DSGVO-Auskunft als Geschäftsmodell: Wo der EuGH die Grenze zieht

Auskunftsersuchen nach Art. 15 DSGVO gehören für Unternehmen inzwischen zum Datenschutzalltag. In der Praxis stellt sich aber immer häufiger die Frage, wie mit Anfragen umzugehen ist, die weniger der Kontrolle der Datenverarbeitung dienen als der Vorbereitung von Schadensersatzforderungen. Der EuGH hat in einem Verfahren aus Arnsberg nun konkretisiert, wann selbst ein erster Auskunftsantrag als missbräuchlich bewertet werden kann. Für Datenschutzbeauftragte ist die Entscheidung wichtig, weil sie Spielräume eröffnet, aber zugleich hohe Anforderungen an die Dokumentation stellt.

Aus einer Newsletter-Anmeldung wurde ein Grundsatzfall

Ausgangspunkt war ein Vorgang, der zunächst alltäglich wirkte. Ein in Wien wohnender Mann meldete sich über die Internetseite eines Optikers aus Arnsberg für dessen Newsletter an und willigte in die Verarbeitung seiner Daten ein. Weniger als zwei Wochen später verlangte er Auskunft nach Art. 15 DSGVO über die zu seiner Person verarbeiteten Daten.

Das Unternehmen lehnte die Auskunft ab. Es sah in der Anfrage kein gewöhnliches Betroffenenbegehren, sondern ein systematisches Vorgehen mit dem Ziel, anschließend Schadensersatz zu fordern. Der Mann verlangte daraufhin wegen der verweigerten Auskunft 1.000 Euro nach Art. 82 DSGVO. Das Amtsgericht Arnsberg legte dem EuGH mehrere Fragen zur Auslegung der DSGVO vor.

Auch der erste Antrag kann ausnahmsweise exzessiv sein

Der EuGH entschied im Urteil vom 19. März 2026 (C-526/24), dass ein Auskunftsantrag nicht schon deshalb unangreifbar ist, weil es sich um die erste Anfrage der betroffenen Person handelt. Auch ein erster Antrag kann unter engen Voraussetzungen als „exzessiv" im Sinne von Art. 12 Abs. 5 DSGVO eingeordnet werden.

Das gilt insbesondere dann, wenn die betroffene Person die Voraussetzungen für einen späteren Schadensersatzanspruch künstlich herbeiführen will. Entscheidend ist nicht allein die Zahl der Anträge. Maßgeblich ist eine Gesamtbetrachtung der Umstände, also vor allem Zweck, Ablauf und Verhalten der betroffenen Person.

Die Beweislast liegt beim Unternehmen

Für Verantwortliche ist die Entscheidung kein Freibrief, Auskunftsersuchen vorschnell zurückzuweisen. Wer sich auf Missbrauch beruft, muss diesen Einwand nachweisen. Öffentliche Informationen über vergleichbare Fälle können dabei berücksichtigt werden, etwa Berichte über wiederholte Newsletter-Anmeldungen, anschließende Auskunftsersuchen und darauf folgende Schadensersatzforderungen.

Auch der zeitliche Ablauf kann eine Rolle spielen. Wird eine Auskunft sehr kurz nach der freiwilligen Eingabe der Daten verlangt, kann dies ein Indiz sein. Für sich allein reicht ein solcher Umstand aber nicht. Unternehmen sollten deshalb sauber dokumentieren, auf welche konkreten Tatsachen sie ihre Einschätzung stützen. Erst wenn die Missbrauchsabsicht belastbar begründet werden kann, kommen die Ablehnung der Anfrage oder ein angemessenes Entgelt nach Art. 12 Abs. 5 DSGVO in Betracht.

Schadensersatz bleibt an strenge Voraussetzungen gebunden

Der EuGH stellt zugleich klar, dass die Ausnahme eng auszulegen ist. Das Auskunftsrecht bleibt ein zentrales Betroffenenrecht der DSGVO. Eine Ablehnung darf daher nur in besonderen Fällen erfolgen und muss gut begründet sein.

Kommt es zu einem Verstoß gegen die Auskunftspflicht, entsteht daraus nicht automatisch ein Zahlungsanspruch. Die betroffene Person muss einen materiellen oder immateriellen Schaden tatsächlich darlegen und den Kausalzusammenhang zum DSGVO-Verstoß nachweisen. Außerdem kann der Anspruch entfallen, wenn das eigene Verhalten der betroffenen Person die entscheidende Ursache des behaupteten Schadens war. Im Ausgangsverfahren muss nun das Amtsgericht Arnsberg prüfen, ob diese Voraussetzungen erfüllt sind.

Was Datenschutzbeauftragte daraus mitnehmen sollten

Für die Praxis bedeutet die Entscheidung vor allem: Auskunftsersuchen sollten weiterhin fristgerecht, vollständig und sorgfältig bearbeitet werden. Ein Missbrauchseinwand kommt nur in Ausnahmefällen in Betracht. Bestehen konkrete Anhaltspunkte für ein systematisches Vorgehen, sollten diese intern nachvollziehbar festgehalten werden.

Hilfreich ist ein standardisierter Prüfprozess. Dazu gehören die Prüfung des zeitlichen Ablaufs, die Dokumentation öffentlich verfügbarer Hinweise, die Bewertung des konkreten Zwecks der Anfrage und eine rechtliche Einschätzung vor einer Ablehnung. So lässt sich vermeiden, dass ein berechtigtes Auskunftsersuchen zu Unrecht verweigert wird. Gleichzeitig können Unternehmen besser reagieren, wenn Betroffenenrechte erkennbar nicht zur Kontrolle der Datenverarbeitung, sondern als taktisches Instrument eingesetzt werden.