Ein aktuelles Urteil des Europäischen Gerichtshofs stärkt Unternehmen im Umgang mit problematischen DSGVO-Anfragen. Gleichzeitig betont das Gericht hohe Hürden für Ablehnungen und präzisiert die Anforderungen an den Rechtsmissbrauch.
Der Europäische Gerichtshof (EuGH) hat mit seiner Entscheidung in der Rechtssache Brillen Rottler (Urt. v. 19.03.2026, Az. C-526/24) eine Grundsatzfrage des Datenschutzrechts beantwortet: Kann bereits ein erstmaliges Auskunftsersuchen nach Art. 15 DSGVO rechtsmissbräuchlich sein?
Die Antwort lautet: Ja – allerdings nur unter engen Voraussetzungen.
Das Urteil dürfte in der Datenschutzpraxis erhebliche Bedeutung entfalten. Es begrenzt einerseits das sogenannte „DSGVO-Hopping“, stärkt andererseits aber zugleich die Rechte Betroffener bei Verstößen gegen Auskunftspflichten. Gerade diese doppelte Stoßrichtung macht die Entscheidung bemerkenswert.
Der Hintergrund: DSGVO als Geschäftsmodell?
Im Mittelpunkt des Verfahrens stand ein Mann aus Wien, der sich selbst für den Newsletter des deutschen Optikers Brillen Rottler anmeldete und dabei in die Datenverarbeitung einwilligte. Bereits 13 Tage später verlangte er Auskunft über seine personenbezogenen Daten nach Art. 15 DSGVO.
Das Unternehmen verweigerte die Auskunft. Es war der Auffassung, der Betroffene betreibe systematisch sogenanntes DSGVO-Hopping – also die gezielte Geltendmachung datenschutzrechtlicher Ansprüche mit dem Ziel, anschließend Schadensersatzforderungen nach Art. 82 DSGVO geltend zu machen. Im Internet gebe es zahlreiche Hinweise auf vergleichbare Vorgehensweisen.
Daraufhin erhob Brillen Rottler Klage vor dem Amtsgericht Arnsberg auf Feststellung, dass kein Auskunftsanspruch bestehe. Der Betroffene reagierte mit einer Widerklage auf Auskunft sowie einer Forderung über 1.000 Euro immateriellen Schadensersatzes wegen der verweigerten Antwort. Das Amtsgericht legte dem EuGH daraufhin mehrere Fragen zur Auslegung der DSGVO vor.
EuGH: Auch ein erster Antrag kann „exzessiv“ sein
Der EuGH stellte zunächst klar, dass ein Auskunftsersuchen nicht erst dann „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO sein kann, wenn eine Vielzahl von Anträgen gestellt wird. Auch ein erstmaliger Antrag könne missbräuchlich sein, wenn er allein dazu dient, künstlich die Voraussetzungen für spätere Schadensersatzforderungen zu schaffen.
Zugleich betonte der Gerichtshof jedoch ausdrücklich, dass diese Ausnahme eng auszulegen sei. Die Schwelle für die Annahme eines Rechtsmissbrauchs liege hoch. Unternehmen dürften das Urteil daher nicht als generellen Freibrief verstehen, um Auskunftsanfragen leichter zurückzuweisen.
Der Verantwortliche müsse vielmehr eindeutig nachweisen, dass der Antrag nicht dem eigentlichen Zweck des Auskunftsrechts diene – nämlich Transparenz über die Datenverarbeitung zu schaffen –, sondern allein auf die künstliche Generierung von Schadensersatzansprüchen gerichtet sei.
Welche Kriterien nennt der EuGH?
Nach Auffassung des Gerichtshofs ist stets eine Gesamtschau aller Umstände des Einzelfalls erforderlich. Dabei können insbesondere folgende Aspekte berücksichtigt werden:
- freiwillige Bereitstellung der Daten,
- Zweck der Datenübermittlung,
- kurzer Zeitraum zwischen Dateneingabe und Auskunftsanfrage,
- Gesamtverhalten der betroffenen Person,
- öffentliche Informationen über vergleichbare Vorgehensweisen.
Öffentliche Berichte über serielle Auskunfts- und Schadensersatzmuster dürfen nach der Entscheidung ausdrücklich berücksichtigt werden. Sie reichen für sich genommen allerdings nicht aus, um einen Missbrauch zu belegen. Gerade dieser Punkt ist praxisrelevant: Der EuGH verlangt keine bloße Vermutung strategischen Verhaltens, sondern einen substantiierten und beweisbaren Missbrauchsnachweis.
Keine Standardabwehr gegen Auskunftsansprüche
Besonders wichtig ist die Klarstellung des EuGH, dass Art. 12 Abs. 5 DSGVO eng auszulegen bleibt. Unternehmen dürfen Auskunftsersuchen nicht schematisch mit dem Hinweis auf „DSGVO-Hopping“ zurückweisen. Das Urteil etabliert deshalb keine allgemeine Verteidigungslinie gegen Betroffenenrechte. Vielmehr verlangt es eine sorgfältige Einzelfallprüfung und eine belastbare Dokumentation der Missbrauchsindizien.
Schadensersatz auch bei Verletzung von Auskunftspflichten
Ebenso bedeutsam wie die Missbrauchsfrage ist der zweite Teil der Entscheidung: Der EuGH bestätigt ausdrücklich, dass die DSGVO nicht nur Schäden aus rechtswidriger Datenverarbeitung erfasst, sondern auch Verstöße gegen Informations- und Auskunftspflichten.
Damit erteilt der Gerichtshof einer engen Auslegung des Schadensersatzanspruchs eine klare Absage. Auch die Verweigerung oder fehlerhafte Erteilung einer Auskunft kann grundsätzlich zu einem ersatzfähigen immateriellen Schaden führen.
Als mögliche Schäden nennt der EuGH insbesondere:
- Kontrollverlust über personenbezogene Daten,
- Ungewissheit darüber, ob und wie Daten verarbeitet werden.
Allerdings bleibt es dabei, dass ein tatsächlicher Schaden nachgewiesen werden muss. Ein DSGVO-Verstoß allein genügt nicht automatisch für einen Schadensersatzanspruch. Verstoß, Schaden und Kausalität müssen kumulativ vorliegen. Außerdem scheidet ein Anspruch aus, wenn das Verhalten der betroffenen Person selbst die entscheidende Ursache des Schadens war.
Fazit
Der EuGH versucht mit Brillen Rottler einen Ausgleich zwischen effektivem Datenschutz und der Abwehr missbräuchlicher Anspruchsmodelle. Das Urteil stärkt Unternehmen gegenüber systematischem DSGVO-Hopping, ohne die praktische Wirksamkeit des Auskunftsrechts auszuhöhlen.
Wer die Entscheidung allein als „unternehmensfreundliches Abwehrurteil“ versteht, greift daher zu kurz. Der Gerichtshof macht ebenso deutlich, dass Verstöße gegen Auskunftspflichten weiterhin erhebliche haftungsrechtliche Konsequenzen haben können.
Gerade darin liegt die eigentliche Bedeutung der Entscheidung: Der EuGH schärft die Grenze zwischen legitimer Rechtsausübung und missbräuchlicher Instrumentalisierung – ohne den Kern der Datenschutzrechte preiszugeben.
Der Praxistipp exklusiv für Mitglieder (Loggen Sie sich ein):
