„Exzessiv“ ist keine Erlaubnis zum Schweigen

Es gibt eine Sorte Post, die in Unternehmen und Behörden zuverlässig nach unten durchgereicht wird. Ein Betroffener schreibt zum vierten Mal. Der Antrag ist lang, der Ton korrekt, die Normen sitzen: Art. 15 Abs. 1 DSGVO, Art. 15 Abs. 3 DSGVO, Ablichtungen in einfacher Ausfertigung, Verweis auf Art. 12 Abs. 3 DSGVO, Fristsetzung.

Der Katalog wirkt zusammengesetzt, weil er zusammengesetzt ist — aus einer Vorlage, einem Forumsbeitrag oder aus einem Chatbot, der auf „schreibe mir einen umfassenden Auskunftsantrag“ hin ein solides Ergebnis liefert.

Und dann passiert das, was immer passiert. Der Antrag landet in einer Ablage. Man ist zu dem Ergebnis gekommen, dass das jetzt reicht, dass derselbe Mensch dieselbe Frage schon dreimal gestellt hat und dass man diesem Spiel nicht auch noch zuarbeiten muss. Man antwortet nicht.

Genau dieser Punkt ist der Fehler. Das Verwaltungsgericht Osnabrück hat ihn in aller Ruhe seziert — und in einem Satz, der jedem Verantwortlichen in Erinnerung bleiben sollte: Selbst wenn viel dafür spricht, dass ein Antrag exzessiv ist, hätte man ihn ablehnen müssen. Ablehnen. Nicht ignorieren.

Der Fall

Ein Bürger ist Inhaber eines Jagdscheins und einer Waffenbesitzkarte. Die zuständige Behörde wechselt, er erhält eine Datenschutzinformation und beginnt zu korrespondieren: erst zur Postanschrift, dann mit einem Einschränkungsverlangen nach Art. 18 DSGVO, dann mit einem Auskunftsantrag nach Art. 15 DSGVO, beschränkt auf einen Fachbereich, samt Ablichtungen nach Art. 15 Abs. 3 DSGVO.

Die Behörde antwortet spät und in Teilen. Er rügt die Unvollständigkeit. Die Behörde fragt zurück, ob er das wirklich wolle — denn für eine vollständige Auskunft müssten seine Daten an alle Abteilungen weitergeleitet werden. Er stellt daraufhin einen neuen Auskunftsantrag, ausdrücklich als solchen bezeichnet, mit einer beispielhaften Aufzählung von Akten. Der Antrag geht am 22. August 2024 ein.

Die Behörde bearbeitet ihn nicht. Sie bittet stattdessen erneut um Zustimmung zur internen Weiterleitung oder um eine Beschränkung des Ersuchens. Auf den missbräuchlichen Charakter beruft sie sich der Sache nach erst in der Klageerwiderung vom 8. November 2024 — also mehr als zwei Monate nach Fristablauf.

Das Gericht stellt fest: Die Frist ist versäumt (VG Osnabrück, Gerichtsbescheid vom 19.08.2026, 7 A 170/24). Die Behörde trägt die Kosten. Und weil der Kläger angekündigt hat, weiter Auskunftsersuchen zu stellen, und die Behörde weiter der Auffassung ist, rechtmäßig gehandelt zu haben, bejaht das Gericht eine Wiederholungsgefahr — die Feststellung wirkt also über den Einzelfall hinaus.

Bemerkenswert ist, was das Gericht dem Kläger dabei durchaus zugesteht: Es spricht ausdrücklich „viel dafür“, dass der Antrag mit Blick auf den vorangegangenen Antrag exzessiv im Sinne des Art. 12 Abs. 5 Satz 2 DSGVO war. Der Kläger hatte den Vorwurf sogar aktiv bestritten und eine eigene Faustformel angeboten: eine Anfrage pro Quartal sei nicht exzessiv. Das Gericht musste die Frage nicht entscheiden. Denn selbst unterstellt, der Antrag war exzessiv, ändert das am Ergebnis nichts.

Der juristische Kern in vier Sätzen

Das ist der Teil, der sich in jede Geschäftsführungsvorlage übersetzen lässt.

1. Die Frist läuft ab Eingang

Nach Art. 12 Abs. 3 DSGVO müssen Sie unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags über die ergriffenen Maßnahmen informieren. Fristauslösend ist der Eingang beim Verantwortlichen — nicht der Tag, an dem der Antrag beim richtigen Sachbearbeiter ankommt. Das Gericht rechnet die Frist nach der europäischen Fristen-Verordnung: Eingang am 22. August, Monatsfrist bis 22. September, und weil das ein Sonntag war, Ende am 23. September.

2. Verlängern kann man — aber nur aktiv

Art. 12 Abs. 3 Satz 2 und 3 DSGVO erlauben zwei zusätzliche Monate bei Komplexität oder einer Vielzahl von Anträgen. Voraussetzung ist, dass Sie die Verlängerung innerhalb des ersten Monats mitteilen und begründen. Die Behörde hat das nicht getan. Damit war für das Gericht auch die Frage irrelevant, ob die Voraussetzungen vorlagen.

3. Exzessiv heißt: Entgelt oder begründete Weigerung

Art. 12 Abs. 5 Satz 2 DSGVO gibt bei offenkundig unbegründeten oder exzessiven Anträgen zwei Optionen — ein angemessenes Entgelt für den Verwaltungsaufwand oder die Weigerung, tätig zu werden. Beides sind Handlungen. Und selbst die Weigerung muss nach Art. 12 Abs. 4 DSGVO binnen eines Monats mitgeteilt werden, mit Gründen und mit Hinweis auf die Beschwerde bei der Aufsichtsbehörde und den gerichtlichen Rechtsbehelf.

4. Der Antrag wird ausgelegt, nicht verhandelt

Das Gericht legt den Antrag nach dem objektiven Empfängerhorizont aus, analog §§ 133, 157 BGB — und kommt zum Ergebnis, dass er den gesamten Fachbereich betraf. Die Rückfrage, ob der Betroffene das „wirklich“ wolle, war keine Bescheidung. Rückfragen zur Präzisierung sind erlaubt und oft sinnvoll; sie halten die Frist aber nicht an.

Warum KI-generierte Anfragen die Lage verändern — und warum das nichts an der Pflicht ändert

Der Aufwand pro Anfrage ist nicht mehr symmetrisch. Ein Betroffener braucht heute wenige Minuten für einen Katalog, dessen Beantwortung in einem gewachsenen Unternehmen Tage kostet. Diese Anfragen sind erkennbar: dieselbe Gliederung, dieselben Formulierungen, gelegentlich Normen, die es in der Kombination nicht gibt, und regelmäßig Forderungen, die deutlich über Art. 15 DSGVO hinausgehen — vollständige Systemdokumentationen, Verarbeitungsverzeichnisse, Verträge mit Auftragsverarbeitern, Angaben zu technischen Schutzmaßnahmen.

Zwei Reflexe sind hier gefährlich.

„Das ist ein Bot, das nehme ich nicht ernst“

Rechtlich spielt es keine Rolle, wer den Text formuliert hat. Ein Auskunftsantrag ist eine Erklärung des Betroffenen, nicht ein Aufsatz, der Punkte für Eigenständigkeit bekommt. Der Europäische Gerichtshof hat zudem entschieden, dass der Antragsteller keine Begründung liefern und sein Motiv nicht offenlegen muss; dass eine Auskunft ersichtlich der Vorbereitung eines Rechtsstreits dient, macht sie nicht unzulässig (EuGH, Urteil vom 26. Oktober 2023, C-307/22, Rn. 52).

„Der schreibt ständig, das ist rechtsmissbräuchlich“

Auch hier ist die Rechtsprechung deutlicher, als vielen bewusst ist. Zur Parallelvorschrift für Aufsichtsbehörden hat der Gerichtshof festgehalten, dass Anfragen nicht allein aufgrund ihrer Zahl in einem bestimmten Zeitraum als exzessiv eingestuft werden können; erforderlich ist der Nachweis einer Missbrauchsabsicht der anfragenden Person (EuGH, Urteil vom 9. Januar 2025, C-416/23, Rn. 50, 59). Im Ausgangsverfahren ging es um 77 Beschwerden in rund 20 Monaten — und selbst diese Zahl genügte dem Gerichtshof nicht.

Missbrauchsabsicht kann festgestellt werden, wenn jemand Anfragen stellt, „ohne dass dies objektiv erforderlich ist“, um seine Rechte aus der Verordnung zu schützen (Rn. 50). Das ist eine Einzelfallprüfung, und die Ausnahme muss Ausnahme bleiben. Der Gerichtshof weist außerdem auf etwas hin, das man im Ärger über den fünften Brief leicht übersieht: Eine große Zahl von Beschwerden kann „die unmittelbare Folge einer großen Zahl von Fällen sein, in denen auf Auskunftsersuchen […] keine Antwort gegeben wurde“ (Rn. 54).

Hinzu kommt die Beweislastfrage. In der Entscheidung Brillen Rottler vom 19. März 2026 hat der Gerichtshof klargestellt, dass die Missbräuchlichkeit vom Verantwortlichen darzulegen und zu beweisen ist (EuGH, C-526/24, Pressemitteilung des Gerichtshofs). Wer den Missbrauchseinwand erhebt, übernimmt also eine Beweisführung — und tut gut daran, sie vorher zu dokumentieren, statt sie erst im Prozess zu behaupten. Der Osnabrücker Fall zeigt, wie das schiefgeht: Der Einwand kam erst mit der Klageerwiderung, also lange nach der Frist, die er hätte retten sollen.

Was Sie schulden — und was nicht

Der wirksame Umgang mit extensiven Katalogen liegt nicht im Ignorieren, sondern im Sortieren. Vieles, was gefordert wird, ist geschuldet. Manches ist es nicht. Die Rechtsprechung ist hier präziser, als der Ruf des Auskunftsanspruchs vermuten lässt.

Der entscheidende Satz zu dieser Tabelle: Jede Zeile, die Sie ablehnen, muss in Ihrer Antwort auftauchen. Eine Teilauskunft ohne Angabe dessen, was und warum nicht beauskunftet wurde, ist aus Sicht des Betroffenen eine unvollständige Auskunft — und der nächste Streitpunkt.

Was Nichtantworten wirklich kostet

Viele Verantwortliche kalkulieren hier falsch, weil sie nur an Bußgelder denken. Die Risiken sind vielfältiger und treten praktisch häufiger ein.

Zur Einordnung gehört die Gegenseite dieser Medaille: Ein Verstoß allein begründet keinen Schadensersatz. Der Betroffene muss darlegen, dass ihm tatsächlich ein Schaden entstanden ist, und die Kriterien für Bußgelder nach Art. 83 DSGVO sind auf die Bemessung nicht übertragbar (EuGH, Urteil vom 11. April 2024, C-741/21, Rn. 43, 65). Die verspätete Auskunft ist also kein automatischer Geldabfluss. Sie ist ein Verstoß, der Aufsichtsverfahren, Prozesskosten und Reputationsfragen auslöst — und der sich mit einem einzigen fristgerechten Brief hätte vermeiden lassen.

Der Lösungsansatz: eine Antwortfähigkeit, die nicht am Einzelfall hängt

Die Entscheidung aus Osnabrück ist kein Ausrutscher einer überlasteten Behörde. Sie ist die typische Folge einer fehlenden Zuständigkeit. Niemand war verantwortlich für den Satz „Wir lehnen ab, und zwar so“. Das lässt sich in sieben Bausteinen abstellen.

1. Ein Eingangskanal mit Datum

Jede Anfrage — E-Mail an die allgemeine Adresse, Brief, Kontaktformular, Nachricht im Kundenportal — wird am Eingangstag mit Datum erfasst. Der Fristbeginn ist der Eingang, nicht die interne Zuleitung. Wer den Eingang nicht dokumentiert, kann später nicht beweisen, dass er rechtzeitig war.

2. Eine Person, die entscheidet

Nicht „der Datenschutz“, sondern eine benannte Rolle mit Vertretung, die innerhalb von fünf Arbeitstagen festlegt: erfüllen, teilweise erfüllen, Entgelt verlangen oder ablehnen.

3. Eine Datenlandkarte, die die Auskunft trägt

Welche Systeme enthalten personenbezogene Daten — CRM, ERP, Ticketsystem, Newsletter-Tool, Telefonanlage, Videoüberwachung, Bewerbermanagement, Backups, Archive, Messenger? Wer keine Liste hat, kann keine vollständige Auskunft erteilen und weiß auch nicht, was er in der Antwort verschweigt.

4. Auswertbare Protokolle

Der Anspruch auf Angaben zu Zeitpunkt und Zwecken interner Abfragen ist real (EuGH, Urteil vom 22. Juni 2023, C-579/21). Wenn Protokolle existieren, aber nicht personenbezogen auswertbar sind, wird jede Anfrage zum Projekt.

5. Ein Textbaustein für die Ablehnung

Ein einseitiges Muster mit den vier Pflichtelementen: was abgelehnt wird, weshalb (mit konkreter Begründung, nicht mit dem Wort „exzessiv“), Hinweis auf die Beschwerdemöglichkeit bei der Aufsichtsbehörde, Hinweis auf den gerichtlichen Rechtsbehelf. Dieser Baustein ist die billigste Versicherung im ganzen Prozess.

6. Eine Verlängerungsmitteilung, die in Woche drei rausgeht

Wenn absehbar ist, dass es knapp wird: Verlängerung um zwei Monate mitteilen und die Gründe nennen — Komplexität, Anzahl der Anträge, Systemvielfalt. Ein Zweizeiler zum richtigen Zeitpunkt ersetzt eine Feststellungsklage.

7. Eine Fallakte pro Anfrage

Antragstext, Eingangsdatum, Prüfvermerk, versandte Antwort, Zustellnachweis. Wer den Missbrauchseinwand erheben will, braucht die Vorgeschichte — Zahl, Frequenz, Inhalt, Reaktion des Betroffenen. Diese Dokumentation entsteht nicht rückwirkend.

Der gemeinsame Nenner ist derselbe wie bei den anderen Betroffenenrechten: Die rechtliche Anforderung muss in die eigene Welt der Daten und Systeme übersetzt werden. Ein Antrag nach Art. 15 DSGVO ist kein Schriftsatz, den man juristisch pariert. Er ist eine Abfrage über Ihre gesamte Systemlandschaft, formuliert von jemandem, der diese Landschaft nicht kennt — und beantwortet von jemandem, der sie kennen muss.

Fazit

Der Betroffene in Osnabrück war hartnäckig, sein Antrag war womöglich exzessiv, und das Gericht hat ihm gleichwohl recht gegeben. Der Grund ist unspektakulär und deshalb so wirksam: Die DSGVO kennt keine Kategorie „nicht bearbeiten“. Sie kennt erfüllen, verlangen, verweigern — und für jede dieser Optionen eine Frist und eine Form.

Wer ablehnen will, muss ablehnen können. Das ist kein juristisches, sondern ein organisatorisches Problem.

Zwei Fragen für die nächste Leitungsrunde:

• Wenn heute eine zehnseitige, offenkundig KI-generierte Auskunftsanfrage eingeht: Wer erfasst das Eingangsdatum, wer entscheidet, und existiert ein fertiger Textbaustein für eine begründete Teilablehnung?
• Können wir für eine beliebige Person innerhalb eines Monats belegen, in welchen Systemen ihre Daten liegen, an welche Empfänger sie gegangen sind und wann intern darauf zugegriffen wurde?

Wenn die zweite Frage im Raum eine Pause auslöst, ist die erste noch nicht das eigentliche Problem.