BFH, Urteil v. 30.06.2026 – IX R 2/25
Kurzzusammenfassung
Wer eine Auskunft nach Art. 15 DSGVO erhält und deren Richtigkeit oder Vollständigkeit bezweifelt, kann jedenfalls von einer Finanzbehörde nicht verlangen, dass diese ihre Angaben an Eides statt versichert. Der BFH stellt klar: Weder Art. 15 DSGVO noch die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO begründen einen solchen Anspruch. Auch die zivilrechtlichen Vorschriften über die eidesstattliche Versicherung nach §§ 259, 260 BGB helfen im Verhältnis zu einer Finanzbehörde nicht weiter. Für die Praxis fast wichtiger ist die Kehrseite dieser Entscheidung: Eine Finanzbehörde kann eine möglicherweise unvollständige Auskunft nicht dadurch „erledigen“, dass sie deren Vollständigkeit lediglich förmlich bestätigt. Bestehen Zweifel an der sorgfältigen Bearbeitung, bleibt der Anspruch auf eine tatsächlich vollständige und zutreffende Auskunft nach Art. 15 DSGVO bestehen. Das Finanzgericht kann dies inhaltlich überprüfen.
Daneben bestätigt der BFH seine Rechtsprechung zu Schadensersatzansprüchen nach Art. 82 DSGVO gegen Finanzbehörden: Vor einer Klage muss der Anspruch grundsätzlich zunächst gegenüber der Behörde geltend gemacht werden.
Worum ging es?
Der Kläger hatte im November 2021 von einer Finanzbehörde Auskunft nach Art. 15 DSGVO sowie Kopien seiner personenbezogenen Daten verlangt. Die Behörde erteilte die Auskunft im Dezember 2021. Der Kläger hielt sie offenbar für nicht vollständig und verlangte deshalb anschließend eine eidesstattliche Versicherung über deren Richtigkeit und Vollständigkeit. Die Finanzbehörde lehnte dies ab. Vor dem Finanzgericht verlangte der Kläger schließlich unter anderem 1.500 Euro Schadensersatz, die eidesstattliche Versicherung der Richtigkeit und Vollständigkeit der Auskunft sowie die Feststellung verschiedener Datenschutzverstöße. Das Finanzgericht Berlin-Brandenburg wies die Klage ab. Die hiergegen gerichtete Revision zum BFH blieb ebenfalls erfolglos.
Entscheidungsgründe
Der BFH sieht zunächst keine Grundlage in der DSGVO für die verlangte eidesstattliche Versicherung. Ein solcher Anspruch ergibt sich weder aus Art. 15 DSGVO noch aus den weiteren Betroffenenrechten oder den Rechtsschutzvorschriften der DSGVO. Insbesondere lässt er sich nicht aus der Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO herleiten. Diese Vorschrift enthält zwar eine Beweislastregel hinsichtlich der Einhaltung der Grundsätze des Art. 5 Abs. 1 DSGVO. Daraus folgt aber keine Verpflichtung, die Richtigkeit und Vollständigkeit einer Auskunft nach Art. 15 DSGVO an Eides statt zu versichern.
Auch §§ 259 Abs. 2, 260 Abs. 2 BGB greifen unmittelbar nicht ein. Interessant sind die Ausführungen des BFH zu einer entsprechenden Anwendung dieser Vorschriften. Der Senat äußert bereits erhebliche Zweifel daran, ob die DSGVO insoweit überhaupt eine planwidrige Regelungslücke enthält. Die DSGVO regelt das Verhältnis zwischen Verantwortlichem und betroffener Person grundsätzlich unmittelbar und enthält keine allgemeine Öffnungsklausel, aufgrund derer zusätzliche nationale Ansprüche geschaffen werden könnten. Abschließend entscheiden musste der BFH diese Frage allerdings nicht.
Jedenfalls bei einer Finanzbehörde fehlt es nach Ansicht des BFH an einer mit dem Zivilrecht vergleichbaren Interessenlage. Im Zivilrecht kann die eidesstattliche Versicherung dazu dienen, einen Auskunftsanspruch abzuschließen. Gerade dieses Modell passt nach Auffassung des BFH nicht zum datenschutzrechtlichen Auskunftsanspruch gegenüber einer Behörde. Der BFH betont vielmehr: Art. 15 DSGVO ist erst erfüllt, wenn die Behörde zumindest konkludent erklärt hat, vollständig und zutreffend Auskunft erteilt zu haben, und beim Finanzgericht keine Zweifel an dieser Vollständigkeitserklärung verbleiben. Bestehen Anhaltspunkte dafür, dass die Auskunft nicht mit der erforderlichen Sorgfalt erteilt wurde, kann weiterhin eine vollständige und zutreffende Auskunft verlangt werden.
Auch mit seinem Schadensersatzbegehren hatte der Kläger keinen Erfolg. Der BFH bestätigt seine bisherige Rechtsprechung, wonach eine Klage auf Schadensersatz nach Art. 82 DSGVO gegen eine Finanzbehörde grundsätzlich voraussetzt, dass der Anspruch zuvor gegenüber der Behörde geltend gemacht wurde. Nur wenn dies offensichtlich eine bloße Förmelei wäre, weil die Behörde ihre endgültige Ablehnung bereits eindeutig erkennen ließ, kann etwas anderes gelten.
Anmerkungen zum Urteil
Die Entscheidung enthält zunächst eine klare Aussage, deren Reichweite allerdings nicht überschätzt werden sollte. Unmittelbar entschieden hat der BFH die Situation einer datenschutzrechtlich auskunftspflichtigen Finanzbehörde. Für privatwirtschaftliche Verantwortliche ist die Frage einer ergänzenden Anwendung der §§ 259, 260 BGB damit nicht abschließend geklärt.
Das ist besonders relevant, weil der BFH selbst darauf hinweist, dass hierzu unterschiedliche Auffassungen bestehen. Er verweist unter anderem auf Entscheidungen des Bundesarbeitsgerichts und des OLG Dresden, nach denen eine entsprechende Anwendung jedenfalls in Betracht kommt. Der BGH hatte die Frage bislang offengelassen. Der BFH äußert nun zwar erhebliche grundsätzliche Zweifel daran, ob angesichts der abschließenden Regelung der DSGVO überhaupt Raum für einen zusätzlichen, aus nationalem Recht hergeleiteten Anspruch besteht. Eine abschließende Entscheidung hierzu trifft er aber ausdrücklich nicht.
Für Unternehmen bedeutet das: Aus dem Urteil sollte nicht die allgemeine Aussage abgeleitet werden, dass Verantwortliche bei jeder Art.-15-Auskunft unter keinen Umständen mit einem Verlangen nach eidesstattlicher Versicherung konfrontiert werden können. Genau diese weitergehende Frage lässt der BFH offen.
Bemerkenswert ist außerdem, dass die Entscheidung den eigentlichen Auskunftsanspruch eher stärkt als schwächt. Die Behörde soll sich bei Zweifeln an der Vollständigkeit gerade nicht durch eine formale Versicherung von weiteren Auskünften befreien können. Das Gericht muss vielmehr überprüfen können, ob der Anspruch aus Art. 15 DSGVO tatsächlich vollständig erfüllt wurde.
Die Entscheidung fügt sich insoweit in die bisherige Rechtsprechung des IX. Senats ein. Der BFH verweist selbst auf mehrere Entscheidungen aus den Jahren 2025 und 2026 zu den Voraussetzungen der Erfüllung von Art. 15 DSGVO sowie zu den prozessualen Anforderungen bei Schadensersatzansprüchen gegen Finanzbehörden. Einen grundlegenden Kurswechsel enthält das Urteil daher nicht. Neu und besonders praxisrelevant ist aber die deutliche Positionierung zur eidesstattlichen Versicherung im Verhältnis zu Finanzbehörden.
Gibt es hier Handlungsbedarf?
Für Unternehmen ändert das Urteil die Organisation von Auskunftsprozessen nach Art. 15 DSGVO nicht grundlegend. Es unterstreicht aber, dass die inhaltliche Vollständigkeit und Nachvollziehbarkeit einer Auskunft entscheidend bleibt.
Unternehmen sollten daher insbesondere:
- einen dokumentierten Prozess für Auskunftsersuchen nach Art. 15 DSGVO vorhalten,
- sämtliche relevanten Systeme, Fachabteilungen und gegebenenfalls Auftragsverarbeiter in die Datensuche einbeziehen,
- nachvollziehbar dokumentieren, welche Datenquellen für die Auskunft geprüft wurden,
- vor Versand kontrollieren, ob die Auskunft vollständig und widerspruchsfrei ist,
- bei Nachfragen wegen vermeintlich fehlender Daten nicht lediglich die bisherige Auskunft wiederholen, sondern die beanstandeten Datenbestände erneut prüfen,
- Forderungen nach einer eidesstattlichen Versicherung nicht vorschnell unter Hinweis auf dieses BFH-Urteil zurückweisen, da die Entscheidung unmittelbar eine Finanzbehörde betrifft und der BFH die Rechtslage für privatrechtliche Verantwortliche ausdrücklich nicht abschließend entschieden hat. Versuchen kann man es allerdings :-).
Gerade der letzte Punkt ist wichtig: Das Urteil ist für Unternehmen ein starkes Argument gegen die Annahme, aus der DSGVO selbst folge ein Anspruch auf eidesstattliche Versicherung. Ob daneben im Zivilrechtsverhältnis eine entsprechende Anwendung der §§ 259, 260 BGB möglich bleibt, ist jedoch weiterhin nicht höchstrichterlich abschließend geklärt.
Unsere Kanzlei steht Unternehmen gerne bei Fragen zum datenschutzrechtlichen Auskunftsanspruch nach Art. 15 DSGVO, zur rechtssicheren Organisation von Betroffenenanfragen und zur Abwehr datenschutzrechtlicher Ansprüche zur Verfügung.
Ebenfalls für diese Fragen könnte interessant sein:
Neue GDD Praxishilfe Checkliste zu Auskunftsersuchen – der Beitrag behandelt unmittelbar die organisatorische und praktische Umsetzung von Auskunftsersuchen nach Art. 15 DSGVO.
Schadensersatz nach der DSGVO: Bereits Sorge und Kontrollverlust können einen immateriellen Schaden begründen – insbesondere interessant im Zusammenhang mit dem auch in der BFH-Entscheidung behandelten Schadensersatzanspruch nach Art. 82 DSGVO.