Auskunftsrecht mit Grenzen: Wann ein erster Antrag exzessiv sein kann

Auskunftsanträge nach Art. 15 DSGVO gehören zum datenschutzrechtlichen Alltag. Unternehmen dürfen sie nicht allein deshalb zurückweisen, weil ihre Bearbeitung Aufwand verursacht oder eine spätere Auseinandersetzung möglich erscheint. Der Europäische Gerichtshof hat nun jedoch klargestellt, dass ausnahmsweise bereits ein erster Antrag exzessiv sein kann. Voraussetzung ist, dass der Verantwortliche eine missbräuchliche Absicht anhand aller Umstände des Einzelfalls nachweist.

Nicht die Anzahl, sondern der Zweck ist entscheidend

Im Urteil vom 19. März 2026 in der Rechtssache C-526/24 hat der EuGH Art. 12 Abs. 5 DSGVO ausgelegt. Die Vorschrift nennt häufige Wiederholungen nur als Beispiel für exzessive Anträge. Deshalb kann auch ein erstmaliges Auskunftsersuchen darunterfallen. Maßgeblich ist eine qualitative Prüfung: Dient der Antrag dazu, sich über die Verarbeitung zu informieren, deren Rechtmäßigkeit zu kontrollieren und anschließend Rechte aus der DSGVO wahrzunehmen? Oder wird das Auskunftsrecht nur formal genutzt, um künstlich die Voraussetzungen für einen Vorteil nach der DSGVO zu schaffen?

Die zweite Fallgruppe kann einen Rechtsmissbrauch begründen. Sie bleibt jedoch eine eng auszulegende Ausnahme. Ein Verantwortlicher darf daher nicht schon aus einem ungewöhnlichen Zeitpunkt, einem hohen Bearbeitungsaufwand oder der Aussicht auf eine spätere Klage auf Missbrauch schließen.

Welche Hinweise für einen Rechtsmissbrauch sprechen können

Der EuGH stellt keinen allgemeinen Kriterienkatalog auf. Verantwortliche müssen vielmehr sämtliche relevanten Umstände zusammen betrachten. Öffentlich zugängliche Informationen darüber, dass dieselbe Person gegenüber verschiedenen Verantwortlichen mehrere Auskunftsanträge gestellt und anschließend Schadensersatz verlangt hat, können ein Hinweis sein. Dieser Umstand muss aber durch weitere aussagekräftige Anhaltspunkte bestätigt werden.

Entscheidend bleibt die Absicht hinter dem konkreten Antrag. Dass ein Betroffener seine Rechte konsequent verfolgt oder einen Anspruch gerichtlich durchsetzen möchte, reicht für sich genommen nicht aus. Ebenso wenig lässt sich ein Antrag allein deshalb als exzessiv behandeln, weil er für das Unternehmen ungelegen kommt oder interne Defizite sichtbar machen könnte.

Ablehnung setzt einen belastbaren Nachweis voraus

Die Darlegungs- und Beweislast liegt beim Verantwortlichen. Er muss unter Berücksichtigung aller Fallumstände nachweisen, dass der Antrag in missbräuchlicher Absicht gestellt wurde. Eine bloße Vermutung oder eine pauschale Begründung genügt nicht. Die Entscheidung sollte deshalb vollständig dokumentiert und rechtlich geprüft werden.

Liegen die Voraussetzungen des Art. 12 Abs. 5 DSGVO tatsächlich vor, kann der Verantwortliche entweder ein angemessenes Entgelt verlangen oder sich weigern, aufgrund des Antrags tätig zu werden. Für eine Ablehnung müssen die Gründe nachvollziehbar mitgeteilt werden. Fehlt eine tragfähige Tatsachengrundlage, ist der Antrag innerhalb der gesetzlichen Frist regulär zu bearbeiten.

So schaffen Unternehmen eine belastbare Prüfroutine

Für die Praxis empfiehlt sich ein einheitliches Verfahren:

• Erfassen Sie jeden Auskunftsantrag mit Eingangsdatum, Inhalt und Kommunikationsverlauf.
• Prüfen Sie zunächst, ob der Antrag ordnungsgemäß und fristgerecht erfüllt werden kann.
• Dokumentieren Sie konkrete Missbrauchsindikatoren und bewerten Sie diese im Zusammenhang.
• Stützen Sie eine Ablehnung nicht auf einzelne Vermutungen oder den bloßen Arbeitsaufwand.
• Formulieren Sie die Entscheidung klar und halten Sie die rechtliche Begründung nachvollziehbar fest.

Das Urteil erweitert die Handlungsmöglichkeiten von Unternehmen, schafft aber keinen Freibrief für die Zurückweisung unbequemer Anträge. Verantwortliche gewinnen nur dann Rechtssicherheit, wenn sie den Ausnahmecharakter der Regelung beachten und eine missbräuchliche Absicht im konkreten Fall belegen können.