Ein Antrag auf Auskunft über die eigenen personenbezogenen Daten kann als missbräuchlich eingestuft und zurückgewiesen werden, wenn er allein in der Absicht gestellt wird, anschließend Schadensersatz wegen eines angeblichen Verstoßes gegen die Datenschutz-Grundverordnung (DSGVO) zu fordern.

Sachverhalt

Die Parteien streiten um Schadensersatz aus angeblichen DSGVO-Verstößen. Der Kläger meldete sich für den Newsletter des Optikerunternehmens Brillen Rottler an und übermittelte dabei freiwillig seine personenbezogenen Daten. Bereits 13 Tage später machte er sein Auskunftsrecht nach Art. 15 DSGVO geltend. Das Unternehmen verweigerte die Auskunft mit der Begründung, der Antrag sei rechtsmissbräuchlich. Nach öffentlich zugänglichen Informationen habe der Kläger wiederholt Unternehmen mit vergleichbaren Auskunftsersuchen konfrontiert und anschließend Schadensersatzansprüche wegen angeblicher DSGVO-Verstöße geltend gemacht (sog. „DSGVO-Hopping“). Der Kläger hielt dem entgegen, sein Auskunftsersuchen sei berechtigt gewesen, und verlangte seinerseits immateriellen Schadensersatz wegen der verweigerten Auskunft. Das Amtsgericht legte dem EuGH im Wege der Vorabentscheidung unter anderem die Fragen vor, ob ein exzessiver Antrag bereits bei der ersten Antragsstellung vorliegen könne und deshalb ein Verweigerungsrecht gem. Art. 12 Abs. 5 Satz 2, Art. 15 DS-GVO bestehen könne.

Entscheidung

Der EuGH entschied, dass auch ein erstmaliges Auskunftsersuchen bereits als „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO eingestuft werden könne, wenn besondere Umstände auf einen Missbrauch des Auskunftsrechts hindeuten. Maßgeblich sei, ob der Antrag tatsächlich dem Zweck dient, sich über die Verarbeitung personenbezogener Daten zu informieren und deren Rechtmäßigkeit zu überprüfen, oder ob er allein darauf abzielt, die Voraussetzungen für spätere Schadensersatzforderungen künstlich zu schaffen.

Für die Missbrauchsprüfung sind sämtliche Umstände des Einzelfalls zu berücksichtigen. Relevante Indizien können insbesondere sein, dass die betroffene Person ihre Daten freiwillig zur Verfügung gestellt hat, zwischen Dateneingabe und Auskunftsersuchen nur kurze Zeit vergangen ist und bereits vergleichbare Auskunfts- und Schadensersatzbegehren gegenüber anderen Verantwortlichen öffentlich bekannt geworden sind.

Zugleich bestätigte der EuGH, dass Verstöße gegen das Auskunftsrecht grundsätzlich Schadensersatzansprüche nach Art. 82 DSGVO auslösen können. Voraussetzung bleibt jedoch der Nachweis eines tatsächlich eingetretenen materiellen oder immateriellen Schadens. Ein reiner „Kontrollverlust“ genüge nicht. Ein Anspruch scheidet mangels Kausalzusammenhangs zwischen Datenübermittlung und Verletzung aus, wenn das Verhalten der betroffenen Person, wie hier das bewusste Übermitteln der Daten, selbst die entscheidende Ursache des geltend gemachten Schadens darstellt.

(EuGH, 19.03.2026 – C-526/24 / Brillen Rottler)

Praxishinweis

  • Die Entscheidung stärkt Arbeitgeber im Umgang mit offensichtlich taktisch motivierten, auch erstmaligen DSGVO-Auskunftsersuchen.
  • Allerdings trägt der Verantwortliche die Darlegungs- und Beweislast, dass das Auskunftsrecht ausschließlich zu sachfremden Zwecken eingesetzt wird. Arbeitgeber sollten Auskunftsersuchen weiterhin sorgfältig bearbeiten und eine Zurückweisung nur bei belastbaren Anhaltspunkten für einen Rechtsmissbrauch in Betracht ziehen.