Das Urteil des Bundesfinanzhofs (BFH) vom 14.01.2025 (Az. IX R 25/22) behandelt zentrale Fragen des Auskunftsanspruchs gemäß Art. 15 DSGVO. Gegenstand des Verfahrens war das Begehren eines Klägers, umfassende Informationen über von einer Finanzbehörde (FA) verarbeitete personenbezogene Daten zu erhalten. Das Finanzamt wies seinen Antrag als unverhältnismäßig zurück. Der Betroffene erhob Klage beim Finanzgericht. Das FG gab der Finanzverwaltung recht und wies die Klage zurück. Der BFH entschied in zweiter Instanz nun zu Gunsten des Klägers.
Der Kläger hatte als Vorstand einer Aktiengesellschaft Auskunft über seine personenbezogenen Daten verlangt, die bei der Finanzbehörde verarbeitet wurden. Die Behörde verweigerte jedoch die umfassende Erfüllung seines Antrags und berief sich teilweise auf den unverhältnismäßigen Aufwand, den die Bearbeitung erfordere, sowie auf eine vermeintliche Exzessivität des Begehrens. Die Vorinstanz hatte die Klage des Klägers abgewiesen. Der BFH hob dieses Urteil jedoch auf und stellte die Rechte von Betroffenen nach Art. 15 DSGVO klar.
Im Wesentlichen hebt der BFH drei zentrale Aussagen in seinem Urteil hervor:
- Unverhältnismäßiger Aufwand ist kein gültiger Ablehnungsgrund: Der Verantwortliche (hier: die Finanzbehörde) kann den Auskunftsanspruch nicht mit dem Hinweis auf einen unverhältnismäßigen Aufwand verweigern. Art. 15 DSGVO enthält keine solche Beschränkung. Aus Sicht des BFH muss die Behörde oder das Unternehmen sicherstellen, dass die betroffene Person alle relevanten personenbezogenen Daten vollständig erhält. Dies schließt die in Art. 15 Abs. 1 DSGVO vorgesehenen Informationen (z. B. Verarbeitungszwecke, Kategorien von Empfängern, geplante Speicherdauer) ein.
- Klare Vorgaben zur Exzessivitätsprüfung: Ein Antrag nach Art. 15 DSGVO gilt nicht automatisch als exzessiv, nur weil er weit gefasst ist. Der Verantwortliche muss darlegen und beweisen, dass ein Antrag tatsächlich rechtsmissbräuchlich oder über das zulässige Maß hinausgehend ist.Die Behörde kann den Antrag des Klägers nicht aufgrund eines hypothetischen Mehraufwands ablehnen. Nach Art. 12 Abs. 5 DSGVO liegt ein exzessiver oder rechtsmissbräuchlicher Antrag nur dann vor, wenn etwa mehrfach ungerechtfertigte, gleichartige Anfragen gestellt werden. Ein solches Fehlverhalten der betroffenen Person muss nachweisbar sein. Damit ist ein weitreichender Antrag allein kein Anlass, von einer Exzessivität auszugehen.
- Auskunftsrecht umfasst nicht automatisch vollständige Akteneinsicht: Der Begriff der „Kopie“ in Art. 15 Abs. 3 DSGVO bezieht sich auf die personenbezogenen Daten selbst, nicht zwingend auf die vollständigen Dokumente oder Akten, in denen diese enthalten sind. Der BFH betonte, dass die Möglichkeit zur Einsichtnahme in Akten (z. B. nach steuerlicher Verfahrensordnung) kein Ersatz für das Auskunftsrecht nach Art. 15 DSGVO ist. Akteneinsicht ist lediglich temporär möglich und erfasst in der Regel die gesamte Akte, während Art. 15 DSGVO auf dauerhaft zugängliche Kopien der relevanten personenbezogenen Daten zielt. Diese Unterscheidung ist für Behörden und Betroffene bedeutsam, da sie die Grenzen und den Anwendungsbereich des DSGVO-Auskunftsrechts klärt.
Fazit
Das Urteil des BFH hat weitreichende Bedeutung für die Datenschutzpraxis, insbesondere im Bereich der Auskunftsrechte gegenüber öffentlichen Behörden. Es schafft Klarheit darüber, dass weder der Einwand eines unverhältnismäßigen Verwaltungsaufwands noch der Verweis auf nationale Regelungen eine Einschränkung der in der DSGVO garantierten Rechte rechtfertigen. Sowohl öffentliche Stellen als auch Privatunternehmen müssen sicherstellen, dass die betroffenen Personen durch umfassende und nachvollziehbare Auskunftserteilungen in die Lage versetzt werden, ihre Datenschutzrechte effektiv wahrzunehmen. Zugleich legt das Urteil hohe Maßstäbe an den Nachweis eines rechtsmissbräuchlichen oder exzessiven Antrags und bietet dadurch Betroffenen eine zusätzliche Absicherung.
Das BFH-Urteil führt zu einem klaren Vorrang der Betroffenenrechte gegenüber administrativen oder finanziellen Belastungen für die Verantwortlichen. Es leistet damit einen wichtigen Beitrag zur Durchsetzung der europäischen Datenschutzregelungen in der Praxis.
Der BFH hebt das Urteil des Finanzgericht auf und hat die Sache zur anderweitigen Verhandlung und Entscheidung an das entsprechende Finanzgericht zurückverwiesen. Nun hat das FG darüber zu entscheiden, ob die Finanzverwaltung im ausreichenden Maß bereits ihre Auskunftspflicht erfüllt hat.