Datenschutz · Art. 15 DSGVO · Art. 82 DSGVO
DSGVO-Auskunft &
Schadensersatz
Eine verspätete, unvollständige oder verweigerte Auskunft nach Art. 15 DSGVO kann einen Schadensersatzanspruch nach Art. 82 DSGVO auslösen. Automatisch entsteht aber kein Zahlungsanspruch. Erforderlich sind ein DSGVO-Verstoß, ein tatsächlich entstandener materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang.
Stand 5.10.2026 · Kanzlei Wrase in Hamburg · bundesweite Vertretung
Auskunft und möglichen Schaden prüfen lassen
Senden Sie Ihre Auskunftsanfrage, die Antwort des Verantwortlichen und die Daten, an denen Sie Unvollständigkeit, Verspätung oder eine sonstige Rechtsverletzung festmachen.
040 228 682 10 →mail@lawst.de →
Auskunftsanfrage, E-Mails, Fristsetzungen und erhaltene Datenkopien können Sie ergänzend per E-Mail übersenden.
Eine Anfrage allein begründet keine Mandatsübernahme. Anspruch, Schaden, Vorgehen und Kosten werden vor einer Beauftragung geklärt. Hinweise zur Datenverarbeitung finden Sie in der Datenschutzerklärung.
- Frist prüfen. Die Auskunft ist grundsätzlich innerhalb eines Monats zu erteilen; eine Verlängerung ist nur unter den Voraussetzungen von Art. 12 Abs. 3 DSGVO möglich.
- Umfang vergleichen. Art. 15 verlangt nicht nur Stammdaten, sondern die verarbeiteten personenbezogenen Daten und die gesetzlich vorgesehenen Zusatzinformationen.
- Schaden konkretisieren. Seit EuGH „Brillen Rottler“ 2026 ist geklärt: Art.-15-Verstöße können Art.-82-Schadensersatz auslösen, aber der tatsächliche Schaden muss nachgewiesen werden.
Kurzantwort
Gibt es Schadensersatz bei verspäteter oder unvollständiger DSGVO-Auskunft?
Ja, ein Verstoß gegen das Auskunftsrecht nach Art. 15 DSGVO kann einen Anspruch auf Schadensersatz nach Art. 82 DSGVO begründen. Seit dem EuGH-Urteil vom 19.3.2026, C-526/24 – Brillen Rottler, ist dies ausdrücklich geklärt.
Der Anspruch entsteht jedoch nicht automatisch mit jeder Fristüberschreitung oder Unvollständigkeit. Nach der ständigen EuGH-Rechtsprechung müssen drei Voraussetzungen kumulativ vorliegen: ein DSGVO-Verstoß, ein materieller oder immaterieller Schaden und ein Kausalzusammenhang zwischen Verstoß und Schaden.
Was umfasst der Auskunftsanspruch nach Art. 15 DSGVO?
Die betroffene Person kann zunächst eine Bestätigung verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Findet eine Verarbeitung statt, besteht ein Recht auf Auskunft über diese personenbezogenen Daten und über die in Art. 15 Abs. 1 und 2 DSGVO genannten Informationen.
- Verarbeitungszwecke und Kategorien der verarbeiteten personenbezogenen Daten,
- Empfänger oder Kategorien von Empfängern,
- Speicherdauer oder Kriterien für ihre Festlegung,
- Hinweise auf Berichtigung, Löschung, Einschränkung und Widerspruch,
- Beschwerderecht bei einer Aufsichtsbehörde,
- verfügbare Informationen über die Herkunft der Daten, wenn sie nicht bei der betroffenen Person erhoben wurden,
- Informationen zu automatisierten Entscheidungen einschließlich Profiling, soweit Art. 15 Abs. 1 Buchst. h DSGVO greift,
- bei Drittlandübermittlungen Informationen über geeignete Garantien nach Art. 46 DSGVO.
Werden keine personenbezogenen Daten verarbeitet, muss der Verantwortliche dies im Rahmen der Bestätigung nach Art. 15 Abs. 1 DSGVO mitteilen.
Wie schnell muss die DSGVO-Auskunft erteilt werden?
Art. 12 Abs. 3 DSGVO verlangt die Information über die aufgrund eines Antrags getroffenen Maßnahmen unverzüglich, grundsätzlich aber spätestens innerhalb eines Monats nach Eingang des Antrags.
Diese Frist kann unter Berücksichtigung von Komplexität und Anzahl der Anträge um weitere zwei Monate verlängert werden. Der Verantwortliche muss die betroffene Person aber innerhalb des ersten Monats über die Verlängerung und die Gründe dafür informieren.
Datenkopie, Dokumente und konkrete Empfänger
Art. 15 Abs. 3 DSGVO gibt der betroffenen Person einen Anspruch auf eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Der EuGH hat klargestellt, dass diese Kopie eine originalgetreue und verständliche Reproduktion der verarbeiteten personenbezogenen Daten ermöglichen muss. Soweit dies erforderlich ist, kann das auch Auszüge aus Dokumenten oder im Einzelfall ganze Dokumente umfassen.
Bei Empfängern hat der EuGH entschieden, dass grundsätzlich die konkrete Identität der Empfänger mitzuteilen ist, wenn personenbezogene Daten bereits offengelegt wurden oder noch offengelegt werden sollen. Die bloße Angabe von Kategorien genügt insbesondere dann, wenn konkrete Empfänger noch nicht identifiziert werden können oder der Verantwortliche nachweist, dass der Antrag offensichtlich unbegründet oder exzessiv ist.
Auch Protokolldaten können vom Auskunftsrecht erfasst sein. Nach der EuGH-Rechtsprechung kann die betroffene Person insbesondere erfahren, wann und zu welchen Zwecken ihre personenbezogenen Daten abgefragt wurden. Ein genereller Anspruch auf die Namen aller Mitarbeiter, die intern auf Daten zugegriffen haben, besteht dagegen nicht.
Voraussetzungen des Schadensersatzes nach Art. 82 DSGVO
Für einen Schadensersatzanspruch müssen drei Voraussetzungen nachgewiesen werden:
1. DSGVO-Verstoß
Beispielsweise kann die Auskunft verspätet, unvollständig oder rechtswidrig verweigert worden sein. Ob tatsächlich ein Verstoß vorliegt, ist anhand von Art. 12 und 15 DSGVO zu prüfen.
2. Schaden
Es muss ein materieller oder immaterieller Nachteil tatsächlich entstanden sein. Der bloße Verstoß gegen die DSGVO reicht nicht aus.
3. Kausalität
Der geltend gemachte Schaden muss gerade durch den DSGVO-Verstoß verursacht worden sein. Ein nur zeitliches Zusammentreffen genügt nicht.
Verantwortlichkeit
Art. 82 Abs. 3 DSGVO ermöglicht dem Verantwortlichen oder Auftragsverarbeiter eine Entlastung, wenn er nachweist, dass er in keinerlei Hinsicht für den schadensauslösenden Umstand verantwortlich ist.
Eine Mindestschwere des immateriellen Schadens verlangt der EuGH nicht. Das bedeutet aber nicht, dass ein Schaden vermutet wird. Er muss substantiiert dargelegt und gegebenenfalls bewiesen werden.
EuGH 2026 „Brillen Rottler“: Art.-15-Verstoß kann Schadensersatz auslösen
Das Urteil des EuGH vom 19.3.2026, C-526/24, ist für diese Seite die zentrale aktuelle Entscheidung. Der Gerichtshof beantwortet ausdrücklich die zuvor umstrittene Frage, ob Art. 82 DSGVO auch Schäden aus einer Verletzung des Auskunftsrechts nach Art. 15 DSGVO erfasst.
Die Antwort lautet: Ja. Art. 82 Abs. 1 DSGVO verleiht der betroffenen Person einen Anspruch auf Ersatz des Schadens, der aus einer Verletzung des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO entstanden ist.
Zugleich konkretisiert der EuGH den immateriellen Schaden. Er kann insbesondere in einem Verlust der Kontrolle über personenbezogene Daten oder in tatsächlicher Ungewissheit darüber bestehen, ob die eigenen Daten verarbeitet wurden. Entscheidend bleibt aber, dass die betroffene Person einen solchen Schaden tatsächlich erlitten hat.
Was kann ein immaterieller Schaden sein?
Der unionsrechtliche Schadensbegriff ist weit auszulegen. In Betracht kommen je nach Sachverhalt insbesondere ein tatsächlicher Kontrollverlust über personenbezogene Daten, begründete Sorge vor Missbrauch, Bloßstellung, Diskriminierung, Identitätsmissbrauch oder – nach „Brillen Rottler“ – eine tatsächlich erlittene Ungewissheit darüber, ob und wie eigene Daten verarbeitet werden.
Der EuGH hat bereits zu Datenpannen klargestellt, dass die begründete Angst vor einem möglichen Missbrauch personenbezogener Daten selbst einen immateriellen Schaden darstellen kann. Ein rein hypothetisches Risiko oder eine nur abstrakte Befürchtung genügt dagegen nicht.
Gerade bei Auskunftsverstößen sollte daher konkret dokumentiert werden, welche Folgen die fehlende oder unvollständige Information hatte: Welche Datenverarbeitung blieb ungeklärt? Welche Rechte konnten deshalb nicht sinnvoll ausgeübt werden? Welche konkrete Unsicherheit oder Kontrollbeeinträchtigung entstand und wie wirkte sie sich aus?
Wie hoch ist Schadensersatz nach Art. 82 DSGVO?
Eine feste Tabelle gibt es nicht. Die Höhe richtet sich nach dem konkret eingetretenen Schaden und den Umständen des Einzelfalls. Nationale Gerichte wenden ihre Regeln zur Bemessung an, müssen aber die unionsrechtlichen Grundsätze der Äquivalenz und Effektivität wahren und einen vollständigen und wirksamen Ausgleich ermöglichen.
Art. 82 DSGVO dient dem Ausgleich, nicht der Bestrafung. Die Kriterien für Bußgelder nach Art. 83 DSGVO werden deshalb nicht einfach auf die Schadenshöhe übertragen. Auch die Zahl mehrerer DSGVO-Verstöße führt nicht automatisch zu einer Vervielfachung des Ersatzbetrags.
Kann ein Auskunftsantrag als rechtsmissbräuchlich abgelehnt werden?
Ja, unter engen Voraussetzungen. Der EuGH hat in „Brillen Rottler“ entschieden, dass sogar ein erster Auskunftsantrag als exzessiv im Sinne von Art. 12 Abs. 5 DSGVO bewertet werden kann, wenn der Verantwortliche anhand der Umstände nachweist, dass der Antrag nicht der Information über die Datenverarbeitung und der Wahrnehmung der DSGVO-Rechte dient, sondern missbräuchlich gestellt wird, etwa um künstlich die Voraussetzungen für einen Vorteil oder Schadensersatzanspruch zu schaffen.
Die Darlegungs- und Nachweislast hierfür liegt beim Verantwortlichen. Dass jemand bereits mehrere Auskunftsanträge gestellt und anschließend Schadensersatz verlangt hat, kann ein Indiz sein, genügt aber nicht automatisch. Entscheidend sind alle Umstände des Einzelfalls.
500 €, 1.000 € oder 10.000 €? Ältere Urteile richtig einordnen
In der früheren deutschen Rechtsprechung wurden bei verspäteten oder unvollständigen Auskünften sehr unterschiedliche Beträge zugesprochen oder Ansprüche vollständig abgewiesen. LAWST hat hierzu mehrere Einzelfallentscheidungen dokumentiert, etwa zu 500 € Schadensersatz, 1.000 € wegen unvollständiger Auskunft und einer Entscheidung zu 10.000 € bei verspäteter Auskunft.
Diese Beträge sind keine Tariftabelle. Viele dieser Entscheidungen stammen aus der Zeit vor den heute maßgeblichen EuGH-Urteilen. Für aktuelle Fälle sind insbesondere C-300/21, C-340/21, C-687/21, C-741/21 und seit März 2026 C-526/24 zu berücksichtigen.
Auch das Bundesarbeitsgericht hat 2024 Schadensersatz wegen einer jahrelang verspäteten Auskunft abgelehnt, weil der Kläger keinen eigenständigen Schaden ausreichend dargelegt hatte. Die Entscheidung zeigt, weshalb die konkrete Schadensdarlegung für aktuelle Ansprüche entscheidend ist.
So können Auskunft und Schadensersatz durchgesetzt werden
Je nach Stand des Verfahrens sollten Auskunftsanspruch und Schadensersatz getrennt geprüft werden. Eine unvollständige Auskunft kann zunächst gezielt nachgefordert werden; für einen Zahlungsanspruch muss zusätzlich der konkrete Schaden beschrieben und belegt werden.
- 01→ SICHERN
Anfrage und Fristen dokumentieren
Auskunftsantrag, Zugang, Antworten, Verlängerungsmitteilungen und Datenkopien vollständig aufbewahren.
- 02→ PRÜFEN
Art. 15 vergleichen
Fehlende Daten, Empfänger, Herkunft, Speicherfristen und sonstige Pflichtinformationen konkret identifizieren.
- 03→ SCHADEN
Folgen konkretisieren
Kontrollverlust, tatsächliche Ungewissheit, Kosten oder sonstige Nachteile nachvollziehbar dokumentieren.
- 04→ DURCHSETZEN
Passenden Rechtsweg wählen
Nachforderung, Beschwerde bei der Aufsichtsbehörde, gerichtliche Auskunft und Art.-82-Schadensersatz je nach Fall kombinieren.
Unabhängig vom Schadensersatz besteht nach Art. 77 DSGVO ein Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde. Art. 79 DSGVO ermöglicht einen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter. Die Erstattung anwaltlicher Rechtsverfolgungskosten ist davon zu unterscheiden und hängt von den konkreten Anspruchsgrundlagen und Umständen ab; sie wird nicht automatisch von der Gegenseite geschuldet.
Auskunftsverstoß oder anderer DSGVO-Schaden?
Diese Seite ist bewusst auf Verstöße gegen das Auskunftsrecht nach Art. 15 DSGVO und deren mögliche Schadensfolgen beschränkt. Geht es dagegen um einen Datenverlust, eine unzulässige Weitergabe, rechtswidrige Werbung, ein Datenleck oder eine andere Datenschutzverletzung, gelten teilweise andere tatsächliche und rechtliche Schwerpunkte.
Für allgemeine Schadensersatzansprüche nach Art. 82 DSGVO finden Sie die LAWST-Seite DSGVO-Schadensersatz wegen Datenschutzverletzung. Die übergeordnete Beratung finden Sie unter Anwalt für Datenschutzrecht in Hamburg – bundesweit.
Ihr Ansprechpartner
DSGVO-Auskunft und Schadensersatz rechtlich prüfen lassen
Kanzlei Wrase prüft bundesweit Auskunftsansprüche nach Art. 15 DSGVO sowie mögliche Schadensersatzansprüche nach Art. 82 DSGVO. Im Mittelpunkt steht eine konkrete Prüfung der fehlenden oder verspäteten Auskunft und der tatsächlich entstandenen Folgen.
Je nach Fall umfasst die Vertretung die Nachforderung einer vollständigen Auskunft, die Korrespondenz mit dem Verantwortlichen, die Einordnung des Schadens und die außergerichtliche oder gerichtliche Durchsetzung.
Rechtsanwalt Björn Wrase
Kanzlei Wrase
Am Kaiserkai 69
20457 Hamburg · Deutschland
040 228 682 10 · mail@lawst.de
Häufige Fragen zu DSGVO-Auskunft und Schadensersatz
Gibt es automatisch Schadensersatz, wenn die DSGVO-Auskunft zu spät kommt?
Nein. Die verspätete Auskunft kann einen DSGVO-Verstoß darstellen. Zusätzlich muss aber ein tatsächlicher materieller oder immaterieller Schaden entstanden und gerade durch diesen Verstoß verursacht worden sein.
Kann eine unvollständige Auskunft nach Art. 15 DSGVO Schadensersatz auslösen?
Ja. Seit EuGH C-526/24 ist ausdrücklich geklärt, dass Art. 82 DSGVO Schäden aus einer Verletzung des Auskunftsrechts erfassen kann. Ob eine bestimmte Antwort unvollständig und schadensursächlich ist, bleibt eine Einzelfallfrage.
Wie lange hat ein Unternehmen für die DSGVO-Auskunft Zeit?
Grundsätzlich einen Monat ab Eingang des Antrags. Bei komplexen oder zahlreichen Anträgen kann die Frist um zwei weitere Monate verlängert werden, wenn der Betroffene innerhalb des ersten Monats über die Verlängerung und ihre Gründe informiert wird.
Was kann ein immaterieller Schaden sein?
Je nach Fall kommen insbesondere tatsächlicher Kontrollverlust, begründete Sorge vor Datenmissbrauch oder eine tatsächlich erlittene Ungewissheit über die Verarbeitung eigener Daten in Betracht. Eine rein abstrakte Befürchtung oder der Verstoß allein genügt nicht.
Gibt es eine Mindesthöhe oder Erheblichkeitsschwelle?
Nein. Der EuGH verlangt keine bestimmte Mindestschwere des immateriellen Schadens. Der Schaden muss aber tatsächlich entstanden sein und nachgewiesen werden.
Kann ein Auskunftsantrag rechtsmissbräuchlich sein?
Ja. Nach EuGH „Brillen Rottler“ kann auch ein erster Antrag als exzessiv bewertet werden, wenn der Verantwortliche eine missbräuchliche Absicht nachweist, etwa die künstliche Schaffung von Voraussetzungen für einen Vorteil. Eine pauschale Missbrauchsvermutung ist aber unzulässig.
Muss der Verantwortliche konkrete Empfänger nennen?
Grundsätzlich ja, wenn die personenbezogenen Daten an identifizierbare Empfänger offengelegt wurden oder werden. Kategorien können insbesondere genügen, wenn konkrete Empfänger noch nicht feststehen oder besondere gesetzliche Ausnahmen greifen.
Wer trägt die Anwaltskosten?
Die Gegenseite trägt Anwaltskosten nicht automatisch. Ob vorgerichtliche Rechtsverfolgungskosten ersetzt verlangt werden können, hängt von Anspruchsgrundlage, Verzug, Erforderlichkeit und den Umständen des Einzelfalls ab.
Auskunft prüfen. Schaden belegen.
Lassen Sie Ihren DSGVO-Auskunftsfall prüfen.
Senden Sie Ihre Anfrage, die Antwort des Verantwortlichen und eine kurze Beschreibung der Folgen. Kanzlei Wrase prüft, ob Auskunft nachgefordert und ein Schadensersatzanspruch geltend gemacht werden kann.