Wer von einem Finanzamt eine Auskunft über die eigenen gespeicherten Daten erhält, kann nicht verlangen, dass die Behörde die Richtigkeit und Vollständigkeit dieser Auskunft an Eides statt versichert. Das hat der Bundesfinanzhof mit Urteil vom 30. Juni 2026 (Az. IX R 2/25) entschieden und die Revision eines Steuerpflichtigen in vollem Umfang zurückgewiesen. Zugleich bestätigte der IX. Senat, dass ein datenschutzrechtlicher Schadenersatzanspruch gegen eine Finanzbehörde zunächst außergerichtlich bei der Behörde angemeldet werden muss.
Der Fall
Der Kläger hatte im November 2021 bei einer Finanzbehörde beantragt, ihm Auskunft über die Verarbeitung seiner personenbezogenen Daten zu erteilen und ihm Kopien dieser Daten zu übersenden. Grundlage dafür ist das Auskunftsrecht aus Art. 15 der Datenschutz-Grundverordnung (DSGVO), das jeder betroffenen Person gegenüber jeder datenverarbeitenden Stelle zusteht. Die Behörde erteilte die Auskunft am 3. Dezember 2021.
Damit gab sich der Kläger nicht zufrieden. Er hielt die Auskunft für lückenhaft und bat die Behörde im Januar 2022, die Richtigkeit und Vollständigkeit ihrer Angaben eidesstattlich zu versichern. Die Behörde lehnte das im Februar 2022 ab. Der Kläger erhob daraufhin Klage und verlangte in der mündlichen Verhandlung vor dem Finanzgericht unter anderem 1.500 Euro Schadenersatz, die Abgabe einer Versicherung an Eides statt sowie die gerichtliche Feststellung, dass die Behörde gegen das Recht auf informationelle Selbstbestimmung, gegen die DSGVO und gegen die europäische Grundrechtecharta verstoßen habe.
Das Finanzgericht Berlin-Brandenburg wies die Klage am 12. Februar 2025 (Az. 16 K 16076/23) vollständig ab: Der Schadenersatzantrag sei unzulässig, weil der Kläger den Anspruch nie zuvor bei der Behörde selbst geltend gemacht habe. Die Feststellungsklage sei unzulässig, weil eine Leistungsklage möglich gewesen wäre. Für eine eidesstattliche Versicherung fehle es schlicht an einer Rechtsgrundlage.
Die Entscheidung des Gerichts
Der Bundesfinanzhof bestätigte diese Linie in allen Punkten und wies die Revision als unbegründet zurück; die Kosten des Revisionsverfahrens trägt der Kläger. Nach den Leitsätzen des Urteils enthält die DSGVO keine Vorschrift, die den Verantwortlichen – also die datenverarbeitende Stelle – dazu verpflichten würde, seine Auskunft nach Art. 15 DSGVO eidesstattlich zu bekräftigen. Auch der in Art. 5 Abs. 2 DSGVO verankerte Rechenschaftsgrundsatz, auf den sich der Kläger berufen hatte, trägt eine solche Pflicht nicht.
Ebenso lehnte der Senat es ab, die zivilrechtlichen Regeln über die Versicherung an Eides statt (§ 259 Abs. 2 und § 260 Abs. 2 BGB) auf Finanzbehörden zu übertragen. Im Anwendungsbereich des § 32i der Abgabenordnung – der Vorschrift, die datenschutzrechtliche Streitigkeiten gegen Finanzbehörden den Finanzgerichten zuweist – sei eine solche entsprechende Anwendung zu Lasten der Behörde ausgeschlossen.
Bedeutsam für die Praxis ist auch der zweite Teil der Begründung. Ein Geldersatz für einen Datenschutzverstoß nach Art. 82 DSGVO kann vor dem Finanzgericht nur dann eingeklagt werden, wenn der Anspruch vorher bei der Behörde angebracht wurde. Es fehlt sonst an der Beschwer nach § 40 Abs. 2 FGO, die bereits bei Klageerhebung vorliegen muss. Eine Ausnahme greift nur, wenn die Behörde unmissverständlich klargemacht hat, dass sie das Begehren ohnehin ablehnen wird – dann wäre die Vorbefassung reine Förmelei. § 32i Abs. 9 Satz 1 AO ändert daran nichts: Diese Norm erspart Betroffenen nur das außergerichtliche Rechtsbehelfsverfahren (den Einspruch), nicht aber die Anmeldung des Anspruchs bei der Behörde.
Einen Verstoß gegen den Gleichheitssatz (Art. 3 GG) sah der Senat nicht, obwohl Schadenersatzklagen gegen private Stellen ohne Vorbefassung direkt bei den Zivilgerichten erhoben werden können. Auch der unionsrechtliche Effektivitätsgrundsatz sei nicht verletzt, weil der Rechtsweg zu den Finanzgerichten offensteht und ein immaterieller Schaden nach der Rechtsprechung des Europäischen Gerichtshofs unter Umständen auch durch eine Entschuldigung ausgeglichen werden kann. Die vom Kläger beantragte Vorlage an den EuGH hielt der Senat für nicht erforderlich.
Was bedeutet das für Betroffene?
Für Steuerpflichtige, die Einsicht in ihre beim Finanzamt gespeicherten Daten nehmen wollen, bleibt das Auskunftsrecht aus Art. 15 DSGVO bestehen – es lässt sich aber nicht mit einem Eid „abhärten". Wer die Auskunft für unvollständig hält, muss also anders vorgehen: Sinnvoll ist eine präzise Nachfrage, in der konkret benannt wird, welche Daten oder Verarbeitungsvorgänge in der Antwort fehlen. Je konkreter der Vortrag, desto eher lässt sich später auch gerichtlich prüfen, ob die Auskunft tatsächlich lückenhaft war. Zusätzlich besteht die Möglichkeit, sich bei der zuständigen Datenschutzaufsicht zu beschweren.
Noch wichtiger ist der prozessuale Fahrplan bei Geldforderungen. Wer wegen eines Datenschutzverstoßes Schadenersatz nach Art. 82 DSGVO verlangt, sollte diesen Anspruch zwingend zuerst schriftlich bei der Finanzbehörde geltend machen – mit Bezifferung, Begründung und Nachweis des Zugangs. Erst wenn die Behörde ablehnt oder nicht reagiert, ist der Weg zum Finanzgericht eröffnet. Ein Einspruchsverfahren ist dafür nicht nötig, die schlichte Anmeldung des Anspruchs aber schon. Wer diesen Schritt überspringt, riskiert – wie im entschiedenen Fall – eine Abweisung als unzulässig und trägt die Verfahrenskosten.
Zu beachten ist außerdem die Rangfolge der Klagearten: Eine Feststellungsklage scheitert regelmäßig, wenn dasselbe Ziel mit einer Leistungsklage erreichbar ist. Wer also die Löschung, Berichtigung oder Ergänzung von Daten will, sollte diese Leistung unmittelbar einfordern, statt nur einen Rechtsverstoß feststellen zu lassen. Da Datenschutzverfahren gegen Finanzbehörden prozessual anspruchsvoll sind und Fehler bei der Klageart oder der Vorbefassung kaum reparabel sind, ist eine frühe fachkundige Beratung meist die günstigere Variante.
Wer Zweifel an der Datenverarbeitung durch Behörden hat oder Ansprüche prüfen lassen möchte, kann sich gezielt Unterstützung suchen und einen Anwalt für Datenschutzrecht finden, der das Vorgehen und die einzuhaltende Reihenfolge der Schritte einordnet.
Quellen: Bundesfinanzhof, Urteil vom 30.06.2026, Az. IX R 2/25 · Weiterführend: Meldung zur Entscheidung IX R 2/25
