Gründe

I. Gegenstand des Ausgangsverfahrens

Im Ausgangsverfahren macht die Klägerin als Arbeitgeberin gegen die beklagte Arbeitnehmerin Schadenersatzansprüche wegen behaupteter Unterschlagung und unbefugter Weiterveräußerung von betrieblichen Gegenständen geltend.

Die Klägerin betreibt einen Heizungs- und Klimatechnikbetrieb. Die Beklagte ist mit dem Geschäftsführer der Klägerin verheiratet; die Eheleute leben seit dem ... in Trennung.

Das langjährige Arbeitsverhältnis zwischen der Klägerin und der Beklagten, die dort als Büromitarbeiterin tätig war, endete zum 31.10.2019. Nachfolgend - bis zur Trennung - bestand für die Beklagte weiterhin die Möglichkeit, die Betriebsräume zu betreten und die dort vorhandenen Computer zu nutzen. Ob dies nur zu privaten Zwecken geschehen ist oder die Beklagte weiterhin Tätigkeiten für die Klägerin ausgeübt hat, ist streitig.

Unmittelbar nach der Trennung der Eheleute ermittelte die Klägerin, handelnd im Wesentlichen durch ihren Mitarbeiter ..., der gleichzeitig der gemeinsame Sohn des Geschäftsführers der Klägerin und der Beklagten ist, dass die Beklagte über die Verkaufsplattform ebay in insgesamt 195 Fällen Betriebsmittel der Klägerin auf eigene Rechnung mit einem Erlös von insgesamt 13.217,09 Euro veräußert habe. Dabei ereigneten sich nach der Darstellung der Klägerin 12 Verkäufe im Jahr 2017, 106 Verkäufe im Jahr 2018, 58 Verkäufe im Jahr 2019, 16 Verkäufe im Jahr 2020, 2 Verkäufe im Jahr 2021 und ein Verkauf im Jahr 2022. Es ergibt sich unter Zugrundelegung des Einkaufspreises der verkauften Gegenstände zzgl. "Verwaltungsallgemeinkosten für die Ersatzbeschaffung" nach Darstellung der Klägerin eine Gesamtschadenssumme von 46.567,91 Euro.

Ihre Kenntnisse von den Verkaufsvorgängen der Beklagten erlangte die Klägerin durch einen EDV-gestützten Zugriff auf das private ebay-Konto der Beklagten. Hierzu verwendete der Mitarbeiter der Klägerin die Benutzerkennung und das Passwort der Beklagten. Auf welchem Wege der Mitarbeiter der Klägerin die Kenntnis hiervon erlangt hat, ist streitig. Während die Klägerin angibt, Erkenntnisse über die Benutzung der ebay-Seite durch die Beklagte durch Einsichtnahme in den Browserverlauf des von der Beklagten genutzten betrieblichen Computers der Klägerin und die Kenntnis des Passwortes durch Einsicht in einem auf dem Server der Klägerin angelegten sog. "Family Ordner", wo das Passwort hinterlegt gewesen sei, gewonnen zu haben, behauptet die Beklagte, ihr Benutzerkennwort nicht auf betrieblichen Datenspeichern gespeichert zu haben. Sie geht davon aus, dass die Klägerin das auf die Klägerin registrierte, von der Beklagten genutzte Mobiltelefon verlustig gemeldet, sodann eine neue SIM-Karte mit neuer PIN beim Telefonanbieter angefordert und diese Rufnummer sodann genutzt habe, um auf der Plattform ebay das Passwort des privaten Kontos der Beklagten zu ändern und sodann Zugang zum Konto zu erhalten.

Die Beklagte bestreitet im Übrigen, Eigentumsgegenstände der Klägerin ohne deren Wissen veräußert zu haben. Bei den Gegenständen habe es sich vorwiegend um gebrauchte Rückläufer gehandelt, die von der Klägerin nicht mehr hätten verwendet werden können und keinen Gewinn eingebracht hätten. Diese seien der Beklagten von der Klägerin schenkweise übereignet worden und von ihr verkauft werden, um die Familienkasse für Lebensmittel und Haushaltsgegenstände aufzubessern.

II. Einschlägige Vorschriften des Unionsrechts

Die Charta der Grundrechte der Europäischen Union vom 12. Dezember 2007, in Kraft getreten am 1. Dezember 2009, lautet in der aktuellen, am 7. Juni 2016 im Amtsblatt der Europäischen Union veröffentlichten Fassung (ABl. C 202) auszugsweise:

"

Artikel 7 Achtung des Privat- und Familienlebens

Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.

Artikel 8 Schutz personenbezogener Daten

(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

(2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden.

...

Artikel 47 Recht auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht

Jede Person, deren durch das Recht der Union garantierte Rechte oder Freiheiten verletzt worden sind, hat das Recht, nach Maßgabe der in diesem Artikel vorgesehenen Bedingungen bei einem Gericht einen wirksamen Rechtsbehelf einzulegen.

Jede Person hat ein Recht darauf, dass ihre Sache von einem unabhängigen, unparteiischen und zuvor durch Gesetz errichteten Gericht in einem fairen Verfahren, öffentlich und innerhalb angemessener Frist verhandelt wird. Jede Person kann sich beraten, verteidigen und vertreten lassen.

...

Artikel 52 Tragweite und Auslegung der Rechte und Grundsätze

(1) Jede Einschränkung der Ausübung der in dieser Charta anerkannten Rechte und Freiheiten muss gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.

..."

Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO), am 4. Mai 2016 im Amtsblatt der Europäischen Union veröffentlicht (ABl. L 119), lautet auszugsweise:

Artikel 5 Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ("Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz");

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken ("Zweckbindung");

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung");

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden ("Richtigkeit");

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden ("Speicherbegrenzung");

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen ("Integrität und Vertraulichkeit");

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können ("Rechenschaftspflicht").

Artikel 6 Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

...

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

...

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche - um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist - unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

...

Artikel 9 Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

...

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,

...

Artikel 13 Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person

(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

(...)

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

(...)

(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.

...

Artikel 17 Recht auf Löschung ("Recht auf Vergessenwerden")

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

...

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

...

e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

...

III. Einschlägige Vorschriften des nationalen Rechts

Das Grundgesetz für die Bundesrepublik Deutschland, ausgefertigt am 23.05.1949, zuletzt geändert durch Art. 1 G v. 19.12.2022 I 2478, lautet auszugsweise:

Artikel 92

Die rechtsprechende Gewalt ist den Richtern anvertraut; sie wird durch das Bundesverfassungsgericht, durch die in diesem Grundgesetze vorgesehenen Bundesgerichte und durch die Gerichte der Länder ausgeübt.

Die Zivilprozessordnung vom 30. Januar 1877 in der Fassung der Bekanntmachung vom 05.12.2005 (BGBl. I S. 3202, ber. 2006 I S. 431, 2007 S. 1781), zuletzt geändert durch Gesetz vom 22.12.2023 (BGBl. I S. 411) m.W.v. 30.12.2023, lautet auszugsweise:

§ 138 Erklärungspflicht über Tatsachen; Wahrheitspflicht

(1) Die Parteien haben ihre Erklärungen über tatsächliche Umstände vollständig und der Wahrheit gemäß abzugeben.

(2) Jede Partei hat sich über die von dem Gegner behaupteten Tatsachen zu erklären.

(3) Tatsachen, die nicht ausdrücklich bestritten werden, sind als zugestanden anzusehen, wenn nicht die Absicht, sie bestreiten zu wollen, aus den übrigen Erklärungen der Partei hervorgeht.

(4) Eine Erklärung mit Nichtwissen ist nur über Tatsachen zulässig, die weder eigene Handlungen der Partei noch Gegenstand ihrer eigenen Wahrnehmung gewesen sind.

...

§ 286 Freie Beweiswürdigung

(1) Das Gericht hat unter Berücksichtigung des gesamten Inhalts der Verhandlungen und des Ergebnisses einer etwaigen Beweisaufnahme nach freier Überzeugung zu entscheiden, ob eine tatsächliche Behauptung für wahr oder für nicht wahr zu erachten sei. In dem Urteil sind die Gründe anzugeben, die für die richterliche Überzeugung leitend gewesen sind.

(2) An gesetzliche Beweisregeln ist das Gericht nur in den durch dieses Gesetz bezeichneten Fällen gebunden.

Das Bundesdatenschutzgesetz vom 30. Juni 2017 (BGBl. I S. 2097), zuletzt durch Artikel 7 des Gesetzes vom 6. Mai 2024 (BGBl. 2024 I Nr. 149) geändert, lautet auszugsweise:

§ 3 Verarbeitung personenbezogener Daten durch öffentliche Stellen

Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.

...

§ 26 Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses

(1) Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

(2) Erfolgt die Verarbeitung personenbezogener Daten von Beschäftigten auf der Grundlage einer Einwilligung, so sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Die Einwilligung hat schriftlich oder elektronisch zu erfolgen, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Der Arbeitgeber hat die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht nach Artikel 7 Absatz 3 der Verordnung (EU) 2016/679 in Textform aufzuklären.

(3) Abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 für Zwecke des Beschäftigungsverhältnisses zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Absatz 2 gilt auch für die Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten; die Einwilligung muss sich dabei ausdrücklich auf diese Daten beziehen. § 22 Absatz 2 gilt entsprechend.

(4) Die Verarbeitung personenbezogener Daten, einschließlich besonderer Kategorien personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses, ist auf der Grundlage von Kollektivvereinbarungen zulässig. Dabei haben die Verhandlungspartner Artikel 88 Absatz 2 der Verordnung (EU) 2016/679 zu beachten.

(5) Der Verantwortliche muss geeignete Maßnahmen ergreifen, um sicherzustellen, dass insbesondere die in Artikel 5 der Verordnung (EU) 2016/679 dargelegten Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden.

(6) Die Beteiligungsrechte der Interessenvertretungen der Beschäftigten bleiben unberührt.

(7) Die Absätze 1 bis 6 sind auch anzuwenden, wenn personenbezogene Daten, einschließlich besonderer Kategorien personenbezogener Daten, von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(8) Beschäftigte im Sinne dieses Gesetzes sind:

1. Arbeitnehmerinnen und Arbeitnehmer, einschließlich der Leiharbeitnehmerinnen und Leiharbeitnehmer im Verhältnis zum Entleiher

...

IV. Erforderlichkeit der Entscheidung des Gerichtshofs

Im hier zu entscheidenden Fall geht das vorlegende Gericht davon aus, dass die Datenerhebung durch die klagende Partei, mit der diese ihre Kenntnisse über die - über die Plattform ebay abgewickelten - Verkäufe der beklagten Partei erlangt hat, möglicherweise auf unrechtmäßige Art und Weise erfolgt ist. Das vorlegende Gericht geht weiter davon aus, dass seine eigene Tätigkeit - konkret: die Frage, ob es die von der klagenden Partei erhobenen Daten bei seiner Entscheidung verwerten darf, und die dann ggf. nachfolgende vollständige oder teilweise Verwertung dieser Daten - eine Datenverarbeitung im Sinne der DSGVO darstellt. Die hierfür maßgeblichen Kriterien finden sich in der DSGVO. Ihre Bestimmungen bedürfen nach dem Dafürhalten des vorlegenden Gerichts der Auslegung durch den Gerichtshof. Durch die bislang ergangenen Entscheidungen des Gerichtshofs ist nach Auffassung des vorlegenden Gerichts auch noch nicht hinlänglich geklärt, ob die Normen des deutschen Prozessrechts hinreichend bestimmt sind, um den Anforderungen der DSGVO zu genügen, insbesondere was die Beurteilung der Fragen möglicher Verwertungsverbote angeht, ob sich die Gerichte bei ihrer Tätigkeit auf Art. 17 Abs. 3 Buchst. e DSGVO berufen können und an welchen Kriterien eine justizielle Datenverarbeitungstätigkeit - insbesondere bei, wie vorliegend, möglicherweise unrechtmäßig durch die Partei erhobenen Daten - im Einzelnen zu messen ist. Aus diesen Gründen hält das vorlegende Gericht, um den Fall sachgerecht entscheiden zu können, eine Vorabentscheidung des Gerichtshofs für erforderlich.

V. Erläuterung der Vorlagefragen

1. Erste Vorlagefrage

Der Gerichtshof hat in seinen Urteilen vom 24. März 2022 - C-245/20 - (Autoriteit Persoonsgegevens) in Rn. 25 und vom 2. März 2023 - C-268/21 - (Norra Stockholm Bygg AB) in Rn. 26 darauf hingewiesen, dass die DSGVO nach ihrem Art. 2 Abs. 1 "für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen", gelte, ohne danach zu unterscheiden, wer der Urheber der betreffenden Verarbeitung sei, und dass daraus folge, dass die DSGVO vorbehaltlich der in ihrem Art. 2 Abs. 2 und 3 genannten Fälle sowohl für Verarbeitungsvorgänge gelte, die von Privatpersonen vorgenommen werden, als auch für Verarbeitungsvorgänge, die durch Behörden erfolgten, einschließlich - wie aus dem 20. Erwägungsgrund der Verordnung hervorgehe - Justizbehörden wie Gerichten.

Art. 8 Abs. 2 Satz 1 GrCh legt fest, dass personenbezogene Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. In engem Zusammenhang damit steht Art. 52 Abs. 1 Satz 1 GrCh, wonach jede Einschränkung der Ausübung der in der GrCh anerkannten Rechte und Freiheiten gesetzlich vorgesehen sein muss. Nach Art. 6 Abs. 3 Satz 1 DSGVO wird die Rechtsgrundlage für die Verarbeitungen gemäß dessen Absatz 1 Buchstaben c und e - soweit das Unionsrecht keine Regelungen trifft - durch das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt. Satz 2 bestimmt sodann zunächst einmal, dass der Zweck der Verarbeitung in dieser Rechtsgrundlage festgelegt sein muss. Weiter heißt es allerdings hinsichtlich der Verarbeitung gem. Absatz 1 Buchstabe e, eingeleitet mit dem Wort "oder", diese müsse für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liege oder in Ausübung öffentlicher Gewalt erfolge, die dem Verantwortlichen übertragen worden sei.

In diesem Zusammenhang ist nach Auffassung des vorlegenden Gerichts weiter zu berücksichtigen, dass der Gerichtshof in seinem Urteil vom 24. Februar 2022 - C-175/20 - (Valsts ienemumu dienests) in Rn. 83 im Zusammenhang mit einem behördlichen Auskunftsrecht ausgeführt hat, dass, um dem Erfordernis der Verhältnismäßigkeit zu genügen, das in Art. 5 Abs. 1 Buchst. c der Verordnung 2016/679 zum Ausdruck gebracht werde, die der Verarbeitung zugrunde liegende Regelung klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen und Mindesterfordernisse aufstellen müsse, so dass die Personen, deren personenbezogene Daten betroffen seien, über ausreichende Garantien verfüge, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken ermöglichten. Die Regelung müsse nach nationalem Recht bindend sein und insbesondere Angaben dazu enthalten, unter welchen Umständen und unter welchen Voraussetzungen eine Maßnahme, die die Verarbeitung solcher Daten vorsehe, getroffen werden dürfe, damit gewährleistet sei, dass sich der Eingriff auf das absolut Notwendige beschränke.

Das vorlegende Gericht fragt vor diesem Hintergrund, ob Art. 6 Abs. 3 Satz 2 DSGVO derart auszulegen ist, dass es bei einer mit Grundrechtseingriffen verbundenen gerichtlichen Tätigkeit und der damit verbundenen Datenverarbeitung ausreicht, dass diese für die Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist bzw. in Ausübung übertragener öffentlicher Gewalt erfolgt, oder ob die Auslegung der Norm vielmehr ergibt, dass weitergehende - höhere - Bestimmtheitsanforderungen an die Rechtsgrundlage der gerichtlichen Verarbeitung zu stellen sind.

Sollte der Gerichtshof zu dem Ergebnis gelangen, dass auch für gerichtliche Verarbeitungstätigkeit, die mit Grundrechtseingriffen verbunden ist, gesetzliche Regelungen erforderlich sind, die insbesondere Angaben dazu enthalten, unter welchen Umständen und unter welchen Voraussetzungen Daten, die seitens der Parteien beigebracht worden sind, durch das Gericht verwertet werden dürfen, fragt das vorlegende Gericht weiter, ob die nationalen Vorschriften - hier insbesondere Art. 92 GG, § 3 BDSG und §§ 138, 286, 355 ff. ZPO - diesen Erfordernissen nach Auffassung des Gerichtshofs genügen. Erläuternd ist hierzu auszuführen, dass weder das deutsche Bundesdatenschutzgesetz noch die deutsche Zivilprozessordnung Regelungen dazu enthalten, welche Voraussetzungen erfüllt sein oder welche Kriterien gegeneinander abgewogen werden müssen, damit festgestellt werden kann, ob ein Gericht den Sachvortrag einer Partei berücksichtigen bzw. den von einer Partei angebotenen Beweis erheben muss, kann oder darf. Insbesondere finden sich dort keine Regelungen für den Fall, dass die Partei die ihrem Sachvortrag zugrunde liegenden Kenntnisse auf unrechtmäßige Weise erlangt hat oder sich auf unrechtmäßig erlangte Beweismittel bezieht. Im deutschen Zivilprozess - und damit auch im arbeitsgerichtlichen Verfahren - werden Verwertungsverbote allein auf richterrechtlicher Grundlage zur Anwendung gebracht.

2. Zweite Vorlagefrage

Artikel 6 Abs. 1 Buchstabe e) DSGVO bestimmt, dass die Verarbeitung u.a. dann rechtmäßig ist, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Art. 9 Abs. 2 Buchstabe f) DSGVO legt fest, dass die Verarbeitung der in Art. 9 Abs. 1 DSGVO aufgezählten besonderen Kategorien personenbezogener Daten u.a. dann zulässig ist, wenn sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist.

Der 2. Senat des Bundesarbeitsgerichts hat in seinem Urteil vom 29.6.2023 - 2 AZR 297/22 in Rn. 27 ausgeführt, die - ggf. zweckändernde - Verarbeitung von personenbezogenen Daten durch das Gericht komme selbst dann in Betracht, wenn die vor- oder außergerichtliche Erhebung dieser Daten durch eine Prozesspartei sich nach Maßgabe der DSGVO oder des nationalen Datenschutzrechts als rechtswidrig darstelle. Dies folge ohne das Erfordernis eines darauf bezogenen Vorabentscheidungsverfahrens des Gerichtshofs der Europäischen Union nach Art. 267 Abs. 3 AEUV in aller Eindeutigkeit (acte clair) aus Art. 17 DSGVO. Nach dessen Abs. 1 Buchst. d seien zwar personenbezogene Daten zu löschen, wenn sie unrechtmäßig verarbeitet worden seien, wozu nach Art. 4 Nr. 2 DSGVO auch ihre rechtswidrige Erhebung zähle. Von dem Recht auf Löschung unrechtmäßig verarbeiteter Daten bestehe nach Art. 17 Abs. 3 Buchst. e DSGVO jedoch insoweit eine Ausnahme, wie die weitere Verarbeitung der fraglichen Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen "erforderlich" sei. Dazu habe der Gerichtshof in seiner Entscheidung vom 24.09.2019 - C-136/17 - (GC ua.) in Rn. 57 klargestellt, dass das Recht auf Schutz personenbezogener Daten kein uneingeschränktes Recht sei, sondern - wie in Erwägungsgrund 4 der DSGVO ausgeführt - im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden müsse.

Das vorlegende Gericht gibt demgegenüber zu bedenken, dass Art. 17 DSGVO ausschließlich Regelungen zu einem Löschungsanspruch trifft und daher seines Erachtens nicht als Grundlage justizieller Verarbeitungstätigkeit herangezogen werden kann. Zudem erscheint dem vorlegenden Gericht fraglich, ob der Inhalt des Abs. 3 Buchst. e), wonach die Löschungsrechte bzw. - verpflichtungen nicht gelten, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, auf die gerichtliche Tätigkeit anwendbar ist. Hieran werden in der Literatur Zweifel geäußert mit der aus Sicht des vorlegenden Gerichts stichhaltigen Begründung, das Gericht selbst verarbeite die personenbezogenen Daten nicht zu den in Art. 17 Abs. 3 Buchst. e) DSGVO genannten Zwecken, sondern zur Erfüllung seiner eigenen, ihm kraft Gesetzes zugewiesenen Aufgaben (Halder/Ittner, DB 2023, 2629 (2630)).

Einen acte clair im oben beschriebenen Sinne vermag das vorlegende Gericht nach dem Ausgeführten nicht zu erkennen, weshalb es den Gerichtshof um Klärung bittet, ob es zutrifft, dass Art. 6 Abs. 1 Buchst. e) sowie - für die Fälle der Verarbeitung besonderer Kategorien personenbezogener Daten - Art. 9 Abs. 2 Buchst. f) DSGVO die maßgebliche datenschutzrechtliche Ausgangsgrundlage für die Tätigkeit der Gerichte bilden, sowie weiter um Beantwortung der Frage, ob sich die Gerichte daneben auch auf Art. 17 Abs. 3 Buchst. e DSGVO als Rechtsgrundlage ihrer eigenen justiziellen Verarbeitungstätigkeit berufen können.

Sollte der Gerichtshof zu der Auffassung gelangen, dass Art. 17 Abs. 3 Buchst. e DSGVO eine solche Grundlage für die gerichtliche Verarbeitung zu bilden vermag, möchte das vorlegende Gericht wissen, wie sich die Anwendung der Vorschrift sodann näher gestaltet. Dabei ist für das vorlegende Gericht vor allem von Interesse, ob und - falls ja - unter welchen Voraussetzungen und in welchen Grenzen diese Norm Anwendung findet, wenn - wie es hier der Fall sein könnte - die ursprüngliche Datenerhebung durch eine Prozesspartei (oder durch einen Dritten) nicht in rechtmäßiger Weise erfolgte. Weiter möchte das vorlegende Gericht wissen, ob sich aus Art. 17 Abs. 3 Buchst. e DSGVO für bestimmte Fallkonstellationen sogar ein Verwertungsgebot herleiten lässt, etwa für den Fall, dass die ursprüngliche Datenerhebung nicht verdeckt erfolgte und zum Nachweis einer vorsätzlich begangenen Pflichtverletzung eingesetzt wurde.

3. Dritte Vorlagefrage

Mit seiner dritten Frage möchte das vorlegende Gericht vom Gerichtshof wissen, nach welchen inhaltlichen Maßstäben sich die justizielle Datenverarbeitungstätigkeit konkret zu richten hat.

Frage 3 a: Es ist im konkreten Fall und darüber hinaus auch allgemein von erheblicher Bedeutung, ob die Gerichte im Falle ursprünglich unrechtmäßig erhobener oder gespeicherter Daten eine Verarbeitung erst nach umfassender Verhältnismäßigkeitsprüfung und Abwägung vornehmen dürfen. Weiter ist von Interesse, welche Kriterien mit welcher Gewichtung in eine vorzunehmende gerichtliche Abwägung einzustellen sind. Sollte eine Prüfung und Abwägung in bestimmten Fällen entbehrlich sein, wäre es hilfreich zu erfahren, welche Kriterien hierfür maßgeblich sind.

In diesem Zusammenhang wäre es für die Entscheidung des vorliegenden Falles insbesondere auch von Bedeutung, zu erfahren, ob der Gerichtshof der Meinung ist, Fälle, in denen eine Partei unrechtmäßig gewonnene Daten in das Verfahren einführt, deren Authentizität und sachliche Richtigkeit als solche von der anderen Partei nicht bestritten wird, unterlägen anderen Beurteilungskriterien als solche Fälle, in denen die andere Partei sowohl die Art und Weise der Datenerlangung als unrechtmäßig beanstandet als auch die Authentizität und/oder sachliche Richtigkeit der in den Prozess eingeführten Daten bestreitet. Im erstgenannten Fall sind die Tatsachen als solche unstreitig, es stellt sich ausschließlich die Frage, ob der Sachvortrag als solcher zuzulassen ist. Im zweiten Fall sind die Tatsachen streitig, es stellt sich (zunächst) die Frage, ob eine Beweiserhebung erfolgen darf. Die nationale höchstrichterliche Rechtsprechung behandelt diese Fallkonstellationen unterschiedlich und unter Zugrundelegung abweichender rechtlicher Maßstäbe. Für die Entscheidung des vorliegenden Falles ist die Auffassung des Gerichtshofs zu dieser Frage ebenfalls von Bedeutung.

Frage 3 b: Die Zeiträume, in denen vorliegend die behaupteten Verkäufe stattfanden, reichen weit in die Vergangenheit zurück. Zudem hatte die beklagte Arbeitnehmerin die betriebliche EDV lange Zeit nicht mehr benutzt, als die Erfassung der von ihr anlässlich dessen produzierten Daten durch die klagende Arbeitgeberin für Zwecke des vorliegenden Verfahrens stattfand. In diesem Zusammenhang wirft die Anwendung von Art. 5 Abs. 1 Buchst. e DSGVO, welcher im Wesentlichen regelt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie dies ihr Zweck erfordert, zahlreiche Fragen auf. Es stellt sich vorliegend die Frage, welchen Einfluss es auf die nachfolgende justizielle Verarbeitungstätigkeit hat, wenn die ursprüngliche Datenerhebung bzw. -speicherung anderen Zwecken als den von der Partei nunmehr verfolgten diente und ggf. lange Zeit zurückliegt bzw. über längere Zeiträume aufrechterhalten wurde. Sind diese Kriterien in die Verhältnismäßigkeitsprüfung und Abwägung einzustellen? Wie ist zu verfahren, wenn vertragliche Löschungsverpflichtungen bestanden, die nicht eingehalten worden sind?

Frage 3 c: Vorliegend kommt in Betracht, dass das Vorgehen der klagenden Arbeitgeberin bei ihrer Datenerhebung Persönlichkeitsrechte der beklagten Arbeitnehmerin verletzt haben könnte. Das Bundesverfassungsgericht vertritt in ständiger Rechtsprechung (vgl. etwa BVerfG, Beschluss vom 9. Oktober 2002 - 1 BvR 1611/96 -, BVerfGE 106, 28-51, Rn. 60) die Auffassung, dass die Gerichte, um die Wahrheit zu ermitteln, zwar grundsätzlich gehalten seien, von den Parteien angebotene Beweismittel zu berücksichtigen, wenn und soweit eine Tatsachenbehauptung erheblich und beweisbedürftig sei. Nehme die Partei allerdings Datenerhebungen vor, die mit einem Eingriff in das allgemeine Persönlichkeitsrecht des Betroffenen verbunden seien, reiche die Berufung der Partei auf ein allgemeines Beweisinteresse nicht aus. Vielmehr müssten weitere Aspekte hinzutreten, die ergäben, dass das Interesse an der Beweiserhebung trotz der Persönlichkeitsbeeinträchtigung schutzbedürftigsei, etwa in Gestalt einer Notwehrsituation oder notwehrähnlichen Lage. Das vorlegende Gericht fragt an, ob der Gerichtshof solch einen Rechtsgrundsatz aus dem Unionsrecht so oder ähnlich ebenfalls herleitet, oder ob aus dem Unionsrecht insoweit keine Vorgaben folgen, so dass es Sache der nationalen Rechtsordnung ist, hierzu Regelungen zu treffen.

Frage 3 d: Art. 47 Abs. 2 GrCh verbürgt das Recht auf effektiven gerichtlichen Rechtsschutz und insbesondere auf ein faires Verfahren. Es stellt sich die Frage, inwieweit sich die klagende Arbeitgeberin vorliegend hierauf berufen kann. Darf das vorlegende Gericht die - hier: möglicherweise - unrechtmäßig durch die Arbeitgeberin erhobenen personenbezogenen Daten der Arbeitnehmerin nur dann nicht verwerten, wenn es zu der Auffassung gelangt, dass sich die Datenerhebung als schwerwiegende Verletzung von Art. 7 und Art. 8 GrCh erwiese, oder können auch andere, weniger schwerwiegende datenschutzrechtliche Verstöße bei der ursprünglichen Datenerhebung dazu führen, dass eine gerichtliche Verwertung unangemessen und unverhältnismäßig wäre?

Frage 3 e: Nach Art. 13 DSGVO treffen den Datenerhebenden umfangreiche Informationspflichten. Diesen Pflichten ist die klagende Arbeitgeberin vorliegend möglicherweise nicht nachgekommen. Das vorlegende Gericht bittet den Gerichtshof um Klärung, ob und nach welchen konkreten Maßstäben ein solcher Verstoß Einfluss auf die gerichtliche Entscheidung hat, ob es die ursprünglich erhobenen Daten verwerten kann.

Frage 3 f: Der Gerichtshof hat in seiner Entscheidung vom 2. März 2023 - C-268/21 - zu Rn. 55 ausgeführt, dass das nationale Gericht festzustellen habe, ob die Offenlegung personenbezogener Daten angemessen und erheblich ist, um das mit den anwendbaren Bestimmungen des nationalen Rechts verfolgte Ziel zu erreichen, und ob dieses Ziel nicht durch die Verwendung von Beweismitteln erreicht werden könne, die weniger in den Schutz der personenbezogenen Daten einer großen Zahl von Dritten eingreifen. Damit ist die Frage angesprochen, welche Rolle der Schutz der personenbezogenen Daten Dritter bei der gerichtlichen Verwertung der von einer Partei in das Verfahren eingebrachten Daten spielt. Vorliegend könnten etwa die Daten der ebay-Käufer hiervon betroffen sein. Das vorlegende Gericht fragt den Gerichtshof, ob er im Zusammenhang mit dieser Frage Ausführungen tätigen und Maßstäbe aufstellen kann, die über das bereits Gesagte hinausgehen.