EuGH stärkt Beweisverwertung bei DSGVO-Verstößen

Gerichtshof der Europäischen Union

Urteil vom 18. Juni 2026

Az.: C-484/24

betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Landesarbeitsgericht Niedersachsen (Deutschland) mit Beschluss vom 8. Mai 2024, beim Gerichtshof eingegangen am 10. Juli 2024, in dem Verfahren

NTH Haustechnik GmbH

gegen

EM

erlässt

DER GERICHTSHOF (Fünfte Kammer)

unter Mitwirkung […],

Generalanwalt: […],

Kanzler: […], Verwaltungsrat,

aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 2. Juli 2025, unter Berücksichtigung der Erklärungen

– der deutschen Regierung, vertreten durch […] als Bevollmächtigte,

– der ungarischen Regierung, vertreten durch […] als Bevollmächtigte,

– der finnischen Regierung, vertreten durch […] als Bevollmächtigte,

– der Europäischen Kommission, vertreten durch […] als Bevollmächtigte, nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 16. Oktober 2025

folgendes

Urteil

Das Vorabentscheidungsersuchen betrifft die Auslegung der Art. 5, 6, 9, 13 und 17 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz- Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).

Es ergeht im Rahmen eines Rechtsstreits zwischen der NTH Haustechnik GmbH (im Folgenden: NTH) und ihrer ehemaligen Angestellten EM über den Ersatz des Schadens, der dieser Gesellschaft wegen unerlaubten Online-Verkaufs ihr gehörender Waren entstanden sein soll.

Rechtlicher Rahmen

Unionsrecht

In den Erwägungsgründen 1, 2, 4, 7, 10, 20, 39 und 41 der DSGVO heißt es: „(1) Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Gemäß Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union (im Folgenden ‚Charta‘) sowie Artikel 16 Absatz 1 [AEUV] hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten sollten gewährleisten, dass ihre Grundrechte und Grundfreiheiten und insbesondere ihr Recht auf Schutz personenbezogener Daten ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gewahrt bleiben. Diese Verordnung soll zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts und einer Wirtschaftsunion, zum wirtschaftlichen und sozialen Fortschritt, zur Stärkung und zum Zusammenwachsen der Volkswirtschaften innerhalb des Binnenmarkts sowie zum Wohlergehen natürlicher Personen beitragen. … (4) Die Verarbeitung personenbezogener Daten sollte im Dienste der Menschheit stehen. Das Recht auf Schutz der personenbezogenen Daten ist kein uneingeschränktes Recht; es muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Diese Verordnung steht im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die mit der Charta anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere Achtung des Privat- und Familienlebens, der Wohnung und der Kommunikation, Schutz personenbezogener Daten, Gedanken-, Gewissens- und Religionsfreiheit, Freiheit der Meinungsäußerung und Informationsfreiheit, unternehmerische Freiheit, Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren und Vielfalt der Kulturen, Religionen und Sprachen. … (7) Diese Entwicklungen erfordern einen soliden, kohärenteren und klar durchsetzbaren Rechtsrahmen im Bereich des Datenschutzes in der [Europäischen] Union, da es von großer Wichtigkeit ist, eine Vertrauensbasis zu schaffen, die die digitale Wirtschaft dringend benötigt, um im Binnenmarkt weiter wachsen zu können. Natürliche Personen sollten die Kontrolle über ihre eigenen Daten besitzen. Natürliche Personen, Wirtschaft und Staat sollten in rechtlicher und praktischer Hinsicht über mehr Sicherheit verfügen. … (10) Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden. Hinsichtlich der Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, sollten die Mitgliedstaaten die Möglichkeit haben, nationale Bestimmungen, mit denen die Anwendung der Vorschriften dieser Verordnung genauer festgelegt wird, beizubehalten oder einzuführen. In Verbindung mit den allgemeinen und horizontalen Rechtsvorschriften über den Datenschutz zur Umsetzung der Richtlinie 95/46/EG [des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31)] gibt es in den Mitgliedstaaten mehrere sektorspezifische Rechtsvorschriften in Bereichen, die spezifischere Bestimmungen erfordern. Diese Verordnung bietet den Mitgliedstaaten zudem einen Spielraum für die Spezifizierung ihrer Vorschriften, auch für die Verarbeitung besonderer Kategorien von personenbezogenen Daten … Diesbezüglich schließt diese Verordnung nicht Rechtsvorschriften der Mitgliedstaaten aus, in denen die Umstände besonderer Verarbeitungssituationen festgelegt werden, einschließlich einer genaueren Bestimmung der Voraussetzungen, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist. … (20) Diese Verordnung gilt zwar unter anderem für die Tätigkeiten der Gerichte und anderer Justizbehörden, doch könnte im Unionsrecht oder im Recht der Mitgliedstaaten festgelegt werden, wie die Verarbeitungsvorgänge und Verarbeitungsverfahren bei der Verarbeitung personenbezogener Daten durch Gerichte und andere Justizbehörden im Einzelnen auszusehen haben. Damit die Unabhängigkeit der Justiz bei der Ausübung ihrer gerichtlichen Aufgaben einschließlich ihrer Beschlussfassung unangetastet bleibt, sollten die Aufsichtsbehörden nicht für die Verarbeitung personenbezogener Daten durch Gerichte im Rahmen ihrer justiziellen Tätigkeit zuständig sein. Mit der Aufsicht über diese Datenverarbeitungsvorgänge sollten besondere Stellen im Justizsystem des Mitgliedstaats betraut werden können, die insbesondere die Einhaltung der Vorschriften dieser Verordnung sicherstellen, Richter und Staatsanwälte besser für ihre Pflichten aus dieser Verordnung sensibilisieren und Beschwerden in Bezug auf derartige Datenverarbeitungsvorgänge bearbeiten sollten. … (39) Jede Verarbeitung personenbezogener Daten sollte rechtmäßig und nach Treu und Glauben erfolgen. Für natürliche Personen sollte Transparenz dahingehend bestehen, dass sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden. Der Grundsatz der Transparenz setzt voraus, dass alle Informationen und Mitteilungen zur Verarbeitung dieser personenbezogenen Daten leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst sind. Dieser Grundsatz betrifft insbesondere die Informationen über die Identität des Verantwortlichen und die Zwecke der Verarbeitung und sonstige Informationen, die eine faire und transparente Verarbeitung im Hinblick auf die betroffenen natürlichen Personen gewährleisten, sowie deren Recht, eine Bestätigung und Auskunft darüber zu erhalten, welche sie betreffende personenbezogene Daten verarbeitet werden. Natürliche Personen sollten über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten informiert und darüber aufgeklärt werden, wie sie ihre diesbezüglichen Rechte geltend machen können. Insbesondere sollten die bestimmten Zwecke, zu denen die personenbezogenen Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen. Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein. Dies erfordert insbesondere, dass die Speicherfrist für personenbezogene Daten auf das unbedingt erforderliche Mindestmaß beschränkt bleibt. Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. … … (41) Wenn in dieser Verordnung auf eine Rechtsgrundlage oder eine Gesetzgebungsmaßnahme Bezug genommen wird, erfordert dies nicht notwendigerweise einen von einem Parlament angenommenen Gesetzgebungsakt; davon unberührt bleiben Anforderungen gemäß der Verfassungsordnung des betreffenden Mitgliedstaats. Die entsprechende Rechtsgrundlage oder Gesetzgebungsmaßnahme sollte jedoch klar und präzise sein und ihre Anwendung sollte für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs der Europäischen Union … und des Europäischen Gerichtshofs für Menschenrechte vorhersehbar sein.“

Art. 1 („Gegenstand und Ziele“) DSGVO bestimmt: „(1) Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten. (2) Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten. (3) Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.“

Art. 2 („Sachlicher Anwendungsbereich“) Abs. 1 und 2 DSGVO sieht vor: „(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. (2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen, c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.“

In Art. 4 („Begriffsbestimmungen“) DSGVO heißt es: „Im Sinne dieser Verordnung bezeichnet der Ausdruck: …

2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; …

6. ‚Dateisystem‘ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird; …“

Kapitel II („Grundsätze“) enthält die Art. 5 bis 11 DSGVO.

Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) Abs. 1 DSGVO sieht vor: „(1) Personenbezogene Daten müssen a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘); b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken (‚Zweckbindung‘); c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘); … e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden (‚Speicherbegrenzung‘); …“

Art. 6 („Rechtmäßigkeit der Verarbeitung“) DSGVO bestimmt: „(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben; b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt; d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen; e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung. (2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX. (3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch a) Unionsrecht oder b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. (4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung, b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen, c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden, d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen, e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.“

Art. 9 („Verarbeitung besonderer Kategorien personenbezogener Daten“) DSGVO sieht vor: „(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt. (2) Absatz 1 gilt nicht in folgenden Fällen: … f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich, … (3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt. (4) Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.“

Kapitel III („Rechte der betroffenen Person“) umfasst die Art. 12 bis 23 DSGVO.

Art. 13 („Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“) DSGVO bestimmt: „(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit: a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters; b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten; c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung; d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden; e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind. (2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten: a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer; b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit; c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird; d) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde; e) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person. (3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung. (4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.“

Art. 17 („Recht auf Löschung [‚Recht auf Vergessenwerden‘]“) DSGVO sieht vor: „(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft: … b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung. … d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet. … (3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist … e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.“

Art. 23 („Beschränkungen“) DSGVO bestimmt: „(1) Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt: … e) den Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats … f) den Schutz der Unabhängigkeit der Justiz und den Schutz von Gerichtsverfahren; … i) den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen; j) die Durchsetzung zivilrechtlicher Ansprüche. (2) Jede Gesetzgebungsmaßnahme im Sinne des Absatzes 1 muss insbesondere gegebenenfalls spezifische Vorschriften enthalten zumindest in Bezug auf a) die Zwecke der Verarbeitung oder die Verarbeitungskategorien, b) die Kategorien personenbezogener Daten, c) den Umfang der vorgenommenen Beschränkungen, d) die Garantien gegen Missbrauch oder unrechtmäßigen Zugang oder unrechtmäßige Übermittlung, e) die Angaben zu dem Verantwortlichen oder den Kategorien von Verantwortlichen, f) die jeweiligen Speicherfristen sowie die geltenden Garantien unter Berücksichtigung von Art, Umfang und Zwecken der Verarbeitung oder der Verarbeitungskategorien, g) die Risiken für die Rechte und Freiheiten der betroffenen Personen und h) das Recht der betroffenen Personen auf Unterrichtung über die Beschränkung, sofern dies nicht dem Zweck der Beschränkung abträglich ist.“

Deutsches Recht

Grundgesetz für die Bundesrepublik Deutschland

Art. 92 des Grundgesetzes für die Bundesrepublik Deutschland vom 23. Mai 1949 (BGBl. 1949 I S. 1) lautet: „Die rechtsprechende Gewalt ist den Richtern anvertraut; sie wird durch das Bundesverfassungsgericht, durch die in diesem Grundgesetze vorgesehenen Bundesgerichte und durch die Gerichte der Länder ausgeübt.“

Zivilprozessordnung

§ 138 („Erklärungspflicht über Tatsachen; Wahrheitspflicht“) der Zivilprozessordnung in ihrer auf den Ausgangsrechtsstreit anwendbaren Fassung (im Folgenden: ZPO) bestimmt: „(1) Die Parteien haben ihre Erklärungen über tatsächliche Umstände vollständig und der Wahrheit gemäß abzugeben. (2) Jede Partei hat sich über die von dem Gegner behaupteten Tatsachen zu erklären. (3) Tatsachen, die nicht ausdrücklich bestritten werden, sind als zugestanden anzusehen, wenn nicht die Absicht, sie bestreiten zu wollen, aus den übrigen Erklärungen der Partei hervorgeht. (4) Eine Erklärung mit Nichtwissen ist nur über Tatsachen zulässig, die weder eigene Handlungen der Partei noch Gegenstand ihrer eigenen Wahrnehmung gewesen sind.“

§ 286 („Freie Beweiswürdigung“) ZPO sieht vor: „(1) Das Gericht hat unter Berücksichtigung des gesamten Inhalts der Verhandlungen und des Ergebnisses einer etwaigen Beweisaufnahme nach freier Überzeugung zu entscheiden, ob eine tatsächliche Behauptung für wahr oder für nicht wahr zu erachten sei. In dem Urteil sind die Gründe anzugeben, die für die richterliche Überzeugung leitend gewesen sind. (2) An gesetzliche Beweisregeln ist das Gericht nur in den durch dieses Gesetz bezeichneten Fällen gebunden.“

§ 355 („Unmittelbarkeit der Beweisaufnahme“) ZPO lautet: „(1) Die Beweisaufnahme erfolgt vor dem Prozessgericht. Sie ist nur in den durch dieses Gesetz bestimmten Fällen einem Mitglied des Prozessgerichts oder einem anderen Gericht zu übertragen. (2) Eine Anfechtung des Beschlusses, durch den die eine oder die andere Art der Beweisaufnahme angeordnet wird, findet nicht statt.“

Bundesdatenschutzgesetz

§ 3 („Verarbeitung personenbezogener Daten durch öffentliche Stellen“) des Bundesdatenschutzgesetzes vom 30. Juni 2017 (BGBl. 2017 I S. 2097) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung (im Folgenden: BDSG) lautet: „Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.“

§ 26 („Verarbeitung personenbezogener Daten durch öffentliche Stellen“) BDSG sieht vor: „(1) Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind. (2) Erfolgt die Verarbeitung personenbezogener Daten von Beschäftigten auf der Grundlage einer Einwilligung, so sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Die Einwilligung hat schriftlich oder elektronisch zu erfolgen, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Der Arbeitgeber hat die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht nach Artikel 7 Absatz 3 der Verordnung (EU) 2016/679 in Textform aufzuklären. … (5) Der Verantwortliche muss geeignete Maßnahmen ergreifen, um sicherzustellen, dass insbesondere die in Artikel 5 der Verordnung (EU) 2016/679 dargelegten Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden. (6) Die Beteiligungsrechte der Interessenvertretungen der Beschäftigten bleiben unberührt. (7) Die Absätze 1 bis 6 sind auch anzuwenden, wenn personenbezogene Daten, einschließlich besonderer Kategorien personenbezogener Daten, von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen. (8) Beschäftigte im Sinne dieses Gesetzes sind:

1. Arbeitnehmerinnen und Arbeitnehmer, einschließlich der Leiharbeitnehmerinnen und Leiharbeitnehmer im Verhältnis zum Entleiher, …“

Ausgangsrechtsstreit und Vorlagefragen

NTH, ein Heizungs- und Klimatechnikbetrieb, beschäftigte EM, die mit dem Geschäftsführer von NTH verheiratet war.

Zum 31. Oktober 2019 endete das Arbeitsverhältnis zwischen NTH und EM. Nachfolgend

– bis zu ihrer Trennung vom Geschäftsführer von NTH am 26. Juni 2022 – bestand für EM weiterhin die Möglichkeit, die Betriebsräume von NTH zu betreten und die dort vorhandenen Computer zu nutzen.

Unmittelbar nach dieser Trennung ermittelte NTH, handelnd im Wesentlichen durch ihren Mitarbeiter F., der der gemeinsame Sohn des Geschäftsführers von NTH und von EM ist, dass EM über die Online-Verkaufsplattform eBay Gegenstände, die NTH als in ihrem Eigentum stehend beansprucht, für eigene Rechnung mit einem Erlös von insgesamt

217,09 Euro veräußert habe. Angesichts des Einkaufspreises dieser Gegenstände und der Höhe der Verwaltungskosten, die durch die Notwendigkeit verursacht worden seien, sie zu ersetzen, belaufe sich der Gesamtbetrag des NTH dadurch entstandenen Schadens auf 46 567,91 Euro.

EM bestreitet, diese Gegenstände ohne Wissen von NTH verkauft zu haben. Bei den Gegenständen habe es sich nämlich hauptsächlich um gebrauchte Rückläufer gehandelt, die von NTH nicht hätten verwendet werden können und die daher keinen Wert mehr für sie gehabt hätten. Diese seien EM von NTH schenkweise übereignet worden und von ihr verkauft worden, um die Kosten des Haushalts zu bestreiten, den sie mit dem Geschäftsführer von NTH geführt habe.

Das vorlegende Landesarbeitsgericht Niedersachsen (Deutschland) weist darauf hin, dass NTH dadurch Kenntnis von den Verkäufen von EM gehabt habe, dass sie auf das Privatkonto von EM auf der Online-Verkaufsplattform eBay zugegriffen habe. Hierzu habe der Mitarbeiter F. die Benutzerkennung und das Passwort von EM auf dieser Verkaufsplattform verwendet.

Was die Art und Weise betrifft, auf die dieser Mitarbeiter Kenntnis von dem Benutzernamen und dem Passwort erlangt habe, trägt NTH vor, sie habe Erkenntnisse über die Benutzung von eBay durch EM durch Einsichtnahme in den Browserverlauf des NTH gehörenden, von EM genutzten Computers erhalten und die Kenntnis des Passworts durch Einsicht in einen auf ihrem Server angelegten „Family-Ordner“ gewonnen. EM behauptet, dieses Passwort nicht auf betrieblichen Datenspeichern von NTH gespeichert zu haben. Vielmehr habe der Geschäftsführer von NTH das Mobiltelefon, das auf den Namen des Unternehmens registriert gewesen sei und das EM benutzt habe, verlustig gemeldet, um bei dem betreffenden Telefonbetreiber eine neue SIM-Karte (Subscriber Identity Module, Teilnehmeridentifikationsmodul) zu beantragen, was es dem Unternehmen ermöglicht habe, die mit diesem Telefon verbundene Telefonnummer zu nutzen, um auf der Plattform eBay das Passwort ihres privaten Kontos zu ändern und darauf zuzugreifen.

Das vorlegende Gericht schließt nicht aus, dass die Datenerhebung, die NTH vorgenommen habe, um Kenntnis von den Verkäufen von EM auf der Online- Verkaufsplattform eBay zu erlangen, rechtswidrig erfolgt sein könnte.

Jedenfalls neigt das vorlegende Gericht zu der Annahme, dass die von NTH zur Begründung ihrer Klage erhobenen Daten eine Datenverarbeitung im Sinne der DSGVO darstellten.

Aus der Rechtsprechung des Gerichtshofs lasse sich jedoch nicht eindeutig ableiten, ob erstens die Normen des deutschen Prozessrechts hinreichend bestimmt seien, um den Anforderungen der DSGVO zu genügen, insbesondere in Bezug auf die Kriterien, die anzuwenden seien, um zu bestimmen, unter welchen Umständen die Verwertung solcher Daten verboten sei, ob sich zweitens die deutschen Gerichte im Rahmen ihrer justiziellen Tätigkeit für die Verarbeitung dieser Daten auf Art. 17 Abs. 3 Buchst. e DSGVO berufen könnten, und drittens, anhand welcher Kriterien im Einzelnen zu beurteilen sei, ob die Datenverarbeitung – insbesondere bei, wie vorliegend, möglicherweise unrechtmäßig durch die Partei erhobenen Daten – im Rahmen der Ausübung dieser Tätigkeit zulässig sei.

Insbesondere weist das vorlegende Gericht als Erstes darauf hin, dass nach Art. 6 Abs. 3 Unterabs. 1 DSGVO die Rechtsgrundlage für die Verarbeitung gemäß Abs. 1 Unterabs. 1 Buchst. c und e – soweit das Unionsrecht keine Regelungen treffe – durch das Recht der Mitgliedstaaten festgelegt werde, dem der Verantwortliche unterliege. In diesem Recht muss nach dem Verständnis des vorlegenden Gerichts von Art. 6 Abs. 3 Unterabs. 2 DSGVO der Zweck der Verarbeitung festgelegt sein. Außerdem ergebe sich aus der auf das Urteil des Gerichtshofs vom 24. Februar 2022, Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) (C-175/20, EU:C:2022:124, Rn. 83), zurückgehenden Rechtsprechung des Gerichtshofs, dass, um dem Erfordernis der Verhältnismäßigkeit zu genügen, das in Art. 5 Abs. 1 Buchst. c DSGVO konkret zum Ausdruck gebracht werde, die der Verarbeitung zugrunde liegende Regelung klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen sowie Mindesterfordernisse aufstellen und insbesondere angeben müsse, unter welchen Umständen und Voraussetzungen eine Maßnahme, die eine solche Verarbeitung vorsehe, erlassen werden könne.

Daher fragt das vorlegende Gericht, ob Art. 6 Abs. 3 Unterabs. 2 DSGVO dahin auszulegen sei, dass es, wenn ein Gericht in Ausübung seiner justiziellen Tätigkeit eine mit einem Eingriff in die Grundrechte einer Partei verbundene Tätigkeit und die damit verbundene Datenverarbeitung vornehme, ausreiche, dass diese Verarbeitung für die Wahrnehmung einer im öffentlichen Interesse liegenden oder in Ausübung öffentlicher Gewalt erfolgenden Aufgabe erforderlich sei, oder ob insbesondere im Hinblick auf Art. 8 Abs. 2 der Charta zu verlangen sei, dass die Rechtsgrundlage dieser Verarbeitung Angaben dazu enthalte, unter welchen Umständen und Voraussetzungen von den Parteien beigebrachte Daten durch das Gericht verwertet werden dürften.

Für den Fall, dass der Gerichtshof zu dem Ergebnis gelangen sollte, dass für mit Grundrechtseingriffen verbundene gerichtliche Verarbeitungstätigkeiten gesetzliche Regelungen erforderlich sind, die solche näheren Angaben enthalten, möchte das vorlegende Gericht wissen, ob nationale Vorschriften wie die im Ausgangsverfahren in Rede stehenden den Anforderungen der DSGVO genügten. Denn diese Vorschriften enthielten keine Angaben dazu, welche Voraussetzungen erfüllt sein müssten oder welche Kriterien gegeneinander abzuwägen seien, damit festgestellt werden könne, ob ein Gericht den Sachvortrag einer Partei berücksichtigen bzw. den von ihr angebotenen Beweis erheben dürfe. Insbesondere wirft das vorlegende Gericht die Frage auf, welche Auswirkungen es habe, dass keine Bestimmung für den Fall bestehe, dass die betroffene Partei die ihrem Sachvortrag zugrunde liegenden personenbezogenen Daten auf unrechtmäßige Weise erlangt habe oder sich auf Beweismittel stütze, die sie durch unrechtmäßige Verwendung personenbezogener Daten erlangt habe. Es möchte ferner wissen, welche Auswirkungen es habe, dass die Verwertung solcher Daten im deutschen Recht allein auf richterrechtlicher Grundlage geregelt sei.

Als Zweites weist das vorlegende Gericht darauf hin, dass das Bundesarbeitsgericht (Deutschland) in seiner Rechtsprechung die Auffassung vertreten habe, dass sich aus Art. 17 DSGVO eindeutig ergebe, dass die Verarbeitung personenbezogener Daten durch ein Gericht selbst dann in Betracht komme, wenn sich die Erhebung dieser Daten, die eine Partei in einem vorgerichtlichen oder außergerichtlichen Stadium vorgenommen habe, nach Maßgabe der DSGVO oder des betreffenden nationalen Datenschutzrechts als rechtswidrig darstelle und daher kein Anlass bestehe, den Gerichtshof um Vorabentscheidung zu ersuchen.

Von dem Recht auf Löschung unrechtmäßig verarbeiteter Daten bestehe nach Auffassung des Bundesarbeitsgerichts nach Art. 17 Abs. 3 Buchst. e DSGVO jedoch insoweit eine Ausnahme, als die weitere Verarbeitung der fraglichen Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen „erforderlich“ sei. Diese Bestimmung betreffe allerdings nur einen Löschungsanspruch.

Das vorlegende Gericht jedenfalls meint, es sei zu prüfen, ob Art. 6 Abs. 1 Buchst. e oder Art. 9 Abs. 2 Buchst. f DSGVO die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die nationalen Gerichte im Rahmen der Ausübung ihrer richterlichen Tätigkeit bilde oder ob sich diese auch auf Art. 17 Abs. 3 Buchst. e DSGVO berufen könnten.

Für den Fall, dass der Gerichtshof zu der Auffassung gelangen sollte, dass Art. 17 Abs. 3 Buchst. e DSGVO eine solche Grundlage für die Verarbeitung im Rahmen der justiziellen Tätigkeit der nationalen Gerichte zu bilden vermag, fragt sich das vorlegende Gericht, wie diese Bestimmung anzuwenden sei und ob sich aus ihr sogar ein Verbot der Verwertung dieser Daten ableiten lasse, z. B. wenn die ursprüngliche Datenerhebung nicht verdeckt erfolgt sei und zum Nachweis einer vorsätzlich begangenen Pflichtverletzung eingesetzt worden sei.

Als Drittes möchte das vorlegende Gericht wissen, nach welchen inhaltlichen Maßstäben sich die justizielle Datenverarbeitungstätigkeit zu richten habe.

Insbesondere wirft es erstens die Frage auf, ob die nationalen Gerichte bei unrechtmäßig erhobenen Daten, deren Authentizität und sachliche Richtigkeit als solche aber nicht bestritten würden, eine Verhältnismäßigkeitsprüfung und eine eingehende Abwägung der widerstreitenden Interessen vornehmen müssten. Es möchte darüber hinaus wissen, ob die nationalen Gerichte zu prüfen hätten, ob eine solche Sachlage von derjenigen zu unterscheiden sei, in der die andere Partei sowohl die Art und Weise der Erhebung der betreffenden Daten als unrechtmäßig als auch deren Authentizität und/oder sachliche Richtigkeit beanstande.

Zweitens weist das vorlegende Gericht darauf hin, dass EM die elektronische Datenverarbeitung von NTH lange Zeit nicht mehr benutzt habe, als NTH für die Zwecke des Ausgangsverfahrens bestimmte darin gespeicherte Daten erfasst habe. Außerdem sehe Art. 5 Abs. 1 Buchst. e DSGVO im Wesentlichen vor, dass personenbezogene Daten nur so lange gespeichert werden dürften, wie dies ihr Zweck erfordere. Daher stellt sich das vorlegende Gericht die Frage, welche Konsequenzen für die Anwendung dieser Bestimmung daraus zu ziehen seien, dass diese Daten bereits vor langer Zeit erhoben worden seien bzw. über einen langen Zeitraum gespeichert worden seien und vertragliche Löschungsverpflichtungen bestanden hätten, die nicht eingehalten worden seien.

Drittens fragt sich das vorlegende Gericht, ob die Berufung einer Partei auf ein allgemeines Beweisinteresse ausreiche oder ob das Unionsrecht nicht die Berücksichtigung weiterer Aspekte verlange, die ergäben, dass das Interesse an der Beweiserhebung trotz der Beeinträchtigung des Rechts der anderen Partei schutzbedürftig sei.

Viertens möchte das vorlegende Gericht wissen, ob sich die klagende Arbeitgeberin in einer Situation wie der im Ausgangsverfahren in Rede stehenden auf Art. 47 Abs. 2 der Charta berufen könne, um die von ihr vorgenommene Erhebung und Verarbeitung personenbezogener Daten zu rechtfertigen, und welche Konsequenzen daraus zu ziehen seien, dass diese Arbeitgeberin ihren Informationspflichten nach Art. 13 DSGVO möglicherweise nicht nachgekommen sei.

Fünftens weist das vorlegende Gericht darauf hin, dass der Gerichtshof in Rn. 55 des Urteils vom 2. März 2023, Norra Stockholm Bygg (C-268/21, EU:C:2023:145), ausgeführt habe, dass das nationale Gericht, um Art. 5 Abs. 1 DSGVO und insbesondere dem in Buchst. c dieser Bestimmung enthaltenen Grundsatz der „Datenminimierung“ Rechnung zu tragen, festzustellen habe, ob die Offenlegung personenbezogener Daten angemessen und erheblich sei, um das mit den anwendbaren Bestimmungen des nationalen Rechts verfolgte Ziel zu erreichen, und ob dieses Ziel nicht durch die Verwendung von Beweismitteln erreicht werden könne, die weniger in den Schutz der personenbezogenen Daten einer großen Zahl von Dritten eingriffen, wie beispielsweise die Vernehmung ausgewählter Zeugen. Es stellt daher die Frage, ob diese Entscheidung auf den vorliegenden Fall übertragbar sei, da etwa die Daten der Käufer der Online- Verkaufsplattform eBay betroffen sein könnten.

Vor diesem Hintergrund hat das Landesarbeitsgericht Niedersachsen beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

1. Genügen die Regelungen von Art. 92 des Grundgesetzes für die Bundesrepublik Deutschland und der §§ 138, 286, 355 ff. der Zivilprozessordnung in ihrer auf den Ausgangsrechtsstreit anwendbaren Fassung im Falle einer unter Art. 6 Abs. 1 Buchst. e, Abs. 3 DSGVO fallenden eigenständigen justiziellen Verarbeitungstätigkeit dem aus Art. 8 Abs. 2, Art. 52 Abs. 1 der Charta und aus Art. 8 Abs. 1 Buchst. c DSGVO folgenden Bestimmtheitsgebot, sofern die justizielle Verarbeitungstätigkeit für eine Partei oder einen Dritten mit Grundrechtseingriffen verbunden ist?

2. a) Kann sich ein nationales Gericht bei der Verarbeitung von – insbesondere personenbezogenen – Daten darauf berufen, diese Verarbeitung sei ihm nach Art. 17 Abs. 3 Buchst. e DSGVO gestattet, oder stellen die Art. 6 und 9 DSGVO die ausschließliche Grundlage für eine justizielle Verarbeitungstätigkeit dar? b) Falls Art. 17 Abs. 3 Buchst. e DSGVO grundsätzlich eine rechtliche Basis für justizielle Verarbeitungstätigkeit zu bilden vermag: aa) Gilt dies auch für die Fälle, in denen die ursprüngliche Erhebung dieser Daten durch eine Prozesspartei oder einen Dritten nicht in rechtmäßiger Weise erfolgte? bb) Führt die Verarbeitung ursprünglich unrechtmäßig erhobener Daten nach dem allgemein geltenden Grundsatz von Treu und Glauben (Art. 5 Abs. 1 Buchst. a DSGVO) sekundärrechtlich zu einer Einschränkung der justiziellen Verarbeitung in dem Sinne, dass Art. 17 Abs. 3 Buchst. e DSGVO nur unter bestimmten Voraussetzungen oder in bestimmten Grenzen anwendbar ist? cc) Ist die Regelung des Art. 17 Abs. 3 Buchst. e DSGVO derart zu verstehen, dass ein Verbot der gerichtlichen Verwertung von ursprünglich unrechtmäßig erlangten Daten immer dann ausscheidet – die Verwertung dieser Daten durch das Gericht also immer dann zu erfolgen hat –, wenn die ursprüngliche Datenerhebung nicht verdeckt erfolgte und zum Nachweis einer vorsätzlich begangenen Pflichtverletzung eingesetzt worden ist?

3. Unabhängig davon, ob die justizielle Datenverarbeitungstätigkeit Art. 17 Abs. 3 Buchst. e DSGVO oder Art. 6 Abs. 1 Buchst. c bzw. e, Abs. 3, Art. 9 DSGVO oder anderen unionsrechtlichen Vorschriften unterfällt: a) Ist aus den datenschutzrechtlichen Grundsätzen der Erforderlichkeit und der Datenminimierung nach Art. 52 Abs. 1 Satz 2 der Charta und Art. 5 Abs. 1 Buchst. a DSGVO im Hinblick insbesondere auf die Verarbeitung ursprünglich unrechtmäßig erhobener oder gespeicherter Daten die Notwendigkeit einer umfassenden Verhältnismäßigkeitsprüfung und Abwägung durch die Gerichte herzuleiten? b) Welche Auswirkungen hat Art. 5 Abs. 1 Buchst. e DSGVO, welcher regelt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie dies ihr Zweck erfordert, auf die nachfolgende justizielle Datenverarbeitungstätigkeit insbesondere für die Fälle, dass

– die ursprüngliche Datenerhebung anderen Zwecken diente, oder

– die ursprüngliche unrechtmäßige Datenerhebung lange zurückliegt, oder

– eine unrechtmäßige Speicherung über längere Zeiträume aufrechterhalten wurde, oder

– die unrechtmäßige Datenerhebung Daten betrifft, die vor langer Zeit – gegebenenfalls unrechtmäßig – gespeichert wurden, oder

– die datenverarbeitende oder -erhebende Stelle oder Person sich einseitig oder individualvertraglich oder kollektivrechtlich zu deren Löschung binnen eines bestimmten Zeitraumes verpflichtet, die Löschung jedoch nicht vorgenommen hat? c) Folgt aus dem Unionsrecht, insbesondere aus Art. 8 der Charta, Art. 6 Abs. 1 Buchst. c bzw. e, Abs. 3 und Art. 9 DSGVO, dass das nationale Gericht Beweismittel, die unter Verletzung von Persönlichkeitsrechten beschafft wurden, nur dann verwerten kann, wenn ein anerkennenswertes Interesse der beweisbelasteten Partei vorliegt, das über das schlichte Beweisinteresse hinausgeht, oder folgen aus dem Unionsrecht insoweit keine Vorgaben, so dass es Sache der nationalen Rechtsordnung ist, hierzu Regelungen zu treffen? d) Folgt aus Art. 47 Abs. 2 der Charta, welcher das Recht auf effektiven gerichtlichen Rechtsschutz und insbesondere auf ein faires Verfahren verbürgt, wonach die Parteien eines Zivilprozesses grundsätzlich in der Lage sein müssen, ihr Rechtschutzziel hinreichend zu begründen und unter Beweis zu stellen, dass die gerichtliche Verarbeitung von rechtswidrig durch den Arbeitgeber erhobenen personenbezogenen Daten des klagenden Arbeitnehmers sich nur dann als unangemessen und unverhältnismäßig im engeren Sinn darstellen kann, wenn sich die Datenerhebung nach Unionsrecht als schwerwiegende Verletzung der Art. 7 und 8 der Charta erwiese und andere mögliche Sanktionen für den Arbeitgeber (z. B. Schadenersatz nach Art. 82 DSGVO und Verhängung von Geldbußen nach Art. 83 DSGVO) gänzlich unzureichend wären, oder kann sich eine Unangemessenheit und Unverhältnismäßigkeit bereits bei anderen, weniger schwerwiegenden datenschutzrechtlichen Verstößen bei der ursprünglichen Datenerhebung ergeben? e) Hat das Gericht bei der Entscheidung, ob es die ursprünglich von einer Partei oder einem Dritten erhobenen Daten im Rahmen seiner justiziellen Datenverarbeitungstätigkeit verwertet, zu berücksichtigen, ob der Datenerhebende seinen Informationspflichten nach Art. 13 DSGVO nachgekommen ist? Falls ja: Unter welchen Voraussetzungen und nach welchen Maßstäben hat das Gericht dies zu berücksichtigen? f) Schließt der Umstand, dass das Gericht bei der Verarbeitung personenbezogener Daten an die DSGVO und die Charta gebunden ist, auch die personenbezogenen Daten Dritter ein? In welcher Weise wirkt sich ein etwaig gegenüber Dritten erfolgter datenschutzrechtlicher Verstoß bei der ursprünglichen Datenerhebung bezüglich der nachfolgenden justiziellen Datenverarbeitung in einem Streit zwischen zwei Parteien aus? Kann sich eine Partei auf einen nicht ihr, aber Dritten gegenüber erfolgten Verstoß berufen, oder ist das nicht der Fall?

Zu den Vorlagefragen

Zur Zulässigkeit

Vorab ist darauf hinzuweisen, dass nach ständiger Rechtsprechung zwar eine Vermutung für die Entscheidungserheblichkeit der Vorlagefragen des nationalen Gerichts spricht, die es zur Auslegung des Unionsrechts in dem rechtlichen und sachlichen Rahmen stellt, den es in eigener Verantwortung festgelegt und dessen Richtigkeit der Gerichtshof nicht zu prüfen hat, doch sind solche Fragen unzulässig, wenn die Auslegung des Unionsrechts, um die ersucht wird, offensichtlich in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht, wenn das aufgeworfene Problem hypothetischer Natur ist oder wenn der Gerichtshof nicht über die tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind (vgl. in diesem Sinne Urteil vom 18. Juni 2024, Bundesrepublik Deutschland [Wirkung einer Entscheidung über die Zuerkennung der Flüchtlingseigenschaft], C-753/22, EU:C:2024:524, Rn. 44 und die dort angeführte Rechtsprechung).

Im vorliegenden Fall ist darauf hinzuweisen, dass sich das vorlegende Gericht in seinen Fragen mehrfach auf Art. 9 DSGVO bezieht, der bestimmte besondere Kategorien personenbezogener Daten betrifft, nämlich solche, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische und biometrische Daten, sofern diese verarbeitet werden, um eine natürliche Person eindeutig zu identifizieren, oder auch Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person.

Da sich aus den dem Gerichtshof vorliegenden Akten ergibt, dass der Ausgangsrechtsstreit solche Daten nicht betrifft, sind die vom vorlegenden Gericht zur Vorabentscheidung vorgelegten Fragen als unzulässig anzusehen, soweit sie die Auslegung von Art. 9 DSGVO betreffen.

Zur ersten Frage

Vorab ist darauf hinzuweisen, dass die Vorlagefrage auf der Annahme beruht, dass die Verarbeitung personenbezogener Daten durch ein Gericht im Rahmen seiner justiziellen Tätigkeit nur auf Art. 6 Abs. 1 Buchst. e DSGVO gestützt werden kann, der die Verarbeitung personenbezogener Daten betrifft, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

Zum einen ist darauf hinzuweisen, dass unter bestimmten Umständen für dieselbe Verarbeitung mehrere alternative Zulässigkeitsvoraussetzungen gelten können.

Zum anderen können zwar bestimmte Verarbeitungen personenbezogener Daten durch ein Gericht als für die Wahrnehmung einer solchen im öffentlichen Interesse liegenden Aufgabe erforderlich oder in Ausübung einer solchen hoheitlichen Befugnis erforderlich angesehen werden, doch weisen die Verarbeitungen personenbezogener Daten, die ein Gericht wie im Ausgangsverfahren anlässlich der Beweisangebote der Parteien vornehmen kann, die Besonderheit auf, dass sie grundsätzlich erforderlich sind, um einer diesem Gericht obliegenden rechtlichen Verpflichtung nachzukommen, nämlich über die Zulässigkeit dieser Beweisangebote zu entscheiden und, wenn sie im Hinblick auf die im nationalen Recht hierfür vorgesehenen Kriterien für zulässig erklärt wurden, sie beim Erlass seiner Entscheidung zu berücksichtigen.

Um dem vorlegenden Gericht eine sachdienliche Antwort zu geben, sind daher nach Ansicht des Gerichtshofs die verschiedenen Fragen, die ihm in der vorliegenden Rechtssache gestellt wurden, anhand von Art. 6 Abs. 1 Buchst. c DSGVO und nicht anhand von Art. 6 Abs. 1 Buchst. e DSGVO zu prüfen.

Demnach ist davon auszugehen, dass das vorlegende Gericht mit seiner ersten Frage im Wesentlichen wissen möchte, ob Art. 6 Abs. 1 Unterabs. 1 Buchst. c und Abs. 3 DSGVO im Licht von Art. 8 Abs. 2 und Art. 52 der Charta dahin auszulegen ist, dass er einer nationalen Regelung entgegensteht, die hinsichtlich der Verwendung personenbezogener Daten im Rahmen der Feststellung des Sachverhalts und der Beweiswürdigung durch ein Gericht lediglich vorsieht, dass es den Parteien obliegt, substantiierte und wahrheitsgemäße Tatsachen vorzutragen, und dem Gericht auferlegt, diese in vollem Umfang zu berücksichtigen, bevor es sie gegebenenfalls würdigt, jedoch keine Angaben zu den Umständen und Voraussetzungen enthält, unter denen die von den Parteien vorgebrachten Tatsachen und vorgelegten Beweismittel, die personenbezogene Daten enthalten, von dem Gericht verwendet werden dürfen.

Erstens ist darauf hinzuweisen, dass es beim gegenwärtigen Stand des Unionsrechts zwar allein Sache des nationalen Rechts ist, die Vorschriften für die Zulässigkeit und die Würdigung der Tatsachen und Beweise festzulegen (vgl. in diesem Sinne Urteile vom

6. Oktober 2020, La Quadrature du Net u. a., C-511/18, C-512/18 und C-520/18, EU:C:2020:791, Rn. 223, und vom 5. April 2022, Commissioner of An Garda Síochána u. a., C-140/20, EU:C:2022:258, Rn. 127).

Nach ihrem Art. 2 Abs. 1 gilt die DSGVO jedoch vorbehaltlich bestimmter in Art. 2 Abs. 2 und 3 DSGVO vorgesehener Fälle für jede „ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“. Da die von Gerichten und anderen Justizbehörden vorgenommenen Verarbeitungen nicht zu den in Art. 2 Abs. 2 und 3 genannten Fällen gehören, kann die DSGVO daher, wie im Übrigen ihr 20. Erwägungsgrund bestätigt, auf Verarbeitungen durch diese Gerichte und Behörden Anwendung finden.

Nach Art. 4 Nr. 2 DSGVO bezeichnet der Ausdruck „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Aus dem Wortlaut dieser Bestimmung, insbesondere aus dem Ausdruck „jeden … Vorgang“, ergibt sich, dass der Unionsgesetzgeber den Begriff „Verarbeitung“ weit fassen wollte (Urteil vom 5. Dezember 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, Rn. 50 und die dort angeführte Rechtsprechung).

Zwar fällt eine Verarbeitung personenbezogener Daten nur dann in den Anwendungsbereich der DSGVO, wenn diese Verarbeitung gemäß Art. 2 Abs. 1 DSGVO ganz oder teilweise automatisiert erfolgt oder, sofern die Verarbeitung nicht automatisiert ist, die betreffenden Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Zum einen ist eine Verarbeitung personenbezogener Daten als ganz oder teilweise automatisiert im Sinne dieser Bestimmung anzusehen, wenn sie den Einsatz technischer Verfahren ohne jegliches menschliches Eingreifen beinhaltet (vgl. in diesem Sinne und entsprechend Urteil vom 6. November 2003, Lindqvist, C-101/01, EU:C:2003:596, Rn. 26).

Zum anderen definiert Art. 4 Nr. 6 DSGVO den Begriff „Dateisystem“ als jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird.

Auch wenn die Zulässigkeit von Beweisangeboten nicht unter die DSGVO fällt, ist jedoch davon auszugehen, dass ein Gericht personenbezogene Daten im Sinne dieser Verordnung verarbeitet, insbesondere wenn es Dokumente, die personenbezogene Daten enthalten, in eine Akte wie die des Ausgangsverfahrens aufnimmt, sofern diese Akte unter den Begriff „Dateisystem“ im Sinne von Art. 2 Abs. 1 und Art. 4 Nr. 6 DSGVO fällt.

Ebenso nimmt das Gericht eine Verarbeitung im Sinne der DSGVO vor, wenn ihm solche Dokumente in digitaler Form übermittelt werden und es diese Daten abruft, extrahiert, speichert oder verwendet.

Insbesondere ist in Anbetracht dessen, dass jede Übermittlung von Daten an einen anderen als den vorherigen Verantwortlichen eine entsprechende Erhebungshandlung dieses Verantwortlichen nach sich zieht (vgl. in diesem Sinne Urteil vom 30. April 2024, La Quadrature du Net u. a. [Persönliche Daten und Bekämpfung der Nachahmung], C-470/21, EU:C:2024:370, Rn. 62), davon auszugehen, dass ein Gericht eine solche Erhebungshandlung vornimmt, wenn es auf der Grundlage digitaler Dokumente, die ihm von einer Partei übermittelt wurden, bestimmte in diesen Dokumenten enthaltene personenbezogene Daten erhebt.

Im vorliegenden Fall wird das vorlegende Gericht in Anbetracht der vorstehenden Erwägungen zu prüfen haben, ob die im Ausgangsverfahren in Rede stehenden Verarbeitungen personenbezogener Daten als in den Anwendungsbereich der DSGVO fallend angesehen werden können, entweder weil sie Daten betreffen, die nach bestimmten Kriterien aus der Verfahrensakte dieser Rechtssache zugänglich sind oder zugänglich gemacht werden sollen, oder weil sie ganz oder teilweise automatisiert sind, was insbesondere dann der Fall ist, wenn die Übermittlung der Beweise in digitaler Form erfolgte und diese Verarbeitungen darin bestanden, dass personenbezogene Daten anhand dieser Beweise abgerufen, extrahiert, gespeichert oder verwendet wurden.

Zweitens ist darauf hinzuweisen, dass das Hauptziel der DSGVO, wie es sich u. a. aus ihrem Art. 1 sowie aus ihren Erwägungsgründen 1, 2, 7 und 10 ergibt, darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres in Art. 8 Abs. 1 der Charta und in Art. 16 Abs. 1 AEUV verankerten Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten (vgl. in diesem Sinne Urteil vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:858, Rn. 26 und die dort angeführte Rechtsprechung).

Entsprechend diesem Ziel müssen bei jeder Verarbeitung personenbezogener Daten, die in den Anwendungsbereich der DSGVO fällt, die in Kapitel II DSGVO festgelegten Grundsätze sowie die in Kapitel III DSGVO festgelegten Rechte der betroffenen Personen beachtet werden, damit diese Verarbeitung rechtmäßig ist (vgl. in diesem Sinne Urteil vom

2. März 2023, Norra Stockholm Bygg, C-268/21, EU:C:2023:145, Rn. 43 und die dort angeführte Rechtsprechung).

Nach Art. 6 Abs. 1 Unterabs. 1 DSGVO ist eine Verarbeitung personenbezogener Daten, die in den Anwendungsbereich der DSGVO fällt, nur rechtmäßig, wenn sie unter mindestens eine der in dieser Bestimmung genannten alternativen Rechtmäßigkeitsbedingungen fällt (vgl. in diesem Sinne Urteil vom 5. Juni 2023, Kommission/Polen [Unabhängigkeit und Privatleben von Richtern], C-204/21, EU:C:2023:442, Rn. 335 und die dort angeführte Rechtsprechung).

In Bezug auf Verarbeitungen, die auf die in Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO vorgesehene alternative Rechtmäßigkeitsbedingung gestützt sind, stellt Art. 6 Abs. 3 Unterabs. 1 DSGVO klar, dass die Rechtsgrundlage für diese Verarbeitungen durch Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt werden muss.

So verlangt Art. 6 Abs. 3 Unterabs. 1 DSGVO, da das Unionsrecht nicht die Modalitäten der Darlegung des Sachverhalts und der Beweisaufnahme vor den nationalen Gerichten regelt, dass eine Verarbeitung personenbezogener Daten, die auf der Grundlage dieser alternativen Rechtmäßigkeitsbedingung erfolgt, eine Rechtsgrundlage im nationalen Recht hat (vgl. in diesem Sinne Urteil vom 2. März 2023, Norra Stockholm Bygg, C-268/21, EU:C:2023:145, Rn. 32).

In Bezug auf Form und Inhalt dieser Rechtsgrundlage verlangt Art. 6 Abs. 3 DSGVO vorbehaltlich der Anforderungen im Zusammenhang mit dem in dieser Bestimmung genannten Fall in Bezug auf die in Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO genannten Verarbeitungen lediglich, dass der Zweck dieser Verarbeitungen in dieser Rechtsgrundlage festgelegt werden muss, dass diese Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgt und dass sie in einem angemessenen Verhältnis zu diesem Ziel steht.

Dagegen geht weder aus Art. 6 Abs. 3 DSGVO noch aus einer anderen Bestimmung der DGSVO hervor, dass das mit dieser Rechtsgrundlage verfolgte Ziel in der Rechtsgrundlage im nationalen Recht angegeben werden muss, wobei unter „Ziel“ die allgemeinen Zwecke zu verstehen sind, die mit der betreffenden Verarbeitung verfolgt werden, und unter „Zweck“ die spezifischen und konkreten Anliegen dieser Verarbeitung zu verstehen sind (vgl. in diesem Sinne Urteil vom 20. November 2025, Policejní prezidium [Speicherung biometrischer und genetischer Daten], C-57/23, EU:C:2025:905, Rn. 81).

Zwar führt der Gesetzgeber eines Mitgliedstaats, wenn er eine Rechtsgrundlage erlässt, die Verarbeitungen auf der Grundlage von Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO erlaubt, das Recht der Union durch, so dass eine solche Rechtsgrundlage nach Art. 51 der Charta im Einklang mit der Charta stehen muss.

Allerdings hat der Gerichtshof, wie das vorlegende Gericht hervorhebt, aus Art. 8 Abs. 2 der Charta, der seinerseits nur das Erfordernis nach Art. 52 der Charta widerspiegelt und konkretisiert, abgeleitet, dass jede Einschränkung der Ausübung der in der Charta anerkannten Grundrechte u. a. gesetzlich vorgesehen sein muss (vgl. in diesem Sinne Urteil vom 20. November 2025, Policejní prezidium [Aufbewahrung biometrischer und genetischer Daten], C-57/23, EU:C:2025:905, Rn. 51), was bedeutet, dass jede Rechtsgrundlage, die einen Eingriff in das Recht auf Schutz personenbezogener Daten erlaubt, den Umfang der Beschränkung der Ausübung dieses Rechts, zu der sie führen kann, selbst festlegen muss (vgl. in diesem Sinne Urteil vom 6. Oktober 2020, Privacy International, C-623/17, EU:C:2020:790, Rn. 65 und die dort angeführte Rechtsprechung).

Darüber hinaus hat der Gerichtshof in Bezug auf das in Art. 52 der Charta aufgestellte Erfordernis entschieden, dass jeder Eingriff in das Recht auf Schutz personenbezogener Daten unter Wahrung des Grundsatzes der Verhältnismäßigkeit erfolgen muss, was voraussetzt, dass jede Regelung, die einen solchen Eingriff bewirkt, klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsieht und Mindestanforderungen aufstellt, damit die Personen, deren personenbezogene Daten verarbeitet werden, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung ermöglichen (vgl. in diesem Sinne Urteile vom 24. Februar 2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C-175/20, EU:C:2022:124, Rn. 55 und die dort angeführte Rechtsprechung, sowie vom 16. November 2023, Roos u. a./Parlament, C-458/22 P, EU:C:2023:871, Rn. 69 und die dort angeführte Rechtsprechung).

Insbesondere muss die Rechtsgrundlage für eine Datenverarbeitung angeben, unter welchen Umständen und unter welchen Voraussetzungen eine Maßnahme, die die Verarbeitung solcher Daten vorsieht, getroffen werden darf, damit gewährleistet ist, dass der Eingriff auf das absolut Notwendige beschränkt wird (vgl. in diesem Sinne Urteil vom

16. Juli 2020, Facebook Ireland und Schrems, C-311/18, EU:C:2020:559, Rn. 176 und die dort angeführte Rechtsprechung).

Der Gerichtshof hat jedoch unter Bezugnahme auf die ständige Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte ebenfalls klargestellt, dass der in Art. 8 Abs. 2 der Charta verwendete Begriff „gesetzlich“ in der Wendung „gesetzlich vorgesehen“ in seinem materiellen und nicht in seinem formellen Sinn zu verstehen ist (vgl. in diesem Sinne Urteil vom 16. November 2023, Roos u. a./Parlament, C-458/22 P, EU:C:2023:871, Rn. 61 und die dort angeführte Rechtsprechung).

Zudem impliziert nach der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte dieser Sinn des Begriffs „gesetzlich“ in der Wendung „gesetzlich vorgesehen“ in Art. 8 Abs. 2 EMRK, dass der Begriff den geltenden Text in seiner Auslegung durch die zuständigen Gerichte meint (vgl. in diesem Sinne EGMR, 23. Januar 2025, H. W./Frankreich, CE:ECHR:2025:0123JUD001380521, § 65).

Im Übrigen heißt es im 41. Erwägungsgrund der DSGVO ausdrücklich, dass, wenn in dieser Verordnung auf eine Rechtsgrundlage oder eine Gesetzgebungsmaßnahme Bezug genommen wird, dies nicht notwendigerweise einen von einem Parlament angenommenen Gesetzgebungsakt erfordert; davon unberührt bleiben Anforderungen gemäß der Verfassungsordnung des betreffenden Mitgliedstaats. Die entsprechende Rechtsgrundlage oder Gesetzgebungsmaßnahme sollte jedoch klar und präzise sein, und ihre Anwendung sollte für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs und des Europäischen Gerichtshofs für Menschenrechte vorhersehbar sein.

Daher ist das in Art. 6 Abs. 3 DSGVO aufgestellte Erfordernis, eine Rechtsgrundlage für jede Verarbeitung vorzusehen, die auf die in Art. 6 Abs. 1 Unterabs. 1 Buchst. c und e dieser Verordnung vorgesehenen alternativen Rechtmäßigkeitsbedingungen gestützt ist, dahin zu verstehen, dass es nicht zwangsläufig das Vorliegen eines Gesetzgebungsakts voraussetzt, da der Begriff „Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt“ auch die nationale Rechtsprechung umfassen kann, sofern diese klar und präzise ist und ihre Anwendung für die Rechtsunterworfenen vorhersehbar ist (vgl. in diesem Sinne Urteil vom 12. September 2024, HTB Neunte Immobilien Portfolio und Ökorenta Neue Energien Ökostabil IV, C-17/22 und C-18/22, EU:C:2024:738, Rn. 71 und 72).

Da Art. 6 Abs. 3 Unterabs. 2 DSGVO außerdem verlangt, dass die Rechtsgrundlage der in Rede stehenden Verarbeitung ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu dem verfolgten legitimen Ziel steht, muss eine solche Rechtsprechung auch diese Voraussetzungen erfüllen (vgl. in diesem Sinne Urteil vom

12. September 2024, HTB Neunte Immobilien Portfolio und Ökorenta Neue Energien Ökostabil IV, C-17/22 und C-18/22, EU:C:2024:738, Rn. 73 und die dort angeführte Rechtsprechung).

Im vorliegenden Fall geht aus der Vorlageentscheidung hervor, dass die im Ausgangsverfahren in Rede stehenden Rechtsvorschriften nicht die Voraussetzungen vorsehen, die erfüllt sein müssen, damit Beweismittel oder Tatsachen, die zuvor unrechtmäßig verarbeitete personenbezogene Daten enthalten, als zulässig angesehen werden können. Um sich zu vergewissern, dass diese Bestimmungen mit der DSGVO im Einklang stehen, wird es daher Sache des vorlegenden Gerichts sein, zu prüfen, ob sie Gegenstand einer klaren, präzisen und vorhersehbaren Rechtsprechung sind, die selbst festlegt, unter welchen Umständen und Voraussetzungen die von den Parteien vorgebrachten Tatsachen und vorgelegten Beweismittel, die personenbezogene Daten enthalten, von einem Gericht verwendet werden dürfen, die ein im öffentlichen Interesse liegendes Ziel verfolgt und die in einem angemessenen Verhältnis zu diesem steht.

Nach alledem ist auf die erste Frage zu antworten, dass Art. 6 Abs. 1 Unterabs. 1 Buchst. c und Abs. 3 DSGVO im Licht von Art. 8 Abs. 2 und Art. 52 der Charta dahin auszulegen ist, dass er einer nationalen Regelung nicht entgegensteht, die hinsichtlich der im Rahmen der Feststellung des Sachverhalts und der Beweiswürdigung vorgenommenen Verarbeitung personenbezogener Daten durch ein Gericht lediglich vorsieht, dass es den Parteien obliegt, substantiierte und wahrheitsgemäße Tatsachen vorzutragen, und diesem Gericht auferlegt, diese in vollem Umfang zu berücksichtigen, bevor es sie gegebenenfalls würdigt, jedoch keine Angaben zu den Umständen und Voraussetzungen enthält, unter denen die von den Parteien vorgebrachten Tatsachen und vorgelegten Beweismittel, die personenbezogene Daten enthalten, von dem Gericht verwendet werden dürfen, sofern es eine klare, präzise und vorhersehbare nationale Rechtsprechung gibt, die selbst festlegt, unter welchen Umständen und Voraussetzungen die von den Parteien vorgebrachten Tatsachen und vorgelegten Beweismittel, die personenbezogene Daten enthalten, von einem Gericht verwendet werden dürfen, diese Rechtsprechung ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu diesem steht.

Zur zweiten Frage Buchst. a

Mit seiner zweiten Frage Buchst. a möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 17 Abs. 3 Buchst. e DSGVO dahin auszulegen ist, dass er eine alternative Rechtmäßigkeitsbedingung aufstellt, die bei einer Verarbeitung erfüllt werden kann, damit diese mit Art. 5 Abs. 1 Buchst. a DSGVO in Einklang steht, und sich von einer der in Art. 6 Abs. 1 Unterabs. 1 DSGVO aufgeführten Bedingungen unterscheidet.

Insoweit ist darauf hinzuweisen, dass nach Art. 5 Abs. 1 Buchst. a DSGVO jede Verarbeitung personenbezogener Daten u. a. rechtmäßig sein muss, was, wie in Rn. 64 des vorliegenden Urteils ausgeführt, bedeutet, dass bei dieser Verarbeitung sämtliche in Kapitel II DSGVO festgelegten Grundsätze eingehalten und die in Kapitel III DSGVO festgelegten Rechte der betroffenen Personen beachtet werden.

Unter diesen Grundsätzen enthält Art. 6 Abs. 1 Unterabs. 1 DSGVO eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Um als rechtmäßig im Sinne von Art. 5 Abs. 1 Buchst. a DSGVO angesehen werden zu können, muss eine Verarbeitung daher unter einen der in Art. 6 Abs. 1 Unterabs. 1 DSGVO vorgesehenen Fälle gefasst werden können (vgl. in diesem Sinne Urteil vom 4. Mai 2023, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], C-60/22, EU:C:2023:373, Rn. 56 und die dort angeführte Rechtsprechung).

Nach Art. 17 Abs. 3 Buchst. e DSGVO gilt das Recht der betroffenen Personen, von dem Verantwortlichen die Löschung ihrer Daten zu verlangen, u. a., wenn diese Daten im Sinne von Art. 17 Abs. 1 Buchst. d DSGVO unrechtmäßig verarbeitet wurden, dann nicht, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Der Umstand, dass Art. 17 Abs. 3 Buchst. e DSGVO eine Ausnahme von diesem Recht auf Löschung einführt, bedeutet jedoch nicht, dass diese Bestimmung dahin auszulegen ist, dass sie als solche eine eigenständige alternative Rechtmäßigkeitsbedingung aufstellt, auf die eine Verarbeitung personenbezogener Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, gestützt werden könnte, damit sie mit Art. 5 Abs. 1 Buchst. a DSGVO vereinbar ist. Da die Liste der alternativen Bedingungen für die Rechtmäßigkeit in Art. 6 Abs. 1 Unterabs. 1 DSGVO, wie sich aus Rn. 83 des vorliegenden Urteils ergibt, erschöpfend und abschließend ist, kann der in Art. 17 Abs. 3 Buchst. e DSGVO genannte Fall nämlich nicht als eine solche alternative Rechtmäßigkeitsbedingung angesehen werden.

Nach alledem ist auf die zweite Frage Buchst. a zu antworten, dass Art. 17 Abs. 3 Buchst. e DSGVO dahin auszulegen ist, dass er keine alternative Rechtmäßigkeitsbedingung aufstellt, die bei einer Verarbeitung erfüllt werden kann, damit diese mit Art. 5 Abs. 1 Buchst. a DSGVO in Einklang steht, und sich von einer der in Art. 6 Abs. 1 Unterabs. 1 DSGVO aufgeführten Bedingungen unterscheidet.

Zur zweiten Frage Buchst. b

Angesichts der Antwort auf die zweite Frage Buchst. a erübrigt sich die Beantwortung der zweiten Frage Buchst. b.

Zur dritten Frage Buchst. a

Zunächst ist darauf hinzuweisen, dass der Grundsatz der „Datenminimierung“, auf den sich die dritte Frage Buchst. a ausschließlich bezieht, nicht, wie das vorlegende Gericht ausweislich des Wortlauts dieser Frage anzunehmen scheint, in Art. 5 Abs. 1 Buchst. a DSGVO, sondern in Art. 5 Abs. 1 Buchst. c DSGVO enthalten ist.

Außerdem geht aus dem Vorabentscheidungsersuchen hervor, dass das vorlegende Gericht, wenn es von einer Prüfung der Verhältnismäßigkeit der beabsichtigten Verarbeitung und einer abschließenden „Abwägung“ der widerstreitenden Interessen spricht, wissen möchte, ob es nach Art. 52 Abs. 1 Satz 2 der Charta erforderlich ist, für jede Verarbeitung personenbezogener Daten zu prüfen, ob die dabei verarbeiteten Daten geeignet sind, die Erreichung des mit dieser Verarbeitung verfolgten Ziels zu ermöglichen, und für diese Verarbeitung unbedingt erforderlich sind, und ob die Schwere des Eingriffs in die Grundrechte, den die Berücksichtigung solcher Daten zur Durchführung dieser Verarbeitung mit sich bringt, in einem angemessenen Verhältnis zu dem Interesse steht, das der Verantwortliche an der Verwendung dieser Daten für die Durchführung der in Rede stehenden Verarbeitung hat.

Daher ist davon auszugehen, dass das vorlegende Gericht mit seiner dritten Frage Buchst. a im Wesentlichen wissen möchte, ob Art. 5 Abs. 1 Buchst. c DSGVO in Verbindung mit Art. 52 Abs. 1 Satz 2 der Charta dahin auszulegen ist, dass der Grundsatz der „Datenminimierung“ verlangt, dass ein Gericht bei jeder von ihm durchgeführten Verarbeitung personenbezogener Daten die Einhaltung des Grundsatzes der Verhältnismäßigkeit dadurch gewährleistet, dass es sich vergewissert, dass die dabei verarbeiteten Daten zur Erreichung des mit dieser Verarbeitung verfolgten Ziels geeignet sowie dafür unbedingt erforderlich sind, und dass die Schwere des Eingriffs in die Grundrechte, den die Berücksichtigung solcher Daten zur Durchführung dieser Verarbeitung mit sich bringt, in einem angemessenen Verhältnis zu dem Interesse steht, das das Gericht an der Verwendung der Daten zur Durchführung der in Rede stehenden Verarbeitung hat.

Insoweit geht zum einen aus Art. 52 Abs. 1 Satz 2 der Charta hervor, dass Einschränkungen der Ausübung der durch die Charta garantierten Grundrechte, damit sie unter Wahrung des Grundsatzes der Verhältnismäßigkeit vorgenommen werden dürfen, erforderlich sein und den von der Union anerkannten, dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen müssen.

Insbesondere müssen sich die Ausnahmen vom Schutz personenbezogener Daten und deren Einschränkungen auf das absolut Notwendige beschränken, wobei, wenn mehrere geeignete Maßnahmen zur Erreichung der verfolgten legitimen Ziele zur Verfügung stehen, die am wenigsten belastende zu wählen ist. Außerdem kann eine dem Gemeinwohl dienende Zielsetzung nicht legitimerweise verfolgt werden, ohne dem Umstand Rechnung zu tragen, dass sie mit den von der Maßnahme betroffenen Grundrechten in Einklang gebracht werden muss, und zwar indem eine ausgewogene Gewichtung der dem Gemeinwohl dienenden Zielsetzung und der betroffenen Rechte vorgenommen wird, um sicherzustellen, dass die durch diese Maßnahme verursachten Unannehmlichkeiten nicht außer Verhältnis zu den verfolgten Zielsetzungen stehen. Daher ist die Möglichkeit, eine Einschränkung der durch die Art. 7 und 8 der Charta garantierten Grundrechte zu rechtfertigen, zu beurteilen, indem die Schwere des mit einer solchen Einschränkung verbundenen Eingriffs bestimmt und geprüft wird, ob die mit ihr verfolgte dem Gemeinwohl dienende Zielsetzung in angemessenem Verhältnis zur Schwere des Eingriffs steht (Urteil vom 21. März 2024, Landeshauptstadt Wiesbaden, C-61/22, EU:C:2024:251, Rn. 83 und die dort angeführte Rechtsprechung).

Folglich verlangt die Wahrung des Grundsatzes der Verhältnismäßigkeit, dass Einschränkungen der durch die Charta garantierten Grundrechte nur vorgenommen werden können, wenn erstens die in Rede stehende Maßnahme eine oder mehrere von der Union anerkannte dem Gemeinwohl dienende Zielsetzungen verfolgt und tatsächlich geeignet ist, diese Ziele zu erreichen, zweitens die sich daraus ergebenden Eingriffe in dem Sinne auf das absolut Notwendige beschränkt sind, dass diese Zielsetzungen vernünftigerweise nicht ebenso wirksam mit anderen Mitteln erreicht werden können, die diese Grundrechte der betroffenen Personen weniger beeinträchtigen, und drittens diese Eingriffe nicht außer Verhältnis zu diesen Zielsetzungen stehen, was insbesondere eine Gewichtung der Zielsetzungen und der Schwere der Eingriffe impliziert (Urteil vom

21. März 2024, Landeshauptstadt Wiesbaden, C-61/22, EU:C:2024:251, Rn. 84 und die dort angeführte Rechtsprechung).

Zum anderen macht Art. 5 Abs. 1 Buchst. c DSGVO, indem er vorsieht, dass die personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen, die Verarbeitung personenbezogener Daten von der Einhaltung des Grundsatzes der „Datenminimierung“ abhängig (vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 104).

Mit diesem Grundsatz wird zwar der Grundsatz der Verhältnismäßigkeit „zum Ausdruck gebracht“ (vgl. in diesem Sinne Urteil vom 9. Januar 2025, Mousse, C-394/23, EU:C:2025:2, Rn. 24 und die dort angeführte Rechtsprechung); dies bedeutet jedoch nicht, dass diese Bestimmung für sich genommen den Grundsatz der Verhältnismäßigkeit und damit die drei in Rn. 91 des vorliegenden Urteils genannten Voraussetzungen umsetzt.

Insoweit ist darauf hinzuweisen, dass die in Art. 5 Abs. 1 Buchst. c DSGVO vorgesehenen Anforderungen, die ausreichen, um zu begründen, dass diese Bestimmung als Ausdruck des Grundsatzes der Verhältnismäßigkeit angesehen werden kann, gewährleisten können, dass die Entscheidung, auf bestimmte Daten anstatt auf andere Daten zurückzugreifen, die ersten beiden Voraussetzungen erfüllt, die sich aus der Beachtung dieses Grundsatzes ergeben.

Zum einen ergibt sich bereits aus dem Sinn der Begriffe „angemessen“ und „erheblich“, dass Daten, wenn sie diese beiden Anforderungen erfüllen, geeignet sind, die Zwecke der betreffenden Verarbeitung zu erreichen, und erst recht, das Ziel dieser Verarbeitung zu verwirklichen. Zum anderen sind diese Daten, da sie auf das für die Zwecke, für die sie verarbeitet werden, notwendige Maß beschränkt sind, auch im Hinblick auf das allgemeinere Ziel beschränkt, das mit der Entscheidung verfolgt wird, für die in Rede stehende Verarbeitung auf diese Daten zurückzugreifen.

Zur dritten in Rn. 91 des vorliegenden Urteils genannten Voraussetzung ist festzustellen, dass die Erfüllung einer der in Art. 6 Abs. 1 Unterabs. 1 DSGVO genannten alternativen Rechtmäßigkeitsbedingungen grundsätzlich bereits geeignet ist, die Verarbeitungen, denen die in Rede stehenden Daten unterzogen werden können, auf diejenigen zu beschränken, die nicht nur zur Erreichung eines legitimen Ziels erforderlich sind, sondern auch ein berechtigtes Interesse aufweisen, das die Schwere des mit diesen Verarbeitungen verbundenen Eingriffs in die durch die Art. 7 und 8 der Charta garantierten Grundrechte überwiegt.

In Bezug auf die unter Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO fallenden Verarbeitungen, d. h. solche, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind, der der Verantwortliche unterliegt, sieht Art. 6 Abs. 3 Unterabs. 2 DSGVO bereits ausdrücklich vor, dass das Unionsrecht oder das Recht der Mitgliedstaaten, das als Rechtsgrundlage für solche Verarbeitungen dient und somit die Verpflichtung aufstellt, deren Einhaltung bei der Verarbeitung erforderlich ist, ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss.

Damit stellt die letztgenannte Bestimmung ausdrücklich das Erfordernis auf, dass die rechtliche Verpflichtung, der der Verantwortliche unterliegt und die als Grundlage für eine Verarbeitung personenbezogener Daten dient, das Ergebnis einer Abwägung beim Erlass dieser Rechtsgrundlage zwischen den in den Art. 7 und 8 der Charta verankerten Grundrechten auf Achtung des Privatlebens und auf Schutz personenbezogener Daten einerseits und den dabei mit dem Unionsrecht oder dem Recht der Mitgliedstaaten rechtmäßig verfolgten Zielen andererseits ist (vgl. entsprechend Urteil vom 4. Oktober 2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, Rn. 124 und die dort angeführte Rechtsprechung).

Da nach Art. 5 Abs. 1 Buchst. c DSGVO zur Durchführung von Verarbeitungen nur Daten verwendet werden dürfen, die angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind und diese Verpflichtung das Ergebnis einer solchen Abwägung ist, sind Daten, die diesen Anforderungen entsprechen, zwangsläufig nur solche Daten, deren Verarbeitung ein berechtigtes Interesse aufweist, das die Schwere des mit diesen Verarbeitungen verbundenen Eingriffs in die durch die Art. 7 und 8 der Charta garantierten Grundrechte überwiegt.

Im Fall der Verarbeitung personenbezogener Daten, die ein Gericht bei der Prüfung der Beweisangebote der Parteien vornehmen muss, ist, da solche Verarbeitungen zur Wahrung des Rechts auf ein faires Verfahren erforderlich sind, festzustellen, dass ein Gericht, um dem Grundsatz der „Datenminimierung“ zu entsprechen, nur prüfen muss, ob die von ihm verarbeiteten Daten die Voraussetzungen nach Art. 5 Abs. 1 Buchst. c DSGVO erfüllen; dabei muss es insoweit nicht speziell – und damit zusätzlich zu der nach Art. 6 Abs. 3 Unterabs. 2 DSGVO für die Rechtsgrundlage, die die in Rede stehenden Verarbeitungen vorschreibt, aufgestellten Verpflichtung eines angemessenen Verhältnisses zwischen dieser Rechtsgrundlage und dem verfolgten legitimen Zweck – eine Abwägung der widerstreitenden Interessen vornehmen, und zwar unabhängig davon, ob diese Abwägung abschließend ist oder nicht.

In Anbetracht all dessen ist auf die dritte Frage Buchst. a zu antworten, dass Art. 5 Abs. 1 Buchst. c DSGVO in Verbindung mit Art. 52 Abs. 1 Satz 2 der Charta dahin auszulegen ist, dass der Grundsatz der „Datenminimierung“ nicht verlangt, dass ein Gericht bei jeder von ihm durchgeführten Verarbeitung personenbezogener Daten die Einhaltung des Grundsatzes der Verhältnismäßigkeit dadurch gewährleistet, dass es sich vergewissert, dass die dabei verarbeiteten Daten zur Erreichung des mit dieser Verarbeitung verfolgten Ziels geeignet sowie dafür unbedingt erforderlich sind, und dass die Schwere des Eingriffs in die Grundrechte, den die Berücksichtigung solcher Daten zur Durchführung dieser Verarbeitung mit sich bringt, in einem angemessenen Verhältnis zu dem Interesse steht, das das Gericht an der Verwendung der Daten zur Durchführung der in Rede stehenden Verarbeitung hat, sofern die in Art. 5 Abs. 1 Buchst. c DSGVO vorgesehenen Voraussetzungen erfüllt sind.

Zur dritten Frage Buchst. b bis d

In Anbetracht der Ausführungen in Rn. 49 des vorliegenden Urteils ist davon auszugehen, dass das vorlegende Gericht mit seiner dritten Frage Buchst. b bis d im Wesentlichen wissen möchte, ob die Art. 7 und 8 der Charta, Art. 5 Abs. 1 DSGVO und Art. 6 Abs. 1 Unterabs. 1 Buchst. c in Verbindung mit Art. 6 Abs. 3 DSGVO sowie der Grundsatz der „Datenminimierung“ dahin auszulegen sind, dass sie es einem nationalen Gericht verwehren, Beweismittel zu verwenden, die personenbezogene Daten enthalten, die von der Partei, die sie ihm übermittelt hat, unter Verletzung des Rechts auf Schutz des Privatlebens und des Rechts auf Schutz personenbezogener Daten erlangt wurden, wenn diese Partei kein berechtigtes Interesse an einer solchen Verarbeitung hat, das über das bloße Nachweisen der vorgebrachten Tatsachen hinausgeht.

Insoweit ist zum einen hervorzuheben, dass zwar für unter die DSGVO fallende Verarbeitungen personenbezogener Daten das Recht auf Schutz des Privatlebens und das Recht auf Schutz personenbezogener Daten, die in den Art. 7 und 8 der Charta genannt werden, in bestimmten Situationen mit dem in Art. 47 der Charta garantierten Recht auf einen wirksamen Rechtsbehelf kollidieren können, dass aber davon auszugehen ist, dass die Mechanismen, die es ermöglichen, einen angemessenen Ausgleich zwischen den verschiedenen berührten Rechten und Interessen zu finden, in der DSGVO selbst festgelegt sind (vgl. in diesem Sinne Urteil vom 17. Juni 2021, M.I.C.M., C-597/19, EU:C:2021:492, Rn. 112).

Insbesondere wird die Verhältnismäßigkeit der möglichen Beeinträchtigungen des in den Art. 7 und 8 der Charta genannten Rechts auf Schutz des Privatlebens und des Rechts auf Schutz personenbezogener Daten bei einer Verarbeitung, die in den Anwendungsbereich der DSGVO fällt, durch die kombinierte Anwendung der in Art. 5 Abs. 1 DSGVO vorgesehenen Grundsätze und der Anforderungen der einzelnen in Art. 6 Abs. 1 Unterabs. 1 DSGVO genannten alternativen Rechtmäßigkeitsbedingungen, gegebenenfalls in Verbindung mit Art. 6 Abs. 3 DSGVO, gewährleistet.

Soweit also die Bedingungen für eine rechtmäßige Verarbeitung personenbezogener Daten nach der DSGVO erfüllt sind, gilt diese Verarbeitung grundsätzlich auch als den in den Art. 7 und 8 der Charta festgelegten Anforderungen entsprechend (Urteil vom 5. Juni 2023, Kommission/Polen [Unabhängigkeit und Privatleben von Richtern], C-204/21, EU:C:2023:442, Rn. 332 und die dort angeführte Rechtsprechung).

Zudem schließen es, wie der Generalanwalt in Nr. 32 seiner Schlussanträge im Kern ausgeführt hat, weder Art. 5 Abs. 1 DSGVO noch eines bzw. einer der anderen in den Kapiteln II und III DSGVO genannten Rechte und Grundsätze generell und absolut aus, dass eine Behörde wie ein Gericht zur Berücksichtigung personenbezogener Daten befugt ist, die zuvor von der Person, die sie ihr übermittelt hat, im Sinne der DSGVO unrechtmäßig verarbeitet wurden.

Zwar legt Art. 5 Abs. 1 Buchst. a DSGVO als Grundsatz fest, dass eine Verarbeitung personenbezogener Daten nicht nur auf rechtmäßige und für die betroffene Person nachvollziehbare Weise, sondern auch nach Treu und Glauben erfolgen muss.

Aus dem 39. Erwägungsgrund dieser Verordnung geht jedoch hervor, dass das mit diesem Grundsatz der Verarbeitung nach Treu und Glauben verfolgte Ziel, das mit dem Ziel übereinstimmt, welches der Grundsatz der Transparenz verfolgt, darin besteht, sicherzustellen, dass die betroffenen Personen Kenntnis von der Verarbeitung ihrer personenbezogenen Daten haben und dabei die Informationen erhalten, die sie für die Geltendmachung ihrer Rechte benötigen.

Daher hängt die Auswirkung des Umstands, dass die verarbeiteten Daten zuvor von der sie übermittelnden Partei im Sinne von Art. 5 Abs. 1 Buchst. a DSGVO unrechtmäßig verarbeitet wurden, von der alternativen Rechtmäßigkeitsbedingung ab, auf die sich der Verantwortliche zur Rechtfertigung dieser Verarbeitung beruft. Einige dieser alternativen Bedingungen können nämlich aufgrund der darin aufgestellten Anforderungen bei Vorliegen solcher Daten unanwendbar sein.

Was die in Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO genannte alternative Rechtmäßigkeitsbedingung betrifft, schließt der Umstand, dass der Verantwortliche wusste oder hätte wissen müssen, dass bestimmte ihm übermittelte Daten zuvor u. a. unrechtmäßig erhoben oder gespeichert wurden, aus, dass die Erhebung dieser Daten durch den Verantwortlichen im Anschluss an ihre Übermittlung als Wahrung berechtigter Interessen und folglich als diese alternative Rechtmäßigkeitsbedingung erfüllend angesehen werden kann.

Es ist jedoch festzustellen, dass die Verarbeitung personenbezogener Daten durch ein Gericht im Zusammenhang mit den in den Beweisangeboten der Parteien enthaltenen personenbezogenen Daten grundsätzlich erforderlich ist, um einer rechtlichen Verpflichtung nachzukommen, die diesem Gericht obliegt, nämlich über die Zulässigkeit dieser Beweisangebote zu entscheiden und, wenn diese im Hinblick auf die im nationalen Recht hierfür vorgesehenen Kriterien für zulässig erklärt wurden, sie beim Erlass seiner Entscheidung zu würdigen.

Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO enthält indessen keine Anforderung, die ausschließen würde, dass sich ein Gericht auf diese alternative Rechtmäßigkeitsbedingung stützen kann, wenn die betreffenden in einem Beweisangebot enthaltenen personenbezogenen Daten zuvor von der Person, die sie übermittelt hat, im Sinne der DSGVO unrechtmäßig verarbeitet wurden.

Zwar stellt Art. 6 Abs. 3 DSGVO klar, dass die Rechtsgrundlage für Verarbeitungen personenbezogener Daten, die auf Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO gestützt werden, durch das Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt werden muss, dass diese Rechtsgrundlage spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften der DSGVO an die mit ihnen verfolgten Erfordernisse enthalten kann und dass das Unionsrecht oder das Recht dieser Mitgliedstaaten jedenfalls ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss (vgl. in diesem Sinne Urteil vom 2. März 2023, Norra Stockholm Bygg, C-268/21, EU:C:2023:145, Rn. 31).

Zu dieser Voraussetzung der Verhältnismäßigkeit und den damit einhergehenden Anforderungen ist festzustellen, dass nach der in Rn. 91 des vorliegenden Urteils angeführten Rechtsprechung erstens die Rechtsgrundlage, auf der die fragliche Verarbeitung beruht, geeignet sein muss, das verfolgte, im öffentlichen Interesse liegende Ziel zu erreichen, dass sie zweitens nur Verarbeitungen zulassen darf, die sich auf das absolut Notwendige beschränken, was voraussetzt, dass es keine anderen Maßnahmen gibt, die die Rechte und Freiheiten der betroffenen Personen weniger stark beeinträchtigen und mit denen dieses Ziel ebenso wirksam erreicht werden kann, und dass die Rechtsgrundlage drittens verhältnismäßig im engeren Sinne sein muss, da sie nach Abwägung aller relevanten Gesichtspunkte keine Verarbeitungen zulassen darf, die zu Beschränkungen der Rechte und Freiheiten der betroffenen Personen führen, die im Hinblick auf die Bedeutung der Erreichung dieses Ziels unverhältnismäßig sind.

Der Umstand, dass die rechtliche Verpflichtung, die die Verarbeitung der in den Beweisangeboten der Parteien enthaltenen personenbezogenen Daten erforderlich macht, auch für personenbezogene Daten gilt, die von der Partei, die sie übermittelt hat, unter Verletzung des Rechts auf Schutz des Privatlebens und des Rechts auf Schutz personenbezogener Daten erlangt wurden, schließt jedoch offensichtlich nicht aus, dass diese Rechtsgrundlage den genannten Anforderungen genügen kann.

Was zunächst das erste in Rn. 91 des vorliegenden Urteils genannte Erfordernis betrifft, ist im Fall der Verarbeitung personenbezogener Daten durch ein Gericht davon auszugehen, dass die rechtliche Verpflichtung dieses Gerichts, über die Zulässigkeit der von den Parteien vorgelegten Beweisangebote zu entscheiden und, wenn diese Beweisangebote zulässig sind, sie beim Erlass seiner Entscheidung zu würdigen, ein im öffentlichen Interesse liegendes Ziel verfolgt, da sie die Wahrung eines Grundrechts, nämlich des in Art. 47 der Charta verankerten Rechts auf ein faires Verfahren, betrifft.

Sodann ist zudem davon auszugehen, dass diese Verpflichtung geeignet ist, dieses im öffentlichen Interesse liegende Ziel zu erreichen und dafür unbedingt erforderlich ist, auch wenn die betreffenden Daten unrechtmäßig erlangt worden sind. Da das Recht auf ein faires Verfahren von einem Gericht verlangt, über die Zulässigkeit von Beweisangeboten der Parteien zu entscheiden und diese im Fall ihrer Zulässigkeit bei seiner Entscheidung zu berücksichtigen, erscheint insbesondere keine andere Maßnahme geeignet, dieses Ziel ebenso wirksam zu erreichen wie diejenige, den Gerichten die Verarbeitung personenbezogener Daten zu ermöglichen, die in den Beweisangeboten der Parteien enthalten sind.

Schließlich ist darauf hinzuweisen, dass das Recht auf Schutz personenbezogener Daten, wie im vierten Erwägungsgrund der DSGVO ausgeführt, kein uneingeschränktes Recht ist, sondern im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte wie das durch Art. 47 der Charta garantierte Recht auf effektiven gerichtlichen Rechtsschutz abgewogen werden muss (vgl. in diesem Sinne Urteil vom 2. März 2023, Norra Stockholm Bygg, C-268/21, EU:C:2023:145, Rn. 49).

In Anbetracht der wesentlichen Funktion, die das Recht auf ein faires Verfahren in der Gesellschaft spielt, ist die Verpflichtung eines Gerichts, die in den Beweisangeboten der Parteien enthaltenen personenbezogenen Daten auch dann zu verarbeiten, wenn diese Daten unter Verletzung des Rechts auf Schutz des Privatlebens und des Rechts auf Schutz personenbezogener Daten erlangt wurden, nicht geeignet, diese Rechte, wie sie in den Art. 7 und 8 der Charta garantiert sind, unverhältnismäßig zu beeinträchtigen.

Folglich genügt die einem Gericht im Einklang mit dem Recht auf ein faires Verfahren obliegende Verpflichtung, alle in den Beweisangeboten enthaltenen personenbezogenen Daten zu verarbeiten, den Anforderungen von Art. 6 Abs. 3 DSGVO, und zwar auch dann, wenn diese Verpflichtung unter Verletzung der Persönlichkeitsrechte erlangte Daten betrifft und die Partei, die diese Daten an das Gericht übermittelt hat, kein berechtigtes Interesse an einer solchen Verarbeitung hat, das über das Interesse an der bloßen Feststellung der vorgebrachten Tatsachen hinausgeht.

Allerdings müssen die hierfür verwendeten Daten gemäß Art. 5 Abs. 1 Buchst. c DSGVO auf Daten beschränkt sein, die angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sind.

Insoweit ist erstens in Bezug auf die personenbezogenen Daten, die für Verarbeitungen verwendet werden, die ein Gericht zur Entscheidung über die Zulässigkeit von Beweisangeboten und die Relevanz der von einer Partei vorgebrachten Tatsachen im Hinblick auf die einschlägigen Vorschriften des nationalen Rechts vornimmt, hervorzuheben, dass das Recht auf ein faires Verfahren, wie es in Art. 47 der Charta anerkannt ist, voraussetzt, dass es den Parteien möglich ist, einem Gericht die Beweisangebote vorzulegen, die sie für relevant halten.

Folglich bedeutet in Bezug auf Klagen, die den Schutz der dem Einzelnen aus dem Unionsrecht erwachsenden Rechte gewährleisten sollen, der Umstand, dass ein Gericht zur Entscheidung über die Zulässigkeit von Beweisangeboten personenbezogene Daten verarbeiten muss, grundsätzlich keinen Verstoß gegen den Grundsatz der „Datenminimierung“, da solche Daten in diesem Stadium gerade angemessen, erheblich und notwendig sind, um diesem Gericht die Entscheidung über die Zulässigkeit der Beweisangebote zu ermöglichen. Das Gleiche gilt für Gerichtsverfahren, in denen sich niemand auf das Unionsrecht beruft, wenn den Parteien nach dem Recht des betreffenden Mitgliedstaats ein Recht mit ähnlicher Tragweite wie das in Art. 47 der Charta garantierte Recht auf ein faires Verfahren zuerkannt wird.

Hat ein Gericht hingegen festgestellt, dass Dokumente, die ihm übermittelte personenbezogene Daten enthalten, nach den hierfür im nationalen Recht vorgesehenen Regeln zulässig sind, muss es, bevor es sie zu den Akten nimmt, prüfen, ob diese Daten auf das für die verfolgten Zwecke notwendige Maß beschränkt sind, d. h., es muss dem Gericht möglich sein, eine unter Berücksichtigung der relevanten Umstände der Rechtssache möglichst fundierte Entscheidung zu erlassen und den Grundsatz des kontradiktorischen Verfahrens zu beachten, oder es muss prüfen, ob es bestimmte Maßnahmen zu ergreifen hat, um die Menge der betreffenden Daten zu verringern, wie etwa eine teilweise oder vollständige Anonymisierung der betreffenden Dokumente, ohne dabei jedoch die Rechte der anderen Parteien zu beeinträchtigen.

Allerdings ist der Umstand, dass die betreffenden Daten unter Verstoß gegen das in den Art. 7 und 8 der Charta verankerte Recht auf Schutz des Privatlebens und auf Schutz personenbezogener Daten erlangt wurden, für sich genommen nicht entscheidend, da die in Art. 5 Abs. 1 Buchst. c DSGVO vorgesehenen Kriterien verlangen, dass diese Daten angemessen und erheblich sowie auf das für die verfolgten Zwecke notwendige Maß beschränkt sind.

Was zweitens die personenbezogenen Daten betrifft, die im Rahmen der von einem Gericht zur Entscheidungsfindung durchgeführten Verarbeitungen verwendet werden, sind im Hinblick auf das Recht auf ein faires Verfahren alle Daten in für zulässig erklärten Dokumenten, die zu den Akten genommen wurden, grundsätzlich als angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt anzusehen, da dieses Gericht gemäß dem Recht auf ein faires Verfahren verpflichtet ist, alle diese Beweise zu würdigen, um insbesondere ihre Relevanz zu beurteilen.

Drittens und letztens erfordert eine solche Verarbeitung in Bezug auf die Offenlegung dieser Daten durch ein Gericht bei Zustellung oder Veröffentlichung seines Urteils, dass das Gericht, um sicherzustellen, dass diese Daten auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sind, insbesondere nicht nur der Notwendigkeit Rechnung trägt, die Vollstreckung der Entscheidung zu ermöglichen, sowie Dritte, die von den fraglichen Handlungen möglicherweise ebenfalls betroffen sein können, zu informieren und die Rechtsunterworfenen vor den Auswüchsen einer geheimen Justiz zu schützen (vgl. in diesem Sinne EGMR, 2. Juni 2022, Straume/Lettland, CE:ECHR:2022:0602JUD005940214, § 124), sondern auch der Möglichkeit Rechnung trägt, bestimmte Maßnahmen wie die Anonymisierung oder Pseudonymisierung dieser Daten zu ergreifen, um die Beeinträchtigung des Rechts auf Schutz personenbezogener Daten, zu der eine solche Offenlegung führen kann, auf ein Mindestmaß zu reduzieren.

Nach alledem ist auf die dritte Frage Buchst. b bis d zu antworten, dass die Art. 7 und 8 der Charta, Art. 5 Abs. 1 DSGVO und Art. 6 Abs. 1 Unterabs. 1 Buchst. c in Verbindung mit Art. 6 Abs. 3 DSGVO sowie der Grundsatz der „Datenminimierung“ dahin auszulegen sind, dass sie es einem nationalen Gericht nicht verwehren, Beweismittel zu verwenden, die personenbezogene Daten enthalten, die von der Partei, die sie ihm übermittelt hat, unter Verletzung des Rechts auf Schutz des Privatlebens und des Rechts auf Schutz personenbezogener Daten erlangt wurden, wenn diese Partei kein berechtigtes Interesse an einer solchen Verarbeitung hat, das über das bloße Nachweisen der vorgebrachten Tatsachen hinausgeht. Dagegen muss das Gericht, bevor es diese Daten gegenüber den Parteien oder Dritten offenlegt, prüfen, ob sie auf das für die Zwecke einer solchen Offenlegung notwendige Maß beschränkt sind, und gegebenenfalls bestimmte Maßnahmen ergreifen, um die Beeinträchtigung des Rechts auf Schutz personenbezogener Daten, zu der eine solche Offenlegung führen kann, so gering wie möglich zu halten.

Zur dritten Frage Buchst. e

Mit seiner dritten Frage Buchst. e möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 13 Abs. 1 und 2 DSGVO dahin auszulegen ist, dass er es einem nationalen Gericht verwehrt, im Rahmen der Ausübung seiner justiziellen Tätigkeit Daten zu verwenden, die von einer Person erhoben wurden, die ihren Informationspflichten nach dieser Bestimmung nicht nachgekommen ist.

Insoweit ergibt sich aus Art. 13 Abs. 1 und 2 DSGVO, dass der Verantwortliche, wenn personenbezogene Daten über eine Person bei dieser Person erhoben werden, ihr zum Zeitpunkt der Erhebung dieser Daten die in diesen Absätzen aufgeführten Informationen mitteilt.

Da diese Bestimmung zu Kapitel III DSGVO gehört, ist davon auszugehen, dass die genannten Absätze Bedingungen aufstellen, die erfüllt sein müssen, damit eine Erhebung personenbezogener Daten rechtmäßig ist.

Im Übrigen trägt die in Art. 13 DSGVO vorgesehene Verpflichtung zur Erfüllung der in Art. 5 Abs. 1 Buchst. a DSGVO, der zu Kapitel II DSGVO gehört, vorgesehenen Anforderung bei, wonach jede Verarbeitung personenbezogener Daten nach Treu und Glauben und auf nachvollziehbare Weise erfolgen muss, so dass sie auch in dieser Hinsicht einzuhalten ist.

Ohne dass geklärt zu werden braucht, ob Art. 17 Abs. 3 Buchst. e DSGVO zur Wahrung seiner praktischen Wirksamkeit dahin auszulegen ist, dass der Umstand, dass die betroffene Partei die in Rede stehenden Daten erhoben hat, ohne dieser Verpflichtung nachzukommen, nicht zur Folge hat, dass die Verarbeitung, die in der Übermittlung von diese Daten enthaltenden Beweismitteln an ein Gericht besteht, als rechtswidrig anzusehen ist, ist jedoch darauf hinzuweisen, dass, wie in Rn. 108 des vorliegenden Urteils festgestellt, weder Art. 5 Abs. 1 DSGVO noch eines bzw. einer der anderen in den Kapiteln II und III DSGVO genannten Rechte und Grundsätze es generell und absolut ausschließen, dass ein Verantwortlicher zur Berücksichtigung personenbezogener Daten befugt ist, die zuvor von der Person, die sie ihm übermittelt hat, im Sinne der DSGVO unrechtmäßig verarbeitet wurden.

Folglich ist auf die dritte Frage Buchst. e zu antworten, dass Art. 13 Abs. 1 und 2 DSGVO dahin auszulegen ist, dass er es einem nationalen Gericht nicht verwehrt, im Rahmen der Ausübung seiner justiziellen Tätigkeit Daten zu verwenden, die von einer Partei oder einem Dritten erhoben wurden, die ihren bzw. der seinen Informationspflichten nach dieser Bestimmung nicht nachgekommen ist.

Zur dritten Frage Buchst. f

Mit seiner dritten Frage Buchst. f möchte das vorlegende Gericht im Wesentlichen wissen, ob die DSGVO dahin auszulegen ist, dass ein Gericht im Rahmen der Ausübung seiner justiziellen Tätigkeit verpflichtet ist, für die Einhaltung der DSGVO Sorge zu tragen, wenn es personenbezogene Daten von Dritten verarbeitet, die an dem bei ihm anhängigen Verfahren nicht beteiligt sind, und ob das Unionsrecht verlangt, dass sich eine der Parteien dieses Verfahrens darauf berufen kann, dass diese Daten von der anderen Partei unter Verletzung von Rechten Dritter aus der DSGVO im Sinne der DSGVO unrechtmäßig erhoben oder gespeichert wurden.

Insoweit geht aus Art. 288 AEUV hervor, dass eine Verordnung ein Rechtsakt mit allgemeiner Geltung ist, der in allen seinen Teilen verbindlich ist und unmittelbar in jedem Mitgliedstaat gilt.

Da die in Kapitel II DSGVO aufgestellten Grundsätze unabhängig von jeglichen Erwägungen im Zusammenhang mit der verfahrensrechtlichen Situation der betroffenen Personen oder dem Umstand gelten, dass der Verantwortliche ein Gericht ist, ist die DSGVO in Verbindung mit Art. 288 AEUV dahin auszulegen, dass ein Gericht im Rahmen der Ausübung seiner justiziellen Tätigkeit verpflichtet ist, sie zu beachten, wenn es personenbezogene Daten von Dritten verarbeitet, die an dem bei ihm anhängigen Verfahren nicht beteiligt sind.

Dagegen fällt die Frage, ob sich eine Partei auf eine zum Nachteil eines Dritten begangene Rechtsverletzung berufen kann, mangels einer entsprechenden unionsrechtlichen Bestimmung in die Verfahrensautonomie der Mitgliedstaaten.

Zwar dürfen bei Klagen, die den Schutz der den Einzelnen aus dem Unionsrecht erwachsenden Rechte gewährleisten sollen, nach dem Grundsatz der Verfahrensautonomie, der mangels einer unionsrechtlichen Bestimmung anwendbar ist, die Verfahrensmodalitäten für diese Klagen weder ungünstiger sein als diejenigen, die gleichartige, dem innerstaatlichen Recht unterliegende Sachverhalte regeln (Äquivalenzgrundsatz), noch die Ausübung der durch das Unionsrecht verliehenen Rechte praktisch unmöglich machen oder übermäßig erschweren (Effektivitätsgrundsatz) (vgl. in diesem Sinne Urteil vom 6. Oktober 2020, La Quadrature du Net u. a., C-511/18, C-512/18 und C-520/18, EU:C:2020:791, Rn. 223 und die dort angeführte Rechtsprechung).

Ferner müssen diese Verfahrensmodalitäten auch mit dem in Art. 47 der Charta garantierten Recht auf ein faires Verfahren vereinbar sein, da die Charta gemäß ihrem Art. 51 in allen Fällen Anwendung finden soll, in denen die Mitgliedstaaten das Recht der Union durchführen.

Es ist jedoch festzustellen, dass weder der Effektivitätsgrundsatz noch das in Art. 47 der Charta garantierte Recht auf ein faires Verfahren es grundsätzlich gebietet, den Parteien eines gerichtlichen Verfahrens die Möglichkeit einzuräumen, sich auf einen Verstoß gegen die DSGVO zu berufen, der zum Nachteil von an diesem Verfahren nicht beteiligten Dritten begangen wurde.

Folglich ist auf die dritte Frage Buchst. f zu antworten, dass die DSGVO dahin auszulegen ist, dass ein Gericht im Rahmen der Ausübung seiner justiziellen Tätigkeit verpflichtet ist, für die Einhaltung der DSGVO Sorge zu tragen, wenn es personenbezogene Daten von Dritten verarbeitet, die an einem Verfahren nicht beteiligt sind. Das Unionsrecht verlangt nicht, dass sich eine der Parteien dieses Verfahrens darauf berufen kann, dass diese Daten von der anderen Partei unter Verletzung von Rechten Dritter aus der DSGVO im Sinne der DSGVO unrechtmäßig erhoben oder gespeichert wurden.

Kosten

Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Aus diesen Gründen hat der Gerichtshof (Fünfte Kammer) für Recht erkannt:

1. Art. 6 Abs. 1 Unterabs. 1 Buchst. c und Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist im Licht von Art. 8 Abs. 2 und Art. 52 der Charta der Grundrechte der Europäischen Union dahin auszulegen, dass er einer nationalen Regelung nicht entgegensteht, die hinsichtlich der im Rahmen der Feststellung des Sachverhalts und der Beweiswürdigung vorgenommenen Verarbeitung personenbezogener Daten durch ein Gericht lediglich vorsieht, dass es den Parteien obliegt, substantiierte und wahrheitsgemäße Tatsachen vorzutragen, und diesem Gericht auferlegt, diese in vollem Umfang zu berücksichtigen, bevor es sie gegebenenfalls würdigt, jedoch keine Angaben zu den Umständen und Voraussetzungen enthält, unter denen die von den Parteien vorgebrachten Tatsachen und vorgelegten Beweismittel, die personenbezogene Daten enthalten, von dem Gericht verwendet werden dürfen, sofern es eine klare, präzise und vorhersehbare nationale Rechtsprechung gibt, die selbst festlegt, unter welchen Umständen und Voraussetzungen die von den Parteien vorgebrachten Tatsachen und vorgelegten Beweismittel, die personenbezogene Daten enthalten, von einem Gericht verwendet werden dürfen, diese Rechtsprechung ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu diesem steht.

2. Art. 17 Abs. 3 Buchst. e der Verordnung 2016/679 ist dahin auszulegen, dass er keine alternative Rechtmäßigkeitsbedingung aufstellt, die bei einer Verarbeitung erfüllt werden kann, damit diese mit Art. 5 Abs. 1 Buchst. a dieser Verordnung in Einklang steht, und sich von einer der in Art. 6 Abs. 1 Unterabs. 1 derselben Verordnung aufgeführten Bedingungen unterscheidet.

3. Art. 5 Abs. 1 Buchst. c der Verordnung 2016/679 ist in Verbindung mit Art. 52 Abs. 1 Satz 2 der Charta der Grundrechte dahin auszulegen, dass der Grundsatz der „Datenminimierung“ nicht verlangt, dass ein Gericht bei jeder von ihm durchgeführten Verarbeitung personenbezogener Daten die Einhaltung des Grundsatzes der Verhältnismäßigkeit dadurch gewährleistet, dass es sich vergewissert, dass die dabei verarbeiteten Daten zur Erreichung des mit dieser Verarbeitung verfolgten Ziels geeignet sowie dafür unbedingt erforderlich sind, und dass die Schwere des Eingriffs in die Grundrechte, den die Berücksichtigung solcher Daten zur Durchführung dieser Verarbeitung mit sich bringt, in einem angemessenen Verhältnis zu dem Interesse steht, das das Gericht an der Verwendung der Daten zur Durchführung der in Rede stehenden Verarbeitung hat, sofern die in Art. 5 Abs. 1 Buchst. c der Verordnung 2016/679 vorgesehenen Voraussetzungen erfüllt sind.

4. Art. 7 und 8 der Charta der Grundrechte, Art. 5 Abs. 1 der Verordnung 2016/679, Art. 6 Abs. 1 Unterabs. 1 Buchst. c dieser Verordnung in Verbindung mit Art. 6 Abs. 3 derselben Verordnung sowie der Grundsatz der „Datenminimierung“ sind dahin auszulegen, dass sie es einem nationalen Gericht nicht verwehren, Beweismittel zu verwenden, die personenbezogene Daten enthalten, die von der Partei, die sie ihm übermittelt hat, unter Verletzung des Rechts auf Schutz des Privatlebens und des Rechts auf Schutz personenbezogener Daten erlangt wurden, wenn diese Partei kein berechtigtes Interesse an einer solchen Verarbeitung hat, das über das bloße Nachweisen der vorgebrachten Tatsachen hinausgeht. Dagegen muss das Gericht, bevor es diese Daten gegenüber den Parteien oder Dritten offenlegt, prüfen, ob sie auf das für die Zwecke einer solchen Offenlegung notwendige Maß beschränkt sind, und gegebenenfalls bestimmte Maßnahmen ergreifen, um die Beeinträchtigung des Rechts auf Schutz personenbezogener Daten, zu der eine solche Offenlegung führen kann, so gering wie möglich zu halten.

5. Art. 13 Abs. 1 und 2 der Verordnung 2016/679 ist dahin auszulegen, dass er es einem nationalen Gericht nicht verwehrt, im Rahmen der Ausübung seiner justiziellen Tätigkeit Daten zu verwenden, die von einer Partei oder einem Dritten erhoben wurden, die ihren bzw. der seinen Informationspflichten nach dieser Bestimmung nicht nachgekommen ist.

6. Die Verordnung 2016/679 ist dahin auszulegen, dass ein Gericht im Rahmen der Ausübung seiner justiziellen Tätigkeit verpflichtet ist, für die Einhaltung dieser Verordnung Sorge zu tragen, wenn es personenbezogene Daten von Dritten verarbeitet, die an einem Verfahren nicht beteiligt sind. Das Unionsrecht verlangt nicht, dass sich eine der Parteien dieses Verfahrens darauf berufen kann, dass diese Daten von der anderen Partei unter Verletzung von Rechten Dritter aus dieser Verordnung im Sinne der Verordnung unrechtmäßig erhoben oder gespeichert wurden.