DSGVO-Auskunft bei Finanzbehörden: Sachverhalt und rechtlicher Rahmen
Der Bundesfinanzhof hat mit Entscheidung vom 30. Juni 2026, IX R 2/25, die Reichweite datenschutzrechtlicher Ansprüche gegenüber Finanzbehörden deutlich konturiert. Im Kern ging es um die Frage, ob eine betroffene Person verlangen kann, dass eine Finanzbehörde die Richtigkeit und Vollständigkeit einer bereits erteilten Auskunft zu personenbezogenen Daten an Eides statt versichert. Ausgangspunkt war ein Auskunftsbegehren nach Art. 15 DSGVO. Diese Norm gewährt betroffenen Personen das Recht zu erfahren, ob und welche personenbezogenen Daten verarbeitet werden. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Die Finanzbehörde hatte eine Auskunft erteilt. Der Antragsteller hielt diese für unvollständig und verlangte zusätzlich eine eidesstattliche Versicherung. Eine eidesstattliche Versicherung ist eine besonders förmliche Erklärung, mit der die erklärende Person die Wahrheit ihrer Angaben unter Hinweis auf strafrechtliche Folgen bekräftigt. Daneben machte der Kläger Schadenersatz sowie die gerichtliche Feststellung von Datenschutzverstößen geltend. Der Bundesfinanzhof wies die Revision zurück und bestätigte damit im Ergebnis die Vorinstanz.
Für Unternehmen, Onlinehändler, Pflegeeinrichtungen, Krankenhäuser und andere datenintensive Organisationen ist die Entscheidung vor allem deshalb relevant, weil sie die Trennlinie zwischen materiellem Datenschutzrecht und prozessualem Rechtsschutz schärft. Zwar betraf der Fall eine Finanzbehörde und damit öffentliches Recht. Die Begründung ist aber auch für private Verantwortliche im Sinne der Datenschutz-Grundverordnung aufschlussreich, weil sie zeigt, welche Anforderungen an Auskunftsansprüche gestellt werden und wo zusätzliche Forderungen an ihre Grenzen stoßen. Besonders wichtig ist dies für kleine Unternehmen und mittelständische Unternehmen, die Auskunftsersuchen häufig ohne spezialisierte Rechtsabteilung bearbeiten und rechtssichere, zugleich praktikable Prozesse benötigen.
Der rechtliche Hintergrund ist zweigeteilt. Zum einen regelt die Datenschutz-Grundverordnung die materiellen Rechte der betroffenen Person, insbesondere Auskunft, Berichtigung, Einschränkung der Verarbeitung und Schadenersatz. Zum anderen bestimmt das jeweilige Verfahrensrecht, auf welchem Weg diese Ansprüche gerichtlich durchgesetzt werden. Im Streit mit Finanzbehörden spielt hier die Finanzgerichtsordnung eine zentrale Rolle. Der Bundesfinanzhof betont, dass die Datenschutz-Grundverordnung nicht jedes prozessuale Detail selbst regelt und nationale Verfahrensvorschriften grundsätzlich anwendbar bleiben, solange sie den unionsrechtlichen Effektivitätsgrundsatz wahren. Dieser Grundsatz verlangt, dass Unionsrechte nicht praktisch unmöglich gemacht oder übermäßig erschwert werden.
Datenschutzrechtlicher Auskunftsanspruch und Grenzen zusätzlicher Forderungen
Die tragende Aussage der Entscheidung lautet, dass die Datenschutz-Grundverordnung keine Rechtsgrundlage für einen Anspruch auf eidesstattliche Versicherung der Richtigkeit und Vollständigkeit einer Auskunft nach Art. 15 DSGVO enthält. Der Bundesfinanzhof lehnt einen solchen Anspruch sowohl unmittelbar aus der Verordnung als auch über eine ergänzende Herleitung aus allgemeinen zivilrechtlichen Vorschriften ab. Damit stellt das Gericht klar, dass der Auskunftsanspruch selbst nicht in ein zusätzliches Förmlichkeitserfordernis umgedeutet werden darf.
Besonders bedeutsam ist die Auseinandersetzung mit der Rechenschaftspflicht des Verantwortlichen nach Art. 5 Abs. 2 DSGVO. Rechenschaftspflicht bedeutet, dass der Verantwortliche die Einhaltung der datenschutzrechtlichen Grundsätze nachweisen können muss. Dazu zählen etwa Rechtmäßigkeit, Transparenz und Datenrichtigkeit. Der Bundesfinanzhof macht jedoch deutlich, dass diese Nachweispflicht nicht automatisch in einen Anspruch der betroffenen Person auf eidesstattliche Versicherung umschlägt. Mit anderen Worten: Der Verantwortliche muss datenschutzkonformes Handeln belegen können, aber er schuldet deswegen nicht jede denkbare Form der Bekräftigung seiner Angaben.
Ebenso verneint das Gericht eine analoge Anwendung zivilrechtlicher Vorschriften zur eidesstattlichen Versicherung. Eine Analogie ist die Übertragung einer gesetzlichen Regelung auf einen vergleichbaren, aber nicht ausdrücklich geregelten Sachverhalt. Sie setzt voraus, dass eine planwidrige Regelungslücke besteht und die Interessenlage vergleichbar ist. Genau daran fehlt es nach Auffassung des Bundesfinanzhofs. Die Datenschutz-Grundverordnung regelt die Rechtsbeziehungen zwischen betroffener Person und Verantwortlichem in ihrem Anwendungsbereich weitgehend abschließend. Zudem unterscheidet sich die öffentlich-rechtliche Auskunftspflicht einer Finanzbehörde strukturell von zivilrechtlichen Auskunftsansprüchen.
Von erheblicher praktischer Relevanz ist auch die prozessuale Seite der Entscheidung. Der Bundesfinanzhof bestätigt, dass ein Schadenersatzanspruch nach Art. 82 DSGVO gegenüber einer Finanzbehörde grundsätzlich vorprozessual geltend gemacht werden muss. Ohne eine solche vorherige Befassung der Behörde fehlt es an der erforderlichen Beschwer im finanzgerichtlichen Verfahren. Beschwer meint hier die prozessuale Betroffenheit, die Voraussetzung dafür ist, überhaupt Klage erheben zu können. Dass die Datenschutz-Grundverordnung einen gerichtlichen Rechtsbehelf vorsieht, verdrängt diese prozessuale Anforderung nach Ansicht des Gerichts nicht. Nur wenn die Behörde unmissverständlich zu erkennen gegeben hat, dass sie einen solchen Anspruch definitiv ablehnen wird, kann ausnahmsweise etwas anderes gelten.
Auch die Feststellungsklage hatte keinen Erfolg. Eine Feststellungsklage dient der gerichtlichen Klärung, ob ein Rechtsverhältnis besteht oder nicht besteht. Sie ist jedoch nach der Finanzgerichtsordnung subsidiär. Das bedeutet, dass sie zurücktritt, wenn der Betroffene seine Rechte durch eine Leistungsklage oder Verpflichtungsklage unmittelbar verfolgen kann. Genau das war nach Auffassung des Gerichts der Fall, weil der Kläger auf vollständige Auskunft hätte klagen können und daran anknüpfend weitere Rechte aus der Datenschutz-Grundverordnung offenstanden.
Praxisfolgen für Unternehmen, Mittelstand und datenintensive Branchen
Für kleine Unternehmen und den Mittelstand liegt die wichtigste Lehre der Entscheidung darin, Auskunftsersuchen strukturiert, vollständig und dokumentiert zu bearbeiten. Die Entscheidung entlastet Verantwortliche nicht von sorgfältiger Auskunftserteilung. Sie sagt lediglich, dass über die gesetzlich vorgesehenen Instrumente hinaus keine eidesstattliche Versicherung geschuldet ist. Gerade Onlinehändler mit hohem Anfragevolumen, Pflegeeinrichtungen mit besonders sensiblen Gesundheitsdaten und Krankenhäuser mit komplexen IT Systemen sollten daraus ableiten, dass der Schwerpunkt nicht auf formalen Zusatzabsicherungen, sondern auf belastbaren internen Prozessen liegen muss.
Wenn Zweifel an der Vollständigkeit einer Auskunft entstehen, bleibt der materielle Auskunftsanspruch das zentrale Korrektiv. Für die Praxis heißt das: Verantwortliche sollten Suchroutinen, Datenquellen und Freigabeschritte so organisieren, dass sie im Streitfall nachvollziehbar darlegen können, wie die Auskunft zustande gekommen ist. Das betrifft E Mail Archive, Fachanwendungen, CRM Systeme, Buchhaltungssoftware, Personalakten und branchenspezifische Dokumentationssysteme gleichermaßen. Wer hier sauber dokumentiert, reduziert nicht nur rechtliche Risiken, sondern auch Bearbeitungszeiten und Rückfragen.
Für Finanzinstitutionen und andere regulierte Unternehmen zeigt die Entscheidung zudem, dass Verfahrensrecht eine eigenständige Rolle spielt. Ansprüche müssen auf dem richtigen Weg geltend gemacht und intern bearbeitet werden. Das ist auch jenseits des Behördenkontexts relevant, etwa wenn datenschutzrechtliche Beschwerden parallel zu zivilrechtlichen oder aufsichtsrechtlichen Verfahren laufen. Eine professionelle Fallsteuerung entscheidet oft darüber, ob aus einem Auskunftsersuchen ein kostenträchtiger Folgekonflikt entsteht.
Unternehmen mit sensiblen Datenbeständen sollten außerdem beachten, dass die Entscheidung keine Absenkung der inhaltlichen Anforderungen an Auskünfte bedeutet. Der Bundesfinanzhof verweist im Gegenteil darauf, dass bei Zweifeln an der Sorgfalt der Auskunft eine vollständige und zutreffende Auskunft verlangt werden kann. Für Pflegeeinrichtungen, Krankenhäuser und spezialisierte Dienstleister mit Gesundheits oder Sozialdaten ist dies besonders wichtig, weil hier regelmäßig besondere personenbezogene Daten betroffen sind. Diese Datenkategorie unterliegt erhöhten Schutzanforderungen. Fehler in der Datenauskunft können deshalb schneller zu Beschwerden, Reputationsschäden und gegebenenfalls Schadenersatzforderungen führen.
Für kleinere Betriebe ohne eigene Datenschutzorganisation ist die Entscheidung ein Hinweis darauf, Standardprozesse aufzubauen. Dazu gehören klare Zuständigkeiten, Fristenkontrolle, Vorlagen für Antwortschreiben, dokumentierte Dateninventare und eine abgestimmte Zusammenarbeit zwischen Geschäftsführung, Buchhaltung, Personalbereich und IT. Gerade in wachstumsstarken Onlineunternehmen oder inhabergeführten Mittelständlern entstehen Datenschutzprobleme weniger aus bösem Willen als aus Medienbrüchen, unklaren Verantwortlichkeiten und historisch gewachsenen Systemlandschaften.
DSGVO-Auskunft rechtssicher umsetzen und Verfahren sauber führen
Die Entscheidung des Bundesfinanzhofs vom 30. Juni 2026, IX R 2/25, bringt für die Praxis vor allem Klarheit. Ein Anspruch auf eidesstattliche Versicherung der Richtigkeit und Vollständigkeit einer Auskunft nach Art. 15 DSGVO besteht gegenüber Finanzbehörden nicht. Ebenso bestätigt das Gericht, dass nationale Verfahrensregeln bei Schadenersatz und Feststellungsbegehren weiterhin maßgeblich sein können, solange der unionsrechtliche Rechtsschutz wirksam bleibt. Für Unternehmen folgt daraus kein Weniger an Datenschutz, sondern ein Mehr an Prozessdisziplin: Entscheidend sind vollständige Auskünfte, belastbare Dokumentation und die richtige verfahrensrechtliche Einordnung von Ansprüchen.
Wer datenschutzrechtliche Auskunftsersuchen professionell bearbeitet, reduziert Konflikte, Nacharbeiten und Haftungsrisiken spürbar. Unsere Kanzlei begleitet kleine und mittelständische Unternehmen sowie spezialisierte Branchen bei der Digitalisierung und Prozessoptimierung, insbesondere in der Buchhaltung und in angrenzenden Verwaltungsprozessen. Gerade durch klare digitale Abläufe und effiziente Strukturen lassen sich im Mittelstand erhebliche Kostenersparungen erreichen, wozu wir Mandanten vom kleinen Betrieb bis zum mittelständischen Unternehmen mit umfangreicher Praxiserfahrung unterstützen.
Gerichtsentscheidung lesen
