Wann ist ein Auskunftsantrag nach Art. 15 DSGVO rechtsmissbräuchlich?

Worum ging es im Fall Brillen Rottler (C-526/24)?

Eine in Österreich wohnhafte Person abonnierte den Newsletter des Optikerunternehmens Brillen Rottler mit Sitz im deutschen Arnsberg und gab dabei ihre personenbezogenen Daten in die Anmeldemaske ein. 13 Tage später stellte sie einen Auskunftsantrag nach Art. 15 DSGVO. Brillen Rottler wies den Antrag als missbräuchlich zurück: Aus Medienberichten, Blogbeiträgen und Berichten von Rechtsanwälten sei ersichtlich, dass sich der Antragsteller systematisch bei verschiedenen Unternehmen zu Newslettern anmelde, dann Auskunft verlange und anschließend Schadensersatz fordere. Der Antragsteller hielt seinen Antrag dagegen für legitim und verlangte wegen der Zurückweisung mindestens 1.000 Euro immateriellen Schadensersatz. Das mit dem Rechtsstreit befasste Amtsgericht Arnsberg legte dem EuGH zwei Fragen vor: Kann bereits ein erster Auskunftsantrag als „exzessiv" gelten? Und hat die betroffene Person Anspruch auf Ersatz des Schadens, der ihr aus der Verletzung des Auskunftsrechts entstanden ist? Es handelt sich um ein Vorabentscheidungsverfahren nach Art. 267 AEUV: Der EuGH legt nur das Unionsrecht aus — über die Frage, ob die konkrete Ablehnung durch Brillen Rottler im Einzelfall gerechtfertigt war, entscheidet auf dieser Grundlage weiterhin das Amtsgericht Arnsberg selbst.

Wann ist ein Auskunftsantrag „exzessiv" nach Art. 12 Abs. 5 DSGVO?

Ein Auskunftsantrag ist exzessiv, wenn der Verantwortliche nachweist, dass er — trotz formaler Einhaltung der in der DSGVO vorgesehenen Voraussetzungen — nicht gestellt wurde, um sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, sondern in der Absicht, künstlich die Voraussetzungen für einen Schadensersatzanspruch nach der DSGVO zu schaffen. Nach Art. 12 Abs. 5 DSGVO darf der Verantwortliche bei einem exzessiven Antrag entweder ein angemessenes, an den Verwaltungskosten orientiertes Entgelt verlangen oder sich weigern, tätig zu werden — die Beweislast dafür trägt in beiden Fällen der Verantwortliche. Das knüpft unmittelbar an die Betroffenenrechte nach Art. 15–22 DSGVO an, die grundsätzlich unentgeltlich zu erfüllen sind.

Welche Kriterien nennt der EuGH für den Nachweis von Rechtsmissbrauch?

Der EuGH verlangt den Nachweis einer erkennbar missbräuchlichen Absicht — dafür sind laut Pressemitteilung „sämtliche Fallumstände" heranzuziehen, insbesondere die freiwillige Bereitstellung der Daten, deren Zweck, die verstrichene Zeit bis zum Antrag und das Verhalten der Person. Zur Einordnung für die Prüfungsvorbereitung lassen sich diese Fallumstände in objektive Anhaltspunkte und das daraus abzuleitende subjektive Element gliedern — diese Zweiteilung ist eine didaktische Systematisierung dieses Artikels, keine wörtliche Formel des Gerichtshofs.

Der Verantwortliche muss diese Anhaltspunkte in der Gesamtschau darlegen — ein einzelnes isoliertes Indiz allein dürfte kaum genügen, um eine missbräuchliche Absicht zu belegen.

Was ist „DSGVO-Hopping"?

„DSGVO-Hopping" bezeichnet in der Fachpraxis das wiederholte Muster, sich bei verschiedenen Unternehmen anzumelden, dann Auskunft zu verlangen und im Anschluss Schadensersatz zu fordern — der Begriff stammt nicht aus dem Urteilstext, sondern aus der Einordnung des Falls in der deutschen Fachpresse. Eine arbeitsrechtliche Einordnung von Taylor-Wessing-Anwältinnen beschreibt Auskunftsanträge nach Art. 15 DSGVO als in der Praxis „mitunter strategisch aufgeladen", weil sie „häufig parallel zu Kündigungsschutzklagen, Aufhebungsverhandlungen, internen Beschwerden oder Bewerberstreitigkeiten" auftauchen — als Beispiel nennen die Autorinnen einen ausgeschiedenen Mitarbeiter, der im Vergleichsgespräch androht, den „DSGVO-Komplex" nur bei einer höheren Abfindung fallen zu lassen. Das ist eine qualitative Einschätzung aus der Fachpraxis, keine eigene Rechtsquelle — sie erklärt aber, warum das Amtsgericht Arnsberg diese Frage dem EuGH überhaupt vorgelegt hat.

Welche Folgen hat eine unberechtigte Ablehnung der Auskunft?

Lehnt ein Verantwortlicher einen Auskunftsantrag zu Unrecht ab, kann das einen eigenständigen Schadensersatzanspruch nach Art. 82 DSGVO auslösen. Der EuGH bestätigt: Auch die Verletzung des Auskunftsrechts nach Art. 15 DSGVO — nicht nur eine rechtswidrige Datenverarbeitung selbst — kann einen ersatzfähigen Schaden begründen; dazu zählt grundsätzlich bereits der Verlust der Kontrolle über die eigenen Daten oder die Ungewissheit darüber, ob sie verarbeitet wurden. Die betroffene Person muss dafür aber nachweisen, dass ihr tatsächlich ein materieller oder immaterieller Schaden entstanden ist — ein automatischer Anspruch allein wegen des DSGVO-Verstoßes besteht nicht. Kein Schadensersatz besteht zudem, wenn das eigene Verhalten der Person die entscheidende Ursache für den Schaden war. Die vollständigen Voraussetzungen des Art. 82 DSGVO — einschließlich der Frage, wann eine bloße Befürchtung als Schaden zählt — findest du vertiefend in unserem Artikel zu Art. 82 DSGVO: Immaterieller Schadensersatz.

Häufige Fragen