Datenschutzansprüche vor dem Finanzgericht – neue Maßstäbe für die Praxis
Mit Beschluss vom 15. September 2025 (Az. IX R 10/23) hat der Bundesfinanzhof eine bedeutsame Entscheidung zum Schadensersatzanspruch nach Artikel 82 der Datenschutz-Grundverordnung getroffen. Im Zentrum steht die Frage, unter welchen Voraussetzungen Betroffene Schadensersatzansprüche wegen Datenschutzverstößen gegenüber einer Finanzbehörde vor dem Finanzgericht geltend machen können. Der Bundesfinanzhof stellte klar, dass eine solche Klage unzulässig bleibt, wenn der Anspruch nicht zuvor gegenüber der Behörde selbst geltend gemacht und von dieser abgelehnt wurde. Damit präzisiert das Gericht die Anforderungen an die Zulässigkeit datenschutzrechtlicher Klagen im Bereich der Finanzgerichtsbarkeit und schafft zugleich Orientierung für Unternehmen, Steuerkanzleien und öffentliche Verwaltungen.
Ausgangspunkt war ein Streit zwischen einem Steuerpflichtigen und dem Finanzamt über vermeintliche Verstöße gegen Datenschutzvorschriften. Der Kläger hatte neben Auskunfts- und Feststellungsbegehren auch immateriellen Schadensersatz in Höhe von 5.000 Euro gefordert. Da die Finanzbehörde seinen Schadensersatzanspruch vorprozessual nicht behandelt hatte, sah der Bundesfinanzhof die erforderliche Beschwer nach § 40 Absatz 2 Finanzgerichtsordnung als nicht gegeben an. Diese Beschwer ist eine prozessuelle Voraussetzung, die sicherstellt, dass die gerichtliche Überprüfung erst dann stattfindet, wenn zuvor eine behördliche Entscheidung über das streitige Begehren vorliegt.
Rechtliche Bewertung und Einordnung in das Verfahrensrecht
Der Bundesfinanzhof stellte im Kern fest, dass das geltende nationale Prozessrecht auch im datenschutzrechtlichen Kontext Gültigkeit behält. Nach § 40 Absatz 2 Finanzgerichtsordnung ist die Erhebung einer Klage nur zulässig, wenn der Kläger durch eine behördliche Entscheidung in seinen Rechten verletzt wird. Da der Kläger seinen Anspruch auf Schadensersatz nach Artikel 82 Datenschutz-Grundverordnung ohne vorherigen Antrag bei der Finanzbehörde vor Gericht gebracht hatte, fehlte diese Voraussetzung. Das Gericht betonte, dass die Datenschutz-Grundverordnung den Mitgliedstaaten ausdrücklich überlässt, wie die vorgesehenen Rechtsbehelfe verfahrensrechtlich auszugestalten sind, solange sie die Grundsätze der Äquivalenz und Effektivität wahren. Mit anderen Worten: nationale Vorschriften dürfen die gerichtliche Durchsetzung unionsrechtlicher Rechte nicht faktisch unmöglich machen, wohl aber an formale Voraussetzungen knüpfen, wie die vorherige Befassung der Verwaltung.
Die Entscheidung nimmt Bezug auf die Rechtsprechung des Europäischen Gerichtshofs, wonach nationale Verfahrensregeln grundsätzlich das Vorgehen bei der Geltendmachung von Datenschutzansprüchen bestimmen dürfen. Eine Pflicht zur vorherigen Behördenbefassung stehe weder im Widerspruch zum Unionsrecht noch behindere sie die Durchsetzung individueller Rechte in unverhältnismäßiger Weise. Dadurch wird klar, dass der Weg zu einer gerichtlichen Klärung datenschutzrechtlicher Schäden zunächst über eine interne Prüfung durch die zuständige Behörde führen muss. Für steuerliche Verfahren bedeutet dies, dass auch datenschutzbedingte Schadensersatzforderungen, die beispielsweise auf fehlerhafte Datenverarbeitung im Rahmen des Besteuerungsverfahrens zurückgehen, zunächst gegenüber dem Finanzamt schriftlich geltend zu machen sind, bevor der Finanzrechtsweg eröffnet ist.
Folgen und Praxisrelevanz für Unternehmen, Steuerberatende und Finanzwesen
Die Entscheidung ist weitreichend und betrifft nicht nur Finanzverwaltungen, sondern auch steuerberatende Unternehmen, Körperschaften des öffentlichen Rechts sowie Betriebe, die regelmäßig personenbezogene Daten im steuerlichen Kontext verarbeiten. Gerade kleine Unternehmen, Pflegeeinrichtungen, Krankenhäuser und Onlinehändler, die aufgrund umfangreicher Prozessdigitalisierung sensible Daten an Finanzbehörden übermitteln, sollten ihre internen Datenschutz- und Compliance-Strukturen überprüfen. Wenn etwa eine Arztpraxis beanstandet, dass ein Finanzamt Patientendaten unsachgemäß nutzt, kann sie künftig nur dann vor dem Finanzgericht auf Schadensersatz klagen, wenn zuvor ein ausdrücklicher Antrag auf Entschädigung gestellt und von der Behörde abgelehnt wurde.
Für Steuerberaterinnen und Steuerberater bedeutet dies, dass sie Mandanten künftig verstärkt darauf hinweisen müssen, datenschutzrechtliche Schadenersatzansprüche zunächst außergerichtlich geltend zu machen. Eine direkte Klageeinreichung ohne vorangegangene behördliche Befassung wird regelmäßig als unzulässig verworfen werden. Auch für Onlinehändler, die mit Finanzämtern in Kontakt stehen, etwa über elektronische Meldesysteme oder bei der Übermittlung umsatzsteuerlicher Daten, gilt dieselbe Vorsicht. Sollte ein Datenschutzverstoß vermutet werden, etwa durch fehlerhafte Datenübernahme im Rahmen digitaler Schnittstellen, ist ein klar dokumentiertes Vorverfahren unerlässlich. Erst wenn die Finanzbehörde den Antrag ablehnt oder in angemessener Frist keine Entscheidung trifft, kann eine gerichtliche Überprüfung angestrebt werden.
Die Entscheidung stärkt die Effizienz des verwaltungsinternen Rechtsschutzes. Sie zwingt Unternehmen und Behörden zu einer funktionierenden Kommunikation und verhindert, dass Gerichte ohne vorherige Verwaltungsentscheidung über datenschutzrechtliche Ansprüche urteilen. Insbesondere für mittelständische Betriebe mit eigener Buchhaltung und IT-Infrastruktur eröffnet dies zugleich den Anreiz, datenschutzbezogene Prozesse zu standardisieren und Beschwerden systematisch zu dokumentieren. Eine transparente Ablauforganisation, klare Zuständigkeiten und nachvollziehbare Verfahrensschritte in der Datenverarbeitung helfen, künftige Rechtsstreitigkeiten zu vermeiden und die Nachweispflichten gegenüber Behörden und Gerichten zu erfüllen.
Fazit: Verfahrenssicherheit durch frühe Behördenerklärung
Der Bundesfinanzhof hat mit seiner Entscheidung zur Zulässigkeit von Datenschutz-Schadensersatzklagen die rechtlichen Rahmenbedingungen für die Praxis deutlich geschärft. Unternehmen und ihre Berater müssen künftig eine sorgfältige Verfahrensvorbereitung gewährleisten und können nicht unmittelbar auf gerichtlichen Rechtsschutz hoffen, ohne zuvor die Finanzbehörde mit einem entsprechenden Antrag befasst zu haben. Durch diesen formalen Zwischenschritt erfolgt eine Entlastung der Finanzgerichte und eine Stärkung des behördlichen Datenschutzmanagements. Für kleine Unternehmen, Steuerkanzleien und Digitalsystemanbieter bietet die Entscheidung eine wertvolle Orientierung, wie datenschutzbezogene Beschwerdeprozesse künftig effizient gestaltet werden können.
Unsere Kanzlei begleitet kleine und mittelständische Unternehmen bei der Optimierung ihrer buchhalterischen und steuerlichen Prozesse und setzt konsequent auf digitale Lösungen. Durch gezielte Prozessoptimierung und Automatisierung in der Buchhaltung lassen sich nicht nur Compliance-Risiken reduzieren, sondern auch erhebliche Kostenersparnisse erzielen. Wir unterstützen Unternehmen aller Branchen – von Pflegeeinrichtungen bis zu Onlinehändlern – bei der Digitalisierung und der rechtskonformen Gestaltung ihrer Verwaltungsabläufe.
Gerichtsentscheidung lesen
