Beweisverwertung bei DSGVO-Verstößen: Risiken für Arbeitgeber bei internen Ermittlungen

EuGH-Urteil C-484/24: Bedeutung für Arbeitgeber

Dem Urteil liegt ein Schadensersatzprozess zugrunde. Eine Arbeitgeberin verlangte von einer ehemaligen Mitarbeiterin Ersatz eines Schadens von rund 46.000 Euro, der durch unerlaubte Verkäufe von Betriebsgegenständen über eBay entstanden sein soll. Zur Aufklärung griff ein Angehöriger der Geschäftsführung auf das private eBay-Konto der Mitarbeiterin zu, unter anderem über den Browserverlauf eines Firmencomputers und gespeicherte Zugangsdaten. Zwischen den Parteien war streitig, ob dieser Zugriff datenschutzrechtlich zulässig war. Das Landesarbeitsgericht Niedersachsen legte die Frage dem EuGH vor.

Diese Konstellation ist kein Einzelfall. Sie zeigt eine typische Situation bei internen Ermittlungen: Ein Verdacht besteht, Beweise liegen vor, deren Herkunft aber rechtlich angreifbar ist. Für Unternehmen stellt sich deshalb die Frage, ob mühsam gesammelte Beweise im Kündigungsschutzprozess oder im Schadensersatzverfahren überhaupt verwertet werden dürfen.

Beweisverwertungsverbot nach DSGVO: Kein Automatismus, kein Freibrief

Der EuGH stellt klar, dass die DSGVO kein pauschales Verwertungsverbot für rechtswidrig erlangte Beweismittel kennt. Die ursprüngliche Datenerhebung durch den Arbeitgeber und die spätere Verarbeitung durch das Gericht sind rechtlich voneinander zu trennen. Ein Datenschutzverstoß bei der Erhebung wird durch die gerichtliche Verwertung jedoch nicht geheilt. Gerichte müssen vielmehr eine Abwägung vornehmen und dabei prüfen, wie schwer der Verstoß war, ob mildere Beweismittel zur Verfügung standen und ob die Daten unbeteiligter Dritter mitbetroffen sind.

Diese Linie bestätigt die ständige Rechtsprechung des Bundesarbeitsgerichts, wonach gilt: „Datenschutz ist kein Tatenschutz“ (vgl. BAG, Urt. v. 22.09.2016 – 2 AZR 848/15). Allerdings bleibt eine entscheidende Einschränkung bestehen. Mittels Keylogger erlangte Erkenntnisse hat das BAG wegen des Eingriffs in die informationelle Selbstbestimmung als unverwertbar eingestuft (BAG, Urt. v. 27.07.2017 – 2 AZR 681/16). Deshalb reicht ein pauschaler Blick auf das Urteil nicht aus. Jeder Einzelfall erfordert eine saubere rechtliche Prüfung, bevor Beweise im Prozess eingesetzt werden.

DSGVO-Verstoß bei internen Ermittlungen: Diese Risiken bleiben bestehen

Das Urteil schafft mehr Rechtssicherheit für die Verwertung von Beweisen im Prozess. Es ändert jedoch nichts an der eigenständigen Haftung für die Datenerhebung selbst. Wer bei internen Ermittlungen auf private Konten zugreift, Passwörter verwendet oder Zugangsdaten ausgeschiedener Beschäftigter unzulässig lange speichert, riskiert weiterhin:

• Schadensersatzansprüche des Beschäftigten nach Art. 82 DSGVO
• Bußgelder der Aufsichtsbehörde nach Art. 83 DSGVO
• den Verlust der Beweiskraft, wenn die Interessenabwägung im Einzelfall zugunsten des Beschäftigten ausfällt

Darüber hinaus bleibt die Rechtsgrundlage für die Erhebung selbst ein kritischer Punkt. Der EuGH geht davon aus, dass sich ein Arbeitgeber nicht auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen kann, wenn er wusste oder hätte wissen müssen, dass die ihm zugetragenen Daten ihrerseits rechtswidrig erhoben wurden. Auch Art. 17 Abs. 3 lit. e DSGVO darf nicht als eigenständige Rechtsgrundlage herangezogen werden, da die Liste in Art. 6 Abs. 1 DSGVO abschließend ist.

Interne Ermittlungen rechtssicher durchführen: Beweissicherung und Dokumentation

Die Erfahrung aus der Praxis zeigt, dass Unternehmen bei einem konkreten Verdacht oft unter Zeitdruck Beweise sichern, ohne die datenschutzrechtlichen Grenzen im Blick zu haben. Genau an dieser Stelle entscheidet sich später, ob ein Prozess gewonnen oder verloren wird und ob zusätzlich ein Bußgeldverfahren droht.

Wer von Anfang an eine tragfähige Rechtsgrundlage dokumentiert, die Beweissicherung auf das notwendige Maß beschränkt und die Speicherfristen beachtet, steht im Prozess und gegenüber der Datenschutzaufsicht deutlich besser da. Zudem lässt sich durch eine saubere Dokumentation der Ermittlungsmaßnahmen von Beginn an das Risiko eines Beweisverwertungsverbots erheblich reduzieren.

Ihr Kontakt zu uns

Als Fachanwalt für IT-Recht berate ich Unternehmen bei genau diesen Fragestellungen – von der datenschutzkonformen Ausgestaltung interner Ermittlungen über die Dokumentation der Rechtsgrundlagen im Verzeichnis der Verarbeitungstätigkeiten bis zur gerichtlichen Durchsetzung von Schadensersatzansprüchen gegen Beschäftigte. Ich unterstütze Sie dabei, Beweise so zu sichern, dass sie im Prozess tatsächlich verwertet werden können, ohne dass Ihrem Unternehmen dabei ein eigenständiges Bußgeld- oder Haftungsrisiko entsteht.

Sprechen Sie uns an, bevor die nächste interne Ermittlung beginnt. Eine frühzeitige rechtliche Einordnung entscheidet häufig darüber, ob Ihr Unternehmen am Ende obsiegt oder leer ausgeht.

Vereinbaren Sie für Ihr Anliegen einfach ein Gespräch, das dank unserer technischen Ausstattung auch telefonisch oder online durchgeführt werden kann. Darüber hinaus können Sie auch gerne unseren kostenlosen „Rückruf-Service“ nutzen oder eine Email an info@steinbock-partner.de schicken.