Datenschutzschadenersatz nach DSGVO erfordert behördliche Ablehnung

Neue Rechtsprechung zum Schadenersatz nach Datenschutz-Grundverordnung

Mit Beschluss vom 15. September 2025 hat der Bundesfinanzhof im Verfahren IX R 11/23 klargestellt, dass eine Klage auf Schadenersatz nach Artikel 82 der Datenschutz-Grundverordnung nur zulässig ist, wenn zuvor eine ausdrückliche oder konkludente Ablehnung des Anspruchs durch die zuständige Finanzbehörde erfolgt ist. Dies bedeutet, dass vor der Anrufung der Finanzgerichte zwingend eine sogenannte Beschwer im Sinne von § 40 Absatz 2 der Finanzgerichtsordnung bestehen muss. Damit vertieft der Bundesfinanzhof seine bereits 2024 begonnene Linie zur prozessualen Handhabung von Ansprüchen mit Datenschutzbezug. Ausgangspunkt der Entscheidung war der Versuch einer Unternehmerin, im Rahmen eines finanzgerichtlichen Verfahrens immateriellen Schadenersatz wegen der Weitergabe einer Mobilfunknummer an eine Landesbehörde geltend zu machen. Der Bundesfinanzhof wies das Begehren ab, weil der Anspruch nicht zuvor bei der Finanzbehörde beantragt und folglich keine Beschwer im Sinne der Finanzgerichtsordnung gegeben war.

Diese Entscheidung hat erhebliche Bedeutung, da sie den Schnittpunkt zwischen Steuerverfahrensrecht und Datenschutzrecht beleuchtet – ein Bereich, der durch die Digitalisierung der Verwaltung zunehmend Relevanz gewinnt. Unternehmen, Steuerkanzleien und Finanzinstitute sollten die Entscheidung aufmerksam verfolgen, weil datenschutzrechtliche Fragen in steuerlichen Prüfungsabläufen immer häufiger auftreten.

Verfahrensrechtliche Anforderungen und Begründung des Gerichts

Der Bundesfinanzhof stellte in seiner Entscheidung prägnant heraus, dass der Schadenersatz nach Artikel 82 Datenschutz-Grundverordnung nicht isoliert im finanzgerichtlichen Verfahren geltend gemacht werden kann, solange die Finanzbehörde nicht über das entsprechende Begehren entschieden hat. Das Gericht begründet dies mit dem Erfordernis einer vorherigen behördlichen Befassung, das integraler Bestandteil der Sachurteilsvoraussetzungen nach § 40 Absatz 2 Finanzgerichtsordnung sei. Fehlt diese, ist eine Klage nicht lediglich unbegründet, sondern unzulässig. Die sogenannte Beschwer dient dem Zweck, der Verwaltung zunächst Gelegenheit zu geben, in eigener Zuständigkeit über das Begehren zu entscheiden und damit möglicherweise ein Gerichtsverfahren zu vermeiden.

Juristisch lehnt sich der Bundesfinanzhof hierbei an den Effektivitäts- und Äquivalenzgrundsatz des europäischen Prozessrechts an. Diese Grundsätze verpflichten die Mitgliedstaaten, unionsrechtliche Ansprüche nach nationalen Maßstäben zu gewähren, ohne den Rechtsschutz faktisch zu vereiteln oder zu erschweren. Die Richter betonten, dass das Erfordernis einer behördlichen Vorbefassung die Ausübung von Betroffenenrechten nicht unzulässig einschränke, sondern vielmehr der verfahrensökonomischen Klarheit diene. Damit grenzt sich der Bundesfinanzhof ausdrücklich von der sozialgerichtlichen Rechtsprechung ab, die für vergleichbare Ansprüche nach Artikel 82 Datenschutz-Grundverordnung keine vorherige Verwaltungsentscheidung verlangt. Dieses sachlich differenzierte Verständnis beruht auf der unterschiedlichen Ausgestaltung der Verfahrensordnungen: Während das Sozialgerichtsgesetz keine Beschwer im Sinne des § 40 Finanzgerichtsordnung kennt, ist sie im steuerlichen Verfahren zwingende Voraussetzung der Zulässigkeit.

Auch aus europarechtlicher Sicht erscheint die Entscheidung konsequent. Der Gerichtshof der Europäischen Union hat wiederholt betont, dass die Durchführung datenschutzrechtlicher Ansprüche den Mitgliedstaaten überlassen bleibt, solange die praktische Wirksamkeit des Datenschutzrechts gewahrt bleibt. Insoweit bestätigt der Bundesfinanzhof die Vereinbarkeit der nationalen Zulässigkeitsvoraussetzungen mit Artikel 79 und Artikel 82 Datenschutz-Grundverordnung.

Relevanz und praktische Folgen für Unternehmen und Berater

Für Unternehmerinnen und Unternehmer, Steuerberatende sowie Finanzdienstleister ergibt sich aus dieser Rechtsprechung eine klare Handlungsempfehlung: Wer Datenschutzverstöße im steuerlichen Kontext geltend machen möchte, muss zunächst den Verwaltungsweg beschreiten und den Anspruch ausdrücklich bei der zuständigen Behörde anmelden. Erst nach einer ablehnenden Entscheidung – oder einer konkludenten Verweigerung – ist der Weg zu den Finanzgerichten eröffnet. Dies gilt auch für immaterielle Schäden, die häufig bei unbefugter Datenweitergabe, Einsichtnahme in elektronische Buchhaltungsunterlagen oder fehlerhafter Verarbeitung von Steuerdaten in digitalisierten Systemen entstehen können.

Gerade kleinere Unternehmen und Pflegeeinrichtungen, die zunehmend digitale Buchführungssysteme einsetzen, sind gefordert, interne Datenschutzprozesse so zu gestalten, dass sie im Konfliktfall saubere Verfahrenswege einhalten können. Onlinehändler etwa, deren Kundendaten in steuerlichen Prüfungen erfasst werden, müssen sich darüber im Klaren sein, dass sie datenschutzrechtliche Ansprüche nur dann erfolgreich gerichtlich durchsetzen können, wenn zuvor ein klar dokumentierter Antrag auf Schadenersatz oder Auskunft an die Finanzverwaltung gestellt wurde. Für mittelständische Unternehmen in der Gesundheits- oder Pflegebranche, die vielfach sensible personenbezogene Informationen verarbeiten, gewinnt dieser Aspekt besondere Bedeutung, da Verstöße gegen Datenschutzvorgaben nicht nur bußgeldrechtliche, sondern auch haftungsrechtliche Folgen haben können.

Aus Sicht der Steuerberatungspraxis bedeutet die Entscheidung, dass Datenschutzansprüche konsequent in den internen Ablauf der Mandatsbearbeitung integriert werden müssen. Das betrifft sowohl die Mandantenkommunikation als auch die Dokumentation von Prüfungsvorgängen. Kanzleien sollten dokumentieren, wann und in welcher Form Schadenersatzforderungen geltend gemacht wurden, um gegebenenfalls die notwendige Beschwer nachweisen zu können. Zugleich erfordert die Entscheidung ein erhöhtes Bewusstsein für die Schnittstellen zwischen Steuerverfahrensrecht und Datenschutz, insbesondere im Zusammenhang mit Außenprüfungen und digitalem Datenaustausch zwischen Behörden.

Fazit: Datenschutzrechtliche Ansprüche brauchen klare Prozessvoraussetzungen

Der Bundesfinanzhof stärkt mit dieser Entscheidung die Systematik des steuerlichen Prozessrechts und stellt klar, dass Datenschutzansprüche nicht außerhalb der gesetzlich vorgesehenen Verfahren geltend gemacht werden dürfen. Unternehmen, Verwaltungen und Berater sollten dies als Anlass nehmen, ihre internen Abläufe kritisch zu prüfen und sicherzustellen, dass datenschutzrechtliche Begehren korrekt adressiert werden. Fehlerhafte Verfahrenseinleitungen können künftig zu erheblichen Kosten- und Zeitverlusten führen. Für kleine und mittelständische Unternehmen lohnt sich die frühzeitige Abstimmung mit erfahrenen steuerrechtlich versierten Datenschutzexperten, um Risiken einer unzulässigen Klage zu vermeiden.

Unsere Kanzlei begleitet Unternehmen – vom kleineren Betrieb über mittelständische Pflegeeinrichtungen bis hin zu digital tätigen Onlinehändlern – bei der Optimierung ihrer Buchhaltungsprozesse und der Einführung digitaler Abläufe. Durch fokussierte Prozessautomatisierung und rechtssichere Digitalisierung in der Steuerpraxis erzielen unsere Mandanten nachweislich erhebliche Effizienz- und Kostenvorteile.