Ein privates eBay-Konto, ein gespeichertes Passwort und ein Zugriff, dessen Rechtmäßigkeit zweifelhaft ist: Der Fall vor dem Europäischen Gerichtshof zeigt, wie schnell ein arbeitsrechtlicher Streit zu einer datenschutzrechtlichen Grundsatzfrage werden kann.
Der EuGH, Urteil vom 18. Juni 2026 – C-484/24, NTH Haustechnik GmbH ./. EM, musste klären, ob Gerichte personenbezogene Daten als Beweismittel verwenden dürfen, obwohl diese möglicherweise rechtswidrig beschafft oder zu lange gespeichert wurden. Seine Antwort lässt sich nicht auf ein einfaches „ja“ oder „nein“ reduzieren. Ein automatisches Beweisverwertungsverbot kennt die DSGVO nicht. Ein Freibrief für digitale Nachforschungen ist das Urteil jedoch ebenso wenig.
Vom privaten eBay-Konto in den Gerichtssaal
Die NTH Haustechnik GmbH verlangte von einer ehemaligen Mitarbeiterin Schadensersatz. Die Frau war zugleich mit dem Geschäftsführer des Unternehmens verheiratet. Nach dem Ende des Arbeitsverhältnisses soll sie über ihr privates eBay-Konto Gegenstände des Unternehmens verkauft haben.
Der Arbeitgeber bezifferte den Verkaufserlös auf rund 13.200 Euro und den entstandenen Gesamtschaden auf mehr als 46.000 Euro. Die ehemalige Mitarbeiterin bestritt, Firmeneigentum unberechtigt veräußert zu haben. Nach ihrer Darstellung handelte es sich überwiegend um gebrauchte oder nicht mehr verwertbare Waren, die ihr überlassen worden seien.
Brisant war vor allem die Herkunft der Beweise. Ein Mitarbeiter des Unternehmens, zugleich der gemeinsame Sohn des Geschäftsführers und der ehemaligen Mitarbeiterin, hatte auf deren privates eBay-Konto zugegriffen.
Wie er an Benutzername und Passwort gelangte, war zwischen den Parteien umstritten. Der Arbeitgeber verwies unter anderem auf den Browserverlauf eines Firmencomputers und einen auf dem Unternehmensserver gespeicherten „Family-Ordner“. Die ehemalige Mitarbeiterin behauptete dagegen, der Zugriff sei über eine neu beantragte SIM-Karte und eine Änderung ihres eBay-Passworts ermöglicht worden.
Das Landesarbeitsgericht Niedersachsen hielt es daher für möglich, dass die Daten rechtswidrig erhoben worden waren. Es legte dem EuGH zahlreiche Fragen zur DSGVO und zur gerichtlichen Beweisverwertung vor.
Auch Gerichte müssen die DSGVO beachten
Der EuGH stellt zunächst klar: Die Verarbeitung personenbezogener Daten durch Gerichte kann in den Anwendungsbereich der DSGVO fallen.
Das betrifft insbesondere Fälle, in denen digitale Dokumente übermittelt, Daten aus ihnen ausgelesen, gespeichert oder für die Entscheidungsfindung verwendet werden. Auch die Aufnahme personenbezogener Unterlagen in eine strukturierte Gerichtsakte kann eine Datenverarbeitung darstellen.
Damit steht fest: Ein Gericht befindet sich nicht außerhalb des Datenschutzrechts, nur weil es Beweise würdigt. Es benötigt für die Verarbeitung personenbezogener Daten eine Rechtsgrundlage und muss die Grundsätze der DSGVO beachten.
Dazu zählen insbesondere:
- Rechtmäßigkeit und Verarbeitung nach Treu und Glauben,
- Zweckbindung,
- Datenminimierung,
- Speicherbegrenzung,
- Verhältnismäßigkeit.
Die Entscheidung über die Zulässigkeit und Würdigung eines Beweismittels bleibt allerdings grundsätzlich Sache des nationalen Prozessrechts.
Deutsche Prozessregeln können genügen – aber nicht allein
Das deutsche Zivilprozessrecht verpflichtet Parteien, Tatsachen vollständig und wahrheitsgemäß vorzutragen. Das Gericht entscheidet nach freier Überzeugung, ob es eine Behauptung für wahr hält.
Diese allgemeinen Vorschriften enthalten jedoch keine detaillierten Regeln dazu, unter welchen Voraussetzungen personenbezogene Daten verwendet werden dürfen, die eine Partei möglicherweise rechtswidrig beschafft hat.
Nach Auffassung des EuGH führt das nicht automatisch zur Unvereinbarkeit mit der DSGVO. Die erforderlichen Maßstäbe müssen nicht vollständig in einem Parlamentsgesetz stehen. Sie können auch durch eine gefestigte nationale Rechtsprechung entwickelt werden.
Diese Rechtsprechung muss allerdings drei Anforderungen erfüllen:
Sie muss klar, präzise und für die Betroffenen vorhersehbar sein. Außerdem muss sie ein Ziel im öffentlichen Interesse verfolgen und den Grundsatz der Verhältnismäßigkeit wahren.
Für die deutsche Arbeitsgerichtsbarkeit bedeutet das: Die richterrechtlich entwickelten Grundsätze zur Beweisverwertung können eine ausreichende Grundlage bilden. Sie müssen aber erkennbare Kriterien dafür liefern, wann das Interesse an einer funktionierenden Rechtspflege den Schutz personenbezogener Daten überwiegt.
Art. 17 DSGVO ist keine eigenständige Erlaubnisnorm
Von Bedeutung ist außerdem die Abgrenzung zwischen dem Recht auf Löschung und der Rechtmäßigkeit einer Datenverarbeitung.
Nach Art. 17 Abs. 3 Buchst. e DSGVO müssen Daten nicht gelöscht werden, soweit ihre Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
Daraus folgt jedoch nicht, dass jede Verwendung der Daten im Prozess automatisch erlaubt wäre. Die Vorschrift regelt in erster Linie eine Ausnahme vom Löschungsanspruch. Sie ersetzt keine Rechtsgrundlage nach Art. 6 DSGVO.
Das Gericht muss deshalb unabhängig prüfen, auf welcher Grundlage es die personenbezogenen Daten erhebt, speichert und verwendet. Für die gerichtliche Verarbeitung kommt insbesondere Art. 6 Abs. 1 Buchst. c DSGVO in Betracht: Das Gericht verarbeitet die Daten, um seiner gesetzlichen Pflicht zur Entscheidung über das Vorbringen und die Beweisanträge der Parteien nachzukommen.
Für Arbeitgeber folgt daraus ein wichtiger Unterschied:
Die Möglichkeit, Daten wegen eines bevorstehenden Rechtsstreits aufzubewahren, bedeutet noch nicht, dass deren ursprüngliche Beschaffung rechtmäßig war. Ebenso wenig ist damit bereits entschieden, ob das Gericht sie später als Beweis verwerten darf.
Kein automatisches Beweisverwertungsverbot
Die DSGVO kennt grundsätzlich keine Regel, nach der rechtswidrig erlangte Daten stets aus einem Gerichtsverfahren ausgeschlossen werden müssten.
Die ursprüngliche Datenerhebung durch den Arbeitgeber und die spätere Verarbeitung durch das Gericht sind rechtlich voneinander zu unterscheiden. Eine rechtswidrige Beschaffung „infiziert“ die gerichtliche Verarbeitung nicht zwangsläufig.
Das bedeutet jedoch nicht, dass die Herkunft der Daten bedeutungslos wäre. Das Gericht muss die Umstände der Beschaffung in seine Abwägung einbeziehen.
Dabei können unter anderem folgende Fragen eine Rolle spielen:
Wie schwer war der Datenschutzverstoß? Wurde heimlich auf einen privaten Account zugegriffen? Wurden Zugangsdaten gezielt umgangen oder manipuliert? Betrifft das Beweismittel nur betriebliche Vorgänge oder auch private Kommunikation? Gibt es weniger eingriffsintensive Beweismittel? Ist die Echtheit der Daten unstreitig? Werden zugleich Daten unbeteiligter Dritter offengelegt?
Je intensiver der Eingriff in das Privatleben und das Recht auf Datenschutz ausfällt, desto gewichtiger muss das Interesse an der Beweisverwertung sein.
Das Beweisinteresse ist kein Freibrief
Ein Unternehmen kann sich nicht allein darauf berufen, dass es die Daten „für einen Prozess braucht“.
Das Recht auf effektiven Rechtsschutz und ein faires Verfahren aus Art. 47 der EU-Grundrechtecharta ist zwar zu berücksichtigen. Es steht jedoch nicht über dem Datenschutz. Vielmehr müssen die Rechte beider Seiten in einen angemessenen Ausgleich gebracht werden.
Auf Seiten des Arbeitgebers können etwa das Interesse an der Durchsetzung eines Schadensersatzanspruchs, der Schutz des Eigentums und die Aufklärung einer erheblichen Pflichtverletzung stehen.
Demgegenüber können auf Seiten des Beschäftigten das Recht auf Privatleben, der Schutz persönlicher Benutzerkonten, die Vertraulichkeit von Zugangsdaten und der Schutz vor umfassender Überwachung ins Gewicht fallen.
Entscheidend ist stets der konkrete Fall. Ein möglicher vorsätzlicher Pflichtverstoß des Arbeitnehmers führt nicht automatisch dazu, dass jedes Mittel zu seiner Aufdeckung zulässig wäre.
Datenminimierung gilt auch im Prozess
Gerichte müssen außerdem prüfen, ob wirklich sämtliche vorgelegten Daten erforderlich sind.
Enthalten eBay-Unterlagen beispielsweise Namen, Adressen oder Kommunikationsdaten von Käufern, können auch personenbezogene Daten unbeteiligter Dritter betroffen sein. Diese Informationen dürfen nicht allein deshalb umfassend verarbeitet werden, weil sie sich in einem vorgelegten Dokument befinden.
In Betracht kommen etwa:
- Schwärzungen,
- Beschränkungen auf bestimmte Transaktionen,
- anonymisierte Übersichten,
- Auszüge statt vollständiger Kontodaten,
- die Vernehmung einzelner Zeugen.
Für Prozessparteien empfiehlt es sich daher, Beweismittel bereits vor der Einreichung auf das notwendige Maß zu beschränken.
Alte Daten bleiben rechtlich riskant
Besondere Aufmerksamkeit verdient der Grundsatz der Speicherbegrenzung.
Personenbezogene Daten dürfen grundsätzlich nur so lange gespeichert werden, wie dies für den jeweiligen Zweck erforderlich ist. Das gilt auch für Browserdaten, alte Serverordner, E-Mail-Archive oder Zugangsinformationen ausgeschiedener Beschäftigter.
Wurden Daten entgegen einer Löschpflicht über Jahre aufbewahrt, kann dies einen eigenständigen DSGVO-Verstoß darstellen. Dass die Daten später für einen Rechtsstreit nützlich werden, macht die frühere Speicherung nicht rückwirkend rechtmäßig.
Für ihre Verwendung im Prozess ist jedoch erneut eine eigenständige Prüfung erforderlich. Auch hier gilt: Unzulässige Speicherung und gerichtliche Verwertbarkeit sind nicht identisch.
Folgen für Arbeitgeber
Arbeitgeber sollten aus dem Urteil nicht den Schluss ziehen, dass digital beschaffte Beweise im Streitfall schon irgendwie verwertbar sein werden.
Wer auf private Konten zugreift, Passwörter verwendet, Browserverläufe ausliest oder alte Datensicherungen durchsucht, bewegt sich in einem sensiblen Bereich. Neben einem möglichen Beweisverwertungsverbot drohen insbesondere Schadensersatzansprüche, aufsichtsbehördliche Maßnahmen und Bußgelder.
Vor internen Ermittlungen sollten daher dokumentiert werden:
- der konkrete Verdacht,
- der Zweck der Untersuchung,
- die betroffenen Datenquellen,
- mildere Aufklärungsmöglichkeiten,
- der erforderliche Umfang,
- Zugriffsberechtigungen,
- Lösch- und Aufbewahrungsfristen.
Gerade bei der Untersuchung möglicher Pflichtverletzungen von Beschäftigten ist zudem § 26 BDSG zu beachten.
Folgen für Beschäftigte
Beschäftigte können sich gegen die Verwendung personenbezogener Daten nicht allein mit dem Hinweis verteidigen, diese seien rechtswidrig erhoben worden.
Erfolgversprechender ist eine konkrete Auseinandersetzung mit Art, Umfang und Schwere des Eingriffs. Relevant können insbesondere die private Natur des Kontos, ein heimlicher Zugriff, die Umgehung technischer Schutzmaßnahmen, eine überlange Speicherung oder die Erfassung nicht erforderlicher Daten sein.
Auch die Echtheit und Vollständigkeit der vorgelegten Daten kann entscheidend werden. Ein bloßer Screenshot oder ein Auszug aus einem Benutzerkonto beantwortet nicht automatisch die Frage, wer eine Transaktion tatsächlich vorgenommen hat.
Fazit: Verwertbarkeit bleibt eine Frage des Einzelfalls
Der EuGH schafft weder ein pauschales Verwertungsverbot noch einen datenschutzrechtlichen Freibrief.
Rechtswidrig erlangte personenbezogene Daten können unter bestimmten Voraussetzungen in einem arbeitsgerichtlichen Verfahren berücksichtigt werden. Das Gericht benötigt hierfür jedoch eine eigenständige Rechtsgrundlage und muss die widerstreitenden Grundrechte sorgfältig abwägen.
Für Unternehmen ist deshalb Vorsorge wichtiger als spätere Prozessstrategie: Wer Daten rechtmäßig erhebt, Zugriffe begrenzt, Löschfristen einhält und Ermittlungsmaßnahmen dokumentiert, verbessert nicht nur seine datenschutzrechtliche Position. Er erhöht zugleich die Chance, dass erforderliche Beweismittel im Streitfall tatsächlich verwendet werden können.
