Urteil : Auch der erste Auskunftsantrag kann exzessiv sein : aus der RDV 5/2026, Seite 277 bis 282

Aus den Gründen:

Rn. 21 Mit seinen Fragen 1 bis 3 und 7, die zusammen und als Erstes zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 12 Abs. 5 DS‑GVO dahin auszulegen ist, dass es möglich ist, einen ersten von der betroffenen Person an den Verantwortlichen gerichteten Antrag nach Art. 15 DS‑GVO auf Auskunft über personenbezogene Daten als „exzessiv“ im Sinne dieses Art. 12 Abs. 5 anzusehen, und, wenn dem so ist, anhand welcher Umstände gegebenenfalls ein solcher exzessiver Charakter festgestellt werden kann.

Rn. 22 Art.  15 Abs.  1 DS‑GVO garantiert insoweit das Recht der betroffenen Person, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden, und, wenn dies der Fall ist, das Recht dieser Person auf Auskunft über diese Daten und die damit verbundenen Informationen (vgl. in diesem Sinne Urt. v. 26.10.2023, FT [Kopien der Patientenakte], C‑307/22, EU:C:2023:811, Rn. 31).

Rn. 23 Außerdem stellt Art.  12 Abs.  5 DS‑GVO den Grundsatz auf, dass der betroffenen Person durch die Ausübung des Rechts auf Auskunft keine Kosten entstehen. Gleichwohl gibt es nach dieser Bestimmung zwei Gründe, aus denen der Verantwortliche entweder ein angemessenes Entgelt in Rechnung stellen kann, bei dem die Verwaltungskosten berücksichtigt werden, oder sich weigern kann, aufgrund des Auskunftsantrags tätig zu werden. Diese Gründe beziehen sich auf Fälle von Rechtsmissbrauch, in denen die Anträge der betroffenen Person als „offenkundig unbegründet“ oder – insbesondere im Fall häufiger Wiederholung – „exzessiv“ anzusehen sind (Urt. v. 26.10.2023, FT [Kopien der Patientenakte], C‑307/22, EU:C:2023:811, Rn. 31).

Rn. 24 Was erstens die Frage betrifft, ob ein erster Auskunftsantrag der betroffenen Person an den Verantwortlichen nach Art. 15 DS‑GVO als „exzessiv“ angesehen werden kann, ist darauf hinzuweisen, dass, da der Begriff „exzessive Anträge“ in der DS‑GVO nicht definiert wird, bei seiner Auslegung nach ständiger Rechtsprechung sowohl der Wortlaut von Art. 12 Abs. 5 DS‑GVO entsprechend seinem üblichen Sinn im gewöhnlichen Sprachgebrauch als auch der Zusammenhang dieser Bestimmung und die Ziele zu berücksichtigen sind, die mit der Regelung, zu der sie gehört, verfolgt werden (vgl. Urt. v. 17.11.1983, Merck,292/82, EU:C:1983:335, Rn. 12, und v. 9.1.2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn.  24 und die dort angeführte Rechtsprechung).

Rn. 25 Insoweit bezeichnet, was den Wortlaut von Art.  12 Abs.  5 DS‑GVO und insbesondere den üblichen Sinn des Begriffs „exzessive Anträge“ im gewöhnlichen Sprachgebrauch anbelangt, das Adjektiv „exzessiv“ etwas, das über das gewöhnliche oder vernünftige Maß hinausgeht oder das erwünschte oder zulässige Maß überschreitet (vgl. i.d.S. Urt. v. 9.1.2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn.  43). Allein anhand der Verwendung dieses Adjektivs, das sich sowohl auf qualitative als auch auf quantitative Merkmale bezieht, kann daher nicht ausgeschlossen werden, dass ein erster Auskunftsantrag exzessiv sein mag.

Rn. 26 Zudem ergibt sich zwar aus Art. 12 Abs. 5 UAbs. 1 S. 2 DS‑GVO, dass Anträge „insbesondere im Fall von häufiger Wiederholung“ exzessiv sein können. Die Häufung von Anträgen einer Person kann daher ein Indiz dafür sein, dass sie exzessiv sind (vgl. i.d.S. Urt. v. 9.1.2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn. 57). Wie der Generalanwalt in Nr. 28 seiner Schlussanträge im Wesentlichen betont hat, verlangt jedoch, da die häufige Wiederholung in dieser Bestimmung nur beispielhaft angeführt wird, die Einstufung eines Auskunftsantrags als „exzessiv“ nicht, dass der betreffende Antrag notwendigerweise im Zusammenhang mit der Einreichung mehrerer Anträge durch dieselbe betroffene Person stehen muss.

Rn. 27 In Ansehung einer am Wortlaut orientierten Auslegung von Art.  12 Abs.  5 DS‑GVO kann daher nicht ausgeschlossen werden, dass ein erster Auskunftsantrag als „exzessiv“ i.S.d. Bestimmung angesehen werden kann.

Rn. 28 Bestätigung findet diese Feststellung im Regelungszusammenhang von Art. 12 Abs. 5 UAbs. 1 S. 2 DS‑GVO. Insoweit ist darauf hinzuweisen, dass dieser Art. 12, der sich in Kapitel III der DS‑GVO über die Rechte der betroffenen Person findet, allgemeine Pflichten des Verantwortlichen in Bezug auf die Transparenz von Information und Kommunikation aufstellt und die Modalitäten für die Ausübung der Rechte der betroffenen Person festlegt. Nach Art. 12 Abs. 2 S. 1 DS‑GVO muss der Verantwortliche der betroffenen Person die Ausübung ihrer Rechte gemäß u.a. Art. 15 DS‑GVO erleichtern, der den durch die DS‑GVO geschaffenen Transparenzrahmen vervollständigt, indem er dieser Person ein Recht auf Auskunft über ihre personenbezogenen Daten gewährt (vgl. i.d.S. Urt. v. 9.1.2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn. 45 und 46).

Rn. 29 Indem Art.  12 Abs.  5 DS‑GVO gleichzeitig den Verantwortlichen die Möglichkeit einräumt, bei offenkundig unbegründeten oder exzessiven Anträgen ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten zu verlangen oder sich zu weigern, aufgrund eines Antrags tätig zu werden, sieht er mithin eine Ausnahme von der Pflicht zur Erleichterung u. a. des Auskunftsrechts vor, die eng auszulegen ist (vgl. i.d.S. Urt. v. 9.1.2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn. 33).

Rn. 30 Aus der Rechtsprechung des Gerichtshofs zur Auslegung des Begriffs „exzessive Anfragen“ in Art. 57 Abs. 4 DS‑GVO, die auf die vorliegende Rechtssache übertragbar ist, da Art.  57 Abs.  4 DS‑GVO einen im Wesentlichen Art.  12 Abs. 5 DS‑GVO entsprechenden Wortlaut hat und das gleiche Ziel wie dieser verfolgt, ergibt sich allerdings, dass in Art. 12 Abs.  5 DS‑GVO ein allgemeiner Grundsatz des Unionsrechts zum Ausdruck kommt, wonach sich Einzelne nicht in betrügerischer oder missbräuchlicher Weise auf unionsrechtliche Normen berufen dürfen (vgl. i.d.S. Urt. v. 9.1.2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn.  49). Die Anwendung der Unionsregelung kann nämlich nicht so weit gehen, dass Vorgänge geschützt werden, die einem missbräuchlichen Zweck dienen (vgl. i.d.S. Urt. v. 19.9.2024, Matmut,C‑236/23, EU:C:2024:761, Rn. 52 und die dort angeführte Rechtsprechung).

Rn. 31 Somit ist die Zahl der Auskunftsanträge der betroffenen Person an den Verantwortlichen für sich allein nicht ausschlaggebend für dessen Recht, von der ihm durch Art. 12 Abs. 5 DS‑GVO eingeräumten Möglichkeit Gebrauch zu machen, auf den Antrag nicht tätig zu werden, so dass der Verantwortliche davon auch im Fall eines ersten Auskunftsantrags Gebrauch machen kann, wenn er in Ansehung aller relevanten Umstände des Einzelfalls dartut, dass eine Missbrauchsabsicht der betroffenen Person vorliegt (vgl. i.d.S. Urt. v. 9.1.2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn. 50)

Rn. 32 Diese systematische Auslegung steht im Einklang mit den Zielen, die mit der DS‑GVO verfolgt werden. Insoweit ist festzustellen, dass diese Verordnung, wie sich aus ihren ErwG 10 und 11 ergibt, ein gleichmäßiges und hohes Schutzniveau für natürliche Personen in der Union gewährleisten und die Rechte der betroffenen Personen stärken und präzise festlegen soll. So sind die Pflichten des Verantwortlichen nach Art.  12 DS‑GVO, die u. a. die Mitteilung gemäß Art. 15 DS‑GVO betreffen, als ein Mechanismus konzipiert, der geeignet ist, die Rechte und Interessen der betroffenen Personen wirksam zu wahren (vgl. i.d.S. Urt. v. 9.1.2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn. 38 und 39 sowie die dort angeführte Rechtsprechung).

Rn. 33 Im vierten ErwG  der DS‑GVO wird jedoch ausgeführt, dass das Recht auf Schutz der personenbezogenen Daten kein uneingeschränktes Recht ist, da es im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden muss. Zudem hat der Gerichtshof bereits hervorgehoben, dass die Mechanismen, die es ermöglichen, einen angemessenen Ausgleich zwischen den verschiedenen berührten Rechten und Interessen zu finden, in der DS‑GVO selbst festgelegt sind (Urt. v. 21.12.2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, Rn.  54 und die dort angeführte Rechtsprechung).

Rn. 34 Um die Umsetzung dieses angemessenen Ausgleichs durch die in Rede stehende Ausnahme sowie deren praktische Wirksamkeit zu gewährleisten, ist das relevante Kriterium für die Feststellung eines missbräuchlichen Verhaltens daher der exzessive Charakter des Auskunftsantrags in einer Beurteilung aus qualitativer Sicht gemäß Rn. 26 des vorliegenden Urteils, der nicht allein von der Zahl der Auskunftsanträge der betroffenen Person und damit davon abhängen kann, ob es sich um einen ersten Antrag dieser Person handelt.

Rn. 35 Daraus folgt, dass es möglich ist, einen ersten Auskunftsantrag an den Verantwortlichen nach Art.  15 DS‑GVO als „exzessiv“ im Sinne von Art.  12 Abs.  5 DS‑GVO anzusehen. Da der Begriff „exzessive Anträge“, wie sich aus Rn.  29 des vorliegenden Urteils ergibt, eng auszulegen ist, kann sich jedoch ein Verantwortlicher nur ausnahmsweise auf einen solchen exzessiven Charakter berufen, und die Maßstäbe für die Einstufung eines ersten Auskunftsantrags als „exzessiv“ müssen, wie vom Generalanwalt in Nr. 34 seiner Schlussanträge ausgeführt, hoch sein. Ferner ist darauf hinzuweisen, dass nach Art.  12 Abs.  5 UAbs.  2 DS‑GVO ausdrücklich der Verantwortliche den Nachweis für den exzessiven Charakter zu erbringen hat.

Rn. 36 Was zweitens die Umstände betrifft, unter denen der erste Auskunftsantrag der betroffenen Person als „exzessiv“ im Sinne von Art. 12 Abs. 5 DS‑GVO eingestuft werden und somit einen Rechtsmissbrauch im Sinne der oben in den Rn. 23 und 30 angeführten Rechtsprechung begründen kann, so ist für den Nachweis einer missbräuchlichen Verhaltensweise zweierlei erforderlich, nämlich zum einen eine Gesamtheit objektiver Umstände, aus denen sich ergibt, dass trotz formaler Einhaltung der in der Unionsregelung vorgesehenen Bedingungen das Ziel dieser Regelung nicht erreicht wurde, und zum anderen ein subjektives Element, das in der Absicht der betroffenen Person besteht, sich einen aus der Unionsregelung resultierenden Vorteil zu verschaffen, indem die Voraussetzungen für seine Erlangung künstlich geschaffen werden. Bei einer solchen Einstufung müssen außerdem alle Tatsachen und Umstände des Einzelfalls berücksichtigt werden (vgl. i.d.S. Urt. v. 21.12.2023, BMW Bank u.a., C‑38/21, C‑47/21 und C‑232/21, EU:C:2023:1014, Rn. 285 und 286 sowie die dort angeführte Rechtsprechung).

Rn. 37 Was als Erstes das objektive Element einer missbräuchlichen Verhaltensweise anbelangt, ist darauf hinzuweisen, dass eine betroffene Person mit Art. 15 DS‑GVO vor dem Hintergrund des 63. ErwG der DS‑GVO ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können soll, um sich insbesondere der Verarbeitung dieser Daten bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können, damit sie gegebenenfalls ihre Rechte auf Berichtigung, auf Löschung und auf Einschränkung der Verarbeitung sowie ihr Widerspruchsrecht und im Schadensfall ihr Recht auf einen Rechtsbehelf ausüben kann (vgl. i.d.S. Urt. v. 12.1.2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C‑154/21, EU:C:2023:3, Rn. 37 und 38).

Rn. 38 Im vorliegenden Fall stellte TC, wie sich aus der dem Gerichtshof vorliegenden Akte ergibt, den im Ausgangsverfahren streitigen Auskunftsantrag, nachdem er sich zum Newsletter von Brillen Rottler angemeldet und dem Unternehmen dabei bestimmte personenbezogene Daten übermittelt hatte, so dass dieser Auskunftsantrag in formaler Hinsicht eine Ausübung des Auskunftsrechts von TC im Hinblick auf die Erreichung des Ziels der Regelung darstellen könnte.

Rn. 39 In Anbetracht der oben in Rn.  36 angeführten Rechtsprechung kann jedoch der „exzessive“ Charakter eines Auskunftsantrags und damit das Vorliegen eines Rechtsmissbrauchs nicht allein anhand der formalen Einhaltung der Anwendungsvoraussetzungen des Art.  15 DS‑GVO ausgeschlossen werden.

Rn. 40 Was insoweit als Zweites das subjektive Element einer missbräuchlichen Vorgehensweise betrifft, so muss der Verantwortliche, um einen Auskunftsantrag als „exzessiv“ im Sinne von Art. 12 Abs. 5 DS‑GVO einstufen zu können, anhand aller relevanten Umstände des Einzelfalls nachweisen, dass eine Missbrauchsabsicht seitens der betroffenen Person vorliegt, wobei eine solche Absicht festgestellt werden kann, wenn diese Person den Antrag zu einem anderen Zweck stellt als dem, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, um anschließend ihre Rechte aus der DS‑GVO schützen zu können (vgl. i.d.S. Urt. v. 9.1.2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn. 50 und 56).

Rn. 41 Somit obliegt im vorliegenden Fall unter Berücksichtigung insbesondere dessen, was sich aus Rn. 35 des vorliegenden Urteils ergibt, dem Verantwortlichen der eindeutige Nachweis, dass sich die betroffene Person mit dem Auskunftsantrag nach Art.  15 DS‑GVO nicht der Datenverarbeitung bewusst werden, sondern künstlich die Voraussetzungen für die Erlangung von Schadensersatz von dem Verantwortlichen schaffen wollte.

Rn. 42 Insoweit werden sämtliche Fallumstände zu berücksichtigen sein, insbesondere der Umstand, dass die betroffene Person personenbezogene Daten freiwillig bereitgestellt hat, der Zweck der Bereitstellung dieser Daten, die zwischen der Datenbereitstellung und dem Auskunftsantrag verstrichene Zeit sowie das Verhalten dieser Person.

Rn. 43 Vor dem Hintergrund des bei ihm anhängigen Rechtsstreits sieht sich das vorlegende Gericht vor die Frage gestellt, ob bei der Beurteilung des Vorliegens eines Rechtsmissbrauchs öffentliche Informationen berücksichtigt werden können, die darauf hindeuten sollen, dass TC Anträge auf Auskunft über seine personenbezogenen Daten und Schadensersatzforderungen systematisch an verschiedene Verantwortliche nach einem Muster richtet, das mit dem im vorliegenden Fall angewandten vergleichbar ist. Dieser Anhaltspunkt kann zur Feststellung missbräuchlicher Absichten der betroffenen Person durchaus herangezogen werden, sofern er durch andere relevante Anhaltspunkte bestätigt wird.

Rn. 44 Mithin hat das vorlegende Gericht im vorliegenden Fall zu prüfen, ob Brillen Rottler unter Berücksichtigung aller relevanten Umstände nachgewiesen hat, dass TC mit dem betreffenden Auskunftsantrag eine missbräuchliche Absicht verfolgte.

Rn. 45 Nach alledem ist auf die Fragen 1 bis 3 und 7 zu antworten, dass Art. 12 Abs. 5 DS‑GVO dahin auszulegen ist, dass ein erster von der betroffenen Person an den Verantwortlichen gerichteter Antrag nach Art. 15 DS‑GVO auf Auskunft über personenbezogene Daten als „exzessiv“ im Sinne dieses Art.  12 Abs.  5 angesehen werden kann, wenn der Verantwortliche in Ansehung aller relevanten Fallumstände nachweist, dass dieser Antrag trotz formaler Einhaltung der in diesen Bestimmungen vorgesehenen Bedingungen von der betroffenen Person nicht gestellt wurde, um sich der Verarbeitung dieser Daten bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, damit sie anschließend ihre Rechte aus der DS‑GVO schützen kann, sondern in missbräuchlicher Absicht wie zur künstlichen Schaffung der Voraussetzungen für die Erlangung eines sich aus der DS‑GVO ergebenden Vorteils. Dass die betroffene Person nach öffentlich zugänglichen Informationen etwa mehrere Anträge auf Auskunft über ihre personenbezogenen Daten, gefolgt von Schadensersatzforderungen gegenüber verschiedenen Verantwortlichen, gestellt hat, kann für die Feststellung einer solchen missbräuchlichen Absicht berücksichtigt werden.

Rn. 46 Mit seiner fünften und seiner sechsten Frage, die zusammen und als Zweites zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 82 Abs. 1 DS‑GVO dahin auszulegen ist, dass er der betroffenen Person einen Anspruch auf Ersatz des aus einer Verletzung des Auskunftsrechts nach Art. 15 Abs. 1 DS‑GVO entstandenen Schadens verleiht.

Rn. 47 Wie oben in Rn. 24 ausgeführt, sind nach ständiger Rechtsprechung bei der Auslegung einer Bestimmung des Unionsrechts nicht nur ihr Wortlaut, sondern auch ihr Zusammenhang und die mit ihr verfolgten Ziele zu berücksichtigen.

Rn. 48 Nach Art. 82 Abs. 1 DS‑GVO hat eine Person, der „wegen eines Verstoßes gegen diese Verordnung“ ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen. Es ist festzustellen, dass diese Bestimmung keine Bezugnahme auf die „Verarbeitung“ enthält, so dass der Ersatzanspruch nicht auf Schäden beschränkt sein kann, die sich aus einer Verarbeitung personenbezogener Daten ergeben.

Rn. 49 Bestätigung findet diese Feststellung erstens in der systematischen Analyse dieser Bestimmung im Licht des 141. ErwG der DS‑GVO, wonach jede betroffene Person das Recht haben sollte, gem. Art. 47 der Charta einen wirksamen gerichtlichen Rechtsbehelf einzulegen, „wenn sie sich in ihren Rechten gemäß dieser Verordnung verletzt sieht“. Art. 82 Abs. 1 DS‑GVO findet sich nämlich in deren Kapitel VIII über die Rechtsbehelfe, Haftungsregeln und Sanktionen zum Schutz dieser Rechte. Diese Rechte umfassen aber sowohl das in Art. 12 DS‑GVO vorgesehene Recht einer betroffenen Person auf Information als auch ihr Auskunftsrecht nach Art. 15 Abs. 1 DS‑GVO, so dass sie durch Art. 82 DS‑GVO geschützt werden müssen, der somit dahin auszulegen ist, dass er auch für Schäden aus Verstößen gegen die Art. 12 und 15 DS‑GVO gilt.

Rn. 50 Diese Auslegung kann nicht dadurch in Frage gestellt werden, dass zum einen ausweislich des 146. ErwG der DS‑GVO der Verantwortliche Schäden ersetzen sollte, die einer Person „aufgrund einer Verarbeitung“ entstehen, die mit der DS‑GVO nicht im Einklang steht, und dass zum anderen in Art.  82 Abs.  2 und 4 DS‑GVO von dem „durch [eine/die] Verarbeitung verursachten Schaden“ die Rede ist.

Rn. 51 Wie nämlich die Kommission in ihren schriftlichen Erklärungen im Wesentlichen geltend macht, kann sich der behauptete Verstoß im Fall einer Verletzung der in den Bestimmungen des Kapitels III der DS‑GVO vorgesehenen Rechte, insbesondere der Rechte auf Auskunft über die Daten und auf Berichtigung sowie der Rechte auf Löschung, auf Einschränkung der Verarbeitung und auf Übertragbarkeit, nicht aus einer tatsächlichen Verarbeitung der personenbezogenen Daten als solcher ergeben, sondern vielmehr aus der Weigerung, aufgrund des auf die Ausübung dieser Rechte bezogenen Antrags der betroffenen Person tätig zu werden. Würde der Schadensersatzanspruch nach Art. 82 Abs. 1 DS‑GVO vom Vorliegen von Schäden abhängig gemacht, die sich aus einer Verarbeitung als solcher ergeben, hätte dies daher den Ausschluss solcher Fälle vom Anwendungsbereich dieser Bestimmung zur Folge, deren praktische Wirksamkeit damit beeinträchtigt würde.

Rn. 52 Im Übrigen hat der Gerichtshof bereits entschieden, dass der Verstoß des Verantwortlichen gegen die Art.  26 und 30 DS‑GVO, von denen der erste den Abschluss einer Vereinbarung über die jeweiligen Funktionen und Beziehungen der Verantwortlichen gegenüber betroffenen Personen und der zweite die Führung eines Verzeichnisses der Verarbeitungstätigkeiten betrifft, keine „unrechtmäßige Verarbeitung“ darstellt, die der betroffenen Person ein Recht auf Löschung oder auf Einschränkung der Verarbeitung verleiht. Ein solcher Verstoß ist daher unter Rückgriff auf andere von der DS‑GVO vorgesehene Maßnahmen zu heilen, u.a. durch Ersatz des vom Verantwortlichen etwaig verursachten Schadens gemäß Art.  82 DS‑GVO (vgl. i.d.S. Urt. v. 4.5.2023, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], C‑60/22, EU:C:2023:373, Rn. 66 und 67).

Rn. 53 Zweitens findet die oben in Rn.  48 getroffene Feststellung Bestätigung in der teleologischen Auslegung von Art. 82 Abs. 1 DS‑GVO, denn dieser Art. soll die Verwirklichung der Ziele der DS‑GVO gewährleisten, zu denen u.a. das in deren elftem ErwG  genannte Ziel gehört, die Rechte der betroffenen Personen zu stärken und die Verpflichtungen für diejenigen zu verschärfen, die personenbezogene Daten verarbeiten und darüber entscheiden. Wie der Generalanwalt in Nr. 72 seiner Schlussanträge im Wesentlichen ausgeführt hat, würden aber diese Rechte, zu denen das Auskunftsrecht, um das es dem vorlegenden Gericht geht, gerade gehört, erheblich geschwächt, wenn Art. 82 Abs. 1 DS‑GVO dahin ausgelegt werden sollte, dass er allein Schäden erfasst, die sich aus rechtswidrigen Handlungen ergeben, die eine Datenverarbeitung umfassen.

Rn. 54 Daraus folgt, dass sich die betroffene Person auch bei einem Verstoß gegen die DS‑GVO, bei dem als solchem keine Datenverarbeitung impliziert ist, auf das in Art. 82 DS‑GVO vorgesehene Recht auf Schadensersatz berufen kann.

Rn. 55 Demnach ist auf die fünfte und die sechste Frage zu antworten, dass Art. 82 Abs. 1 DS‑GVO dahin auszulegen ist, dass er der betroffenen Person einen Anspruch auf Ersatz des aus einer Verletzung des Auskunftsrechts nach Art.  15 Abs. 1 DS‑GVO entstandenen Schadens verleiht.

Rn. 56 In Anbetracht der Antwort auf die fünfte und die sechste Vorlagefrage ist die vierte Frage nicht zu beantworten.

Rn. 57 Mit seiner achten Frage, die als Drittes und Letztes zu prüfen ist, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 82 Abs. 1 DS‑GVO dahin auszulegen ist, dass der immaterielle Schaden der betroffenen Person den Verlust der Kontrolle über ihre personenbezogenen Daten oder ihre Ungewissheit darüber umfasst, ob diese Daten verarbeitet wurden.

Rn. 58 Da die DS‑GVO für den Sinn und die Tragweite der in ihrem Art. 82 Abs. 1 enthaltenen Begriffe, insbesondere, was die Begriffe „materieller oder immaterieller Schaden“ und „Schadenersatz“ betrifft, nicht auf das Recht der Mitgliedstaaten verweist, sind diese Begriffe für die Zwecke der Anwendung der DS‑GVO als autonome Begriffe des Unionsrechts anzusehen, die in allen Mitgliedstaaten einheitlich auszulegen sind (vgl. i.d.S. Urt. v. 4.5.2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C‑300/21, EU:C:2023:370, Rn. 30, und v. 4.9.2025, Quirin Privatbank,C‑655/23, EU:C:2025:655, Rn. 55 und die dort angeführte Rechtsprechung).

Rn. 59 Insoweit ist darauf hinzuweisen, dass nicht davon ausgegangen werden kann, dass jeder „Verstoß“ gegen die Bestimmungen der DS‑GVO für sich genommen einen Schadensersatzanspruch der betroffenen Person begründet. Nach Art.  82 Abs.  1 DS‑GVO hat nämlich „[j]ede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, … Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter“. Daraus geht klar hervor, dass das Vorliegen eines „Schadens“, der „entstanden“ ist, eine der Voraussetzungen für den in dieser Bestimmung vorgesehenen Schadensersatzanspruch darstellt, ebenso wie das Vorliegen eines Verstoßes gegen die DS‑GVO und eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (vgl. i.d.S. Urt. v. 4.5.2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C‑300/21, EU:C:2023:370, Rn. 31 bis 33, und v. 4.9.2025, Quirin Privatbank,C‑655/23, EU:C:2025:655, Rn. 56 und die dort angeführte Rechtsprechung).

Rn. 60 Somit muss die Person, die auf der Grundlage von Art. 82 Abs. 1 DS‑GVO Ersatz eines immateriellen Schadens fordert, nicht nur den Verstoß gegen Bestimmungen der DS‑GVO nachweisen, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist. Ein entsprechender Schaden kann daher nicht allein deshalb vermutet werden, weil sich der Verstoß ereignet hat (Urt. v. 4.10.2024, Agentsia po vpisvaniyata,C‑200/23, EU:C:2024:827, Rn. 141 und die dort angeführte Rechtsprechung).

Rn. 61 Davon abgesehen hat der Gerichtshof bereits entschieden, dass aus der im ersten Satz des 85. ErwG der DS‑GVO enthaltenen beispielhaften Aufzählung der „Schäden“, die den betroffenen Personen entstehen können, hervorgeht, dass der Unionsgesetzgeber unter den Schadensbegriff insbesondere auch den bloßen „Verlust der Kontrolle“ über ihre eigenen personenbezogenen Daten infolge eines Verstoßes gegen die DS‑GVO fassen wollte, selbst wenn konkret keine missbräuchliche Verwendung der betreffenden Daten erfolgt sein sollte (Urt. v. 4.10.2024, Agentsia po vpisvaniyata,C‑200/23, EU:C:2024:827, Rn. 145 und die dort angeführte Rechtsprechung).

Rn. 62 Der Gerichtshof hat auch befunden, dass der Begriff „immaterieller Schaden“ nicht allein auf Schäden mit einer gewissen Erheblichkeit beschränkt werden kann. Insbesondere darf eine nationale Regelung oder Praxis für einen durch einen Verstoß gegen die DS‑GVO verursachten immateriellen Schaden keine „Bagatellgrenze“ festlegen. Die betroffene Person muss jedoch nachweisen, dass ihr zum einen tatsächlich ein solcher Schaden – so geringfügig er auch sein mag – entstanden ist und dass zum anderen in den Folgen dieses Verstoßes, die sie erlitten zu haben behauptet, ein Schaden begründet liegt, der sich von der bloßen Verletzung der Bestimmungen der DS‑GVO unterscheidet (vgl. i.d.S. Urt. v. 14.12.2023, Gemeinde Ummendorf,C‑456/22, EU:C:2023:988, Rn. 22 und 23).

Rn. 63 So kann das bloße Vorbringen seitens der betroffenen Person einer durch einen Verlust der Kontrolle über ihre personenbezogenen Daten hervorgerufenen Befürchtung nicht zu Schadenersatz nach Art. 82 Abs. 1 DS‑GVO führen (vgl. i.d.S. Urt. v. 20.6.2024, PS [Fehlerhafte Anschrift], C‑590/22, EU:C:2024:536, Rn. 33 und 35). Beruft sich eine Person, die auf der Grundlage dieser Bestimmung Schadenersatz fordert, auf die Befürchtung, dass ihre personenbezogenen Daten etwa in Zukunft aufgrund eines Verstoßes gegen die DS‑GVO missbräuchlich verwendet werden, muss daher das angerufene nationale Gericht prüfen, ob diese Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann (vgl. i.d.S. Urt. v. 4.10.2024, Agentsia po vpisvaniyata,C‑200/23, EU:C:2024:827, Rn. 143 und die dort angeführte Rechtsprechung).

Rn. 64 Die Erwägungen in den vorstehenden Rn. 59 bis 63 gelten auch in einer Situation, in der nach Ansicht der betroffenen Person Unsicherheit darüber besteht, ob ihre personenbezogenen Daten verarbeitet wurden.

Rn. 65 Um dem vorlegenden Gericht eine zweckdienliche Antwort zu geben, ist noch darauf hinzuweisen, dass der Kausalzusammenhang zwischen dem behaupteten Verstoß und dem behaupteten Schaden durch die Handlungsweise der betroffenen Person unterbrochen werden kann, sofern sich diese Handlungsweise als die entscheidende Ursache für den Schaden erweist. Eine entsprechende Handlung kann u. a. in einer Entscheidung der geschädigten Person bestehen, allerdings nur, sofern diese Entscheidung für sie nicht zwingend war (vgl. entsprechend Urt. v. 18.12.2025, WS u. a./Frontex [Gemeinsame Rückkehraktion], C‑679/23 P, EU:C:2025:976, Rn. 151 und 152 sowie die dort angeführte Rechtsprechung).

Rn. 66 Außerdem ergibt sich aus der oben in Rn. 59 angeführten Rechtsprechung, dass das Bestehen eines Kausalzusammenhangs zwischen dem behaupteten Verstoß gegen die DS‑GVO und dem Schaden, der der betroffenen Person entstanden sein soll, eine unabdingbare Voraussetzung für einen Schadensersatzanspruch nach Art.  82 Abs.  1 DS‑GVO ist. Folglich kann der betroffenen Person nach Art. 82 Abs. 1 DS‑GVO kein Ersatz für Schäden gewährt werden, die ihr durch den Verlust der Kontrolle über ihre personenbezogenen Daten oder ihre Ungewissheit über das Vorliegen einer Verarbeitung dieser Daten entstanden sein sollen, wenn der Kausalzusammenhang aufgrund der Handlungsweise dieser Person unterbrochen wird, weil besagter Kontrollverlust oder besagte Ungewissheit durch die Entscheidung der betroffenen Person herbeigeführt wurden, dem Verantwortlichen diese Daten in der Absicht zu übermitteln, künstlich die Voraussetzungen für die Anwendung dieser Bestimmung zu schaffen.

Rn. 67 Demnach ist auf die achte Frage zu antworten, dass Art. 82 Abs. 1 DS‑GVO dahin auszulegen ist, dass der immaterielle Schaden der betroffenen Person den Verlust der Kontrolle über ihre personenbezogenen Daten oder ihre Ungewissheit darüber umfasst, ob ihre Daten verarbeitet wurden, sofern insbesondere nachgewiesen wird, dass dieser Person tatsächlich ein solcher Schaden entstanden ist und dass ihr Verhalten nicht die entscheidende Ursache für diesen Schaden war.

Rn. 68 Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.