Brillen Rottler

Sachverhalt

Die Brillen Rottler GmbH & Co. KG (Klägerin) verweigerte dem Beklagten TC die Auskunft über seine personenbezogenen Daten gemäß Art. 15 DSGVO mit der Begründung, der Antrag sei exzessiv und rechtsmissbräuchlich. TC hatte zuvor mehrfach bei verschiedenen Unternehmen Auskunftsersuchen gestellt und anschließend Schadensersatzforderungen geltend gemacht. Das Amtsgericht Arnsberg legte dem EuGH Fragen zur Auslegung von Art. 12 Abs. 5 und Art. 82 Abs. 1 DSGVO vor, insbesondere zur Zulässigkeit der Verweigerung eines ersten Auskunftsantrags als „exzessiv“ und zum Umfang des Schadensersatzanspruchs bei Verletzung des Auskunftsrechts.

Substanzielle Punkte des Urteils

1. Exzessivität eines ersten Auskunftsantrags (Art. 12 Abs. 5 DSGVO)

   • Der EuGH stellt klar, dass ein erster Auskunftsantrag nach Art. 15 DSGVO nur dann als „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO eingestuft werden kann, wenn der Verantwortliche nachweist, dass der Antrag nicht dem Zweck dient, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu prüfen.
   • Eine missbräuchliche Absicht liegt vor, wenn der Antragsteller den Antrag primär stellt, um künstlich die Voraussetzungen für einen Schadensersatzanspruch zu schaffen. Indizien hierfür können sein:
     • Wiederholte Auskunftsersuchen bei verschiedenen Verantwortlichen,
     • anschließende Schadensersatzforderungen,
     • oder andere Umstände, die auf eine systematische Ausnutzung des Rechts hindeuten.
   • Der Gerichtshof betont, dass die Beweislast für das Vorliegen eines exzessiven Antrags beim Verantwortlichen liegt.

2. Schadensersatzanspruch bei Verletzung des Auskunftsrechts (Art. 82 Abs. 1 DSGVO)

   • Art. 82 Abs. 1 DSGVO gewährt der betroffenen Person einen Anspruch auf Ersatz des materiellen und immateriellen Schadens, der aus einer Verletzung des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO resultiert.
   • Der EuGH bestätigt, dass der Schadensersatzanspruch nicht von einem Verschulden des Verantwortlichen abhängt, sondern allein an die Verletzung der DSGVO anknüpft.

3. Immaterieller Schaden durch Verlust der Datenkontrolle

   • Ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO kann vorliegen, wenn die betroffene Person:
     • die Kontrolle über ihre personenbezogenen Daten verliert oder
     • Ungewissheit darüber besteht, ob und wie ihre Daten verarbeitet wurden.
   • Voraussetzung ist jedoch, dass der Schaden tatsächlich eingetreten ist und nicht überwiegend auf das Verhalten der betroffenen Person selbst zurückzuführen ist (z. B. wenn diese durch ihr eigenes Handeln die Ungewissheit verursacht hat).
   • Der Gerichtshof stellt klar, dass der bloße Verstoß gegen die DSGVO nicht automatisch einen Schadensersatzanspruch begründet – es bedarf eines konkreten Nachweises des Schadens.

4. Abgrenzung zwischen berechtigtem Auskunftsinteresse und Rechtsmissbrauch

   • Der EuGH unterstreicht, dass das Auskunftsrecht nach Art. 15 DSGVO ein zentrales Instrument zum Schutz der Betroffenenrechte ist und nicht leichtfertig eingeschränkt werden darf.
   • Eine Verweigerung der Auskunft ist nur in Ausnahmefällen gerechtfertigt, wenn der Verantwortliche konkrete Anhaltspunkte für einen Rechtsmissbrauch darlegt.
   • Die bloße Tatsache, dass eine Person mehrere Auskunftsersuchen stellt, reicht für sich genommen nicht aus, um einen Missbrauch anzunehmen – es müssen zusätzliche Umstände hinzutreten, die auf eine systematische Ausnutzung des Rechts hindeuten.