Wer DSGVO-Auskunftsansprüche lediglich dazu nutzt, um im Nachhinein Schadensersatzansprüche geltend zu machen, hat keinen Anspruch auf Schadensersatz und geht leer aus. So entschied der EuGH auf Fragen des AG Arnsberg (Az.: C-526/24). Das Gericht wandte sich an den EuGH im Fall eines Optikers. Dort hatte sich eine Privatperson für den Newsletter angemeldet und knapp 2 Wochen später eine Auskunft nach Art. 15 DSGVO angefordert. Das Unternehmen lehnte das Auskunftsersuchen ab, da die Person dafür bekannt ist, diese Ersuchen mit dem Hintergedanken auf eine Schadensersatzklage zu stellen (wir berichteten).
Das AG Arnsberg rief in dem folgenden Verfahren den EuGH an und stellte Fragen zu rechtsmissbräuchlichen DSGVO-Anfragen. Dabei sollte geklärt werden, ob bereits ein erstes Auskunftsersuchen als „exzessiv“ im Sinne der DSGVO gewertet werden kann und unter welchen Voraussetzungen in solchen Fällen ein Schadensersatzanspruch besteht bzw. entfällt. Schon der EU-Generalanwalt stellte in seinem Plädoyer klar, dass ein solches Verhalten rechtsmissbräuchlich sein und den Auskunftsanspruch und entsprechend auch den Schadensersatzanspruch ausschließen kann.
Dem folgte der EuGH in seiner Entscheidung: Auskunftsersuchen können als rechtsmissbräuchlich eingestuft werden, wenn sie mit der Absicht gestellt werden, Schadensersatz zu provozieren. Der Schutz der DSGVO hat auch seine Grenzen. Das Auskunftsrecht verfolge zwar den Zweck, dass sich Bürger:innen der Verarbeitung ihrer Daten bewusst werden, die Rechtmäßigkeit ihrer Verarbeitung prüfen und so ihr Recht auf Löschung und Korrektur wahrnehmen können. Wurde ein Antrag allerdings nur gestellt, um die Bedingung für Schadensersatz zu schaffen, auch wenn dieser Antrag formal korrekt ist, sei dies als Rechtsmissbrauch zu werten.
Solches Verhalten kann durch vorheriges Verhalten der Person und öffentliche Informationen belegt werden. Auch wenn Schadensersatz für immaterielle Schäden gilt, greift hier eine besondere Hürde. Nämlich wenn durch das eigene Verhalten, z. B. die Herbeiführung der Datenverarbeitung, um später zu klagen, die Ursache für den Schaden ist, dann kann kein Schadensersatz verlangt werden. Das AG Arnsberg muss nun den konkreten Fall mit der EuGH-Entscheidung prüfen und das entsprechende Urteil fällen.
(Bild: magele-picture – stock.adobe.com)
