Auskunftsanspruch nach der Datenschutz-Grundverordnung

Leitsatz

Es besteht kein Anspruch auf Auskunft über die bei der Informationszentrale für steuerliche Auslandsbeziehungen gespeicherten Daten.

Normenkette

§ 2a, § 32a, § 32b, § 32c, § 32i, § 85, § 88a AO, § 33 Abs. 1 Nr. 4, § 86 Abs. 3 FGO, Art. 2, Art. 3, Art. 4, Art. 6, Art. 13, Art. 14, Art. 15, Art. 16, Art. 17, Art. 23 EUV 679/2016 (= DSGVO), § 19, § 58 BDSG, § 1 Nr. 2, § 4 Abs. 2 und 3, § 5 Abs. 1 Satz 1 Nr. 6 FVG

Sachverhalt

Die Klägerin ist eine in A (Ausland) registrierte Gesellschaft. Das FA für Steuerstrafsachen und Steuerfahndung Z (FA Z) führte für 2006 bis 2012 eine Fahndungsprüfung durch, die zu geänderten Bescheiden und in ein Klageverfahren führte. Zentraler Streitpunkt war die Frage, wo die geschäftliche Oberleitung der Klägerin tatsächlich ansässig war. Die Finanzverwaltung meinte, dies sei in Deutschland gewesen. Im Rahmen einer mündlichen Verhandlung vor dem FG vom 21.6.2018 kam es zu einer tatsächlichen Verständigung dahin, dass die geschäftliche Oberleitung sich bis 2008 im Inland, ab 2009 ausschließlich in A befunden habe.

Die Klägerin beantragte daraufhin wiederholt beim BZSt die Änderung der über sie bei der IZA gespeicherten Daten. Sie legte dafür Firmenprofile der IZA über sie, die Klägerin, vor. Das BZSt lehnte die Anträge auf Änderung von Informationen im Bestand der IZA ab.

Mit der – ohne Einlegung eines Einspruchs – gegen den letzten Ablehnungsbescheid erhobenen Klage beantragte die Klägerin die Korrektur der über sie bei der IZA gespeicherten Datensätze. Das BZSt erklärte in der mündlichen Verhandlung vor dem FG, die Daten betreffend die Klägerin seien mittlerweile erneut geändert worden. Eine Mitteilung über den Inhalt der Änderung erfolge nicht.

Das FG hat die Klage abgewiesen. Es bestehe kein Anspruch auf Auskunft über den durch das BZSt nicht preisgegebenen aktuellen Datenbestand, sodass keine Grundlage für einen Korrekturanspruch gegeben sei (FG Köln, Urteil vom 18.9.2019, 2 K 312/19, Haufe-Index 13691612, EFG 2020, 413).

Entscheidung

Der BFH sah die Klage und Revision der Klägerin als zulässig, aber unbegründet an. Der Finanzrechtsweg sei nach § 33 Abs. 1 Nr. 4 FGO i.V.m. § 32i Abs. 2 AO in der im Zeitpunkt der Klageerhebung geltenden Fassung (gleichlautend mit § 32i Abs. 2 Satz 1 AO i.d.F.  des JStG 2020) eröffnet. Das BZSt sei nach § 6 Abs. 2 Nr. 2 AO Finanzbehörde im Sinne der Vorschrift. Die Klägerin mache Ansprüche aus der DSGVO geltend. Eines Vorverfahrens habe es nach § 32i Abs. 2, Abs. 9 AO (entspricht § 32i Abs. 2 Satz 1, Abs. 9 Satz 1 AO i.d.F.  des JStG 2020) nicht bedurft. Das FG habe zu Recht erkannt, dass die Klägerin weder einen Anspruch auf Auskunft noch auf Änderung der Datensätze bei der IZA besitze.

Hinweis

Der BFH befasst sich im Besprechungsurteil erstmals mit dem Verhältnis des nationalen Steuerrechts zu den Ansprüchen aus der DSGVO.

1. Die DSGVO regelt Voraussetzungen und Grenzen der Sammlung und Verarbeitung von Daten und gibt den Rahmen für Ansprüche der Betroffenen vor, kann jedoch durch das nationale Recht ergänzt werden.

a) Ihr sachlicher Anwendungsbereich erstreckt sich nach Art. 2 Abs. 1 DSGVO vorbehaltlich der Ausschlusstatbestände des Art. 2 Abs. 2 DSGVO auf die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie auf die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Räumlich erfasst sie u.a. nach Art. 3 Abs. 1 DSGVO die Verarbeitung von Daten im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union.

b) Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine betroffene Person beziehen. Betroffene Person ist nach Art. 4 Nr. 1 DSGVO nur eine natürliche Person. § 2a Abs. 5 Nr. 2 AO ordnet jedoch eine entsprechende Geltung der DSGVO auf identifizierte oder identifizierbare Körperschaften, Personenvereinigungen und Vermögensmassen an, die somit als Teil des nationalen Rechts anwendbar ist. Die Verarbeitung ist nach Art. 4 Nr. 2 DSGVO jeder Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, u.a. deren Erhebung, Erfassung und Speicherung. Verantwortlicher ist nach Art. 4 Nr. 7 Halbsatz 1 DSGVO jegliche Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

c) Abgesehen von einer Reihe allgemein geltender Grundsätze für die Verarbeitung personenbezogener Daten (Art. 5 DSGVO) ist nach Art. 6 DSGVO die Verarbeitung nur bei Erfüllung bestimmter Bedingungen zulässig. Das ist nach Art. 6 Abs. 1 Buchst. e DSGVO etwa dann der Fall, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Gemäß Art. 6 Abs. 2 bis 4 DSGVO können die Mitgliedstaaten spezifischere Bestimmungen treffen. Zugunsten der betroffenen Person bestehen nach Art. 13, 14 DSGVOInformationspflicht...