BECKMANN UND NORDA - Rechtsanwälte Bielefeld

EuGH
Urteil vom 18.06.2026
C-484/24
NTH Haustechnik GmbH

Der EuGH hat entschieden, dass die DSGVO einem nationalen Gericht nicht verwehrt, Beweismittel zu verwenden, die personenbezogene Daten enthalten, die von einer Partei unter Verletzung des Datenschutzrechts erlangt wurden. Das Gericht muss jedoch vor der Offenlegung solcher Daten gegenüber den Parteien oder Dritten prüfen, ob diese auf das notwendige Maß beschränkt sind. Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verlangt dabei keine gesonderte Verhältnismäßigkeitsprüfung bei jeder gerichtlichen Verarbeitung personenbezogener Daten.

Tenor der Entscheidung:
1. Art. 6 Abs. 1 Unterabs. 1 Buchst. c und Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist im Licht von Art. 8 Abs. 2 und Art. 52 der Charta der Grundrechte der Europäischen Union dahin auszulegen, dass er einer nationalen Regelung nicht entgegensteht, die hinsichtlich der im Rahmen der Feststellung des Sachverhalts und der Beweiswürdigung vorgenommenen Verarbeitung personenbezogener Daten durch ein Gericht lediglich vorsieht, dass es den Parteien obliegt, substantiierte und wahrheitsgemäße Tatsachen vorzutragen, und diesem Gericht auferlegt, diese in vollem Umfang zu berücksichtigen, bevor es sie gegebenenfalls würdigt, jedoch keine Angaben zu den Umständen und Voraussetzungen enthält, unter denen die von den Parteien vorgebrachten Tatsachen und vorgelegten Beweismittel, die personenbezogene Daten enthalten, von dem Gericht verwendet werden dürfen, sofern es eine klare, präzise und vorhersehbare nationale Rechtsprechung gibt, die selbst festlegt, unter welchen Umständen und Voraussetzungen die von den Parteien vorgebrachten Tatsachen und vorgelegten Beweismittel, die personenbezogene Daten enthalten, von einem Gericht verwendet werden dürfen, diese Rechtsprechung ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu diesem steht.

2. Art. 17 Abs. 3 Buchst. e der Verordnung 2016/679 ist dahin auszulegen, dass er keine alternative Rechtmäßigkeitsbedingung aufstellt, die bei einer Verarbeitung erfüllt werden kann, damit diese mit Art. 5 Abs. 1 Buchst. a dieser Verordnung in Einklang steht, und sich von einer der in Art. 6 Abs. 1 Unterabs. 1 derselben Verordnung aufgeführten Bedingungen unterscheidet.

3. Art. 5 Abs. 1 Buchst. c der Verordnung 2016/679 ist in Verbindung mit Art. 52 Abs. 1 Satz 2 der Charta der Grundrechte dahin auszulegen, dass der Grundsatz der „Datenminimierung“ nicht verlangt, dass ein Gericht bei jeder von ihm durchgeführten Verarbeitung personenbezogener Daten die Einhaltung des Grundsatzes der Verhältnismäßigkeit dadurch gewährleistet, dass es sich vergewissert, dass die dabei verarbeiteten Daten zur Erreichung des mit dieser Verarbeitung verfolgten Ziels geeignet sowie dafür unbedingt erforderlich sind, und dass die Schwere des Eingriffs in die Grundrechte, den die Berücksichtigung solcher Daten zur Durchführung dieser Verarbeitung mit sich bringt, in einem angemessenen Verhältnis zu dem Interesse steht, das das Gericht an der Verwendung der Daten zur Durchführung der in Rede stehenden Verarbeitung hat, sofern die in Art. 5 Abs. 1 Buchst. c der Verordnung 2016/679 vorgesehenen Voraussetzungen erfüllt sind.

4. Art. 7 und 8 der Charta der Grundrechte, Art. 5 Abs. 1 der Verordnung 2016/679, Art. 6 Abs. 1 Unterabs. 1 Buchst. c dieser Verordnung in Verbindung mit Art. 6 Abs. 3 derselben Verordnung sowie der Grundsatz der „Datenminimierung“ sind dahin auszulegen, dass sie es einem nationalen Gericht nicht verwehren, Beweismittel zu verwenden, die personenbezogene Daten enthalten, die von der Partei, die sie ihm übermittelt hat, unter Verletzung des Rechts auf Schutz des Privatlebens und des Rechts auf Schutz personenbezogener Daten erlangt wurden, wenn diese Partei kein berechtigtes Interesse an einer solchen Verarbeitung hat, das über das bloße Nachweisen der vorgebrachten Tatsachen hinausgeht. Dagegen muss das Gericht, bevor es diese Daten gegenüber den Parteien oder Dritten offenlegt, prüfen, ob sie auf das für die Zwecke einer solchen Offenlegung notwendige Maß beschränkt sind, und gegebenenfalls bestimmte Maßnahmen ergreifen, um die Beeinträchtigung des Rechts auf Schutz personenbezogener Daten, zu der eine solche Offenlegung führen kann, so gering wie möglich zu halten.

5. Art. 13 Abs. 1 und 2 der Verordnung 2016/679 ist dahin auszulegen, dass er es einem nationalen Gericht nicht verwehrt, im Rahmen der Ausübung seiner justiziellen Tätigkeit Daten zu verwenden, die von einer Partei oder einem Dritten erhoben wurden, die ihren bzw. der seinen Informationspflichten nach dieser Bestimmung nicht nachgekommen ist.

6. Die Verordnung 2016/679 ist dahin auszulegen, dass ein Gericht im Rahmen der Ausübung seiner justiziellen Tätigkeit verpflichtet ist, für die Einhaltung dieser Verordnung Sorge zu tragen, wenn es personenbezogene Daten von Dritten verarbeitet, die an einem Verfahren nicht beteiligt sind. Das Unionsrecht verlangt nicht, dass sich eine der Parteien dieses Verfahrens darauf berufen kann, dass diese Daten von der anderen Partei unter Verletzung von Rechten Dritter aus dieser Verordnung im Sinne der Verordnung unrechtmäßig erhoben oder gespeichert wurden.

Den Volltext der Entscheidung finden Sie hier:

Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat gegen die Volkswagen AG ein Bußgeld in Höhe von 1,1 Millionen Euro wegen Verstößen gegen die DSGVO im Zusammenhang mit Forschungsfahrten für ein Fahrassistenzsystem verhängt.

Die Pressemitteilung der Datenschutzbehörde:

1,1 Millionen Euro Bußgeld gegen Volkswagen - DATENSCHUTZVERSTÖSSE IM RAHMEN VON FORSCHUNGSFAHRTEN

Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat gegen die Volkswagen Aktiengesellschaft eine Geldbuße nach Art. 83 Datenschutz-Grundverordnung (DS-GVO) in Höhe von 1,1 Millionen Euro festgesetzt. Grund sind Datenschutzverstöße in Zusammenhang mit dem Einsatz eines Dienstleisters bei Forschungsfahrten für ein Fahrassistenzsystem zur Vermeidung von Verkehrsunfällen. Das Unternehmen hat umfassend mit der LfD Niedersachsen kooperiert und den Bußgeldbescheid akzeptiert.

Ein Erprobungsfahrzeug des Unternehmens wurde im Jahr 2019 durch die österreichische Polizei bei Salzburg für eine Verkehrskontrolle angehalten. Den Polizeibediensteten waren am Fahrzeug ungewöhnliche Anbauten aufgefallen, die sich noch vor Ort als Kameras herausstellten. Das Fahrzeug wurde eingesetzt, um die Funktionsfähigkeit eines Fahrassistenzsystems zur Vermeidung von Verkehrsunfällen zu testen und zu trainieren. Unter anderem zur Fehleranalyse wurde das Verkehrsgeschehen um das Fahrzeug herum aufgezeichnet.

Am Fahrzeug fehlten aufgrund eines Versehens Magnetschilder mit einem Kamerasymbol und den weiteren vorgeschriebenen Informationen für die datenschutzrechtlich Betroffenen, in diesem Fall die anderen Verkehrsteilnehmenden. Diese müssen laut Artikel 13 DS-GVO bei einer Datenverarbeitung unter anderem darüber aufgeklärt werden, wer die Verarbeitung zu welchem Zweck durchführt und wie lange die Daten gespeichert werden. Bei der weiteren Prüfung wurde zudem festgestellt, dass Volkswagen keinen Auftragsverarbeitungsvertrag mit dem Unternehmen abgeschlossen hatte, das die Fahrten durchführte. Dieser wäre nach Artikel 28 DS-GVO erforderlich gewesen. Weiterhin war keine Datenschutz-Folgenabschätzung nach Artikel 35 DS-GVO durchgeführt worden, mit der vor Beginn einer solchen Verarbeitung mögliche Risiken und deren Eindämmung bewertet werden müssen. Schließlich fehlte eine Erläuterung der technischen und organisatorischen Schutzmaßnahmen im Verzeichnis der Verarbeitungstätigkeiten, was einen Verstoß gegen die Dokumentationspflichten nach Artikel 30 DS-GVO darstellte.

Diese vier Verstöße mit jeweils niedrigem Schweregrad, von denen keiner weiterhin andauert, sind Gegenstand des Bußgeldbescheides. Volkswagen hat die Mängel, die in keinem Bezug zu Serienfahrzeugen stehen, im Rahmen des vorangegangenen Prüfverfahrens unverzüglich abgestellt.

„Die eigentlichen Forschungsfahrten waren datenschutzrechtlich nicht zu beanstanden“, sagt die Landesdatenschutzbeauftragte Barbara Thiel. „Gegen die dabei anfallende Erhebung und Weiterverarbeitung personenbezogener Daten bestehen von unserer Seite keine Bedenken.“ Berücksichtigt wurde dabei insbesondere, dass die Verarbeitung dazu dient, ein Fahrassistenzsystem zur Verhinderung von Unfällen zu optimieren und so die Sicherheit im Straßenverkehr zu erhöhen.

Aufgrund der grenzüberschreitenden Verarbeitung personenbezogener Daten beteiligte die LfD vor Erlass des Bußgeldbescheides andere betroffene europäische Datenschutzaufsichtsbehörden im Kooperationsverfahren nach Artikel 60 DS-GVO.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit der Freien und Hansestadt Hamburg (HmbBfDI) hat ein Bußgeld in Höhe von 901.388,84 Euro gegen Vattenfall wegen Verstößen gegen die datenschutzrechtlichen Transparenzpflichten aus Art. 12 und Art. 13 DSGVO verhängt.

Die Pressemitteilung des HmbBfDI:

Bußgeld gegen Vattenfall Europe Sales GmbH verhängt

Die Vattenfall Europe Sales GmbH (Vattenfall) hat zwischen August 2018 und Dezember 2019 bei Vertragsanfragen für Sonderverträge, die mit besonderen Bonuszahlungen verbunden waren, routinemäßig überprüft, ob die Kundinnen und Kunden ein „wechselauffälliges Verhalten“ zeigten. Diese Überprüfung sollte verhindern, dass die Kundinnen und Kunden solche Bonus-Verträge nicht so regelmäßig abschließen, dass sich dieses Angebot zur Neukundenwerbung für das Unternehmen nicht mehr rentiert. Um dies zu überprüfen, nutzte Vattenfall Rechnungen aus früheren Vertragsbeziehungen mit diesen Kundinnen und Kunden, die nach steuer- und handelsrechtlichen Vorgaben ohnehin für bis zu zehn Jahre aufbewahrt werden müssen. Für die Kundinnen und Kunden war nicht erkennbar, dass ein solcher Datenabgleich stattfand.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) kam nach einer Prüfung des Vorgangs zu dem Ergebnis, dass Vattenfall durch dieses Vorgehen gegen die datenschutzrechtlichen Transparenzpflichten (Artt. 12, 13 DSGVO) verstieß, da die Kundinnen und Kunden über den Datenabgleich nicht ausreichend informiert wurden. Betroffen waren insgesamt rund 500.000 Personen. Der HmbBfDI hat daraufhin gegen Vattenfall ein Bußgeld von 901.388,84 Euro verhängt. Die festgestellte Rechtswidrigkeit bezieht sich nicht auf den Datenabgleich an sich, sondern ist auf die nicht ausreichend erfüllten Transparenzpflichten beschränkt. Der Bescheid ist rechtskräftig.

Das verhängte Bußgeld berührt nicht die weitergehende Frage, ob ein solcher Abgleich überhaupt zulässig ist. Dies ist in der DSGVO nicht ausdrücklich geregelt, es existieren insoweit keine eindeutigen rechtlichen Vorgaben. Der HmbBfDI hat mit Vattenfall ein Verfahren abgestimmt, das nach seiner Auffassung sowohl die Datenschutzrechte von Kundinnen und Kunden als auch die wirtschaftlichen Belange des Unternehmens berücksichtigt. Sowohl erstmalig an einem Vertragsschluss mit Vattenfall Interessierte als auch Bestandskundinnen und -kunden werden transparent und verständlich über den Datenabgleich und dessen Zweck informiert. Verbraucherinnen und Verbraucher können künftig informiert entscheiden, ob sie einen rabattierten Bonusvertrag abschließen möchten, der die interne Überprüfung ihres Status als Neukunde beinhaltet oder einen nicht rabattierten Vertrag ohne einen solchen Abgleich.

Dazu Ulrich Kühn, der amtierende HmbBfDI: „Wir halten das nun praktizierte Verfahren für einen angemessenen Ausgleich aller betroffenen Interessen. Die in der Vergangenheit erfolgten Abgleiche wurden sanktioniert, weil Transparenzpflichten verletzt wurden, indem die Kundinnen und Kunden unter Missachtung der Vorgaben von Artt. 12, 13 DSGVO über den praktizierten Datenabgleich im Unklaren gelassen wurden. Da dies rund 500.000 Fälle betraf, war die Verhängung eines Bußgelds angezeigt. Vattenfall hat in dem Verfahren umfassend mit dem HmbBfDI kooperiert und den intransparenten Datenabgleich unmittelbar nach dem ersten Tätigwerden des HmbBfDI gestoppt. Deswegen war das Bußgeld deutlich zu reduzieren. Die dennoch verhängte Höhe sollte allen Unternehmen eine Warnung sein, die gesetzlichen Transparenzpflichten nicht zu vernachlässigen. Insbesondere bei einer Vielzahl von Betroffenen sind wie in dem vorliegenden Fall hohe Bußgelder klar angezeigt.“