EuGH zur Grenzen des Auskunftsersuchens
Der EuGH hat klargestellt, wann ein Auskunftsersuchen nach Art. 15 DSGVO als „exzessiv“ und damit missbräuchlich gilt. Der Beschluss bringt für die Praxis mehr Rechtssicherheit – aber auch neue Anforderungen an Verantwortliche, die Auskunftsersuchen rechtssicher prüfen und dokumentieren müssen.
Ausgangspunkt: Auskunftsersuchen, Rechtsprechung und Datenschutz im Fokus
Auskunftsersuchen, aktuelle Rechtsprechung und Datenschutz gehören inzwischen fest zum Alltag vieler Unternehmen. Das Urteil des EuGH vom 19.03.2026 (Az. C‑526/24) konkretisiert nun, wann ein Auskunftsersuchen nach Art. 15 DSGVO als missbräuchlich einzustufen ist und wie Verantwortliche damit umgehen dürfen.
Dem Verfahren lag ein praxisnaher Fall zugrunde: Eine Privatperson aus Wien meldete sich für den Newsletter eines Optikerunternehmens an und stimmte der Datenverarbeitung ausdrücklich zu. Bereits 13 Tage später stellte dieselbe Person ein Auskunftsersuchen nach Art. 15 DSGVO.
Das Unternehmen verweigerte die Auskunft. Begründung: Der Antragsteller betreibe gezieltes „DSGVO‑Hopping“, also das bewusste Herbeiführen von Datenschutzverstößen, um anschließend Schadensersatzansprüche geltend zu machen. Das Unternehmen klagte auf Feststellung, dass kein Auskunftsanspruch bestehe. Der Betroffene reagierte mit Widerklage – mit dem Ziel, Auskunft zu erhalten und zusätzlich 1.000 Euro Schadensersatz wegen der verweigerten Auskunft durchzusetzen.
Zentrale Aussage des EuGH: Auch ein erstes Auskunftsersuchen kann missbräuchlich sein
Das zuständige nationale Gericht legte dem EuGH mehrere Fragen zur Auslegung der DSGVO vor. Im Mittelpunkt stand die Frage, wann Verantwortliche ein Auskunftsersuchen ablehnen dürfen.
Der EuGH stellte klar:
Auch ein erstmaliges Auskunftsersuchen kann „exzessiv“ und damit missbräuchlich sein. Das gilt insbesondere dann, wenn es ausschließlich mit der Absicht gestellt wird, Schadensersatzansprüche zu konstruieren – also wenn die betroffene Person gezielt Situationen schafft, die nur dazu dienen, einen Anspruch herzuleiten.
Damit grenzt die Rechtsprechung legitime Auskunftsersuchen von strategisch motivierten Anträgen ab, die nicht dem eigentlichen Schutzzweck der DSGVO dienen.
Beweislast bei den Verantwortlichen: Wann ist ein Verhalten „exzessiv“?
Wichtig für die Praxis: Die Beweislast liegt beim Verantwortlichen. Wer sich auf ein exzessives, missbräuchliches Auskunftsersuchen berufen will, muss dieses Verhalten nachvollziehbar darlegen können.
Der EuGH nennt dabei mehrere Kriterien, die in die Bewertung einfließen können:
Freiwillige Preisgabe der Daten
- Wurden die personenbezogenen Daten bewusst und freiwillig überlassen (z. B. Newsletteranmeldung)?
Zweck der Datenerhebung
- Entspricht das Auskunftsersuchen dem ursprünglichen Zweck der Verarbeitung oder steht es offensichtlich quer dazu?
Zeitlicher Abstand
- Wie viel Zeit liegt zwischen Datenerhebung und Auskunftsersuchen? Ein sehr kurzer Zeitraum kann – je nach Konstellation – ein Indiz sein.
Gesamtverhalten der betroffenen Person
- Hat die Person bereits mehrfach vergleichbare Anfragen gestellt, möglicherweise gegenüber verschiedenen Unternehmen?
Öffentlich zugängliche Informationen über „Hopper‑Verhalten“
- Solche Informationen dürfen berücksichtigt werden, reichen aber allein nicht aus, um Missbrauch zu belegen.
Neben diesen objektiven Kriterien betont der EuGH ein subjektives Element: Es muss eine gezielte Absicht vorliegen, sich einen Anspruch zu verschaffen, indem die Voraussetzungen künstlich herbeigeführt werden. Am Ende ist immer eine Gesamtwürdigung aller Umstände des Einzelfalls erforderlich.
Rechtsfolge: Entgelt oder Verweigerung – aber nur in engen Grenzen
Kommt ein Unternehmen zu der rechtssicheren Einschätzung, dass ein Auskunftsersuchen missbräuchlich im Sinne der DSGVO ist, eröffnen sich zwei Handlungsoptionen:
- Es kann ein angemessenes Entgelt für die Bearbeitung des Auskunftsersuchens verlangen oder
- die Auskunft vollständig verweigern.
Der EuGH betont jedoch ausdrücklich, dass dies eine eng auszulegende Ausnahme bleibt. Die Anforderungen, unter denen Verantwortliche ein Auskunftsersuchen als exzessiv einstufen dürfen, sind hoch.
Der Grundsatz der DSGVO bleibt unverändert:
- Betroffene müssen ihr Auskunftsersuchen nicht begründen.
- Sie müssen keine Motive darlegen, warum sie ihre Daten einsehen möchten.
Handlungsempfehlung
Damit Sie Auskunftsersuchen in Zukunft rechtssicher und effizient handhaben, bietet sich folgendes Vorgehen an:
Standardprozess für Auskunftsersuchen etablieren
Legen Sie intern klare Prozesse fest: Wer nimmt Anfragen entgegen, wer prüft sie, wer dokumentiert? Ein strukturierter Ablauf reduziert Fehler und spart Zeit.
Checkliste für potenziell exzessive Auskunftsersuchen entwickeln
Integrieren Sie die vom EuGH genannten Kriterien (Zeitabstand, Zweck, Verhalten der betroffenen Person, öffentlich zugängliche Informationen) in eine kurze Prüfliste. So stellen Sie sicher, dass Bewertungen nachvollziehbar sind.
Saubere Dokumentation sicherstellen
Halten Sie bei jedem Auskunftsersuchen fest, wie Sie geprüft und entschieden haben. Das gilt besonders, wenn Sie ein Entgelt verlangen oder die Auskunft verweigern. Eine gute Dokumentation ist essenziell für Ihre Compliance.
Rechtliche Einordnung nicht überstrapazieren
Behandeln Sie den Missbrauchstatbestand als Ausnahme, nicht als Standardargument. Die Schwelle für „exzessiv“ ist hoch – im Zweifel sollte die Auskunft erteilt werden.
Datenschutzorganisation stärken
Binden Sie Datenschutzbeauftragte frühzeitig ein, schulen Sie relevante Mitarbeitende und verankern Sie das Thema Auskunftsersuchen, Rechtsprechung und Datenschutz in Ihren internen Richtlinien.
Wer diese Punkte beherzigt, reduziert das Risiko von Beanstandungen durch Aufsichtsbehörden, stärkt die eigene DSGVO‑Compliance und behält gleichzeitig die Kontrolle über missbräuchliche Auskunftsersuchen.
