EuGH stärkt Unternehmen im Kampf gegen missbräuchliche DSGVO-Auskünfte

Ein neues EuGH-Urteil erleichtert Unternehmen die Abwehr offensichtlich missbräuchlicher DSGVO-Auskunftsersuche und erhöht die Hürden für Schadensersatzklagen. Gleichzeitig fordern deutsche Aufsichtsbehörden eine praxisnähere Überarbeitung der Verordnung.

Ein neues Urteil des Europäischen Gerichtshofs erleichtert es Unternehmen, offensichtlich missbräuchliche Datenschutz-Auskunftsersuche abzuwehren. Gleichzeitig steigen die Anforderungen an den Nachweis von Schadensersatzansprüchen. Die Entscheidung kommt zu einem Zeitpunkt, an dem die Datenschutzlandschaft in Europa und den USA in Bewegung ist.

EuGH setzt Grenzen für "Auskunfts-Tourismus"

Der Europäische Gerichtshof (EuGH) hat in einem Grundsatzurteil vom 19. März präzisiert, wann Unternehmen Auskunftsersuchen nach Artikel 15 der Datenschutz-Grundverordnung (DSGVO) verweigern dürfen. Entscheidend ist laut dem Gericht die Absicht des Antragstellers.

Anzeige

Da die Aufsichtsbehörden verstärkt auf lückenlose Dokumentation achten, hilft diese praxiserprobte Excel-Vorlage, die gesetzlichen Vorgaben zeitsparend umzusetzen. Sichern Sie sich die kostenlose Muster-Vorlage inklusive Schritt-für-Schritt-Anleitung für ein rechtssicheres Dokument. DSGVO-Verarbeitungsverzeichnis jetzt zeitsparend erstellen

Ein Antrag kann demnach bereits beim ersten Mal als "exzessiv" oder "missbräuchlich" abgelehnt werden. Das gilt, wenn er primär sachfremden Zielen dient – etwa der künstlichen Schaffung von Voraussetzungen für Schadensersatzklagen. Die Beweislast für eine solche Absicht liegt jedoch beim Unternehmen, das alle Umstände sorgfältig dokumentieren muss.

Noch wichtiger für die Praxis: Der EuGH stärkt die Position der Verantwortlichen bei Schadensersatzansprüchen. Eine bloße Verletzung der DSGVO reicht nicht aus. Betroffene müssen einen tatsächlichen und sicheren immateriellen Schaden nachweisen, der über bloße Unannehmlichkeiten hinausgeht. Dies soll einer Flut von Klagen entgegenwirken, die lediglich auf formalen Verstößen basieren.

Deutsche Aufsicht fordert DSGVO-Update für mehr Praxisnähe

Parallel zur Rechtsprechung formuliert die Politik neue Anforderungen. Die Datenschutzkonferenz (DSK) der deutschen Aufsichtsbehörden hat am 1. April konkrete Forderungen für eine Überarbeitung der DSGVO vorgelegt. Im Fokus stehen alltagstauglichere Regeln und weniger Bürokratie.

Die DSK plädiert für den Wegfall der Meldepflicht für betriebliche Datenschutzbeauftragte. Gleichzeitig sollen Hersteller stärker in die Pflicht genommen werden, Datenschutz durch Technikgestaltung (Privacy by Design) umzusetzen. Ein besonderer Schwerpunkt liegt auf dem Schutz von Kindern: Die Behörden fordern ein Verbot profilbasierter Werbung für Minderjährige und strengere Grenzen bei der Verarbeitung sensibler Daten.

USA: Neue Staatengesetze und KI-Rechtsprechung setzen Trends

Während Europa feilt, schreitet die Regulierung in den USA voran. Seit dem 1. April gilt der Maryland Online Data Privacy Act (MODPA) – eines der strengsten Landesdatenschutzgesetze. Es verbietet den Verkauf sensibler Daten unabhängig von der Zustimmung und untersagt gezielte Werbung für unter 18-Jährige.

Die Rechtsprechung befasst sich derweil mit den Folgen der KI-Revolution. Ein Bundesgericht in Michigan entschied kürzlich, dass Aufzeichnungen über die Nutzung von ChatGPT zur Erstellung von Gerichtsunterlagen geschützt sind. Dies zeigt die rasant fortschreitende Anpassung des Rechts an KI-generierte Inhalte.

Cyber-Resilienz und Harmonisierung prägen 2026

Das laufende Jahr wird von zwei großen Themen dominiert: der Steigerung der Cybersicherheit und der Vereinfachung von Compliance.

Ab dem 11. September 2026 gilt der Cyber Resilience Act (CRA). Er verpflichtet Hersteller von Produkten mit digitalen Elementen zur Meldung von aktiv ausgenutzten Sicherheitslücken. Zudem tritt am 2. April 2027 eine neue DSGVO-Verfahrensverordnung in Kraft, die die Zusammenarbeit der Aufsichtsbehörden straffen und Durchsetzungsfristen verkürzen soll.

Anzeige

Im Hinblick auf den kommenden Cyber Resilience Act wird die proaktive Absicherung digitaler Infrastrukturen für Unternehmen zur unternehmerischen Pflicht. Dieses kostenlose E-Book unterstützt Sie dabei, Sicherheitslücken zu schließen und die neuen gesetzlichen Anforderungen ohne teure Investitionen zu erfüllen. Gratis Cyber-Security-Guide für Unternehmen anfordern

Die Europäische Datenschutzbehörde (EDPB) will die Compliance für Unternehmen einfacher machen. Ihr Arbeitsprogramm sieht die Entwicklung gebrauchsfertiger Vorlagen für Verarbeitungsverzeichnisse, Datenschutzerklärungen und Folgenabschätzungen vor. Ein Schwerpunkt der koordinierten Durchsetzung in diesem Jahr liegt auf den Transparenzpflichten nach Artikel 12-14 DSGVO.

Für Unternehmen bedeutet diese dynamische Lage: Rechtssicherheit wächst durch Klarstellungen wie dem EuGH-Urteil. Gleichzeitig steigen die Anforderungen an Dokumentation und technische Vorkehrungen – besonders beim Schutz vulnerabler Gruppen wie Kinder. Die globale Tendenz zu stärkerer Regulierung ist ungebrochen.