Der Europäische Gerichtshof (EuGH) stellt klar: Ein Datenschutzverstoß bei der Erhebung personenbezogener Daten macht diese nicht automatisch als Beweismittel vor Gericht unverwertbar.
Anlass war ein arbeitsgerichtlicher Streit. Eine Arbeitgeberin nahm eine frühere Mitarbeiterin auf Schadensersatz in Anspruch, weil die Mitarbeiterin firmeneigene Waren über ihr privates Konto bei einer Online-Verkaufsplattform auf eigene Rechnung veräußert haben soll.
Die dafür maßgeblichen Informationen hatte die Arbeitgeberin gewonnen, indem sie sich mit der Benutzerkennung und dem Passwort der Mitarbeiterin Zugriff auf deren privates Verkaufskonto verschaffte. Woher die Zugangsdaten stammten, war zwischen den Parteien streitig.
Das vorlegende Gericht legte dem EuGH einen umfangreichen Fragenkatalog vor. Im Kern ging es darum, ob und unter welchen Voraussetzungen Gerichte möglicherweise rechtswidrig erlangte Daten als Beweismittel verwerten dürfen – und ob das deutsche Prozessrecht dafür überhaupt eine hinreichend bestimmte Rechtsgrundlage bietet.
Weit verbreitet ist die Annahme, rechtswidrig beschaffte Erkenntnisse seien vor Gericht von vornherein wertlos. Im Unionsrecht findet diese aus dem US-amerikanischen Strafverfahrensrecht stammende Doktrin vom „fruit of the poisonous tree“ jedoch keine Grundlage. Der EuGH stellt klar, dass personenbezogene Daten nicht allein deshalb von der gerichtlichen Verwertung ausgeschlossen werden dürfen, weil bei ihrer Erhebung möglicherweise gegen die DSGVO verstoßen wurde.
Der Gerichtshof unterscheidet dabei ausdrücklich zwischen der Rechtmäßigkeit der ursprünglichen Datenerhebung und der späteren Verarbeitung dieser Daten durch das Gericht. Selbst wenn die Erhebung datenschutzrechtlich unrechtmäßig war, ist die gerichtliche Verarbeitung eigenständig zu beurteilen. Sie ist erforderlich, damit das Gericht seiner Verpflichtung nachkommen kann, über die Beweisangebote der Parteien zu entscheiden und ein faires Verfahren zu gewährleisten.
Vorab hält der EuGH fest, dass die DSGVO auch für Gerichte gilt. Erfasst ist deren Tätigkeit allerdings nur, soweit die Verarbeitung ganz oder teilweise automatisiert erfolgt oder die Daten in einem Dateisystem gespeichert sind oder werden sollen – etwa wenn digital übermittelte Unterlagen zur Akte genommen oder daraus Daten ausgelesen werden. Ob das der Fall ist, hat das nationale Gericht festzustellen.
Nach Auffassung des EuGH schließen weder die Grundsätze für die Verarbeitung personenbezogener Daten noch die Rechte der betroffenen Person generell und absolut aus, dass eine Stelle wie ein Gericht Daten berücksichtigt, die zuvor unrechtmäßig verarbeitet wurden. Ein allgemeines Verbot der Verwendung rechtswidrig erlangter personenbezogener Daten als Beweismittel enthält die Verordnung nicht.
Zugleich betont der Gerichtshof, dass der Datenschutz kein absolutes Recht ist. Er ist mit anderen Grundrechten in Ausgleich zu bringen, insbesondere mit dem Recht auf effektiven gerichtlichen Rechtsschutz und auf ein faires Verfahren.
Zur Rechtsgrundlage der gerichtlichen Verarbeitung stellt der Gerichtshof klar, dass die Ausnahme vom Löschungsanspruch für Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, nicht selbst als Rechtsgrundlage herangezogen werden kann. Die gerichtliche Verarbeitung stützt sich vielmehr auf die dem Gericht obliegende Verpflichtung, über die Beweisangebote der Parteien zu entscheiden und zugelassene Beweise zu würdigen.
Dass das deutsche Prozessrecht keine ausdrücklichen Vorgaben dazu enthält, unter welchen Umständen personenbezogene Daten verwertet werden dürfen, beanstandet der Gerichtshof nicht. Als Rechtsgrundlage kann auch eine gefestigte Rechtsprechung genügen, sofern sie klar, präzise und für die Rechtsunterworfenen vorhersehbar ist, ein im öffentlichen Interesse liegendes Ziel verfolgt und verhältnismäßig ist. Ob es eine solche Rechtsprechung gibt, hat das vorlegende Gericht zu prüfen.
Ein über das bloße Beweisinteresse hinausgehendes berechtigtes Interesse der beweisführenden Partei verlangt der Gerichtshof nicht. Auch wenn sie die betroffene Person – wie bei verdeckten Erhebungen die Regel – nicht über die Verarbeitung unterrichtet hat, hindert das die gerichtliche Verwertung nicht.
Ihre Grenze findet die gerichtliche Verwertung im Grundsatz der Datenminimierung – allerdings nicht in Form einer gesonderten Verhältnismäßigkeitsprüfung für jeden einzelnen Verarbeitungsvorgang. Es genügt, dass die verwendeten Daten dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind. Erst bevor das Gericht die Daten gegenüber den Parteien oder Dritten offenlegt – etwa bei Zustellung oder Veröffentlichung der Entscheidung –, muss es prüfen, ob sich die Beeinträchtigung begrenzen lässt, etwa durch Anonymisierung oder Pseudonymisierung.
Auch mit Blick auf personenbezogene Daten verfahrensfremder Dritter ist das Gericht an die DSGVO gebunden. Dass sich eine Partei auf Verstöße berufen kann, die gegenüber Dritten begangen wurden, verlangt das Unionsrecht dagegen nicht; dies bleibt dem nationalen Recht überlassen.
Erhebliche praktische Bedeutung hat die Entscheidung vor allem für interne Untersuchungen, Compliance-Sachverhalte und arbeitsrechtliche Verfahren. Sie verringert das Risiko, dass ein möglicher Datenschutzverstoß bei der Datenerhebung die Verwertbarkeit der gewonnenen Erkenntnisse im Prozess von vornherein infrage stellt.
Der Schwerpunkt verlagert sich damit von der Herkunft der Daten auf deren Aufbereitung. Wer Erkenntnisse aus einer internen Untersuchung in ein Verfahren einführt, sollte den Vortrag auf die tatsächlich streitentscheidenden Informationen beschränken und nicht benötigte Daten – etwa solche von Kunden, Geschäftspartnern oder weiteren Beschäftigten – herausnehmen. Ein darüber hinausgehendes Interesse an der Verwertung muss dagegen nicht dargelegt werden.
Der EuGH trennt deutlich zwischen datenschutzrechtlicher Rechtswidrigkeit und prozessualer Verwertbarkeit. Ein Freibrief für datenschutzwidrige Ermittlungsmaßnahmen ist das Urteil deshalb nicht. Wer sich Zugang zu privaten Accounts von Beschäftigten verschafft, riskiert unverändert Bußgelder, Schadensersatzansprüche und aufsichtsbehördliche Maßnahmen – und unter Umständen eine Strafbarkeit, etwa wegen Ausspähens von Daten. Für die Verwertbarkeit im Prozess gilt jedoch: Ein datenschutzrechtlich vergifteter Baum trägt nach dem Unionsrecht nicht zwangsläufig unverwertbare Früchte.
(EuGH, Urt. v. 18.06.2026 – C-484/24, NTH Haustechnik)
Melden Sie sich hier zu unserem GvW Newsletter an - und wir halten Sie über die aktuellen Rechtsentwicklungen informiert!
