EuGH-Urteil: Arbeitgeber beschafft Mitarbeiterdaten rechtswidrig – trotzdem können sie vor Gericht zählen
Ein Arbeitgeber greift möglicherweise rechtswidrig auf private Daten einer Beschäftigten zu und will diese später vor Gericht gegen sie verwenden. Was zunächst nach einem klaren Fall für ein Beweisverbot klingt, ist nach einem neuen Urteil des Europäischen Gerichtshofs deutlich komplizierter.
Der EuGH hat am 18. Juni 2026 entschieden, dass personenbezogene Daten nicht allein deshalb aus einem Gerichtsverfahren ausgeschlossen werden müssen, weil sie zuvor unter Verletzung von Datenschutz- oder Persönlichkeitsrechten beschafft wurden.
Das Urteil in der Rechtssache C-484/24 „NTH Haustechnik“ dürfte vor allem für arbeitsrechtliche Verfahren über Kündigungen, Schadensersatz und schwere Pflichtverletzungen erhebliche Bedeutung bekommen.
Arbeitgeber verlangte mehr als 46.000 Euro von ehemaliger Mitarbeiterin
Ausgangspunkt des Verfahrens war ein Streit zwischen der NTH Haustechnik GmbH und einer ehemaligen Beschäftigten. Die Frau war zugleich mit dem Geschäftsführer des Unternehmens verheiratet gewesen; ihr Arbeitsverhältnis endete bereits zum 31. Oktober 2019.
Bis zur Trennung von ihrem Ehemann am 26. Juni 2022 konnte sie weiterhin die Betriebsräume betreten und dort vorhandene Computer benutzen.
Kurz nach der Trennung stellte das Unternehmen nach eigenen Angaben fest, dass über das private eBay-Konto der Frau Gegenstände verkauft worden waren, die nach Auffassung der Firma ihr gehörten.
Die Verkaufserlöse sollen insgesamt 13.217,09 Euro betragen haben. Unter Einbeziehung der behaupteten Einkaufspreise und weiterer Kosten verlangte die Firma schließlich einen Schadensersatz von 46.567,91 Euro.
Die ehemalige Arbeitnehmerin bestritt jedoch, Firmeneigentum ohne Zustimmung verkauft zu haben. Nach ihrer Darstellung handelte es sich überwiegend um gebrauchte Rückläufer, die für das Unternehmen keinen Wert mehr gehabt hätten und ihr überlassen worden seien.
Besonders brisant war der Zugriff auf das private eBay-Konto
Für das Verfahren war nicht nur entscheidend, ob die Verkäufe tatsächlich unberechtigt erfolgt waren. Fraglich war auch, wie der Arbeitgeber überhaupt an die Informationen über das private eBay-Konto gelangt war.
Ein Mitarbeiter des Unternehmens, der zugleich der gemeinsame Sohn der ehemaligen Arbeitnehmerin und des Geschäftsführers ist, hatte das private eBay-Konto mit Benutzerkennung und Passwort geöffnet.
Das Unternehmen erklärte, Hinweise auf die Nutzung von eBay seien im Browserverlauf eines Firmencomputers gefunden worden; das Passwort sei in einem auf dem Firmenserver gespeicherten „Family-Ordner“ entdeckt worden.
Die Arbeitnehmerin schilderte den Vorgang anders. Ihrer Darstellung zufolge sei ein von ihr genutztes Firmenhandy als verloren gemeldet und anschließend eine neue SIM-Karte beschafft worden, wodurch das Unternehmen ihre Telefonnummer habe nutzen können, um das Passwort ihres privaten eBay-Kontos zu ändern.
Das Landesarbeitsgericht Niedersachsen stellte nicht abschließend fest, dass die Daten tatsächlich rechtswidrig beschafft worden waren. Es hielt einen Datenschutzverstoß aber für möglich und legte dem EuGH deshalb mehrere Fragen zur Verarbeitung und Verwertung solcher Informationen vor.
Die entscheidende Aussage des EuGH
Der EuGH machte deutlich, dass zwischen zwei Vorgängen unterschieden werden muss. Einerseits steht die möglicherweise rechtswidrige Beschaffung personenbezogener Daten durch einen Arbeitgeber, andererseits die spätere Verarbeitung dieser Informationen durch ein Gericht.
Dass der erste Vorgang rechtswidrig gewesen sein könnte, führt nicht automatisch dazu, dass auch die Verwendung der Daten durch ein Gericht untersagt ist.
Die DSGVO enthält nach der Entscheidung kein allgemeines Beweisverwertungsverbot für Informationen, die eine Prozesspartei zuvor unter Verletzung von Datenschutzrechten erlangt hat.
Besonders deutlich formuliert der Gerichtshof, dass der Umstand, dass Daten unter Verletzung des Rechts auf Privatleben und Datenschutz erlangt wurden, für die spätere gerichtliche Verarbeitung „für sich genommen nicht entscheidend“ ist. Das Gericht muss vielmehr prüfen, welche Daten für das Verfahren tatsächlich benötigt werden.
Das bedeutet nicht: Datenschutzwidrige Überwachung ist jetzt erlaubt
Für Arbeitnehmer ist diese Unterscheidung ausgesprochen wichtig. Das Urteil gibt Arbeitgebern keine Erlaubnis, private E-Mail-Konten, Smartphones, Cloud-Speicher, Benutzerkonten oder andere persönliche Datenbestände beliebig auszuspähen.
Eine rechtswidrige Datenerhebung bleibt rechtswidrig. Abhängig vom Einzelfall können daraus datenschutzrechtliche Ansprüche, Schadensersatzforderungen, aufsichtsrechtliche Maßnahmen oder andere Folgen entstehen.
Neu beziehungsweise nun unionsrechtlich deutlicher geklärt ist etwas anderes: Ein Rechtsverstoß bei der Beschaffung eines Beweises macht den Beweis nicht zwangsläufig für jedes spätere Gerichtsverfahren unbrauchbar.
Über die Zulässigkeit von Beweisen entscheidet weiterhin nationales Recht
Der EuGH hat nicht angeordnet, dass deutsche Arbeitsgerichte jedes rechtswidrig erlangte Beweismittel akzeptieren müssen. Welche Tatsachen und Beweise in einem Verfahren zulässig sind und wie sie gewürdigt werden, richtet sich grundsätzlich weiterhin nach dem nationalen Prozessrecht.
Für Deutschland verwies das Verfahren unter anderem auf § 138 ZPO zur Erklärungspflicht der Parteien und auf § 286 ZPO zur freien Beweiswürdigung. Auch die Rechtsprechung der deutschen Gerichte zu Beweisverwertungsverboten bleibt deshalb wichtig.
Der EuGH verlangt dabei, dass die nationale Rechtsprechung zu einer solchen Datenverarbeitung klar, präzise und vorhersehbar ist. Sie muss außerdem einem im öffentlichen Interesse liegenden Ziel dienen und hierzu in einem angemessenen Verhältnis stehen.
Was das Urteil sagt – und was nicht
| Frage | Antwort nach dem EuGH-Urteil |
|---|---|
| Sind rechtswidrig beschaffte Mitarbeiterdaten automatisch unverwertbar? | Nein |
| Müssen solche Daten automatisch verwertet werden? | Ebenfalls nein |
| Darf ein Arbeitgeber deshalb Beschäftigte beliebig überwachen? | Nein |
| Kann ein Gericht die Daten prüfen, um über ihre Zulässigkeit zu entscheiden? | Ja |
| Muss das Gericht die DSGVO selbst beachten? | Ja |
| Müssen unnötige personenbezogene Daten geschützt werden? | Ja, insbesondere durch Datenminimierung und gegebenenfalls Anonymisierung oder Pseudonymisierung |
Für die gerichtliche Verarbeitung gibt es eine eigene Rechtsgrundlage
Ein weiterer wichtiger Punkt betrifft Art. 6 DSGVO. Der Gerichtshof betrachtet die Verarbeitung personenbezogener Daten durch ein Gericht im Zusammenhang mit Beweisangeboten grundsätzlich als Verarbeitung, die erforderlich sein kann, damit das Gericht seinen gesetzlichen Pflichten nachkommt.
Der EuGH stellte deshalb für die hier behandelten Verarbeitungsvorgänge auf Art. 6 Abs. 1 Buchstabe c DSGVO ab. Gerichte müssen über die Zulässigkeit angebotener Beweise entscheiden und zulässige Beweismittel anschließend bei ihrer Entscheidung berücksichtigen.
Das bedeutet zugleich, dass die Rechtmäßigkeit der gerichtlichen Verarbeitung nicht einfach davon abhängt, ob der Arbeitgeber die Daten zuvor rechtmäßig beschafft hat. Beide Verarbeitungsvorgänge müssen rechtlich getrennt betrachtet werden.
Art. 17 DSGVO macht rechtswidrige Datenerhebung nicht nachträglich legal
Der EuGH korrigiert zugleich ein mögliches Missverständnis beim Recht auf Löschung. Art. 17 Abs. 3 Buchstabe e DSGVO sieht vor, dass Daten unter bestimmten Voraussetzungen nicht gelöscht werden müssen, wenn ihre Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
Daraus entsteht aber keine zusätzliche Erlaubnis, Daten zu verarbeiten. Der Gerichtshof stellte ausdrücklich fest, dass Art. 17 Abs. 3 Buchstabe e DSGVO keine eigenständige Rechtmäßigkeitsbedingung neben Art. 6 DSGVO darstellt.
Ein Arbeitgeber kann eine möglicherweise rechtswidrige Datenerhebung deshalb nicht allein mit dem Argument rechtfertigen, er könnte die Informationen irgendwann für einen Gerichtsprozess benötigen.
Gerichte dürfen nicht einfach komplette Datenbestände offenlegen
Auch wenn ein Beweismittel verwertet werden darf, endet der Datenschutz nicht an der Tür des Gerichtssaals. Der EuGH verlangt ausdrücklich die Beachtung des Grundsatzes der Datenminimierung.
Hat ein Gericht ein Dokument als zulässig angesehen, muss es vor der Aufnahme beziehungsweise Offenlegung prüfen, ob sämtliche darin enthaltenen personenbezogenen Daten tatsächlich benötigt werden. Nicht erforderliche Informationen können beispielsweise anonymisiert werden.
Das ist gerade bei E-Mails, Verkaufsplattformen, Chatverläufen oder elektronischen Benutzerkonten wichtig. Solche Unterlagen enthalten häufig nicht nur Informationen über die streitenden Parteien, sondern auch Namen, Adressen oder andere Daten völlig unbeteiligter Menschen.
Auch Daten unbeteiligter Dritter bleiben geschützt
Der EuGH befasste sich ausdrücklich mit personenbezogenen Daten von Menschen, die gar nicht am Verfahren beteiligt sind. Im Fall NTH Haustechnik konnten beispielsweise Käufer auf der Plattform eBay betroffen sein.
100 % spam-frei • jederzeit abbestellbar
Das Gericht muss auch bei solchen Daten für die Einhaltung der DSGVO sorgen. Bei der Offenlegung gegenüber Parteien oder Dritten können deshalb Anonymisierung oder Pseudonymisierung erforderlich sein, wenn die zusätzlichen Daten für die Entscheidung nicht benötigt werden.
Eine Prozesspartei erhält dadurch allerdings nicht automatisch das Recht, jeden Datenschutzverstoß gegenüber einem unbeteiligten Dritten im eigenen Namen geltend zu machen. Auch das hat der EuGH ausdrücklich klargestellt.
Fehlende Datenschutzinformation führt ebenfalls nicht automatisch zum Beweisverbot
Arbeitgeber müssen Betroffene bei einer Datenerhebung grundsätzlich über bestimmte Umstände der Verarbeitung informieren. Im Verfahren stellte sich deshalb auch die Frage, welche Folgen ein möglicher Verstoß gegen Art. 13 DSGVO für die spätere gerichtliche Verwendung hat.
Auch hierzu lehnt der EuGH einen Automatismus ab. Allein eine Verletzung dieser Informationspflicht verhindert nicht, dass ein Gericht die betreffenden Daten im Rahmen seiner rechtsprechenden Tätigkeit verwendet.
Damit trennt der Gerichtshof erneut den Datenschutzverstoß außerhalb des Prozesses von der Frage, welche Daten das Gericht zur Erfüllung seiner eigenen Aufgaben verwenden darf.
Die bisherige deutsche Arbeitsrechtsprechung geht bereits in eine ähnliche Richtung
Das Bundesarbeitsgericht hatte schon am 29. Juni 2023 entschieden, dass ein Datenschutzverstoß nicht in jedem Fall zu einem Sachvortrags- oder Beweisverwertungsverbot führt. Im damaligen Verfahren ging es unter anderem um eine offene Videoüberwachung und den Vorwurf einer vorsätzlichen Pflichtverletzung.
Das BAG hielt ein Verwertungsverbot insbesondere dann für denkbar, wenn die Nichtberücksichtigung der Informationen wegen einer geschützten Rechtsposition des Arbeitnehmers zwingend erforderlich ist. Bei einer offenen Überwachung, die eine vorsätzlich begangene Pflichtverletzung dokumentieren soll, sah das Gericht eine solche Situation nicht ohne Weiteres als gegeben an.
Das neue EuGH-Urteil bestätigt nun jedenfalls, dass aus der DSGVO selbst kein pauschaler Ausschluss rechtswidrig beschaffter Beweismittel folgt. Wie weit deutsche Gerichte bei besonders schweren Eingriffen in Persönlichkeitsrechte gehen, bleibt jedoch eine Frage des jeweiligen Einzelfalls.
Besonders heikel bleiben heimliche und intensive Überwachungsmaßnahmen
Das Urteil sollte deshalb nicht mit der Aussage verwechselt werden, Beschäftigte hätten im Prozess keinen Datenschutz mehr. Je tiefer ein Arbeitgeber in den privaten Bereich eines Menschen eindringt, desto stärker können neben der DSGVO auch Persönlichkeitsrechte und verfassungsrechtlich geschützte Positionen betroffen sein.
Gerade eine dauerhafte heimliche Überwachung, das Ausforschen privater Kommunikation oder ein Zugriff auf höchstpersönliche Informationen kann daher weiterhin erhebliche rechtliche Folgen haben. Auch nach dem EuGH-Urteil kann es Situationen geben, in denen deutsches Recht die Verwendung eines Beweises nicht zulässt.
Wie streng Gerichte solche Eingriffe bewerten können, zeigt beispielsweise ein Fall zur heimlichen Überwachung eines krankgeschriebenen Beschäftigten auf dessen Privatgrundstück. Dort wurden Videoaufnahmen und weitere daraus gewonnene Erkenntnisse nicht verwertet. Arbeitgeber filmt heimlich Arbeitnehmer: Fristlose Kündigung danach ungültig
Arbeitnehmer sollten zwei Fragen voneinander trennen
Wer im Arbeitsgerichtsverfahren mit überraschend aufgetauchten E-Mails, Videoaufnahmen, Standortdaten, Accountinformationen oder anderen personenbezogenen Daten konfrontiert wird, sollte nicht nur fragen, ob der Arbeitgeber diese Informationen rechtmäßig beschafft hat. Ebenso wichtig ist die gesonderte Frage, ob und in welchem Umfang das Gericht sie im konkreten Verfahren verwenden darf.
Ein Datenschutzverstoß des Arbeitgebers und ein mögliches Beweisverwertungsverbot sind nach dem EuGH-Urteil nicht dasselbe. Arbeitnehmer können deshalb mit dem Argument „Die Daten wurden rechtswidrig erhoben“ allein nicht mehr davon ausgehen, dass das Material im Prozess automatisch unbeachtet bleibt.
Umgekehrt kann der Arbeitgeber aus der möglichen Verwertbarkeit nicht schließen, dass seine ursprüngliche Vorgehensweise erlaubt war. Die Rechtmäßigkeit der Erhebung und die gerichtliche Verwendung bleiben zwei unterschiedliche rechtliche Prüfungen.
Für Kündigungsschutzverfahren kann das Urteil besonders wichtig werden
In Kündigungsschutzprozessen dreht sich der Streit häufig darum, ob der Arbeitgeber eine behauptete schwere Pflichtverletzung beweisen kann. Typische Fälle betreffen Arbeitszeitmanipulationen, unerlaubte Verkäufe, Diebstahlsvorwürfe, unbefugte Datenzugriffe oder andere behauptete Verstöße gegen arbeitsvertragliche Pflichten.
Liegen die Beweise in Form personenbezogener Daten vor, kann der Arbeitnehmer weiterhin die Art ihrer Beschaffung beanstanden. Nach dem EuGH-Urteil reicht ein Datenschutzverstoß jedoch nicht ohne Weiteres aus, um eine gerichtliche Prüfung des Materials zu verhindern.
Damit steigt die Bedeutung einer genauen Prüfung des Einzelfalls. Entscheidend können unter anderem die Art des Eingriffs, der Inhalt der Daten, die nationalen Regeln über die Zulässigkeit des Beweises und der Umfang der späteren gerichtlichen Verarbeitung sein.
Das Urteil ist kein Freibrief für Arbeitgeber
Die Schlagzeile des Urteils klingt zunächst arbeitgeberfreundlich: Selbst rechtswidrig beschaffte Mitarbeiterdaten können vor Gericht noch Bedeutung haben. Daraus folgt jedoch kein allgemeines Recht zur Überwachung von Beschäftigten.
Arbeitgeber müssen weiterhin bereits bei der Datenerhebung die DSGVO, das Beschäftigtendatenschutzrecht und die Persönlichkeitsrechte ihrer Mitarbeiter beachten. Ein späterer Gerichtsprozess heilt eine rechtswidrige Überwachungsmaßnahme nicht.
Der EuGH hat vielmehr verhindert, dass aus jedem Datenschutzverstoß automatisch eine zweite Konsequenz entsteht: der vollständige Verlust eines möglicherweise wichtigen Beweismittels. Ob das Material tatsächlich Eingang in die Entscheidung findet, muss anschließend nach den geltenden Verfahrensregeln beurteilt werden.
Häufige Fragen zum EuGH-Urteil
1. Darf mein Arbeitgeber nach diesem Urteil meine privaten Daten heimlich durchsuchen?
Nein. Das EuGH-Urteil erlaubt Arbeitgebern keine beliebige Überwachung oder Ausforschung privater Konten.
Eine rechtswidrige Datenerhebung kann weiterhin Datenschutzrechte verletzen und eigene rechtliche Konsequenzen haben. Das Urteil betrifft vor allem die davon getrennte Frage, ob ein Gericht bereits vorhandene Daten im späteren Prozess verwenden darf.
2. Sind rechtswidrig beschaffte Beweise jetzt immer vor Gericht zulässig?
Nein. Der EuGH hat lediglich festgestellt, dass ein Datenschutzverstoß nicht automatisch zu einem Beweisverwertungsverbot führt.
Welche Beweismittel zulässig sind, richtet sich weiterhin nach den dafür geltenden nationalen Regeln. Besonders intensive Eingriffe in geschützte Persönlichkeitsrechte können deshalb weiterhin zu einem anderen Ergebnis führen.
3. Was passiert, wenn der Arbeitgeber private E-Mails oder Accountdaten vorlegt?
Das Gericht muss zunächst prüfen, wie mit dem Beweismittel nach dem geltenden Verfahrensrecht umzugehen ist. Enthalten die Unterlagen personenbezogene Daten, muss das Gericht bei seiner eigenen Verarbeitung außerdem die DSGVO beachten.
Nicht benötigte Informationen dürfen nicht einfach unbegrenzt in das Verfahren hineingetragen oder veröffentlicht werden. Je nach Inhalt kommen beispielsweise Schwärzungen, Anonymisierung oder Pseudonymisierung in Betracht.
4. Muss ein Arbeitgeber rechtswidrig erhobene Daten nicht eigentlich löschen?
Art. 17 DSGVO enthält ein Recht auf Löschung, aber auch Ausnahmen. Daten können unter bestimmten Voraussetzungen weiter benötigt werden, wenn es um die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen geht.
Der EuGH betont jedoch, dass diese Ausnahme keine eigenständige Erlaubnis für eine ansonsten rechtswidrige Verarbeitung schafft. Ob eine Verarbeitung zulässig ist, muss weiterhin nach den entsprechenden Vorschriften der DSGVO geprüft werden.
5. Was geschieht mit Daten von Kollegen, Kunden oder anderen unbeteiligten Personen?
Auch diese Daten fallen grundsätzlich unter den Schutz der DSGVO. Das Gericht muss bei der Verarbeitung von Informationen über nicht am Verfahren beteiligte Dritte ebenfalls auf die Einhaltung der Datenschutzvorgaben achten.
Vor einer Offenlegung muss deshalb geprüft werden, ob sämtliche Angaben tatsächlich erforderlich sind. Ist das nicht der Fall, können Schutzmaßnahmen wie Anonymisierung oder Pseudonymisierung notwendig sein.
6. Was sollten Arbeitnehmer tun, wenn der Arbeitgeber überraschend Überwachungsdaten vor Gericht vorlegt?
Betroffene sollten die Beschaffung der Daten und deren gerichtliche Verwendung getrennt prüfen lassen. Ein möglicher Datenschutzverstoß kann eigene Ansprüche auslösen, während zugleich geklärt werden muss, ob das betreffende Beweismittel im konkreten arbeitsgerichtlichen Verfahren berücksichtigt werden darf.
Gerade bei Kündigungen oder hohen Schadensersatzforderungen sollte frühzeitig geprüft werden, wie die Daten gewonnen wurden, welche Informationen tatsächlich darin enthalten sind und ob der Arbeitgeber oder das Gericht weitergehende private Daten verarbeitet. Das EuGH-Urteil C-484/24 macht deutlich, dass die Antwort nicht mehr schlicht „rechtswidrig erhoben bedeutet unverwertbar“ lauten kann.
- Über den Autor
- Letzte Beiträge des Autors
Sebastian Bertram ist gelernter Sozialarbeiter und hat über 10 Jahre eine therapeutische Einrichtung geleitet. Er ist Gründer und Hauptverantwortlicher von Gegen-Hartz.de. Seine Hauptthemen sind Sozialrecht, Gesellschaftsrecht und Soziales. Sebastian ist aktiv in der Erwerbslosenberatung.
