Der Europäische Gerichtshof (EuGH) hat in seinem Urteil vom 19. März 2026 (Az. C 526/24, Brillen Rottler) klargestellt, dass bereits ein erster Auskunftsantrag nach Art. 15 DSGVO missbräuchlich sein kann, wenn er ausschließlich dazu dient, Schadensersatzansprüche zu generieren. Diese Entscheidung hat das umstrittene Phänomen des „DSGVO-Hopping“ in den Fokus gerückt und könnte Unternehmen mehr rechtliche Sicherheit im Umgang mit Auskunftsanfragen geben.
Was ist DSGVO-Hopping?
DSGVO-Hopping bezeichnet das Vorgehen von Personen, die massenhaft Auskunftsanfragen stellen, um daraus finanzielle Schadensersatzansprüche nach Art. 82 DSGVO abzuleiten. Ziel ist es, durch die formale Inanspruchnahme des Auskunftsrechts eine Basis für Schadensersatzforderungen zu schaffen, ohne ein tatsächliches Interesse an den eigenen Daten zu haben.
- Auskunftsanfrage nach Art. 15 DSGVO
- Absicht, Schadensersatz wegen angeblichen Verstoßes zu fordern
- Mehrfaches Vorgehen gegenüber verschiedenen Unternehmen
Statistische Lage: Fälle und Forderungen
Die Gerichte sehen sich in den letzten Jahren einer steigenden Zahl von DSGVO-Hopping-Fällen gegenüber. Die wichtigsten Kennzahlen aus den verfügbaren Quellen lauten:
- 66 dokumentierte Fälle vor dem Amtsgericht Augsburg im Zeitraum Ende 2022 bis Oktober 2023
- Insgesamt rund 160.000 Euro geforderte Schadensersatzsummen in diesen Verfahren (Urteil vom 24. Juni 2024, Az. 18 C 3234/23)
EuGH-Urteil vom 19. März 2026: Kernpunkte
Missbräuchliche Auskunftsanfragen bereits beim ersten Antrag
Der EuGH hat bestätigt, dass ein erster Auskunftsantrag als missbräuchlich eingestuft werden kann, wenn die Motivation ausschließlich darin besteht, Schadensersatz zu erlangen. Das Gericht betont, dass nicht jeder Antrag pauschal akzeptiert werden muss.
Nachweislast beim Datenverantwortlichen
Die Beweislast für ein exzessives bzw. missbräuchliches Verhalten liegt beim Datenverantwortlichen. Unternehmen dürfen dabei auch öffentliche Quellen heranziehen, die über das Hopper-Verhalten berichten, um den Missbrauch nachzuweisen.
Objektive und subjektive Elemente des Rechtsmissbrauchs
Der EuGH differenziert zwischen zwei wesentlichen Aspekten, die erfüllt sein müssen, um Rechtsmissbrauch nachzuweisen (Datapoint: 2 Aspekte, Jahr 2026):
- Objektive Umstände: Formaler Anspruch auf Auskunft besteht, aber die Anfrage dient nicht dem legitimen Zweck. Beispiele sind die freiwillige Bereitstellung der Daten, kurzer Zeitraum zwischen Datenbereitstellung und Anfrage, und das bekannte Muster des Anfragenden.
- Subjektives Element: Die Absicht, die Voraussetzungen künstlich zu schaffen, um Schadensersatz zu erhalten. Alle Umstände des Einzelfalls sind zu berücksichtigen.
Schadensersatz bei bloßer Ungewissheit
Der EuGH hat zudem klargestellt, dass ein Schadensersatzanspruch nach Art. 82 DSGVO nicht nur bei tatsächlichen Verarbeitungsfehlern, sondern auch bei reiner Ungewissheit über die Datenverarbeitung bestehen kann. Der immaterielle Schaden umfasst den Kontrollverlust über personenbezogene Daten und die Unsicherheit, ob eine Verarbeitung stattgefunden hat. Der Anspruch ist jedoch ausgeschlossen, wenn das eigene Verhalten der betroffenen Person die entscheidende Ursache des Schadens ist.
Praxisbeispiel: Der Fall G. gegen Brillen Rottler
Im zugrundeliegenden Verfahren meldete sich Herr G., ein Privatmann aus Wien, für den Newsletter des deutschen Optikers Brillen Rottler an und stimmte der Datenverarbeitung zu. Nur 13 Tage später forderte er Auskunft nach Art. 15 DSGVO. Das Unternehmen weigerte sich mit der Begründung, dass G. das Verfahren missbräuchlich nutze, um Schadensersatz zu erzielen. G. klagte auf Auskunft und verlangte zusätzlich 1.000 Euro Schadensersatz nach Art. 82 DSGVO.
Das Amtsgericht Arnsberg stellte dem EuGH mehrere Fragen zur Auslegung der DSGVO, insbesondere zu den Voraussetzungen einer verweigerten Auskunft. Der EuGH-Urteil gibt dem Unternehmen nun eine klare Handhabe, das Vorgehen von G. als missbräuchlich zu bewerten, sofern die genannten objektiven und subjektiven Kriterien erfüllt sind.
Auswirkungen für Unternehmen
Die EuGH-Entscheidung liefert Unternehmen konkrete Leitlinien für den Umgang mit potenziell missbräuchlichen Auskunftsanfragen:
- Prüfung des Antrags auf objektive Indikatoren (kurzer Zeitraum, bekannte Hopper-Muster, freiwillige Datenbereitstellung)
- Berücksichtigung subjektiver Motive, etwa die gezielte Vorbereitung einer Schadensersatzforderung
- Möglichkeit, ein Entgelt nach Art. 12 Abs. 5 DSGVO zu verlangen, wenn der Missbrauch nachgewiesen ist
- Erstmalige Verweigerung der Auskunft nur in Ausnahmefällen und bei hoher Beweisschwelle
- Fristgerechte Erhebung des Rechtsmissbrauchseinwands gemäß Art. 12 Abs. 4 DSGVO
Mögliche Risiken für Betroffene
Gegen die strengere Handhabung sprechen potenzielle Nachteile für berechtigte Antragsteller:
- Komplexe Nachweislast könnte berechtigte Ansprüche erschweren
- Gefahr, dass legitime Datenschutzinteressen aus Angst vor Ablehnung zurückgestellt werden
- Unsicherheit, wann ein Antrag als missbräuchlich eingestuft wird
Fazit
Die EuGH-Entscheidung vom 19. März 2026 stellt einen Wendepunkt im Kampf gegen DSGVO-Hopping dar. Unternehmen erhalten nun ein klareres Instrumentarium, um missbräuchliche Auskunftsanfragen zu identifizieren und gegebenenfalls zu verweigern. Gleichzeitig bleibt die Balance zwischen Schutz vor Rechtsmissbrauch und Wahrung berechtigter Datenschutzrechte eine Herausforderung, die in der Praxis sorgfältig abgewogen werden muss.