Führt ein DSGVO-Verstoß zum Beweisverwertungsverbot vor Gericht?

Worum ging es im Fall NTH Haustechnik (C-484/24)?

Der Fall ist komplexer als ein klassischer Arbeitgeber-überwacht-Mitarbeiterin-Sachverhalt: EM war mit dem Geschäftsführer des niedersächsischen Haustechnik-Unternehmens NTH verheiratet und dort bis zum 31.10.2019 beschäftigt; auch danach durfte sie bis zur Trennung des Ehepaars am 26.06.2022 die Betriebsräume und -computer weiter nutzen. Unmittelbar nach dieser Trennung ermittelte NTH — im Wesentlichen durch den gemeinsamen Sohn des Geschäftsführers und EMs, der bei NTH angestellt ist —, dass EM Gegenstände über ihr privates eBay-Konto für einen Erlös von insgesamt 13.217,09 Euro verkauft hatte; NTH beziffert den ihr dadurch entstandenen Gesamtschaden, unter Einbeziehung von Einkaufspreis und Wiederbeschaffungskosten der Gegenstände, auf 46.567,91 Euro. EM bestreitet den Vorwurf und beruft sich auf eine Schenkung. Kenntnis vom Passwort dieses privaten Kontos erlangte NTH nach Angaben von EM dadurch, dass der Geschäftsführer eine neue SIM-Karte für ihre frühere, auf das Unternehmen registrierte Mobiltelefonnummer beantragte und darüber das eBay-Passwort änderte und einsah — ein für sich genommen datenschutzrechtlich fragwürdiges Vorgehen, dessen Rechtswidrigkeit das vorlegende Gericht nicht ausschließt. Das mit dem Schadensersatzprozess befasste Landesarbeitsgericht Niedersachsen legte dem EuGH im Wege eines Vorabentscheidungsersuchens nach Art. 267 AEUV mehrere Fragen zur justiziellen Datenverarbeitung vor: Verstößt bereits das Gericht selbst gegen die DSGVO, wenn es solche möglicherweise rechtswidrig erlangten Daten prüft und würdigt? Und unter welchen Voraussetzungen darf ein Gericht personenbezogene Daten, die eine Partei rechtswidrig erlangt hat, im Verfahren verwerten? Generalanwalt Spielmann hatte am 16.10.2025 seine Schlussanträge vorgelegt; der Gerichtshof (Fünfte Kammer) entschied am 18.06.2026 unter dem Aktenzeichen ECLI:EU:C:2026:496. Der Gerichtshof legt dabei nur das Unionsrecht abstrakt aus — über die Verwertung im konkreten eBay-Fall entscheidet weiterhin das Landesarbeitsgericht Niedersachsen selbst, bei dem der Ausgangsrechtsstreit fortgeführt wird. Der Begriff „Beweisverwertungsverbot" stammt dabei nicht aus dem Urteilstext selbst, sondern ist die in der deutschen Fachpresse gebräuchliche Bezeichnung für die zugrunde liegende Fragestellung.

Was hat der EuGH entschieden?

Der EuGH stellt klar: Auch die Verarbeitung personenbezogener Daten durch ein Gericht bei der Sachverhaltsfeststellung und Beweiswürdigung unterliegt der DSGVO. Das bedeutet aber nicht, dass jeder DSGVO-Verstoß bei der ursprünglichen Datenerhebung automatisch dazu führt, dass ein Gericht die Daten nicht verwerten darf. Der Gerichtshof beantwortet die erste Vorlagefrage in Randnummer 80 und inhaltsgleich in Tenor-Ziffer 1 des Urteils so:

Mit anderen Worten: Nicht das Fehlen einer gesetzlichen Regelung ist das Problem, sondern das Fehlen von Vorhersehbarkeit. Solange die Gerichte eines Mitgliedstaats nach gefestigten, klaren Maßstäben entscheiden, wann sie rechtswidrig erlangte Daten verwerten dürfen, verstößt das nicht gegen Art. 6 DSGVO — die Verarbeitung durch das Gericht selbst stützt sich dann auf die rechtliche Verpflichtung zur Rechtsfindung nach Art. 6 Abs. 1 lit. c DSGVO.

Welche Voraussetzungen muss ein Gericht prüfen?

Der vollständige Tenor des Urteils enthält sechs Antworten; für die Praxis der Beweisverwertung sind vor allem Tenor-Ziffer 1 und Tenor-Ziffer 4 maßgeblich. Daraus lässt sich der Prüfmaßstab in fünf Punkte gliedern, die ein nationales Gericht beachten muss — diese Gliederung ist eine eigene didaktische Zusammenfassung dieses Artikels, keine wörtliche Nummerierung des Gerichtshofs:

Ergänzend stellt der EuGH in Tenor-Ziffer 2 klar, dass die Ausnahme von der Löschpflicht nach Art. 17 Abs. 3 Buchst. e DSGVO keine eigene Rechtmäßigkeitsbedingung ist (dazu mehr im nächsten Abschnitt), und in Tenor-Ziffer 5, dass eine verletzte Informationspflicht nach Art. 13 DSGVO die gerichtliche Verwertung ebenfalls nicht sperrt. Für die Frage, ob im konkreten Einzelfall verwertet werden darf, bleibt es damit weiterhin Sache des nationalen Prozessrechts und der nationalen Gerichte — der EuGH gibt nur den unionsrechtlichen Rahmen vor, in dem sich diese Rechtsprechung bewegen muss.

Ist Art. 17 Abs. 3 Buchstabe e DSGVO eine Rechtsgrundlage für die Datenverwertung?

Das vorlegende Gericht warf auch diese Frage auf: Nach Art. 17 Abs. 1 Buchstabe d DSGVO hat eine betroffene Person grundsätzlich einen Löschanspruch, wenn ihre Daten unrechtmäßig verarbeitet wurden. Dieser Löschanspruch entfällt nach Art. 17 Abs. 3 Buchstabe e DSGVO aber, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist — die Frage war, ob diese Ausnahme im Umkehrschluss auch die Verwertung als Beweismittel rechtmäßig macht. Der EuGH verneint das in Tenor-Ziffer 2 klar: Art. 17 Abs. 3 Buchstabe e DSGVO ist nur eine Ausnahme von der Löschpflicht, „keine alternative Rechtmäßigkeitsbedingung" und unterscheidet sich von den Rechtsgrundlagen des Art. 6 Abs. 1 Unterabsatz 1 DSGVO. Er macht eine ursprünglich rechtswidrige Erhebung also nicht nachträglich rechtmäßig — die Rechtmäßigkeit der Verarbeitung selbst richtet sich weiterhin allein nach Art. 6 und Art. 9 DSGVO. Diese Trennung zwischen „Daten dürfen nicht sofort gelöscht werden" und „Daten wurden rechtmäßig erhoben" ist ein beliebter Klausur-Fallstrick.

Bedeutet das Urteil, dass jede Kündigung auf Basis heimlicher Beweise wirksam ist?

Nein — und das ist eine der am häufigsten missverstandenen Fragen zu diesem Urteil. In der arbeitsrechtlichen Praxis kursiert seit Langem die Frage, ob ein heimlicher Mitschnitt eines Personalgesprächs oder ein unbefugt eingesehener privater Account als Kündigungsgrund taugt. Deutsche Arbeitsgerichte prüfen das bislang im Rahmen einer eigenen Interessenabwägung zwischen dem Aufklärungsinteresse des Arbeitgebers und dem allgemeinen Persönlichkeitsrecht der betroffenen Person; eine heimliche Aufzeichnung ist danach grundsätzlich unzulässig, kann aber ausnahmsweise verwertet werden, wenn das Interesse an der Beweisführung überwiegt. C-484/24 selbst betraf keine Kündigung und keine heimliche Aufnahme, sondern einen zivilrechtlichen Schadensersatzprozess um einen eBay-Account-Zugriff — der EuGH hat die BAG-Doktrin zu heimlichen Mitschnitten also nicht geprüft oder bestätigt. Aus dem Urteil folgt aber der allgemeinere unionsrechtliche Rahmen: Die DSGVO steht einer solchen einzelfallbezogenen, durch klare und vorhersehbare Rechtsprechung geleiteten nationalen Abwägung nicht grundsätzlich entgegen — sie erklärt aber auch nicht pauschal jede Kündigung auf Basis rechtswidrig erlangter Beweise für wirksam. Wer im Beschäftigungskontext mit Beweismitteln arbeitet, findet die Rechtsgrundlagen der Datenverarbeitung im Arbeitsverhältnis vertiefend in unserem Artikel zum Beschäftigtendatenschutz nach § 26 BDSG.

Kann die betroffene Person trotzdem Schadensersatz verlangen?

Ja. Das EuGH-Urteil zur Beweisverwertung sagt nichts darüber aus, ob die ursprüngliche rechtswidrige Datenerhebung selbst sanktionslos bleibt. Wurde eine Person Opfer einer rechtswidrigen Verarbeitung — etwa weil sich jemand unbefugt Zugriff auf ihr privates Konto verschafft hat —, kann sie unabhängig vom Ausgang des Beweisverwertungsstreits einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO haben. Die drei kumulativen Voraussetzungen dafür — Verstoß, Schaden, Kausalität — bleiben unverändert; sie sind ausführlich in unserem Artikel zu Art. 82 DSGVO: Immaterieller Schadensersatz erläutert. Beweisverwertung im Zivilprozess und Schadensersatzanspruch der betroffenen Person sind also zwei rechtlich getrennte Fragen, die in derselben Fallkonstellation parallel auftreten können.

Häufige Fragen