Ist Art 12 Abs 5 EU-DSGVO dahin auszulegen, dass der Verantwortliche ein Auskunftsersuchen der betroffenen Person verweigern kann, wenn diese beabsichtigt, mit dem Auskunftsersuchen Schadenersatzansprüche gegen den Verantwortlichen zu provozieren?

Germany. EuGH-Vorlage. Hintergrund der Vorlage an den Europäischen Gerichtshof ist ein Rechtsstreit zwischen einem familiengeführten Unternehmen aus dem deutschen Nordrhein-Westfalen und einem Wiener. Im Zentrum steht die Frage, ob der datenschutzrechtliche Auskunftsanspruch missbräuchlich geltend gemacht wurde.

Der Wiener hatte sich im März 2023 für den Newsletter des Familienunternehmens angemeldet und daraufhin ein Auskunftsverlangen gemäß Art 15 EU-DSGVO übermittelt. Die Auskunft wurde mit der Begründung verweigert, das Begehren sei rechtsmissbräuchlich, weil es allein dem Zweck diene, einen späteren Schadenersatzanspruch vorzubereiten.

Der konkrete Vorhalt: Der Wiener nutze seine Position als betroffene Person und das Auskunftsrecht systematisch aus, um Unternehmen in eine Position zu bringen, die Schadensersatzforderungen begünstigen. Das systematische Vorgehen ergäbe sich aus Berichten und Blogbeiträgen, die ähnliche Fälle dokumentieren. So würde sich der Wiener regelmäßig zu Newslettern anmelden und daraufhin identische Ansprüche stellt. Ein solches Vorgehen unterlaufe jedoch den eigentlichen Schutzzweck der EU-DSGVO. Die verlangte Auskunft könne somit verweigert werden. Nach Ansicht des Wieners bestehe sein Auskunftsrecht unabhängig von seinen Beweggründen. Jede betroffene Person habe das Recht, Auskunft zu verlangen. Durch die Verweigerung sei ihm zusätzlich ein immaterieller Schaden in Höhe von zumindest EUR 1.000 entstanden. Dieser solle ihm zusätzlich ersetzt werden.

Vor diesem Hintergrund entsponnen sich diverse Rechtsfragen. Unter anderem, ob ein Auskunftsverlangen bereits dann als exzessiv und damit missbräuchlich gewertet werden kann, wenn es der Vorbereitung eines Schadenersatzanspruchs dient. Ebenso, ob die wiederholte Geltendmachung solcher Ansprüche auf Basis eines erkennbaren Musters ein Verweigerungsrecht rechtfertigen kann. Dementsprechend soll der EuGH (dort protokolliert zu C-526/24) folgende Fragen beantworten:

• Ist Art 12 Abs 5 EU-DSGVO dahingehend auszulegen, dass ein exzessiver Antrag auf Auskunft durch die betroffene Person nicht bei der ersten Antragstellung gegenüber dem Verantwortlichen vorliegen kann?
• Ist Art 12 Abs 5 EU-DSGVO dahin auszulegen, dass der Verantwortliche ein Auskunftsersuchen der betroffenen Person verweigern kann, wenn diese beabsichtigt, mit dem Auskunftsersuchen Schadenersatzansprüche gegen den Verantwortlichen zu provozieren?
• Ist Art 12 Abs 5 EU-DSGVO dahingehend auszulegen, dass öffentlich zugängliche Informationen über die betroffene Person, die den Schluss zulassen, dass diese in einer Vielzahl von Fällen bei Datenschutzverstößen Schadenersatzansprüche gegen Verantwortliche geltend macht, die Verweigerung der Auskunft rechtfertigen können?
• Ist Art 4 Z 2 EU-DSGVO dergestalt auszulegen, dass das Auskunftsersuchen einer betroffenen Person gegenüber dem Verantwortlichen gemäß Art 15 Abs 1 EU-DSGVO und/oder dessen Beantwortung eine Verarbeitung iSv Art 4 Z 2 EU-DSGVO darstellt?
• Ist Art 82 Abs 1 EU-DSGVO in Ansehung von ErwG 146 EU-DSGVO dahingehend auszulegen, dass lediglich diejenigen Schäden ersatzfähig sind, die der betroffenen Person aufgrund einer Verarbeitung entstehen bzw entstanden sind?
• Bedeutet dies, dass für einen Schadenersatzanspruch nach Art 82 Abs 1 EU-DSGVO – das Vorliegen eines kausalen Schadens der betroffenen Person unterstellt – zwingend eine Verarbeitung der personenbezogenen Daten der betroffenen Person vorgelegen haben muss?
• Ist Art 82 Abs 1 EU-DSGVO dahin auszulegen, dass der betroffenen Person – das Vorliegen eines kausalen Schadens unterstellt – allein aus der Verletzung seines Auskunftsrechts nach Art 15 Abs 1 EU-DSGVO kein Schadenersatzanspruch zusteht?
• Ist Art 82 Abs 1 EU-DSGVO dergestalt auszulegen, dass der Rechtsmissbrauchseinwand des Verantwortlichen in Bezug auf ein Auskunftsersuchen der betroffenen Person in Ansehung des Unionsrechts nicht darin bestehen kann, dass die betroffene Person die Verarbeitung ihrer personenbezogenen Daten allein oder unter anderem deswegen herbeigeführt hat, um Schadenersatzansprüche geltend zu machen?
• Stellt allein der mit einem Verstoß gegen Art 15 Abs 1 EU-DSGVO einhergehende Kontrollverlust und/oder die Ungewissheit über die Verarbeitung der personenbezogenen Daten der betroffenen Person einen immateriellen Schaden iSd Art 82 Abs 1 EU-DSGVO dar oder bedarf es darüber hinaus einer weiteren (objektiven oder subjektiven) Einschränkung und/oder (spürbaren) Beeinträchtigung der betroffenen Person?