Datenauskunft nach DSGVO: Neue Maßstäbe für Unternehmen

Auskunftsrecht nach Datenschutz-Grundverordnung im Fokus der Finanzverwaltung

Mit seiner Entscheidung vom 9. September 2025 (BFH IX R 26/22) hat der Bundesfinanzhof die Reichweite des Auskunftsanspruchs nach Artikel 15 der Datenschutz-Grundverordnung präzisiert und dabei die Grenzen und Pflichten staatlicher Behörden, insbesondere der Finanzverwaltung, neu ausgerichtet. Das Urteil befasst sich mit einem Streit zwischen einer Unternehmergesellschaft, die einen Gastronomiebetrieb führt, und dem Finanzamt, das den Antrag auf umfassende Datenauskunft abgelehnt hatte. Die Klägerin verlangte detaillierte Informationen über sämtliche verarbeiteten personenbezogenen Daten, einschließlich der zugrunde liegenden Verarbeitungsschritte und Formeln aus den Datenanalysen. Diese Auseinandersetzung betrifft nicht nur gastronomische Betriebe, sondern ebenso kleine und mittlere Unternehmen verschiedenster Branchen – von Pflegeeinrichtungen über Krankenhäuser bis hin zu Onlinehändlern –, die im Rahmen von Außenprüfungen mit Fragen zur Verarbeitung ihrer personenbezogenen Daten durch Behörden konfrontiert werden können.

Im Mittelpunkt stand die Frage, ob Unternehmen von der Finanzverwaltung verlangen können, Auskunft über alle gespeicherten personenbezogenen Daten und deren Verwendung zu erhalten, selbst wenn sie die zugrunde liegenden Daten bereits kennen. Der Bundesfinanzhof entschied, dass die Auskunftspflicht nicht entfällt, nur weil der Betroffene über die begehrten Informationen teilweise bereits verfügt. Damit stärkt der BFH die Transparenzpflichten der Finanzverwaltung und betont den eigenständigen Charakter des datenschutzrechtlichen Auskunftsrechts.

Rechtliche Analyse und systematische Einordnung der Entscheidung

Die datenschutzrechtliche Ausgangsnorm ist Artikel 15 Absatz 1 Datenschutz-Grundverordnung, der jeder betroffenen Person ein umfassendes Recht auf Information über die von einem Verantwortlichen verarbeiteten personenbezogenen Daten gewährt. Der Bundesfinanzhof stellt klar, dass dieses Recht weder durch die Kenntnis der Daten noch durch den Umstand begrenzt wird, dass eine Verarbeitung im Zusammenhang mit einem laufenden steuerrechtlichen Verfahren erfolgt. Entscheidend ist allein, dass der Verantwortliche personenbezogene Informationen im Sinne des Artikel 4 Nummer 1 Datenschutz-Grundverordnung verarbeitet. Dazu zählen ausdrücklich auch maschinell ausgewertete Daten oder aus Analysen gezogene Schlussfolgerungen über eine Person oder ein Unternehmen.

Der Begriff der personenbezogenen Daten erhält durch das Urteil eine praxisrelevante Weite: Unter den Schutz fallen nicht nur originär erhobene Daten, sondern auch alle verarbeiteten, berechneten oder generierten Informationen, sofern sie – unmittelbar oder mittelbar – Rückschlüsse auf eine identifizierbare Person oder Organisation zulassen. Das Gericht bekräftigt damit die Auslegung, die bereits der Europäische Gerichtshof vertreten hat, wonach der Begriff der Information im datenschutzrechtlichen Kontext umfassend zu verstehen ist.

Von besonderem Interesse ist der Umgang des BFH mit automatisierten Verarbeitungen. Eine „ausschließlich automatisierte Entscheidung“ im Sinne von Artikel 22 Datenschutz-Grundverordnung liegt nach Auffassung des Gerichts nicht vor, wenn ein Mensch das maschinenbasierte Ergebnis überprüft und bestätigt. Damit wird klargestellt, dass selbst der Einsatz von Risikomanagementsystemen bei Außenprüfungen nicht zu einer automatisierten Einzelentscheidung führt, solange das Ergebnis von einem Amtsträger überprüft wird. Zugleich bleibt aber das Auskunftsrecht über die zugrunde liegenden personenbezogenen Daten bestehen.

1. Das Gericht betont die Trennung zwischen dem Recht auf Information und dem Recht auf Einsichtnahme in Unterlagen. Der Auskunftsanspruch nach Artikel 15 Datenschutz-Grundverordnung umfasst keine Offenlegung allgemeiner Arbeitsanweisungen oder komplexer Rechenformeln, wohl aber die Herausgabe der konkreten personenbezogenen Datensätze, die Gegenstand der Verarbeitung sind.
2. Die Finanzverwaltung kann den Anspruch nicht mit dem Hinweis auf bereits bekannte Informationen abwehren. Diese Argumentation, die das Finanzgericht Münster zunächst akzeptiert hatte, verkennt nach Ansicht des BFH den Schutzzweck der Datenschutz-Grundverordnung, nämlich Transparenz und Überprüfbarkeit der Rechtmäßigkeit der Datenverarbeitung sicherzustellen.
3. Auch nationale Vorschriften, etwa die Paragrafen 32a bis 32c der Abgabenordnung, rechtfertigen keine Einschränkung des Auskunftsrechts mit der Begründung, der Steuerpflichtige verfüge bereits über die Daten. Die gesetzliche Ausnahmeregelung bezieht sich ausschließlich auf Informationspflichten, nicht auf das Auskunftsrecht selbst.

Mit dieser Argumentation grenzt der BFH die Verwaltungs- gegenüber den Informationspflichten klar ab und stärkt die Position der betroffenen Unternehmen. Der Anspruch auf Auskunft dient gerade dazu, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen – unabhängig davon, ob die Daten bereits bekannt sind oder nicht.

Bedeutung für kleine und mittlere Unternehmen sowie für spezialisierte Branchen

Die Entscheidung hat erhebliche Auswirkungen für die betriebliche Praxis, insbesondere für kleine Unternehmen, Onlinehändler und Einrichtungen im Gesundheitswesen. Sie müssen künftig davon ausgehen, dass sie selbst bei wiederholten Auskunftsanträgen gegenüber Finanzbehörden oder anderen staatlichen Stellen ein Recht auf umfassende Information über die Verarbeitung ihrer Daten haben. Insbesondere im Rahmen von steuerlichen Außenprüfungen kann dies bedeuten, dass Betriebe detaillierte Auskünfte über gespeicherte Prüfungsdateien, elektronische Verfahrensformen oder Datenabgleiche verlangen können. Damit stärkt der BFH die Transparenz zwischen Verwaltung und Steuerpflichtigen und erhöht zugleich die Anforderungen an die Datenorganisation der Behörden.

Für Pflegeeinrichtungen und Krankenhäuser, die häufig mit besonders sensiblen personenbezogenen Daten umgehen, ergibt sich aus der Entscheidung eine zusätzliche rechtliche Grundlage, um behördliche Datenverarbeitungen nachzuvollziehen. Sie können sicherstellen, dass ihre Datenverarbeitung im Einklang mit den datenschutzrechtlichen Vorgaben erfolgt, insbesondere wenn öffentliche Stellen auf Basis von Steuerdaten, Förderinformationen oder Sozialversicherungsdaten handeln. Onlinehändler und andere digital tätige Unternehmen profitieren ebenfalls, da sie im Rahmen der Digitalisierung ihrer Buchhaltung regelmäßig automatisierte Reportings und Datenauswertungen erstellen, die personenbezogene Informationen enthalten können. Auch wenn diese Daten dem Unternehmen inhaltlich bekannt sind, besteht das Recht, von den zuständigen Behörden eine vollständige Auskunft über die bei ihnen gespeicherte Fassung zu erhalten.

Für Steuerberaterinnen und Steuerberater bedeutet das Urteil, dass sie Mandanten künftig intensiver beim Umgang mit Datenschutzanfragen gegenüber den Finanzbehörden beraten sollten. Auch Finanzinstitute und Kreditdienstleister, die häufig auf steuerliche Daten zugreifen, müssen ihre internen Prozesse anpassen, um den Ansprüchen nach Artikel 15 Datenschutz-Grundverordnung in vollem Umfang gerecht zu werden.

Schlussfolgerung für die Unternehmenspraxis und Ausblick

Das BFH-Urteil konkretisiert die Auskunftsrechte von Unternehmen gegenüber der Finanzverwaltung und schärft die Abgrenzung zwischen automatisierter Verarbeitung und menschlicher Entscheidungsverantwortung. Es stärkt die Position der Steuerpflichtigen erheblich, weil Behörden sich nicht mehr darauf berufen können, die angeforderten Informationen seien dem Antragsteller bereits bekannt. Für die Praxis kleiner und mittelständischer Unternehmen entsteht dadurch ein klareres Verständnis des datenschutzrechtlichen Rahmens und eine stärkere Durchsetzungsmöglichkeit der eigenen Informationsrechte.

Unternehmen sind gut beraten, ihre internen Datenschutz- und Prozessstrukturen zu überprüfen und auf wiederkehrende Auskunftsbegehren technisch und organisatorisch vorbereitet zu sein. Denn Transparenz und Nachvollziehbarkeit zählen zunehmend zu den zentralen Compliance-Anforderungen moderner Unternehmensführung. Unsere Kanzlei begleitet kleine und mittelständische Unternehmen bei der Digitalisierung ihrer Buchhaltungsprozesse, der Optimierung interner Abläufe und der Implementierung effizienter Datenschutzstrukturen, die rechtliche Sicherheit und messbare Kosteneffizienz vereinen.