DSGVO-Auskunft beim Finanzamt: Sachverhalt und rechtlicher Hintergrund
Der Bundesfinanzhof hat mit Entscheidung vom 30. Juni 2026, Aktenzeichen IX R 3/25, klargestellt, dass eine betroffene Person von einer Finanzbehörde keine eidesstattliche Versicherung über die Richtigkeit und Vollständigkeit einer Auskunft nach Art. 15 DSGVO verlangen kann. Die Entscheidung ist im Wesentlichen inhaltsgleich mit IX R 2/25 und betrifft eine Frage, die für Unternehmen, Steuerberatende und auch datenintensive Einrichtungen wie Pflegeeinrichtungen, Krankenhäuser oder Onlinehändler von erheblicher praktischer Bedeutung ist. Denn Auskunftsansprüche nach Art. 15 DSGVO gehören längst zum Standardrepertoire im Datenschutz und treten nicht nur gegenüber privaten Unternehmen, sondern auch gegenüber Behörden auf.
Im zugrunde liegenden Fall verlangte die Klägerin vom Finanzamt zunächst Auskunft darüber, ob und welche personenbezogenen Daten verarbeitet werden. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Anlass war eine Außenprüfung bei der Mutter der Klägerin. Das Finanzamt teilte mit, es verarbeite nach überschlägiger Prüfung soweit ersichtlich keine personenbezogenen Daten der Klägerin. Daraufhin verlangte die Klägerin zusätzlich, das Finanzamt solle an Eides statt versichern, dass diese Auskunft zutreffend, richtig und vollständig sei.
Genau an dieser Stelle lag der rechtliche Kern des Verfahrens. Art. 15 DSGVO gewährt einen Auskunftsanspruch gegenüber dem Verantwortlichen. Verantwortlicher ist die Stelle, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Die Klägerin wollte diesen Auskunftsanspruch durch ein weiteres Instrument absichern, nämlich durch eine eidesstattliche Versicherung. Eine eidesstattliche Versicherung ist eine besonders formalisierte Erklärung, deren Unrichtigkeit strafrechtliche Folgen haben kann und die im Zivilrecht in bestimmten Konstellationen der Wahrheitssicherung dient.
Der Bundesfinanzhof hatte somit nicht allgemein über Reichweite und Inhalt des datenschutzrechtlichen Auskunftsanspruchs zu entscheiden, sondern über die engere Frage, ob die Datenschutz-Grundverordnung oder ergänzend das nationale Zivilrecht einen Anspruch auf eine solche zusätzliche Absicherung gegenüber dem Finanzamt eröffnen. Die Antwort fiel eindeutig aus. Ein solcher Anspruch besteht nicht.
Art. 15 DSGVO und Finanzbehörden: Warum kein zusätzlicher Eid verlangt werden kann
Die Begründung des Bundesfinanzhofs ist für die Praxis besonders wichtig, weil sie die Struktur des Datenschutzrechts und das Verhältnis zwischen Unionsrecht und nationalem Recht sauber herausarbeitet. Nach Auffassung des Gerichts enthält die Datenschutz-Grundverordnung selbst keine Rechtsgrundlage dafür, den Verantwortlichen zu verpflichten, eine nach Art. 15 DSGVO erteilte Auskunft an Eides statt zu versichern. Weder Art. 15 DSGVO noch andere Vorschriften der Verordnung sehen einen solchen Anspruch ausdrücklich vor.
Besondere Aufmerksamkeit verdient die Auseinandersetzung mit Art. 5 Abs. 2 DSGVO. Diese Vorschrift enthält die sogenannte Rechenschaftspflicht. Rechenschaftspflicht bedeutet, dass der Verantwortliche die Einhaltung der Datenschutzgrundsätze nachweisen können muss. Die Klägerin hatte daraus abgeleitet, das Finanzamt müsse die Richtigkeit und Vollständigkeit seiner Auskunft notfalls eidesstattlich bekräftigen. Der Bundesfinanzhof hat das abgelehnt. Die Rechenschaftspflicht begründet nach seiner Sicht zwar eine Pflicht des Verantwortlichen, die Einhaltung der Datenschutzregeln darzulegen und zu belegen. Sie schafft aber keinen eigenständigen Anspruch auf die besondere Form einer eidesstattlichen Versicherung.
Ebenso hat das Gericht eine Herleitung aus dem Bürgerlichen Gesetzbuch verworfen. Dort existieren in bestimmten zivilrechtlichen Auskunftsverhältnissen Regelungen, nach denen eine Auskunft unter bestimmten Voraussetzungen eidesstattlich zu versichern ist. Eine Analogie ist die Übertragung einer gesetzlichen Regel auf einen vergleichbaren, aber nicht ausdrücklich geregelten Fall. Der Bundesfinanzhof hat offengelassen, ob eine solche Übertragung im Datenschutzrecht zwischen Privaten überhaupt denkbar wäre. Jedenfalls im Anwendungsbereich der Abgabenordnung gegenüber einer Finanzbehörde scheidet sie aus.
Entscheidend war für den Senat, dass das unionsrechtliche Auskunftsrecht nach Art. 15 DSGVO nicht durch ein zivilrechtliches Stufensystem verdrängt oder relativiert werden darf. Im Zivilrecht genügt oft zunächst eine formale Auskunft, während bei Zweifeln erst im zweiten Schritt eine eidesstattliche Versicherung verlangt werden kann. Für den datenschutzrechtlichen Auskunftsanspruch gegenüber einer Behörde würde ein solches Modell nach Auffassung des Gerichts die eigentliche Prüfung der materiellen Richtigkeit verschieben und den Anspruch verkürzen. Nach der Rechtsprechung des Bundesfinanzhofs ist eine Auskunft nach Art. 15 DSGVO vielmehr erst dann erfüllt, wenn die Behörde vollständig und zutreffend Auskunft erteilt hat und dem Finanzgericht keine Zweifel an dieser Vollständigkeit verbleiben. Bestehen Anhaltspunkte für eine unzureichende Prüfung, kann die betroffene Person vollständige und richtige Auskunft verlangen. Der Rechtsbehelf liegt also in der inhaltlichen Durchsetzung des Auskunftsanspruchs selbst und nicht in der zusätzlichen Forderung nach einem Eid.
Auch unionsrechtlich sah der Bundesfinanzhof keinen Klärungsbedarf mehr. Er hat eine Vorlage an den Gerichtshof der Europäischen Union abgelehnt, weil die Rechtslage nach seiner Auffassung eindeutig war. Für die Praxis spricht daraus ein klares Signal: Bei datenschutzrechtlichen Auskunftsansprüchen gegenüber Finanzbehörden ist auf die inhaltliche Qualität der Auskunft abzustellen, nicht auf zusätzliche Förmlichkeiten, die weder die Datenschutz-Grundverordnung noch die Abgabenordnung vorsehen.
Praxisfolgen für Unternehmen, Steuerkanzleien, Finanzinstitutionen und Spezialbranchen
Für kleine Unternehmen, mittelständische Unternehmen und spezialisierte Betriebe liegt die wichtigste Lehre dieser Entscheidung darin, dass Auskunftsansprüche nach Art. 15 DSGVO präzise, nachvollziehbar und dokumentiert beantwortet werden müssen. Wer eine datenschutzrechtliche Anfrage erhält, sollte nicht darauf setzen, dass formelhafte oder nur überschlägige Antworten genügen. Zwar betrifft die Entscheidung unmittelbar eine Finanzbehörde, die vom Gericht entwickelten Grundlinien zur Funktion des Auskunftsanspruchs sind jedoch auch für private Verantwortliche aufschlussreich. Gerade Onlinehändler, Finanzinstitutionen, Pflegeeinrichtungen und Krankenhäuser verarbeiten große Mengen sensibler oder wirtschaftlich relevanter Daten und sind deshalb besonders häufig mit Auskunftsersuchen konfrontiert.
Für Steuerberatende ist die Entscheidung deshalb relevant, weil Mandanten Auskunftsersuchen häufig zunächst als Datenschutzthema und nicht als Organisationsfrage verstehen. Tatsächlich entscheidet aber die Prozessqualität über das Risiko. Unternehmen brauchen belastbare Verfahrensabläufe, mit denen sich Datenquellen identifizieren, Suchläufe dokumentieren und Antwortschreiben standardisiert erstellen lassen. Das betrifft Mandanten aus dem Handel ebenso wie Industrieunternehmen, medizinische Leistungserbringer oder digitale Plattformen. Wer seine Datenbestände nicht sauber strukturiert, riskiert unvollständige Auskünfte, Folgefragen, Streit über die Reichweite der Datenverarbeitung und im Ernstfall gerichtliche Auseinandersetzungen.
Für Finanzinstitutionen und regulierte Unternehmen unterstreicht die Entscheidung, dass eine gute Compliance nicht in zusätzlichen Versicherungen liegt, sondern in einer nachweisbar sorgfältigen Sachverhaltsermittlung. Compliance meint die organisatorische Sicherstellung rechtmäßigen Verhaltens im Unternehmen. Dazu gehören klare Zuständigkeiten, Verarbeitungsverzeichnisse, Löschkonzepte und revisionssichere Dokumentation. Gerade bei konzernähnlichen Strukturen oder arbeitsteiligen Prozessen ist es entscheidend, wer als Verantwortlicher auftritt und welche Datenbestände tatsächlich in die Auskunft einbezogen wurden.
Für Pflegeeinrichtungen und Krankenhäuser ist außerdem bedeutsam, dass besonders sensible Gesundheitsdaten regelmäßig erhöhten Prüfungsaufwand auslösen. Auch wenn die Entscheidung keinen Anspruch auf eidesstattliche Versicherung anerkennt, entbindet sie datenverarbeitende Stellen nicht von sorgfältiger Prüfung. Im Gegenteil: Die materielle Vollständigkeit der Auskunft bleibt der Maßstab. Das Gleiche gilt für Onlinehändler, die Kundendaten aus Shopsystemen, Zahlungsabwicklung, Versand, Support und Marketing zusammenführen. Je stärker die Systemlandschaft fragmentiert ist, desto größer ist das Risiko, dass relevante Datenquellen bei der Auskunft übersehen werden.
Aus unternehmerischer Sicht ist daher vor allem eines zentral: Datenschutzrechtliche Auskunftsansprüche sind kein Randthema der Rechtsabteilung, sondern ein Prüfstein für Datenorganisation, Buchhaltungsprozesse und digitale Systemarchitektur. Wer saubere Prozesse etabliert, reduziert nicht nur Haftungsrisiken, sondern spart zugleich Bearbeitungszeit und Kosten.
DSGVO-Auskunft und Unternehmenspraxis: Klarheit für die nächsten Schritte
Die Entscheidung IX R 3/25 schafft Rechtssicherheit in einer bislang umstrittenen Frage. Eine eidesstattliche Versicherung über die Richtigkeit und Vollständigkeit einer Auskunft nach Art. 15 DSGVO kann gegenüber einer Finanzbehörde nicht verlangt werden. Maßgeblich bleibt die inhaltlich richtige und vollständige Auskunft selbst. Für Unternehmen und ihre Berater folgt daraus, dass der Schwerpunkt nicht auf zusätzlichen Förmlichkeiten, sondern auf belastbaren Auskunftsprozessen, dokumentierten Datenrecherchen und klaren Verantwortlichkeiten liegen muss.
Gerade kleine Unternehmen und der Mittelstand profitieren davon, Datenschutz, Buchhaltung und digitale Abläufe nicht isoliert zu behandeln, sondern als zusammenhängende Prozesslandschaft zu organisieren. Unsere Kanzlei begleitet Mandanten vom kleinen Unternehmen bis zum mittelständischen Betrieb bei der Prozessoptimierung in der Buchhaltung und der Digitalisierung, mit besonderem Fokus auf effiziente, rechtssichere Abläufe und die damit verbundenen erheblichen Kostenersparungen.
Gerichtsentscheidung lesen
