AG Arnsberg 42 C 434/23: Das DSGVO-Auskunftsrecht kann missbraucht werden — und was das für Ihr Datenschutzmanagement bedeutet

Der Sachverhalt: Ein Lehrbuchfall des „dreischrittigen Geschäftsmodells"

Der Beklagte — österreichischer Staatsbürger mit Wohnsitz in Wien — meldet sich am 13. März 2023 mit seinem vollständigen Namen und seiner E-Mail-Adresse zum Newsletter eines familiengeführten Optikunternehmens aus Nordrhein-Westfalen an. Pflichtangabe für die Newsletter-Anmeldung war lediglich die E-Mail-Adresse; der volle Name wurde freiwillig und über das Notwendige hinaus angegeben.

Am 29. März 2023 — neun Tage nach der Anmeldung — schickt der Beklagte ein Auskunftsersuchen nach Art. 15 DSGVO per Fax, unter Verwendung eines Briefkopfs mit vollständiger Wohnanschrift, E-Mail-Adresse und Faxnummer. Auch hier: deutlich mehr Daten als erforderlich.

Das Unternehmen verweigert die Auskunft am 26. April 2023 unter Hinweis auf Rechtsmissbrauch. Es beruft sich auf öffentlich zugängliche Medienberichte, nach denen der Beklagte systematisch Auskunftsanfragen bei zahlreichen Unternehmen stellt, um daraus Schadensersatzansprüche zu generieren. Der Beklagte lässt durch seinen Anwalt den Rechtsmissbrauchsvorwurf zurückweisen und fordert 1.000 Euro immateriellen Schadensersatz sowie Kostenerstattung auf Basis eines Gegenstandswerts von 6.000 Euro.

Das Amtsgericht Arnsberg hatte das Verfahren bereits im Juli 2024 dem EuGH zur Vorabentscheidung vorgelegt (C-526/24). Auf Grundlage des EuGH-Urteils vom 20. März 2026 entscheidet das AG am 1. Juli 2026: Die Widerklage wird in vollem Umfang abgewiesen. Der Beklagte trägt sämtliche Kosten des Rechtsstreits einschließlich des Vorabentscheidungsverfahrens.

Das rechtliche Fundament: EuGH C-526/24 und der Missbrauchsbegriff

Das AG Arnsberg stützt sich auf die im März 2026 vom EuGH entwickelten Kriterien für den Nachweis eines rechtsmissbräuchlichen Verhaltens nach Art. 12 Abs. 5 lit. b) DSGVO. Das ist bemerkenswert, denn die bisherige Debatte hatte sich stark auf die Frage konzentriert, ob überhaupt ein erster Antrag als exzessiv abgelehnt werden darf. Der EuGH hat das nun klargestellt: Ja — auch ein erstmaliger Antrag kann rechtsmissbräuchlich sein.

Der Missbrauchsbegriff verlangt nach dem EuGH das Zusammentreffen zweier Elemente:

• Objektives Element: Die Gesamtheit der Umstände lässt erkennen, dass der Antrag trotz formaler Einhaltung der DSGVO-Voraussetzungen das Ziel der Regelung nicht erreicht — also nicht der Transparenz und Selbstbestimmung dient, sondern anderen Zwecken.
• Subjektives Element: Die Absicht des Antragstellers ist erkennbar darauf gerichtet, sich durch künstlich herbeigeführte Voraussetzungen einen Vorteil aus der DSGVO zu verschaffen — konkret: einen Schadensersatzanspruch nach Art. 82 DSGVO zu konstruieren, statt tatsächlich Transparenz über die eigene Datenverarbeitung herzustellen.

Maßgebend sind stets alle Umstände des Einzelfalls. Das AG Arnsberg arbeitet im Urteil fünf Indizien heraus, die in der Summe ein eindeutiges Bild ergaben:

• Freiwillige Überoffenbarung von Daten: Der Beklagte gab bei der Newsletter-Anmeldung mehr Daten an als erforderlich (vollständiger Name statt nur E-Mail-Adresse) und versandte seinen Auskunftsantrag mit einem vollständigen Briefkopf inkl. Wohnanschrift und Faxnummer — obwohl das für das Anliegen nicht nötig gewesen wäre. Das ist das Gegenteil des Verhaltens, das man von einer tatsächlich datensensiblen Person erwarten würde.
• Kein erkennbares Interesse am Newsletter: Ein in Wien wohnhafter Österreicher meldet sich für den Newsletter eines Optikunternehmens an, das ausschließlich in Nordrhein-Westfalen Filialen betreibt und den Onlineshop nur innerhalb Deutschlands versendet. Ein behauptetes Interesse an NRW-Filialen durch Freundesbesuche in Düsseldorf blieb unbewiesen und wurde vom Gericht als wirtschaftlich nicht plausibel eingestuft.
• Extrem kurzer Zeitabstand: Zwischen Newsletter-Anmeldung und Auskunftsersuchen lagen lediglich neun Tage — zu kurz, um ein ernsthaftes Informationsinteresse an der tatsächlichen Verarbeitung der eigenen Daten annehmen zu können.
• Keine Beschwerde bei der Aufsichtsbehörde: Wer tatsächlich an der Rechtmäßigkeit einer Datenverarbeitung zweifelt und Transparenz herstellen will, wendet sich an die zuständige Datenschutzaufsichtsbehörde — das ist der effektivste Weg. Der Beklagte tat dies nicht. Das spricht dafür, dass es ihm nicht um Datenschutz, sondern um Schadensersatz ging.
• Öffentliche Berichterstattung über Handlungsmuster: Zum Zeitpunkt der Ablehnung war in Internetforen und anwaltlichen Berichten bereits von massenhaften Auskunftsanfragen des Beklagten nach dem gleichen Muster berichtet worden. Das AG Arnsberg bestätigt: Der Verantwortliche darf öffentlich zugängliche Informationen bei der Einschätzung eines Missbrauchsverdachts heranziehen — sofern sie durch weitere konkrete Anhaltspunkte bestätigt werden.

Kein Schadensersatz — und warum das methodisch stimmig ist

Der Beklagte scheitert auch mit dem Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO. Das Gericht begründet dies auf zwei Ebenen:

Kein DSGVO-Verstoß: Da die Auskunftsverweigerung rechtmäßig war — nämlich von Art. 12 Abs. 5 lit. b) DSGVO gedeckt —, fehlt es bereits an einem Verstoß gegen die Verordnung. Ohne Verstoß kein Schadensersatz.

Kausalzusammenhang unterbrochen: Selbst wenn man einen formellen Fehler unterstellen würde, scheitert der Anspruch daran, dass der Beklagte selbst durch sein Verhalten den behaupteten Kontrollverlust und die behauptete Ungewissheit ausgelöst hat. Der EuGH hat in C-526/24 klargestellt: Wenn der Betroffene die Lage selbst herbeigeführt hat, ist der Kausalzusammenhang zwischen einem möglichen Verstoß und dem Schaden unterbrochen.

Diese Begründungsstruktur ist methodisch sauber: Primärebene (kein Verstoß) und Hilfsebene (kein Kausalzusammenhang) werden sauber getrennt und nacheinander geprüft.

Die kritische Einordnung: Was das Urteil leistet — und was nicht

Das Urteil des AG Arnsberg ist begrüßenswert, weil es einen Missbrauchsfall klar und anhand tragfähiger Indizien entscheidet. Die Entscheidungsgründe lesen sich wie eine Checkliste für die Praxis: Freiwillige Datenübergabe, fehlende Plausibilität des Interesses, kurzer Zeitabstand, fehlende Beschwerdeeinlegung bei der Aufsichtsbehörde, öffentliche Berichte über Handlungsmuster. Wer alle diese Felder abhaken kann, hat eine belastbare Grundlage für eine Ablehnung nach Art. 12 Abs. 5 lit. b) DSGVO.

Dennoch wäre es ein Fehler, die Entscheidung als Generalabrechnung mit dem DSGVO-Auskunftsrecht zu lesen. Mehrere Punkte verdienen kritische Betrachtung:

Das Urteil hat Amtsgerichtsniveau — keine Bindungswirkung

Das AG Arnsberg ist ein erstinstanzliches Gericht mit örtlich begrenzter Zuständigkeit. Das Urteil entfaltet keine Bindungswirkung über den Einzelfall hinaus. Es ist ein Anwendungsfall der EuGH-Vorgaben aus C-526/24 — aber die tatrichterliche Würdigung der Indizien kann in anderen Konstellationen anders ausfallen. Unternehmen, die aus diesem Urteil einen Freibrief zur Ablehnung von Auskunftsanfragen ableiten wollen, setzen sich erheblichen Risiken aus.

Die Indizienbetrachtung erfordert sorgfältige Dokumentation

Das AG Arnsberg betont ausdrücklich, dass öffentliche Informationen über ein Handlungsmuster nur dann herangezogen werden dürfen, wenn sie durch weitere konkrete Anhaltspunkte aus dem eigenen Sachverhalt bestätigt werden. Eine Ablehnung, die allein auf Internetberichte gestützt ist, ist rechtlich angreifbar. Die eigenen Indizien — Zeitabstand, Interessenplausibilität, Datenübergabeverhalten — müssen selbstständig tragen.

Die formellen Anforderungen an die Ablehnung sind hoch

Das Gericht geht explizit auf die Qualität der Ablehnungsbegründung ein und bescheinigt der Klägerin, dass diese nicht „floskelhaft" war, sondern verständlich und ausreichend substantiiert. Das ist kein Selbstläufer. Viele Unternehmen reagieren auf Auskunftsanfragen mit Standardtexten, die einer gerichtlichen Prüfung nicht standhalten würden. Eine rechtssichere Ablehnung muss die konkreten Umstände des Einzelfalls benennen, auf denen der Missbrauchsverdacht beruht.

Das Urteil schützt nicht vor Beschwerden bei der Aufsichtsbehörde

Eine Widerklageabweisung durch ein Amtsgericht sagt nichts darüber aus, wie die zuständige Datenschutzaufsichtsbehörde die Ablehnung bewertet. Eine Beschwerde bei der LDI NRW (oder einer anderen Behörde) ist auch nach diesem Urteil möglich — und die Aufsichtsbehörden haben eigene, teils engere Maßstäbe für die Zulässigkeit einer Ablehnung. Das Unternehmen, das die Auskunft verweigert, trägt nach Art. 5 Abs. 2 DSGVO die Beweislast dafür, dass seine Ablehnung rechtmäßig war.

Was Unternehmen jetzt im Datenschutzmanagement organisieren müssen

Das Urteil des AG Arnsberg ist kein Anlass zur Entspannung, sondern ein Anlass zur strukturierten Überprüfung des eigenen Umgangs mit Betroffenenrechten. Die folgenden Maßnahmen ergeben sich aus den Anforderungen, die das Gericht — und dahinter der EuGH — an eine rechtssichere Reaktion auf Auskunftsanfragen stellen.

1. Eingangsmanagement für Betroffenenanfragen strukturieren

Jede eingehende Anfrage nach Art. 15 DSGVO muss sofort als solche erfasst, zeitgestempelt und einer verantwortlichen Stelle zugewiesen werden. Die Monatsfrist des Art. 12 Abs. 3 DSGVO beginnt mit Eingang der Anfrage — nicht mit der Weiterleitung intern. Wer keinen definierten Eingangskanal und keine Dokumentation des Eingangs hat, riskiert bereits bei der Fristeinhaltung Probleme.

Empfehlung: Definieren Sie einen einzigen dokumentierten Eingangskanal für Datenschutzanfragen (z.B. eine dedizierte E-Mail-Adresse wie datenschutz@ihrunternehmen.de), leiten Sie Anfragen, die über andere Kanäle eingehen (Fax, Post, persönlich), unverzüglich dorthin weiter und erfassen Sie Tag und Uhrzeit des Eingangs.

2. Missbrauchsprüfung als eigenständigen Verfahrensschritt einführen

Jede Auskunftsanfrage sollte im ersten Schritt auf Missbrauchsindizien geprüft werden — nicht um systematisch Anfragen abzulehnen, sondern um für den Fall eines echten Missbrauchsverdachts belastbare Dokumentation vorhalten zu können. Checkliste für die Missbrauchsprüfung auf Basis der AG-Arnsberg-Kriterien:

• Hat die betroffene Person freiwillig mehr Daten angegeben als für den Verarbeitungsvorgang erforderlich war?
• Besteht ein nachvollziehbares Interesse der Person an der Datenverarbeitung (geografisch, wirtschaftlich, persönlich)?
• Wie viel Zeit ist zwischen Datenerhebung und Auskunftsanfrage vergangen?
• Gibt es öffentlich zugängliche Informationen über ein systematisches Handlungsmuster dieser Person?
• Liegen weitere Umstände vor, die auf eine instrumentalisierende Nutzung des Auskunftsrechts hindeuten (z.B. sofortige Schadensersatzforderung, anwaltliche Standardschreiben ohne individuellen Bezug)?

Entscheidend: Diese Prüfung muss dokumentiert werden — in einem internen Vermerk, der festhält, welche Indizien vorlagen, wie sie bewertet wurden und auf welcher Grundlage die Entscheidung getroffen wurde.

3. Ablehnungsschreiben individualisieren statt Floskeln nutzen

Das Gericht würdigt ausdrücklich, dass die Ablehnung der Klägerin nicht floskelhaft war, sondern konkret auf die Umstände des Einzelfalls einging. Das Standardschreiben „Ihre Anfrage ist rechtsmissbräuchlich und wird daher abgelehnt" ist nicht ausreichend — weder für eine gerichtliche Verteidigung noch gegenüber einer Aufsichtsbehörde.

Ein rechtssicheres Ablehnungsschreiben muss:

• die gesetzliche Grundlage der Ablehnung nennen (Art. 12 Abs. 5 lit. b) DSGVO),
• die konkreten Umstände benennen, aus denen sich der Missbrauchsverdacht ergibt,
• auf die Möglichkeit eines Rechtsbehelfs hinweisen (Beschwerde bei der Aufsichtsbehörde oder gerichtlicher Rechtsbehelf),
• innerhalb der Monatsfrist des Art. 12 Abs. 3 DSGVO versendet werden.

4. Fristen- und Eskalationsmanagement implementieren

Das AG Arnsberg bestätigt: Die Frist des Art. 12 Abs. 4 DSGVO für die Ablehnung einer Anfrage wurde ordnungsgemäß eingehalten. Das klingt selbstverständlich, ist es in der Praxis aber nicht. Viele Unternehmen — insbesondere KMU ohne eigene Datenschutzabteilung — verfügen über kein dokumentiertes Fristenmanagement für Betroffenenanfragen.

Empfehlung: Setzen Sie interne Eskalationsstufen: (1) Eingang der Anfrage — sofortige Erfassung und Fristberechnung; (2) nach 10 Arbeitstagen — Erinnerung an zuständige Stelle; (3) nach 20 Arbeitstagen — Eskalation an Datenschutzbeauftragten oder Geschäftsführung; (4) nach 25 Arbeitstagen — spätester Zeitpunkt für Versand der Antwort oder Fristverlängerungsmitteilung nach Art. 12 Abs. 3 Satz 2 DSGVO.

5. Newsletter-Anmeldeprozess und Einwilligungsdokumentation überprüfen

Das Urteil berührt auch einen Aspekt, den Unternehmen nicht unterschätzen sollten: Die Klägerin hatte ein sauber dokumentiertes Einwilligungsverfahren für den Newsletter — mit Ankerlink auf die Datenschutzerklärung und klarer Gestaltung. Diese Dokumentation war im Verfahren wichtig, um darzulegen, was der Beklagte wann und mit welchen Daten eingegeben hat.

Unternehmen, die keine dokumentierte Einwilligung und kein lückenloses Protokoll der Newsletter-Anmeldungen vorhalten, werden im Streitfall nicht nachweisen können, welche Daten zu welchem Zeitpunkt auf welcher Rechtsgrundlage verarbeitet wurden. Das schwächt die eigene Position erheblich — sowohl in einem gerichtlichen Verfahren als auch gegenüber der Aufsichtsbehörde.

6. Klare Zuständigkeiten und einen Datenschutzbeauftragten als Ansprechpartner

Das Urteil des AG Arnsberg ist ein gutes Argument dafür, Datenschutz nicht als lästige Compliance-Pflicht, sondern als strategische Ressource zu begreifen. Unternehmen, die einen benannten Datenschutzbeauftragten (intern oder extern) haben, reagieren schneller, dokumentieren besser und können Missbrauchsszenarien früher erkennen. Das senkt das Prozessrisiko erheblich.

Meine Einschätzung: Ein wichtiges Urteil — mit Schattenseiten

Das AG Arnsberg hat in einem gut dokumentierten Einzelfall das Richtige entschieden. Die Indizien für einen Missbrauch des Auskunftsrechts waren erdrückend, die Begründung ist dogmatisch sauber, und die Verzahnung mit den EuGH-Vorgaben aus C-526/24 ist überzeugend.

Dennoch hinterlässt das Urteil ein Unbehagen, das ich nicht verschweigen will: Das Auskunftsrecht nach Art. 15 DSGVO ist kein Selbstzweck, aber auch kein Stiefkind. Es ist das Fundament der informationellen Selbstbestimmung in einer Gesellschaft, in der personenbezogene Daten in industriellem Maßstab verarbeitet werden. Wer dieses Recht missbraucht, schadet dem Datenschutz insgesamt — denn er liefert Argumente dafür, die Hürden für legitime Betroffenenanfragen zu erhöhen.

Auf der anderen Seite wäre es verfehlt, aus der Existenz von Missbrauchsfällen zu schließen, dass das Auskunftsrecht insgesamt unter Generalverdacht steht. Die überwiegende Mehrheit der Betroffenenanfragen kommt von echten Menschen mit echten Fragen über die eigenen Daten. Diese Menschen haben ein Recht auf eine vollständige, korrekte und fristgerechte Antwort — und Unternehmen, die gut aufgestellt sind, können beides leisten: Missbrauch erkennen und legitimen Anfragen gerecht werden.

Das Urteil des AG Arnsberg ist deshalb am besten als Anstoß zu verstehen, das eigene Datenschutzmanagement professionell aufzustellen — nicht als Einladung, Auskunftsanfragen pauschal zu misstrauen.