Ein Newsletter-Abo, wenige Tage später ein Auskunftsantrag nach Artikel 15 DSGVO, dann eine Schadensersatzforderung, wenn die Antwort ausbleibt oder zu spät kommt: Dieses Muster begegnet immer mehr Unternehmen. Der Europäische Gerichtshof (EuGH) hat mit seinem Urteil vom 19. März 2026 erstmals entschieden, wann Unternehmen solche Anträge als missbräuchlich zurückweisen dürfen. Betroffen ist jedes Unternehmen, das personenbezogene Daten verarbeitet, insbesondere im Online-Handel, bei Newslettern und in der Kundenkommunikation.
Hintergrund
Im konkreten Fall hatte sich eine Person für einen Newsletter angemeldet und bereits einige Tage später Auskunft über die Verarbeitung ihrer Daten verlangt, verbunden mit einer Forderung von 1.000 Euro Schadensersatz. Das Unternehmen verweigerte die Auskunft und verwies darauf, dass die Person als sogenannter „Hopper“ bereits mehrfach in ähnlicher Weise gegen andere Unternehmen vorgegangen war. Das zuständige Amtsgericht legte dem EuGH daraufhin mehrere Fragen zur Auslegung von Artikel 12 Absatz 5 und Artikel 15 DSGVO vor.
Der EuGH entschied: Bereits ein erster Auskunftsantrag kann als exzessiv im Sinne von Artikel 12 Absatz 5 DSGVO eingestuft und abgelehnt werden. Entscheidend ist nicht die Zahl der Anträge, sondern deren erkennbarer Zweck. Das Unternehmen muss anhand objektiver Umstände, etwa öffentlich zugänglicher Hinweise auf ein wiederholtes Vorgehen, belegen, dass der Antrag nicht der Kontrolle der eigenen Daten dient, sondern allein dazu, künstlich einen Schadensersatzanspruch zu konstruieren.
Was das für Ihr Unternehmen bedeutet
Das Urteil ist kein Freibrief, Auskunftsanträge künftig pauschal abzulehnen. Die Ausnahme bleibt eng begrenzt, und die Beweislast liegt vollständig beim Unternehmen. Wer einen berechtigten Antrag zu Unrecht ablehnt oder verzögert, riskiert seinerseits einen Schadensersatzanspruch nach Artikel 82 DSGVO, und zwar unabhängig davon, ob bei der Datenverarbeitung selbst etwas schiefgelaufen ist. Der EuGH stellt klar, dass bereits die rechtswidrige Verweigerung der Auskunft für sich genommen einen Schaden begründen kann. Unternehmen bewegen sich damit zwischen zwei Risiken: vorschnelle Ablehnung auf der einen und unbegründete Nachgiebigkeit gegenüber Missbrauch auf der anderen Seite.
Unsere Empfehlung:
- Prüfen Sie jedes Auskunftsersuchen einzeln. Lehnen Sie es nicht schematisch als missbräuchlich ab, nur weil es kurz nach einer Datenerhebung eingeht.
- Dokumentieren Sie bei Missbrauchsverdacht alle Indizien: Zeitablauf, wiederkehrendes Muster, öffentlich zugängliche Hinweise auf ähnliches Verhalten bei anderen Unternehmen.
- Legen Sie interne Eskalations- und Freigabeprozesse für Zweifelsfälle fest, damit nicht jede Mitarbeiterin und jeder Mitarbeiter allein entscheidet.
- Lassen Sie Ablehnungen rechtlich prüfen und begründen Sie sie nachvollziehbar, damit sie im Streitfall vor Gericht Bestand haben.
- Halten Sie die Monatsfrist aus Artikel 12 Absatz 3 DSGVO ein. Eine unberechtigte Verweigerung kann teurer werden als die Auskunft selbst.
Fazit
Der EuGH schärft die Grenze zwischen berechtigter Auskunft und missbräuchlicher Geschäftemacherei. Für Unternehmen heißt das: Sie erhalten ein Werkzeug gegen offensichtlichen Missbrauch, aber keinen Freifahrtschein. Wer Auskunftsanträge weiterhin sorgfältig prüft, Verdachtsfälle dokumentiert und Ablehnungen rechtlich absichert, steht auf der sicheren Seite und schützt sich gegen Schadensersatzforderungen aus beiden Richtungen.