Auskunftsanträge & Schadensersatzansprüche

EuGH stärkt Unternehmen gegen missbräuchliche DSGVO-Auskunftsanträge

Worum ging es?
Eine betroffene Person meldete sich für den Newsletter eines Unternehmens an und stellte bereits 13 Tage später einen Auskunftsantrag nach Art. 15 DSGVO. Das Unternehmen verweigerte die Auskunft mit der Begründung, der Antrag sei Teil eines systematischen Geschäftsmodells: Die Person melde sich gezielt bei verschiedenen Unternehmen an, fordere anschließend Auskunft und verlange danach Schadensersatz wegen angeblicher DSGVO-Verstöße.

Das zuständige Amtsgericht Arnsberg legte die Rechtsfrage dem EuGH vor.

 

Die Entscheidung des EuGH
Der EuGH stellt klar:

• Das Auskunftsrecht nach Art. 15 DSGVO dient dazu, Betroffenen Transparenz über die Verarbeitung ihrer personenbezogenen Daten zu verschaffen.
• Wird ein Auskunftsantrag jedoch ausschließlich gestellt, um künstlich die Voraussetzungen für Schadensersatzansprüche zu schaffen, kann er als missbräuchlich bzw. exzessiv angesehen werden.
• In einem solchen Fall darf der Verantwortliche den Antrag zurückweisen, sofern er den Missbrauch nachweisen kann.
• Alle Umstände des Einzelfalls sind zu berücksichtigen. Dazu gehören beispielsweise frühere vergleichbare Vorgehensweisen der betroffenen Person oder öffentlich bekannte Serien von Auskunftsanträgen mit anschließenden Schadensersatzforderungen.

 

Schadensersatz bleibt an tatsächlichen Schaden geknüpft
Der EuGH bekräftigt außerdem seine bisherige Rechtsprechung zum Schadensersatz nach Art. 82 DSGVO:

Ein Schadensersatzanspruch setzt voraus, dass

• tatsächlich ein materieller oder immaterieller Schaden entstanden ist,
• ein Verstoß gegen die DSGVO vorliegt und
• zwischen Verstoß und Schaden ein ursächlicher Zusammenhang besteht.

Hat die betroffene Person den behaupteten Schaden durch ihr eigenes missbräuchliches Verhalten selbst herbeigeführt, besteht kein Anspruch auf Schadensersatz.

 

Bedeutung für Unternehmen und soziale Einrichtungen
Die Entscheidung stärkt Verantwortliche im Umgang mit sogenannten "DSGVO-Abmahnmodellen". Unternehmen, Vereine und soziale Träger müssen zwar weiterhin Auskunftsanträge sorgfältig und fristgerecht bearbeiten. Das Urteil eröffnet jedoch die Möglichkeit, sich gegen eindeutig missbräuchliche Anträge zu verteidigen.

Dabei gilt weiterhin:

• Ein bloßer Verdacht reicht nicht aus.
• Die Beweislast für einen Rechtsmissbrauch trägt der Verantwortliche.
• Jeder Auskunftsantrag muss individuell geprüft und dokumentiert werden.

 

Unsere Empfehlung
Organisationen sollten ihre Prozesse zur Bearbeitung von Betroffenenanfragen überprüfen und dokumentieren. Gerade wenn Anhaltspunkte für ein systematisches oder missbräuchliches Vorgehen bestehen, empfiehlt sich eine sorgfältige rechtliche Bewertung, bevor ein Auskunftsantrag zurückgewiesen wird.

Eine nachvollziehbare Dokumentation der Entscheidungsgründe kann im Streitfall entscheidend sein und trägt zugleich zur DSGVO-konformen Organisation des Datenschutzmanagements bei.

 

Fazit
Das Urteil schafft mehr Rechtssicherheit. Das Auskunftsrecht bleibt ein zentrales Instrument des Datenschutzes – darf jedoch nicht als Mittel genutzt werden, um gezielt Schadensersatzansprüche zu konstruieren.