Wann ist ein Auskunftsersuchen rechtsmissbräuchlich?

Das Amtsgericht (AG) Arnsberg hat am 01.07.2026 ein Urteil zu rechtsmissbräuchlichen Auskunftsersuchen gefällt, dem ein Verfahren beim EuGH (Urteil vom 19.03.2026, Az. C-526/24) vorausgegangen war (wir berichteten hier und hier). Zur Erinnerung noch einmal der zugrundeliegende Sachverhalt zusammengefasst:

Die Klägerin ist ein familiengeführtes Optikunternehmen mit Filialen in Nordrhein-Westfalen und Niedersachsen sowie einem bundesweitem Online-Versand. Der Beklagte ist ein österreichischer Staatsbürger mit Wohnsitz in Wien.

Der Beklagte meldete sich am 13.03.2023 unter Angabe des Namens und der E-Mail-Adresse für den Newsletter der Klägerin an. Diese hatte nur über Rabattaktionen in NRW-Filialen informiert. Neun Tage später stellte der Beklagte per Fax – unter vollem Briefkopf mit Anschrift, E-Mail und Faxnummer – ein Auskunftsersuchen gem. Art. 15 DSGVO. Die Klägerin verweigerte die Auskunft mit der Begründung, das Begehren sei rechtsmissbräuchlich. Es handele sich um ein „Geschäftsmodell“ des Beklagten. Der Beklagte forderte daraufhin 1.000 Euro Geldentschädigung sowie den Ersatz vorgerichtlicher Anwaltskosten.

Streitig blieb die Widerklage des Beklagten auf Auskunftserteilung und Schadensersatz, die mit folgender Begründung vom AG Arnsberg vollständig abgewiesen wurde:

Aus den Erwägungsgründen des Urteils

Nach der EuGH-Entscheidung C-526/24 kann auch ein erstmaliger Antrag als exzessiv i.S.v. Art. 12 Abs. 5 S. 2 lit. b DSGVO abgelehnt werden, wenn rechtsmissbräuchliches Verhalten vorliegt. Erforderlich ist hierbei insbesondere die subjektive Absicht, sich durch künstlich geschaffene Voraussetzungen einen Vorteil – in diesem Fall Schadensersatz – zu verschaffen.

Das Gericht bejahte dies für den vorliegenden Fall anhand der nachfolgenden Indizien:

Es wurden auf freiwilliger Basis vom Beklagten mehr personenbezogenen Daten mitgeteilt als nötig (in diesem Fall der volle Name statt der E-Mail-Adresse sowie der vollständige Briefkopf beim Faxantrag). Es gab kein erkennbares persönliches Interesse am Newsletter (Wohnsitz Österreich vs. Filialen nur in NRW, die Behauptung häufiger Deutschlandbesuche wurde vom Beklagten nicht bewiesen). Der Zeitraum zwischen Anmeldung und Auskunftsersuchen war mit neun Tagen sehr kurz bemessen. Eine Beschwerde bei der Datenschutzaufsichtsbehörde wurde nicht erhoben.

Das AG Arnsberg verweist zudem in seinem Urteil auf öffentlich zugängliche Informationen (Blogeinträge, Presseberichte) über ein wiederholtes Muster massenhafter Abmahnungen. Die Angaben des Prozessbevollmächtigten in der mündlichen Verhandlung seien unzureichend und oberflächlich gewesen, der Beklagte selbst sei trotz Anordnung nicht erschienen. Zudem sei das Verhalten des Beklagten widersprüchlich gewesen. Die angebliche „Datenschutzsensibilität“ passe nicht zur freiwilligen mehrfachen Preisgabe personenbezogener Daten.

Mangels eines datenschutzrechtlichen Verstoßes scheide ein Schadensersatzanspruch nach Ansicht des Gerichts aus. Zudem sei der Kausalzusammenhang unterbrochen, da der behauptete Kontrollverlust allein auf dem eigenen (rechtsmissbräuchlichen) Verhalten des Beklagten beruhe.

Fazit

Das Urteil des AG Arnsberg reiht sich in eine Serie jüngerer Entscheidungen ein, die dem in der Praxis vielfach beklagten Phänomen „kommerzialisierter“ Auskunftsansprüche gem. Art. 15 DSGVO rechtliche Grenzen setzen – und geht dabei durch die zugrundeliegende Vorlagefrage beim EuGH (Az. C-526/24) einen Schritt weiter als die bisherige Rechtsprechung: Nicht erst die Wiederholung eines Auskunftsersuchens, sondern bereits die Erstanfrage kann von der verantwortlichen Stelle als exzessiv im Sinne des Art. 12 Abs. 5 S. 2 lit. b DSGVO zurückgewiesen werden, wenn die Gesamtumstände auf die Verfolgung eines missbräuchlichen Zwecks hindeuten.

Über den konkreten Fall hinaus sind bei der Entscheidung folgende Fragen für die datenschutzrechtliche Praxis relevant:

Es ist positiv zu bewerten, dass das Gericht dem strukturellen Missbrauch des Auskunftsrechts zur Generierung von Schadensersatzforderungen nunmehr ein wirksames Korrektiv entgegensetzt. Die vom AG Arnsberg entwickelte oben dargestellte Indizienkette bietet Unternehmen ein praxistaugliches Prüfungsraster, um sich gegen derartige Anfragen zur Wehr zu setzen, ohne dass gleich jede Auskunftsanfrage unter einen Generalverdacht gestellt wird.

Kritisch zu sehen ist jedoch die Absenkung der Eingriffsschwelle: Der Einwand des Rechtsmissbrauchs nach Art. 12 Abs. 5 S. 2 DSGVO war bislang eine eng auszulegende Ausnahmevorschrift, gerade weil das Auskunftsrecht aus Art. 15 DSGVO ein zentrales, voraussetzungsloses Betroffenenrecht darstellt. Die betroffene Person muss ihr Interesse an einer Auskunft gerade nicht begründen. Wenn nun bereits eine Erstanfrage mit Verweis auf öffentlich im Internet veröffentlichte Informationen (Blogeinträge und Presseberichte) abgelehnt werden kann, entsteht ein nicht unerhebliches Missbrauchspotential. Verantwortliche könnten versucht sein, unbequeme oder aufwendige Auskunftsersuchen vorschnell auf Grundlage vager Verdachtsmomente abzuwehren. Die Beweislast liegt zwar beim Verantwortlichen, faktisch dürfte die Hürde für ein entsprechendes Verhalten der verantwortlichen Stelle nach diesem Urteil aber sinken.

Für die Praxis bedeutet die Entscheidung – ihre Bestätigung in dem vom Beklagten angekündigten Berufungsverfahren vorausgesetzt – insbesondere: Es empfiehlt sich den Verantwortlichen, die Ablehnung rechtsmissbräuchlicher Auskunftsersuchen weiterhin sorgfältig und einzelfallbezogen zu dokumentieren, ein pauschaler Verweis auf „bekannte Massenabmahner“ wird sich als ungenügend erweisen. Betroffene wiederum sind gut beraten, ein genuines Interesse an der Datenverarbeitung schon bei der ursprünglichen Datenpreisgabe darzulegen und Auskunftsanfragen nicht in zeitlich verdächtiger Nähe zur Übermittlung personenbezogener Daten zu stellen.

Insgesamt markiert das Urteil einen Wendepunkt: Weg von einer formalen Durchsetzung des Auskunftsrechts hin zu einer stärker materiell-missbrauchsorientierten Kontrolle. Ob sich diese Linie halten lässt, ohne das Auskunftsrecht als ein niedrigschwelliges Kontrollinstrument der DSGVO im Ergebnis zu entwerten, wird die weitere Rechtsprechung – insbesondere eine mögliche Befassung des BGH im vorliegenden Fall – zeigen. Wir halten Sie gerne weiter auf dem Laufenden.