Leitsatz
1. § 29b der Abgabenordnung (AO) legitimiert die Finanzbehörde, unter den dort genannten Voraussetzungen für sämtliche das Steuerverfahrensrecht betreffende Maßnahmen personenbezogene Daten zu verarbeiten.
2. § 29b AO genügt den Vorgaben des Art. 6 Abs. 3 der Datenschutz-Grundverordnung und verletzt nicht das unionsrechtliche Normwiederholungsverbot.
3. § 29b AO verstößt weder gegen das Grundrecht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 des Grundgesetzes) noch gegen das Recht auf Schutz personenbezogenen Daten gemäß Art. 8 Abs. 1 der Charta der Grundrechte der Europäischen Union.
Normenkette
§ 29b, § 32f Abs. 5, § 32i Abs. 2 und 9, § 85, § 93 Abs. 1 Satz 3, § 97 Abs. 1 Satz 3, § 193, § 200 Abs. 1 Satz 2 AO, Art. 4 Nrn. 1, 2 und 7, Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 2, Abs. 3 Satz 1 Buchst. b und Sätze 2 bis 4, Art. 9 Abs. 1, Abs. 2 Buchst. g, Art. 17 Abs. 1 Buchst. d, Abs. 3 Buchst. b, Art. 21 Abs. 1 Satz 1, Art. 23 Abs. 1 DSGVO, Art. 1 Abs. 1, Art. 2 Abs. 1, Art. 3 Abs. 1, Art. 101 Abs. 1 Satz 2, Art. 103 Abs. 1 GG, Art. 8 Abs. 1, Abs. 2 Satz 1 EUGrdRCh, Art. 267 Abs. 2 und 3, Art. 288 Abs. 2 Satz 2 AEUV, § 74, § 96 Abs. 2 FGO
Sachverhalt
Beim Kläger, einem Rechtsanwalt, wurde eine Außenprüfung angeordnet. Der Prüfer forderte den Kläger auf, Auszüge des betrielichen Bankkontos zu übersenden. Dem kam der Kläger nicht nach. Der Prüfer ersuchte deshalb das Bankinstitut um die Vorlage. Dieses kam dem Ersuchen nach. Gegen das Vorlageersuchen legte der Kläger keinen Einspruch ein, sondern er verlangte von dem FA die Löschung der Daten, hilfsweise widersprach er deren weiterer Verarbeitung. Das FA lehnte den Antrag ab. Auch die Klage zum FG hatte keinen Erfolg (Schleswig-Holsteinisches FG, Urteil vom 23.8.2021, 5 K 42/21, Haufe-Index 14901021, EFG 2022, 1).
Entscheidung
Der BFH hat die Revision des Klägers aus den dargestellten Gründen als unbegründet zurückgewiesen. Es kam nicht darauf an, ob die angeforderten Kontoauszüge auch besondere persönliche Daten enthielten, denn § 29b AO enthält auch für deren Verarbeitung eine hinreichende Rechtsgrundlage. Gründe, aus denen sich die Unverhältnismäßigkeit der Datenverarbeitung im Einzelfall hätte ergeben können, hatte der Kläger nicht geltend gemacht.
Hinweis
Das Besprechungsurteil betrifft die Zulässigkeit der Verarbeitung personenbezogener Daten durch die Finanzbehörden bei Wahrnehmung der ihnen gesetzlich zugewiesenen Aufgaben. Im Schrifttum waren Zweifel laut worden, ob § 29b AO als hoch abstrakte Erlaubnisnorm den europarechtlichen Anforderungen an eine nationale Umsetzung noch genügt. Der BFH hat dies im Besprechungsurteil klar und eindeutig bejaht und zudem einen sog. "acte-clair" angenommen, der eine Vorlage an den EuGH entbehrlich macht. Der Kläger wehrte sich gegen die Verarbeitung von Daten aus seinen betrieblichen Kontoauszügen im Zusammenhang mit einer bei ihm stattfindenden Betriebsprüfung. Er verlangte vom FA die Löschung der Daten, hilfsweise erhob er Widerspruch gegen deren weitere Verarbeitung.
1. Nach Art. 17 Abs. 1 Buchst. d DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass die betreffenden personenbezogenen Daten unverzüglich gelöscht werden, sofern jene Daten unrechtmäßig verarbeitet wurden.
a) Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 Halbs. 1 DSGVO).
b) Als Verantwortlicher gilt unter anderem die Behörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Art. 4 Nr. 7 Halbs. 1 DSGVO).
c) Der Begriff der Verarbeitung ist weit zu verstehen. Darunter fällt grundsätzlich jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Art. 4 Nr. 2 DSGVO).
d) Rechtmäßig ist die Verarbeitung personenbezogener Daten nur, wenn mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt ist (Verbot mit Erlaubnisvorbehalt). Nach Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO ist die Verarbeitung personenbezogener Daten u.a. zulässig, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
2. Hierfür bedarf es gemäß Art. 6 Abs. 3 Satz 1 DSGVO einer (besonderen) Rechtsgrundlage, die entweder durch das Unionsrecht (Buchst. a) oder durch das Recht des Mitgliedstaats, dem der Verantwortliche unterliegt (Buchst. b), festgelegt wird. Die Rechtsgrundlage muss ein im öffentlichen Interesse liegendes Ziel verfolgen und in...