In meiner täglichen Beratungspraxis erlebe ich es immer wieder: In arbeitsgerichtlichen Verfahren werden plötzlich Beweismittel eingebracht, die auf illegalem Weg erlangt wurden – sei es durch den Arbeitgeber oder durch ehemalige Angestellte. In diesen Konstellationen besprechen wir fast immer auch einen sogenannten „Mitarbeiter-Exzess“ – also die Situation, in der Beschäftigte ihre internen Zugriffsrechte massiv überschreiten, um Daten zu exfiltrieren oder Beweise für einen Rechtsstreit zu sichern.

Ein brandaktuelles Urteil des Europäischen Gerichtshofs (EuGH) sorgt hier nun für dringend benötigte operative Klarheit auf beiden Seiten.

Was ist passiert?

Der EuGH hat mit Urteil vom 18.06.2026  entschieden, dass Zivilgerichte personenbezogene Daten als Beweismittel verwerten dürfen, selbst wenn diese zuvor unter Verstoß gegen die DSGVO erlangt wurden. Im Ausgangsverfahren hatte sich ein Arbeitgeber unbefugt in das private eBay-Konto einer ausgeschiedenen Mitarbeiterin eingeloggt, um Beweise für einen Schadensersatzanspruch wegen Unterschlagung zu sichern.

Der EuGH stellte klar: Die Datenverarbeitung durch Gerichte im Rahmen der Sachverhaltsaufklärung ist über Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) legitimiert. Ein generelles Verwertungsverbot für rechtswidrig erlangte Daten gibt es in der DSGVO nicht; das Recht auf ein faires Verfahren (Art. 47 EU-Charta) überwiegt hier im Regelfall. Allerdings müssen Gerichte den Grundsatz der Datenminimierung beachten und sensible Daten unbeteiligter Dritter vor einer Offenlegung prüfen und ggf. anonymisieren. Auch die Verletzung von Informationspflichten (Art. 13 DSGVO) führt nicht automatisch zu einem Beweisverbot.

Handlungsempfehlung:

• Keine voreilige Kapitulation bei Mitarbeiter-Exzessen: Wenn ehemalige Mitarbeiter unrechtmäßig Daten aus dem Unternehmen entwendet haben, um diese vor Gericht gegen Sie zu verwenden, prüfen Sie, ob diese Daten den Kern des Sachverhalts betreffen. Ein pauschaler Verweis der Gegenseite auf ein „Datenschutz-Beweisverbot“ greift nach diesem Urteil nicht mehr.

Hierzu das Gericht: „Die hierfür verwendeten Daten [müssen] gemäß Art. 5 Abs. 1 Buchst. c DSGVO auf Daten beschränkt sein, die angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sind.“

• Risikotrennung beachten (Verwertung vs. Bußgeld): Verwechseln Sie die prozessuale Verwertbarkeit nicht mit Straffreiheit. Wenn Ihr Unternehmen/ Verein Daten illegal beschafft (z. B. durch heimlichen Zugriff auf private Konten), dürfen die Gerichte die Daten zwar im Prozess nutzen – Ihr Unternehmen/ Verei bleibt aber vollumfänglich haftbar für Bußgelder und Schadensersatzansprüche.
• Proaktive Datenminimierung bei Gerichtsschriftsätzen: Bevor Sie Beweisdokumente bei Gericht einreichen, prüfen Sie diese zwingend auf Daten unbeteiligter Dritter. Schwärzen Sie alles, was für die konkrete Beweisführung nicht absolut notwendig ist.

Quelle: EuGH, Urteil vom 18.06.2026 – C‑484/24

Rechtsanwalt Robert Harzewski