Dipl.-Finanzwirt Werner Becker, Dr. Dario Arconada Valbuena
Datenschutz wird immer relevanter. Viele Menschen sorgen sich um persönliche Daten und möchten möglichst wenig preisgeben. Auch das Finanzamt verfügt über eine entsprechende Informationssammlung zu jedem Steuerzahler. Um an die notwendigen Informationen zu gelangen, wird das Finanzamt aufgrund gesetzlicher Vorschriften insbesondere von folgenden Stellen mit Daten versorgt: Arbeitgeber, Bank, Krankenversicherung, Rentenversicherung, Lebensversicherer, Kommunen, Behörden, Gemeinden, Bundeszentralamt für Steuern.
Daneben liefert auch der Steuerpflichtige selbst bzw. sein Steuerberater dem Finanzamt essenzielle Daten in der Steuererklärung. Vorsicht im Umgang mit diesem Dokument gebietet daher nicht nur die allgemeine Sorgfaltspflicht, sondern auch die DSGVO. Das gilt umso mehr nach einer Entscheidung des EuGH, wonach auch die bloße Befürchtung, dass sensible Daten in die Hände Dritter gelangt sein könnten, einen Anspruch auf Schadensersatz begründen kann.
Aber von vorne: Was war geschehen und warum ist der EuGH "eingeschaltet" worden?
Kläger verlangten immateriellen Schadensersatz
Die Kläger waren Mandanten einer Steuerberatungskanzlei (Kanzlei). Nachdem sie der Kanzlei mitgeteilt hatten, dass sich ihre Wohnanschrift geändert habe, übermittelte diese den Klägern mehrere Schreiben per Post an die neue Anschrift. Die Anschriftenänderung wurde auch in den in der EDV der Kanzlei gespeicherten Stammdaten nachvollzogen.
Die Kläger beauftragten in der Folge die Kanzlei im Juli 2020 mit der Erstellung der ESt-Erklärung für das Jahr 2019. Hierzu erhielten die Kläger an ihre neue Anschrift zunächst keine Unterlagen übersandt. Auf Nachfrage teilte die Kanzlei mit, dass die Steuererklärung bereits im September 2020 an die Kläger versandt worden sei. Eine derartige Postsendung war jedoch bei den Klägern nicht eingegangen. Die Kläger fragten hierauf noch einmal an, wann genau und an welche Anschrift die Unterlagen versandt worden seien, erhielten aber keine Antwort.
Hiernach fragten die Kläger bei den neuen Bewohnern ihrer vormaligen Anschrift an. Deren Nachnamen sind den Nachnamen der Kläger sehr ähnlich. Diese teilten mit, dass eine Postsendung bei ihnen eingegangen sei, die an die Kläger gerichtet gewesen sei.
Im Rahmen der Beweisaufnahme im gerichtlichen Verfahren kam zutage, dass eine neue Bewohnerin den Briefumschlag geöffnet hatte, weil sie nicht erkannt hatte, dass die Briefsendung nicht für sie bestimmt gewesen ist, obwohl diese an die im Adressfeld namentlich korrekt benannten Kläger adressiert war. Welche Unterlagen sich konkret in dem Umschlag befunden haben, als dieser bei den neuen Bewohnern eingegangen war, konnte nicht mehr aufgeklärt werden. Zudem konnte nicht aufgeklärt werden, inwieweit die neuen Bewohner die im Umschlag enthaltenen Unterlagen angesehen haben oder nicht. Die neue Bewohnerin gibt an, sie habe lediglich den Briefkopf der Kanzlei zur Kenntnis genommen und – weil ihr diese nicht bekannt gewesen sei – erkannt, dass der Brief nicht an sie gerichtet gewesen sei. Hierauf habe sie die Unterlagen wieder in den Umschlag geschoben und zur Abholung durch die Kläger bereit gelegt, und zwar bei den nebenan wohnenden Eltern der neuen Bewohner.
Im Zeitpunkt, in dem die Kläger den Umschlag übergeben bekommen haben, befanden sich im Umschlag lediglich eine Kopie der Steuererklärung sowie das Anschreiben. Die Kläger gehen davon aus, dass sich in dem Umschlag auch das Original der Steuererklärung einschließlich der Angaben zu Namen und Geburtsdaten der Kläger und ihrer Kinder (einschließlich der Steueridentifikationsnummer), Schwerbehinderteneigenschaft, Arztkosten, Arbeitsstätte, Zugehörigkeit zu einer Religionsgemeinschaft, Aufwendungen für Arbeitsmittel, Fortbildungskosten, Versicherungen und Bankverbindung befunden hat.
Die Versendung der Steuererklärung beruhte darauf, dass die Kanzlei zwar die Anschrift in den Stammdaten der Kanzleisoftware geändert hatte, allerdings die Daten für die Steuererklärung aus einem anderen Datenbestand übernommen wurden, der die alte Anschrift enthielt.
Die Kläger verlangten immateriellen Schadensersatz von der Kanzlei bzw. deren Gesellschaftern aufgrund von Verletzung von Vorschriften der DSGVO. Sie stellten die Bestimmung des Schadensersatzbetrags in das Ermessen des Gerichts und sahen einen Betrag von 15.000 EUR als angemessen an.
AG Wesel ruft EuGH an
Mit Beschluss v. 5.8.2022 (30 C 138/21) hat das AG Wesel, bei dem der Schadensersatzprozess anhängig war, das Verfahren ausgesetzt und dem EuGH verschiedene Fragen zur Auslegung der Art. 82 Abs. 1 und Art. 83 Abs. 2 Satz 2 DSGVO vorgelegt. Diese Vorschriften bestimmen, dass "jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter hat. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt: …".
EuGH ...