Rechtsprechung

EuGH, Urteil vom 19.3.2026 - C-526/24

1. Art. 12 Abs. 5 DSGVO ist dahin auszulegen, dass ein erster von der betroffenen Person an den Verantwortlichen gerichteter Antrag nach Art. 15 DSGVO auf Auskunft über personenbezogene Daten als „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO angesehen werden kann, wenn der Verantwortliche in Ansehung aller relevanten Fallumstände nachweist, dass dieser Antrag trotz formaler Einhaltung der in diesen Bestimmungen vorgesehenen Bedingungen von der betroffenen Person nicht gestellt wurde, um sich der Verarbeitung dieser Daten bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, damit sie anschließend ihre Rechte aus der besagten Verordnung schützen kann, sondern in missbräuchlicher Absicht wie zur künstlichen Schaffung der Voraussetzungen für die Erlangung eines sich aus dieser Verordnung ergebenden Vorteils. Dass die betroffene Person nach öffentlich zugänglichen Informationen etwa mehrere Anträge auf Auskunft über ihre personenbezogenen Daten, gefolgt von Schadensersatzforderungen gegenüber verschiedenen Verantwortlichen, gestellt hat, kann für die Feststellung einer solchen missbräuchlichen Absicht berücksichtigt werden.

2. Art. 82 Abs. 1 DSGVO ist dahin auszulegen, dass er der betroffenen Person einen Anspruch auf Ersatz des aus einer Verletzung des Auskunftsrechts nach Art. 15 Abs. 1 dieser Verordnung entstandenen Schadens verleiht.

3. Art. 82 Abs. 1 DSGVO ist dahin auszulegen, dass der immaterielle Schaden der betroffenen Person den Verlust der Kontrolle über ihre personenbezogenen Daten oder ihre Ungewissheit darüber umfasst, ob ihre Daten verarbeitet wurden, sofern insbesondere nachgewiesen wird, dass dieser Person tatsächlich ein solcher Schaden entstanden ist und dass ihr Verhalten nicht die entscheidende Ursache für diesen Schaden war.

Anmerkung
Anlass für die Entscheidung des EuGH (veröffentlicht in GRUR-RS 2026, 4080) war ein Vorlagebeschluss des AG Arnsberg vom 31.7.2024 – 42 C 434/23 (GRUR-RS 2024, 22223).

In dem zwischenzeitlich durch Urteil des AG Arnsberg vom 1.7.2026 (GRUR-RS 2026, 14808; Rechtskraft unbekannt) entschiedenen Rechtsstreit stritten die Parteien über die Verpflichtung der Klägerin zur Auskunftserteilung nach Art. 15 DSGVO sowie Ersatzansprüche des Beklagten aus Art. 82 DSGVO für immaterielle Schäden, die durch die Verweigerung der Auskunft entstanden sein sollen.

Der in Wien ansässige Beklagte hatte sich zuvor über die Homepage der Klägerin, einem familiengeführtem Optikunternehmen mit überwiegender Geschäftstätigkeit in Nordrhein-Westfalen und Niedersachen sowie einem deutschlandweiten Onlinehandel, unter Angabe seiner E-Mailadresse sowie seines Vor- und Nachnamens beim Newsletter der Klägerin angemeldet. Rund zwei Wochen nach der Anmeldung richtete der Beklagte ein Auskunftsbegehren nach Art. 15 DSGVO an die Klägerin.

Binnen der Monatsfrist des Art. 12 Abs. 3 Satz 1 DSGVO verweigerte die Klägerin die Auskunft jedoch mit der Begründung, dass das Begehren rechtsmissbräuchlich sei und berief sich in diesem Zusammenhang u.a. auf die sich aus öffentlichen Quellen ergebende Berichterstattung über den Beklagten, wonach dieser bereits in der Vergangenheit durch Anmeldungen zu zahlreichen Newslettern und anschließende Geltendmachung von Auskunfts- und Schadensersatzansprüchen aufgefallen sei.

Der ab diesem Zeitpunkt anwaltlich vertretene Beklagte wies den Vorwurf des Rechtsmissbrauchs zurück und verlangte neben der Erteilung von Auskunft u.a. auch Zahlung in Höhe von 1.000,00 Euro aufgrund einer Einschränkung der Rechte des Beklagten, seines erlittenen Kontrollverlusts und seiner Erfahrung von emotionalem Ungemach.

Im Rahmen der Beantwortung der Vorlagefragen sollte der EuGH insbesondere klären, ob ein exzessiver Antrag im Sinne von Art. 12 Abs. 5 Satz 2 DSGVO bereits bei einem erstmalig gestellten Antrag des Betroffenen auf Auskunft vorliegen kann und ob ein exzessiver Antrag im Sinne von Art. 12 Abs. 5 Satz 2 DSGVO auch dadurch begründet werden kann, dass der Betroffene beabsichtigt, mit dem Auskunftsersuchen Schadenersatzansprüche gegen den Verantwortlichen zu provozieren. Ferner wollte das AG wissen, ob der Verantwortliche sich im Rahmen der Weigerung wegen Rechtsmissbräuchlichkeit auf öffentlich zugängliche Informationen über den Betroffenen berufen kann,, die den Schluss zulassen, dass dieser in einer Vielzahl von Fällen bei Datenschutzverstößen Schadenersatzansprüche gegen Verantwortliche geltend macht.

Im Hinblick auf den vom Beklagten widerklageweise geltend gemachten Schadensersatzanspruch sollte der EuGH zudem beantworten, ob ein Verstoß gegen Art. 15 DSGVO überhaupt geeignet ist, einen Schadensersatzanspruch im Sinne von Art. 82 DSGVO auszulösen und ob der mit der Nichterteilung der Auskunft einhergehende Kontrollverlust und/oder die Ungewissheit über die Verarbeitung der personenbezogenen Daten bereits einen immateriellen Schaden des Betroffenen im Sinne der Norm darstellen.

Wie zuvor schon der GA beim EuGH Szpunar in seinem Schlussantrag vom 18.9.2025 (BeckRS 2025, 24091) vertritt auch der EuGH dabei die Auffassung, dass der Wortlaut des Art. 12 Abs. 5 Satz 2 DSGVO, der die häufige Wiederholung von Auskunftsanträgen lediglich als ein mögliches Beispiel für exzessive Anträge anführt, dahingehend auszulegen ist, dass bereits ein erstmaliger Antrag des Betroffenen als "exzessiv" im Sinne der Norm gelten kann. Insbesondere könne sich ein Auskunftsbegehren nach Auffassung des EuGH dann als "exzessiv" erweisen, wenn die Geltendmachung zu einem anderen Zweck erfolgt als dem, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, um anschließend ihre Rechte aus der DSGVO schützen zu können.

Zeitgleich betont der EuGH jedoch, dass sich der Verantwortliche nur ausnahmsweise auf die nach dem Willen der eng auszulegenden Ausnahme von der Auskunftspflicht bei "exzessiven" Anträgen berufen können solle und dass es dem Verantwortlichen obliege, in Ansehung aller relevanten Umstände des Einzelfalls den Nachweis einer Missbrauchsabsicht des Betroffenen zu führen. Hierfür dürfe der Verantwortliche auch auf öffentlich zugängliche Informationen über den Betroffenen zurückgreifen, die eine missbräuchliche Absicht nahelegen.

Hinsichtlich der Frage, ob ein Verstoß des Verantwortlichen gegen die Auskunftspflicht des Art. 15 DSGVO geeignet ist, einen Schadensersatzanspruch aus Art. 82 DSGVO zu begründen, vertritt der EuGH unter Verweis auf den Wortlaut des Art. 82 Abs. 1 DSGVO sowie die praktische Wirksamkeit der Verordnung die Auffassung, dass ein Schadensersatz nicht nur durch eine DSGVO-widrige Verarbeitung begründet werden könne. Die Schadensersatzpflicht des Verantwortlichen könne demnach auch durch einen sonstigen Datenschutzverstoß, wie etwa die nicht DSGVO-konformen Erteilung einer Auskunft nach Art. 15 DSGVO, begründet werden.

Als ersatzfähiger Schaden kommen dabei nach Auffassung des EuGH zwar grundsätzlich auch ein bloßer Kontrollverlust sowie die Ungewissheit der betroffenen Person, ob ihre personenbezogenen Daten verarbeitet werden, in Betracht. Jedoch sei es Aufgabe der nationalen Gerichte im jeweiligen Einzelfall zu prüfen, ob die behaupteten Folgen für die betroffene Person unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden können. In diesem Zusammenhang weist der EuGH zudem darauf hin, dass es auch stets eines Kausalzusammenhangs zwischen dem behaupteten Verstoß und dem behaupteten Schaden bedürfe, der dadurch unterbrochen werden könne, dass der Betroffene die entscheidende Ursache für den Schaden selbst setzt. Dies sei etwa dann der Fall, wenn der Kontrollverlust oder die Ungewissheit als Schaden durch die Entscheidung der betroffenen Person herbeigeführt wurden, dem Verantwortlichen diese Daten in der Absicht zu übermitteln, künstlich die Voraussetzungen für einen Auskunftsanspruch zu schaffen.

Mit seinem Urteil schafft der EuGH weitere Klarheit darüber, in welchen Konstellationen der Verantwortliche die Erteilung einer Auskunft nach Art. 15 DSGVO verweigern kann. Nach dem der EuGH mit Urteil vom 26.10.2023 – C-307/22 (BeckRS 2023, 29132) noch entschieden hatte, dass ein Auskunftsanspruch nach Art. 15 DSGVO nicht schon dann ausgeschlossen ist, wenn der Betroffene den Antrag (auch) mit datenschutzfremden Erwägungen begründet, stärkt er nunmehr die Position des Verantwortlichen, indem er klarstellt, dass die Auskunft selbst im Falle einer erstmaligen Geltendmachung dann verweigert werden kann, wenn das Begehren missbräuchlichen Zwecken dient.

Als missbräuchlich in diesem Sinne ordnet der EuGH dabei die Konstellation ein, in welcher der Betroffene das Auskunftsrecht dazu ausübt, um die Voraussetzungen für die Erlangung eines sich aus der DSGVO ergebenden Vorteils, z.B. eines Schadensersatzanspruches, künstlich zu verschaffen und entzieht damit insbesondere dem sog. "DSGVO-Hopping", d.h. der systematischen Geltendmachung von Betroffenenrechten, um sich hieraus finanzielle Vorteile zu verschaffen, die rechtliche Grundlage.

An den von dem Verantwortlichen im Einzelfall zu erbringenden Nachweis der Missbräuchlichkeit des Antrages stellt der EuGH jedoch hohe Hürden, sodass eine Verweigerung der Auskunft unter diesem Gesichtspunkt - wie seitens des EuGH intendiert - auch künftig die Ausnahme von der Regel bilden wird.

Verantwortliche sollten daher, wie beispielsweise auch bei der Geltendmachung entgegenstehender Geheimhaltungsinteressen im Sinne von Art. 15 Abs. 4 DSGVO bzw. § 29 Abs. 1 Satz 2 BDSG, weiterhin sorgsam prüfen und abwägen, ob die Erfüllung eines Auskunftsbegehrens unter Verweis auf den Ausnahmetatbestand im Einzelfall verweigert werden kann und die hierfür sprechenden Umstände lückenlos dokumentieren.

Dies gilt erst recht vor dem Hintergrund der durch den EuGH erfolgten Klarstellung, dass auch eine verweigerte bzw. verspätet erteilte Auskunft geeignet ist, eine Schadensersatzpflicht des Verantwortlichen zu begründen und bereits damit einhergehende Ungewissheit über die Verarbeitung einen ersatzfähigen immateriellen Schaden darstellen kann.

Ansprechpartner
RA Tim Brauer, LL.M.