Die fortschreitende Digitalisierung in der Finanzverwaltung wirft zunehmend komplexe Fragen zum Datenschutz auf. Besonders für kleine und mittelständische Unternehmen, Steuerberatende und andere Akteure im Finanzwesen ist entscheidend, zu wissen, welche Rechte und Pflichten sich aus datenschutzrechtlichen Regelungen ergeben. Eine aktuelle Entscheidung des Bundesfinanzhofs bringt hier erstmals mehr Klarheit darüber, unter welchen Voraussetzungen Steuerpflichtige gegenüber einer Finanzbehörde Schadenersatz verlangen können, wenn es zu Verstößen gegen Datenschutzvorschriften kommt.
Schadenersatz und Datenschutzrecht: Der neue Maßstab des BFH
Mit Beschluss vom 15. September 2025 (Aktenzeichen IX R 11/23) hat der Bundesfinanzhof eine Grundsatzentscheidung zur Geltendmachung von Schadenersatzansprüchen nach Artikel 82 der Datenschutz-Grundverordnung gefällt. Der zugrundeliegende Fall betraf eine Steuerpflichtige, die dem zuständigen Finanzamt vorwarf, gegen Datenschutzregeln verstoßen zu haben. Sie machte daraufhin direkt beim Finanzgericht einen Anspruch auf Schadenersatz nach Artikel 82 DSGVO geltend, der jedoch abgewiesen wurde. Das Finanzgericht Berlin-Brandenburg sah keinen ausreichenden Nachweis eines Schadens und verneinte daher den Anspruch.
Der BFH bestätigte dieses Ergebnis, stützte sich allerdings auf eine andere Begründung. Entscheidend sei, dass die betroffene Person zunächst den Anspruch bei der verantwortlichen Finanzbehörde geltend machen müsse. Erst wenn diese den Anspruch ablehne, entstehe eine sogenannte Beschwer, die Voraussetzung dafür ist, dass eine Klage vor Gericht überhaupt zulässig ist. Fehlt diese vorherige Ablehnung, fehlt dem Steuerpflichtigen das erforderliche Rechtsschutzinteresse. Der gerichtliche Weg steht also erst nach einem vorausgehenden außergerichtlichen Verfahren offen.
Bemerkenswert ist, dass der BFH auch für laufende Verfahren eine klare Grenzziehung vornimmt: Eine Erweiterung einer bestehenden Klage um ein Schadenersatzbegehren ist nach dieser Entscheidung unzulässig, da es sich um eine eigenständige Anspruchsgrundlage handelt, die zunächst außergerichtlich geprüft werden muss. Damit stärkt der BFH die Position der Finanzverwaltung, sich zunächst mit einem Vorbringen auseinandersetzen zu dürfen, bevor Gerichte involviert werden.
Datenschutz und Schadensersatz im Lichte des Steuerverfahrensrechts
Die Entscheidung ist in mehrfacher Hinsicht bedeutsam. Sie verdeutlicht, dass die Datenschutz-Grundverordnung zwar auch im steuerlichen Kontext gilt, ihre Durchsetzung aber im Rahmen der bestehenden verfahrensrechtlichen Strukturen steht. Steuerpflichtige müssen die Besonderheiten des Steuerverfahrensrechts beachten, nach dem die Finanzbehörden zunächst für die Prüfung und Entscheidung über Anträge zuständig sind. Die richterliche Kontrolle tritt erst nach einer behördlichen Entscheidung auf den Plan. Damit wird das Zusammenspiel zwischen allgemeinem Datenschutzrecht und speziellen steuerverfahrensrechtlichen Regeln bestätigt und präzisiert.
Artikel 82 DSGVO gewährt grundsätzlich jeder Person, die durch einen Verstoß gegen Datenschutzvorschriften einen materiellen oder immateriellen Schaden erleidet, einen Anspruch auf Schadenersatz. Der BFH stellt nun klar, dass dieser Anspruch – soweit er gegen eine staatliche Stelle wie ein Finanzamt gerichtet ist – nicht unmittelbar vor den Finanzgerichten geltend gemacht werden kann. Der Vorrang der Verwaltung setzt voraus, dass die betroffene Person der Behörde Gelegenheit zur Selbstprüfung gibt. Diese Anforderung dient sowohl der Verfahrensökonomie als auch dem Grundsatz der Verhältnismäßigkeit und vermeidet eine vorschnelle gerichtliche Eskalation.
Für Steuerberatende bedeutet dies, dass sie ihre Mandantinnen und Mandanten umfassend über den richtigen Ablauf informieren müssen. Wer eine Datenschutzverletzung durch eine Finanzbehörde vermutet, sollte zunächst strukturiert dokumentieren, welche Daten betroffen sind, und die Behörde schriftlich zur Stellungnahme auffordern. Erst nach einer ausdrücklichen Ablehnung oder einem Fristablauf kann die gerichtliche Durchsetzung in Betracht gezogen werden.
Konkrete Folgen für Unternehmen und Steuerpraxis
Für kleine und mittelständische Unternehmen, aber auch für spezialisierte Betriebe wie Pflegeeinrichtungen, Krankenhäuser oder Onlinehändler, die regelmäßig steuerlich relevante Daten an Finanzbehörden übermitteln, hat die Entscheidung praxisrelevante Implikationen. Sie verdeutlicht, dass Datenschutzbeschwerden systematisch vorbereitet und formal korrekt eingereicht werden müssen. Fehler in dieser Phase können dazu führen, dass ein eigentlich berechtigtes Anliegen unzulässig wird. Gerade Unternehmen, deren Geschäftsmodell auf sensiblen Kundendaten oder personenbezogenen Gesundheitsinformationen beruht, müssen ihre internen Prozesse und Verantwortlichkeiten prüfen.
Auch für Steuerberatungskanzleien und Finanzinstitute ist die Entscheidung von großer Bedeutung. Sie zeigt, dass Datenschutzrecht nicht isoliert betrachtet werden darf, sondern stets in das komplexe Geflecht aus Steuerverfahrensrecht und Verwaltungsorganisation eingebettet ist. In der Beratungspraxis empfiehlt es sich daher, interne Ablaufpläne zu schaffen, die im Falle eines Datenschutzverstoßes klar festlegen, wer den Erstkontakt mit der Finanzbehörde übernimmt, welche Fristen gelten und wie die Kommunikation dokumentiert wird. Denn nur wer frühzeitig und strukturiert reagiert, kann spätere Haftungs- oder Prozessrisiken minimieren.
Darüber hinaus stärkt das BFH-Verfahren das Vertrauen in die Funktionsfähigkeit der Steuerverwaltung. Unternehmen wissen, dass sie zunächst auf eine behördliche Prüfung zählen können und damit ein schneller, außergerichtlicher Weg zur Verfügung steht. Gleichzeitig wird die Verantwortung, Datenschutzvorfälle glaubhaft nachzuweisen und die damit verbundenen Schäden zu belegen, klar bei der beanspruchenden Seite belassen. Das erfordert gut dokumentierte Datenverarbeitungsprozesse und eine enge Abstimmung zwischen Geschäftsleitung, IT-Abteilung und steuerlicher Beratung.
Fazit: Sorgfalt, Struktur und Digitalisierung als Schlüssel zur Rechtssicherheit
Der aktuelle Beschluss des Bundesfinanzhofs zeigt, dass Schadenersatzansprüche gegen Finanzbehörden wegen Datenschutzverstößen zwar grundsätzlich möglich, aber nur unter klar definierten Voraussetzungen zulässig sind. Unternehmen, die Datenschutzverstöße vermuten, müssen ihre Forderungen zunächst gegenüber der Finanzbehörde geltend machen, bevor der Rechtsweg beschritten werden kann. Dieses Vorgehen erfordert eine sorgfältige Vorbereitung und eine präzise Dokumentation der Vorgänge. Steuerberatende sollten ihre Mandantinnen und Mandanten aktiv dabei unterstützen, die notwendigen Schritte richtig einzuleiten.
Gerade für kleine und mittelständische Unternehmen bietet die Entscheidung die Chance, interne Prozesse im Umgang mit Finanzbehörden und personenbezogenen Daten auf den Prüfstand zu stellen und effizienter zu gestalten. Unsere Kanzlei begleitet Unternehmen bei der digitalen Transformation ihrer Buchhaltung und unterstützt aktiv bei der Prozessoptimierung im steuerlichen Bereich. Durch diese Digitalisierung und die damit verbundenen Kostenersparnisse schaffen wir nachhaltige Strukturen für alle Unternehmensgrößen – vom kleinen Betrieb bis zum mittelständischen Unternehmen.
Gerichtsentscheidung lesen
