Die Entscheidung im Überblick

Ein Steuerpflichtiger verlangte im November 2021 von einer Finanzbehörde Auskunft über seine personenbezogenen Daten und Kopien nach Art. 15 DSGVO. Die Behörde antwortete am 03.12.2021. Der Kläger hielt die Auskunft für unvollständig und forderte die Behörde auf, Richtigkeit und Vollständigkeit an Eides statt zu versichern; das lehnte sie ab. Vor dem Finanzgericht verlangte er schließlich die Eidesleistung, 1.500 Euro Schadensersatz und die Feststellung, dass die Behörde gegen die DSGVO und die Grundrechtecharta verstoßen habe (Rn. 2–5). Das FG Berlin-Brandenburg wies die Klage ab, der IX. Senat des BFH wies die Revision zurück.

Kern der Entscheidung ist die eidesstattliche Versicherung. Die DSGVO selbst enthält keine Grundlage dafür — weder in Art. 15 noch in den übrigen Betroffenenrechten oder den Rechtsbehelfsvorschriften. Auch aus der Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO lässt sie sich nicht ableiten: Diese begründet zwar eine Beweislast des Verantwortlichen für die Einhaltung der Verarbeitungsgrundsätze, aber keine Pflicht, deren Einhaltung zu beschwören, und erst recht nicht für die Auskunft nach Art. 15 (Rn. 39–42). Unmittelbar greifen die §§ 259, 260 BGB nicht, weil es weder um eine Rechnungslegung noch um eine zivilrechtliche Herausgabe- oder Auskunftspflicht geht (Rn. 43).

Für die entsprechende Anwendung der BGB-Vorschriften setzt sich der Senat mit der Gegenposition auseinander. Er referiert selbst, dass Teile von Rechtsprechung und Schrifttum eine eidesstattliche Versicherung der Art.-15-Auskunft für möglich halten — „in diesem Sinne wohl“ das BAG (Urteil vom 16.12.2021, 2 AZR 235/21) und das OLG Dresden (Beschluss vom 24.03.2025, 4 U 1664/24), offengelassen vom BGH (VI ZR 576/19) (Rn. 45). Der BFH hat daran erhebliche Zweifel, weil die DSGVO das Verhältnis zwischen Verantwortlichem und Betroffenem abschließend regele und keine Öffnung für zusätzliche nationale Ansprüche enthalte (Rn. 46). Entscheiden muss er das nicht, denn jedenfalls gegenüber einer Finanzbehörde fehlt die vergleichbare Interessenlage.

Die Begründung dafür ist der eigentlich lehrreiche Teil. Im Zivilrecht gilt eine Auskunft schon dann als erfüllt, wenn der Verpflichtete formal erklärt, vollständig Auskunft gegeben zu haben; wer zweifelt, bekommt keine weitere Auskunft, sondern nur die eidesstattliche Versicherung (Rn. 48–49). Gegenüber der Finanzbehörde ist der Betroffene besser gestellt: Der Art.-15-Anspruch ist erst erfüllt, wenn die Behörde Vollständigkeit erklärt und dem Finanzgericht keine Zweifel daran erwachsen; bestehen Zweifel, kann er weiter vollständige Auskunft verlangen (Rn. 50). Ein Anspruch auf eidesstattliche Versicherung würde diesen stärkeren Anspruch relativieren, weil sich die Behörde auf die Formalerklärung zurückziehen könnte, und er würde die inhaltliche Prüfung durch das Finanzgericht beschneiden (Rn. 51). Die Pressestelle des BFH fasst das so zusammen: Der Anspruch auf vollständige Auskunft „würde entwertet, wenn sich die Behörde auf eine –formale– eidesstattliche Versicherung, ihr lägen keine oder keine weiteren personenbezogenen Daten der betroffenen Person vor, zurückziehen könnte“. beck-aktuell bringt es auf die Formel, ein solcher Anspruch wäre „auch nicht zielführend“.

Die Schadensersatzklage scheiterte bereits an der Zulässigkeit. Nach § 40 Abs. 2 FGO muss ein Anspruch aus Art. 82 DSGVO vor der Klage bei der Finanzbehörde geltend gemacht werden, es sei denn, die Behörde hat ihn erkennbar endgültig abgelehnt (Rn. 17–19). Der Kläger hatte das Geld erst im Prozess verlangt. Dass die Behörde eine weitergehende Auskunft verweigerte, wertet der Senat nicht als konkludente Ablehnung des Schadensersatzes, weil dieser ein neuer, nachgelagerter Streitgegenstand ist (Rn. 28–30). Das Erfordernis verstößt weder gegen den Gleichheitssatz noch gegen den unionsrechtlichen Effektivitätsgrundsatz; der Senat verweist darauf, dass der immaterielle Schaden auch durch eine Entschuldigung ausgeglichen werden kann, über die zunächst der Verantwortliche entscheidet (Rn. 25–26). Die Feststellungsklage war subsidiär, weil der Kläger auf vollständige Auskunft hätte klagen können (Rn. 34–35). Eine Vorlage an den EuGH hielt der Senat wegen eindeutiger Rechtslage für entbehrlich (Rn. 60–62).

Hintergrund und Einordnung

Das Urteil fügt sich in eine Reihe von Entscheidungen des IX. Senats zu Art. 15 DSGVO gegenüber Finanzbehörden, auf die er ausdrücklich Bezug nimmt — etwa zur Vorbefassung bei Schadensersatzklagen (IX R 11/23, IX R 17/23) und zur Erfüllung des Auskunftsanspruchs (IX R 25/22, IX R 26/22, IX R 28/23). Die Frage, ob Verantwortliche eine Art.-15-Auskunft eidesstattlich versichern müssen, ist damit nicht allgemein beantwortet: Leitsatz 2 beschränkt die Absage an die BGB-Analogie auf Finanzbehörden im Anwendungsbereich von § 32i AO. Im Zivil- und Arbeitsrecht bleibt die vom BFH selbst referierte Gegenposition (BAG, OLG Dresden) bestehen; die grundsätzlichen Zweifel des Senats an einer Lücke in der DSGVO sind aber ein Argument, auf das sich auch private Verantwortliche künftig berufen werden.

Für die Praxis bedeutet das: Wer gegenüber dem Finanzamt eine unvollständige Auskunft vermutet, sollte nicht die eidesstattliche Versicherung verlangen, sondern auf vollständige Auskunft klagen — das Finanzgericht prüft dann selbst, ob Zweifel an der Vollständigkeit bestehen. Wer Schadensersatz will, muss ihn zuerst bei der Behörde geltend machen; erst danach ist die Klage zulässig, sofern die Behörde den Anspruch nicht schon klar und endgültig abgelehnt hat. Für Datenschutzbeauftragte in Behörden heißt es umgekehrt: Eine bloße Vollständigkeitserklärung reicht nicht, wenn die Akte Zweifel weckt — der Auskunftsprozess muss so dokumentiert sein, dass er vor Gericht trägt.

Originalurteil

Der vollständige Urteilstext ist über die folgende Quelle abrufbar:

https://www.bundesfinanzhof.de/de/entscheidung/entscheidungen-online/detail/STRE202610168/