–

Brillen Rottler GmbH & Co. KG ved Rechtsanwalt J. Tröber,

–

TC ved Rechtsanwalt P. Brandt,

–

Europa-Kommissionen ved A. Bouchagiar, M. Heller og H. Kranenborg, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 4, nr. 2), artikel 12, stk. 5, og artikel 82, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem Brillen Rottler GmbH & Co. KG, der er en familieejet optikervirksomhed, og TC, en privatperson, vedrørende denne virksomheds afvisning af at efterkomme TC’s anmodning om indsigt i hans personoplysninger i henhold til databeskyttelsesforordningens artikel 15.

3

4., 10., 11., 63., 85., 141. og 146. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[...]

[...]

[...]

[...]

4

Forordningens artikel 4 med overskriften »Definitioner« har følgende ordlyd:

»I denne forordning forstås ved:

[...]

[...]«

5

Nævnte forordnings artikel 12 med overskriften »Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder« bestemmer følgende i stk. 1, 2 og 5:

»1.   Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede [...]

2.   Den dataansvarlige letter udøvelsen af den registreredes rettigheder i henhold til artikel 15-22. [...]

[...]

5.   Oplysninger, der gives i henhold til artikel 13 og 14, og enhver meddelelse og enhver foranstaltning, der træffes i henhold til artikel 15-22 og 34, er gratis. Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige enten:

Bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige.«

6

Samme forordnings artikel 15 med overskriften »Den registreredes indsigtsret« bestemmer følgende i stk. 1:

»Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:

[...]«

7

Databeskyttelsesforordningens artikel 26 med overskriften »Fælles dataansvarlige« foreskriver følgende i stk. 1:

»Hvis to eller flere dataansvarlige i fællesskab fastlægger formålene med og hjælpemidlerne til behandling, er de fælles dataansvarlige. [...]«

8

Forordningens artikel 30 med overskriften »Fortegnelser over behandlingsaktiviteter« bestemmer følgende i stk. 1:

»Hver dataansvarlig og, hvis det er relevant, den dataansvarliges repræsentant fører fortegnelser over behandlingsaktiviteter under deres ansvar. [...]«

9

Nævnte forordnings artikel 57 med overskriften »Opgaver« bestemmer i stk. 1 og 4:

»1.   Uden at dette berører andre opgaver, der er fastsat i denne forordning, skal hver tilsynsmyndighed på sit område:

[...]

[...]

4.   Hvis anmodninger er åbenbart grundløse eller uforholdsmæssige, især fordi de gentages, kan tilsynsmyndigheden opkræve et rimeligt gebyr baseret på de administrative omkostninger eller afvise at efterkomme anmodningen. Bevisbyrden for, at anmodningen er åbenbart grundløs eller uforholdsmæssig, påhviler tilsynsmyndigheden.«

10

Samme forordnings artikel 79 med overskriften »Adgang til effektive retsmidler over for en dataansvarlig eller databehandler« foreskriver i stk. 1:

»Uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til artikel 77, skal den enkelte registrerede have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med denne forordning.«

11

Databeskyttelsesforordningens artikel 82 med overskriften »Ret til erstatning og erstatningsansvar« fastsætter følgende i stk. 1, 2 og 4:

»1.   Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.

2.   Enhver dataansvarlig, der er involveret i behandling, hæfter for den skade, der er forvoldt af behandling, der overtræder denne forordning. [...]

[...]

4.   Hvis mere end én dataansvarlig eller databehandler eller både en dataansvarlig og en databehandler er involveret i den samme behandling, og hvis de i henhold til stk. 2 og 3 er ansvarlige for skader, der er forvoldt af behandling, hæfter de solidarisk for hele skaden for at sikre fuld erstatning til den registrerede.«

12

I marts 2023 abonnerede TC, der er en fysisk person med bopæl i Østrig, på nyhedsbrevet fra Brillen Rottler, der er en familievirksomhed med hjemsted i Arnsberg (Tyskland), idet han angav sine personoplysninger i den tilmeldingsformular, der var tilgængelig på denne virksomheds websted, og gav samtykke til behandlingen af disse oplysninger. 13 dage senere fremsatte TC en anmodning over for Brillen Rottler om indsigt i henhold til databeskyttelsesforordningens artikel 15.

13

Brillen Rottler afviste anmodningen om indsigt inden for den lovbestemte frist på en måned, idet virksomheden fandt, at den var udtryk for retsmisbrug som omhandlet i databeskyttelsesforordningens artikel 12, stk. 5, første afsnit, andet punktum. Virksomheden anmodede TC om definitivt at frafalde hans anmodning.

14

Da TC fastholdt sin anmodning om indsigt og samtidig tilføjede et erstatningskrav i henhold til databeskyttelsesforordningens artikel 82 på 1000 EUR, anlagde Brillen Rottler sag ved Amtsgericht Arnsberg (byretten i Arnsberg, Tyskland), som er den forelæggende ret, med påstand om, at det fastslås, at TC ikke har ret til nogen form for erstatning.

15

Brillen Rottler har til støtte for sin påstand gjort gældende, at det fremgår af forskellige reportager, blogindlæg og beretninger fra advokater, at TC systematisk og uretmæssigt indgiver anmodninger om indsigt i sine personoplysninger med det ene formål at opnå erstatning for en angivelig krænkelse, som han bevidst fremprovokerer, af sine rettigheder i henhold til databeskyttelsesforordningen. TC’s fremgangsmåde består angiveligt i først at tilmelde sig et nyhedsbrev, derefter indgive en anmodning om indsigt og endelig fremsætte et erstatningskrav.

16

TC har for den forelæggende ret gjort gældende, at den anmodning om indsigt, som han indgav til Brillen Rottler, er lovlig, at den er udtryk for den ret til indsigt, som han er tillagt ved databeskyttelsesforordningens artikel 15, og at virksomheden på ulovlig vis forsøger at begrænse de rettigheder, som TC er tillagt ved forordningen. Ved et modkrav har han nedlagt påstand om, at Brillen Rottler tilpligtes at betale ham en erstatning på mindst 1000 EUR for den immaterielle skade, som han har lidt som følge af virksomhedens afvisning af at give ham indsigt i sine personoplysninger.

17

Den forelæggende ret ønsker for det første oplyst, om en første anmodning om indsigt indgivet af den registrerede kan anses for en »overdreven anmodning« som omhandlet i databeskyttelsesforordningens artikel 12, stk. 5, og dermed udgøre et retsmisbrug, og under hvilke omstændigheder en sådan overdreven karakter kan konstateres. Den forelæggende ret ønsker navnlig oplyst, om en dataansvarlig med henblik på at afvise en anmodning om indsigt på grundlag af denne bestemmelse kan støtte sig på offentlige oplysninger, der afslører talrige anmodninger om indsigt og erstatningskrav, som samme person har indgivet til andre dataansvarlige.

18

For det andet ønsker den forelæggende ret oplyst, om en anmodning om indsigt, der er indgivet i henhold til databeskyttelsesforordningens artikel 15, stk. 1, og/eller svaret på denne anmodning udgør en »behandling« som omhandlet i forordningens artikel 4, nr. 2).

19

For det tredje er den forelæggende ret i tvivl om kriterierne for identifikation af skader, der kan give ret til erstatning i henhold til databeskyttelsesforordningens artikel 82, stk. 1, og navnlig om, hvorvidt denne artikel, selv om der ikke foreligger en behandling, indrømmer en sådan ret alene i medfør af tilsidesættelsen af den ret til indsigt, der er fastsat i denne forordnings artikel 15, stk. 1.

20

På denne baggrund har Amtsgericht Arnsberg (byretten i Arnsberg) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

21

Med det første til det tredje og det syvende spørgsmål, som skal behandles samlet og i første omgang, ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 12, stk. 5, skal fortolkes således, at en første anmodning om indsigt i de personoplysninger, som den registrerede har indgivet til den dataansvarlige i henhold til denne forordnings artikel 15, kan anses for at være »overdreven« som omhandlet i denne artikel 12, stk. 5, og, hvis dette er tilfældet, under hvilke omstændigheder der i givet fald kan konstateres en sådan overdreven karakter.

22

I denne henseende sikrer databeskyttelsesforordningens artikel 15, stk. 1, den registreredes ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald den registreredes ret til indsigt i disse oplysninger og i de hermed forbundne oplysninger (jf. i denne retning dom af 26.10.2023, FT (Kopier af en patientjournal), C-307/22, EU:C:2023:811, præmis 31).

23

Desuden fastsætter databeskyttelsesforordningens artikel 12, stk. 5, princippet om, at udøvelsen af retten til indsigt ikke må medføre nogen udgifter for den registrerede. I sidstnævnte bestemmelse nævnes imidlertid to grunde til, at en dataansvarlig enten kan opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger eller afvise at efterkomme en anmodning. Disse grunde vedrører tilfælde af retsmisbrug, hvor den registreredes anmodninger skal anses for at være »åbenbart grundløse« eller »overdrevne«, især fordi de gentages (dom af 26.10.2023, FT (Kopier af en patientjournal), C-307/22, EU:C:2023:811, præmis 31).

24

Hvad for det første angår spørgsmålet om, hvorvidt en første anmodning om indsigt, som den registrerede indgiver til den dataansvarlige i henhold til databeskyttelsesforordningens artikel 15, kan anses for at være »overdreven«, skal det bemærkes, at eftersom begrebet »overdrevne anmodninger« ikke er defineret i forordningen, skal der med henblik på fortolkningen heraf i overensstemmelse med fast retspraksis tages hensyn til såvel ordlyden af nævnte forordnings artikel 12, stk. 5, efter dens sædvanlige betydning i almindelig sprogbrug som til den sammenhæng, hvori bestemmelsen indgår, og de mål, der forfølges med den ordning, som den udgør en del af (jf. dom af 17.11.1983, Merck,292/82, EU:C:1983:335, præmis 12, og af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger), C-416/23, EU:C:2025:3, præmis 24 og den deri nævnte retspraksis).

25

Hvad i denne henseende angår ordlyden af denne artikel 12, stk. 5, og navnlig den sædvanlige betydning af begrebet »overdrevne anmodninger« i almindelig sprogbrug, betegner adjektivet »overdreven« noget, der går ud over det sædvanlige eller rimelige, eller som går videre end det ønskelige eller tilladte omfang (jf. i denne retning dom af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger), C-416/23, EU:C:2025:3, præmis 43). Den blotte anvendelse af dette adjektiv, der vedrører såvel kvalitative som kvantitative karakteristika, gør det således ikke muligt at udelukke, at en første anmodning om indsigt er overdreven.

26

Det er desuden rigtigt, at det af databeskyttelsesforordningens artikel 12, stk. 5, første afsnit, andet punktum, fremgår, at anmodninger kan være overdrevne, »især fordi de gentages«. Mange anmodninger, der er indgivet af én person, kan derfor være et tegn på, at disse er overdrevne (jf. i denne retning dom af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger), C-416/23, EU:C:2025:3, præmis 57). Som generaladvokaten i det væsentlige har påpeget i punkt 28 i forslaget til afgørelse, kræver kvalificeringen af en anmodning om indsigt som »overdreven« imidlertid ikke, at denne anmodning nødvendigvis indgår i en sammenhæng, hvor samme registrerede indgiver flere anmodninger, idet det kun er vejledningsvis, at det i den nævnte bestemmelse angives, at der kan være tale om gentagne anmodninger.

27

Henset til en ordlydsfortolkning af databeskyttelsesforordningens artikel 12, stk. 5, kan det derfor ikke udelukkes, at en første anmodning om indsigt kan anses for at være »overdreven« som omhandlet i denne bestemmelse.

28

Denne konstatering understøttes af den sammenhæng, hvori databeskyttelsesforordningens artikel 12, stk. 5, første afsnit, andet punktum, indgår. I denne henseende bemærkes, at denne artikel 12, der er indeholdt i forordningens kapitel III, der fastsætter den registreredes rettigheder, fastsætter en række generelle forpligtelser, der påhviler den dataansvarlige med hensyn til gennemsigtighed i oplysninger og meddelelser, og fastlægger de nærmere regler for udøvelsen af den registreredes rettigheder. I henhold til stk. 2, første punktum, i nævnte artikel 12 skal den dataansvarlige lette udøvelsen af den registreredes rettigheder i henhold til bl.a. nævnte forordnings artikel 15, som supplerer samme forordnings ramme for gennemsigtighed ved at give den registrerede en ret til indsigt i vedkommendes personoplysninger (jf. i denne retning dom af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger), C-416/23, EU:C:2025:3, præmis 45 og 46).

29

Ved ligeledes at fastsætte en mulighed for de dataansvarlige for at opkræve et rimeligt gebyr baseret på de administrative omkostninger eller for at afvise at efterkomme sådanne anmodninger, når de modtager åbenbart grundløse eller overdrevne anmodninger, udgør denne artikel 12, stk. 5, således en undtagelse fra forpligtelsen til at lette bl.a. retten til indsigt, som skal fortolkes restriktivt (jf. i denne retning dom af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger), C-416/23, EU:C:2025:3, præmis 33).

30

Når dette er sagt, fremgår det af Domstolens praksis vedrørende fortolkningen af begrebet »uforholdsmæssige anmodninger« i databeskyttelsesforordningens artikel 57, stk. 4, som kan overføres på den foreliggende sag, eftersom denne bestemmelse har en ordlyd, der i det væsentlige svarer til ordlyden af denne forordnings artikel 12, stk. 5, og forfølger det samme formål som sidstnævnte artikel, at dette er et udtryk for det almindelige EU-retlige princip om, at borgerne ikke må kunne påberåbe sig EU-retlige bestemmelser med henblik på at muliggøre svig eller misbrug (jf. i denne retning dom af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger), C-416/23, EU:C:2025:3, præmis 49). Anvendelsen af EU-retten kan således ikke udvides til at omfatte handlinger, der gennemføres med et formål, der udgør misbrug (jf. i denne retning dom af 19.9.2024, Matmut, C-236/23, EU:C:2024:761, præmis 52 og den deri nævnte retspraksis).

31

Antallet af anmodninger om indsigt, som den registrerede indgiver til den dataansvarlige, er således ikke i sig selv afgørende for sidstnævntes ret til at gøre brug af den mulighed for ikke at efterkomme en anmodning, som vedkommende har i henhold til databeskyttelsesforordningens artikel 12, stk. 5, således at denne dataansvarlige kan anvende denne mulighed selv i tilfælde af en første anmodning om indsigt, når den dataansvarlige på grundlag af alle de relevante oplysninger i hvert enkelt tilfælde kan godtgøre, at der foreligger en hensigt, der er udtryk for misbrug, hos denne person (jf. i denne retning dom af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger), C-416/23, EU:C:2025:3, præmis 50).

32

Denne kontekstuelle fortolkning er i overensstemmelse med de formål, der forfølges med databeskyttelsesforordningen. I denne henseende bemærkes, at forordningen, således som det fremgår af tiende og ellevte betragtning hertil, har til formål at sikre et ensartet og højt niveau for beskyttelse af fysiske personer i Unionen og at styrke og præcisere de registreredes rettigheder. De forpligtelser for den dataansvarlige, der er fastsat i nævnte forordnings artikel 12, vedrørende bl.a. kommunikation i henhold til samme forordnings artikel 15, er således tænkt som en mekanisme, der er egnet til effektivt at beskytte de registreredes rettigheder og interesser (jf. i denne retning dom af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger), C-416/23, EU:C:2025:3, præmis 38 og 39 samt den deri nævnte retspraksis).

33

I fjerde betragtning til databeskyttelsesforordningen er det imidlertid anført, at retten til beskyttelse af personoplysninger ikke er en absolut ret, men skal ses i sammenhæng med sin funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder i overensstemmelse med proportionalitetsprincippet. Domstolen har desuden allerede fremhævet, at de mekanismer, som gør det muligt at finde den rette afvejning af de forskellige rettigheder og interesser, er indeholdt i selve databeskyttelsesforordningen (dom af 21.12.2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, præmis 54 og den deri nævnte retspraksis).

34

For at sikre, at denne rette afvejning opnås ved hjælp af denne undtagelse, og at den har en effektiv virkning, er det relevante kriterium for at fastslå et misbrug derfor den overdrevne karakter af anmodningen om indsigt vurderet ud fra et kvalitativt synspunkt i overensstemmelse med denne doms præmis 26, hvilket ikke kun kan afhænge af antallet af anmodninger om indsigt, som den registrerede har indgivet, og dermed af den omstændighed, at der er tale om en første anmodning fra sidstnævnte.

35

Det følger heraf, at en første anmodning om indsigt til den dataansvarlige i henhold til databeskyttelsesforordningens artikel 15 kan anses for at være »overdreven« som omhandlet i denne forordnings artikel 12, stk. 5. Eftersom begrebet »overdrevne anmodninger« skal fortolkes indskrænkende, således som det fremgår af denne doms præmis 29, kan en dataansvarlig imidlertid kun undtagelsesvis påberåbe sig en sådan overdreven karakter, og kriterierne for at kvalificere en første anmodning om indsigt som overdreven skal være strenge, således som generaladvokaten har anført i punkt 34 i forslaget til afgørelse. Det skal ligeledes fremhæves, at det udtrykkeligt fremgår af databeskyttelsesforordningens artikel 12, stk. 5, andet afsnit, at det påhviler den dataansvarlige at godtgøre denne overdrevne karakter.

36

Hvad for det andet angår de omstændigheder, hvorunder den registreredes første anmodning om indsigt kan kvalificeres som »overdreven« som omhandlet i databeskyttelsesforordningens artikel 12, stk. 5, og dermed anses for at udgøre et retsmisbrug som omhandlet i den retspraksis, der er nævnt i nærværende doms præmis 23 og 30, bemærkes, at beviset for, at der foreligger misbrug, kræver dels en flerhed af objektive omstændigheder, hvoraf det fremgår, at det formål, som EU-lovgivningen forfølger, ikke er opnået, selv om betingelserne i denne lovgivning formelt er overholdt, dels et subjektivt element, der består i den registreredes hensigt om at drage fordel af EU-lovgivningen ved kunstigt at skabe de betingelser, der kræves for at opnå denne fordel. En sådan kvalificering kræver desuden, at der tages hensyn til alle de faktiske omstændigheder og forhold i sagen (jf. i denne retning dom af 21.12.2023, BMW Bank m.fl., C-38/21, C-47/21 og C-232/21, EU:C:2023:1014, præmis 285 og 286 samt den deri nævnte retspraksis).

37

Hvad i første række angår det objektive element af misbrug skal det bemærkes, at databeskyttelsesforordningens artikel 15, sammenholdt med 63. betragtning hertil, har til formål at give en registreret ret til indsigt i de personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på bl.a. at forvisse sig om og kontrollere en behandlings lovlighed, så denne i givet fald kan udøve sin ret til berigtigelse, retten til sletning, retten til begrænsning af behandling samt sin ret til at gøre indsigelse og sin ret til at iværksætte retsmidler, såfremt denne har lidt skade (jf. i denne retning dom af 12.1.2023, Österreichische Post (Oplysninger om modtagere af personoplysninger), C-154/21, EU:C:2023:3, præmis 37 og 38).

38

I det foreliggende tilfælde indgav TC, således som det fremgår af de sagsakter, som Domstolen råder over, den i hovedsagen omhandlede anmodning om indsigt efter at have tilmeldt sig Brillen Rottlers nyhedsbrev og i forbindelse med denne registrering at have videregivet visse personoplysninger til sidstnævnte, således at denne anmodning om indsigt formelt kunne udgøre en udøvelse af TC’s ret til indsigt med henblik på at nå formålet med denne lovgivning.

39

Henset til den retspraksis, der er nævnt i denne doms præmis 36, gør den formelle overholdelse af betingelserne for anvendelse af databeskyttelsesforordningens artikel 15 det imidlertid ikke i sig selv muligt at udelukke, at en anmodning om indsigt er »overdreven«, og dermed, at der foreligger et retsmisbrug.

40

Hvad i denne henseende i anden række angår det subjektive element i et misbrug skal det bemærkes, at for at en anmodning om indsigt kan kvalificeres som »overdreven« som omhandlet i databeskyttelsesforordningens artikel 12, stk. 5, skal den dataansvarlige på grundlag af alle de relevante oplysninger i hvert enkelt tilfælde godtgøre, at der foreligger en hensigt, der er udtryk for misbrug, hos den registrerede, idet en sådan hensigt kan konstateres, når denne person indgiver denne anmodning med et andet formål end at forvisse sig om behandlingen af sine oplysninger og kontrollere lovligheden heraf med henblik på efterfølgende at kunne opnå en beskyttelse af de rettigheder, som vedkommende har i henhold til forordningen (jf. i denne retning dom af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger), C-416/23, EU:C:2025:3, præmis 50 og 56).

41

I det foreliggende tilfælde påhviler det således, henset til bl.a. det, der fremgår af nærværende doms præmis 35, den dataansvarlige utvetydigt at godtgøre, at den registrerede indgav en anmodning om indsigt i henhold til databeskyttelsesforordningens artikel 15 ikke med henblik på at forvisse sig om denne behandling, men med henblik på kunstigt at skabe de betingelser, der kræves for at opnå erstatning fra nævnte dataansvarlige.

42

I denne henseende skal der tages hensyn til samtlige omstændigheder i den foreliggende sag, og navnlig den omstændighed, at den registrerede videregav personoplysninger uden at være tvunget hertil, formålet med at udlevere disse oplysninger, den tid, der er forløbet mellem denne videregivelse og anmodningen om indsigt, og den registreredes adfærd.

43

I forbindelse med den sag, der verserer ved den forelæggende ret, ønsker denne oplyst, om det med henblik på vurderingen af, om der foreligger et retsmisbrug, er muligt at tage hensyn til offentlige oplysninger, der vidner om TC’s systematiske indgivelse af anmodninger om indsigt i hans personoplysninger og erstatningskrav over for forskellige dataansvarlige efter en fremgangsmåde, der svarer til den, der er anvendt i det foreliggende tilfælde. Det skal i denne henseende bemærkes, at dette forhold bestemt kan tages i betragtning med henblik på at fastslå den registreredes hensigt, der er udtryk for misbrug, for så vidt som det understøttes af andre relevante forhold.

44

I det foreliggende tilfælde påhviler det således den forelæggende ret at efterprøve, om Brillen Rottler, henset til samtlige relevante omstændigheder, har godtgjort, at der foreligger en hensigt, der er udtryk for misbrug, hos TC, for så vidt angår indgivelsen af den pågældende anmodning om indsigt.

45

Henset til ovenstående betragtninger skal det første til det tredje og det syvende spørgsmål besvares med, at databeskyttelsesforordningens artikel 12, stk. 5, skal fortolkes således, at en første anmodning om indsigt i personoplysninger, som den registrerede indgiver til den dataansvarlige i henhold til denne forordnings artikel 15, kan anses for at være »overdreven« som omhandlet i denne artikel 12, stk. 5, når denne dataansvarlige, henset til samtlige relevante omstændigheder i den foreliggende sag, godtgør, at anmodningen til trods for en formel overholdelse af de betingelser, der er fastsat i disse bestemmelser, ikke er blevet indgivet af den registrerede for at forvisse sig om behandlingen af disse oplysninger og kontrollere lovligheden heraf med henblik på efterfølgende at kunne opnå en beskyttelse af de rettigheder, som vedkommende har i henhold til nævnte forordning, men med en hensigt, som er udtryk for misbrug, såsom kunstigt at skabe de betingelser, der kræves for at opnå en fordel som følge af samme forordning. Den omstændighed, at den registrerede ifølge offentligt tilgængelige oplysninger har indgivet flere anmodninger om indsigt i sine personoplysninger efterfulgt af erstatningskrav over for forskellige dataansvarlige, kan tages i betragtning med henblik på at fastslå, om der foreligger en sådan hensigt, der er udtryk for misbrug.

46

Med det femte og det sjette spørgsmål, som skal behandles samlet og i anden omgang, ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at bestemmelsen tillægger den registrerede en ret til erstatning for skade forvoldt af en tilsidesættelse af den ret til indsigt, der er fastsat i forordningens artikel 15, stk. 1.

47

Som anført i denne doms præmis 24 skal der i overensstemmelse med fast retspraksis ved fortolkningen af en EU-retlig bestemmelse ikke blot tages hensyn til dens ordlyd, men også til den sammenhæng, hvori den indgår, og de mål, der forfølges med den.

48

Det fremgår af ordlyden af databeskyttelsesforordningens artikel 82, stk. 1, at en person, som har lidt materiel eller immateriel skade »som følge af en overtrædelse af denne forordning«, har ret til erstatning for den forvoldte skade fra den dataansvarlige. Det må konstateres, at denne bestemmelse ikke indeholder nogen henvisning til »behandling«, hvorfor denne ret til erstatning ikke kan begrænses til skader forvoldt af en behandling af personoplysninger.

49

Denne konstatering understøttes for det første af den kontekstuelle analyse af den nævnte bestemmelse, sammenholdt med 141. betragtning til databeskyttelsesforordningen, hvorefter enhver registreret bør have adgang til effektive retsmidler i overensstemmelse med chartrets artikel 47, »hvis den registrerede finder, at vedkommendes rettigheder i henhold til [nævnte] forordning er blevet krænket«. Databeskyttelsesforordningens artikel 82, stk. 1, er nemlig indeholdt i forordningens kapitel VIII, som regulerer retsmidler, ansvar og sanktioner med henblik på at beskytte disse rettigheder. Disse rettigheder omfatter imidlertid både den registreredes ret til oplysning, der er fastsat i nævnte forordnings artikel 12, og vedkommendes ret til indsigt i henhold til samme forordnings artikel 15, stk. 1, således at de skal beskyttes ved forordningens artikel 82, der derfor skal fortolkes således, at den ligeledes finder anvendelse på skader, der forvoldes af overtrædelser af artikel 12 og 15.

50

En sådan fortolkning kan ikke drages i tvivl af den omstændighed, at det dels fremgår af 146. betragtning til databeskyttelsesforordningen, at den dataansvarlige bør yde erstatning for enhver skade, som en person måtte lide »som følge af behandling«, der overtræder denne forordning, dels at nævnte forordnings artikel 82, stk. 2 og 4, nævner den »skade, der er forvoldt af behandling«.

51

Som Kommissionen i det væsentlige har gjort gældende i sit skriftlige indlæg, kan den angivelige overtrædelse i tilfælde af tilsidesættelse af de rettigheder, der er fastsat i bestemmelserne i databeskyttelsesforordningens kapitel III, navnlig retten til indsigt i oplysninger og retten til berigtigelse samt retten til sletning, begrænsning af behandling og portabilitet, nemlig ikke følge af en reel behandling af personoplysninger som sådan, men snarere af afvisningen af at efterkomme den registreredes anmodning med hensyn til udøvelsen af disse rettigheder. Hvis retten til erstatning i henhold til databeskyttelsesforordningens artikel 82, stk. 1, blev gjort betinget af, at der forelå skade som følge af en behandling som sådan, ville det således medføre, at sådanne tilfælde blev udelukket fra denne bestemmelses anvendelsesområde, og dermed underminere bestemmelsens effektive virkning.

52

Domstolen har i øvrigt allerede fastslået, at den dataansvarliges tilsidesættelse af databeskyttelsesforordningens artikel 26 og 30, hvor den første vedrører indgåelsen af en ordning, der fastlægger de dataansvarliges respektive roller og deres forhold til de registrerede, og den anden førelse af fortegnelser over behandlingsaktiviteter, ikke udgør en »ulovlig behandling«, som giver den registrerede ret til sletning eller begrænsning af behandlingen. En sådan tilsidesættelse skal derfor afhjælpes gennem andre foranstaltninger, der er fastsat i databeskyttelsesforordningen, bl.a. ved erstatning for den skade, som den dataansvarlige eventuelt har forvoldt, i henhold til forordningens artikel 82 (jf. i denne retning dom af 4.5.2023, Bundesrepublik Deutschland (Domstolenes elektroniske postkasse), C-60/22, EU:C:2023:373, præmis 66 og 67).

53

Konstateringen i nærværende doms præmis 48 understøttes for det andet af en formålsfortolkning af databeskyttelsesforordningens artikel 82, stk. 1, idet denne artikel sigter mod at sikre gennemførelsen af formålene med denne forordning, herunder bl.a. formålet om at styrke de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler og træffer afgørelse om behandling af personoplysninger, som anført i 11. betragtning til forordningen. Som generaladvokaten i det væsentlige har anført i punkt 72 i forslaget til afgørelse, ville disse rettigheder, herunder netop den ret til indsigt, som den forelæggende ret har henvist til, blive væsentligt svækket, hvis artikel 82, stk. 1, skulle fortolkes således, at den er begrænset til alene at omfatte skader forvoldt af ulovlige handlinger, der indebærer behandling af oplysninger.

54

Det følger heraf, at selv i tilfælde af en overtrædelse af databeskyttelsesforordningen, der ikke som sådan indebærer en behandling af oplysninger, kan den registrerede påberåbe sig den ret til erstatning, der er fastsat i denne forordnings artikel 82.

55

Henset til det ovenstående skal det femte og det sjette spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at bestemmelsen tillægger den registrerede en ret til erstatning for skade forvoldt af en tilsidesættelse af den ret til indsigt, der er fastsat i forordningens artikel 15, stk. 1.

56

Henset til besvarelsen af det femte og det sjette præjudicielle spørgsmål er det ufornødent at besvare det fjerde spørgsmål.

57

Med det ottende spørgsmål, som skal behandles i tredje og sidste omgang, ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at den immaterielle skade, som den registrerede har lidt, omfatter tab af kontrol over vedkommendes personoplysninger eller dennes usikkerhed om, hvorvidt personoplysningerne er blevet behandlet.

58

Eftersom der i databeskyttelsesforordningen ikke henvises til medlemsstaternes ret for så vidt angår betydningen og rækkevidden af udtrykkene i den nævnte bestemmelse, særligt begreberne »materiel eller immateriel skade« og »erstatning for den forvoldte skade«, skal disse udtryk ved anvendelsen af denne forordning anses for at være selvstændige EU-retlige begreber, der skal fortolkes ensartet i alle medlemsstaterne (jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 30, og af 4.9.2025, Quirin Privatbank, C-655/23, EU:C:2025:655, præmis 55 og den deri nævnte retspraksis).

59

Det skal i denne henseende bemærkes, at det ikke kan lægges til grund, at enhver »overtrædelse« af databeskyttelsesforordningens bestemmelser i sig selv giver den registrerede ret til erstatning. Databeskyttelsesforordningens artikel 82, stk. 1, fastsætter nemlig, at »[e]nhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren«. Det fremgår klart heraf, at en af betingelserne for ret til erstatning som fastsat i denne bestemmelse er, at der foreligger »skade«, eller at der er »forvold[t] skade«, ligesom databeskyttelsesforordningen skal være overtrådt, og der skal være en årsagsforbindelse mellem skaden og overtrædelsen, idet disse tre betingelser er kumulative (jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 31-33, og af 4.9.2025, Quirin Privatbank, C-655/23, EU:C:2025:655, præmis 56 og den deri nævnte retspraksis).

60

Den person, der fremsætter et erstatningskrav for skade eller immateriel skade på grundlag af denne bestemmelse, er således forpligtet til ikke alene at godtgøre en overtrædelse af databeskyttelsesforordningens bestemmelser, men ligeledes, at denne overtrædelse har forvoldt vedkommende en sådan skade eller immateriel skade. Der kan derfor ikke blot formodes at foreligge en sådan skade eller en sådan immateriel skade på grund af forekomsten af den nævnte overtrædelse (dom af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 141 og den deri nævnte retspraksis).

61

Når dette er sagt, har Domstolen allerede fastslået, at det fremgår af den illustrative liste over »skade«, som de registrerede kan lide, der fremgår af første punktum i 85. betragtning til databeskyttelsesforordningen, at EU-lovgiver havde til hensigt, at disse begreber bl.a. skulle omfatte det blotte »tab af kontrol« over deres egne personoplysninger som følge af en overtrædelse af denne forordning, selv om et misbrug af de omhandlede oplysninger ikke konkret har fundet sted (dom af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 145 og den deri nævnte retspraksis).

62

Domstolen har ligeledes fastslået, at begrebet »immateriel skade« ikke kan begrænses til alene at omfatte skader af en vis alvor. Navnlig må en national lovgivning eller national praksis ikke fastsætte en »bagatelgrænse« med henblik på at kvalificere en immateriel skade, der er forårsaget af en tilsidesættelse af databeskyttelsesforordningen. Den registrerede skal imidlertid godtgøre dels, at vedkommende faktisk har lidt en sådan skade, uanset hvor lille den måtte være, dels at konsekvenserne af denne tilsidesættelse, som vedkommende hævder at have lidt, udgør en skade, der adskiller sig fra den blotte tilsidesættelse af bestemmelserne i forordningen (jf. i denne retning dom af 14.12.2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, præmis 22 og 23).

63

Den blotte henvisning fra den registrerede til en frygt for tab af kontrol over vedkommendes personoplysninger kan således ikke give anledning til erstatning i henhold til databeskyttelsesforordningens artikel 82, stk. 1 (jf. i denne retning dom af 20.6.2024, PS (Forkert adresse), C-590/22, EU:C:2024:536, præmis 33 og 35). Når en person, der kræver erstatning på grundlag af denne bestemmelse, påberåber sig en frygt for, at der i fremtiden vil ske et misbrug af den pågældendes personoplysninger som følge af en tilsidesættelse af denne forordning, skal den nationale ret, hvor sagen anlægges, følgelig efterprøve, om denne frygt kan anses for at være velbegrundet under de pågældende specifikke omstændigheder og i forhold til den registrerede (jf. i denne retning dom af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 143 og den deri nævnte retspraksis).

64

De betragtninger, der er anført i nærværende doms præmis 59-63, gælder ligeledes i en situation, hvor den registrerede er af den opfattelse, at der er usikkerhed om, hvorvidt vedkommendes personoplysninger er blevet behandlet.

65

For at give den forelæggende ret et brugbart svar skal det endvidere bemærkes, at årsagsforbindelsen mellem den angivelige tilsidesættelse og den hævdede skade kan afbrydes ved den registreredes handling, når denne handling viser sig at være den afgørende årsag til skaden. En sådan handling kan bl.a. bestå i en beslutning truffet af skadelidte, forudsat at denne beslutning ikke blev påtvunget den skadelidte (jf. analogt dom af 18.12.2025, WS m.fl. mod Frontex (Fælles tilbagesendelsesoperation), C-679/23 P, EU:C:2025:976, præmis 151 og 152 samt den deri nævnte retspraksis).

66

Det fremgår desuden af den retspraksis, der er nævnt i nærværende doms præmis 59, at årsagsforbindelsen mellem den angivelige overtrædelse af databeskyttelsesforordningen og den skade, som den registrerede hævder at have lidt, er en ufravigelig betingelse for retten til erstatning i henhold til forordningens artikel 82, stk. 1. Den registrerede kan derfor ikke i henhold til denne bestemmelse tilkendes erstatning for den skade, der angiveligt er lidt som følge af tabet af kontrol over vedkommendes personoplysninger eller dennes usikkerhed om, hvorvidt personoplysningerne er blevet behandlet, når årsagsforbindelsen er afbrudt som følge af den registreredes adfærd, eftersom dette tab af kontrol eller denne usikkerhed er forårsaget af den nævnte persons beslutning om at indgive disse oplysninger til den dataansvarlige med det formål kunstigt at skabe de betingelser, der kræves for anvendelsen af nævnte bestemmelse.

67

Henset til ovenstående betragtninger skal det ottende spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at den immaterielle skade, som den registrerede har lidt, omfatter tab af kontrol over vedkommendes personoplysninger eller dennes usikkerhed om, hvorvidt personoplysningerne er blevet behandlet, for så vidt som det godtgøres bl.a., at denne person faktisk har lidt en sådan skade, og at vedkommendes adfærd ikke udgjorde den afgørende årsag til skaden.

68

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Fjerde Afdeling) for ret: