Viele Unternehmen aus dem Mittelstand, aber auch kleinere Betriebe oder spezialisierte Einrichtungen wie Pflegeeinrichtungen und Krankenhäuser, sehen sich zunehmend mit Auskunftsersuchen nach der Datenschutz-Grundverordnung konfrontiert. Ebenso betrifft diese Thematik Onlinehändler und digitale Plattformbetreiber, die häufig personenbezogene Daten verarbeiten und auf Auskunftsrechte ihrer Kundinnen und Kunden reagieren müssen. Vor diesem Hintergrund hat der Bundesfinanzhof mit Urteil vom 06.05.2025 – IX R 2/23 eine wichtige Entscheidung getroffen, die den rechtlichen Rahmen für die gerichtliche Durchsetzung solcher Ansprüche präzisiert. Damit erhalten Unternehmen und Beraterinnen und Berater eine klare Orientierung, welche prozessualen Vorgaben einzuhalten sind.
Rechtsrahmen zu Auskunftsanspruch und Klageart im Steuer- und Datenschutzrecht
Im Kern ging es um die Frage, wie ein Anspruch auf Auskunft nach Artikel 15 Datenschutz-Grundverordnung durchgesetzt werden kann. Betroffene Personen können gemäß dieser Regelung jederzeit Auskunft darüber verlangen, ob und in welchem Umfang ihre personenbezogenen Daten verarbeitet werden. Ergänzend dazu gewährt Artikel 15 Absatz 3 DSGVO auch das Recht auf Erhalt einer Kopie dieser Daten. Trifft eine Behörde eine ablehnende Entscheidung, stellt sich die Frage, welcher Klageweg zum Finanzgericht eröffnet ist und innerhalb welcher Fristen der Anspruch geltend gemacht werden kann.
Der Bundesfinanzhof entschied, dass die richtige Klageart in solchen Fällen die Verpflichtungsklage nach § 40 Absatz 1 Alternative 2 Finanzgerichtsordnung ist. Eine Verpflichtungsklage richtet sich darauf, eine Behörde zur Vornahme einer bestimmten Handlung, im konkreten Fall zur Erteilung der begehrten Auskunft, zu verpflichten. Gleichzeitig stellte der Gerichtshof klar, dass die einmonatige Klagefrist nach § 47 Absatz 1 Finanzgerichtsordnung gilt. Dies ist von erheblicher Bedeutung, da vielfach die Annahme bestand, ein Anspruch nach der DSGVO sei zeitlich unbegrenzt einklagbar.
Im zugrunde liegenden Sachverhalt hatte der Kläger erst rund ein Jahr nach Ablehnung seines Auskunftsantrags durch das Finanzamt Klage erhoben. Da aber die Klagefrist bereits nach Ablauf eines Monats abgelaufen war, wurde die Klage als unzulässig verworfen. Der Bundesfinanzhof stellte zudem klar, dass weder europarechtliche Grundsätze zur Effektivität noch die DSGVO selbst eine abweichende Fristenregelung rechtfertigen. Der Verweis auf die allgemeinen prozessualen Regularien der Finanzgerichtsordnung bleibt bestehen.
Begründung der Entscheidung und rechtliche Tragweite für Unternehmen
Die Entscheidung des Bundesfinanzhofs ist nicht isoliert zu betrachten, sondern reiht sich in eine Linie einschlägiger Vorentscheidungen des Bundesverwaltungsgerichts ein. Der Bundesfinanzhof übernimmt die Begründung, dass eine Ausgestaltung der Klageart nach nationalem Prozessrecht erforderlich ist, um ein geordnetes Verfahren sicherzustellen. Damit soll die Rechtssicherheit gestärkt werden, sodass Behörden wie auch Unternehmerinnen und Unternehmer kalkulierbare Rahmenbedingungen haben.
Die Begründung verdeutlicht drei wesentliche Aspekte:
- Der Anspruch auf Auskunft nach Artikel 15 DSGVO ist materiell-rechtlich gewährleistet, seine gerichtliche Durchsetzung bedarf jedoch klar definierter Fristen.
- Die Verknüpfung mit der Verpflichtungsklage nach der Finanzgerichtsordnung sorgt für eine prozessuale Einordnung analog zu anderen behördlichen Verpflichtungsansprüchen, die denselben formalisierten Regeln unterliegen.
- Die Verweisungslogik zeigt, dass das nationale Prozessrecht nicht im Widerspruch zu europarechtlichen Vorgaben steht, solange die effektive Durchsetzung der Rechte gewahrt bleibt. Der Bundesfinanzhof sieht diese Bedingung in der einmonatigen Klagefrist ausdrücklich erfüllt.
Damit wird eine prozessorientierte Brücke zwischen Datenschutz- und Steuerrecht geschlagen. Steuerberatende, Unternehmensjuristen sowie interne Compliance-Abteilungen müssen dieses Zusammenspiel unbedingt beachten, um Mandanten und Betriebe rechtzeitig zu beraten und in Streitfällen effektiven Rechtsschutz sicherzustellen.
Praktische Bedeutung für Unternehmen und Berater
Für kleine Unternehmen, die oftmals keine eigene Rechtsabteilung haben, bedeutet die Entscheidung eine gesteigerte Pflicht zur Sensibilität gegenüber Fristen. Wer Auskunftsanträge an Behörden stellt und bei Ablehnung eine gerichtliche Durchsetzung erwägt, muss sich dieser engen Monatsfrist bewusst sein. Mittelständische Unternehmen mit komplexeren Strukturen, insbesondere Pflegeeinrichtungen oder Krankenhäuser, die regelmäßig mit sensiblen Daten arbeiten, sind auf eine funktionierende Compliance und Dokumentation angewiesen, damit Fristversäumnisse ausgeschlossen werden. Onlinehändler, die ebenfalls im Fokus von Datenschutzanfragen stehen, müssen ihre internen Prozesse so strukturieren, dass gegebenenfalls zeitnah eine anwaltliche Prüfung erfolgen kann.
Steuerberatende und Rechtsanwälte profitieren insofern von einer erhöhten Planungssicherheit. Die klare Qualifizierung als Verpflichtungsklage ermöglicht eine präzise organisatorische Vorbereitung, sodass Mandanten frühzeitig über Risiken aufgeklärt werden können. Für Finanzinstitutionen wie Banken oder Versicherer ist die Entscheidung ebenfalls relevant, weil auch sie häufig umfangreiche personenbezogene Datenbestände verwalten und Auskunftsrechte adressieren müssen. Die konsequente Beachtung der Fristen reduziert nicht nur Rechtsunsicherheiten, sondern vermeidet auch vermeidbare Kosten eines erfolglosen Rechtsstreits.
In der Praxis bedeutet dies für alle Unternehmensformen die Notwendigkeit, klare interne Abläufe für den Umgang mit Ablehnungen von Datenschutzanträgen zu definieren. Ein funktionierendes Fristenmanagement wird damit zu einem entscheidenden Baustein moderner Unternehmensführung. Besonders für kleine und mittlere Betriebe bietet sich die Unterstützung durch digitale Tools an, um solche Vorgaben prozesssicher umzusetzen.
Fazit: Konsequente Fristenwahrung bei Auskunftsansprüchen nach DSGVO
Die Entscheidung des Bundesfinanzhofs verdeutlicht, dass die Durchsetzung von Auskunftsansprüchen aus der Datenschutz-Grundverordnung denselben formellen Schranken unterliegt wie klassische finanzgerichtliche Verfahren. Unternehmen sollten Betroffene daher frühzeitig auf die enge Monatsfrist hinweisen und selbst interne Prozesse so ausrichten, dass ein effektives Fristencontrolling stattfindet. Gerade im Mittelstand, bei Pflegeeinrichtungen, Onlinehändlern und Banken, kann dies erhebliche rechtliche und wirtschaftliche Konsequenzen haben.
Unsere Kanzlei unterstützt kleine und mittelständische Unternehmen bei der Digitalisierung und Prozessoptimierung in der Buchhaltung. Wir helfen, rechtliche Anforderungen in effiziente Abläufe zu überführen und die damit verbundenen Kosten spürbar zu senken. Dank unserer Erfahrung in der betreuenden Begleitung unterschiedlichster Unternehmensarten stellen wir sicher, dass unsere Mandanten rechtssicher agieren und zugleich ihre internen Prozesse nachhaltig optimieren.
Gerichtsentscheidung lesen
