Personenbezogene Daten, die möglicherweise rechtswidrig erhoben wurden, sind nicht automatisch prozessual wertlos. Dies hat der Europäische Gerichtshof in seinem Urteil vom 18. Juni 2026 in der Rechtssache C-484/24 klargestellt. Im Mittelpunkt des Verfahrens stand die Frage, ob ein Gericht Beweismittel berücksichtigen darf, die personenbezogene Daten enthalten, obwohl diese Daten von einer Prozesspartei möglicherweise unter Verstoß gegen die DSGVO erlangt wurden. Die Antwort des EuGH ist für die Praxis von großer Bedeutung: Ein Datenschutzverstoß führt nicht zwingend zu einem Beweisverwertungsverbot. Vielmehr ist entscheidend, dass die gerichtliche Verarbeitung der Daten auf einer eigenen Rechtsgrundlage beruht, in einem hinreichend vorhersehbaren prozessualen Rahmen erfolgt und die Vorgaben der DSGVO im gerichtlichen Verfahren eingehalten werden.
Arbeitgeber greift möglicherweise auf privates eBay-Konto zu
Dem Verfahren lag ein arbeitsrechtlicher Streit zugrunde. Die NTH Haustechnik GmbH verlangte von ihrer ehemaligen Arbeitnehmerin Schadensersatz. Sie warf ihr vor, Gegenstände, die nach Auffassung des Unternehmens im Eigentum der Arbeitgeberin standen, über ein privates eBay-Konto verkauft zu haben. Der geltend gemachte Schaden belief sich auf mehr als 46.000 Euro.
Brisant war jedoch nicht nur der Vorwurf selbst, sondern auch die Frage, wie das Unternehmen an diese Informationen gelangt war. Laut dem vorlegenden Gericht hatte die Arbeitgeberin Kenntnis von den Verkäufen erlangt, indem sie auf das private eBay-Konto der ehemaligen Arbeitnehmerin zugegriffen hatte. Dabei sollen unter anderem der Browserverlauf eines betrieblichen Computers und ein Passwort aus einem „Family-Ordner“ auf einem Server eine Rolle gespielt haben. Die Arbeitnehmerin bestritt diese Darstellung und machte geltend, der Zugriff auf ihr privates Konto sei rechtswidrig erfolgt.
Das Landesarbeitsgericht Niedersachsen stellte die Rechtswidrigkeit der Datenerhebung nicht abschließend fest. Es hielt jedoch für möglich, dass die Arbeitgeberin die Daten rechtswidrig erlangt hatte. Genau deshalb wollte es vom Europäischen Gerichtshof (EuGH) wissen, ob solche Daten dennoch im arbeitsgerichtlichen Verfahren verwertet werden dürfen.
Führt DSGVO-Verstoß automatisch zum Beweisverwertungsverbot?
Der EuGH stellt zunächst klar: Die DSGVO gilt grundsätzlich auch für Gerichte, wenn diese personenbezogene Daten verarbeiten. Das kann etwa der Fall sein, wenn ein Gericht Unterlagen mit personenbezogenen Daten in die Verfahrensakte aufnimmt, digitale Beweismittel speichert, auswertet oder bei der Entscheidungsfindung berücksichtigt.
Gleichzeitig trennt der EuGH zwei Ebenen deutlich voneinander. Die erste Ebene betrifft die ursprüngliche Datenerhebung durch eine Partei, hier also den möglicherweise rechtswidrigen Zugriff der Arbeitgeberin auf das private eBay-Konto der Arbeitnehmerin. Diese Datenerhebung kann rechtswidrig gewesen sein. Die zweite Ebene betrifft die spätere Verarbeitung durch das Gericht im Rahmen des Verfahrens. Diese gerichtliche Verarbeitung ist eigenständig zu bewerten.
Genau darin liegt der entscheidende Punkt des Urteils: Selbst wenn eine Partei personenbezogene Daten rechtswidrig erlangt hat, bedeutet das nicht automatisch, dass das Gericht diese Daten nicht verwenden darf. Das Gericht verarbeitet die Daten nicht deshalb, weil es die frühere Datenerhebung billigt, sondern weil es im Rahmen seiner gesetzlichen Aufgabe über Tatsachen, Beweismittel und Ansprüche entscheiden muss.
Kein automatisches Beweisverwertungsverbot
Die Entscheidung darf jedoch nicht so verstanden werden, dass rechtswidrig erlangte Daten stets vor Gericht verwertbar wären. Der EuGH sagt nicht, dass jedes datenschutzwidrig beschaffte Beweismittel verwendet werden muss. Vielmehr stellt er klar, dass die DSGVO kein generelles und automatisches Beweisverwertungsverbot anordnet.
Die Zulässigkeit und Würdigung von Beweisen bleibt grundsätzlich Sache des nationalen Prozessrechts. Dieses Prozessrecht muss jedoch mit dem Unionsrecht vereinbar sein. Deshalb verlangt der EuGH, dass es einen hinreichend klaren, präzisen und vorhersehbaren Rahmen gibt, aus dem sich ergibt, unter welchen Umständen und Voraussetzungen Gerichte Beweismittel, die personenbezogene Daten enthalten, verwenden dürfen. Dieser Rahmen kann sich nicht nur aus geschriebenem Gesetz, sondern auch aus nationaler Rechtsprechung ergeben, sofern diese klar, präzise und vorhersehbar ist.
Das ist für Deutschland besonders relevant, weil die ZPO keine ausdrückliche Detailregelung für jede denkbare Fallgruppe rechtswidrig erlangter personenbezogener Daten enthält. Der EuGH hält dies nicht von vornherein für unzulässig. Er verlangt jedoch, dass die nationale Rechtsprechung die Voraussetzungen für die gerichtliche Verwendung solcher Beweismittel hinreichend vorhersehbar bestimmt und dabei ein im öffentlichen Interesse liegendes Ziel verhältnismäßig verfolgt.
Rechtsgrundlage für die gerichtliche Verarbeitung
Der EuGH stützt die Verarbeitung personenbezogener Daten in Gerichtsverfahren insbesondere auf Art. 6 Abs. 1 Unterabs. 1 lit. c DSGVO. Demnach ist eine Verarbeitung rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Eine solche Verpflichtung besteht für Gerichte beispielsweise darin, über die Zulässigkeit von Beweismitteln zu entscheiden und zulässige Beweise bei der Entscheidungsfindung zu würdigen.
Damit lehnt der EuGH eine andere Begründung zugleich ab. Art. 17 Abs. 3 lit. e DSGVO stellt keine eigenständige Rechtsgrundlage für die Verarbeitung dar. Diese Vorschrift regelt lediglich, dass kein Löschungsanspruch besteht, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Daraus folgt jedoch nicht automatisch, dass jede solche Verarbeitung rechtmäßig ist. Die eigentliche Rechtmäßigkeitsprüfung bleibt somit bei Art. 6 DSGVO.
Praktisch bedeutet das: Wer sich vor Gericht auf personenbezogene Daten stützt, kann sich nicht pauschal darauf berufen, die Daten würden zur Rechtsverteidigung benötigt. Entscheidend ist, ob die Verarbeitung vor Gericht auf einer tragfähigen Rechtsgrundlage beruht und die weiteren Datenschutzgrundsätze eingehalten werden.
Warum rechtswidrig erlangte Daten trotzdem verwertbar sein können
Der EuGH begründet seine Entscheidung vor allem mit dem Recht auf ein faires Verfahren gemäß Art. 47 der EU-Grundrechtecharta. Demnach müssen Parteien eines Gerichtsverfahrens grundsätzlich in der Lage sein, ihre Ansprüche oder Einwendungen tatsächlich vorzutragen und zu belegen. Würde jeder Datenschutzverstoß automatisch zur Unverwertbarkeit führen, könnte dies den effektiven Rechtsschutz erheblich beeinträchtigen.
Das Datenschutzrecht steht also nicht isoliert neben dem Prozessrecht. Es muss mit anderen Grundrechten in Einklang gebracht werden. Das Recht auf Schutz personenbezogener Daten aus den Artikeln 7 und 8 der Charta ist zwar wichtig, aber kein uneingeschränktes Recht. Es kann mit dem Recht auf gerichtlichen Rechtsschutz kollidieren.
Der EuGH sagt deshalb nicht, dass Datenschutzverstöße egal sind. Vielmehr sagt er: Ein Datenschutzverstoß auf der Ebene der Beweiserlangung führt nicht automatisch dazu, dass das Gericht das Beweismittel ignorieren muss. Die gerichtliche Verarbeitung verfolgt nämlich ein eigenes legitimes Ziel: die Durchführung eines fairen Verfahrens und die sachgerechte Entscheidung über den Rechtsstreit.
Kein Freibrief für rechtswidrige Datenerhebungen
Das Urteil darf jedoch nicht als Freibrief missverstanden werden. Unternehmen können nicht ableiten, dass sie personenbezogene Daten beliebig erheben dürfen, nur weil diese später möglicherweise vor Gericht nützlich sein könnten.
Der EuGH unterscheidet deutlich zwischen der möglichen Rechtswidrigkeit der ursprünglichen Datenerhebung und deren späterer gerichtlicher Verwertung. Eine unzulässige Datenerhebung kann weiterhin Folgen haben. In Betracht kommen etwa Schadensersatzansprüche nach Art. 82 DSGVO, aufsichtsbehördliche Maßnahmen oder Bußgelder nach Art. 83 DSGVO. Auch nationale Gerichte können im Einzelfall weiterhin prüfen, ob nach nationalem Recht ein Beweisverwertungsverbot besteht.
Die Entscheidung bedeutet also nicht, dass rechtswidrig beschaffte Daten immer verwertet werden müssen. Sie bedeutet lediglich, dass die DSGVO kein generelles und automatisches Beweisverwertungsverbot anordnet.
Datenminimierung bleibt auch im Prozess wichtig
Ein weiterer wichtiger Punkt des Urteils ist: Das Gericht muss bei der Verwendung personenbezogener Daten weiterhin den Grundsatz der Datenminimierung beachten. Gemäß Art. 5 Abs. 1 Buchst. c DSGVO dürfen nur solche Daten verarbeitet werden, die für den jeweiligen Zweck angemessen, erheblich und erforderlich sind.
Der EuGH verlangt dabei jedoch nicht, dass Gerichte bei jeder einzelnen Verarbeitung zusätzlich eine umfassende Verhältnismäßigkeitsprüfung durchführen. Im Stadium der Prüfung, ob ein Beweismittel zulässig und relevant ist, darf das Gericht die dafür erforderlichen Daten grundsätzlich verarbeiten. Hat das Gericht die Unterlagen jedoch für zulässig erklärt und sie zur Akte genommen oder sie gegenüber Parteien, Dritten oder in einer Entscheidung offengelegt, muss es prüfen, ob die Daten tatsächlich in diesem Umfang benötigt werden.
Das hat praktische Folgen. Ein Gericht darf personenbezogene Daten nicht unbeschränkt offenlegen oder in einer Entscheidung wiedergeben, nur weil sie in einem Beweismittel enthalten sind. Vor einer Offenlegung gegenüber Parteien oder Dritten muss geprüft werden, ob die Daten tatsächlich erforderlich sind. Gegebenenfalls kommen Schutzmaßnahmen wie Schwärzungen, Anonymisierung oder Pseudonymisierung in Betracht.
Dies gilt insbesondere, wenn Beweismittel auch Daten unbeteiligter Dritter enthalten. Im Ausgangsfall könnten etwa Daten von eBay-Käufern betroffen gewesen sein. Der EuGH stellt klar, dass Gerichte auch beim Umgang mit solchen Drittinformationen an die DSGVO gebunden sind.
Informationspflichten nach Art. 13 DSGVO verhindern die Verwertung nicht automatisch
Der EuGH befasst sich außerdem mit der Frage, ob ein Verstoß gegen die in Art. 13 DSGVO festgelegten Informationspflichten dazu führt, dass ein Gericht die Daten nicht verwenden darf. Auch hier fällt die Antwort differenziert aus. Wenn eine Partei oder ein Dritter den Informationspflichten bei der Datenerhebung nicht nachkommt, kann dies zwar einen Datenschutzverstoß darstellen. Das Gericht ist jedoch nicht automatisch daran gehindert, diese Daten im Rahmen seiner justiziellen Tätigkeit zu verwenden.
Auch dieser Punkt folgt der Grundlinie des Urteils. Datenschutzrechtliche Fehler bei der ursprünglichen Erhebung wirken nicht automatisch als prozessuales Verwertungsverbot fort.
Bedeutung des EuGH-Urteils für Arbeitgeber
Für Arbeitgeber ist das Urteil besonders relevant, weil viele arbeitsgerichtliche Streitigkeiten auf digitalen Spuren beruhen: E-Mails, Browserverläufe, Logfiles, Messenger-Nachrichten, Zugriffsprotokolle oder Plattformdaten. Das Urteil schafft mehr Rechtssicherheit für Fälle, in denen solche digitalen Beweismittel personenbezogene Daten enthalten und ihre Erhebung datenschutzrechtlich umstritten ist.
Gleichzeitig erhöht es den Druck auf Unternehmen, lückenlos zu dokumentieren, warum Daten erhoben wurden, auf welcher Rechtsgrundlage dies geschah und weshalb die Verarbeitung erforderlich war. Wer Beweise rechtswidrig beschafft, riskiert weiterhin datenschutzrechtliche Sanktionen und Schadensersatzansprüche. Zudem bleibt offen, ob nationale Gerichte im konkreten Einzelfall aus anderen Gründen ein Beweisverwertungsverbot annehmen.
Für die Praxis empfiehlt sich daher eine doppelte Prüfung: Erstens muss vor der Datenerhebung geklärt werden, ob die Maßnahme datenschutzrechtlich zulässig ist. Zweitens muss im Prozess geprüft werden, welche Daten tatsächlich erforderlich sind und ob sensible, überschießende oder für den Streit unerhebliche Informationen geschwärzt werden können.
Quelle: EuGH-Urteil C-484/24 (NTH Haustechnik) vom 18.06.2026
Aristotelis Zervos ist Editorial Director bei 2B Advice, Jurist und Journalist mit profundem Know-how in Datenschutz, DSGVO, IT-Compliance und KI-Governance. Er veröffentlicht regelmäßig fundierte Artikel zu KI-Regulierung, DSGVO-Compliance und Risikomanagement. Mehr über ihn erfahren Sie auf seiner Autorenprofil-Seite.
German 
English 
Italian 
French