Ein sogenannter DSGVO-Hopper meldet sich zu einem Newsletter an, verlangt kurz darauf Datenauskunft und fordert anschließend Schadensersatz. Genau über ein solches Vorgehen hatte das AG Arnsberg im Urteil vom 01.07.2026 - 42 C 434/23 zu entscheiden.
Das Gericht wies die Widerklage des Betroffenen ab. Die Klägerin, ein familiengeführtes Optikunternehmen mit Filialgeschäft und auf Deutschland beschränktem Onlinehandel, durfte das Auskunftsersuchen nach Art. 15 DSGVO wegen Rechtsmissbrauchs als exzessiv ablehnen.
Die Entscheidung ist für Unternehmen bedeutsam, die mit Auskunftsanfragen nach der DSGVO umgehen müssen. Sie zeigt aber auch: Die Ablehnung eines Auskunftsersuchens bleibt eine Ausnahme und muss auf objektive Umstände gestützt werden.
Worum es beim DSGVO-Hopper-Streit ging
Die Klägerin betreibt ein familiengeführtes Optikunternehmen. Ihr Geschäft konzentriert sich auf bestimmte Bundesländer in Deutschland; der Onlinehandel versendet nach der Faktenbasis nur innerhalb Deutschlands. Auf ihrer Website bot sie einen Newsletter an, der über Sonderaktionen und Rabatte in Filialen informiert. Für die Anmeldung war nur die E-Mail-Adresse erforderlich. Zusätzlich musste der Nutzer der Datenverarbeitung zustimmen und wurde per Link auf die Datenschutzerklärung hingewiesen.
Der Beklagte wohnt in Österreich. Er meldete sich am 13.03.2023 zu diesem Newsletter an und gab neben seiner E-Mail-Adresse auch seinen Vor- und Nachnamen an. Am 29.03.2023, also kurze Zeit später, stellte er per Fax ein Auskunftsersuchen nach Art. 15 DSGVO. Dieses Fax enthielt einen vollständigen Briefkopf mit weiteren Kontaktdaten.
Die Klägerin verweigerte die Auskunft mit Schreiben vom 26.04.2023. Sie begründete dies damit, dass das Begehren rechtsmissbräuchlich sei. Zur Begründung verwies sie auf öffentlich zugängliche Berichte über ein angebliches wiederkehrendes Vorgehen des Beklagten: Newsletter-Anmeldung, Auskunftsersuchen und anschließende Schadensersatzforderung.
Der Beklagte wies den Vorwurf des Rechtsmissbrauchs zurück. Er verlangte unter anderem eine Geldentschädigung von 1.000 Euro wegen behaupteten Kontrollverlusts, Einschränkung weiterer Betroffenenrechte und emotionalen Ungemachs. Widerklagend begehrte er umfassende Auskunft und eine Kopie seiner personenbezogenen Daten nach Art. 15 DSGVO sowie immateriellen Schadensersatz.
Auskunftsanspruch und Rechtsmissbrauch nach der DSGVO
Art. 15 DSGVO gibt betroffenen Personen grundsätzlich das Recht, Auskunft darüber zu verlangen, ob und wie ihre personenbezogenen Daten verarbeitet werden. Dieses Recht dient der Transparenz. Betroffene sollen nachvollziehen können, welche Daten verarbeitet werden und ob die Verarbeitung rechtmäßig erfolgt.
Gleichzeitig enthält Art. 12 Abs. 5 lit. b DSGVO eine Grenze. Danach kann der Verantwortliche bei offenkundig unbegründeten oder exzessiven Anträgen unter bestimmten Voraussetzungen die Bearbeitung verweigern. Der Begriff „exzessiv“ erfasst nach der Entscheidung nicht nur besonders häufige oder wiederholte Anfragen. Unter engen Voraussetzungen kann auch ein erstmaliger Antrag exzessiv sein.
Das AG Arnsberg hatte das Verfahren zunächst mit Beschluss vom 31.07.2024 dem Europäischen Gerichtshof vorgelegt. Der EuGH entschied mit Urteil vom 19.03.2026 - C‑526/24, dass auch ein erster Antrag rechtsmissbräuchlich sein kann. Erforderlich sind objektive Umstände, die trotz formaler Einhaltung der DSGVO erkennen lassen, dass das Ziel der Regelung verfehlt wird. Hinzukommen muss die Absicht, sich durch künstliches Schaffen der Voraussetzungen einen Vorteil zu verschaffen, insbesondere Schadensersatz.
Wichtig ist dabei die Gesamtschau. Der Verantwortliche muss den Missbrauch nachweisen. Öffentlich zugängliche Informationen dürfen berücksichtigt werden, wenn sie durch weitere relevante Anhaltspunkte bestätigt werden. Eine pauschale Ablehnung von Auskunftsersuchen ist damit nicht erlaubt.
Warum der DSGVO-Hopper keine Auskunft erhielt
Nach den Maßstäben des EuGH kam das AG Arnsberg zu dem Ergebnis, dass die Klägerin das Auskunftsersuchen zu Recht verweigert hatte. Entscheidend war nicht ein einzelnes Indiz, sondern die Gesamtheit der Umstände.
Das Gericht stellte zunächst darauf ab, dass der Beklagte seine Daten freiwillig zur Verfügung gestellt hatte. Zudem gab er mehr Daten an, als für die Newsletter-Anmeldung erforderlich gewesen wären. Für die Anmeldung reichte eine E-Mail-Adresse aus; der Beklagte nannte zusätzlich seinen vollen Namen. Später übersandte er ein Fax mit vollständigem Briefkopf und weiteren persönlichen Angaben.
Ein nachvollziehbares persönliches Interesse am Newsletter konnte das Gericht nicht feststellen. Die Klägerin versendet Waren nach der Faktenbasis nur innerhalb Deutschlands, und der Newsletter bezog sich auf Filialangebote. Der Beklagte wohnte dagegen in Österreich. Seine Behauptung, er halte sich regelmäßig in Deutschland auf, überzeugte das Gericht nicht ausreichend. Selbst unterstellt, dass solche Aufenthalte stattfinden, sah das Gericht erhebliche Zweifel daran, ob sich daraus ein echtes Interesse an einem regionalen Optikangebot ergibt.
Besonders wichtig war außerdem der kurze Zeitraum zwischen Anmeldung und Auskunftsersuchen. Zwischen der Bereitstellung der Daten und der Anfrage lagen nach der Entscheidung nur neun Tage. Das Gericht sah darin ein Indiz gegen ein echtes Kontrollinteresse und für das gezielte Schaffen eines späteren Schadensersatzanspruchs.
Hinzu kam, dass der Beklagte keine Beschwerde bei der Aufsichtsbehörde erhoben hatte. Nach Auffassung des Gerichts wäre dieser Weg naheliegend gewesen, wenn es ihm vor allem um die Aufklärung oder Unterbindung möglicher Datenschutzverstöße gegangen wäre. Das Ausbleiben einer solchen Beschwerde passte für das Gericht zum Bild eines auf Entschädigung ausgerichteten Vorgehens.
Schließlich durfte die Klägerin öffentlich zugängliche Informationen berücksichtigen. Nach der Faktenbasis gab es im Internet Berichte über massenhafte gleichgelagerte Vorgänge. Das Gericht sah diese Informationen nicht isoliert, sondern im Zusammenhang mit dem konkreten Verhalten des Beklagten. Es wertete sein Verhalten als widersprüchlich: Wer sich als besonders datensensibel beschreibt, zugleich aber wiederholt freiwillig mehr Daten preisgibt als erforderlich, handelt nach Ansicht des Gerichts nicht konsistent.
Kein Schadensersatz nach Art. 82 DSGVO
Der Beklagte verlangte außerdem immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO. Er berief sich auf Kontrollverlust, emotionales Ungemach, Sorgen und Ängste über das Schicksal seiner Daten sowie die Einschränkung weiterer Betroffenenrechte.
Das AG Arnsberg lehnte auch diesen Anspruch ab. Da die Klägerin das Auskunftsersuchen wegen Rechtsmissbrauchs berechtigt verweigern durfte, lag kein Verstoß gegen die DSGVO vor. Ohne DSGVO-Verstoß bestand nach der Entscheidung kein Anspruch auf immateriellen Schadensersatz.
Das Gericht führte zusätzlich aus, dass ein etwaiger Schaden jedenfalls nicht kausal auf ein rechtswidriges Verhalten der Klägerin zurückzuführen wäre. Der behauptete Kontrollverlust beruhte nach der Entscheidung allein auf dem Verhalten des Beklagten selbst, weil er die Daten freiwillig und über das Erforderliche hinaus zur Verfügung gestellt hatte.
Auch formelle Fehler im Weigerungsschreiben sah das Gericht nicht. Die Monatsfrist wurde eingehalten. Die Ablehnung war aus Sicht des Gerichts verständlich und ausreichend begründet. Zudem genügte der Hinweis auf eine Beschwerdemöglichkeit bei einer Aufsichtsbehörde und auf einen gerichtlichen Rechtsbehelf.
Einordnung der Entscheidung für Auskunftsersuchen
Die Entscheidung des AG Arnsberg ist deutlich, aber nicht grenzenlos. Sie bedeutet nicht, dass Unternehmen Auskunftsanfragen schon dann ablehnen dürfen, wenn sie eine spätere Schadensersatzforderung befürchten. Art. 15 DSGVO bleibt ein zentrales Betroffenenrecht. Die Auskunft darf nur verweigert werden, wenn konkrete objektive Umstände auf einen Rechtsmissbrauch hindeuten.
Gerade deshalb betont die Entscheidung die Einzelfallprüfung. Im entschiedenen Fall kamen mehrere Faktoren zusammen: freiwillige und überobligatorische Datenpreisgabe, fehlendes erkennbares Interesse am Newsletter, sehr kurzer Zeitraum bis zur Anfrage, keine Beschwerde bei der Aufsichtsbehörde, öffentlich zugängliche Hinweise auf massenhaft gleichgelagerte Vorgänge und ein insgesamt widersprüchliches Verhalten.
Für Verbraucher ist ebenso wichtig: Die bloße Geltendmachung von Auskunftsrechten bleibt legitim. Auch die Vorbereitung weiterer DSGVO-Rechte ist nicht automatisch missbräuchlich. Kritisch wird es nach den Maßstäben der Entscheidung erst dann, wenn das Verhalten darauf gerichtet ist, künstlich die Voraussetzungen für Schadensersatz zu schaffen.
Nach der Faktenbasis hat der Beklagte Berufung eingelegt. Als nächstes entscheidet das Landgericht Arnsberg. Die Entscheidung des AG Arnsberg ist daher in diesem Sinne ein wichtiger, aber noch nicht abschließender Punkt in dem Verfahren.
Folgen für die Praxis
Unternehmen sollten Auskunftsersuchen nach Art. 15 DSGVO weiterhin ernst nehmen und fristgerecht bearbeiten. Die Entscheidung liefert keinen Freibrief für pauschale Ablehnungen. Wer eine Anfrage verweigern will, muss belastbare Gründe dokumentieren und im Streitfall darlegen können.
Für kleine und mittlere Unternehmen sowie Solo-Selbständige ist besonders relevant, interne Prozesse für DSGVO-Anfragen zu prüfen. Dazu gehört, festzuhalten, wann eine Anfrage eingegangen ist, welche Daten der Betroffene selbst bereitgestellt hat, welche Kommunikation erfolgt ist und aus welchen Gründen eine Auskunft erteilt oder verweigert wird.
Bei Newsletter-Anmeldungen sollten Unternehmen darauf achten, welche Daten tatsächlich erforderlich sind. Wenn nur die E-Mail-Adresse gebraucht wird, sollte dies in den Abläufen klar abgebildet sein. Ebenso sollte die Datenschutzerklärung leicht auffindbar sein und die Verarbeitung verständlich erläutern.
Kommt der Verdacht eines rechtsmissbräuchlichen Vorgehens auf, sollten Verantwortliche nicht vorschnell reagieren. Sinnvoll ist eine strukturierte Prüfung der objektiven Umstände. Öffentlich zugängliche Informationen können eine Rolle spielen, reichen aber nach der Entscheidung nicht allein aus. Sie müssen durch konkrete Anhaltspunkte im eigenen Fall gestützt werden.
Verbraucher sollten ihre Betroffenenrechte sachlich und nachvollziehbar geltend machen. Wer Auskunft verlangt, darf dies grundsätzlich tun. Wer jedoch Daten gezielt preisgibt, ohne echtes Informationsinteresse handelt und anschließend Schadensersatz fordert, riskiert nach dieser Entscheidung, dass das Begehren als rechtsmissbräuchlich bewertet wird.
Häufige Fragen
Kann ein erstes Auskunftsersuchen nach Art. 15 DSGVO exzessiv sein?
Ja, nach dem EuGH-Urteil vom 19.03.2026 - C‑526/24 und der darauf beruhenden Entscheidung des AG Arnsberg kann auch ein erstmaliger Antrag exzessiv sein. Das gilt aber nur unter engen Voraussetzungen und bei nachweisbarem Rechtsmissbrauch.
Reicht eine spätere Schadensersatzforderung für Rechtsmissbrauch aus?
Nein. Nach der Entscheidung kommt es auf die Gesamtschau an. Maßgeblich sind objektive Umstände, die zeigen, dass die Voraussetzungen für einen Anspruch künstlich geschaffen werden sollen.
Dürfen Unternehmen öffentliche Informationen über den Antragsteller berücksichtigen?
Ja, das ist nach der Faktenbasis möglich. Öffentliche Informationen dürfen aber nicht isoliert herangezogen werden, sondern müssen durch weitere relevante Anhaltspunkte im konkreten Fall bestätigt werden.
Warum gab es keinen Schadensersatz nach Art. 82 DSGVO?
Das AG Arnsberg sah keinen Verstoß gegen die DSGVO, weil die Klägerin die Auskunft berechtigt verweigert hatte. Außerdem fehlte es nach der Entscheidung an der Kausalität für den behaupteten Kontrollverlust.
Müssen Unternehmen jedes Auskunftsersuchen beantworten?
Grundsätzlich besteht ein Auskunftsanspruch nach Art. 15 DSGVO. Eine Verweigerung kommt nur ausnahmsweise in Betracht, etwa wenn ein exzessives und rechtsmissbräuchliches Begehren nach Art. 12 Abs. 5 lit. b DSGVO vorliegt.
Fazit
Das AG Arnsberg hat mit Urteil vom 01.07.2026 - 42 C 434/23 die Widerklage eines Betroffenen abgewiesen, der nach einer Newsletter-Anmeldung Auskunft und Schadensersatz verlangte. Die Klägerin durfte das Auskunftsersuchen nach Art. 12 Abs. 5 lit. b DSGVO wegen Exzessivität verweigern, weil die Gesamtumstände auf ein rechtsmissbräuchliches Vorgehen hindeuteten.
Für Unternehmen ist die Entscheidung hilfreich, weil sie zeigt, dass die DSGVO keinen Schutz für künstlich erzeugte Schadensersatzmodelle bieten muss. Zugleich bleibt die Hürde hoch: Nur eine sorgfältig begründete und dokumentierte Einzelfallprüfung kann eine Ablehnung tragen.
Brauchen Sie Unterstützung bei DSGVO-Auskunftsersuchen?
Wenn Sie als Unternehmen eine Auskunftsanfrage erhalten haben und unsicher sind, ob Sie Auskunft erteilen müssen oder eine Ablehnung in Betracht kommt, kann LEGAL SMART die Anfrage, Ihre Fristen und die Begründung rechtlich prüfen. Auch bei der Gestaltung von Newsletter-Prozessen und Datenschutzhinweisen unterstützen wir Sie mit einer rechtlichen Einschätzung zum konkreten Ablauf.
Dieser Beitrag gibt den Stand zum Zeitpunkt der Veröffentlichung wieder und ersetzt keine individuelle Rechtsberatung.