Muss die Behörde bei der Steuersünder-CD den Datenschutz beachten?
Stellen Sie sich folgenden fiktiven Fall vor: Bundesdeutsche Stellen kaufen eine CD mit personenbezogenen Daten von tatsächlichen und/oder vermeintlichen Steuersündern.
Der Verkäufer ist beispielsweise ein Bankmitarbeiter, der personenbezogene Bankdaten aus den Systemen der Bank unerlaubt gespeichert und den Finanzbehörden zum Kauf angeboten hat. Auf Basis dieser Daten werden später Steuerstrafverfahren initiiert und Steuernachzahlungen festgesetzt. Datenschutzrechtlich gilt zunächst, dass die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten nur im Rahmen einer engen Zweckbindung zulässig ist (§ 28 BDSG).
Die Übermittlung und Nutzung solcher Daten zu einem anderen Zweck ist zwar zur Verfolgung von Straftaten grundsätzlich auch zulässig. Die Strafverfolgung ist jedoch an ein förmliches Verfahren gebunden. Daher wird bei einem entsprechenden Anfangsverdacht üblicherweise ein formelles Ermittlungsverfahren eingeleitet.
Zweckbindung bei Steuersünder-CD?
Dies war für die Betroffenen des Datenpools jedoch nicht der Fall. Der Ankauf der Daten erfolgte daher nicht im Rahmen eines konkreten Ermittlungsverfahrens, sodass die Übermittlung und Nutzung der Daten unzulässig wäre. Die unzulässige Erhebung oder Nutzung personenbezogener Daten macht die verantwortliche Stelle allerdings schadensersatzpflichtig (§ 7 BDSG).
Das heißt, alle Vermögensnachteile, die der Betroffene – in diesem Fall der Bankkunde – infolge der unzulässigen Datenerhebung, -verarbeitung oder -nutzung erleidet, sind ersatzfähiger Schaden. Haben mehrere Stellen, wie z. B. Bank oder Bankmitarbeiter, rechtswidrig gehandelt, haften sie gesamtschuldnerisch. Insofern stellt sich die Frage, ob betroffene Steuersünder die Finanzverwaltung als Käuferin der Daten-CD schadensersatzpflichtig machen können, da fiskalische Interessen kein Grund gemäß § 28 Abs. 3 BDSG sind, die strenge Zweckbindung der erworbenen Bankdaten aufzuheben.
Neben den Verfahrenskosten und Bußgeldern dürfte sogar ein mögliches Schmerzensgeld als Schadensersatzposition zu prüfen sein, wie es diverse Landesdatenschutzgesetze vorsehen. Betroffene und Berater werden die datenschutzrechtlichen Aspekte zur Abwehr von Ansprüchen bzw. zur Begründung eines Regresses nicht außer Acht lassen. Unternehmen sichern sich durch geeignete Maßnahmen frühzeitig gegen Datenklau ab und sind sich des Risikos eines Datenmissbrauchs durch Mitarbeiter bewusst. Manche Unternehmen führen Datenbestände, die für Dritte interessant sind und deren Verkauf für Mitarbeiter eine große Versuchung darstellen könnte. Auch im Falle eines Datendiebstahls muss ein Unternehmen mit Ansprüchen der Betroffenen rechnen, wenn es keine entsprechenden Sicherungsmaßnahmen getroffen hat.
BVerfG: Ankauf von Steuer-CD darf verwertet werden
Die datenschutzrechtliche Bewertung des Ankaufs sogenannter „Steuer-CDs“ ist zudem vor dem Hintergrund der späteren Rechtsprechung zu betrachten. Das Bundesverfassungsgericht hat mit Beschluss vom 9. November 2010 (Az. 2 BvR 2101/09) entschieden, dass die Verwendung von durch Private rechtswidrig erlangten Bankdaten im Steuerstrafverfahren grundsätzlich zulässig sein kann.
Nach Auffassung des Gerichts führt die rechtswidrige Beschaffung der Daten durch einen privaten Informanten nicht automatisch zu einem Beweisverwertungsverbot. Maßgeblich sei insbesondere, dass die staatlichen Behörden die Daten nicht selbst rechtswidrig erlangt oder die Tat des Informanten veranlasst haben.
Die Entscheidung zeigt, dass zwischen der datenschutzrechtlichen Zulässigkeit der Datenerhebung einerseits und der strafprozessualen Verwertbarkeit der gewonnenen Erkenntnisse andererseits zu unterscheiden ist. Selbst wenn die ursprüngliche Datenbeschaffung rechtswidrig war, folgt daraus nicht zwangsläufig die Unverwertbarkeit der Daten oder ein Schadensersatzanspruch gegen die Finanzverwaltung.
Update 2026: Schadensersatz nach Art. 82 DSGVO
Seit Geltung der DSGVO richtet sich der datenschutzrechtliche Schadensersatz in erster Linie nach Art. 82 DSGVO. Danach können sowohl materielle als auch immaterielle Schäden ersatzfähig sein. Ein bloßer Verstoß gegen die DSGVO reicht für einen Schadensersatzanspruch allerdings nicht aus. Erforderlich sind ein Verstoß gegen die DSGVO, ein tatsächlich entstandener Schaden und ein ursächlicher Zusammenhang zwischen beiden. Der Europäische Gerichtshof hat zugleich klargestellt, dass für immaterielle Schäden keine bestimmte Erheblichkeitsschwelle überschritten werden muss.
Auch der Verlust der Kontrolle über personenbezogene Daten oder eine begründete Sorge vor einem künftigen Missbrauch kann grundsätzlich einen immateriellen Schaden darstellen. Eine lediglich hypothetische Befürchtung genügt dagegen nicht; die betroffene Person muss einen tatsächlich eingetretenen Schaden darlegen können.
Welche Bedeutung haben „Steuersünder-CDs“ heute noch?
Die praktische Bedeutung klassischer Steuer-CDs hat sich seit 2010 erheblich verändert. Deutschland nimmt inzwischen am automatischen internationalen Informationsaustausch über Finanzkonten nach dem Common Reporting Standard (CRS) teil. Seit dem Meldezeitraum 2016 übermitteln deutsche Finanzinstitute die gesetzlich vorgesehenen Kontoinformationen an das Bundeszentralamt für Steuern, das diese mit den teilnehmenden Staaten austauscht. Mittlerweile beteiligen sich mehr als 100 Staaten an diesem Verfahren.
Die Grundfrage des damaligen Beitrags bleibt dennoch aktuell: Welche Folgen hat es, wenn personenbezogene Daten rechtswidrig erlangt und anschließend von Behörden oder Gerichten verwendet werden? Der EuGH hat hierzu im Juni 2026 erneut klargestellt, dass personenbezogene Daten nicht allein deshalb automatisch als Beweismittel ausgeschlossen sind, weil sie ursprünglich rechtswidrig erlangt wurden. Im konkreten Verfahren ging es zwar um ein arbeitsgerichtliches Verfahren und nicht um Steuerdaten; die Entscheidung unterstreicht aber die notwendige Trennung zwischen der datenschutzrechtlichen Rechtmäßigkeit einer Datenerhebung und der prozessualen Verwertbarkeit von Beweismitteln.
German 
English 
Italian 
French