Der EuGH hat mit seinem Urteil vom 18.06.2026 grundlegende Fragen zum Beweisverwertungsverbot bei rechtswidriger Datenerhebung geklärt. Dabei hat er auch präzisiert, ob mehrere Rechtsgrundlagen nebeneinander herangezogen werden können und welche Maßstäbe Gerichte bei der Verwertung datenschutzwidrig erlangter Beweise anlegen müssen.
Was hatte der EuGH zu entscheiden?
Im Ausgangsfall hatte ein Arbeitgeber auf das private eBay-Konto einer ehemaligen Mitarbeiterin zugegriffen, um Beweise für einen unerlaubten Verkauf betriebseigener Waren zu sichern. Die Datenerhebung war dabei möglicherweise rechtswidrig erfolgt. Das Landesarbeitsgericht Niedersachsen legte dem EuGH die Frage vor, ob ein Beweisverwertungsverbot bei rechtswidriger Datenerhebung aus der DSGVO abzuleiten sei.
Der EuGH stellte unmissverständlich klar, dass die DSGVO einer gerichtlichen Verwertung solcher Beweise nicht entgegensteht. Der Gerichtshof hat dies – typisch juristisch verklausuliert – wie folgt formuliert:
„In Anbetracht der wesentlichen Funktion, die das Recht auf ein faires Verfahren in der Gesellschaft spielt, ist die Verpflichtung eines Gerichts, die in den Beweisangeboten der Parteien enthaltenen personenbezogenen Daten auch dann zu verarbeiten, wenn diese Daten unter Verletzung des Rechts auf Schutz des Privatlebens und des Rechts auf Schutz personenbezogener Daten erlangt wurden, nicht geeignet, diese Rechte, wie sie in den Art. 7 und 8 der Charta garantiert sind, unverhältnismäßig zu beeinträchtigen.“
Ein automatisches Beweisverwertungsverbot besteht demnach nicht. Allerdings verpflichtet der Gerichtshof die nationalen Gerichte, vor der Offenlegung solcher Daten zu prüfen, ob diese auf das notwendige Maß beschränkt sind. Gegebenenfalls müssen Maßnahmen wie die Anonymisierung oder Pseudonymisierung ergriffen werden, um die Beeinträchtigung des Datenschutzes so gering wie möglich zu halten.
Können mehrere Rechtsgrundlagen nebeneinander bestehen?
Eine zentrale Erkenntnis des Urteils betrifft die Frage, ob mehrere Rechtsgrundlagen nebeneinander für dieselbe Verarbeitung herangezogen werden können. Der EuGH bestätigt dies ausdrücklich:
„Unter bestimmten Umständen können für dieselbe Verarbeitung mehrere alternative Zulässigkeitsvoraussetzungen gelten.“
Für die gerichtliche Datenverarbeitung wählte der Europäische Gerichtshof dabei einen bemerkenswerten Ansatz. Während das vorlegende Gericht von Art. 6 Abs. 1 lit. e DSGVO (öffentliches Interesse) ausging, stützte der EuGH seine Analyse auf Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung). Die Begründung: Gerichte verarbeiten Beweisdaten nicht primär im öffentlichen Interesse, sondern weil sie einer rechtlichen Verpflichtung unterliegen, über die Zulässigkeit von Beweisangeboten zu entscheiden und diese bei der Urteilsfindung zu berücksichtigen.
Gleichzeitig stellt der EuGH klar, dass Art. 17 Abs. 3 lit. e DSGVO keine eigenständige Rechtsgrundlage darstellt. Die Liste der Rechtmäßigkeitsbedingungen in Art. 6 Abs. 1 DSGVO ist abschließend. Art. 17 Abs. 3 lit. e normiert lediglich eine Ausnahme vom Löschungsanspruch, nicht aber eine zusätzliche Erlaubnisnorm für die Verarbeitung. Unternehmen, die sich bislang auf diese Vorschrift als Rechtsgrundlage berufen haben, müssen ihre Datenschutzdokumentation zwingend anpassen.
Welche Rolle spielt der Grundsatz der Datenminimierung?
Hinsichtlich des Grundsatzes der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO trifft der EuGH eine praxisrelevante Abgrenzung. Eine umfassende Verhältnismäßigkeitsprüfung mit eigenständiger Interessenabwägung ist bei jeder einzelnen gerichtlichen Verarbeitung nicht erforderlich, sofern die Datenverarbeitung angemessen, erheblich und auf das notwendige Maß beschränkt ist.
Der Gerichtshof differenziert dabei nach Verarbeitungsphasen. In der Phase der Zulässigkeitsprüfung von Beweisangeboten dürfen Gerichte die vorgelegten Daten grundsätzlich verarbeiten, da dies zur Entscheidung über die Zulässigkeit notwendig ist. Bei der Aufnahme in die Verfahrensakte muss das Gericht anschließend prüfen, ob die Datenmenge durch Maßnahmen wie teilweise Anonymisierung reduziert werden kann, ohne die Rechte der Gegenpartei zu beeinträchtigen. Die strengsten Anforderungen an die Datenminimierung gelten schließlich bei der Offenlegung durch Urteilszustellung oder Veröffentlichung.
Ergänzend hält der EuGH fest, dass ein Verstoß gegen die Informationspflichten nach Art. 13 DSGVO die gerichtliche Verwertbarkeit der Daten nicht ausschließt. Ebenso wenig können sich Parteien auf Datenschutzverstöße berufen, die zum Nachteil nicht am Verfahren beteiligter Dritter begangen wurden. Das Unionsrecht gebietet es nach Auffassung des Gerichtshofs nicht, den Parteien eines Verfahrens die Möglichkeit einzuräumen, sich auf Verstöße gegen die DSGVO zu berufen, die zum Nachteil Dritter begangen wurden.
Welche Handlungsempfehlungen ergeben sich für Unternehmen?
Das Urteil schafft für Unternehmen mehr Rechtssicherheit bei der prozessualen Verwertung von Beweismitteln, entbindet sie aber nicht von der datenschutzrechtlichen Verantwortlichkeit bei der Erhebung. Daher sollten Unternehmen ihre Rechtsgrundlagen präzise dokumentieren. Da mehrere Rechtsgrundlagen nebeneinander bestehen können, empfiehlt es sich, für jede Verarbeitungstätigkeit die primäre und gegebenenfalls eine subsidiäre Rechtsgrundlage im Verzeichnis der Verarbeitungstätigkeiten festzuhalten. Art. 17 Abs. 3 lit. e DSGVO darf dabei nicht als eigenständige Rechtsgrundlage herangezogen werden, sondern Unternehmen müssen sich stets auf die abschließende Liste in Art. 6 Abs. 1 DSGVO stützen.
Bei internen Ermittlungen ist besondere Sorgfalt geboten. Auch wenn rechtswidrig erlangte Beweise im Prozess verwertbar sein können, drohen bei der Erhebung selbst Bußgelder nach Art. 83 DSGVO und Schadensersatzansprüche nach Art. 82 DSGVO. Die Verwertbarkeit vor Gericht schützt nicht vor aufsichtsbehördlichen Maßnahmen. Zudem sollte die Beweissicherung von Anfang an dem Grundsatz der Datenminimierung folgen. Nur die für den konkreten Nachweis erforderlichen Daten sind zu sichern, überflüssige personenbezogene Daten Dritter von Beginn an zu vermeiden. Schließlich bleiben die Informationspflichten nach Art. 13 DSGVO eigenständig sanktionsbewehrt, auch wenn ihre Verletzung die gerichtliche Verwertbarkeit nicht berührt.
Auswirkungen für die Praxis
Das EuGH-Urteil stärkt das Recht auf effektiven Rechtsschutz gegenüber dem Datenschutz, ohne letzteren aufzugeben. Die Entscheidung bestätigt, dass kein pauschales Beweisverwertungsverbot bei rechtswidriger Datenerhebung aus der DSGVO folgt. Zugleich verlangt der Gerichtshof von den nationalen Gerichten eine differenzierte Prüfung der Datenminimierung in verschiedenen Verfahrensstadien.
Für die deutsche Rechtspraxis bedeutet dies, dass die bisherige richterrechtliche Lösung eines abgestuften Beweisverwertungsverbots grundsätzlich unionsrechtskonform sein kann, sofern sie klar, präzise und vorhersehbar ausgestaltet ist. Unternehmen sollten ihre Compliance-Strukturen so ausrichten, dass sowohl die Beweissicherung als auch die zugrunde liegende Datenerhebung auf einer tragfähigen Rechtsgrundlage beruht. Die Möglichkeit, mehrere Rechtsgrundlagen nebeneinander heranzuziehen, bietet dabei zusätzliche Flexibilität, ersetzt aber keine sorgfältige Vorabplanung der Datenverarbeitung.
