSGVO. Der EuGH stellt insoweit klar, dass die Zulässigkeit der gerichtlichen Verarbeitung nicht davon abhängt, dass die beweisbelastete Partei ein über die Durchsetzung des Anspruchs hinausgehendes besonderes berechtigtes Interesse nachweist.
Datenminimierung bleibt Pflicht der Gerichte
Bei der Verarbeitung bleiben Gerichte an den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) gebunden. Die verwendeten Daten müssen auf das für den Verfahrenszweck angemessene und erforderliche Maß beschränkt werden – Gerichte dürfen also nur die Daten zu den Akten nehmen oder gegenüber Dritten offenlegen, die tatsächlich notwendig sind, und müssen gegebenenfalls Schutzmaßnahmen wie Anonymisierung ergreifen.
Wichtig für die Einordnung: Aus der Datenminimierung selbst folgt keine Pflicht zu einer umfassenden Verhältnismäßigkeitsprüfung. Diese Prüfung ist Teil der Anforderungen an die Rechtsgrundlage, nicht des Minimierungsgrundsatzes.
Auch Dritte sind geschützt – aber nicht automatisch rügefähig
Enthalten Beweismittel personenbezogene Daten unbeteiligter Dritter, muss das Gericht auch insoweit die DSGVO einhalten. Das Unionsrecht verlangt aber nicht, dass sich die Prozessparteien darauf berufen können, dass die Rechte unbeteiligter Dritter verletzt wurden. Ob und in welchem Umfang das nationale Prozessrecht entsprechende Rügemöglichkeiten eröffnet, bleibt den Mitgliedstaaten überlassen.
Was bedeutet das für die Praxis?
Das Urteil beseitigt das Risiko eines automatischen Beweisverlusts bei Datenschutzverstößen. Es ist aber kein Freibrief für rechtswidrig beschaffte Beweismittel: Ob ein bestimmtes Beweismittel im Ergebnis verwertet wird, hängt weiterhin von der Ausgestaltung der nationalen Verwertungsgrundsätze und deren Anwendung im Einzelfall ab. Und die datenschutzrechtlichen Risiken einer rechtswidrigen Datenerhebung – Bußgelder nach Art. 83 DSGVO, Schadensersatz nach Art. 82 DSGVO, aufsichtsbehördliche Maßnahmen – bleiben unabhängig von der späteren Verwertbarkeit bestehen.
Vor internen Ermittlungen empfiehlt sich daher weiterhin, den konkreten Verdacht, den Zweck der Untersuchung, mildere Aufklärungsmöglichkeiten sowie Lösch- und Aufbewahrungsfristen zu dokumentieren. Das verbessert nicht nur die datenschutzrechtliche Position, sondern erhöht auch die Chance, dass Beweismittel im Streitfall verwendet werden können.
Fazit
Der EuGH hat mit C-484/24 mehrere praxisrelevante Fragen geklärt:
- Für dieselbe Verarbeitung können mehrere Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO nebeneinander gelten.
- Die gerichtliche Verarbeitung personenbezogener Daten kann dabei auf Art. 6 Abs. 1 lit. c DSGVO gestützt werden; Art. 17 Abs. 3 lit. e DSGVO ist dagegen keine eigenständige Rechtsgrundlage.
- Ein Verstoß gegen die DSGVO bei der Datenerhebung führt nicht automatisch zur Unverwertbarkeit vor Gericht, ebenso wenig ein Verstoß gegen Informationspflichten. Voraussetzung ist aber eine nationale Verwertungsgrundlage, die klar, präzise, vorhersehbar, im öffentlichen Interesse liegend und verhältnismäßig ist.
Unser Team Datenschutz & Datenrecht unterstützt Sie gerne bei der Einordnung aktueller Entwicklungen und datenschutzrechtlichen Fragen aller Art.
Bildquelle: KI-generiert über Copilot