Datenschutzverstoß des Finanzamts: Schadensersatz muss erst bei der Behörde geltend gemacht werden

Personen, denen aufgrund eines Datenschutzverstoßes ein materieller oder immaterieller Schaden entstanden ist, können nach der Datenschutz-Grundverordnung einen Anspruch auf Schadensersatz gegenüber dem Verantwortlichen geltend machen. Betroffene müssen den Schaden und dessen negative Folgen aber stichhaltig nachweisen können; abstrakte Behauptungen ohne Beleg reichen nicht aus.

Der Bundesfinanzhof (BFH) hat kürzlich entschieden, dass Schadensersatzansprüche gegenüber einer Finanzbehörde aufgrund von Verstößen gegen datenschutzrechtliche Regelungen erst dann gerichtlich geltend gemacht werden können, wenn das Amt den Anspruch zuvor abgelehnt hat. Im zugrunde liegenden Fall hatte ein Steuerzahler einen Datenschutzverstoß seines Finanzamts angenommen und unmittelbar beim Finanzgericht (FG) einen Anspruch auf Schadensersatz nach der Datenschutz-Grundverordnung (DSGVO) geltend gemacht. Beim Amt hatte er seinen Anspruch zuvor erst gar nicht deklariert.

Das FG wies die Klage des Manns in erster Instanz ab. Der BFH wies die Revision dagegen nun als unbegründet zurück und erklärte, dass die gerichtliche Geltendmachung eines Anspruchs auf Schadensersatz voraussetze, dass dieser zuvor bei dem für die Datenverarbeitung verantwortlichen Finanzamt geltend gemacht wird. Fehlt es an einer vorherigen Ablehnung des Anspruchs seitens der Finanzbehörde, mangelt es an der für eine Klageerhebung notwendigen Beschwer des Steuerzahlers. Eine ohne vorherige Ablehnung erhobene Klage ist daher unzulässig.

Hinweis: Dem Finanzamt muss zuvor also außergerichtlich die Gelegenheit gegeben werden, den Anspruch auf Schadensersatz zu prüfen und über ihn zu entscheiden. Auch in einem bereits anhängigen Gerichtsverfahren, in dem es um Verstöße gegen datenschutzrechtliche Regelungen geht, kann das bisherige Vorbringen nach dem BFH-Beschluss nicht einfach um ein Schadensersatzbegehren erweitert werden (unzulässige Klageerweiterung).