Neue Möglichkeiten bei der Verteidigung gegen offenbar missbräuchliche Auskunftsbegehren i. S. d. Art. 15 DSGVO? Urteil des Europäischen Gerichtshofs (EuGH) vom 19.03.2026 (C-526/24)
1. Erkenntnisse aus der Beratungspraxis
Immer häufiger sehen sich Unternehmen Auskunftsgesuchen Betroffener ausgesetzt, bei denen für alle Beteiligten offensichtlich ist, dass es dem jeweils Betroffenen in erster Linie nicht – wie in Erwägungsgrund 63 vorgesehen – darum geht, sich der Verarbeitung seiner personenbezogenen Daten bewusst zu werden oder die Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten überprüfen zu wollen. Gängige Motive sind z. B. die Vorbereitung von Schadensersatzansprüchen oder das bloße Vorhaben, dem jeweiligen Gegenüber möglichst viel Aufwand zu verursachen, wobei die Gründe vielschichtig sein können.
2. Rechtsprechung im Wandel?
Der EuGH (insbesondere Urteil v. 26.10.2023, C-307/22) vertrat bislang durchweg die Auffassung, der Einwand der missbräuchlichen Geltendmachung des dem Betroffenen nach Art. 15 DSGVO zustehenden Auskunftsrechts ließe sich nicht damit begründen, dass der Betroffene den Auskunftsanspruch zu anderen Zwecken geltend macht:
„Nach alledem ist auf die erste Frage zu antworten, dass Art. 12 Abs. 5 sowie Art. 15 Abs. 1 und 3 DSGVO dahin auszulegen sind, dass die Verpflichtung des Verantwortlichen, der betroffenen Person unentgeltlich eine erste Kopie ihrer personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zur Verfügung zu stellen, auch dann gilt, wenn der betreffende Antrag mit einem anderen als den in Satz 1 des 63. Erwägungsgrundes der DSGVO genannten Zwecken begründet wird.“
Dies könnte sich nun ändern. In seinem Urteil vom 19.03.2026 (C-526/24) hat der EuGH nun entschieden, dass eine Missbrauchsabsicht sehr wohl festgestellt werden kann, wenn der Auskunftsantrag zu anderen Zwecken gestellt wird, als dem, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen:
„Nach alledem ist auf die Fragen 1 bis 3 und 7 zu antworten, dass Art. 12 Abs. 5 DSGVO dahin auszulegen ist, dass ein erster von der betroffenen Person an den Verantwortlichen gerichteter Antrag nach Art. 15 DSGVO auf Auskunft über personenbezogene Daten als "exzessiv" im Sinne dieses Art. 12 Abs. 5 angesehen werden kann, wenn der Verantwortliche in Ansehung aller relevanten Fallumstände nachweist, dass dieser Antrag trotz formaler Einhaltung der in diesen Bestimmungen vorgesehenen Bedingungen von der betroffenen Person nicht gestellt wurde, um sich der Verarbeitung dieser Daten bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, damit sie anschließend ihre Rechte aus der DSGVO schützen kann, sondern in missbräuchlicher Absicht wie zur künstlichen Schaffung der Voraussetzungen für die Erlangung eines sich aus der DSGVO ergebenden Vorteils. Dass die betroffene Person nach öffentlich zugänglichen Informationen etwa mehrere Anträge auf Auskunft über ihre personenbezogenen Daten, gefolgt von Schadensersatzforderungen gegenüber verschiedenen Verantwortlichen, gestellt hat, kann für die Feststellung einer solchen missbräuchlichen Absicht berücksichtigt werden.“
Hierin liegt eine eindeutige Abweichung von der bisherigen Rechtsprechung. Zu beachten ist jedoch, dass dieses aktuelle Urteil von der vierten Kammer des EuGH (und nicht von der ersten, wie im zuvor genannten Urteil) gefällt wurde. Ob der EuGH insgesamt und ganz grundsätzlich künftig diese Linie weiterführen wird, bleibt daher zunächst abzuwarten.
3. Konsequenzen
Diese Rechtsprechung eröffnet betroffenen Unternehmen aber jedenfalls (auch hinsichtlich erstmaligen Anfragen) eine weitere Möglichkeit, sich gegen derartige Auskunftsverlangen zur Wehr zu setzen. Während bislang andere taktische Manöver vorzugswürdig waren, können Unternehmen ein Auskunftsgesuch nun unter Umständen zurückweisen, wenn sie plausibel und nachvollziehbar belegen, dass der Betroffene das Verfahren instrumentalisiert. Klar ist jedoch auch, dass die Anforderungen für den (gerichtlichen) Nachweis des Missbrauchs hoch sind. Ein Selbstläufer wird die Verteidigung gegen solche Auskunftsbegehren also auch nach dieser Rechtsprechungsänderung eher nicht werden. Angesichts etwaiger im Raum stehender immaterieller Schadensersatzansprüche (die der EuGH in dieser Entscheidung ebenfalls erneut grundsätzlich anerkennt) sollte eine konfrontative Taktik daher nach wie vor gut abgewogen werden.
Sollten Sie sich einem Auskunftsverlangen nach Art. 15 DSGVO ausgesetzt sehen, berät die Kanzlei VOELKER Sie – wie auch zu anderen Konstellationen mit datenschutzrechtlichem Bezug – sehr gerne.