Bundesfinanzhof schließt Hintertür für Datenschutz-Schadensersatz

Steuerpflichtige müssen künftig erst das Finanzamt um Entschädigung bitten, bevor sie vor Gericht ziehen können. Das hat der Bundesfinanzhof (BFH) in einem Grundsatzurteil entschieden – und das Bundesfinanzministerium will diese Linie nun umsetzen.

Der IX. Senat des BFH hat den Weg zu Schadensersatz nach der Datenschutz-Grundverordnung (DSGVO) deutlich erschwert. In seinem Urteil vom Dezember (Az. IX R 11/23) stellt das Gericht klar: Wer gegen ein Finanzamt wegen eines Datenschutzverstoßes klagen will, muss seinen Anspruch zuvor zwingend gegenüber der Behörde selbst geltend gemacht haben. Erst eine ausdrückliche Ablehnung durch das Finanzamt eröffnet den Weg zum Finanzgericht.

„Die Entscheidung bestätigt, dass auch DSGVO-Ansprüche nicht von den grundlegenden Verfahrensregeln der Finanzgerichtsordnung befreit sind“, kommentieren Rechtsexperten. Für Steuerpflichtige bedeutet das eine neue strategische Hürde. Sie müssen nun formell einen Antrag auf Schadensersatz beim zuständigen Finanzamt stellen und dessen Bescheid abwarten, bevor eine Klage zulässig ist.

Anzeige

Passend zum Thema DSGVO-Rechtsschutz: Wer einen Schadensersatzanspruch durchsetzen oder abwehren will, sollte lückenlose Dokumentation parat haben. Mit der kostenlosen Excel‑Vorlage für das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO erstellen Sie in kurzer Zeit prüfungssichere Unterlagen – inklusive Felder für Rechtsgrundlagen, Empfänger und Löschfristen. Ideal für Steuerberater und Datenschutzverantwortliche, die sich auf mögliche Verwaltungsverfahren vorbereiten möchten. Verarbeitungsverzeichnis jetzt kostenlos herunterladen

Keine Erweiterung laufender Verfahren

Besonders relevant ist das Urteil für bereits anhängige Steuerverfahren. Der BFH verwehrt Steuerpflichtigen die Möglichkeit, einen DSGVO-Schadensersatzanspruch einfach in eine laufende Klage gegen einen Steuerbescheid einzubringen. Eine solche Klageerweiterung sei unzulässig, wenn der spezifische Schadensersatzanspruch nicht das vorgeschaltete Verwaltungsverfahren durchlaufen habe.

Im konkreten Fall hatte ein Steuerpflichtiger versucht, einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO in ein bereits laufendes Verfahren einzubringen. Das Finanzgericht Berlin-Brandenburg wies dies als unzulässig ab – eine Auffassung, die der BFH nun bestätigte.

Ministerium setzt Urteil um

Das Bundesfinanzministerium signalisierte am Montag, den 5. Januar 2026, bereits die Umsetzung der neuen Rechtsprechung. In einer aktuellen Meldung verwies das Ministerium auf die Integration des BFH-Urteils in die Verwaltungspraxis. Für Finanzämter bedeutet dies eine klare Handlungsgrundlage: Direkt eingereichte Klagen oder vorzeitige Ansprüche können künftig einfacher als unzulässig zurückgewiesen werden.

Die schnelle Reaktion des Ministeriums zeigt, welchen Verwaltungsaufwand DSGVO-Ansprüche inzwischen verursachen. Durch die vorgeschaltete administrative Prüfung gewinnt die Finanzverwaltung ein Instrument, um Ansprüche zu filtern und gegebenenfalls außergerichtlich zu regeln – und so kostspielige Gerichtsverfahren zu vermeiden.

Strategiewechsel für Steuerberater

Für Steuerberater und Rechtsanwälte erfordert das Urteil eine Anpassung der Verteidigungsstrategie in Datenschutzfällen. Drei Punkte sind jetzt entscheidend:

1. Vorverfahren: Bei einem möglichen Datenschutzverstoß muss umgehend ein formeller Schadensersatzantrag beim Finanzamt gestellt werden.
2. Dokumentation: Der Ablehnungsbescheid des Finanzamts wird zum zwingenden Klagevoraussetzung.
3. Getrennte Verfahren: Schadensersatzansprüche sind nun strikt von Einspruchsverfahren gegen Steuerbescheide zu trennen – selbst wenn sie aus demselben Sachverhalt stammen.

Experten warnen: Wer diese neuen Verfahrenshürden ignoriert, riskiert die sofortige Abweisung seiner Klage als unzulässig. Und das unabhängig davon, ob dem Datenschutzverstoß an sich berechtigt war.

Was kommt als Nächstes?

Mit der klaren Verfahrensregelung dürfte die Zahl überraschender Schadensersatzklagen vor Finanzgerichten sinken. Gleichzeitig könnte die Anzahl der Anträge bei den Finanzämtern steigen, da Steuerpflichtige den neuen Weg gehen müssen.

Rechtsexperten erwarten nun eine Verlagerung der Auseinandersetzung. Die nächste Welle der Rechtsprechung wird sich voraussichtlich mit den materiellen Voraussetzungen für Schadensersatz befassen: Was genau stellt einen „Verstoß“ eines Finanzamts dar? Und ab wann sind immaterielle Schäden entschädigungswürdig? Diese inhaltlichen Fragen rücken in den Fokus, jetzt da der Verfahrensweg geklärt ist.

Anzeige

PS: Droht Ihrem Mandanten ein DSGVO-Schadensersatzfall? Eine rechtssichere Datenschutz-Folgenabschätzung (DSFA) zeigt, ob bestimmte Finanzamts‑Verarbeitungen ein hohes Risiko bergen und dokumentiert die technischen und organisatorischen Maßnahmen. Der gratis Leitfaden enthält Muster‑Vorlagen, Checklisten und eine Schritt‑für‑Schritt‑Anleitung, mit der Datenschutzbeauftragte und Kanzleien DSFAs schnell umsetzen können. Jetzt DSFA‑Muster & Anleitung herunterladen