EuGH-Urteil stoppt Abzocke mit DSGVO-Klagen

Der Europäische Gerichtshof stärkt Unternehmen gegen systematische Abzocke durch missbräuchliche DSGVO-Auskunftsanträge und erschwert automatische Schadensersatzforderungen.

Ein wegweisendes Urteil des Europäischen Gerichtshofs beendet die Praxis des „Data Bounty Hunting“. Unternehmen können missbräuchliche DSGVO-Auskunftsanträge nun leichter abwehren. Das Urteil markiert eine Zeitenwende im Datenschutzrecht.

Schluss mit systematischer Abzocke

Der EuGH hat klargestellt: Das Recht auf Datenauskunft ist kein Freibrief für finanzielle Bereicherung. Die Richter entschieden im Fall C-526/24, dass Unternehmen missbräuchliche Anträge nach der Datenschutz-Grundverordnung (DSGVO) zurückweisen dürfen. Konkret ging es um einen österreichischen Kläger, der systematisch Newsletter abonnierte, um nach 13 Tagen Auskunftsanträge zu stellen – nur um dann Schadensersatz zu fordern.

Anzeige

Auch wenn der EuGH den Missbrauch von Auskunftsrechten einschränkt, bleiben die allgemeinen Dokumentationspflichten für Unternehmen bestehen. Dieser kostenlose Leitfaden zeigt Ihnen in 5 Schritten, wie Sie die DSGVO rechtssicher umsetzen und Abmahnungen effektiv vermeiden. In 5 Schritten DSGVO-konform: So haken Sie alle Pflichten schnell und einfach ab

„Das Urteil ist ein Befreiungsschlag für Unternehmen“, kommentiert eine Münchner Rechtsanwältin. „Jahrelang wurden vor allem Mittelständler mit standardisierten Massenklagen überzogen.“ Die sogenannten Abfrage-Industrien hatten ein lukratives Geschäftsmodell entwickelt: Automatisierte Tools verschickten tausende Anträge, kleinste Verfahrensfehler wurden sofort mit Schadensersatzforderungen bis zu 1.000 Euro belegt.

Was gilt jetzt als missbräuchlich?

Besonders bedeutsam ist die Auslegung von Artikel 12 DSGVO. Bisher gingen viele Juristen davon aus, dass ein Antrag nur bei wiederholter Stellung „übermäßig“ sein könne. Der EuGH korrigiert diese Lesart: Schon der ersten Antrag kann abgelehnt werden, wenn die Umstände auf missbräuchliche Absichten hindeuten.

„Entscheidend ist die Gesamtwürdigung“, erklärt ein Kölner Datenschutzexperte. „Wenn jemand offensichtlich nur klagen will, um Geld zu verdienen, muss kein Unternehmen mehr kooperieren.“ Als Belege können Unternehmen nun öffentlich zugängliche Informationen nutzen – etwa wenn Kläger in Foren ihre Strategie beschreiben oder bereits zahlreiche ähnliche Verfahren anhängig sind.

Kein Automatismus bei Schadensersatz

Das Urteil setzt auch bei Entschädigungsansprüchen neue Maßstäbe. Der EuGH betont: Nicht jeder Verstoß gegen die DSGVO führt automatisch zu Schadensersatz. Kläger müssen konkrete Nachteile nachweisen, die aus dem Verstoß resultieren. Noch wichtiger: Wenn der Kläger den Verstoß selbst provoziert hat, um dann zu klagen, entfällt jeder Anspruch.

„Das ist die entscheidende Hürde für Abzock-Klagen“, so eine Frankfurter Richterin. „Wer bewusst Fehler provoziert, geht leer aus.“ Diese Klarstellung dürfte die Erfolgsquote von Massenklage-Plattformen drastisch senken. Viele standardisierte Verfahren basierten genau auf dieser Taktik: Kleine Verfahrensfehler provozieren und dann pauschal Schadensersatz fordern.

Deutsche Unternehmen atmen auf

Die Reaktionen aus der Wirtschaft sind durchweg positiv. „Für kleine Handwerksbetriebe oder Einzelhändler waren diese Klagen existenzbedrohend“, berichtet der Bundesverband mittelständische Wirtschaft. Oft hätten Anwaltskosten und Bußgelder die eigentlichen Forderungen bei weitem überstiegen.

Anzeige

Um bei Prüfungen oder Auskunftsanfragen keine Angriffsfläche für Bußgelder zu bieten, ist eine lückenlose Dokumentation nach Art. 30 DSGVO unerlässlich. Nutzen Sie diese kostenlose Excel-Vorlage, um Ihr Verarbeitungsverzeichnis zeitsparend und rechtssicher zu erstellen. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen

Doch Verbraucherschützer mahnen zur Vorsicht. „Das Missbrauchs-Argument darf nicht zur pauschalen Abwehr berechtigter Anfragen werden“, warnt die Verbraucherzentrale Bundesverband. Die Beweislast für missbräuchliches Verhalten liege weiterhin bei den Unternehmen. Legitime Datenschutz-Beschwerden müssten weiterhin ernst genommen werden.

Was ändert sich praktisch?

Unternehmen sollten ihre internen Prozesse überprüfen. Datenschutzbeauftragte raten zu dokumentierten Abläufen bei Auskunftsersuchen. Verdächtige Muster – wie Anträge kurz nach Newsletter-Anmeldung ohne erkennbares Interesse – sollten protokolliert werden. Gleichzeitig warnen Experten vor Überreaktionen: Seriöse Anfragen von besorgten Kunden müssen weiterhin prompt bearbeitet werden.

Das Urteil aus Luxemburg wirkt bereits in nationale Verfahren hinein. Erst im Februar 2026 hatte der Bundesgerichtshof die Abtretung von DSGVO-Ansprüchen an Dritte erschwert (Aktenzeichen VI ZR 430/24). Zusammen mit dem EuGH-Urteil entsteht so ein doppelter Schutzschild gegen unseriöse Geschäftsmodelle.

Die Rechtssache geht nun zurück an das Amtsgericht Arnsberg, das den konkreten Fall entscheiden muss. Rechtsbeobachter rechnen mit einer deutlichen Absage an den Kläger. Spätestens 2026 will der Europäische Datenschutzausschuss mit aktualisierten Leitlinien für nationale Behörden folgen. Bis dahin gilt: Die DSGVO bleibt ein Schutzschild für Verbraucher – ist aber kein Schwert mehr für Spekulanten.