EuGH zur DSGVO-Auskunft: Wann der erste Auskunftsantrag schon missbräuchlich sein kann

Wer personenbezogene Daten verarbeitet, kennt die Lage: Ein Betroffener verlangt Auskunft nach Art. 15 DSGVO, das Unternehmen reagiert nicht oder lehnt ab – und kurz darauf steht ein Schadensersatzanspruch nach Art. 82 DSGVO im Raum. Genau an dieser sensiblen Schnittstelle hat der EuGH mit Urteil vom 19. März 2026 in der Rechtssache C-526/24 – Brillen Rottler wichtige Leitplanken gesetzt.

Die Entscheidung ist für Unternehmen deshalb relevant, weil sie zwei Botschaften zugleich enthält: Einerseits stärkt der EuGH das Auskunftsrecht und den Schadensersatzanspruch bei Verstößen. Andererseits eröffnet er Verantwortlichen ausnahmsweise die Möglichkeit, sogar einen ersten Auskunftsantrag als exzessiv zurückzuweisen – allerdings nur unter strengen Voraussetzungen.

Worum ging es?

Ein Verbraucher hatte sich für den Newsletter eines Optikerunternehmens angemeldet und kurz darauf Auskunft nach Art. 15 DSGVO verlangt. Das Unternehmen verweigerte die Auskunft. Es hielt den Antrag für rechtsmissbräuchlich. Der Betroffene verfolge, so der Vorwurf, ein bestimmtes Muster: Newsletter-Anmeldung, Auskunftsantrag, anschließend Forderung von immateriellem Schadensersatz.

Das Amtsgericht Arnsberg legte dem EuGH mehrere Fragen vor. Im Kern ging es um drei Punkte:

Erstens: Kann bereits ein erstmaliger Auskunftsantrag „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO sein?

Zweitens: Gibt es Schadensersatz nach Art. 82 DSGVO auch dann, wenn „nur“ das Auskunftsrecht verletzt wurde?

Drittens: Reicht der bloße Hinweis auf einen „Kontrollverlust“ oder die Unsicherheit über eine Datenverarbeitung für einen immateriellen Schaden aus?

Die erste Überraschung: Auch der erste Antrag kann exzessiv sein

Viele hatten Art. 12 Abs. 5 DSGVO bislang vor allem mit Serienanträgen und häufiger Wiederholung verbunden. Der EuGH stellt nun klar: Ein erster Auskunftsantrag kann grundsätzlich exzessiv sein.

Das bedeutet aber gerade nicht, dass Unternehmen nun leichtfertig ablehnen dürfen. Im Gegenteil: Der Gerichtshof betont, dass die Ausnahme eng auszulegen ist. Die Hürden liegen hoch. Wer sich auf Missbrauch berufen will, trägt die volle Darlegungs- und Beweislast.

Entscheidend ist nach dem EuGH nicht die bloße Zahl der Anträge, sondern eine qualitative Gesamtbetrachtung. Der Verantwortliche muss nachweisen, dass der Antrag zwar formal unter Art. 15 DSGVO fällt, tatsächlich aber nicht gestellt wurde, um sich über die Verarbeitung bewusst zu werden und deren Rechtmäßigkeit zu prüfen. Missbrauch liegt vielmehr nur dann vor, wenn der Antrag in der Absicht gestellt wurde, künstlich die Voraussetzungen für einen Vorteil aus der DSGVO zu schaffen – etwa für eine spätere Geldforderung.

Was Unternehmen daraus mitnehmen sollten

Der EuGH gibt Unternehmen kein Freifahrtsignal, sondern einen eng begrenzten Einwand. Das ist ein wesentlicher Unterschied. Wer einen Auskunftsantrag zurückweist, weil er „verdächtig“ wirkt, bewegt sich auf riskantem Terrain.

Denn der Gerichtshof verlangt einen eindeutigen Nachweis der missbräuchlichen Absicht. Reine Vermutungen reichen nicht. Auch der Umstand, dass eine Person schon in anderen Fällen Auskunft verlangt und Schadensersatz gefordert haben soll, genügt nicht automatisch. Solche öffentlich zugänglichen Informationen dürfen zwar berücksichtigt werden, aber nur als ein Baustein unter mehreren.

Mit anderen Worten: Nicht jede konsequente Rechtsverfolgung ist Missbrauch. Wer seine Datenschutzrechte energisch nutzt, verliert sie nicht schon deshalb.

Welche Umstände bei der Missbrauchsprüfung eine Rolle spielen

Der EuGH nennt mehrere Aspekte, die im Einzelfall relevant sein können. Dazu gehören insbesondere:

• die freiwillige Angabe personenbezogener Daten,

• der Zweck dieser Angabe,

• der Zeitraum zwischen Dateneingabe und Auskunftsantrag,

• das Verhalten der betroffenen Person insgesamt,

• Hinweise auf ein systematisches Vorgehen gegenüber verschiedenen Verantwortlichen.

Das klingt zunächst nach einer Einladung zur Verteidigung. Tatsächlich ist es eher eine Mahnung zur Sorgfalt. Denn jeder dieser Punkte ist nur im Gesamtbild aussagekräftig. Wer etwa kurz nach einer Newsletter-Anmeldung Auskunft verlangt, handelt nicht automatisch missbräuchlich. Auch ein schneller Antrag kann legitim sein.

Die zweite zentrale Aussage: Schadensersatz gibt es auch bei Verletzung des Auskunftsrechts

Besonders praxisrelevant ist der zweite Teil des Urteils. Der EuGH stellt klar: Art. 82 Abs. 1 DSGVO erfasst auch Schäden, die aus der Verletzung des Auskunftsrechts nach Art. 15 DSGVO entstehen.

Das ist für die Beratungspraxis wichtig, weil damit ein verbreitetes Verteidigungsargument geschwächt wird. Einige Verantwortliche hatten geltend gemacht, Schadensersatz setze zwingend eine rechtswidrige „Verarbeitung“ personenbezogener Daten voraus. Der EuGH folgt dem nicht. Der Wortlaut von Art. 82 DSGVO knüpft an einen Verstoß gegen die Verordnung an, nicht nur an eine unzulässige Datenverarbeitung im engeren Sinn.

Das heißt: Auch die Weigerung, eine berechtigte Auskunft zu erteilen, kann einen ersatzfähigen Schaden auslösen.

Aber: Ein Verstoß allein reicht noch nicht

Trotz dieser betroffenenfreundlichen Linie bleibt der EuGH bei einem wichtigen Grundsatz: Nicht jeder DSGVO-Verstoß führt automatisch zu Geld.

Für einen Schadensersatzanspruch braucht es weiterhin drei Dinge:

• einen Verstoß gegen die DSGVO,

• einen tatsächlichen materiellen oder immateriellen Schaden,

• einen Kausalzusammenhang zwischen Verstoß und Schaden.

Gerade beim immateriellen Schaden ist das entscheidend. Der EuGH lehnt eine Art Automatismus ab. Es gibt keinen pauschalen Anspruch nur deshalb, weil ein Unternehmen die Auskunft versäumt oder verweigert hat.

Kontrollverlust und Unsicherheit: Wann ein immaterieller Schaden vorliegt

Der Gerichtshof bekräftigt zugleich seine bisherige Linie, dass auch immaterielle Schäden ernst zu nehmen sind. Ein Schaden kann etwa im Verlust der Kontrolle über personenbezogene Daten oder in der Unsicherheit darüber, ob und wie Daten verarbeitet wurden, liegen.

Aber auch hier gilt: Das muss im konkreten Fall tatsächlich nachgewiesen werden. Der bloße Hinweis auf ein ungutes Gefühl, eine abstrakte Sorge oder eine theoretische Befürchtung genügt nicht. Der Betroffene muss darlegen, dass gerade aus der Verletzung seines Rechts eine reale Beeinträchtigung entstanden ist.

Für Unternehmen ist das ein wichtiger Punkt in der Prozessführung. Die Verteidigungslinie lautet also nicht zwingend: „Es gibt bei Auskunftsverstößen nie Schadensersatz.“ Diese Linie ist nach dem Urteil kaum noch haltbar. Erfolgversprechender ist vielmehr die Frage: Ist überhaupt ein konkreter immaterieller Schaden substantiiert dargelegt?

Der interessante Dreh des Urteils: Wer den Schaden selbst provoziert, kann scheitern

Besondere Aufmerksamkeit verdient ein weiterer Gedanke des EuGH. Der Kausalzusammenhang kann entfallen, wenn das Verhalten der betroffenen Person selbst die entscheidende Ursache für den geltend gemachten Schaden war.

Das trifft vor allem Konstellationen, in denen jemand personenbezogene Daten bewusst in der Absicht übermittelt, später einen DSGVO-Verstoß und einen Schadensersatzanspruch zu provozieren. Genau hier liegt der eigentliche Kern der Entscheidung: Der EuGH schützt die DSGVO-Rechte, aber nicht deren strategische Instrumentalisierung.

Für Unternehmen kann das im Einzelfall ein starkes Argument sein. Nur darf es nicht schematisch eingesetzt werden. Der Vorwurf des Missbrauchs ist scharf – und muss deshalb belastbar sein.

Praktische Folgen für Unternehmen

Das Urteil erhöht den Druck auf Verantwortliche, Auskunftsersuchen sauber und fristgerecht zu bearbeiten. Wer vorschnell auf Missbrauch setzt, riskiert eine zweite Front: erst den Verstoß gegen Art. 15 DSGVO und anschließend den Schadensersatzstreit.

Gerade Marketingabteilungen, E-Commerce-Anbieter, Newsletter-Betreiber und kundennahe Unternehmen sollten ihre Prozesse prüfen. Denn typische Alltagskonstellationen – Newsletter, Kontaktformulare, Bonusprogramme, Gewinnspiele – sind ein häufiger Ausgangspunkt für spätere Auskunftsbegehren.

Sinnvoll sind klare interne Abläufe, eine dokumentierte Prüfung und eine differenzierte Reaktion. Nicht jeder ungewöhnliche Antrag ist exzessiv. Aber nicht jeder Antrag ist automatisch redlich.

Was Betroffene aus der Entscheidung lernen können

Auch auf Betroffenenseite setzt der EuGH ein klares Signal. Das Auskunftsrecht bleibt ein starkes Instrument. Es darf genutzt werden, um Transparenz zu schaffen und Rechtsverstöße aufzudecken. Wer allerdings nur auf den nächsten Schadensersatz spekuliert und dafür gezielt Fallkonstellationen konstruiert, läuft Gefahr, sich den Einwand des Rechtsmissbrauchs entgegenhalten zu lassen.

Die DSGVO ist ein Schutzinstrument – kein Geschäftsmodell.

Fazit

Der EuGH versucht in der Entscheidung Brillen Rottler einen Ausgleich zwischen effektivem Datenschutz und der Abwehr missbräuchlicher Inanspruchnahme. Das Ergebnis ist differenziert:

Der erste Auskunftsantrag kann ausnahmsweise exzessiv sein. Das wird aber nur in klar belegbaren Missbrauchsfällen greifen. Gleichzeitig bestätigt der Gerichtshof, dass Verstöße gegen das Auskunftsrecht Schadensersatzansprüche nach Art. 82 DSGVO auslösen können. Wer Auskunft verweigert, spielt also nicht nur auf Zeit, sondern unter Umständen mit einem Haftungsrisiko.

Für die Praxis bedeutet das: Unternehmen sollten Auskunftsersuchen weder reflexhaft erfüllen noch vorschnell zurückweisen. Entscheidend ist eine rechtlich tragfähige Prüfung des Einzelfalls. Genau dort wird künftig häufig die Weiche gestellt – zwischen berechtigter Anspruchsabwehr und kostspieligem Datenschutzverstoß.