Rechtsmissbräuchliche Auskunftsersuchen: EuGH setzt Art. 15 DSGVO Grenzen (C-526/24)

Mit Urteil vom 19.03.2026 (C-526/24) konkretisiert der EuGH den Auskunftsanspruch nach Art. 15 DSGVO und setzt erstmals klare Grenzen. Im Ergebnis stärkt die Entscheidung die praktische Handhabbarkeit für Unternehmen, ohne den weiten Auskunftsanspruch im Kern einzuschränken: Ausgangspunkt ist Art. 15 DSGVO:

Der Anspruch dient der betroffenen Person dazu, die Verarbeitung ihrer personenbezogenen Daten zu überprüfen und ihre Rechte effektiv auszuüben.

Exzessive Auskunftsersuchen berechtigen den Verantwortlichen ein Tätigwerden zu verweigern oder ein entsprechendes angemessenes Entgelt zu verlangen, Art. 12 Abs. 5 DSGVO.

Der EuGH stellt klar: Auch ein erstmaliger Auskunftsantrag kann „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO sein. Entscheidend ist nicht die Häufigkeit, sondern die Zweckrichtung des Antrags. Dies hat zur Folge, dass ein Tätigwerden verweigert werden kann oder ein entsprechendes Entgelt verlangt werden kann.

Ein Anspruch ist nicht schutzwürdig, wenn er nicht auf die Kontrolle der Datenverarbeitung gerichtet ist, sondern gezielt dazu dient, Verstöße zu provozieren, um anschließend Schadensersatzansprüche geltend zu machen. Damit konkretisiert der EuGH den unionsrechtlichen Grundsatz des Verbots des Rechtsmissbrauchs im Datenschutzrecht.

Gleichzeitig betont der Gerichtshof jedoch die hohen Anforderungen: Der Einwand des Rechtsmissbrauchs ist eng auszulegen und anhand aller Umstände des Einzelfalls zu prüfen. Pauschale Annahmen reichen nicht aus.

Zugleich bestätigt der EuGH, dass Verstöße gegen Art. 15 DSGVO grundsätzlich Schadensersatzansprüche nach Art. 82 DSGVO auslösen können – allerdings nur bei Vorliegen eines konkreten Schadens.