juris PraxisReporte

Leitsätze

Das erkennende Gericht stellt dem Gerichtshof der Europäischen Union im Wege des Vorabentscheidungsverfahrens im Wesentlichen folgende Fragen (verkürzte Fassung):
1. Genügen die Regelungen des nationalen (Prozess-)Rechts im Falle einer unter Art. 6 Abs. 1 Buchst. e, Abs. 3 DSGVO fallenden eigenständigen justiziellen Verarbeitungstätigkeit dem aus den Art. 8 Abs. 2, Art. 52 Abs. 1 GrCh und aus Art. 5 Abs. 1 Buchst. c DSGVO folgenden Bestimmtheitsgebot, sofern die justizielle Verarbeitungstätigkeit für eine Partei oder einen Dritten mit Grundrechtseingriffen verbunden ist?
2. Kann sich ein nationales Gericht bei der Verarbeitung von - insbesondere personenbezogenen - Daten darauf berufen, diese Verarbeitung sei ihm nach Art. 17 Abs. 3 Buchst. e DSGVO gestattet, oder stellen die Art. 6 und 9 DSGVO die ausschließliche Grundlage für eine justizielle Verarbeitungstätigkeit dar?
3. a) Ist aus den datenschutzrechtlichen Grundsätzen der Erforderlichkeit und der Datenminimierung nach Art. 52 Abs. 1 Satz 2 GrCh, Art. 5 Abs. 1 Buchst. a DSGVO im Hinblick insbesondere auf die Verarbeitung ursprünglich unrechtmäßig erhobener oder gespeicherter Daten die Notwendigkeit einer umfassenden Verhältnismäßigkeitsprüfung und Abwägung durch die Gerichte herzuleiten?
b) Welche Auswirkungen hat Art. 5 Abs. 1 Buchst. e DSGVO, welcher regelt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie dies ihr Zweck erfordert, auf die nachfolgende justizielle Datenverarbeitungstätigkeit?
c) Folgt aus dem Unionsrecht, insbesondere aus Art. 8 GrCh, Art. 6 Abs. 1 Buchst. c bzw. e, Abs. 3, Art. 9 DSGVO, dass das nationale Gericht Beweismittel, die unter Verletzung von Persönlichkeitsrechten beschafft wurden, nur dann verwerten kann, wenn ein anerkennenswertes Interesse der beweisbelasteten Partei vorliegt, das über das schlichte Beweisinteresse hinausgeht?
d) Folgt aus Art. 47 Abs. 2 GRCh, dass die gerichtliche Verarbeitung von rechtswidrig durch den Arbeitgeber erhobenen personenbezogenen Daten des klagenden Arbeitnehmers sich nur dann als unangemessen und unverhältnismäßig im engeren Sinn darstellen kann, wenn sich die Datenerhebung nach Unionsrecht als schwerwiegende Verletzung von Art. 7 und Art. 8 GrCh erwiese und andere mögliche Sanktionen für den Arbeitgeber (z.B. Schadenersatz nach Art. 82 DSGVO und Verhängung von Geldbußen nach Art. 83 DSGVO) gänzlich unzureichend wären?
e) Hat das Gericht bei der Entscheidung, ob es die ursprünglich von einer Partei oder einem Dritten erhobenen Daten im Rahmen seiner justiziellen Datenverarbeitungstätigkeit verwertet, zu berücksichtigen, ob der Datenerhebende seinen Informationspflichten nach Art. 13 DSGVO nachgekommen ist, falls ja, unter welchen Voraussetzungen und nach welchen Maßstäben?
f) Schließt der Umstand, dass das Gericht bei der Verarbeitung personenbezogener Daten an die DSGVO und die Charta der Grundrechte der EU gebunden ist, auch die personenbezogenen Daten Dritter ein?

A.

Problemstellung

Die Entscheidung betrifft die bisher wenig erörterte Frage, wie sich die Bindung der Gerichte an die DSGVO im Einzelnen auswirkt. Im Mittelpunkt steht dabei das Problem, wie Informationen zu behandeln sind, die auf rechtswidrige Weise erlangt wurden, aber gleichwohl in ein gerichtliches Verfahren eingeführt werden.

Da in der Handhabung des Datenschutzrechts im gerichtlichen Verfahren vieles noch ungeklärt ist, schaltete das LArbG Hannover den EuGH ein. Es stellte ihm zunächst die „Vorfrage“, ob Art. 6 Abs. 3 Satz 2 DSGVO eine ausreichende Rechtsgrundlage für die gerichtliche Datenverarbeitung ist. Sollte dies nicht der Fall sein, ergibt sich das Problem, ob die dann eingreifenden Bestimmungen des Art. 92 GG, des § 3 BDSG und der §§ 138, 286, 355 ff. ZPO dem Bestimmtheitsgebot entsprechen, das sich aus den Art. 8 Abs. 2 und 52 Abs. 1 der EU-Grundrechtecharta sowie aus Art. 5 Abs. 1 Buchst. c DSGVO ergibt. Nur wenn man sie bejaht, stellen sich die weiteren Fragen.

Bei ihnen geht es zunächst darum, ob neben den Art. 6 und 9 DSGVO auch Art. 17 Abs. 3 Buchst. e DSGVO eine Rechtsgrundlage für die gerichtliche Datenverarbeitung sein kann. Nach dieser Bestimmung gilt die Löschungspflicht des Art. 17 Abs. 1 und 2 DSGVO, die sich u.a. auch auf unrechtmäßig erlangte Daten bezieht, für den Fall nicht, dass die Nutzung der Daten „zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen“ erforderlich ist. Darauf hatte sich vor nicht allzu langer Zeit das BAG (Urt. v. 29.06.2023 - 2 AZR 296/22 - NZA 2023, 1105) berufen und die Verwertung rechtswidrig gewonnener Informationen bejaht.

Unabhängig davon, nach welchen datenschutzrechtlichen Normen das Gericht vorgehen muss, stellen sich weitere Fragen: Muss in den Fällen eines rechtswidrigen Datenerwerbs eine umfassende Verhältnismäßigkeitsprüfung stattfinden? Welche Bedeutung hat es, dass die Speicherung nicht länger dauern darf als es ihr Zweck erfordert? Hängt die Verwertung rechtswidrig erlangter Beweismittel davon ab, dass die beweisbelastete Partei ein anerkennenswertes Interesse daran hat, das über das bloße Beweisinteresse hinausgeht? Oder muss die Verwertung nur unterbleiben, wenn ein schwerer Verstoß gegen Art. 7 oder 8 GrCh vorliegt?

Schließlich wird noch gefragt, welche Bedeutung ein Verstoß gegen die Informationspflicht des Art. 13 DSGVO hat und ob sich eine Partei auch darauf berufen kann, dass Daten Dritter unter Verstoß gegen geltendes Recht in das Verfahren eingebracht wurden.

B.

Inhalt und Gegenstand der Entscheidung

Die Klägerin ist eine GmbH, die einen Betrieb für Heizungs- und Klimatechnik betreibt. Sie machte Schadensersatzansprüche gegen die beklagte Arbeitnehmerin geltend, weil diese zahlreiche betriebliche Gegenstände über eBay verkauft habe, ohne dazu berechtigt zu sein. Insgesamt sei es im Zeitraum von 2017 bis 2022 zu 195 Verkäufen gekommen, wodurch ein Schaden von 46.567,91 Euro entstanden sei.

Die Besonderheit des Falles bestand nun darin, dass die Beklagte die Ehefrau des Geschäftsführers war. Ihr langjähriges Arbeitsverhältnis mit der GmbH war am 31.10.2019 zu Ende gegangen. Danach hatte sie weiter die Möglichkeit, den Betrieb zu betreten und die dortigen Computer zu benutzen. Am 26.06.2022 trennten sich die Eheleute. Unmittelbar danach ermittelte die Klägerin, ob und welche Geschäfte die Beklagte über eBay abgewickelt habe. Für sie handelte dabei im Wesentlichen ihr Mitarbeiter F., zugleich Sohn des Geschäftsführers und der Beklagten. Ihre Kenntnis von den Verkaufsvorgängen erlangte die Klägerin durch einen „EDV-gestützten Zugriff“ auf das private eBay-Konto der Beklagten. Wie sie an das Passwort gekommen war, blieb streitig.

Die Beklagte berief sich auf die Unzulässigkeit eines solchen Vorgehens. Außerdem machte sie geltend, es habe sich vorwiegend um „Rückläufer“ gehandelt, die nicht mehr hätten verwendet werden können. Die Gegenstände seien ihr überlassen worden; mit dem Erlös habe sie die Familienkasse aufgebessert.

Das Gericht ging davon aus, dass die Klägerin möglicherweise auf unrechtmäßige Weise Kenntnis von den über eBay abgewickelten Verkäufen erhalten habe. Diese Tatsachen zu verwerten, sei eine Form der Datenverarbeitung durch das Gericht, deren Zulässigkeit sich nach der DSGVO bestimme. Durch die bisherige Rechtsprechung des EuGH sei noch nicht hinreichend geklärt, wie hier zu verfahren sei. Das Gericht formulierte daher die in den Leitsätzen wiedergegebenen Fragen an den EuGH. Dabei wurde die Frage 2 noch weiter aufgeschlüsselt; insoweit wurde gefragt:

„Falls Art. 17 Abs. 3 Buchst. e DSGVO grundsätzlich eine rechtliche Basis für justizielle Verarbeitungstätigkeit zu bilden vermag:

aa) Gilt dies auch für die Fälle, in denen die ursprüngliche Erhebung dieser Daten durch eine Prozesspartei oder einen Dritten nicht in rechtmäßiger Weise erfolgte?

bb) Führt die Verarbeitung ursprünglich unrechtmäßig erhobener Daten nach dem allgemein geltenden Grundsatz von Treu und Glauben (Art. 5 Abs. 1 Buchst. a DSGVO) sekundärrechtlich zu einer Einschränkung der justiziellen Verarbeitung in dem Sinne, dass Art. 17 Abs. 3 Buchst. e DSGVO nur unter bestimmten Voraussetzungen oder in bestimmten Grenzen anwendbar ist?

cc) Ist die Regelung des Art. 17 Abs. 3 Buchst. e DSGVO derart zu verstehen, dass ein Verbot der gerichtlichen Verwertung von ursprünglich unrechtmäßig erlangten Daten immer dann ausscheidet – die Verwertung dieser Daten durch das Gericht also immer dann zu erfolgen hat –, wenn die ursprüngliche Datenerhebung nicht verdeckt erfolgte und zum Nachweis einer vorsätzlich begangenen Pflichtverletzung eingesetzt worden ist?“

Auch Frage 3b wurde über den hier wiedergegebenen Leitsatz hinaus ergänzt:

„Welche Auswirkungen hat Art. 5 Abs. 1 Buchst. e DSGVO, welcher regelt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie dies ihr Zweck erfordert, auf die nachfolgende justizielle Datenverarbeitungstätigkeit insbesondere für die Fälle, dass

- die ursprüngliche Datenerhebung anderen Zwecken diente, oder

- die ursprüngliche unrechtmäßige Datenerhebung lange zurückliegt, oder

- eine unrechtmäßige Speicherung über längere Zeiträume aufrechterhalten wurde, oder

- die unrechtmäßige Datenerhebung Daten betrifft, die vor langer Zeit – ggf. unrechtmäßig – gespeichert wurden, oder

- die datenverarbeitende oder -erhebende Stelle oder Person sich einseitig oder individualvertraglich oder kollektivrechtlich zu deren Löschung binnen eines bestimmten Zeitraumes verpflichtet, die Löschung jedoch nicht vorgenommen hat?“

Das Gericht bejahte die Erforderlichkeit seiner Vorlagefragen, weil die Kenntnis der Klägerin von den Verkäufen über eBay möglicherweise auf unrechtmäßige Art und Weise erworben worden sei. Es gehe von seiner Bindung an die DSGVO aus, so dass die Berücksichtigung der Verkäufe eine Datenverarbeitung im Sinne der DSGVO sei. Die sich hier stellenden Fragen seien durch die Rechtsprechung des EuGH noch nicht ausreichend geklärt.

Im Folgenden werden die Vorlagefragen im Einzelnen erläutert. Bei der ersten Frage verweist das LArbG Hannover zunächst auf zwei neuere Entscheidungen des EuGH, die eine Bindung der Gerichte an die DSGVO bejaht haben. Dabei ergibt sich die Frage, ob Art. 6 Abs. 3 Satz 2 DSGVO bereits für sich eine ausreichende Rechtsgrundlage darstellt oder ob hierfür eine Norm notwendig ist, die höheren Bestimmtheitserfordernissen entspricht. Würde man letzteres annehmen, würde sich das Problem stellen, ob „Art. 92 GG, § 3 BDSG und §§ 138, 286, 355 ff. ZPO“ diesen Anforderungen genügen.

Was die zweite Vorlagefrage betrifft, so verweist das Gericht auf die BAG-Entscheidung vom 29.06.2023 (2 AZR 297/22), die aus Art. 17 Abs. 3 Buchst. e DSGVO abgeleitet hat, dass auch rechtswidrig erlangte Tatsachen verarbeitet werden könnten. Im Gegensatz zum BAG, das hier einen „acte clair“ angenommen und deshalb auf eine Vorlage an den EuGH verzichtet hatte, sieht das Landesarbeitsgericht beträchtliche Zweifel und bittet deshalb um Klärung durch den EuGH. Nach seiner Auffassung gehe es hier nur um eine Regelung des Löschungsanspruchs. Außerdem handle das Gericht nicht zu Zwecken der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen wie dies Art. 17 Abs. 3 Buchst. e DSGVO voraussetze, sondern zur Erfüllung seiner eigenen gesetzlichen Aufgaben, wie dies auch in der Literatur (Halder/Ittner, DB 2023, 2629, 2630) betont werde. Sollte der EuGH diese Auffassung nicht teilen, würde sich eine Reihe von Folgefragen ergeben, die für diesen Fall zu beantworten wären.

Die dritte Vorlagefrage dreht sich um das eigentliche Sachproblem des Falles, wie mit unrechtmäßig erlangten Daten zu verfahren ist. Ob diese nicht überhaupt von jeder Verwertung ausgeschlossen sind, wird als mögliche Lösung nicht ausdrücklich erwähnt. Vielmehr will das LArbG Hannover zunächst wissen, ob in einem solchen Fall eine umfassende Verhältnismäßigkeitsprüfung und Abwägung erfolgen müsse. Dabei wird insbesondere danach gefragt, welche Kriterien mit welcher Gewichtung in eine solche Abwägung einzustellen seien und ob diese in bestimmten Fällen entbehrlich sei, wo dann – so muss man die Passage verstehen – ein generelles Verwertungsverbot bestehe. Auch solle geklärt werden, ob es einen Unterschied macht, dass die rechtswidrig erlangten Informationen unstreitig sind oder dass sie auch inhaltlich in Frage gestellt werden. Weiter spielte im vorliegenden Zusammenhang der Zeitablauf eine Rolle. Da Daten nach Art. 5 Abs. 1 Buchst. e DSGVO nur so lange gespeichert werden dürfen, wie dies ihr Zweck erfordert, stellt sich das Problem, ob auch nach langer Zeit – und dies noch zu anderen als den ursprünglichen Zwecken – vom Gericht auf die Daten zurückgegriffen werden darf. Weiter verweist das LArbG Hannover auf die Rechtsprechung des BVerfG (Beschl. v. 09.10.2002 - 1 BvR 1611/96 - BVerfGE 108, 28 Rn. 60), wonach Daten, die durch Eingriff in das allgemeine Persönlichkeitsrecht des Betroffenen erlangt wurden, nur dann in ein gerichtliches Verfahren eingebracht werden dürfen, wenn über das Beweisinteresse hinausgehende Belange wie etwa eine Notwehrsituation für eine solche Einbeziehung sprechen. Das Gericht will wissen, ob es im Unionsrecht einen entsprechenden Rechtssatz gebe.

Weiter wird die Frage gestellt, ob das in Art. 47 Abs. 2 GRCh garantierte Recht auf einen effektiven Rechtsschutz dazu führe, dass die rechtswidrig erlangten Informationen nur dann nicht verwertet werden könnten, wenn eine schwerwiegende Verletzung der Privatsphäre nach Art. 7 GRCh oder des Grundrechts auf Datenschutz nach Art. 8 GrCh vorliege oder ob weniger gravierende Verstöße zu einem Verwertungsverbot führen können.

Werden Daten bei der betroffenen Person erhoben, so bestehen nach Art. 13 DSGVO umfangreiche Informationspflichten gegenüber dem Betroffenen. Das LArbG Hannover möchte wissen, ob und ggf. nach welchen Maßstäben ein Verstoß gegen Art. 13 DSGVO Einfluss auf die gerichtliche Verwertungsmöglichkeit hat.

Schließlich sind durch die Einbeziehung der Verkaufsdaten in die gerichtliche Entscheidung auch die Daten Dritter, d.h. der eBay-Käufer betroffen. In seiner Entscheidung vom 02.03.2023 (C-268/21 Rn. 55) hatte der EuGH ausgeführt, das nationale Gericht habe zu prüfen, ob es Beweismittel gebe, die eine geringere Zahl von Betroffenen einbeziehen würden. Das LArbG Hannover will nun wissen, ob dies im Hinblick auf den vorliegenden Fall weiter zu spezifizieren sei.

C.

Kontext der Entscheidung

Der Vorlagebeschluss des LArbG Hannover setzt umfangreiche Kenntnisse im Datenschutzrecht voraus, um den Sinn der Fragen und ihren Stellenwert adäquat erfassen zu können. Zugleich wird deutlich, dass die DSGVO immer mehr „Durchschlagskraft“ bekommt und nunmehr auch im gerichtlichen Verfahren „angekommen“ ist – was bisher kaum als Problem wahrgenommen wurde. Angesichts dieser Umstände wäre es im Übrigen – die Nebenbemerkung sei erlaubt – durchaus angemessen, das Datenschutzrecht ganz generell in den Fächerkanon der juristischen Staatsprüfungen aufzunehmen.

Das LArbG Hannover hat ungewöhnlich viele Fragen an den EuGH gestellt. Dies verwundert nur auf den ersten Blick. In der Sache ist es völlig berechtigt, da es sich um eine Materie handelt, die noch nicht ausreichend „durchstrukturiert“ ist. Zahlreiche wichtige Problemkomplexe sind noch offen. Es ist in hohem Maße wünschenswert, hier relativ schnell durch die Rechtsprechung des EuGH Klarheit zu gewinnen. Die Alternative wären zahlreiche Vorlagen zu Einzelfragen, deren Beantwortung sich erst im Laufe vieler Jahre zu einem einigermaßen schlüssigen und handhabbaren System zusammenfügen ließen. Der hier eingeschlagene Weg dient daher der Rechtssicherheit.

An der Zulässigkeit der Vorlagen besteht kein Zweifel. Ginge es um eine Anrufung des BVerfG im Wege einer konkreten Normenkontrolle nach Art. 100 GG, wäre die Situation eine andere. Hier würde vom Instanzgericht verlangt, dass es zunächst alle Erkenntnismöglichkeiten ausschöpft, um auch ohne die Verfassungsfrage zu einem eindeutigen Resultat zu gelangen. Im vorliegenden Fall würde dies bedeuten, dass zuerst geklärt werden müsste, ob nicht das Vorbringen der Beklagten zutrifft, wonach sie im Interesse des Betriebes und der Familie handelte und ausschließlich solche Gegenstände verkaufte, die auf normalem Wege nicht mehr absetzbar waren. Wäre dies der Fall, käme es auf den unzulässigen Zugriff auf ihr eBay-Konto gar nicht mehr an. Auch müsste man zunächst klären, ob sie nicht doch ihr Passwort im betrieblichen Bereich gespeichert und dabei seinen privaten Charakter aufgehoben hatte; auch dann hätte es keine zu klärenden Grundsatzprobleme mehr gegeben. Bei der Vorlage an den EuGH gelten jedoch andere Grundsätze: Der EuGH weist eine Vorlage nur zurück, wenn sie in keinem Zusammenhang mit dem Gegenstand des Ausgangsrechtsstreits steht, wenn sie beispielsweise rein hypothetischer Natur ist (EuGH, Urt. v. 27.10.1993 - C-127/92 Rn. 10 „Enderby“; seither st. Rspr., Nachweise bei Höpfner in: EuArbRK, 5. Aufl., Art. 267 AEUV Rn. 25). Davon kann hier jedoch nicht die Rede sein. Das Abstellen auf den „Fragebedarf“ des nationalen Gerichts führt dazu, dass der Kreis der zu klärenden Probleme relativ weit gefasst werden kann, wovon im vorliegenden Fall Gebrauch gemacht wurde.

Was die Fragen selbst betrifft, so hätte man sich noch die ganz elementare Vorfrage vorstellen können, ob rechtswidrig erlangte Daten nicht von jeder Verwertung vor Gericht ausgeschlossen sind. Dafür könnte der Gedanke der Einheit der Rechtsordnung sprechen, wonach auch nicht ausnahmsweise Vorteile wie die Benutzung als Beweismittel an rechtswidriges Verhalten geknüpft werden dürfen. Soweit eine Notwehrsituation gegeben ist, würde ja kein rechtswidriges Verhalten mehr vorliegen. Der EuGH könnte zu einem solchen Ergebnis nur im Zusammenhang mit der Frage 3a kommen, ob bei unrechtmäßig erhobenen oder gespeicherten Daten eine „umfassende Verhältnismäßigkeitsprüfung“ erfolgen müsse: Sie könnte mit „nein“ beantwortet werden, weil von vornherein eine Verwertung im Verfahren ausscheide.

Durch alle übrigen Fragen wird die Chance eröffnet, Auskunft über sehr viele Aspekte des Datenschutzes im gerichtlichen Verfahren und bei rechtswidriger Datenerhebung zu erhalten. Dies wird insbesondere einige Kontroversen beenden, die sich im Gefolge der BAG-Entscheidung vom 29.06.2023 (2 AZR 296/22) ergeben haben.

D.

Weitere Themenschwerpunkte der Entscheidung

Bei Vorlageentscheidungen liegt es nahe, sich über die zu erwartenden Antworten ein wenig Gedanken zu machen.

Die Anwendung der DSGVO auf gerichtliche Verfahren stellt sich zwar selten, aber nicht zum ersten Mal als Problem. Neben den beiden in dem Vorlagebeschluss genannten Entscheidungen ist auf das EuGH-Urteil vom 04.05.2023 (C-60/22) zu verweisen, in dem es um die Frage ging, ob das Gericht eine Datenübermittlung unter Verletzung bestimmter Pflichten als rechtswidrige Datenverarbeitung behandeln durfte. In keinem dieser Fälle wurde die Frage problematisiert, ob Art. 6 Abs. 3 Satz 2 DSGVO eine ausreichende Rechtsgrundlage für die gerichtliche Datenverarbeitung darstelle oder ob eine präziser formulierte Rechtsgrundlage notwendig sei. So berechtigt die Frage auch sein mag – es ist denkbar unwahrscheinlich, dass der EuGH hier Vorgaben aufstellen wird, die das Verfahren um einiges komplizierter machen würden. Angesichts der Tatsache, dass Datenschutzrecht auch für die Organe der EU gilt, müsste er sonst auch sein eigenes Verfahren gründlich auf den Prüfstand stellen.

Recht eindeutig stellt sich die bisherige EuGH-Rechtsprechung bei der Frage dar, ob Art. 17 Abs. 3 Buchst. e DSGVO eine Rechtsgrundlage für Datenverarbeitung sein könnte. In ständiger Rechtsprechung vertritt der Gerichtshof die Auffassung, die Rechtmäßigkeitsgründe nach Art. 6 Abs. 1 DSGVO hätten abschließenden Charakter (so zuletzt in aller Deutlichkeit EuGH, Urt. v. 04.05.2023 - C-60/22 Rn. 56). Davon abzuweichen, besteht kein Anlass. Wenn das BAG in Art. 17 Abs. 3 Buchst. e DSGVO eine Ermächtigung zu einer bestimmten Datenverarbeitung (nämlich der Berücksichtigung rechtswidrig erworbenen Wissens) sieht und diese Erkenntnis gar noch als „acte clair“ qualifiziert, so hat es damit in Luxemburg sicherlich keine Sympathie gewonnen. Der absehbaren Korrektur wird es bei künftigen Entscheidungen Rechnung tragen müssen.

Ob rechtswidrig erlangte Informationen einem Verwertungsverbot unterliegen, hat – soweit ersichtlich – der EuGH noch nicht entschieden. Einen wichtigen Anhaltspunkt bietet jedoch die Entscheidung vom 07.09.2023 (C-162/22). In ihr ging es darum, ob Vorratsdaten, die aufgrund staatlicher Vorschriften von Betreibern elektronischer Kommunikationsdienste gespeichert und den zuständigen Behörden zur Verfolgung schwerer Kriminalität zur Verfügung gestellt wurden, auch in einem Disziplinarverfahren Verwendung finden können. Dies wurde vom EuGH verneint; insoweit wurde ein generelles Verwertungsverbot angenommen. Der Sache nach lag hier eine nicht durch Gesetz legitimierte Zweckänderung vor. Warum sollte dasselbe nicht auch in anderen Fällen rechtswidriger Datenerhebung gelten? Ist beispielsweise nicht dasselbe anzunehmen, wenn ein Datum wegen Zweckerreichung oder Zweckwegfall hätte gelöscht werden müssen, dies aber nicht geschah und nun eine gerichtliche Verwertung ansteht?

Wurden bei der Datenerhebung lediglich die Informationspflichten nach Art. 13 DSGVO verletzt, so ist der Fall nicht anders zu behandeln, als wenn unter Verstoß gegen Art. 26 DSGVO keine Abmachung über gemeinsame Verantwortlichkeit geschlossen und entgegen Art. 30 DSGVO kein Verzeichnis aller Datenverarbeitungsvorgänge angelegt wurde. Dies lässt nach EuGH (Urt. v. 04.05.2023 - C-60/22 Rn. 55 ff.) die ausschließlich in Art. 6 Abs. 1 DSGVO niedergelegten Rechtmäßigkeitsvoraussetzungen unberührt, so dass die Pflichtverletzungen zwar mit Sanktionen belegt werden konnten, sich an der Rechtmäßigkeit der Datenverarbeitung aber nichts änderte (und deshalb auch kein Verwertungsverbot in Betracht kommen konnte).

Man darf gespannt sein, zu welchen Resultaten die übrigen Fragen führen. Wenn wir die EuGH-Entscheidung in eineinhalb bis zwei Jahren in Händen halten, werden wir im Datenschutz ein Stück weitergekommen sein. Dies haben wir dann nicht zuletzt dem viele Grundsatzprobleme ansprechenden Beschluss des LArbG Hannover zu verdanken.