Mehrere Rechtsgrundlagen für eine Verarbeitung – der EuGH schafft Klarheit

Eine Frage, die in der datenschutzrechtlichen Beratungspraxis immer wieder auftaucht, hat der Europäische Gerichtshof (EuGH) nun beantwortet: Darf sich ein Verantwortlicher für ein und dieselbe Datenverarbeitung gleichzeitig auf mehrere Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO stützen? Die Antwort lautet: Ja – unter bestimmten Voraussetzungen. Doch das Urteil vom 18. Juni 2026 in der Rechtssache C-484/24 (NTH Haustechnik GmbH) hat noch mehr zu bieten.

Was war geschehen?

Ein Arbeitgeber klagte gegen seine ehemalige Angestellte, die außerdem die Ehefrau des Geschäftsführers war, auf Schadensersatz wegen des unerlaubten Onlineverkaufs von Waren, die dem Arbeitgeber gehörten. Im Rahmen der Sachverhaltsaufklärung hatte der Arbeitgeber personenbezogene Daten der Arbeitnehmerin verarbeitet – möglicherweise nicht ganz regelkonform. Das Landesarbeitsgericht (LAG) Niedersachsen, das den Fall zu entscheiden hatte, legte dem EuGH daraufhin eine Reihe datenschutzrechtlicher Fragen zur Vorabentscheidung vor: Welche Rechtsgrundlage gilt für die Datenverarbeitung durch ein Gericht? Darf ein Gericht Beweismittel verwenden, die unter Verstoß gegen die DSGVO erlangt wurden? Und hätte die betroffene Person einen Anspruch auf Löschung?

Die Kernaussage: Mehrere Rechtsgrundlagen nebeneinander möglich

Die wohl wichtigste Aussage des Urteils betrifft die Frage der parallelen Anwendbarkeit von Rechtsgrundlagen. Der EuGH hält ausdrücklich fest, dass unter bestimmten Umständen für dieselbe Verarbeitung mehrere alternative Zulässigkeitsvoraussetzungen gelten können.

Bisher war in der Fachwelt umstritten, ob Verantwortliche sich für eine Datenverarbeitung auf genau eine Rechtsgrundlage festlegen müssen, oder ob eine Verarbeitung alternativ auf mehrere Tatbestände des Art. 6 Abs. 1 DSGVO gestützt werden darf. Der EuGH lässt nun keinen Zweifel: Beides ist möglich, sofern die jeweiligen Voraussetzungen erfüllt sind. Wichtig ist jedoch darauf hinzuweisen, dass die Voraussetzungen jeder herangezogenen Rechtsgrundlage eigenständig geprüft, eingehalten und dokumentiert werden müssen. Eine bloße Mehrfachnennung ohne inhaltliche Substanz genügt nicht.

Weitere relevante Aussagen des Urteils

• Der Art. 17 Abs. 3 lit. e DSGVO ist kein eigenständiger Erlaubnistatbestand: Die Ausnahme vom Löschungsrecht bei der Geltendmachung von Rechtsansprüchen begründet keine eigene Rechtmäßigkeitsvoraussetzung – sie setzt das Vorliegen einer Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO stets voraus.
• Rechtswidrig erlangte Beweise dürfen vor Gericht grundsätzlich verwendet werden: Die DSGVO schließt die Verwertung solcher Beweismittel nicht generell und absolut aus – jedenfalls dann nicht, wenn die beweisführende Partei ein berechtigtes Interesse hat, das über das bloße Nachweisen von Tatsachen hinausgeht. Allerdings muss das Gericht bei der anschließenden Offenlegung, etwa durch Urteilsveröffentlichung oder Zustellung, prüfen, ob die Daten auf das notwendige Maß beschränkt sind, und gegebenenfalls Maßnahmen wie Anonymisierung oder Pseudonymisierung ergreifen.
• Verstöße gegen Informationspflichten führen nicht zu einem absoluten Beweisverwertungsverbot: Der Art. 13 DSGVO steht der Verwendung von Daten durch ein Gericht nicht entgegen, auch wenn die erhebende Partei ihre Informationspflichten nicht erfüllt hat.

Was bedeutet das für die Praxis?

Die Klarstellung zur Mehrfachstützung auf Rechtsgrundlagen ist eine begrüßenswerte Erleichterung, insbesondere im Beschäftigungskontext, wo die Abgrenzung etwa zwischen Art. 6 Abs. 1 S. 1 lit. b und f DSGVO oft schwierig ist. Verantwortliche können sich künftig auf mehrere einschlägige Rechtsgrundlagen berufen, solange deren Voraussetzungen jeweils vorliegen.

Gleichzeitig verdeutlicht das Urteil, dass die sorgfältige Prüfung und Dokumentation unverzichtbar bleiben. Wer Daten im Rahmen von internen Untersuchungen oder zur Vorbereitung eines Gerichtsverfahrens verarbeitet, sollte die Rechtsgrundlage tragfähig begründen können.