Missbräuchliche DSGVO-Auskunft: EuGH erlaubt Ablehnung

Missbrauch auch beim ersten Antrag möglich

Ein Auskunftsantrag nach der DSGVO kann schon beim ersten Mal missbräuchlich sein. Das hat der Europäische Gerichtshof am 19. März 2026 entschieden (Az. C-526/24). Ein Unternehmen darf die Auskunft dann verweigern. Es muss aber nachweisen, dass es dem Antragsteller nicht um seine Daten ging, sondern um künstlich herbeigeführten Schadensersatz. Dieser Nachweis ist für Unternehmen die eigentliche Hürde.

Der Fall: Newsletter und Auskunftsantrag

Brillen Rottler, ein familiengeführter Optiker aus Arnsberg, bekam im März 2023 einen neuen Newsletter-Abonnenten aus Österreich. Der Mann trug seine Daten in die Anmeldemaske ein und willigte in die Verarbeitung ein. 13 Tage später, für ein Newsletter-Abonnement eine kurze Bekanntschaft, verlangte er Auskunft über seine Daten. Brillen Rottler lehnte innerhalb der gesetzlichen Monatsfrist ab, hielt den Antrag für missbräuchlich und forderte den Mann auf, endgültig davon abzusehen.

Das Unternehmen stützte sich auf Medienberichte, Blogbeiträge und Berichte von Anwälten. Danach gehe der Mann systematisch nach einem Muster vor: Newsletter abonnieren, Auskunft verlangen, Schadensersatz fordern. Der Abonnent hielt an seinem Antrag fest und verlangte 1.000 Euro Schadensersatz. Brillen Rottler klagte daraufhin vor dem Amtsgericht Arnsberg auf Feststellung, dass kein Anspruch besteht. Der Mann erhob Widerklage auf Schadensersatz für die verweigerte Auskunft. Das Amtsgericht legte die Sache dem EuGH vor.

Das Auskunftsrecht und seine Ausnahme

Jeder kann von einem Unternehmen erfahren, ob es personenbezogene Daten über ihn verarbeitet und welche das sind. Das regelt Artikel 15 der DSGVO. Die Auskunft ist kostenlos, und das Unternehmen muss sie innerhalb eines Monats erteilen. Der Sinn dahinter: Wer weiß, was mit seinen Daten passiert, kann prüfen, ob das rechtmäßig ist, und anschließend Berichtigung, Löschung oder Schadensersatz verlangen.

Die DSGVO kennt eine Ausnahme. Bei offenkundig unbegründeten oder exzessiven Anträgen, insbesondere bei häufiger Wiederholung, darf das Unternehmen ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern. Den Nachweis dafür muss das Unternehmen führen. Das Amtsgericht Arnsberg fragte sich deshalb, ob ein Antrag überhaupt exzessiv sein kann, wenn er der erste ist. Das Gesetz spricht schließlich von Wiederholung.

Warum der erste Antrag exzessiv sein kann

Der EuGH nimmt das Wort beim Wortsinn: Exzessiv ist, was über das gewöhnliche oder vernünftige Maß hinausgeht, nach Menge oder nach Qualität. Die häufige Wiederholung nennt das Gesetz nur als Beispiel. Eine Häufung von Anträgen ist ein Indiz für Missbrauch, aber keine Voraussetzung. Ausschlaggebend ist die qualitative Bewertung des einzelnen Antrags, und die hängt nicht davon ab, ob es der erste ist.

Hinter der Ausnahme steht ein allgemeiner Grundsatz des Unionsrechts: Niemand darf sich missbräuchlich auf europäische Vorschriften berufen. Datenschutz gilt nicht uneingeschränkt, er muss gegen andere Grundrechte abgewogen werden. Zugleich ist die Ausnahme eng auszulegen. Ein Unternehmen kann sich nur ausnahmsweise darauf berufen, und die Maßstäbe für einen ersten Antrag müssen hoch sein.

Der Nachweis liegt beim Unternehmen

Für einen Rechtsmissbrauch verlangt der EuGH zwei Dinge. Erstens objektive Umstände, aus denen sich ergibt, dass der Antrag zwar formal in Ordnung ist, das Ziel des Auskunftsrechts aber verfehlt. Zweitens ein subjektives Element: die Absicht, sich einen Vorteil aus der DSGVO zu verschaffen, indem die Voraussetzungen dafür künstlich geschaffen werden. Das Unternehmen muss eindeutig nachweisen, dass der Antragsteller mit dem Antrag die Grundlage für Schadensersatz legen wollte und nicht seine Datenverarbeitung verstehen.

Dabei zählen alle Umstände des Einzelfalls. Der EuGH nennt ausdrücklich die freiwillige Bereitstellung der Daten, deren Zweck, die Zeit zwischen Bereitstellung und Antrag sowie das Verhalten der Person. Öffentlich zugängliche Informationen, wonach dieselbe Person bei vielen Unternehmen Auskunft verlangt und danach Schadensersatz fordert, dürfen berücksichtigt werden. Allein tragen sie die Ablehnung nicht, sie müssen durch andere Anhaltspunkte bestätigt werden.

Ob Brillen Rottler diesen Nachweis geführt hat, prüft nun das Amtsgericht Arnsberg. An Material dürfte es nicht fehlen. In einem ähnlichen Verfahren vor dem Amtsgericht Augsburg waren laut Medienberichten 66 Fälle desselben Antragstellers belegt, Forderungssumme rund 160.000 Euro.

Schadensersatz auch bei verweigerter Auskunft

Zwei weitere Antworten des EuGH sollten Unternehmen bremsen, bevor sie vorschnell ablehnen. Zum einen gibt es Schadensersatz nach der DSGVO auch dann, wenn ein Unternehmen eine Auskunft zu Unrecht verweigert. Eine rechtswidrige Datenverarbeitung ist dafür nicht nötig. Zum anderen zählt als immaterieller Schaden schon der Verlust der Kontrolle über die eigenen Daten oder die Ungewissheit, ob sie verarbeitet werden. Eine Bagatellgrenze gibt es nicht.

Ein Automatismus ist das aber nicht. Der Antragsteller muss beweisen, dass ihm dieser Schaden wirklich entstanden ist und dass er über den bloßen Verstoß hinausgeht. Und der EuGH fügt einen Punkt hinzu, der für professionelle Antragsteller unangenehm ist. Wer seine Daten nur übermittelt hat, um die Voraussetzungen für Schadensersatz künstlich zu schaffen, hat den Kontrollverlust selbst verursacht. Ist das eigene Verhalten die „entscheidende Ursache“ des Schadens, entfällt der Anspruch.

Was das für Unternehmen bedeutet

Das Urteil ist kein Freibrief. Der Regelfall bleibt: Ein Auskunftsantrag wird innerhalb eines Monats vollständig und kostenlos beantwortet. Ein lästiger Antragsteller ist noch kein Rechtsmissbrauch, und ein Antrag kurz nach der Anmeldung allein auch nicht. Wer zu Unrecht verweigert, liefert dem Antragsteller genau den Verstoß, den er für seinen Schadensersatz braucht.

Das Abwehrargument taugt nur für den Einzelfall mit Belegen. Sinnvoll ist deshalb eine Dokumentation: Wann und wofür wurden die Daten bereitgestellt, wie viel Zeit verging bis zum Antrag, wie verhielt sich der Antragsteller danach. Berichte über gleichartige Fälle bei anderen Unternehmen sind ein Baustein, ersetzen die übrigen Anhaltspunkte aber nicht.

Wer ablehnt, muss das innerhalb der Monatsfrist tun und begründen, so wie Brillen Rottler es getan hat. Ein Antrag, der unbeantwortet liegen bleibt, ist kein Gebrauch der Ausnahme. Das Unternehmen verstößt dann gegen seine Auskunftspflicht. Im Zweifel ist die Auskunft der sicherere Weg. Die Antwort kostet Arbeitszeit, eine unberechtigte Verweigerung kann Schadensersatz und einen Prozess kosten.