Unzulässigkeit einer Datenschutzauskunft
Das Thema Datenschutz ist für viele Unternehmer ein ständiger Begleiter und nicht selten ein rotes Tuch. Besonders gefürchtet sind massenhafte Auskunftsanfragen gemäß Art. 15 DSGVO, die oft nur ein einziges Ziel verfolgen: Schadenersatz zu erstreiten. Doch der Europäische Gerichtshof (EuGH) hat dieser umstrittenen Praxis nun einen Riegel vorgeschoben. In einem aktuellen und richtungsweisenden Urteil vom 19. März 2026 (Rechtssache C-526/24) hat das Gericht klargestellt, dass missbräuchliche Auskunftsanfragen unter bestimmten Voraussetzungen abgelehnt werden dürfen. Was diese Entscheidung für Händler im E-Commerce, Dienstleister und andere Unternehmen in der Praxis bedeutet, fassen wir in diesem Beitrag detailliert zusammen.
Der Fall: Optikerunternehmen vor dem EuGH
Hintergrund des aktuellen Urteils ist ein Rechtsstreit zwischen einem mittelständischen Optikerunternehmen, und einer Privatperson. Dieser Nutzer hat eine Auskunft gemäß Art. 15 DSGVO gefordert und wollte wissen, welche personenbezogenen Daten das Unternehmen über ihn gespeichert hat. Das Unternehmen weigerte sich jedoch, diese Daten herauszugeben. Der Grund für die Verweigerung: Der Optiker vermutete, dass der Antragsteller die Auskunft gar nicht nutzen wollte, um die rechtmäßige Verarbeitung seiner Daten zu prüfen. Vielmehr ging es dem Antragsteller offenbar darum, bei einem formalen Fehler des Unternehmens direkt einen immateriellen Schadensersatz gemäß Art. 82 DSGVO geltend zu machen. Der Fall landete zur Klärung vor dem Europäischen Gerichtshof.
Wann ist eine Auskunftsanfrage „exzessiv“?
Grundsätzlich hat jeder Verbraucher das Recht zu erfahren, welche Daten ein Unternehmen über ihn speichert. Das ist ein wichtiger Grundpfeiler im europäischen Datenschutzrecht. Wenn Sie beispielsweise einen Online-Shop im E-Commerce betreiben, müssen Sie solche Anfragen in der Regel kostenlos, vollständig und innerhalb eines Monats beantworten.
Doch der EuGH hat in seinem Urteil vom 19.03.2026 klargestellt, dass dieses Auskunftsrecht nicht grenzenlos ist. Gemäß Art. 12 Abs. 5 DSGVO können Unternehmen Anträge ablehnen oder Gebühren verlangen, wenn diese offenkundig unbegründet oder “exzessiv” sind. Bisher war in der juristischen Praxis oft unklar, ab wann genau dieser Begriff greift und wann ein Unternehmen rechtssicher ablehnen darf. Der EuGH urteilte nun eindeutig. Ein Antrag ist dann exzessiv und damit missbräuchlich, wenn er nur gestellt wird, um künstlich die Voraussetzungen für einen finanziellen Vorteil zu schaffen.
Ein klares Indiz für einen solchen Rechtsmissbrauch liegt beispielsweise vor, wenn der Antragsteller in der Vergangenheit bereits mehrfach ähnliche Auskunftsanträge bei verschiedenen Unternehmen gestellt hat, um unmittelbar im Anschluss Schadensersatz zu fordern. Solche systematischen Vorgehensweisen kennen viele Händler bereits aus der Vergangenheit, etwa bei den massenhaften Abmahnungen wegen der Einbindung von externen Schriftarten.
Schadensersatz bei Datenschutzverstößen: Keine automatische Geldquelle
Das Gericht bestätigte zwar in seinem Urteil grundsätzlich, dass eine verweigerte oder unvollständige Auskunft zu einem Schadensersatzanspruch führen kann. Auch ein immaterieller Schaden – etwa der Verlust der Kontrolle über die eigenen Daten oder das bloße Gefühl der Ungewissheit, was mit den Daten passiert ist – ist gemäß Art. 82 Abs. 1 DSGVO ersatzfähig.
Es gibt jedoch eine klare Einschränkung: Der Betroffene muss stichhaltig beweisen, dass ihm tatsächlich ein konkreter Schaden entstanden ist. Es reicht vor Gericht nicht mehr aus, sich nur allgemein auf einen Verstoß gegen den Datenschutz zu berufen. Außerdem betonte der EuGH, dass das eigene Verhalten des Antragstellers nicht die entscheidende Ursache für den Schaden sein darf. Wer es also mutwillig auf eine Ablehnung anlegt, um anschließend Kasse zu machen, geht leer aus.
Weitere Pflichten für Website-Betreiber nicht vergessen
Dieses Urteil ist zweifellos ein großer Erfolg für Unternehmer. Es schützt vor gezielten Abmahnwellen und sogenannten Schadensersatz-Trollen. Dennoch dürfen Sie sich als Betreiber einer Website nicht auf diesem Urteil ausruhen. Die rechtlichen Anforderungen an digitale Angebote steigen stetig weiter an.
Achten Sie beispielsweise stets auf ein rechtssicheres und leicht auffindbares Impressum, um keine unnötige Angriffsfläche für Mitbewerber zu bieten. Auch die gesetzlichen Anforderungen an die Barrierefreiheit werden für viele Sektoren immer strenger. Wenn Ihr Online-Auftritt nicht für alle Menschen zugänglich und bedienbar ist, drohen hier neue rechtliche Risiken und Abmahnungen, die völlig unabhängig vom klassischen Datenschutzrecht bestehen. Eine ganzheitliche rechtliche Absicherung Ihres Unternehmens bleibt daher unerlässlich.
Fazit
Der EuGH hat mit seiner Entscheidung in der Rechtssache C-526/24 für deutlich mehr Rechtssicherheit gesorgt. Unternehmen müssen nicht mehr jede Auskunftsanfrage blind und mit hohem Aufwand bedienen, wenn offensichtlich ist, dass es dem Antragsteller gar nicht um den Schutz seiner Daten, sondern nur um finanzielle Bereicherung geht. Die Abwehr von missbräuchlichen Anfragen wird durch die klaren Vorgaben des Gerichts spürbar erleichtert. Dennoch bleibt das Thema Datenschutz wichtig. Nehmen Sie berechtigte Auskunftsersuchen weiterhin ernst und sorgen Sie für transparente und gut dokumentierte Prozesse. So vermeiden Sie unnötigen Ärger, wehren unberechtigte Forderungen souverän ab und können sich wieder voll auf Ihr Kerngeschäft konzentrieren.