BFH-Urteil: Kein Verweigerungsrecht bei DSGVO-Auskunftsanfragen wegen hohen Aufwands

Der Bundesfinanzhof (BFH) hat am 14. Januar 2025 ein wichtiges Urteil zur Durchsetzung des Auskunftsrechts nach Art. 15 DSGVO gefällt (Az.: IX R 25/22). Demnach kann eine Behörde oder ein Unternehmen eine DSGVO-Auskunft nicht mit der Begründung verweigern, dass die Erteilung der Auskunft einen „unverhältnismäßigen Aufwand“ verursache.

Hintergrund

Ein Kläger hatte von einem Finanzamt umfassende Auskunft über die von ihm gespeicherten personenbezogenen Daten verlangt. Das Finanzamt stellte ihm zwar einige Daten bereit, verweigerte aber die vollständige Auskunft mit Verweis auf den hohen Bearbeitungsaufwand. Das Finanzgericht gab dem Finanzamt recht, woraufhin der Kläger Revision einlegte.

Wesentliche Feststellungen: s

1. Kein Verweigerungsrecht wegen hohen Aufwands
   Der BFH entschied, dass sich aus Art. 15 DSGVO kein Recht ableiten lässt, eine Auskunft zu verweigern, weil die Bereitstellung der Daten mit erheblichem Aufwand verbunden ist.

2. „Exzessive Anfragen“ müssen nachgewiesen werden
   Eine Behörde oder ein Unternehmen kann eine Anfrage nur dann ablehnen, wenn sie offenkundig unbegründet oder exzessiv ist. Die Nachweispflicht hierfür liegt beim Verantwortlichen – allein eine große Datenmenge oder ein weitgefasstes Auskunftsersuchen reichen nicht aus.

3. Das Recht auf Kopien personenbezogener Daten
   Der Kläger hatte auch Kopien seiner personenbezogenen Daten gefordert. Laut BFH besteht grundsätzlich ein Anspruch darauf, sofern die Kopie für die Wahrnehmung der Datenschutzrechte erforderlich ist.

4. Akteneinsicht ≠ DSGVO-Auskunft
   Die Finanzbehörde argumentierte, dass sie bereits Akteneinsicht gewährt habe. Der BFH stellte klar: Das Recht auf Auskunft nach Art. 15 DSGVO ist nicht mit dem Recht auf Akteneinsicht gleichzusetzen.

Bedeutung für Unternehmen und Datenschutzverantwortliche

Dieses Urteil unterstreicht, dass Unternehmen und Behörden sorgfältig mit DSGVO-Auskunftsanfragen umgehen müssen. Insbesondere folgende Punkte sind relevant:

• Aufwand ist kein Ablehnungsgrund: Auch umfangreiche Anfragen müssen bearbeitet werden.
• Exzessivität erfordert klare Begründung: Unternehmen müssen detailliert nachweisen, dass eine Anfrage missbräuchlich ist.
• Kopien sind bereitzustellen: Betroffene haben das Recht auf Kopien der verarbeiteten personenbezogenen Daten.

Fazit: Verantwortliche sollten ihre Prozesse zur Bearbeitung von DSGVO-Anfragen optimieren, um rechtssicher und effizient zu agieren. Dieses Urteil stärkt die Rechte der Betroffenen und macht deutlich, dass hohe Bearbeitungskosten keine Ausrede für unzureichende Auskunftserteilung sind.