Viele Unternehmen kennen das Muster: Jemand meldet sich zum Newsletter an, stellt kurz darauf ein Auskunftsersuchen nach Art. 15 DSGVO und fordert bei der kleinsten Verzögerung Schadensersatz. Mit Urteil vom 19. März 2026 (Rs. C-526/24, Brillen Rottler) hat der Gerichtshof der Europäischen Union entschieden, dass ein solches Vorgehen rechtsmissbräuchlich sein kann, und zwar schon beim ersten Auskunftsersuchen.
Der Fall
Eine in Österreich lebende Person hatte den Newsletter eines Augenoptikers aus Arnsberg abonniert und 13 Tage später Auskunft über ihre Daten verlangt. Das Unternehmen lehnte das Ersuchen als missbräuchlich ab. Es verwies auf öffentlich zugängliche Berichte, wonach die Person systematisch Newsletter verschiedener Unternehmen abonniere, Auskunft verlange und anschließend Schadensersatz fordere. Die Person verlangte mindestens 1.000 Euro für einen immateriellen Schaden. Das Amtsgericht Arnsberg legte dem EuGH mehrere Fragen vor.
Die Kernaussagen
- Art. 12 Abs. 5 DSGVO erfasst nicht nur wiederholte Anfragen. Auch ein erstes Auskunftsersuchen ist ausnahmsweise missbräuchlich, wenn es nicht der Kontrolle der Datenverarbeitung dient, sondern nur die Grundlage für einen späteren Schadensersatzanspruch schaffen soll, selbst wenn es die formalen Voraussetzungen erfüllt.
- Hinweise auf ein systematisches Vorgehen, etwa frühere Auskunftsersuchen gegenüber anderen Unternehmen mit anschließenden Schadensersatzforderungen, dürfen in die Bewertung einfließen, auch wenn sie aus öffentlichen Quellen stammen.
- Ein Anspruch setzt einen tatsächlichen materiellen oder immateriellen Schaden voraus; ein bloßer Verstoß genügt nicht.
- Ist das Verhalten der betroffenen Person selbst die maßgebliche Ursache des geltend gemachten Schadens, besteht kein Anspruch.
- Die Ablehnung wegen Missbrauchs bleibt die Ausnahme. Der Verantwortliche muss den Missbrauch im Einzelfall nachweisen.
Einordnung
Das Urteil ist eine wichtige Grenzziehung. Das Auskunftsrecht bleibt ein starkes Recht, für dessen Geltendmachung grundsätzlich keine Begründung erforderlich ist. Es darf aber nicht als Geschäftsmodell zur Erzeugung von Schadensersatzansprüchen missbraucht werden. Damit fügt sich die Entscheidung in die Linie ein, wonach der Schadensersatz nach Art. 82 DSGVO eine reine Ausgleichsfunktion hat; siehe unsere Zwischenbilanz zum DSGVO-Schadensersatz.
Was bedeutet das für Unternehmen?
- Der Regelfall ist und bleibt die fristgerechte, vollständige Auskunft; siehe unseren Leitfaden „Auskunftsersuchen richtig beantworten“. Vorschnelle Ablehnungen sind riskant.
- Wer ein missbräuchliches Vorgehen vermutet, sollte die Anhaltspunkte sorgfältig sammeln: zeitlicher Zusammenhang, standardisierte Schreiben, öffentlich bekannte Serienforderungen.
- Eine unberechtigte Ablehnung kann ihrerseits einen Verstoß darstellen. Im Zweifel empfiehlt sich rechtlicher Rat.
Was bedeutet das für Betroffene?
Für die große Mehrheit der Betroffenen ändert sich nichts. Wer wissen möchte, was über ihn gespeichert ist, kann dies weiterhin ohne Begründung verlangen. Wie das geht, erklären wir in „Datenauskunft verlangen“.
Unternehmen haben damit ein Instrument gegen Serienforderungen, müssen den Missbrauch aber im Einzelfall belegen. Erhalten Sie auffällige Auskunfts- und Schadensersatzforderungen, prüfen wir, ob ein Missbrauch vorliegt. Schreiben Sie uns oder vereinbaren Sie einen Termin.