Warum selbst der erste Auskunftsantrag exzessiv sein kann

Der EuGH hat am 19. März 2026 in der Rechtssache C-526/24 klargestellt, dass auch ein erster Auskunftsantrag nach Art. 15 DSGVO exzessiv sein kann, wenn er in missbräuchlicher Absicht gestellt wurde. Das Urteil zu Art. 12 Abs. 5 DSGVO gibt Verantwortlichen mehr Rechtssicherheit im Umgang mit missbräuchlichen Anträgen, verlangt zugleich aber eine sorgfältig dokumentierte Einzelfallprüfung.

Ein Wendepunkt im Umgang mit missbräuchlichen Auskunftsanträgen

Im Ausgangsverfahren meldete sich der Antragsteller für einen Newsletter an und verlangte 13 Tage später Auskunft nach Art. 15 DSGVO. Nachdem das Unternehmen die Auskunft verweigert hatte, forderte er Schadensersatz. Der EuGH stellt klar: Nicht allein die Zahl der Anträge ist entscheidend. Auch ein erster Antrag kann exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sein, wenn der Verantwortliche anhand aller relevanten Fallumstände nachweist, dass er nicht der Information und Rechtmäßigkeitskontrolle dient, sondern in missbräuchlicher Absicht gestellt wurde. Ob dies im konkreten Fall zutrifft, muss das Amtsgericht Arnsberg prüfen.

Wann ist ein Antrag exzessiv?

Der EuGH stellt keinen abschließenden Kriterienkatalog auf. Entscheidend ist, ob der Verantwortliche anhand aller relevanten Fallumstände nachweist, dass der Antrag nicht dem Informations- und Kontrollzweck des Art. 15 DSGVO dient, sondern missbräuchlich gestellt wurde – etwa um künstlich die Voraussetzungen für einen Vorteil aus der DSGVO zu schaffen. Öffentlich zugängliche Informationen über mehrere Auskunftsanträge mit anschließenden Schadensersatzforderungen gegenüber verschiedenen Verantwortlichen können berücksichtigt werden, müssen aber durch andere relevante Anhaltspunkte bestätigt werden.

Art. 12 Abs. 5 DSGVO ist als Ausnahme von der grundsätzlich unentgeltlichen Bearbeitung von Betroffenenanträgen eng auszulegen. Auf den exzessiven Charakter eines ersten Auskunftsantrags darf sich der Verantwortliche daher nur ausnahmsweise und nach strengen Maßstäben berufen. Er trägt die Beweislast und muss die Missbrauchsabsicht eindeutig nachweisen; eine bloße Vermutung oder pauschale Dokumentation genügt nicht.

Mehr Sicherheit, aber auch mehr Verantwortung

Für Unternehmen ist das Urteil einerseits hilfreich im Umgang mit missbräuchlichen Auskunftsanträgen. Andererseits verlangt es eine sorgfältige und dokumentierte Prüfung jedes einzelnen Antrags. Verantwortliche müssen insbesondere:

• den Zweck und Kontext eines Antrags anhand der relevanten Fallumstände prüfen
• Missbrauchsindikatoren und entgegenstehende Umstände dokumentieren
• die Entscheidung über ein Entgelt oder eine Ablehnung klar und verständlich begründen
• sicherstellen, dass sie nicht schematisch, willkürlich oder allein nach der Zahl früherer Anträge getroffen wird

Sind die strengen Voraussetzungen nachweislich erfüllt, kann der Verantwortliche nach Art. 12 Abs. 5 DSGVO entweder ein angemessenes Entgelt unter Berücksichtigung der Verwaltungskosten verlangen oder sich weigern, aufgrund des Antrags tätig zu werden. Das Urteil stärkt damit die Rechtssicherheit, verpflichtet Unternehmen aber zugleich zu einer professionellen und nachvollziehbaren Einzelfallprüfung beim Umgang mit Auskunftsanträgen.