DSGVO-Hopping: EuGH stoppt missbräuchliche Auskunftsanträge

Der Europäische Gerichtshof (EuGH) hat mit seinem Urteil vom 19. März 2026 (Rechtssache C-526/24 „Brillen Rottler“) eine wegweisende Entscheidung zugunsten von Unternehmen getroffen. Wer sich nur deshalb für einen Newsletter anmeldet, um anschließend mit einem Auskunftsantrag nach Art. 15 DSGVO Schadensersatz zu kassieren, handelt rechtsmissbräuchlich. Auch ein erster Antrag kann bereits „exzessiv“ sein und darf abgelehnt werden. Für kleine und mittlere Unternehmen (KMU) ist das eine spürbare Entlastung.

Was bedeutet „DSGVO-Hopping“?

Hinter dem Begriff steckt ein Geschäftsmodell: Einzelne Personen oder Kanzleien melden sich gezielt bei Newslettern, Online-Shops oder Plattformen an, lösen wenige Tage später eine umfangreiche Auskunftsanfrage nach Art. 15 DSGVO aus – und fordern bei verzögerter oder unvollständiger Antwort Schadensersatz nach Art. 82 DSGVO. Besonders KMU geraten unter Druck, weil sie selten eigene Datenschutzabteilungen haben und kurze Antwortfristen einhalten müssen.

Das sagt der EuGH konkret

Das Gericht stellt klar: Das Auskunftsrecht dient der Datentransparenz, nicht der Generierung von Ansprüchen. Wird ein Antrag erkennbar nur gestellt, um künstlich die Voraussetzungen für Schadensersatz zu schaffen, können Verantwortliche ihn als rechtsmissbräuchlich zurückweisen.

Wichtige Punkte aus dem Urteil

• Schon der erste Auskunftsantrag kann exzessiv sein – nicht erst Wiederholungen.
• Die Beweislast liegt beim Unternehmen. Der Verantwortliche muss den Missbrauch belegen.
• Als Indizien zulässig sind öffentlich bekannte Hopping-Muster, kurze Zeiträume zwischen Anmeldung und Anfrage sowie standardisierte Antragsschreiben.
• Ein Schadensersatzanspruch nach Art. 82 DSGVO bleibt grundsätzlich möglich, auch wenn „nur“ das Auskunftsrecht verletzt wurde – vorausgesetzt, der Antrag selbst war nicht missbräuchlich.

Was KMU jetzt tun sollten

Das Urteil ist hilfreich, ersetzt aber keine sauberen Datenschutzprozesse. Ohne dokumentierte Abläufe wird es schwer, einen Missbrauch zu beweisen.

Drei konkrete Schritte

1. Auskunftsprozess dokumentieren: Legen Sie schriftlich fest, wer im Unternehmen Auskunftsanfragen prüft, welche Fristen gelten und wie identifiziert wird, ob ein Antrag missbräuchlich ist.
2. Indikatoren sammeln: Prüfen Sie systematisch Anmeldedatum, IP-Adresse, Newsletter-Quelle und zeitliche Nähe zur Anfrage. Diese Daten brauchen Sie später als Beweis.
3. Vorlagen aktualisieren: Ihre Antwortschreiben und Ablehnungsschreiben sollten die neue Rechtsprechung sauber zitieren und begründen.

Vorsicht: Das Urteil ist kein Freibrief

Wer Auskunftsanträge pauschal als missbräuchlich abtut, riskiert weiterhin Bußgelder durch die Aufsichtsbehörden und Schadensersatzforderungen. Der EuGH verlangt eine konkrete, einzelfallbezogene Prüfung. Im Zweifel sollten Sie den Antrag fristgerecht beantworten und parallel die Missbrauchsprüfung dokumentieren.

Wer unsicher ist, wie der eigene Auskunftsprozess aufgestellt ist, sollte einen Datenschutz-Audit durchführen und gegebenenfalls einen externen Datenschutzbeauftragten einbinden. Auch eine punktuelle Datenschutz-Beratung kann helfen, die richtigen Vorlagen und Indikatoren für Ihr Unternehmen festzulegen.

Fazit

Das EuGH-Urteil zum DSGVO-Auskunftsrecht ist eine gute Nachricht für KMU: Missbräuchliche Anträge müssen nicht mehr widerspruchslos hingenommen werden. Wer aber von dem Urteil profitieren will, braucht klare Prozesse, dokumentierte Indizien und rechtssichere Vorlagen. Genau hier setzt professionelle Datenschutzberatung an.

Sie benötigen Unterstützung beim Datenschutz? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.