DSGVO-Hopping erkennen und abwehren

Schon ein erstmaliger Auskunftsantrag nach Art. 15 DSGVO kann als missbräuchlich abgelehnt werden, wenn er ausschließlich dazu dient, künstlich Voraussetzungen für einen Schadensersatzanspruch nach Art. 82 DSGVO zu schaffen. Unternehmen müssen hierfür eine Gesamtheit objektiver Umstände und das subjektive Element des Missbrauchs nachweisen; öffentliche Quellen, die das Hopping-Verhalten dokumentieren, dürfen einbezogen werden.

Unternehmen sollten bei jedem Auskunftsbegehren prüfen, ob Indizien für missbräuchliches Verhalten vorliegen. Dazu gehören:

Diese Umstände sind sorgfältig zu dokumentieren, da der Nachweis des Missbrauchs dem Unternehmen obliegt. Als maßgebliche Fallumstände nennt der EuGH insbesondere die freiwillige Datenbereitstellung, den Zweck der Bereitstellung, die zwischen Datenbereitstellung und Auskunftsantrag verstrichene Zeit sowie das weitere Verhalten der betroffenen Person.

Das EuGH-Urteil erlaubt ausdrücklich, öffentliche Quellen (z.B. Internetberichte, Erfahrungsberichte anderer Unternehmen) zur Begründung eines Missbrauchseinwands heranzuziehen. Diese dürfen aber nicht das alleinige Kriterium sein, sondern müssen in die Gesamtschau einfließen und durch andere relevante Anhaltspunkte bestätigt werden.

Der Missbrauchseinwand muss nach Art. 12 Abs. 4 DSGVO innerhalb der Monatsfrist (ggf. um zwei Monate verlängerbar) begründet gegenüber dem Antragsteller erhoben und mit einer Rechtsbehelfsbelehrung versehen werden, die über die Gründe der Nichttätigung, die Beschwerdemöglichkeit bei der Aufsichtsbehörde und den gerichtlichen Rechtsbehelf informiert. Die Ablehnung ist zu dokumentieren. Nach der Entscheidung des AG Arnsberg im Ausgangsverfahren genügt die Benennung einer Aufsichtsbehörde (etwa am Sitz des Verantwortlichen); es müssen nicht alle in Betracht kommenden Behörden benannt werden.

Klare Zuständigkeiten, ein Fristen- und Dokumentationssystem sowie regelmäßige Schulungen der Mitarbeiter sind unerlässlich, um Auskunftsansprüche rechtssicher zu bearbeiten und Missbrauch frühzeitig zu erkennen.

Betroffene sollten im Ablehnungsschreiben transparent über die Gründe informiert werden, einschließlich der Hinweise auf die Beschwerdemöglichkeit bei der Aufsichtsbehörde und gerichtlichen Rechtsschutz.

Gerade in Konzernstrukturen ist auf einheitliche Standards und die Vermeidung künstlicher Verantwortlichkeitsverlagerungen zu achten, um „DSGVO-Hopping“ durch organisatorische Maßnahmen zu unterbinden.

Die Bearbeitung von Auskunftsanträgen sollte durch klare interne Prozesse, Fristenkontrolle und eine präzise Dokumentation erfolgen. Mitarbeiter müssen im Umgang mit datenschutzrechtlichen Eingaben und der Identitätsprüfung geschult sein, um rechtsmissbräuchliche Anträge frühzeitig zu erkennen und abzuwehren.

Der EuGH verlangt für die Annahme eines exzessiven, missbräuchlichen Antrags eine Gesamtheit objektiver Umstände (z.B. ungewöhnlicher Ablauf, Vielzahl ähnlicher Fälle, kurze Zeitspanne) und ein subjektives Element (Absicht, künstlich Voraussetzungen für Schadensersatz zu schaffen). Die Schwelle bleibt hoch; der Nachweis muss eindeutig geführt werden. Ein bloßer erstmaliger Antrag reicht nicht aus, es sei denn, die genannten Kriterien sind erfüllt.

Der EuGH stellt klar, dass ein Schadensersatzanspruch nach Art. 82 DSGVO auch bei Verstößen gegen Auskunftspflichten besteht, sofern ein Schaden – etwa Kontrollverlust oder Ungewissheit über die Datenverarbeitung – nachgewiesen wird. Es gibt keinen Automatismus; der Schaden ist stets konkret darzulegen. Die Rechtsprechung betont, dass nicht jeder Verstoß gegen Auskunftsansprüche automatisch einen immateriellen Schaden begründet; vielmehr muss der Betroffene die Folgen des Verstoßes darlegen und nachweisen.
Zusätzlich hat der EuGH eine „Kausalitäts-Bremse“ für provozierte Schadensersatzansprüche etabliert: Der Kausalzusammenhang zwischen dem Verstoß und dem behaupteten Schaden kann durch die Handlungsweise der betroffenen Person unterbrochen werden, sofern sich diese als die entscheidende Ursache für den Schaden erweist. Hat die betroffene Person dem Verantwortlichen ihre Daten gerade in der Absicht übermittelt, künstlich die Voraussetzungen für die Anwendung des Art. 82 Abs. 1 DSGVO zu schaffen, scheidet ein Ersatz des hierdurch entstandenen Kontrollverlusts oder der Ungewissheit aus. Dieser Einwand wirkt auf Rechtsfolgenseite und ergänzt den Missbrauchseinwand nach Art. 12 Abs. 5 DSGVO, ohne diesen zu ersetzen. Unternehmen sollten daher neben der Missbrauchsabsicht auch dokumentieren, inwiefern das Verhalten des Antragstellers selbst ursächlich für den geltend gemachten Schaden war.

Das Urteil stärkt Unternehmen im Kampf gegen DSGVO-Hopping, verlangt aber eine sorgfältige Prüfung und Dokumentation. Unternehmen sollten ein effektives Datenschutzmanagement etablieren, um Missbrauchsfälle rechtssicher zu erkennen und abzuwehren. Die Schwelle für die Ablehnung bleibt hoch, ist aber bei klaren Indizien erreichbar. Ein systematischer und dokumentierter Umgang mit Auskunftsanträgen, die Nutzung öffentlicher Quellen und eine transparente Kommunikation sind zentrale Präventionsmaßnahmen.