Arrêt de référence : Cour de justice de l'Union européenne (CJUE), 18 juin 2026, C-484/24 (NTH Haustechnik GmbH) — Protection des données, RGPD, preuves contenant des données personnelles récoltées de manière illicite, procédure civile

I. Les faits

Le litige oppose l'entreprise allemande NTH Haustechnik (NTH) à son ancienne salariée (EM), par ailleurs épouse, puis ex-épouse du gérant de la société. Après leur séparation, NTH découvre, via un autre employé, le fils du couple, qu'EM revendait sur eBay des biens appartenant à l'entreprise, pour un préjudice allégué de plus de 46 000 euros.

L'employé chargé de l'enquête interne a accédé au compte eBay privé d'EM en utilisant l'identifiant et le mot de passe de cette dernière — obtenus, selon des versions contradictoires, soit via l'historique de navigation d'un ordinateur professionnel, soit via une carte SIM de remplacement demandée frauduleusement.

La juridiction de renvoi allemande (Landesarbeitsgericht Niedersachsen — le Tribunal supérieur du travail de Basse-Saxe) n'exclut pas que cette collecte de données ait été illicite. Elle demande à la CJUE (la Cour) de dire si le juge national peut, dans le cadre d'un procès civil, utiliser des preuves contenant des données personnelles obtenues de façon illégale par une partie, sans violer le RGPD ? La juridiction allemande précise sa demande préjudicielle dans une série de questions très détaillées, articulées autour de trois principes : la base légale du traitement judiciaire (licéité du traitement, art. 6 RGPD), l'étendu de l'exception au droit à l'effacement (art. 17, § 3, let. e, RGPD), et le principe de minimisation des données (art. 5, § 1, let. c, RGPD).

II. Les réponses de la Cour

  1. La Cour rectifie d'emblée la base légale pertinente : ce n'est pas l'article 6, § 1, let. e, RGPD (mission d'intérêt public) qui régit l'examen des preuves par un juge, mais l'article 6, § 1, let. c RGPD — le traitement nécessaire au respect d'une obligation légale, à savoir l'obligation du juge de statuer sur l'admissibilité des preuves. La Cour juge que le droit procédural civil allemand, bien que silencieux sur le sort des données obtenues illicitement, satisfait aux exigences de précision de la Charte des droits fondamentaux de l'Union européenne (la Charte), à condition qu'une jurisprudence nationale claire, précise et prévisible comble ce silence. La « loi » au sens de l'article 8, § 2, de la Charte peut être donc purement prétorienne.
  2. L'article 17, § 3, e, RGPD n'est pas une base de licéité autonome : Cette disposition n'introduit qu'une exception au droit à l'effacement ; elle ne crée pas une condition de licéité s'ajoutant à la liste exhaustive de l'article 6, § 1. Un juge ne peut donc pas invoquer directement l'article 17, § 3, e, pour justifier un traitement, sans lien avec l'article 6.
  3. La Cour n'impose pas aux juridictions nationales un examen de proportionnalité et une mise en balance de nature approfondie des intérêts en présence pour chaque acte de traitement effectué en cours d'instance (minimisation des données) ; la mise en balance globale se fait déjà en amont, au niveau de la base légale elle-même. Le respect des critères de l'article 5, § 1, c (données adéquates, pertinentes, limitées au nécessaire) suffit.
  4. Le RGPD n'interdit pas, de manière générale et absolue, à une autorité publique, telle qu'une juridiction, de tenir compte de données ayant fait l'objet d'un traitement illicite par la partie qui les produit — même si cette partie n'a aucun intérêt légitime supérieur à la simple administration de la preuve. L'obligation du juge de statuer sur l'admissibilité des preuves et, si elles sont admises, d'en tenir compte, poursuit un objectif d'intérêt public (le droit à un procès équitable, art. 47 de la Charte) jugé proportionné même lorsque les données sous-jacentes ont été obtenues de manière illicite. La seule limite posée concerne la divulgation ultérieure de ces données (aux autres parties, à des tiers, lors de la publication du jugement), où une minimisation (supplémentaire) — anonymisation, pseudonymisation — peut s'imposer.
  5. Dans la même logique, le fait que la partie ayant collecté les données n'ait pas respecté ses obligations d'information envers la personne concernée n'empêche pas davantage le juge d'utiliser ces données.
  6. Le juge doit respecter le RGPD également à l'égard de données concernant des tiers à la procédure. Toutefois, s'agissant de la question de savoir si une partie peut se prévaloir d'une illégalité commise au détriment d'un tiers, celle-ci relève de l'autonomie procédurale des États membres, puisque le droit de l'Union n'oblige pas les États membres à permettre à une partie d'invoquer une violation du RGPD commise au détriment d'un tiers.

III. Commentaire

Cet arrêt apporte une clarification bienvenue sur un point resté flou depuis l'arrêt Norra Stockholm Bygg (C-268/21). Cet arrêt avait déjà admis que le RGPD n'empêche pas la production de preuves contenant des données personnelles, mais sans trancher directement la question de l'illicéité de la collecte initiale. En affirmant qu'il n'existe aucune interdiction générale et absolue, la Cour évite ce qui aurait été une solution rigide et potentiellement dysfonctionnelle : faire du RGPD une règle d'exclusion automatique des preuves, alors que ce règlement n'a jamais eu vocation à régir les règles concernant l'administration et l'examen des preuves par les tribunaux, matière laissée aux droits nationaux. Sur ce plan, la solution est cohérente avec la ligne jurisprudentielle constante selon laquelle le RGPD n'est pas un texte de procédure probatoire déguisé.

Toutefois, le raisonnement laisse subsister une tension non résolue : La Cour affirme que l'obligation légale du juge de statuer sur l'admissibilité des preuves « satisfait » à elle seule au triple test de proportionnalité (aptitude, nécessité, proportionnalité stricte), y compris lorsque les données ont été obtenues illégalement par une partie privée. Or, ce raisonnement glisse subtilement d'une proportionnalité abstraite examinée par le législateur lors de la création de la base légale elle-même (l'obligation générale de statuer sur les preuves) à une proportionnalité d'application au cas d'espèce (l'usage de telles preuves illégalement obtenues). En opérant cette assimilation, la Cour prive de portée pratique l'examen concret que la juridiction de renvoi cherchait précisément à faire valider — l'appréciation circonstanciée de la gravité de l'illégalité initiale, de l'intention de la partie fautive, du caractère caché ou non de la collecte, etc.

En effet, le juge allemand demandait des critères de mise en balance fine (gravité de l'atteinte, alternative probatoire moins intrusive, existence d'autres sanctions comme les articles 82-83 RGPD). La Cour élude largement cette demande en renvoyant implicitement cette pondération au droit procédural national, alors même que le point 1 du dispositif de l'arrêt exige justement une jurisprudence nationale « claire, précise et prévisible » à ce sujet. Il en résulte un effet de vases communicants où ce que le RGPD n'exige pas doit être comblé par le droit national (en l'occurrence la jurisprudence allemande) — lequel est certes contrôlé à l'aune de l'article 47 de la Charte, mais sans que l'arrêt n'offre le moindre guide sur le contenu attendu de cette jurisprudence en matière de preuves illicites, éludant ainsi le cœur même de la question posée.

En jugeant que l'absence d'intérêt légitime supérieur de la partie productrice de preuve n'empêche pas l'usage judiciaire des données, la Cour fait peser l'essentiel de la protection sur l'aval (limitation de la divulgation, anonymisation) plutôt que sur l'amont (recevabilité de la preuve elle-même). Concrètement, cela signifie qu'un employeur — ou toute partie — disposant de moyens d'accéder illégalement aux comptes privés d'autrui n'a, du point de vue du RGPD, presque rien à perdre ; les sanctions résiduelles (amendes administratives de l'article 83, dommages-intérêts de l'article 82) sont reléguées à une procédure distincte, sans lien automatique avec l'issue du procès où la preuve est utilisée. On peut légitimement s'interroger sur l'effet incitatif d'une telle solution : elle risque d'affaiblir la fonction dissuasive du RGPD en matière de collecte de preuves privées, notamment dans le contexte de relations de travail marquées par une forte asymétrie de pouvoir.

La position selon laquelle l'article 17, § 3, e, RGPD n'est qu'une exception au droit à l'effacement, non une condition de licéité autonome, est techniquement rigoureuse et cohérente avec le caractère exhaustif de la liste de l'article 6, § 1. Elle évite une confusion conceptuelle entre licéité du traitement et absence d'obligation d'effacement, qui sont deux régimes distincts. Cette clarification a une portée pratique réelle au-delà du contentieux du travail : elle vaut pour tout contentieux civil ou commercial où une partie invoquerait cet article comme fondement autonome.

Le renvoi de la question des tiers à l'autonomie procédurale est prudent mais insatisfaisant. En refusant d'imposer aux États membres de permettre à une partie d'invoquer une violation du RGPD commise à l'égard d'un tiers, la Cour laisse un vide : dans l'affaire au principal, les données d'acheteurs eBay (tiers) étaient potentiellement concernées, et la protection de leurs droits dépend désormais entièrement du hasard des règles procédurales nationales, sans harmonisation minimale au niveau de l'Union — alors même que le RGPD a précisément pour ambition d'assurer un niveau de protection équivalent dans tous les États membres.

IV. En conclusion

Cet arrêt confirme et affine la jurisprudence Norra Stockholm Bygg en consacrant un principe de primauté fonctionnelle du droit à un procès équitable sur les exigences procédurales du RGPD lorsqu'il s'agit de l'usage judiciaire de preuves contenant des données personnelles, y compris lorsque leur collecte initiale a été illicite. La solution est pragmatique et évite de transformer le RGPD en règle générale d'exclusion des preuves. Mais elle le fait au prix d'un affaiblissement de l'examen concret de proportionnalité que réclamait la juridiction de renvoi, et déplace la charge protectrice vers des mécanismes en aval (minimisation lors de la divulgation, sanctions séparées) dont l'effectivité reste, en pratique, largement tributaire du droit procédural — et de la jurisprudence — de chaque État membre.

V. Regard croisé avec le droit suisse

Il faut noter que la LPD, à la différence du RGPD, ne s'applique en principe pas directement à l'activité juridictionnelle des tribunaux dans l'exercice de leurs fonctions judiciaires. L'article 2, al. 3, LPD prévoit explicitement qu'en matière de procédures judiciaires, le traitement des données et les droits des personnes concernées obéissent au droit de procédure applicable (CPC ou CPP) et non à la LPD. La jurisprudence et la doctrine suisses tendent à traiter séparément le droit de la protection des données et le droit de la preuve civile. Le débat qui a occupé la CJUE — à savoir si le RGPD lui-même impose des limites au traitement judiciaire des preuves — ne se pose guère en Suisse, précisément parce que l'article 152 du Code de procédure civile suisse (CPC) assume déjà ce rôle de manière autonome, indépendamment du droit de la protection des données.

Le droit suisse offre un point de comparaison intéressant, car il possède — contrairement au droit allemand dans cette affaire — des dispositions légales explicites qui codifient ce que la CJUE a dû construire par interprétation. L'article 152 CPC dispose :

« 1. Toute partie a droit à ce que le tribunal administre les moyens de preuve adéquats proposés régulièrement et en temps utile.

2. Le tribunal ne prend en considération les moyens de preuve obtenus de manière illicite que si l'intérêt à la manifestation de la vérité est prépondérant. »

Le Tribunal fédéral a précisé les critères de cette pesée d'intérêts à travers une jurisprudence assez fournie (ATF 140 III 6 ; 4A_463/2021, etc.). Les critères pertinents incluent typiquement :

Le résultat de cette pesée est donc, en pratique, plus ouvertement discrétionnaire que la solution retenue par la CJUE, qui a considérablement affaibli l'examen de proportionnalité individuel en jugeant que l'obligation générale du juge de statuer sur l'admissibilité des preuves suffit à elle seule.

Ainsi, dans une configuration comme celle de l'affaire NTH — un employeur accédant au compte privé eBay d'une (ex-)employée via un mot de passe obtenu de manière détournée — le droit suisse prendrait en considération en particulier :

Ce qui frappe en comparant les deux systèmes, c'est la différence structurelle notable avec la solution proposée par la CJUE.

La CJUE aboutit, dans les faits, à une quasi-présomption d'admissibilité — la preuve reste utilisable sauf exception, l'accent étant mis sur la limitation de la divulgation ultérieure plutôt que sur l'exclusion de la preuve elle-même.

Le droit suisse part de l'hypothèse inverse : l'article 152 al. 2, CPC pose le principe que la preuve obtenue illicitement n'est pas prise en compte, sauf si l'intérêt à la manifestation de la vérité est prépondérant. Le juge suisse effectue ainsi une pesée des intérêts in concreto :

Cette logique contraste avec celle de la Cour de justice de l'Union européenne (CJUE), dont le raisonnement tend plutôt à faire de l'utilisation des preuves la règle générale et de leur exclusion l'exception.

Cette différence d'architecture n'aboutit pas nécessairement à des résultats opposés en pratique. Un juge suisse pourrait très bien, dans une affaire comparable à NTH, admettre les preuves en jugeant l'intérêt à la manifestation de la vérité prépondérant, si la fraude est significative et la preuve est difficilement substituable. Toutefois, le point de départ normatif est inversé, ce qui modifie la charge de la preuve et alourdit l'obligation de justification pour la partie qui cherche à produire la pièce illicite.

Reference ruling: Court of Justice of the European Union (CJEU), 18 June 2026, C-484/24 (NTH Haustechnik GmbH) — Data protection, GDPR, evidence containing unlawfully collected personal data, civil proceedings

I. Facts

The dispute is between German company NTH Haustechnik (NTH) and a former employee (EM), who was also the wife, and later ex-wife, of the company's manager. After their separation, NTH discovered — through another employee, the couple's son — that EM was reselling company property on eBay, allegedly causing losses in excess of €46,000.

The employee conducting the internal investigation accessed EM's private eBay account using her login credentials and password — obtained, according to contradictory accounts, either through the browsing history of a company computer or through a replacement SIM card obtained fraudulently.

The German referring court (Landesarbeitsgericht Niedersachsen — the Higher Labour Court of Lower Saxony) did not exclude the possibility that this collection of data was unlawful. It asked the CJEU whether a national court may, in civil proceedings, use evidence containing personal data unlawfully obtained by one party, without violating the GDPR. The German court framed its preliminary reference around a detailed series of questions articulated around three principles: the legal basis for judicial processing (lawfulness of processing, Art. 6 GDPR), the scope of the exception to the right to erasure (Art. 17(3)(e) GDPR), and the principle of data minimisation (Art. 5(1)(c) GDPR).

II. The Court's answers

  1. The Court immediately corrects the relevant legal basis: it is not Article 6(1)(e) GDPR (task in the public interest) that governs the examination of evidence by a court, but Article 6(1)(c) GDPR — processing necessary for compliance with a legal obligation, namely the court's obligation to rule on the admissibility of evidence. The Court holds that German civil procedural law, although silent on the fate of unlawfully obtained data, satisfies the precision requirements of the Charter of Fundamental Rights of the European Union, provided that clear, precise and foreseeable national case law fills that gap. The "law" within the meaning of Article 8(2) of the Charter may therefore be purely judge-made.
  2. Article 17(3)(e) GDPR is not an autonomous lawfulness condition: this provision merely introduces an exception to the right to erasure; it does not create a lawfulness condition to be added to the exhaustive list in Article 6(1). A court therefore cannot directly invoke Article 17(3)(e) to justify processing, independently of Article 6.
  3. The Court does not require national courts to carry out an in-depth proportionality review and balancing of interests for each individual processing act carried out during proceedings (data minimisation); the overall balancing is already performed upstream, at the level of the legal basis itself. Compliance with the criteria of Article 5(1)(c) (adequate, relevant and limited data) suffices.
  4. The GDPR does not, in general and absolute terms, prohibit a public authority such as a court from taking into account data that has been subject to unlawful processing by the party producing it — even if that party has no legitimate interest beyond the mere administration of evidence. The court's obligation to rule on the admissibility of evidence and, if admitted, to take it into account, pursues a public interest objective (the right to a fair trial, Art. 47 of the Charter) deemed proportionate even where the underlying data was unlawfully obtained. The only limit concerns the subsequent disclosure of that data (to other parties, third parties, or upon publication of the judgment), where additional minimisation — anonymisation, pseudonymisation — may be required.
  5. By the same logic, the fact that the party who collected the data failed to comply with its information obligations towards the data subject does not prevent the court from using that data either.
  6. The court must also comply with the GDPR as regards data concerning third parties to the proceedings. However, as to whether a party may rely on an unlawfulness committed to the detriment of a third party, that question falls within the procedural autonomy of the member states, since EU law does not require member states to allow a party to invoke a GDPR violation committed to the detriment of a third party.

III. Commentary

This ruling provides welcome clarification on a point that has remained unclear since the Norra Stockholm Bygg ruling (C-268/21). That ruling had already acknowledged that the GDPR does not prevent the production of evidence containing personal data, but without directly resolving the question of the unlawfulness of the initial collection. By affirming that there is no general and absolute prohibition, the Court avoids what would have been a rigid and potentially dysfunctional solution: turning the GDPR into an automatic rule of exclusion of evidence, when that regulation was never intended to govern the rules on the administration and examination of evidence by courts — a matter left to national law. On this point, the solution is consistent with the consistent case law holding that the GDPR is not a disguised procedural evidence text.

However, the reasoning leaves an unresolved tension: the Court holds that the court's legal obligation to rule on the admissibility of evidence "satisfies" the triple proportionality test (suitability, necessity, strict proportionality) on its own, even where the data was unlawfully obtained by a private party. Yet this reasoning subtly slides from an abstract proportionality examined by the legislator when creating the legal basis itself (the general obligation to rule on evidence) to a proportionality of application to the specific case (the use of such unlawfully obtained evidence). By conflating the two, the Court deprives of practical effect the concrete examination that the referring court was precisely seeking to have validated — the circumstantial assessment of the seriousness of the initial unlawfulness, the intent of the defaulting party, whether the collection was covert, etc.

Indeed, the German court was seeking fine-grained balancing criteria (seriousness of the breach, less intrusive evidentiary alternative, existence of other sanctions such as Arts. 82-83 GDPR). The Court largely sidesteps this request by implicitly referring that weighing to national procedural law, while point 1 of the operative part of the ruling itself requires precisely "clear, precise and foreseeable" national case law on the matter. The result is a communicating-vessels effect in which what the GDPR does not require must be filled by national law (in this case German case law) — which is admittedly reviewed against Article 47 of the Charter, but without the ruling offering the slightest guidance on what that case law should contain regarding unlawfully obtained evidence, thus evading the very core of the question asked.

By holding that the absence of a superior legitimate interest on the part of the evidence-producing party does not prevent judicial use of the data, the Court places the bulk of the protection downstream (limiting disclosure, anonymisation) rather than upstream (admissibility of the evidence itself). Concretely, this means that an employer — or any party — having the means to unlawfully access another person's private accounts has, from a GDPR perspective, almost nothing to lose; the residual sanctions (administrative fines under Art. 83, damages under Art. 82) are relegated to a separate procedure with no automatic link to the outcome of the trial in which the evidence is used. One may legitimately question the incentive effect of such a solution: it risks weakening the GDPR's deterrent function in relation to private evidence collection, particularly in the context of employment relationships marked by significant power asymmetry.

The position that Article 17(3)(e) GDPR is merely an exception to the right to erasure, not an autonomous lawfulness condition, is technically rigorous and consistent with the exhaustive nature of the list in Article 6(1). It avoids conceptual confusion between lawfulness of processing and absence of an erasure obligation — two distinct regimes. This clarification has real practical scope beyond employment disputes: it applies to any civil or commercial litigation where a party might invoke that article as an autonomous legal basis.

The referral of the third-party question to procedural autonomy is cautious but unsatisfying. By refusing to require member states to allow a party to invoke a GDPR violation committed against a third party, the Court leaves a gap: in the main proceedings, the data of eBay buyers (third parties) were potentially affected, and the protection of their rights now depends entirely on the vagaries of national procedural rules, without any minimum harmonisation at Union level — even though the GDPR's stated ambition is precisely to ensure an equivalent level of protection in all member states.

IV. Conclusion

This ruling confirms and refines the Norra Stockholm Bygg case law by enshrining a principle of functional primacy of the right to a fair trial over the procedural requirements of the GDPR when it comes to the judicial use of evidence containing personal data, including where the initial collection was unlawful. The solution is pragmatic and avoids turning the GDPR into a general rule of exclusion of evidence. But it does so at the cost of weakening the concrete proportionality review called for by the referring court, and shifts the protective burden towards downstream mechanisms (minimisation at the point of disclosure, separate sanctions) whose effectiveness remains, in practice, largely dependent on the procedural law — and case law — of each member state.

V. A comparative perspective: Swiss law

It should be noted that the FADP, unlike the GDPR, does not in principle apply directly to the judicial activity of courts in the exercise of their judicial functions. Article 2(3) FADP explicitly provides that in judicial proceedings, the processing of data and the rights of data subjects are governed by the applicable procedural law (CCP or CCP) and not by the FADP. Swiss case law and legal scholarship tend to treat data protection law and civil evidence law as separate matters. The debate that occupied the CJEU — namely whether the GDPR itself imposes limits on the judicial processing of evidence — barely arises in Switzerland, precisely because Article 152 of the Swiss Code of Civil Procedure (CCP) already performs that role autonomously, independently of data protection law.

Swiss law offers an interesting point of comparison, because — unlike German law in this case — it contains explicit statutory provisions that codify what the CJEU had to construct by interpretation. Article 152 CCP provides:

"1. Every party is entitled to have the court administer adequate evidence duly proposed and submitted in time.

2. The court shall only take into account evidence obtained by unlawful means if the interest in establishing the truth is overriding."

The Federal Tribunal has clarified the criteria for this balancing exercise through extensive case law (ATF 140 III 6; 4A_463/2021, etc.). The relevant criteria typically include:

The outcome of this balancing exercise is therefore, in practice, more openly discretionary than the solution adopted by the CJEU, which considerably weakened the individual proportionality review by holding that the general obligation of the court to rule on the admissibility of evidence suffices on its own.

In a configuration like the NTH case — an employer accessing a (former) employee's private eBay account via a password obtained by deceptive means — Swiss law would take into account in particular:

What strikes one in comparing the two systems is the notable structural difference with the solution proposed by the CJEU.

The CJEU arrives, in practice, at a near-presumption of admissibility — the evidence remains usable except in exceptional cases, with the emphasis placed on limiting subsequent disclosure rather than excluding the evidence itself.

Swiss law starts from the opposite assumption: Article 152(2) CCP establishes the principle that unlawfully obtained evidence is not taken into account, unless the interest in establishing the truth is overriding. The Swiss judge thus carries out a balancing of interests in concreto:

This logic contrasts with that of the CJEU, whose reasoning tends rather to make the use of evidence the general rule and its exclusion the exception.

This architectural difference does not necessarily lead to opposite outcomes in practice. A Swiss court could very well, in a case comparable to NTH, admit the evidence by finding that the interest in establishing the truth is overriding, where the fraud is significant and the evidence is difficult to substitute. However, the normative starting point is reversed, which shifts the burden of proof and increases the obligation of justification for the party seeking to produce the unlawfully obtained document.

Referenzurteil: Gerichtshof der Europäischen Union (EuGH), 18. Juni 2026, C-484/24 (NTH Haustechnik GmbH) — Datenschutz, DSGVO, Beweismittel mit unrechtmässig erhobenen Personendaten, Zivilverfahren

I. Sachverhalt

Der Rechtsstreit betrifft das deutsche Unternehmen NTH Haustechnik (NTH) und eine ehemalige Mitarbeiterin (EM), die zudem Ehefrau, später Ex-Ehefrau, des Geschäftsführers war. Nach ihrer Trennung stellte NTH durch einen anderen Mitarbeiter — den gemeinsamen Sohn des Paares — fest, dass EM Unternehmenseigentum auf eBay weiterverkaufte, wobei ein behaupteter Schaden von über 46.000 Euro entstanden war.

Der mit der internen Untersuchung beauftragte Mitarbeiter griff auf das private eBay-Konto von EM zu, indem er deren Benutzernamen und Passwort verwendete — die laut widersprüchlichen Angaben entweder über den Browserverlauf eines Firmencomputers oder über eine betrügerisch angeforderte Ersatz-SIM-Karte erlangt worden waren.

Das deutsche vorlegende Gericht (Landesarbeitsgericht Niedersachsen) schloss nicht aus, dass diese Datenerhebung rechtswidrig war. Es fragte den EuGH, ob das nationale Gericht im Rahmen eines Zivilverfahrens Beweismittel mit Personendaten verwenden darf, die von einer Partei rechtswidrig erlangt wurden, ohne gegen die DSGVO zu verstossen. Das deutsche Gericht präzisierte sein Vorabentscheidungsersuchen in einer Reihe sehr detaillierter Fragen, die um drei Grundsätze kreisen: die Rechtsgrundlage der gerichtlichen Verarbeitung (Rechtmässigkeit der Verarbeitung, Art. 6 DSGVO), den Umfang der Ausnahme vom Recht auf Löschung (Art. 17 Abs. 3 lit. e DSGVO) und den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO).

II. Die Antworten des Gerichtshofs

  1. Der Gerichtshof berichtigt sogleich die massgebliche Rechtsgrundlage: Es ist nicht Art. 6 Abs. 1 lit. e DSGVO (Aufgabe im öffentlichen Interesse), der die Prüfung von Beweismitteln durch ein Gericht regelt, sondern Art. 6 Abs. 1 lit. c DSGVO — die zur Erfüllung einer rechtlichen Verpflichtung erforderliche Verarbeitung, nämlich die Pflicht des Gerichts, über die Zulässigkeit von Beweismitteln zu entscheiden. Der Gerichtshof befindet, dass das deutsche Zivilprozessrecht, obwohl es über das Schicksal rechtswidrig erlangter Daten schweigt, den Präzisionsanforderungen der Charta der Grundrechte der Europäischen Union genügt, sofern eine klare, präzise und vorhersehbare nationale Rechtsprechung diese Lücke füllt. Das „Gesetz" im Sinne von Art. 8 Abs. 2 der Charta kann daher rein richterrechtlicher Natur sein.
  2. Art. 17 Abs. 3 lit. e DSGVO ist keine autonome Rechtmässigkeitsvoraussetzung: Diese Bestimmung führt lediglich eine Ausnahme vom Recht auf Löschung ein; sie schafft keine Rechtmässigkeitsbedingung, die zur abschliessenden Liste des Art. 6 Abs. 1 hinzutritt. Ein Gericht kann daher Art. 17 Abs. 3 lit. e nicht unmittelbar zur Rechtfertigung einer Verarbeitung anführen, ohne Bezug zu Art. 6.
  3. Der Gerichtshof verpflichtet die nationalen Gerichte nicht, für jeden im Laufe des Verfahrens vorgenommenen Verarbeitungsvorgang eine eingehende Verhältnismässigkeitsprüfung und Interessenabwägung durchzuführen (Datenminimierung); die Gesamtabwägung erfolgt bereits vorgelagert, auf der Ebene der Rechtsgrundlage selbst. Die Einhaltung der Kriterien des Art. 5 Abs. 1 lit. c (angemessene, erhebliche und auf das notwendige Mass beschränkte Daten) genügt.
  4. Die DSGVO verbietet einer Behörde wie einem Gericht nicht generell und absolut, Daten zu berücksichtigen, die von der sie vorlegenden Partei unrechtmässig verarbeitet wurden — auch wenn diese Partei kein übergeordnetes berechtigtes Interesse hat, das über die blosse Beweisführung hinausgeht. Die Pflicht des Gerichts, über die Zulässigkeit von Beweismitteln zu entscheiden und sie, sofern zugelassen, zu berücksichtigen, verfolgt ein im öffentlichen Interesse liegendes Ziel (das Recht auf ein faires Verfahren, Art. 47 der Charta), das selbst dann als verhältnismässig gilt, wenn die zugrunde liegenden Daten rechtswidrig erlangt wurden. Die einzige Schranke betrifft die anschliessende Offenlegung dieser Daten (an andere Parteien, Dritte, bei der Urteilsveröffentlichung), wo eine (zusätzliche) Minimierung — Anonymisierung, Pseudonymisierung — geboten sein kann.
  5. In derselben Logik hindert der Umstand, dass die datenerhebende Partei ihren Informationspflichten gegenüber der betroffenen Person nicht nachgekommen ist, das Gericht ebenfalls nicht daran, diese Daten zu verwenden.
  6. Das Gericht muss die DSGVO auch hinsichtlich der Daten von Dritten des Verfahrens einhalten. Hinsichtlich der Frage, ob sich eine Partei auf eine gegenüber einem Dritten begangene Rechtswidrigkeit berufen kann, fällt diese jedoch in die Verfahrensautonomie der Mitgliedstaaten, da das Unionsrecht die Mitgliedstaaten nicht verpflichtet, es einer Partei zu ermöglichen, eine gegenüber einem Dritten begangene DSGVO-Verletzung geltend zu machen.

III. Kommentar

Dieses Urteil bringt eine willkommene Klärung eines Punktes, der seit dem Urteil Norra Stockholm Bygg (C-268/21) unklar geblieben war. Jenes Urteil hatte bereits anerkannt, dass die DSGVO der Vorlage von Beweismitteln mit Personendaten nicht entgegensteht, ohne jedoch die Frage der Rechtswidrigkeit der ursprünglichen Erhebung direkt zu beantworten. Indem der Gerichtshof feststellt, dass es kein allgemeines und absolutes Verbot gibt, vermeidet er eine starre und potenziell dysfunktionale Lösung: die DSGVO zu einer automatischen Beweisausschlussregel zu machen, obwohl sie nie dazu bestimmt war, die Regeln über die Verwaltung und Prüfung von Beweismitteln durch Gerichte zu regeln — ein dem nationalen Recht überlassener Bereich. In dieser Hinsicht ist die Lösung mit der ständigen Rechtsprechung kohärent, wonach die DSGVO kein getarnter verfahrensrechtlicher Beweistext ist.

Die Begründung lässt jedoch eine ungelöste Spannung bestehen: Der Gerichtshof stellt fest, dass die gesetzliche Pflicht des Gerichts, über die Zulässigkeit von Beweismitteln zu entscheiden, allein den dreistufigen Verhältnismässigkeitstest (Eignung, Erforderlichkeit, Angemessenheit im engeren Sinne) „erfüllt", auch wenn die Daten von einer Privatpartei rechtswidrig erlangt wurden. Diese Begründung gleitet jedoch subtil von einer abstrakten, vom Gesetzgeber bei der Schaffung der Rechtsgrundlage selbst geprüften Verhältnismässigkeit (die allgemeine Pflicht, über Beweismittel zu entscheiden) zu einer Verhältnismässigkeit der Anwendung im Einzelfall (die Verwendung solcher rechtswidrig erlangter Beweismittel) ab. Durch diese Gleichsetzung entzieht der Gerichtshof der konkreten Prüfung, die das vorlegende Gericht gerade bestätigt haben wollte, ihre praktische Bedeutung — die situationsgerechte Beurteilung der Schwere der ursprünglichen Rechtswidrigkeit, der Absicht der fehlbaren Partei, des verdeckten oder offenen Charakters der Erhebung usw.

Tatsächlich bat das deutsche Gericht um feingranulare Abwägungskriterien (Schwere des Eingriffs, weniger eingreifende Beweisalternative, Vorhandensein anderer Sanktionen wie Art. 82-83 DSGVO). Der Gerichtshof weicht dieser Anforderung weitgehend aus, indem er diese Abwägung implizit an das nationale Verfahrensrecht verweist, obwohl Punkt 1 des Tenors des Urteils gerade eine „klare, präzise und vorhersehbare" nationale Rechtsprechung zu diesem Thema verlangt. Das Ergebnis ist ein kommunizierender Röhren-Effekt, bei dem das, was die DSGVO nicht verlangt, durch nationales Recht (in diesem Fall deutsche Rechtsprechung) ausgefüllt werden muss — das zwar an Art. 47 der Charta gemessen wird, das Urteil aber keinen Anhaltspunkt für den erwarteten Inhalt dieser Rechtsprechung in Bezug auf rechtswidrige Beweismittel bietet und damit den Kernpunkt der gestellten Frage umgeht.

Indem der Gerichtshof feststellt, dass das Fehlen eines übergeordneten berechtigten Interesses der beweisführenden Partei die gerichtliche Verwendung der Daten nicht verhindert, verlagert er den wesentlichen Schutz auf nachgelagerte Massnahmen (Beschränkung der Offenlegung, Anonymisierung) statt auf vorgelagerte (Zulässigkeit des Beweismittels selbst). Konkret bedeutet dies, dass ein Arbeitgeber — oder jede andere Partei —, der Mittel hat, unrechtmässig auf private Konten anderer zuzugreifen, aus DSGVO-Sicht kaum etwas zu verlieren hat; die verbleibenden Sanktionen (Verwaltungsbussen nach Art. 83, Schadensersatz nach Art. 82) werden in ein gesondertes Verfahren verwiesen, ohne automatische Verknüpfung mit dem Ausgang des Prozesses, in dem das Beweismittel verwendet wird. Die Anreizwirkung einer solchen Lösung ist berechtigt zu hinterfragen: Sie riskiert, die Abschreckungsfunktion der DSGVO im Bereich der privaten Beweiserhebung zu schwächen, insbesondere im Kontext von Arbeitsverhältnissen mit starkem Machtgefälle.

Die Auffassung, dass Art. 17 Abs. 3 lit. e DSGVO lediglich eine Ausnahme vom Recht auf Löschung und keine autonome Rechtmässigkeitsbedingung ist, ist technisch präzise und mit dem abschliessenden Charakter der Liste in Art. 6 Abs. 1 kohärent. Sie vermeidet eine konzeptionelle Verwechslung zwischen der Rechtmässigkeit der Verarbeitung und dem Fehlen einer Löschungspflicht — zwei unterschiedliche Regelungsregimes. Diese Klarstellung hat eine über arbeitsrechtliche Streitigkeiten hinausgehende praktische Tragweite: Sie gilt für jeden Zivil- oder Handelsstreit, in dem eine Partei diesen Artikel als autonome Grundlage geltend machen würde.

Der Verweis der Drittparteienfrage an die Verfahrensautonomie ist vorsichtig, aber unbefriedigend. Indem der Gerichtshof es ablehnt, den Mitgliedstaaten vorzuschreiben, es einer Partei zu ermöglichen, eine gegenüber einem Dritten begangene DSGVO-Verletzung geltend zu machen, hinterlässt er eine Lücke: Im Ausgangsverfahren waren die Daten von eBay-Käufern (Dritte) potenziell betroffen, und der Schutz ihrer Rechte hängt nun vollständig vom Zufall der nationalen Verfahrensregeln ab, ohne ein Mindestmass an Harmonisierung auf Unionsebene — obwohl es gerade das Ziel der DSGVO ist, in allen Mitgliedstaaten ein gleichwertiges Schutzniveau zu gewährleisten.

IV. Schlussfolgerung

Dieses Urteil bestätigt und verfeinert die Rechtsprechung Norra Stockholm Bygg, indem es einen Grundsatz des funktionalen Vorrangs des Rechts auf ein faires Verfahren gegenüber den Verfahrensanforderungen der DSGVO beim gerichtlichen Einsatz von Beweismitteln mit Personendaten — auch bei rechtswidriger ursprünglicher Erhebung — verankert. Die Lösung ist pragmatisch und verhindert, dass die DSGVO zu einer allgemeinen Beweisausschlussregel wird. Dies geschieht jedoch auf Kosten einer Schwächung der konkreten Verhältnismässigkeitsprüfung, die das vorlegende Gericht gefordert hatte, und verschiebt die Schutzlast auf nachgelagerte Mechanismen (Minimierung bei der Offenlegung, getrennte Sanktionen), deren Wirksamkeit in der Praxis weitgehend vom Verfahrensrecht — und der Rechtsprechung — jedes Mitgliedstaats abhängt.

V. Vergleich mit dem Schweizer Recht

Es ist festzuhalten, dass das DSG, anders als die DSGVO, grundsätzlich nicht unmittelbar auf die Tätigkeit der Gerichte in Ausübung ihrer Rechtsprechungsfunktion anwendbar ist. Art. 2 Abs. 3 DSG sieht ausdrücklich vor, dass in Gerichtsverfahren die Bearbeitung von Daten und die Rechte der betroffenen Personen dem anwendbaren Verfahrensrecht (ZPO oder StPO) und nicht dem DSG unterstehen. Die schweizerische Rechtsprechung und Rechtslehre neigen dazu, Datenschutzrecht und Zivilbeweisrecht getrennt zu behandeln. Die Frage, die den EuGH beschäftigt hat — ob die DSGVO selbst Grenzen für die gerichtliche Bearbeitung von Beweismitteln setzt —, stellt sich in der Schweiz kaum, gerade weil Art. 152 der schweizerischen Zivilprozessordnung (ZPO) diese Rolle bereits autonom wahrnimmt, unabhängig vom Datenschutzrecht.

Das Schweizer Recht bietet einen interessanten Vergleichspunkt, denn es enthält — anders als das deutsche Recht in dieser Sache — explizite gesetzliche Bestimmungen, die kodifizieren, was der EuGH durch Auslegung konstruieren musste. Art. 152 ZPO lautet:

„1. Jede Partei hat das Recht, dass das Gericht die von ihr form- und fristgerecht angebotenen tauglichen Beweismittel abnimmt.

2. Rechtswidrig beschaffte Beweismittel werden nur berücksichtigt, wenn das Interesse an der Wahrheitsfindung überwiegt."

Das Bundesgericht hat die Kriterien dieser Interessenabwägung durch eine umfangreiche Rechtsprechung präzisiert (BGE 140 III 6; 4A_463/2021 usw.). Die massgeblichen Kriterien umfassen typischerweise:

Das Ergebnis dieser Abwägung ist daher in der Praxis offener diskretion är als die vom EuGH gewählte Lösung, der die individuelle Verhältnismässigkeitsprüfung erheblich geschwächt hat, indem er feststellte, dass die allgemeine Pflicht des Gerichts, über die Zulässigkeit von Beweismitteln zu entscheiden, für sich allein ausreicht.

In einer Konstellation wie dem NTH-Fall — ein Arbeitgeber, der auf das private eBay-Konto einer (Ex-)Mitarbeiterin über ein auf betrügerische Weise erlangtes Passwort zugreift — würde das Schweizer Recht insbesondere berücksichtigen:

Was beim Vergleich der beiden Systeme auffällt, ist der bemerkenswerte strukturelle Unterschied zur vom EuGH vorgeschlagenen Lösung.

Der EuGH gelangt faktisch zu einer Quasi-Vermutung der Zulässigkeit — das Beweismittel bleibt ausser in Ausnahmefällen verwendbar, wobei der Schwerpunkt auf der Beschränkung der nachträglichen Offenlegung liegt und nicht auf dem Ausschluss des Beweismittels selbst.

Das Schweizer Recht geht von der umgekehrten Annahme aus: Art. 152 Abs. 2 ZPO stellt den Grundsatz auf, dass rechtswidrig beschaffte Beweismittel nicht berücksichtigt werden, es sei denn, das Interesse an der Wahrheitsfindung überwiegt. Der Schweizer Richter nimmt somit eine Interessenabwägung in concreto vor:

Diese Logik steht im Gegensatz zu jener des EuGH, dessen Begründung eher dazu neigt, die Verwendung von Beweismitteln zur allgemeinen Regel und deren Ausschluss zur Ausnahme zu machen.

Dieser Unterschied in der Systematik führt nicht notwendigerweise zu gegensätzlichen Ergebnissen in der Praxis. Ein Schweizer Gericht könnte in einem NTH vergleichbaren Fall die Beweismittel ohne Weiteres zulassen, wenn es das Interesse an der Wahrheitsfindung für überwiegend hält, sofern der Betrug erheblich und das Beweismittel schwer substituierbar ist. Der normative Ausgangspunkt ist jedoch umgekehrt, was die Beweislast verschiebt und die Begründungspflicht für die Partei, die das rechtswidrig erlangte Beweismittel produzieren will, erhöht.