Missbräuchliche DSGVO-Auskunft: Was das EuGH-Urteil C-526/24 für Unternehmen bedeutet

Kurz beantwortet: Nach dem Urteil des EuGH vom 19. März 2026 (C-526/24) kann schon ein erster Auskunftsantrag nach Art. 15 DSGVO exzessiv sein, wenn Sie als Verantwortlicher nachweisen, dass er in missbräuchlicher Absicht gestellt wurde. Dann dürfen Sie die Auskunft verweigern (Art. 12 Abs. 5 DSGVO). Zugleich hat der EuGH klargestellt, dass eine verletzte Auskunftspflicht Schadensersatz auslösen kann. Die Beweislast für den Missbrauch liegt bei Ihnen.

Was hat der EuGH entschieden?

Der Gerichtshof hat in der Rechtssache C-526/24 drei Fragen beantwortet, die für Unternehmen mit vielen Kunden- oder Nutzerkontakten unmittelbar praktisch sind.

Wann ist ein Auskunftsantrag missbräuchlich?

Das Auskunftsrecht soll der betroffenen Person ermöglichen, sich der Verarbeitung ihrer Daten bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, um anschließend ihre Rechte wahrzunehmen. Dient ein Antrag erkennbar einem anderen Zweck, etwa dem gezielten Aufbau eines Schadensersatzanspruchs, kann er nach dem EuGH exzessiv im Sinne des Art. 12 Abs. 5 DSGVO sein. Die Vorschrift erlaubt dem Verantwortlichen bei offenkundig unbegründeten oder exzessiven Anträgen, ein angemessenes Entgelt zu verlangen oder sich zu weigern, tätig zu werden.

Für die Feststellung der missbräuchlichen Absicht dürfen Sie berücksichtigen, dass die Person nach öffentlich zugänglichen Informationen etwa bereits mehrere Auskunftsanträge an verschiedene Verantwortliche gestellt und daran jeweils Schadensersatzforderungen geknüpft hat. Das Urteil verlangt eine Gesamtwürdigung aller Umstände im Einzelfall, und Art. 12 Abs. 5 DSGVO weist Ihnen den Nachweis für den exzessiven Charakter ausdrücklich zu.

Was bedeutet das Urteil für den Schadensersatz?

Die zweite und dritte Aussage des Urteils wirken in die entgegengesetzte Richtung. Wer eine berechtigte Auskunft verzögert, unvollständig erteilt oder ganz verweigert, riskiert einen Anspruch aus Art. 82 Abs. 1 DSGVO. Als immaterieller Schaden kommen dabei auch der Verlust der Kontrolle über die eigenen Daten und die Ungewissheit in Betracht, ob Daten überhaupt verarbeitet wurden. Der Schaden muss aber tatsächlich eingetreten und nachgewiesen sein, und das eigene Verhalten der Person darf nicht die entscheidende Ursache gewesen sein. Die allgemeinen Voraussetzungen des Anspruchs ordnet der Beitrag zum immateriellen Schadensersatz nach Art. 82 DSGVO ein.

Wie ordnen deutsche Gerichte das ein?

Der Bundesgerichtshof hat sich dem EuGH angeschlossen. Er legt den Schadensbegriff weit aus und verlangt keine Erheblichkeitsschwelle, fordert aber im Anschluss an die EuGH-Urteile C-655/23 und C-526/24 den Nachweis tatsächlicher negativer Folgen. Die Befürchtung eines Datenmissbrauchs ist ein Schaden, wenn sie objektiv begründet ist und negative Folgen wie Sorge oder Ärger nachgewiesen werden; ein rein hypothetisches Risiko oder eine unbelegte Behauptung reicht nicht. Einen vorbeugenden Unterlassungsanspruch gegen künftige Verarbeitung gibt die DSGVO nach dem BGH nicht her, soweit nicht Löschung verlangt wird, das nationale Recht kann einen solchen Anspruch aber vorsehen (BGH, Urt. v. 23.06.2026 – VI ZR 97/22). Im entschiedenen Fall hat der BGH einen solchen Schaden bejaht, weil Bewerbungsdaten versehentlich an einen Dritten gingen; den Unterlassungsanspruch hat er nach dem Ende des Bewerbungsverfahrens verneint.

Auch das Bundesarbeitsgericht hat das Auskunftsrecht begrenzt: Ein Anspruch auf Kopie des vollständigen Compliance-Berichts besteht nicht, die Kopie erstreckt sich grundsätzlich nur auf die darin enthaltenen personenbezogenen Daten (BAG, Urt. v. 16.04.2026 – 8 AZR 169/25, NJW 2026, 2669).

Wie gehen Sie mit einem verdächtigen Antrag um?

• Frist sofort notieren: Die Auskunft ist unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags zu erteilen. Die Frist kann um weitere zwei Monate verlängert werden, wenn Komplexität oder Anzahl der Anträge das erfordern; darüber und über die Gründe unterrichten Sie die Person innerhalb des ersten Monats (Art. 12 Abs. 3 DSGVO).
• Indizien dokumentieren: Halten Sie fest, was für eine missbräuchliche Absicht spricht, etwa öffentlich bekannte Serien gleichartiger Anträge mit anschließenden Zahlungsforderungen, und woher diese Informationen stammen.
• Gesamtwürdigung vornehmen: Prüfen Sie auch, was gegen einen Missbrauch spricht, und stützen Sie eine Ablehnung möglichst auf mehrere belegbare Umstände.
• Ablehnung begründen und belehren: Werden Sie auf den Antrag hin nicht tätig, unterrichten Sie die Person ohne Verzögerung, spätestens innerhalb eines Monats, über die Gründe und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen (Art. 12 Abs. 4 DSGVO).
• Im Zweifel auskunftsfähig bleiben: Wer den Nachweis nicht sicher führen kann, trägt das Risiko eines Schadensersatzanspruchs aus der verweigerten Auskunft. Eine vollständige und fristgerechte Auskunft ist dann oft der risikoärmere Weg.
• Prozess standardisieren: Ein fester Ablauf für Auskunftsanträge verhindert, dass Fristen im Tagesgeschäft verstreichen.

Wie Sie Auskunft, Löschung und Datenübertragbarkeit im laufenden Betrieb organisieren, zeigt der Beitrag zu Betroffenenrechten im SaaS. Welche Sicherheitsmaßnahmen dafür sorgen, dass Kontrollverlust gar nicht erst entsteht, ordnet der Beitrag zu TOMs für Softwareunternehmen ein, das Vorgehen nach einem Datenleck der Beitrag zur 72-Stunden-Meldung bei Datenpannen.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Versandhändler für Büro- und Schulbedarf mit rund 150 Mitarbeitenden führt viele Kundenkonten. Aus dem Branchenverband hört die Geschäftsführung von gleichlautenden Auskunftsanträgen, denen kurz darauf Zahlungsforderungen folgten. Eingegangen ist ein solcher Antrag noch nicht, die Geschäftsführung will aber vorher einen Ablauf festlegen. Zu klären ist, was das Urteil des EuGH vom 19. März 2026 dafür hergibt. Auch ein erster Antrag kann exzessiv sein, wenn der Verantwortliche die missbräuchliche Absicht nachweist, und die Monatsfrist läuft ab Eingang.

Danach trennen sich die Wege. Der Normalfall wird mit fester Zuständigkeit vollständig und fristgerecht beantwortet. Für auffällige Anträge sieht der Ablauf vor, Indizien mit ihrer Quelle festzuhalten, etwa öffentlich bekannte Serien gleichartiger Anträge, auch Gegenargumente zu prüfen und die Gesamtwürdigung zu dokumentieren. Trägt sie eine Ablehnung, wird die Person binnen eines Monats über die Gründe sowie über Beschwerde und gerichtlichen Rechtsbehelf unterrichtet. Bleibt der Nachweis unsicher, wird Auskunft erteilt, weil auch eine verletzte Auskunftspflicht Schadensersatz auslösen kann. Am Ende stehen ein Ablauf mit Fristen und eine Entscheidungsvorlage. Solche Anfragen begleitet die Externe Rechtsabteilung laufend.

Häufige Fragen

Darf ich einen ersten Auskunftsantrag ablehnen?

Ausnahmsweise ja. Nach dem EuGH (C-526/24) kann auch ein erster Antrag exzessiv im Sinne des Art. 12 Abs. 5 DSGVO sein, wenn Sie unter Würdigung aller Umstände nachweisen, dass er in missbräuchlicher Absicht gestellt wurde. Den Nachweis müssen Sie führen.

Welche Umstände darf ich für den Missbrauch heranziehen?

Der EuGH nennt ausdrücklich öffentlich zugängliche Informationen darüber, dass die Person mehrere Auskunftsanträge an verschiedene Verantwortliche gestellt und daran Schadensersatzforderungen geknüpft hat. Entscheidend bleibt die Gesamtwürdigung im Einzelfall.

Kann eine verspätete Auskunft Schadensersatz auslösen?

Ja. Art. 82 Abs. 1 DSGVO gewährt Ersatz des Schadens, der aus einer Verletzung des Auskunftsrechts entstanden ist. Die betroffene Person muss den Schaden allerdings tatsächlich nachweisen.

Welche Frist gilt für die Antwort?

Unverzüglich, spätestens innerhalb eines Monats nach Eingang, mit Verlängerungsmöglichkeit um zwei Monate bei komplexen oder zahlreichen Anträgen (Art. 12 Abs. 3 DSGVO). Auch eine Ablehnung ist innerhalb eines Monats mitzuteilen, zusammen mit den Gründen und dem Hinweis auf Beschwerde und gerichtlichen Rechtsbehelf (Art. 12 Abs. 4 DSGVO).

Ein auffälliger Auskunftsantrag landet oft unvorbereitet bei der Geschäftsführung, und die Frist läuft ab Eingang. Eine externe Rechtsabteilung kennt Ihre Verarbeitungen und begleitet Anfragen von Betroffenen und Aufsicht laufend. Externe Rechtsabteilung: Begleitung bei Datenschutzanfragen

Sie haben einen Auskunftsantrag erhalten, der nach einer Anspruchsserie aussieht? In einem 60-minütigen Strategiegespräch prüfen wir, ob die Indizien eine Ablehnung tragen und wie Sie fristgerecht reagieren. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen