„DSGVO-Hopper“ und die Grenzen der Betroffenenrechte
Wann ein Auskunftsersuchen nach Art. 15 DSGVO ausnahmsweise als missbräuchlich bewertet werden kann Im Zusammenhang mit dem Betroffenenrecht stellt sich für Verantwortliche häufig die Frage nach der Grenze zwischen berechtigtem und missbräuchlichem Auskunftsersuchen.
Ein Nutzer meldet sich für einen Newsletter an. Kurz darauf verlangt er umfassende Auskunft nach Art. 15 Datenschutz-Grundverordnung (DSGVO). Wird die Auskunft verweigert oder aus Sicht des Betroffenen nicht vollständig beziehungsweise nicht fristgerecht erteilt, folgt eine Schadensersatzforderung nach Art. 82 Abs. 1 DSGVO – teils in erheblicher Höhe.
Für solche Konstellationen hat sich umgangssprachlich der Begriff „DSGVO-Hopping“ oder „DSGVO-Hopper“ etabliert. Gemeint sind Fälle, in denen Betroffene gezielt Datenverarbeitungen provozieren, um anschließend Ansprüche auf Auskunft und Schadensersatz geltend zu machen.
Das Amtsgericht (AG) Arnsberg hatte sich mit genau einer solchen Konstellation zu befassen. Seine Entscheidung zeigt: Betroffenenrechte sind zentral für den Datenschutz. Sie dürfen aber nicht dazu instrumentalisiert werden, künstlich Schadensersatzansprüche zu erzeugen.
Der Fall vor dem AG Arnsberg, Urt. v. 01.07.2026, Az. 42 C 434/23
In dem Verfahren vor dem AG Arnsberg, Az. 42 C 434/23, stritten ein familiengeführtes Optikunternehmen und ein in Wien wohnhafter Newsletter-Abonnent.
Das betroffene Unternehmen betreibt Filialen vor allem in Nordrhein-Westfalen und Niedersachsen. Der Onlineversand beschränkt sich auf Deutschland. Über seinen Newsletter informiert das Unternehmen über Sonderaktionen und Rabatte in seinen Filialen. Am 13. März 2023 meldete sich der Beklagte für den Newsletter an. Für die Anmeldung war lediglich die Angabe einer E-Mail-Adresse erforderlich. Der Beklagte gab jedoch zusätzlich seinen Vor- und Nachnamen an. Wenig später, am 29. März 2023, verlangte er per Fax umfassende Auskunft nach Art. 15 DSGVO. Dabei verwendete er einen Briefkopf mit vollständiger Wohnanschrift, E-Mail-Adresse und Faxnummer. Das Unternehmen verweigerte die Auskunft mit der Begründung, das Ersuchen sei rechtsmissbräuchlich. Es verwies unter anderem auf öffentlich zugängliche Berichte über ein wiederkehrendes Vorgehensmuster des Beklagten:
Newsletter-Anmeldung ►Auskunftsverlangen ►anschließende Geltendmachung von Schadensersatz.
Der Betroffene forderte daraufhin unter anderem eine Geldentschädigung in Höhe von mindestens 1.000 € wegen eines behaupteten Kontrollverlusts und emotionalen Ungemachs. Das Unternehmen erhob zunächst eine negative Feststellungsklage. Nachdem der Beklagte Widerklage auf Auskunft und Schadensersatz erhoben hatte, erklärten die Parteien die ursprüngliche Klage übereinstimmend für erledigt. Die Widerklage blieb ohne Erfolg (AG Arnsberg, Urt. v. 01.07.2026, Az. 42 C 434/23)
Auskunftsansprüche sind weitreichend – aber nicht grenzenlos
Art. 15 DSGVO gibt betroffenen Personen einen umfassenden Auskunftsanspruch. Sie können insbesondere erfahren,
- ob personenbezogene Daten verarbeitet werden,
- welche Daten verarbeitet werden,
- zu welchen Zwecken die Verarbeitung erfolgt,
- welche Empfänger Daten erhalten haben oder erhalten sollen und
- wie lange die Daten gespeichert werden.
Der Anspruch dient einem klaren Zweck. Betroffene sollen nachvollziehen können, ob und wie ihre personenbezogenen Daten verarbeitet werden. Erst diese Transparenz ermöglicht es ihnen, weitere Rechte wirksam wahrzunehmen, etwa Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch oder Beschwerde bei einer Datenschutzaufsichtsbehörde.
Allerdings erlaubt Art. 12 Abs. 5 lit. b DSGVO Verantwortlichen, bei offenkundig unbegründeten oder exzessiven Anträgen tätig zu werden. Sie können entweder ein angemessenes Entgelt verlangen oder die Bearbeitung des Antrags verweigern. Die Beweislast dafür, dass ein Antrag offenkundig unbegründet oder exzessiv ist, trägt jedoch der Verantwortliche. Diese Ausnahme ist eng auszulegen. Ein bloßer Verdacht, eine betroffene Person könne taktisch handeln oder später Schadensersatz verlangen, genügt nicht.
erster Auskunftsantrag kann exzessiv sein
Das AG Arnsberg (Amtsgericht Arnsberg, 42 C 434/23) stützte seine Entscheidung auf die im Verfahren ergangene Vorabentscheidung des Europäischen Gerichtshofs in der Rechtssache C‑526/24 (infocuriaws.curia.europa.eu/blob/download-file/317915/DE/html).
Danach kann auch ein erstmaliges Auskunftsersuchen exzessiv sein. Es kommt nicht allein darauf an, ob eine Person wiederholt Anträge stellt. Maßgeblich ist vielmehr eine Gesamtwürdigung aller Umstände des Einzelfalls.
Somit kann ein missbräuchliches Verhalten nahe liegen, wenn zwei Elemente zusammentreffen:
Objektive Umstände, aus denen sich ergibt, dass trotz formaler Berufung auf die DSGVO deren Zweck nicht erreicht wird, und eine missbräuchliche Absicht, sich durch künstlich geschaffene Voraussetzungen einen Vorteil zu verschaffen – etwa einen Schadensersatzanspruch.
Entscheidend ist, ob die betroffene Person die Auskunft tatsächlich benötigt, um die Verarbeitung ihrer Daten zu verstehen und ihre Datenschutzrechte wahrzunehmen. Wird der Auskunftsanspruch dagegen vor allem dazu eingesetzt, eine Grundlage für Zahlungsforderungen zu schaffen, kann die Grenze zur missbräuchlichen Rechtsausübung überschritten sein.
Anknüpfungspunkte im konkreten Fall
Das Amtsgericht nahm keine isolierte Betrachtung einzelner Umstände vor. Ausschlaggebend war vielmehr eine Vielzahl von Indizien, die in ihrer Gesamtschau für eine missbräuchliche Motivation sprachen.
Freiwillige Preisgabe zusätzlicher Daten
Für die Newsletter-Anmeldung genügte eine E-Mail-Adresse. Der Beklagte gab zusätzlich seinen vollständigen Namen an. Auch sein späteres Auskunftsersuchen enthielt per Fax mehr Angaben als erforderlich, nämlich seine vollständige Wohnanschrift, E-Mail-Adresse und Faxnummer.
Das Gericht wertete dies als widersprüchlich zu der späteren Darstellung, der Beklagte sei besonders datensensibel und leide durch den vermeintlichen Kontrollverlust über seine Daten unter Sorgen, Ängsten und emotionalem Ungemach.
Allein die freiwillige Angabe zusätzlicher Daten begründet selbstverständlich keinen Rechtsmissbrauch. Im Zusammenspiel mit den weiteren Umständen durfte sie jedoch als Indiz berücksichtigt werden.
Der kurze Zeitraum zwischen Anmeldung und Auskunftsersuchen
Zwischen Newsletter-Anmeldung und Auskunftsverlangen lag nach der Würdigung des Gerichts ein Zeitraum von lediglich neun Tagen.
Das AG Arnsberg sah darin ein weiteres Indiz. Es bezweifelte, dass in diesem frühen Stadium ein ernsthaftes Interesse daran bestanden habe, die konkrete Datenverarbeitung des Unternehmens zu überprüfen. Gerade bei einem Newsletter, für dessen Anmeldung nur wenige Daten erhoben werden, kann ein sehr zeitnahes Auskunftsersuchen den Verdacht begründen, dass es weniger um Transparenz als um die Vorbereitung weiterer Ansprüche geht.
Auch hier gilt: Ein rasch gestelltes Auskunftsersuchen ist nicht automatisch missbräuchlich. Die DSGVO kennt keine Mindestwartezeit. Der zeitliche Abstand kann aber im Rahmen einer Gesamtwürdigung relevant sein.
Kein nachvollziehbares Interesse am Newsletter
Der Beklagte wohnte in Wien. Das Unternehmen informierte mit seinem Newsletter über Rabattaktionen in Filialen in Nordrhein-Westfalen; der Onlineversand war auf Deutschland beschränkt. Er erklärte, er halte sich regelmäßig in Deutschland auf, unter anderem bei Freunden in Düsseldorf. Das Gericht sah diese Behauptung jedoch nicht ausreichend belegt. Darüber hinaus bezweifelte es, dass eine in Nordrhein-Westfalen rabattiert erworbene Brille für eine in Wien wohnhafte Person wirtschaftlich sinnvoll sein könne. Insbesondere bei Gewährleistungsfällen und Nachjustierungen sei die räumliche Distanz erheblich. Damit konnte das Gericht kein plausibles persönliches Interesse des Beklagten an gerade diesem Newsletter feststellen.
Öffentliche Berichte über ein wiederkehrendes Vorgehensmuster
Das Unternehmen hatte sich außerdem auf öffentlich zugängliche Informationen aus Blogs, Foren und anwaltlichen Veröffentlichungen berufen. Danach sollte der Beklagte in vergleichbaren Fällen nach einem wiederkehrenden Muster vorgehen: Anmeldung für Newsletter, Auskunftsverlangen nach Art. 15 DSGVO und anschließende Forderung von Schadensersatz. Solche Internetinformationen sind für sich genommen kein sicherer Beweis. Das AG Arnsberg hat sie daher nicht isoliert verwertet. Es hielt sie aber für berücksichtigungsfähig, weil weitere konkrete Indizien für eine missbräuchliche Absicht vorlagen. Zusätzlich wertete das Gericht, dass der Beklagte trotz angeordneten persönlichen Erscheinens nicht erschien und sein Prozessbevollmächtigter die Fragen zum persönlichen Interesse am Newsletter nur eingeschränkt beantworten konnte.
Keine Auskunft – und auch kein Schadensersatz
Das AG Arnsberg kam zu dem Ergebnis, dass das Unternehmen die Auskunft nach Art. 12 Abs. 5 lit. b DSGVO verweigern durfte. Der Auskunftsanspruch aus Art. 15 DSGVO bestand daher im konkreten Fall nicht. Auch der geltend gemachte Anspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO wurde abgewiesen. Nach Auffassung des Gerichts lag bereits kein Datenschutzverstoß vor, weil die Auskunftsverweigerung berechtigt gewesen sei. Das Gericht führte zudem aus, dass der behauptete Kontrollverlust und die Unsicherheit über die Datenverarbeitung jedenfalls maßgeblich durch das Verhalten des Beklagten selbst ausgelöst worden seien. Damit fehle es an einem ersatzfähigen, durch einen DSGVO-Verstoß verursachten Schaden. Die Widerklage wurde insgesamt abgewiesen. Der Beklagte trägt die Kosten des Rechtsstreits und des Vorabentscheidungsverfahrens. Der Beklagte kann jedoch gegen das Urteil Berufung einlegen, so dass die Sache dann noch einmal dem Landgericht (LG) Arnsberg vorgelegt werden könnte.
Was Unternehmen daraus mitnehmen sollten
Die Entscheidung ist kein Freifahrtschein, Auskunftsersuchen bei einem bloßen Missbrauchsverdacht abzulehnen. Gerade weil Art. 15 DSGVO eine zentrale Betroffenenrechtsnorm ist, bleibt eine pauschale oder vorschnelle Ablehnung riskant.
| Handlungsempfehlung | Bedeutung |
| Einzelfall sorgfältig prüfen | Die Annahme eines Missbrauchs setzt belastbare, konkrete Indizien voraus. Allgemeine Vermutungen reichen nicht. |
| Gesamtwürdigung dokumentieren | Relevant können etwa der Anlass der Datenerhebung, der zeitliche Ablauf, die freiwillige Datenangabe, das erkennbare Interesse an der Leistung und weitere objektive Umstände sein. |
| Öffentliche Informationen nur ergänzend nutzen | Berichte aus dem Internet sollten nie die alleinige Grundlage einer Ablehnung sein. Sie können nur zusammen mit weiteren Tatsachen Bedeutung gewinnen. |
| Fristen nach Art. 12 Abs. 3 DSGVO beachten | Auskunftsersuchen sind grundsätzlich unverzüglich, spätestens binnen eines Monats zu beantworten. |
| Ablehnung nachvollziehbar begründen | Wird ein Antrag nicht bearbeitet, sind die Gründe sowie die Möglichkeit einer Beschwerde bei einer Aufsichtsbehörde und eines gerichtlichen Rechtsbehelfs mitzuteilen, Art. 12 Abs. 4 DSGVO. |
| Keine „Negativ-Auskunft“ mit einer Missbrauchsablehnung verwechseln | Sind keine personenbezogenen Daten vorhanden, ist dies grundsätzlich mitzuteilen. Das ist rechtlich etwas anderes als die Ablehnung eines exzessiven oder offenkundig unbegründeten Antrags. |
Fazit
Das Urteil des AG Arnsberg verdeutlicht, dass die DSGVO kein Instrument zur gezielten Generierung von Schadensersatzforderungen ist. Betroffenenrechte dienen der Transparenz und dem Schutz personenbezogener Daten – nicht der künstlichen Herstellung einer Anspruchslage.
Gleichzeitig bleibt die Hürde für eine Ablehnung hoch. Unternehmen müssen konkrete Tatsachen darlegen können, aus denen sich ein missbräuchliches Vorgehen ergibt. Entscheidend ist immer die sorgfältige Würdigung des Einzelfalls.
Für die Praxis bedeutet das: Auskunftsersuchen sollten ernst genommen, fristgerecht bearbeitet und sauber dokumentiert werden. Wenn sich jedoch mehrere belastbare Indizien für ein systematisches und sachfremdes Vorgehen verdichten, kann Art. 12 Abs. 5 lit. b DSGVO eine rechtmäßige Grundlage bieten, die Auskunft zu verweigern.
Autor
Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.
Vereinbaren Sie jetzt Ihren Beratungstermin! https://varyfy.de/kontakt/
