Auch exzessive DSGVO-Auskunftsersuchen dürfen nicht einfach ignoriert werden

VG Osnabrück, Gerichtsbescheid v. 19.08.2026 – 7 A 170/24

Kurzzusammenfassung

Auch wenn ein Verantwortlicher ein Auskunftsersuchen nach Art. 15 DSGVO für exzessiv hält, darf er es nicht einfach unbeantwortet lassen. Das VG Osnabrück stellt klar: Der Verantwortliche muss grundsätzlich innerhalb eines Monats reagieren. Will er wegen eines offenkundig unbegründeten oder exzessiven Antrags nicht tätig werden, muss er dies dem Betroffenen ebenfalls fristgerecht mitteilen und seine Entscheidung begründen.

Für Unternehmen ist die Entscheidung vor allem organisatorisch relevant. Auch offensichtlich wiederholte oder möglicherweise rechtsmissbräuchliche Auskunftsersuchen müssen in den internen Prozess für Betroffenenanfragen aufgenommen und innerhalb der DSGVO-Fristen bearbeitet werden.

Worum ging es?

Der Kläger war Inhaber eines Jagdscheins und einer Waffenbesitzkarte. Nachdem die Zuständigkeit auf eine andere Behörde übergegangen war, verarbeitete diese unter anderem seinen Namen, sein Geburtsdatum und seine Kontaktdaten. Zwischen dem Kläger und der Behörde entwickelte sich in der Folge eine umfangreiche datenschutzrechtliche Auseinandersetzung. Der Kläger stellte wiederholt Anträge auf Einschränkung der Verarbeitung sowie Auskunftsersuchen nach Art. 15 DSGVO. Wegen vorangegangener Auskunftsersuchen waren bereits weitere Gerichtsverfahren anhängig bzw. durchgeführt worden. Am 21. August 2024 verlangte der Kläger erneut Auskunft. Die Behörde hielt dem unter anderem entgegen, dass bereits frühere Auskunftsersuchen Gegenstand gerichtlicher Verfahren gewesen seien und das Verhalten des Klägers rechtsmissbräuchlich bzw. das erneute Ersuchen exzessiv sei. Die Behörde beantwortete das neue Auskunftsersuchen jedoch nicht innerhalb der Monatsfrist. Auch eine Fristverlängerung wurde dem Kläger nicht mitgeteilt. Daraufhin begehrte dieser gerichtlich die Feststellung, dass sein Antrag nicht rechtzeitig beschieden worden war.

Entscheidungsgründe

Das VG Osnabrück gab dem Kläger insoweit Recht. Nach Art. 12 Abs. 3 DSGVO muss der Verantwortliche die betroffene Person über die auf einen Antrag nach Art. 15 bis 22 DSGVO ergriffenen Maßnahmen grundsätzlich unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags informieren. Unter den Voraussetzungen des Art. 12 Abs. 3 DSGVO kann diese Frist verlängert werden; auch darüber muss die betroffene Person jedoch rechtzeitig informiert werden. Der streitgegenständliche Antrag war der Behörde am 22. August 2024 zugegangen. Die Monatsfrist endete – weil der 22. September 2024 auf einen Sonntag fiel – am 23. September 2024. Bis dahin hatte die Behörde weder den Antrag erledigt noch eine Verlängerung der Bearbeitungsfrist mitgeteilt. Besonders interessant ist die Entscheidung im Hinblick auf Art. 12 Abs. 5 DSGVO. Das Gericht sah durchaus starke Anhaltspunkte dafür, dass das erneute Auskunftsersuchen aufgrund des vorangegangenen Auskunftsantrags exzessiv gewesen sein könnte. Diese Frage musste das Gericht jedoch nicht abschließend entscheiden. Denn selbst ein exzessiver Antrag darf nicht schlicht ignoriert werden. Art. 12 Abs. 5 DSGVO eröffnet dem Verantwortlichen bei offenkundig unbegründeten oder exzessiven Anträgen grundsätzlich zwei Möglichkeiten: Er kann ein angemessenes Entgelt verlangen oder sich weigern, aufgrund des Antrags tätig zu werden. Entscheidet sich der Verantwortliche für eine Ablehnung, greift jedoch Art. 12 Abs. 4 DSGVO. Danach muss er die betroffene Person grundsätzlich innerhalb eines Monats über die Gründe für sein Untätigwerden sowie über die Möglichkeit einer Beschwerde bei einer Aufsichtsbehörde und eines gerichtlichen Rechtsbehelfs informieren. Die Behörde konnte die Fristversäumung deshalb nicht nachträglich damit rechtfertigen, dass das Auskunftsersuchen möglicherweise exzessiv gewesen sei. Auf diesen Gesichtspunkt hatte sie sich in der Sache ohnehin erst in ihrer Klageerwiderung vom 8. November 2024 berufen.

Anmerkungen zum Urteil

Die Entscheidung ist für die betriebliche Datenschutzpraxis wichtiger, als der ungewöhnliche Sachverhalt zunächst vermuten lässt. Das VG Osnabrück unterscheidet zutreffend zwischen zwei Fragen: Muss ein Auskunftsersuchen inhaltlich erfüllt werden? Und: Muss auf das Auskunftsersuchen reagiert werden? Ein exzessives Auskunftsersuchen kann nach Art. 12 Abs. 5 DSGVO dazu führen, dass der Verantwortliche die begehrte Tätigkeit verweigern darf. Daraus folgt aber nicht, dass er den Antrag einfach ignorieren darf. Die Entscheidung über die Verweigerung ist vielmehr selbst Bestandteil des durch Art. 12 DSGVO vorgegebenen Verfahrens. Bemerkenswert ist außerdem, dass das Gericht die Frage der Exzessivität keineswegs betroffenenfreundlich „wegdefiniert“. Im Gegenteil: Aufgrund der wiederholten Auskunftsersuchen hielt die Kammer eine Exzessivität ausdrücklich für durchaus naheliegend. Das half dem Verantwortlichen im konkreten Verfahren aber nicht, weil er daraus nicht rechtzeitig die von der DSGVO vorgesehenen Konsequenzen gezogen hatte.

Das ist auch für Unternehmen eine wichtige Differenzierung. Ein Antragsteller, der in kurzen Abständen immer wieder umfangreiche Auskünfte verlangt, muss nicht zwingend jedes Mal eine vollständige neue Auskunft erhalten. Ob die Voraussetzungen des Art. 12 Abs. 5 DSGVO tatsächlich erfüllt sind, ist im Einzelfall zu prüfen.

Gibt es hier Handlungsbedarf?

Für Unternehmen besteht vor allem organisatorischer Handlungsbedarf. Der Prozess für Betroffenenrechte sollte auch solche Anträge erfassen, die auf den ersten Blick unbegründet, wiederholt oder rechtsmissbräuchlich erscheinen.

Eine kurze Checkliste:

• Jedes Auskunftsersuchen erfassen: Auch Wiederholungsanträge müssen unmittelbar in den Datenschutzprozess aufgenommen werden.
• Eingangsdatum dokumentieren: Die Monatsfrist des Art. 12 Abs. 3 DSGVO muss zuverlässig überwacht werden.
• Frühere Auskünfte prüfen: Bei wiederholten Anträgen sollte dokumentiert sein, wann und in welchem Umfang bereits Auskunft erteilt wurde.
• Exzessivität nicht vorschnell annehmen: Die Voraussetzungen des Art. 12 Abs. 5 DSGVO sollten im konkreten Fall geprüft und nachvollziehbar dokumentiert werden.
• Rechtzeitig entscheiden: Soll ein Antrag wegen Art. 12 Abs. 5 DSGVO abgelehnt werden, darf diese Entscheidung nicht erst nach Ablauf der Monatsfrist getroffen werden.
• Ablehnung begründen: Bei einem Nichttätigwerden sind die Vorgaben des Art. 12 Abs. 4 DSGVO einschließlich der Hinweise auf Beschwerde- und Rechtsschutzmöglichkeiten zu beachten.
• Fristen technisch überwachen: Ticketsysteme, Datenschutzmanagementsysteme oder zumindest ein verbindlicher Fristenkalender sollten verhindern, dass schwierige Anträge unbearbeitet liegen bleiben.

Gerade bei umfangreichen oder wiederholten Auskunftsersuchen empfiehlt es sich daher, nicht erst kurz vor Ablauf der Monatsfrist zu entscheiden, ob Auskunft erteilt oder Art. 12 Abs. 5 DSGVO herangezogen werden soll.

Ebenfalls für diese Fragen könnte interessant sein:

Auf unserem Blog finden sich bereits Beiträge, die den praktischen Umgang mit dem Auskunftsrecht nach Art. 15 DSGVO ergänzen:

Neue GDD Praxishilfe Checkliste zu Auskunftsersuchen – mit Hinweisen zur organisatorischen Vorbereitung auf Auskunftsersuchen und zur fristgerechten Bearbeitung.

EuGH bejaht einen konkreten DSGVO-Auskunftsanspruch hinsichtlich des Empfängers – zur inhaltlichen Reichweite des Auskunftsanspruchs und zur Benennung konkreter Datenempfänger.

DSGVO: Anspruch auf unentgeltliche Kopie der Patientenakte – zu Art. 12 Abs. 5 und Art. 15 DSGVO und dem Anspruch auf eine unentgeltliche erste Kopie personenbezogener Daten.

Unsere Kanzlei steht Unternehmen gerne bei Fragen zum Umgang mit Auskunftsersuchen nach Art. 15 DSGVO, insbesondere bei umfangreichen, wiederholten oder möglicherweise exzessiven Anträgen, zur Verfügung.