Opinion of Advocate General Spielmann delivered on 16 October 2025.

• Jurisdiction: European Union
• Court: Court of Justice (European Union)
• ECLI: ECLI:EU:C:2025:803
• Date: 16 October 2025

SCHLUSSANTRÄGE DES GENERALANWALTS

DEAN SPIELMANN

vom 16. Oktober 2025(1)

Rechtssache C‑484/24

NTH Haustechnik GmbH

gegen

EM

(Vorabentscheidungsersuchen des Landesarbeitsgerichts Niedersachsen [Deutschland])

„ Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Rechtmäßigkeit der Datenverarbeitung in einem arbeitsgerichtlichen Verfahren – Vom Arbeitgeber zum Nachweis einer schwerwiegenden Pflichtverletzung des Beschäftigten erhobene Daten – Behandlung von rechtswidrig erlangten Beweisen – Grundsatz der Speicherbegrenzung – Verfahrensautonomie der Mitgliedstaaten “

Einleitung

1. Die Vorlagefrage, auf die sich diese Schlussanträge entsprechend dem Ersuchen des Gerichtshofs konzentrieren, betrifft die Auslegung von Art. 5 Abs. 1 Buchst. e der Verordnung (EU) Nr. 2016/679(2). Der Gerichtshof hat im Wesentlichen über die Frage zu entscheiden, ob und inwieweit in einem nationalen Gerichtsverfahren als Beweis vorgelegte personenbezogene Daten, die durch den Rückgriff auf andere, ursprünglich unter Verstoß gegen den Grundsatz der Speicherbegrenzung erhobene oder aufbewahrte personenbezogene Daten gewonnen wurden, vom nationalen Gericht auf rechtmäßige Weise verarbeitet werden dürfen.

2. Das Vorabentscheidungsersuchen des Landesarbeitsgerichts Niedersachsen (Deutschland) ergeht in einem Rechtsstreit zwischen der NTH Haustechnik GmbH (im Folgenden: NTH) und ihrer früheren Beschäftigten (im Folgenden: Beklagte), dessen Gegenstand eine Klage auf Ersatz eines Schadens im Zusammenhang mit dem unerlaubten Online-Verkauf im Eigentum von NTH stehender Gegenstände durch die Beklagte ist.

Rechtlicher Rahmen

Unionsrecht

3. Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) Abs. 1 DSGVO bestimmt:

„(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (,Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);

…

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden (,Speicherbegrenzung‘);

…“

4. Art. 6 („Rechtmäßigkeit der Verarbeitung“) DSGVO sieht vor:

„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

…

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

…

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und ‑verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

…“

5. In Art. 23 („Beschränkungen“) DSGVO heißt es:

„(1) Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:

…

j) die Durchsetzung zivilrechtlicher Ansprüche.

…“

Deutsches Recht

Zivilprozessordnung

6. § 138 („Erklärungspflicht über Tatsachen; Wahrheitspflicht“) der Zivilprozessordnung vom 30. Januar 1877(3) bestimmt in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung:

„(1) Die Parteien haben ihre Erklärungen über tatsächliche Umstände vollständig und der Wahrheit gemäß abzugeben.

(2) Jede Partei hat sich über die von dem Gegner behaupteten Tatsachen zu erklären.

(3) Tatsachen, die nicht ausdrücklich bestritten werden, sind als zugestanden anzusehen, wenn nicht die Absicht, sie bestreiten zu wollen, aus den übrigen Erklärungen der Partei hervorgeht.

(4) Eine Erklärung mit Nichtwissen ist nur über Tatsachen zulässig, die weder eigene Handlungen der Partei noch Gegenstand ihrer eigenen Wahrnehmung gewesen sind.“

Bundesdatenschutzgesetz

7. § 3 („Verarbeitung personenbezogener Daten durch öffentliche Stellen“) des Bundesdatenschutzgesetzes vom 30. Juni 2017(4) sieht in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung vor:

„Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.“

Ausgangsrechtsstreit, Vorlagefragen und Verfahren vor dem Gerichtshof

8. NTH ist eine Gesellschaft, die einen Heizungs- und Klimatechnikbetrieb betreibt. Die Beklagte war Mitarbeiterin der Gesellschaft und mit deren Geschäftsführer verheiratet. Der Sohn der Beklagten und des NTH-Geschäftsführers ist ebenfalls Mitarbeiter dieser Gesellschaft.

9. Das Arbeitsverhältnis zwischen NTH und der Beklagten endete zum 31. Oktober 2019, und die Eheleute leben seit dem 26. Juni 2022 in Trennung. Bis zur Trennung bestand für die Beklagte allerdings weiterhin die Möglichkeit, die Räumlichkeiten der Gesellschaft zu betreten und die dort vorhandenen Computer zu nutzen. Ob dies nur zu privaten Zwecken geschehen ist oder sie weiterhin Tätigkeiten für NTH ausgeübt hat, ist streitig.

10. Unmittelbar nach der Trennung der Eheleute ermittelte NTH, dass die Beklagte über die Online-Verkaufsplattform eBay Betriebsmittel der Gesellschaft auf eigene Rechnung veräußert hatte, und macht aus diesem Grund Schadenersatzansprüche gegen sie geltend.

11. Nach Angaben des vorlegenden Gerichts erlangte NTH ihre Kenntnisse von den Verkaufsvorgängen der Beklagten durch einen EDV-gestützten Zugriff auf das private eBay-Konto der Beklagten. Hierzu habe der Sohn der Beklagten und des NTH-Geschäftsführers die Benutzerkennung und das Passwort der Beklagten für deren eBay-Konto verwendet. Auf welchem Wege er die Kenntnis hiervon erlangt habe, sei streitig.

12. NTH gibt insoweit an, Erkenntnisse über die Benutzung der Online-Verkaufsplattform eBay durch die Beklagte durch Einsichtnahme in den Browserverlauf des von der Beklagten genutzten betrieblichen Computers der Gesellschaft und die Kenntnis des Passworts durch Einsicht in einem auf dem Server von NTH angelegten „Family Ordner“, wo das Passwort hinterlegt gewesen sei, gewonnen zu haben. Die Beklagte behauptet hingegen, ihr eBay-Benutzerkennwort nicht auf betrieblichen Datenspeichern gespeichert zu haben, und trägt vor, dass NTH das auf die Gesellschaft registrierte, aber von der Beklagten genutzte Mobiltelefon genutzt habe, um auf der Plattform eBay das Passwort des privaten Kontos der Beklagten zu ändern und Zugang zum Konto zu erhalten.

13. Das vorlegende Gericht geht davon aus, dass die Datenerhebung und ‑speicherung durch NTH, mit der diese ihre Kenntnisse über die – über die Online-Verkaufsplattform eBay abgewickelten – Verkäufe der Beklagten erlangt habe, möglicherweise auf unrechtmäßige Art und Weise erfolgt sei. Es geht weiter davon aus, dass seine eigene justizielle Tätigkeit und gegebenenfalls die Verwertung der von NTH erhobenen Daten bei seiner Entscheidung eine Datenverarbeitung im Sinne der DSGVO darstelle. Deshalb möchte das vorlegende Gericht im Wesentlichen wissen, welche Voraussetzungen in der nationalen Regelung über die justizielle Datenverarbeitungstätigkeit festgelegt werden müssen und nach welchen Rechtsgrundlagen und inhaltlichen Maßstäben sich diese Tätigkeit zu richten...