EuGH C-526/24 (Brillen Rottler, VO 2016/679) – Rechtsmissbrauch beim ersten DSGVO-Auskunftsantrag und Schadensersatz nach Art. 82 In Kraft

Kernfakten

Geltungsbereich

Das Urteil legt die Datenschutz-Grundverordnung (VO (EU) 2016/679) aus. Diese gilt als EU-Verordnung unmittelbar in allen Mitgliedstaaten; ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung des Gerichtshofs ist damit ab dem Verkündungstag für alle Verantwortlichen und Auftragsverarbeiter im Anwendungsbereich der DSGVO maßgeblich — vom Einzelunternehmen mit Newsletter bis zum Konzern. Betroffen sind insbesondere Unternehmen mit Online-Anmeldeformularen, Newslettern, Gewinnspielen und Registrierungsstrecken, weil genau dort die Serienanträge ansetzen.

Eine Vorabentscheidung wirkt ex tunc: Sie erklärt, wie die Norm seit ihrem Inkrafttreten zu verstehen war. Das AG Arnsberg entscheidet den konkreten Rechtsstreit auf dieser Grundlage; das Ergebnis dort steht noch aus.

Der Fall

Eine in Österreich wohnhafte Person meldete sich auf der Website des familiengeführten Optikerunternehmens Brillen Rottler (Sitz Arnsberg, Deutschland) zum Newsletter an und gab dabei ihre personenbezogenen Daten in die Anmeldemaske ein; die Einwilligung wurde durch Ankreuzen eines Kästchens erteilt.

13 Tage später verlangte dieselbe Person nach Art. 15 DSGVO Auskunft über die verarbeiteten Daten. Das Unternehmen verweigerte die Auskunft mit der Begründung, der Antrag sei rechtsmissbräuchlich: Aus Medienberichten, Blogbeiträgen und Berichten von Rechtsanwälten sei ersichtlich, dass der Antragsteller sich systematisch zu Newslettern verschiedener Unternehmen anmelde, dann Auskunft beantrage und schließlich Schadensersatz fordere.

Der Antragsteller hielt seinen Antrag für legitim und forderte mindestens 1.000 Euro immateriellen Schadensersatz wegen der Zurückweisung. Das Amtsgericht Arnsberg legte dem Gerichtshof vor, ob ein erster Auskunftsantrag „exzessiv" sein kann und ob ein Schadensersatzanspruch wegen Verletzung des Auskunftsrechts besteht.

Was der Gerichtshof entschieden hat

1. Auch der erste Auskunftsantrag kann „exzessiv" sein. Art. 12 Abs. 5 DSGVO knüpft nicht zwingend an eine Wiederholung an. Entscheidend ist, ob trotz formaler Einhaltung der Antragsvoraussetzungen der Antrag nicht der Kontrolle der Verarbeitung dient, sondern der künstlichen Schaffung von Schadensersatzvoraussetzungen.

2. Zwei-Elemente-Prüfung. Der Gerichtshof verlangt ein objektives Element (Gesamtheit der Fallumstände: freiwillige Bereitstellung der Daten, Zweck der Bereitstellung, verstrichene Zeit zwischen Bereitstellung und Antrag, Verhalten der Person) und ein subjektives Element (Missbrauchsabsicht). Beides muss der Verantwortliche darlegen und beweisen.

3. Öffentlich zugängliche Informationen sind verwertbar. Dass die betroffene Person nach öffentlich zugänglichen Informationen mehrere Auskunftsanträge nebst Schadensersatzforderungen gegenüber verschiedenen Verantwortlichen gestellt hat, darf berücksichtigt werden — allein ausschlaggebend ist es nicht.

4. Enge Ausnahme, hohe Hürde. Art. 12 Abs. 5 DSGVO ist eine Ausnahme von der Pflicht, die Ausübung der Betroffenenrechte zu erleichtern. Ein Verantwortlicher darf sich nur ausnahmsweise auf den exzessiven Charakter berufen.

5. Rechtsfolge. Liegt Exzessivität vor, kann der Verantwortliche nach Art. 12 Abs. 5 DSGVO entweder ein angemessenes Entgelt unter Berücksichtigung der Verwaltungskosten verlangen oder sich weigern, aufgrund des Antrags tätig zu werden.

6. Schadensersatz nach Art. 82 DSGVO. Der Anspruch ist nicht auf Schäden aus einer Datenverarbeitung beschränkt — er erfasst auch Schäden aus der Verletzung des Auskunftsrechts. Der immaterielle Schaden umfasst grundsätzlich den Verlust der Kontrolle über die personenbezogenen Daten oder die Ungewissheit darüber, ob die Daten verarbeitet wurden.

7. Grenzen des Schadensersatzes. Die betroffene Person muss nachweisen, dass ihr tatsächlich ein Schaden entstanden ist. Und: Kein Schadensersatz, wenn das eigene Verhalten der Person die entscheidende Ursache für den Schaden ist.

Was das für Unternehmen bedeutet

• Der Missbrauchseinwand ist erstmals praktisch nutzbar — auch beim ersten Antrag. Vorher scheiterte er regelmäßig daran, dass jeder Hopper bei jedem Unternehmen nur einmal anfragt.
• Dokumentation wird zum Kernstück der Verteidigung: Zeitpunkt der Datenbereitstellung, Art und Zweck der Bereitstellung, Zeitabstand zum Auskunftsantrag, Kommunikationsverlauf.
• Recherche zu öffentlichen Quellen über den Antragsteller ist zulässiges Beweismaterial, trägt aber nicht allein.
• Fristwahrung nicht vergessen: Der Missbrauchseinwand muss innerhalb der Fristen des Art. 12 Abs. 3 und 4 DSGVO erhoben werden — grundsätzlich ein Monat ab Eingang des Antrags, verlängerbar um zwei weitere Monate bei Komplexität oder hoher Antragszahl. Wer schlicht schweigt, verliert den Einwand faktisch und riskiert selbst den Schadensersatz.
• Im Zweifel Auskunft erteilen. Die Hürden für Art. 12 Abs. 5 DSGVO sind hoch; eine erteilte Auskunft schließt den Schadensersatzanspruch aus Art. 15 DSGVO praktisch aus, eine unbegründete Verweigerung eröffnet ihn.

Was das für betroffene Personen bedeutet

Das Auskunftsrecht bleibt in seinem Kern unangetastet. Wer wissen will, welche Daten ein Unternehmen über ihn verarbeitet, hat weiterhin den vollen Anspruch aus Art. 15 DSGVO — kostenlos, ohne Begründungspflicht und ohne Angabe von Motiven. Der Gerichtshof hat betont, dass die Ausnahme nur in Ausnahmefällen greift und der Verantwortliche die volle Beweislast trägt.

Gestärkt wurde außerdem die Schadensersatzseite: Ein Verstoß gegen die Auskunftspflicht kann für sich genommen einen Anspruch aus Art. 82 DSGVO begründen, und schon Kontrollverlust oder Ungewissheit über die Verarbeitung können immaterieller Schaden sein.

Häufige Fehler

• „Der EuGH hat das Auskunftsrecht eingeschränkt." Falsch — der Gerichtshof hat eine bereits bestehende Ausnahme (Art. 12 Abs. 5 DSGVO) präzisiert und ausdrücklich betont, dass sie nur ausnahmsweise greift. Der Regelfall bleibt: Auskunft erteilen.
• „Wir dürfen jetzt jeden verdächtigen Antrag ablehnen." Falsch — nötig ist der Nachweis durch den Verantwortlichen, dass es der Person gar nicht um ihre Datenschutzrechte ging. Ein bloßer Verdacht, ein kurzer Zeitabstand oder ein bekannter Name genügen nicht.
• „Ein Treffer im Internet über den Antragsteller reicht als Beweis." Falsch — öffentlich zugängliche Informationen sind berücksichtigungsfähig, aber ausdrücklich nicht allein ausschlaggebend.
• „Der Antragsteller muss seine Motive offenlegen." Falsch — Art. 15 DSGVO verlangt keine Begründung. Die Beweislast für die Missbrauchsabsicht liegt beim Unternehmen, nicht die Rechtfertigungslast beim Antragsteller.
• „Ohne rechtswidrige Verarbeitung gibt es keinen Schadensersatz." Falsch — der Gerichtshof hat klargestellt, dass Art. 82 DSGVO auch Schäden aus der Verletzung des Auskunftsrechts erfasst.
• „Kontrollverlust allein ist kein Schaden." Nach diesem Urteil überholt — Kontrollverlust und Ungewissheit über die Verarbeitung sind grundsätzlich erfasst; nachzuweisen bleibt aber, dass der Schaden tatsächlich eingetreten ist.
• „Wir können den Missbrauchseinwand jederzeit nachschieben." Riskant — der Einwand ist an die Reaktionsfristen des Art. 12 Abs. 3 und 4 DSGVO gebunden.

Änderungsverlauf

• 2026-09-07: Faktencheck abgeschlossen und freigegeben. Alle drei Gründe des `review_needed` sind behoben: (1) Der amtliche Urteilsvolltext ist auf EUR-Lex unter CELEX 62024CJ0526 verfügbar; der dortige Dokumenttitel „URTEIL DES GERICHTSHOFS (Vierte Kammer) 19. März 2026" bestätigt Spruchkörper und Entscheidungsdatum. Die CURIA-Pressemitteilung Nr. 38/26 vom 19.03.2026 wurde im Volltext gegengelesen — sämtliche Kernaussagen der Seite (erster Antrag kann „exzessiv" sein; Nachweis der Absicht, künstlich Schadensersatzvoraussetzungen zu schaffen; Gesamtheit der Fallumstände: freiwillige Bereitstellung, Zweck, Zeitablauf, Verhalten; öffentlich zugängliche Informationen berücksichtigungsfähig; Wahlrecht des Art. 12 Abs. 5 DSGVO; Art. 82 DSGVO erfasst auch die Verletzung des Auskunftsrechts; immaterieller Schaden umfasst Kontrollverlust/Ungewissheit; Nachweis des tatsächlichen Schadenseintritts; Ausschluss bei eigenem Verhalten als entscheidender Ursache; Sachverhalt 13 Tage/1.000 Euro; Rückverweisung ans AG Arnsberg) sind wörtlich gedeckt. Der dejure.org-Permalink ist erreichbar und dokumentiert Urteilsauszüge samt Fundstellen (EuZW 2026, 410; NZA 2026, 579). (2) Die ECLI-Kennung bleibt bewusst nicht ausgewiesen — kein Prüfhindernis, da die Seite sie nicht behauptet. (3) Die noch ausstehende Endentscheidung des AG Arnsberg ist als Verfahrensstand transparent gekennzeichnet und kein Freigabehindernis. Keine inhaltliche Änderung erforderlich. `factcheck_status` von `review_needed` auf `ok` gesetzt. | change_type=factcheck field="factcheck_status" old="review_needed" new="ok" reviewed_by="Nexvyra-Faktencheck-Agent"
• 2026-09-07: Erstveröffentlichung durch EU-Recht-Bot. EuGH-Urteil C-526/24 (Brillen Rottler) vom 19.03.2026, Vierte Kammer, Vorabentscheidung auf Vorlage des AG Arnsberg, aufgenommen: (1) Bereits ein erster Auskunftsantrag nach Art. 15 DSGVO kann „exzessiv" i. S. v. Art. 12 Abs. 5 DSGVO sein, wenn der Verantwortliche ein objektives Element (freiwillige Datenbereitstellung, Zweck, Zeitablauf, Verhalten der Person) und ein subjektives Element (Absicht, die Schadensersatzvoraussetzungen künstlich zu schaffen) nachweist; (2) öffentlich zugängliche Informationen über Serienanträge sind berücksichtigungsfähig, aber nicht allein ausschlaggebend; (3) Rechtsfolge ist das Wahlrecht des Art. 12 Abs. 5 DSGVO zwischen angemessenem Entgelt und Verweigerung; (4) Art. 82 DSGVO erfasst auch Schäden aus der Verletzung des Auskunftsrechts, der immaterielle Schaden umfasst Kontrollverlust und Ungewissheit über die Verarbeitung; (5) der Anspruch ist ausgeschlossen, wenn das eigene Verhalten der betroffenen Person die entscheidende Schadensursache ist. Quellenbasis: CURIA-Pressemitteilung Nr. 38/26 vom 19.03.2026 (amtlich, im Volltext ausgewertet), EUR-Lex CELEX 62024CJ0526, InfoCuria-Verfahrensdokumentation, dejure.org-Permalink, DSGVO-Volltext, EDSA-Leitlinien 01/2022, Fachberichterstattung (LTO, Greenberg Traurig). factcheck_status=review_needed, weil (1) der amtliche Urteilsvolltext auf EUR-Lex im Erstellungslauf nicht direkt abrufbar war und der Tenor daher aus der amtlichen CURIA-Pressemitteilung sowie Sekundärquellen rekonstruiert wurde, (2) die ECLI-Kennung des Urteils nicht gegen eine amtliche Quelle verifiziert werden konnte und deshalb bewusst nicht ausgewiesen ist, und (3) die Endentscheidung des AG Arnsberg im Ausgangsverfahren nach der Vorabentscheidung noch aussteht. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

Siehe auch

• [DSGVO Art. 15 – Auskunftsrecht der betroffenen Person](/fakten/dsgvo-auskunftsrecht-art-15.html)
• [DSGVO-Schadensersatz Art. 82 – Immaterieller Schadensersatz nach EuGH](/fakten/dsgvo-schadensersatz-art-82-eugh.html)
• [EuGH C-203/22 (Dun & Bradstreet) – Auskunft über die Logik automatisierter Scoring-Entscheidungen](/fakten/eugh-c-203-22-dun-bradstreet-auskunft-scoring-logik.html)
• [DSGVO Art. 22 – Automatisierte Entscheidungen und Scoring (SCHUFA)](/fakten/dsgvo-art-22-automatisierte-entscheidung-schufa.html)
• [DSGVO Art. 77–79 – Beschwerde bei der Aufsichtsbehörde](/fakten/dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.html)
• [Recht auf Berichtigung (Art. 16 DSGVO)](/fakten/dsgvo-berichtigung-art-16.html)
• [DSGVO Art. 17 – Recht auf Löschung](/fakten/dsgvo-loeschungsrecht-art-17.html)
• [Bedingungen für die Einwilligung (Art. 7 DSGVO)](/fakten/dsgvo-einwilligung-art-7.html)

Stand

• Stand: 2026-09-07
• Entscheidungsdatum: 2026-03-19 (EuGH, Vierte Kammer, C-526/24, Brillen Rottler)
• Verfahrensstand: Vorabentscheidung ergangen; Endentscheidung des AG Arnsberg im Ausgangsverfahren steht aus
• Status: aktuell
• Quellenautorität: A (EUR-Lex CELEX 62024CJ0526, CURIA-Pressemitteilung Nr. 38/26, VO 2016/679, EDSA)
• Lizenz: CC BY 4.0

Quellen

• EUR-Lex – Urteil des Gerichtshofs (Vierte Kammer) vom 19.03.2026, C-526/24, CELEX 62024CJ0526: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62024CJ0526 A
• CURIA – Pressemitteilung Nr. 38/26 vom 19.03.2026 zur Rechtssache C-526/24 (Brillen Rottler): https://curia.europa.eu/site/upload/docs/application/pdf/2026-03/cp260038de.pdf A
• InfoCuria – Verfahrensdokumentation zur Rechtssache C-526/24: https://infocuria.curia.europa.eu/tabs/redirect/juris/liste.jsf?language=de&td=ALL&num=C-526/24 A
• dejure.org – Permalink EuGH, 19.03.2026 – C-526/24: https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=19.03.2026&Aktenzeichen=C-526%2F24 A
• EUR-Lex – Verordnung (EU) 2016/679 (DSGVO), Volltext (Art. 12, 15, 82): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
• EU-Kommission – Auskunftsrecht der betroffenen Person: https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/principles-gdpr/what-information-must-be-given-individuals-whose-data-collected_de A
• EDSA – Leitlinien 01/2022 zu den Rechten betroffener Personen (Auskunftsrecht): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_de A
• Legal Tribune Online – Bericht zum Urteil vom 19.03.2026 (C-526/24, Brillen Rottler): https://www.lto.de/recht/nachrichten/n/eugh-urteil-c52624-brillen-rottler-rechtgsmissbrauch-exzessiv-erster-anspruch A