Datenschutz
EuGH zu Art. 15 DSGVO: Rechtswidrige Auskunftsersuchen bei „DSGVO-Hoppern“
von Redaktion
Mit dem Urteil vom 19. März 2026 (C-526/24 – Brillen Rottler) hat der Europäische Gerichtshof eine praxisrelevante Entscheidung zum datenschutzrechtlichen Auskunftsanspruch nach Art. 15 DSGVO getroffen. Im Mittelpunkt der Entscheidung steht die Frage, ob bereits ein erstmaliges Auskunftsersuchen gegen den jeweiligen Verantwortlichen als „exzessiv“ im Sinne des Art. 12 Abs. 5 DSGVO eingeordnet und damit zurückgewiesen werden kann.
Der EuGH bejaht dies grundsätzlich, die Hürden für die Annahme eines Rechtsmissbrauchs werden jedoch weiterhin bewusst hoch angesetzt.
I. Datenschutz als Geschäftsmodell
Ausgangspunkt des Verfahrens war ein Fall aus Deutschland: Ein Verbraucher abonnierte gezielt Newsletter verschiedener Unternehmen und stellte kurz darauf Auskunftsersuchen nach Art. 15 DSGVO. Wurde die Auskunft verweigert oder verspätet erteilt, machte er regelmäßig Schadensersatzansprüche nach Art. 82 DSGVO geltend.
Auch gegenüber dem Unternehmen „Brillen Rottler“ verlangte der Betroffene Auskunft über seine gespeicherten personenbezogenen Daten. Diese verweigerte das Unternehmen jedoch mit dem Hinweis, dass besagter Verbraucher im Internet weithin für sein Vorgehen bekannt sei. Es war weiterhin davon überzeugt, dass der Verbraucher aus dieser Praxis ein Geschäftsmodell gemacht habe, und deshalb das Auskunftsersuchen rechtsmissbräuchlich sein müsste. „Brillen Rottler“ erhob deshalb vor dem Amtsgericht Arnsberg Klage auf Feststellung, dass in diesem Fall kein Auskunftsanspruch besteht. Der Betroffene erhob seinerseits Widerklage auf Auskunft und verlangte zusätzlich 1.000€ Schadenersatz gem. Art. 82 DSGVO.
Das Amtsgericht Arnsberg legte dem EuGH daraufhin die Frage vor, ob ein solches Verhalten als rechtsmissbräuchlich einzustufen sei.
II. Die Entscheidung des EuGH
Der EuGH stellte klar, dass auch ein erstmaliges Auskunftsersuchen grundsätzlich „exzessiv“ sein kann. Entscheidend sei jedoch nicht die Anzahl der Anträge, sondern deren Zweck und die Umstände des Einzelfalls.
Ein Missbrauch könne insbesondere dann vorliegen, wenn der Antragsteller gezielt DSGVO-Verstöße provoziert, Auskunftsersuchen nicht nur Informationsgewinnung, sondern ausschließlich zur Vorbereitung von Schadenersatzforderungen genutzt wird, und künstlich Voraussetzungen geschaffen werden, um finanzielle Ansprüche geltend zu machen.
Gleichzeitig betonte das Gericht, dass Unternehmen die Missbrauchsabsicht substantiiert darlegen und beweisen müssen. Eine pauschale Berufung auf Rechtsmissbrauch genügt dabei gerade nicht.
III. Verhältnis zu Art. 15 DSGVO
Der Auskunftsanspruch nach Art. 15 DSGVO gehört zu den zentralen Betroffenenrechten des europäischen Datenschutzrechts. Er soll Transparenz schaffen und Betroffenen ermöglichen, die Rechtmäßigkeit einer Datenverarbeitung zu überprüfen.
Bereits in früheren Entscheidungen hatte der EuGH betont, dass der Zweck eines Auskunftsersuchens grundsätzlich unerheblich sei. Auch wenn Betroffene die erhaltenen Informationen etwa zur Vorbereitung zivilrechtlicher Ansprüche nutzen möchten, bleibt das Auskunftsrecht grundsätzlich bestehen.
Die Entscheidung Brillen Rottler markiert insoweit keine Abkehr von dieser Rechtsprechung, sondern konkretisiert vielmehr deren Missbrauchsgrenzen.
IV. Praktische Auswirkungen für Unternehmen
Für Unternehmen bedeutet das Urteil keine generelle Entlastung bei DSGVO-Auskunftsersuchen. Vielmehr bleibt die Ablehnung eines Antrags weiterhin die Ausnahme.
Unternehmen sollten daher weiterhin eingehende Auskunftsersuchen sorgfältig und fristgerecht prüfen und beantworten, sowie mögliche Indizien für systematisches missbräuchliches Verhalten dokumentieren, um vorschnelle Ablehnungen zu vermeiden. Sollte ein legitimes Auskunftsersuchen zu Unrecht zurückgewiesen werden, können dem Unternehmen weiterhin Schadenersatzansprüche drohen.
V. Fazit
Mit der Entscheidung schafft der EuGH ein wichtiges Gleichgewicht zwischen effektivem Datenschutz und dem Schutz vor missbräuchlicher Inanspruchnahme von Betroffenenrechten. Es ist eine Entscheidung zu einem relevanten Thema, welches auch im digitalen Omnibuspaket der EU-Kommission aufgegriffen wird. Das Urteil dürfte insbesondere für Unternehmen relevant sein, die vermehrt mit strategisch motivierten DSGVO-Anfragen konfrontiert werden.
Gleichzeitig bleibt jedoch klar, dass der Auskunftsanspruch aus Art. 15 DSGVO ein zentrales Betroffenenrecht ist, und seine Einschränkung nach wie vor eine Ausnahme darstellt.