Missbräuchliche DSGVO-Auskunft: Was das EuGH-Urteil C-526/24 für Unternehmen bedeutet

Kurz beantwortet: Nach dem Urteil des EuGH vom 19. März 2026 (C-526/24) kann schon ein erster Auskunftsantrag nach Art. 15 DSGVO exzessiv sein, wenn Sie als Verantwortlicher nachweisen, dass er in missbräuchlicher Absicht gestellt wurde. Dann dürfen Sie die Auskunft verweigern (Art. 12 Abs. 5 DSGVO). Zugleich hat der EuGH klargestellt, dass eine verletzte Auskunftspflicht Schadensersatz auslösen kann. Die Beweislast für den Missbrauch liegt bei Ihnen.

Was hat der EuGH entschieden?

Der Gerichtshof hat in der Rechtssache C-526/24 drei Fragen beantwortet, die für Unternehmen mit vielen Kunden- oder Nutzerkontakten unmittelbar praktisch sind.

Wann ist ein Auskunftsantrag missbräuchlich?

Das Auskunftsrecht soll der betroffenen Person ermöglichen, sich der Verarbeitung ihrer Daten bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, um anschließend ihre Rechte wahrzunehmen. Dient ein Antrag erkennbar einem anderen Zweck, etwa dem gezielten Aufbau eines Schadensersatzanspruchs, kann er nach dem EuGH exzessiv im Sinne des Art. 12 Abs. 5 DSGVO sein. Die Vorschrift erlaubt dem Verantwortlichen bei offenkundig unbegründeten oder exzessiven Anträgen, ein angemessenes Entgelt zu verlangen oder sich zu weigern, tätig zu werden.

Für die Feststellung der missbräuchlichen Absicht dürfen Sie berücksichtigen, dass die Person nach öffentlich zugänglichen Informationen etwa bereits mehrere Auskunftsanträge an verschiedene Verantwortliche gestellt und daran jeweils Schadensersatzforderungen geknüpft hat. Das Urteil verlangt eine Gesamtwürdigung aller Umstände im Einzelfall, und Art. 12 Abs. 5 DSGVO weist Ihnen den Nachweis für den exzessiven Charakter ausdrücklich zu.

Was bedeutet das Urteil für den Schadensersatz?

Die zweite und dritte Aussage des Urteils wirken in die entgegengesetzte Richtung. Wer eine berechtigte Auskunft verzögert, unvollständig erteilt oder ganz verweigert, riskiert einen Anspruch aus Art. 82 Abs. 1 DSGVO. Als immaterieller Schaden kommen dabei auch der Verlust der Kontrolle über die eigenen Daten und die Ungewissheit in Betracht, ob Daten überhaupt verarbeitet wurden. Der Schaden muss aber tatsächlich eingetreten und nachgewiesen sein, und das eigene Verhalten der Person darf nicht die entscheidende Ursache gewesen sein. Die allgemeinen Voraussetzungen des Anspruchs ordnet der Beitrag zum immateriellen Schadensersatz nach Art. 82 DSGVO ein.

Wie ordnen deutsche Gerichte das ein?

Der Bundesgerichtshof hat sich dem EuGH angeschlossen. Er legt den Schadensbegriff weit aus und verlangt keine Erheblichkeitsschwelle, fordert aber im Anschluss an C-526/24 den Nachweis tatsächlicher negativer Folgen. Die Befürchtung eines Datenmissbrauchs ist ein Schaden, wenn sie objektiv begründet ist und negative Folgen wie Sorge oder Ärger nachgewiesen werden; ein rein hypothetisches Risiko oder eine unbelegte Behauptung reicht nicht. Einen vorbeugenden Unterlassungsanspruch gegen künftige Verarbeitung gibt die DSGVO nach dem BGH nicht her, soweit nicht Löschung verlangt wird, das nationale Recht kann einen solchen Anspruch aber vorsehen (BGH, Urt. v. 23.06.2026 – VI ZR 97/22).

Auch das Bundesarbeitsgericht hat sich mit dem Auskunftsrecht befasst, und zwar mit der Herausgabe der Kopie eines Compliance-Berichts (BAG, 16.04.2026 – 8 AZR 169/25).

Wie gehen Sie mit einem verdächtigen Antrag um?

• Frist sofort notieren: Die Auskunft ist unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags zu erteilen. Die Frist kann um weitere zwei Monate verlängert werden, wenn Komplexität oder Anzahl der Anträge das erfordern; darüber und über die Gründe unterrichten Sie die Person innerhalb des ersten Monats (Art. 12 Abs. 3 DSGVO).
• Indizien dokumentieren: Halten Sie fest, was für eine missbräuchliche Absicht spricht, etwa öffentlich bekannte Serien gleichartiger Anträge mit anschließenden Zahlungsforderungen, und woher diese Informationen stammen.
• Gesamtwürdigung vornehmen: Prüfen Sie auch, was gegen einen Missbrauch spricht, und stützen Sie eine Ablehnung möglichst auf mehrere belegbare Umstände.
• Ablehnung begründen und belehren: Werden Sie auf den Antrag hin nicht tätig, unterrichten Sie die Person ohne Verzögerung, spätestens innerhalb eines Monats, über die Gründe und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen (Art. 12 Abs. 4 DSGVO).
• Im Zweifel auskunftsfähig bleiben: Wer den Nachweis nicht sicher führen kann, trägt das Risiko eines Schadensersatzanspruchs aus der verweigerten Auskunft. Eine vollständige und fristgerechte Auskunft ist dann oft der risikoärmere Weg.
• Prozess standardisieren: Ein fester Ablauf für Auskunftsanträge verhindert, dass Fristen im Tagesgeschäft verstreichen.

Wie Sie Auskunft, Löschung und Datenübertragbarkeit im laufenden Betrieb organisieren, zeigt der Beitrag zu Betroffenenrechten im SaaS. Welche Sicherheitsmaßnahmen dafür sorgen, dass Kontrollverlust gar nicht erst entsteht, ordnet der Beitrag zu TOMs für Softwareunternehmen ein, das Vorgehen nach einem Datenleck der Beitrag zur 72-Stunden-Meldung bei Datenpannen.

Häufige Fragen

Darf ich einen ersten Auskunftsantrag ablehnen?

Ausnahmsweise ja. Nach dem EuGH (C-526/24) kann auch ein erster Antrag exzessiv im Sinne des Art. 12 Abs. 5 DSGVO sein, wenn Sie unter Würdigung aller Umstände nachweisen, dass er in missbräuchlicher Absicht gestellt wurde. Den Nachweis müssen Sie führen.

Welche Umstände darf ich für den Missbrauch heranziehen?

Der EuGH nennt ausdrücklich öffentlich zugängliche Informationen darüber, dass die Person mehrere Auskunftsanträge an verschiedene Verantwortliche gestellt und daran Schadensersatzforderungen geknüpft hat. Entscheidend bleibt die Gesamtwürdigung im Einzelfall.

Kann eine verspätete Auskunft Schadensersatz auslösen?

Ja. Art. 82 Abs. 1 DSGVO gewährt Ersatz des Schadens, der aus einer Verletzung des Auskunftsrechts entstanden ist. Die betroffene Person muss den Schaden allerdings tatsächlich nachweisen.

Welche Frist gilt für die Antwort?

Unverzüglich, spätestens innerhalb eines Monats nach Eingang, mit Verlängerungsmöglichkeit um zwei Monate bei komplexen oder zahlreichen Anträgen (Art. 12 Abs. 3 DSGVO). Auch eine Ablehnung ist innerhalb eines Monats mitzuteilen, zusammen mit den Gründen und dem Hinweis auf Beschwerde und gerichtlichen Rechtsbehelf (Art. 12 Abs. 4 DSGVO).

Sie haben einen Auskunftsantrag erhalten, der nach einer Anspruchsserie aussieht? In einem 30- bis 60-minütigen Erstgespräch prüfen wir, ob die Indizien eine Ablehnung tragen und wie Sie fristgerecht reagieren. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen