In der Rechtssache C‑526/24 (Brillen Rottler) hat sich der EuGH u.a. mit der Frage befasst, unter welchen Umständen ein Antrag nach Art. 15 DSGVO auf Auskunft über personenbezogene Daten als „exzessiv“ im Sinne dieses Art. 12 Abs. 5 DSGVO angesehen werden kann.
Wann liegen also die Voraussetzungen eines Missbrauchs des Betroffenenrechts vor?
Vorab
Um es vorweg zu nehmen: in den letzten Wochen wurde bereits viel zu dem Urteil diskutiert und geschrieben. So gerne ich zu der Fraktion „Jetzt können wir Auskunftsanträge ganz einfach wegen Missbrauch ablehnen.“ gehören würde, denke ich schon, dass Verantwortliche in der Praxis immer noch recht hohe Anforderungen erfüllen müssen, um sich auf den Missbrauchsweinwand berufen zu können. Der EuGH hat uns aber mit seinem Urteil einige gute Leitlinien bzw. Prüfpunkte geliefert, die man nun anwenden kann bzw. muss.
Anforderungen des EuGH an den Einwand des Missbrauchs
Möchte ein Verantwortlicher einen Auskunftsantrag als „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO ablehnen, begründet er seine Ablehnung damit nach Ansicht des EuGH im Grunde mit dem Einwand des Rechtsmissbrauchs auf der Grundlage des Europäischen Rechts. In Art. 12 Abs. 5 DSGVO kommt der allgemeine Grundsatz des Unionsrechts zum Ausdruck,
„wonach sich Einzelne nicht in betrügerischer oder missbräuchlicher Weise auf unionsrechtliche Normen berufen dürfen“ (Rn. 30).
Für diesen Nachweis (!) einer missbräuchlichen Verhaltensweise ist zweierlei erforderlich:
- zum einen eine Gesamtheit objektiver Umstände, aus denen sich ergibt, dass trotz formaler Einhaltung des Art. 15 DSGVO das Ziel dieser Regelung nicht erreicht wurde
- zum anderen ein subjektives Element, das in der Absicht der betroffenen Person besteht, sich einen aus der Unionsregelung resultierenden Vorteil zu verschaffen, indem die Voraussetzungen für seine Erlangung künstlich geschaffen werden.
Ich möchte mich nachfolgend auf den zweiten Aspekt fokussieren und hervorheben, dass der EuGH hier meines Erachtens eine Änderung in seiner Rechtsprechung zu den Voraussetzungen des Missbrauchseinwands vorgenommen hat.
Subjektives Element des Missbrauchs
Hinsichtlich des subjektiven Elements stellt der EuGH fest, dass der Verantwortliche anhand aller relevanten Umstände des Einzelfalls nachweisen muss, dass eine Missbrauchsabsicht seitens der betroffenen Person vorliegt.
Und nun kommt der entscheidende Passus der Begründung.
Eine solche Absicht kann festgestellt werden,
„wenn diese Person den Antrag zu einem anderen Zweck stellt als dem, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, um anschließend ihre Rechte aus der DSGVO schützen zu können“ (Rn. 40).
Wichtig: der EuGH geht ausdrücklich davon aus, dass diese Absicht nicht per se vorliegt und festzustellen ist, wenn die nachfolgende Anforderung erfüllt ist. Die Absicht „kann“ in diesem Fall vorliegen. Den Nachweis muss am Ende der Verantwortliche erbringen.
Und welche Voraussetzung ist nun entscheidend, um diese Missbrauchsabsicht nachweisen zu können? Der EuGH stellt auf den Zweck der Ausübung des Betroffenenrechts ab. Also, warum bzw. wofür wird Auskunft beantragt?
Alte (?) Ansicht
In der Vergangenheit hat der EuGH schon einmal zum Zweck des Auskunftsrechts Position bezogen. In der Rechtssache C-307/22. Dort wurde die Kopie einer Patientenakte verlangt, um zivilrechtliche Haftungsansprüche geltend zu machen. Der EuGH lehnte die Verfolgung dieses Zwecks als Grund für den Einwand des Missbrauchs ab.
„kann der erste Satz des 63. Erwägungsgrundes nicht dahin ausgelegt werden, dass dieser Antrag zurückzuweisen ist, wenn mit ihm ein anderer Zweck verfolgt wird als der, von der Verarbeitung Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen“ (Rn. 43).
Damals sah es der EuGH also nicht als einen Faktor für einen Missbrauch an, wenn Art. 15 DSGVO geltend gemacht wird, um gerade nicht die Rechtmäßigkeit der Verarbeitung zu prüfen.
Dieses Urteil wurde von der Ersten Kammer des EuGH gefällt.
Neue (?) Ansicht
In dem neuen Urteil geht der EuGH jedoch davon aus, dass eine Missbrauchsabsicht seitens der betroffenen Person festgestellt werden kann,
„wenn diese Person den Antrag zu einem anderen Zweck stellt als dem, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, um anschließend ihre Rechte aus der DSGVO schützen zu können“ (Rn. 40).
In der Rechtssache C‑526/24 geht der EuGH also genau konträr zur damaligen Begründung davon aus, dass gerade ein anderer Zweck, als die Rechtmäßigkeit der Verarbeitung zu prüfen und DSGVO-Rechte geltend zu machen, die Missbrauchsabsicht begründen kann.
Dieses Urteil wurde von der Vierten Kammer des EuGH gefällt.
Fazit
Wir sehen derzeit also eine durchaus klassische Situation: verschiedene Gerichte bzw. verschiedene Kammern innerhalb eines Gerichts legen die gleichen Vorschriften anders aus. Aus meiner Sicht ist die divergierende Auslegung der Kammern tatsächlich sehr klar, da die Begründungen als Startpunkt jeweils sehr klar den „anderen Zweck“ haben, dann aber zu unterschiedlichen Ansichten gelangen.
Für die Praxis können Verantwortliche natürliche die neuere Ansicht der 4. Kammer nutzen. Jedoch sollte, wie bereits erwähnt, stets beachtet werden, dass erstens auch die 4. Kammer nicht per se die Missbrauchsabsicht bei einem anderen Zweck als gegeben unterstellt. Und zweitens der Nachweis des Vorliegens sowohl der objektiven als auch subjektiven Elemente dem Verantwortlichen obliegt. Ablehnung wegen Missbrauchs sind also auch nach diesem Urteil kein Selbstläufer, jedoch bieten sich für Verantwortliche bessere Möglichketen.