Auskunft ja – aber nicht immer und in jedem Fall!
Artikel 15 DSGVO gibt Bürger:innen das Recht auf Auskunft zu seinen bzw. ihren Daten – nämlich ob und wenn ja, welche Daten eine verantwortliche Stelle verarbeitet. Das Auskunftsrecht soll es Betroffenen ermöglichen, die Kontrolle über ihre personenbezogenen Daten zu behalten und ihre Rechte gemäß Art. 16 ff. DSGVO durchzusetzen. Doch unter bestimmten Umständen können die angefragten Institutionen die Auskunft verweigern.
Auskunftsrecht nach Artikel 15 DSGVO
Einerseits ist das Auskunftsrecht ein wichtiges Instrument zum Schutz vor der unrechtmäßigen Verarbeitung personenbezogener Daten. Andererseits verursacht ein Auskunftsverlangen bei den angefragten Unternehmen mitunter erheblichen Aufwand und Kosten. Und nicht immer stecken seriöse Absichten hinter einer Anfrage. Schutz vor sogenannten „unredlichen Auskunftsverlangen“ bietet Art. 12 Abs. 5 DSGVO. Demnach kann ein Unternehmen entweder ein Entgelt für „exzessive“ Anfragen verlangen oder in solchen Fällen die Auskunft sogar verweigern.
Die Frage, wann ein Auskunftsverlangen „exzessiv“ ist und deswegen zurückgewiesen werden kann, hat der Gerichtshof der Europäischen Union (EuGH) in seinem Urteil vom 19.03.2026 in der Rechtssache C-526/24 behandelt. Demnach ist ein Auskunftsverlangen missbräuchlich, wenn es nur dazu dient, anschließend einen Schadensersatzanspruch wegen eines vermeintlichen Verstoßes gegen die DSGVO geltend zu machen.
Worum ging es?
Eine Person abonnierte den Newsletter eines deutschen Unternehmens. Im Rahmen der Anmeldung zum Newsletter gab der Abonnent seine personenbezogenen Daten auf der Webseite des Unternehmens ein.
Knapp zwei Wochen nach der Anmeldung verlangte der Abonnent gemäß Art. 15 DSGVO Auskunft von dem Unternehmen, dessen Newsletter er abonniert hatte.
Aus verschiedenen Quellen, u.a. Medienberichten, Blogbeiträgen und Berichten von Rechtsanwälten, ergab sich der Eindruck, dass das Vorgehen des Abonnenten System hatte: Er meldete sich bei Newslettern verschiedener Unternehmen an, um zunächst Auskunft gemäß Art. 15 DSGVO zu verlangen und dann Schadensersatz zu fordern. Deswegen hielt das Unternehmen sein Auskunftsverlangen für missbräuchlich und verweigerte die Auskunft.
Daraufhin forderte der Abonnent gemäß Art. 82 DSGVO einen Schadensersatz in Höhe von EUR 1.000,00 wegen eines immateriellen Schadens, der ihm durch die Zurückweisung des Auskunftsanspruchs entstanden sei.
Das Verfahren
Den Auskunfts- und Schadensersatzanspruch hatte der Abonnent vor dem Amtsgericht in Arnsberg eingeklagt. Das Amtsgericht Arnsberg wandte sich im Laufe des Verfahrens mit einem sogenannten Vorabentscheidungsersuchen an den EuGH. Mit diesem Ersuchen wollte das Amtsgericht Arnsberg vom EuGH wissen, ob schon ein erstes Auskunftsverlangen “exzessiv” sein könne. Außerdem sollte geklärt werden, unter welchen Voraussetzungen ein Schadensersatzanspruch des Abonnenten besteht.
Das Urteil
In seinem Urteil stellt der EuGH fest, dass schon das erste Auskunftsverlangen “exzessiv” und damit missbräuchlich sein kann. Voraussetzung ist, dass der Verantwortliche – hier das angefragte Unternehmen – nachweisen kann, dass das Auskunftsersuchen nur dazu dient, die Voraussetzungen für einen Schadensersatzanspruch zu begründen.
Bei der Beurteilung können Berichte über das bekannte Verhalten des Abonnenten berücksichtigt werden.
Zu dem geltend gemachten Schadensersatzanspruch stellte der EuGH fest, dass dieser grundsätzlich bestehe. Allerdings muss die betroffene Person – hier der Abonnent – nachweisen, dass ihm durch die verweigerte Auskunft tatsächlich ein Schaden in Höhe von in diesem Fall EUR 1.000,00 entstanden ist.
Der Verlust der Kontrolle über personenbezogene Daten oder die Ungewissheit darüber, ob Daten verarbeitet wurden, kann nach Auffassung des Gerichts einen immateriellen Schaden darstellen. Ein Schadensersatzanspruch besteht aber nicht, wenn das Verhalten der betroffenen Person die entscheidende Ursache für den Schaden ist – sie also die Datenverarbeitung oder die Verweigerung der Auskunft z.B. provoziert hat.
Was heißt das jetzt?
Den konkreten Fall hat der EuGH nicht entschieden. Es ist also noch nicht klar, ob das Unternehmen die geforderte Auskunft verweigern durfte. Das Gericht hat sich nur allgemein zur Auslegung von Art. 12 Abs. 5, Art. 15 und Art. 82 DSGVO geäußert.
Ob der Abonnent tatsächlich einen Auskunfts- und ggf. Schadensersatzanspruch hat oder ob das angefragte Unternehmen die Auskunft berechtigterweise verweigern durfte, muss jetzt das Amtsgericht Arnsberg entscheiden. Dabei muss es natürlich das Urteil des EuGH berücksichtigen und untersuchen, ob die dem Unternehmen vorliegenden Informationen über das Verhalten des Abonnenten tatsächlich einen potentiellen Missbrauch von geltendem Datenschutz-Recht nahelegen.
Charlotte Werther, LL.M. ist Juristin und wissenschaftliche Mitarbeiterin bei der Open Search Foundation e.V. Im Rahmen des Projekts PriDI beschäftigt sie sich mit der grundrechtskonformen Gestaltung einer offenen Suchinfrastruktur.
