Juristische Person kann keine DSGVO-Auskunftsrechte nach Art. 15 DSGVO geltend machen

Die DSGVO gilt als Meilenstein im europäischen Datenschutzrecht. Sie verleiht „betroffenen Personen“ umfassende Rechte – unter anderem das Recht auf Auskunft über gespeicherte personenbezogene Daten nach Art. 15 DSGVO.

In der Praxis stellt sich aber immer wieder die Frage: Gilt dieses Auskunftsrecht auch für juristische Personen wie GmbHs, AGs oder Vereine? Können Unternehmen über diesen Weg Einblick in behördliche Akten oder Datenverarbeitungsprozesse verlangen?

Mit Beschluss vom 8. Februar 2024 (Az. IX B 113/22) hat der Bundesfinanzhof (BFH) diese Frage unmissverständlich beantwortet: Nein.

Der Sachverhalt: Eine GmbH fordert DSGVO-Auskunft vom Finanzamt

Im Mittelpunkt des Verfahrens stand eine GmbH, die sich in einem steuerlichen Klageverfahren gegen Umsatzsteuerbescheide für die Jahre 2011 bis 2014 wandte. Die Klägerin verlangte vom zuständigen Finanzamt weitreichende Auskunft gemäß Art. 15 DSGVO.

Gegenstand des Auskunftsbegehrens:

Die GmbH begehrte im Rahmen eines formellen Antrags:

• Vollständige Kopien aus der Gerichtsakte
• Einsicht in sämtliche Verwaltungsakten der Finanzverwaltung
• Auskunft über alle personenbezogenen Daten, die das Finanzamt über sie gespeichert hat

Die Besonderheit: Die GmbH berief sich ausschließlich auf Art. 15 DSGVO, nicht auf das ihr grundsätzlich zustehende Einsichtsrecht nach der Finanzgerichtsordnung (§ 78 FGO).

Rechtsweg:

1. Das Finanzgericht lehnte das Auskunftsbegehren mit der Begründung ab, dass die DSGVO hier keine Anwendung finde.
2. Die Klägerin legte Nichtzulassungsbeschwerde beim BFH ein.
3. Der BFH wies die Beschwerde als unbegründet zurück – mit weitreichender Begründung.

Die zentrale Rechtsfrage

Die juristische Kernfrage lautete:

Kann eine juristische Person (hier: eine GmbH) Auskunft nach Art. 15 DSGVO verlangen, also als „betroffene Person“ im Sinne der DSGVO auftreten?

Die Klägerin bejahte dies. Der BFH verneinte – kategorisch.

Die Entscheidung des BFH: Juristische Personen sind keine „betroffenen Personen“ im Sinne der DSGVO

In seinem Beschluss vom 08.02.2024 – IX B 113/22 führt der Bundesfinanzhof aus, dass sich das Auskunftsrecht nach Art. 15 DSGVO ausschließlich auf natürliche Personen bezieht. Juristische Personen sind nicht vom Anwendungsbereich der Verordnung erfasst.

Die tragenden Argumente des Gerichts im Überblick:

a) Zweck der DSGVO: Schutz natürlicher Personen

Bereits Art. 1 Abs. 1 DSGVO formuliert klar:

„Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen [...] insbesondere deren Recht auf Schutz personenbezogener Daten.“

→ Die DSGVO ist also ausschließlich auf den Schutz natürlicher Personen zugeschnitten.

b) Definition „personenbezogene Daten“ – Art. 4 Nr. 1 DSGVO

„‚Personenbezogene Daten‘ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen […]“

→ Juristische Personen fallen nicht unter diese Definition.

c) Erwägungsgrund 14 der DSGVO – Ausschluss juristischer Personen

Ein besonders zentraler Bezugspunkt ist Erwägungsgrund 14 zur DSGVO:

„Diese Verordnung gilt nicht für die Verarbeitung personenbezogener Daten juristischer Personen, insbesondere von Unternehmen, die als juristische Person gegründet wurden, einschließlich Name, Rechtsform oder Kontaktdaten der juristischen Person.“

→ Damit wird auf Ebene der Gesetzesmotivation ausdrücklich klargestellt: Die DSGVO schützt keine juristischen Personen.

d) Keine Gleichstellung juristischer mit natürlichen Personen

Der BFH verweist zusätzlich auf die ständige Rechtsprechung des EuGH, wonach Informationen über juristische Personen nicht als „personenbezogene Daten“ im Sinne der DSGVO zu qualifizieren sind. Das Grundrecht auf Datenschutz (Art. 8 GRC) sei ein spezifisch menschenbezogenes Recht.

→ Ein Unternehmen kann nicht Träger dieses Grundrechts sein.

Was ist mit Ein-Mann-GmbHs? BFH spricht das Thema an – entscheidet es aber nicht

Ein interessanter Aspekt wird vom BFH zumindest thematisiert – jedoch nicht entschieden:

Könnte in einer sogenannten „Ein-Mann-GmbH“ der Gesellschafter-Geschäftsführer eigene Rechte nach Art. 15 DSGVO geltend machen, wenn ihn die Datenverarbeitung persönlich betrifft?

Antwort des BFH:

Diese Frage bedarf keiner Entscheidung, weil der Antrag nicht im Namen des Gesellschafters, sondern im Namen der GmbH gestellt wurde.

→ Damit bleibt offen, ob eine natürliche Person, die eng mit einer juristischen Person verbunden ist, eigene Rechte geltend machen könnte – etwa, wenn personenbezogene Daten des Geschäftsführers verarbeitet wurden.

Diese Frage dürfte künftig relevant werden, wenn etwa ein Geschäftsführer gleichzeitig Betroffener ist (z. B. bei Ermittlungen gegen eine GmbH, bei denen auch private Daten betroffen sind).

Konsequenzen für die Praxis – Was müssen Unternehmen jetzt beachten?

a) Kein Auskunftsanspruch nach Art. 15 DSGVO für Unternehmen

Unternehmen – gleich welcher Rechtsform – können nicht auf Grundlage der DSGVO Auskunft verlangen. Sie sind keine betroffenen Personen.

b) Korrekte Rechtsgrundlage wählen: § 78 FGO statt DSGVO

Für GmbHs, AGs oder Vereine gilt: Wer Akteneinsicht oder Datenauskunft von Behörden begehrt, muss sich an fachspezifische Verfahrensrechte halten:

• In Finanzverfahren: § 78 FGO (Akteneinsicht)
• In Verwaltungsverfahren: § 29 VwVfG

→ Wer sich auf die DSGVO beruft, läuft Gefahr, abgewiesen zu werden.

c) Abgrenzung beachten: Rechte natürlicher Personen im Unternehmen

Nicht ausgeschlossen ist jedoch, dass natürliche Personen im Unternehmensumfeld eigene Rechte geltend machen können – etwa:

• Geschäftsführer
• Beschäftigte
• Kunden
• Vertragspartner

Voraussetzung: Es müssen personenbezogene Daten über sie persönlich verarbeitet worden sein – und der Antrag muss im eigenen Namen gestellt werden.

Fazit: DSGVO ist kein Instrument zur Akteneinsicht für juristische Personen

Der BFH stellt in seinem Beschluss (Az. IX B 113/22) unmissverständlich klar: Juristische Personen sind keine betroffenen Personen im Sinne der DSGVO. Das Auskunftsrecht aus Art. 15 DSGVO steht ihnen nicht zu.

Für Unternehmen ergibt sich daraus eine klare Konsequenz: Datenschutzrechtliche Ansprüche sind nur natürlichen Personen vorbehalten. Wer als Unternehmen Auskunft oder Akteneinsicht begehrt, muss den passenden verfahrensrechtlichen Weg wählen – etwa über die Finanzgerichtsordnung oder das IFG.

Die Entscheidung des BFH ist ein Weckruf an die Praxis – und ein wichtiges Stück Rechtssicherheit für Behörden, Gerichte und Datenschutzverantwortliche.