EuGH-Urteil vom 19.3.2026, Rechtssache C-526/24
Sachverhalt:
Eine in Österreich wohnhafte Person meldete sich für den Newsletter des in Deutschland ansässigen Optikerunternehmens Brillen Rottler an und gab dabei ihre personenbezogenen Daten über die Eingabemaske auf der Website des Unternehmens ein. Bereits 13 Tage später stellte sie einen Auskunftsantrag nach Art. 15 DSGVO.
Brillen Rottler lehnte die Auskunft jedoch mit der Begründung ab, der Antrag sei missbräuchlich. Nach öffentlich zugänglichen Informationen solle sich der Antragsteller systematisch bei Newslettern verschiedener Unternehmen anmelden, sodann Auskunft verlangen und anschließend Schadensersatzansprüche geltend machen.
Der Antragsteller hielt dem entgegen, sein Auskunftsbegehren sei legitim, und verlangte seinerseits mindestens 1.000 Euro immateriellen Schadensersatz wegen der verweigerten Auskunft. Das Amtsgericht Arnsberg (Deutschland) legte dem EuGH daraufhin die Fragen vor, ob bereits ein erster Auskunftsantrag als exzessiv im Sinne von Art. 12 Abs. 5 DSGVO angesehen werden kann und ob die Verletzung des Auskunftsrechts einen Schadensersatzanspruch nach Art. 82 DSGVO auslösen kann.
Entscheidung:
Der EuGH hat zunächst klargestellt, dass auch ein erster Auskunftsantrag nicht von vornherein dem Anwendungsbereich des Art. 12 Abs. 5 DSGVO entzogen ist. Ein erstmaliges Auskunftsverlangen kann ausnahmsweise bereits dann als exzessiv und damit als missbräuchlich angesehen werden, wenn der Verantwortliche nachweist, dass der Antrag zwar formal die Voraussetzungen der DSGVO erfüllt, tatsächlich aber nicht dazu dient, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen. Missbräuchlich ist ein solcher Antrag nach Auffassung des EuGH insbesondere dann, wenn er allein in der Absicht gestellt wird, künstlich die Voraussetzungen für einen späteren Schadensersatzanspruch zu schaffen. Öffentlich zugängliche Hinweise darauf, dass eine Person in mehreren vergleichbaren Fällen ebenso vorgegangen ist und jeweils im Anschluss Schadensersatz verlangt hat, können dabei als Indiz berücksichtigt werden.
Zugleich betont der EuGH aber, dass es sich um einen Ausnahmefall handelt. Der Missbrauchseinwand ist eng auszulegen, und die Darlegungs- und Beweislast liegt beim Verantwortlichen. Die Entscheidung bedeutet daher nicht, dass Unternehmen künftig missliebige oder unbequeme Auskunftsanträge ohne Weiteres zurückweisen dürften. Erforderlich bleibt vielmehr ein belastbarer Nachweis dafür, dass das Auskunftsrecht zweckwidrig instrumentalisiert wurde.
Der EuGH bestätigte weiters, dass die Verletzung des Auskunftsrechts grundsätzlich einen eigenständigen Schadensersatzanspruch nach Art. 82 DSGVO auslösen kann. Der Anspruch setzt also nicht zwingend voraus, dass der Schaden unmittelbar aus einer eigenständigen Verarbeitung personenbezogener Daten resultiert. Auch die rechtswidrige Verweigerung einer geschuldeten Auskunft kann haftungsrechtlich relevant sein.
Gleichzeitig hält der EuGH an seiner bisherigen Linie zum Schadensbegriff fest. Ein Schadensersatzanspruch besteht nicht automatisch bei jedem DSGVO-Verstoß. Die betroffene Person muss vielmehr einen tatsächlich eingetretenen materiellen oder immateriellen Schaden darlegen und den erforderlichen Kausalzusammenhang zwischen Verstoß und Schaden nachweisen. Der EuGH wies zudem ausdrücklich darauf hin, dass ein Anspruch ausscheidet, wenn das eigene Verhalten der betroffenen Person die entscheidende Ursache des geltend gemachten Schadens ist. Gerade dieser Gesichtspunkt dürfte in Konstellationen Bedeutung gewinnen, in denen Auskunftsanträge erkennbar strategisch eingesetzt werden, um Ansprüche erst zu provozieren. Das nationale Gericht wird daher im Einzelfall zu prüfen haben, ob ein echter Datenschutzschaden vorliegt oder ob der geltend gemachte Nachteil im Wesentlichen auf einem bewusst herbeigeführten Geschehensablauf beruht.
Weitere Blog-Beiträge zum Thema DSGVO:
Datenschutz in der Hausverwaltung: Wann die Weiterleitung von Mängelrügen die DSGVO verletzt.
Videoüberwachung mit Bodycams im öffentlichen Raum: EuGH zu den Informationspflichten der DSGVO.
DSGVO-Schadenersatz für Schulwart, der irrtümlich in Lehrerbewertungs-App aufgenommen wurde.