Dürfen Gerichte personenbezogene Daten als Beweismittel verwenden, obwohl diese zuvor unter Verstoß gegen die DSGVO erhoben wurden?
Mit dieser Frage hat sich der Europäische Gerichtshof in seinem Urteil vom 18. Juni 2026 in der Rechtssache C-484/24 beschäftigt. Die Entscheidung ist insbesondere für Unternehmen relevant, die nach internen Untersuchungen personenbezogene Daten zur Durchsetzung oder Abwehr von Ansprüchen in gerichtlichen Verfahren nutzen möchten.
Der EuGH stellt hiernach klar: Aus einem Datenschutzverstoß bei der Beschaffung eines Beweismittels folgt nach der DSGVO kein automatisches Beweisverwertungsverbot. Ein Gericht kann die betreffenden Daten unter bestimmten Voraussetzungen dennoch berücksichtigen.
Die mögliche Verwertung vor Gericht ändert allerdings nichts an der rechtlichen Bewertung der ursprünglichen Datenerhebung. War diese rechtswidrig, können daraus weiterhin datenschutzrechtliche Konsequenzen entstehen.
EuGH-Urteil C-484/24: Worum ging es?
Ausgangspunkt war ein arbeitsrechtlicher Rechtsstreit zwischen einem Unternehmen und einer ehemaligen Arbeitnehmerin. Das Unternehmen verlangte Schadensersatz, weil die Arbeitnehmerin Unternehmensgegenstände über ihr privates eBay-Konto verkauft haben soll. Zur Aufklärung hatte ein Mitarbeiter mit den Zugangsdaten der Arbeitnehmerin auf dieses Konto zugegriffen. Wie das Unternehmen an Benutzerkennung und Passwort gelangt war, war zwischen den Parteien umstritten. Das Landesarbeitsgericht Niedersachsen hielt es jedenfalls für möglich, dass die Daten rechtswidrig erhoben worden waren.
Das LAG legte dem EuGH mehrere Fragen zur datenschutzrechtlichen Behandlung solcher Beweismittel vor. Im Kern ging es darum, auf welcher Rechtsgrundlage Gerichte personenbezogene Daten im Zivilprozess verarbeiten dürfen und welche Folgen eine zuvor rechtswidrige Datenerhebung hat. Daneben betraf die Vorlage unter anderem die Ausnahme vom Löschungsanspruch nach Art. 17 Abs. 3 lit. e DSGVO, den Grundsatz der Datenminimierung und mögliche Verstöße gegen Informationspflichten.
Der EuGH betrachtet die Verarbeitung durch das Gericht als eigenständigen Vorgang. Sie kann insbesondere auf Art. 6 Abs. 1 lit. c DSGVO gestützt werden, wenn das Gericht damit einer rechtlichen Verpflichtung zur Prüfung und Würdigung von Beweisen nachkommt. Die hierfür maßgebliche Grundlage im nationalen Recht muss hinreichend klar und vorhersehbar sein.
Über die konkrete Verwertbarkeit der eBay-Daten im Ausgangsverfahren hat der EuGH jedoch nicht entschieden. Das Landesarbeitsgericht Niedersachsen muss nun unter Beachtung dieser Vorgaben prüfen, ob die Daten im konkreten Verfahren berücksichtigt werden dürfen.
Kein automatisches Beweisverwertungsverbot bei DSGVO-Verstößen
Für die Praxis ist vor allem die Trennung verschiedener Verarbeitungsvorgänge relevant.
Zunächst muss geprüft werden, ob das Unternehmen die betreffenden personenbezogenen Daten überhaupt rechtmäßig erheben und verarbeiten durfte. Bei internen Untersuchungen kann dies beispielsweise den Zugriff auf E-Mail-Postfächer, Nutzerkonten, Logfiles oder andere digitale Informationen betreffen.
Davon getrennt ist die spätere Verwendung der Informationen durch ein Gericht zu beurteilen. Nach dem EuGH schließt eine vorausgegangene rechtswidrige Verarbeitung durch eine Partei nicht generell aus, dass das Gericht die Daten auf einer eigenen Rechtsgrundlage verarbeitet und als Beweismittel berücksichtigt.
Nach dem EuGH führt ein Datenschutzverstoß nach der DSGVO bei der Beweisbeschaffung nicht automatisch dazu, dass das Beweismittel im Prozess ausgeschlossen ist.
Ob und unter welchen Voraussetzungen ein konkretes Beweismittel berücksichtigt werden darf, richtet sich dabei weiterhin auch nach dem nationalen Verfahrensrecht und den dort geltenden grundrechtlichen Anforderungen.
Rechtswidrige Datenerhebung bleibt trotz Beweisverwertung sanktionierbar
Für Unternehmen darf die Entscheidung allerdings nicht als Freibrief für interne Ermittlungen verstanden werden.
Greift ein Unternehmen beispielsweise ohne ausreichende Rechtsgrundlage auf personenbezogene Daten eines Beschäftigten zu, kann darin weiterhin ein Datenschutzverstoß liegen. Die spätere Verwendung der gewonnenen Informationen in einem Gerichtsverfahren macht die ursprüngliche Verarbeitung nicht nachträglich rechtmäßig.
Diese Verstöße bleiben weiterhin sanktionierbar. So können die Aufsichtsbehörden aufsichtsbehördliche Maßnahmen einsetzen und dabei auch Bußgelder verhängen. Betroffene Personen können unter den jeweiligen Voraussetzungen außerdem Schadensersatz wegen eines DSGVO-Verstoßes verlangen (Art. 82 DSGVO).
Weitere datenschutzrechtliche Klarstellungen des EuGH
Der EuGH trifft in seiner Entscheidung noch zwei weitere Klarstellungen.
Zum einen stellt er fest, dass die Ausnahme vom Löschungsanspruch nach Art. 17 Abs. 3 lit. e DSGVO keine eigenständige Rechtsgrundlage für die weitere Verarbeitung personenbezogener Daten darstellt. Auch wenn Daten für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen weiterhin benötigt werden, muss die Verarbeitung auf eine Rechtsgrundlage nach Art. 6 DSGVO gestützt werden.
Zum anderen befasst sich der Gerichtshof mit dem Grundsatz der Datenminimierung. Personenbezogene Daten dürfen nur verarbeitet werden, soweit sie für den jeweiligen Zweck angemessen, erheblich und erforderlich sind (Art. 5 Abs. 1 lit. c DSGVO). Eine zusätzliche umfassende Verhältnismäßigkeitsprüfung ist jedoch nicht bei jeder gerichtlichen Verarbeitung erforderlich. Bei der Prüfung von Beweisangeboten genügt es grundsätzlich, wenn die Verarbeitung auf das notwendige Maß beschränkt bleibt.
Damit bestätigt der EuGH, dass die DSGVO auch im gerichtlichen Verfahren uneingeschränkt gilt, ohne daraus ein generelles Hindernis für die Verarbeitung von Beweismitteln abzuleiten.
Empfehlungen für Unternehmen bei internen Ermittlungen und E-Mail-Zugriffen
Unternehmen sollten die Entscheidung zum Anlass nehmen, ihre Verfahren für interne Untersuchungen und die Sicherung möglicher Beweismittel zu überprüfen.
Insbesondere empfiehlt sich:
- vor einem Zugriff auf personenbezogene Daten die Rechtsgrundlage und den konkreten Untersuchungszweck festzulegen,
- Verdachtsmomente und Entscheidungsgrundlagen nachvollziehbar zu dokumentieren,
- den Zugriff auf die für den jeweiligen Untersuchungszweck erforderlichen Daten zu begrenzen,
- Zugriffe auf E-Mail-Konten, Nutzerkonten, Logfiles und andere Kommunikationsdaten besonders sorgfältig zu prüfen,
- Datenschutzbeauftragte und die zuständigen Fachbereiche frühzeitig einzubeziehen.
Besondere Sorgfalt sollte bei der Nutzung betrieblicher E-Mail-Konten und anderer Kommunikationsdienste angesetzt werden. Unternehmen sollten eindeutig festlegen, ob Beschäftigte diese Systeme nur dienstlich oder auch privat nutzen dürfen. Ebenso wichtig ist eine Regelung dazu, wann unter welchen Voraussetzungen Arbeitgeber auf dienstliche Accounts zugreifen können. Dabei sollten Fälle längerer Abwesenheit, das Ausscheiden von Beschäftigten sowie interne Untersuchungen berücksichtigt werden. Sofern ein Betriebsrat besteht sind dessen Mitbestimmungsrechte zu beachten.
Fazit: DSGVO-Verstoß führt nicht automatisch zur Unverwertbarkeit von Beweisen
Das EuGH-Urteil schafft Klarheit für den Umgang mit rechtswidrig erhobenen personenbezogenen Daten in Gerichtsverfahren. Ein Datenschutzverstoß bei der Beschaffung eines Beweismittels führt nach der DSGVO nicht automatisch dazu, dass ein Gericht dieses Beweismittel nicht berücksichtigen darf.
Für Unternehmen ändert dies nichts an den Anforderungen an die ursprüngliche Datenerhebung. Ein rechtswidriger Zugriff auf Beschäftigtendaten bleibt ein Datenschutzverstoß und kann aufsichtsbehördliche Maßnahmen, Bußgelder oder Schadensersatzforderungen nach sich ziehen.
Über die konkrete Verwertbarkeit der im Ausgangsverfahren verwendeten Daten hat der EuGH selbst nicht entschieden. Das Verfahren geht nun beim Landesarbeitsgericht Niedersachsen weiter. Dort muss unter Berücksichtigung der Vorgaben des EuGH geprüft werden, ob die Daten im konkreten arbeitsgerichtlichen Verfahren verwertet werden dürfen.
Gerade bei internen Untersuchungen sollten deshalb Rechtsgrundlage, Umfang und Verfahren des Datenzugriffs vorab geklärt und dokumentiert werden. Bei betrieblichen Kommunikationssystemen schaffen klare Nutzungs- und Zugriffsregelungen sowie eine Betriebsvereinbarung hierfür einen belastbaren Rahmen.
