Grenzen für missbräuchliche DSGVO-Anfragen

9. Apr. 2026 Benn-Ibler Rechtsanwälte

Im gegenständlichen Fall abonnierte eine in Österreich wohnhafte Person den Newsletter eines Optikerunternehmens mit Sitz in Deutschland. Dabei gab sie ihre personenbezogenen Daten in die Anmeldemaske auf der Website des Unternehmens ein. Einige Wochen später stellte dieser einen Auskunftsantrag nach der Datenschutz-Grundverordnung (DSGVO) an das Optikerfachgeschäft.

Antrag auf Grund von Missbrauch zurückgewiesen 

Das Optikfachgeschäft wies den gestellten Antrag zurück und bezeichnete diesen als missbräuchlich. Verschiedenen Medienquellen nach sei ersichtlich gewesen, dass sich der Antragsteller bewusst zu Newslettern verschiedener Unternehmen anmeldete, dann Auskunft beantragte und schließlich Schadensersatz forderte. Im folgenden Fall jedoch beharrte er nach wie vor auf einer Entschädigung in Höhe von mindestens EUR1.000,00 für den immateriellen Schaden, welcher durch die Zurückweisung des Antrags entstanden sei.

Personenbezogene Daten können als „exzessiv“ angesehen werden

Nun stellte ein deutsches Gericht an den Europäischen Gerichtshof (EuGH) ein Vorabentscheidungsersuchen, ob ein erster Antrag der betroffenen Person auf Auskunft über personenbezogene Daten als „exzessiv“ gewertet werden kann und ob diese Person einen Anspruch auf Ersatz des aus einer Verletzung des Rechts auf Auskunft über diese Daten entstandenen Schadens hat.

Der EuGH stellte fest, dass ein erster Ankunftsantrag unter bestimmten Umständen bereits als „exzessiv“ im Sinne der DSGVO angesehen werden und daher missbräuchlich sein kann.

Dies ist der Fall, wenn der Verantwortliche nachweist, dass ein Auskunftsantrag zwar formal den Voraussetzungen der DSGVO entspricht, jedoch in missbräuchlicher Absicht gestellt wurde, um künstlich einen Schadensersatzanspruch nach der DSGVO zu begründen.

Dass die betroffene Person in der Vergangenheit bereits mehrere Anträge auf Auskunft über ihre personenbezogenen Daten, gefolgt von Schadens ersatzforderungen gegenüber verschiedenen Verantwortlichen gestellt hat, kann für die Feststellung einer solchen missbräuchlichen Absicht berücksichtigt werden.

Eine Person, der wegen eines Verstoßes gegen die DSGVO – einschließlich einer Verletzung des Rechts auf Auskunft über ihre personenbezogenen Daten – ein materieller oder immaterieller Schaden entstanden ist, hat zwar Anspruch auf Ersatz des betreffenden Schadens gegen den Verantwortlichen; der Gerichtshof stellt jedoch klar, dass die betroffene Person als Voraussetzung für einen solchen Schadensersatz u. a. nachweisen muss, dass ihr tatsächlich ein entsprechender Schaden entstanden ist. Im Übrigen kann diese Person keinen Schadensersatz nach der DSGVO erhalten, wenn ihr eigenes Verhalten die entscheidende Ursache für den Schaden ist.

 EuGH C-526/24 (19.03.2026)