Betriebsprüfung, Steuerfahndung und dann auch noch der D ... / a) Erkenntnisse der Betriebsprüfung

aa) Ausgangslage im Verwaltungsverfahren

Die Betriebsprüfung wird im Verwaltungsverfahren nach §§ 193 ff. AO tätig und ermittelt die steuerlichen Verhältnisse. In diesem Zusammenhang können Unterlagen wahrgenommen werden, die Hinweise auf Verstöße gegen datenschutzrechtliche Vorgaben geben oder belegen (s. Beispiele unter 2.).

Die Frage ob und ggf. wie solche Erkenntnisse weitergegeben werden können, richtet sich zunächst danach, wie die Außenprüfung bei strafrechtlich oder bußgeldrechtlich relevanten Sachverhalten reagieren muss. Ergeben sich Anhaltspunkte für eine Steuer straftat oder -ordnungswidrigkeit, ist gem. § 10 BPO die Strafsachenstelle einzuschalten. Diese übernimmt dann das weitere Verfahren. Das gilt jedoch nicht für außersteuerliche Tatbestände. Eine Überleitung in ein Strafverfahren findet in diesem Zeitpunkt nicht statt.

Es ist also zu prüfen, ob die Weiterleitung der Erkenntnisse als Verarbeitung personenbezogener Daten im Rahmen des Verwaltungsverfahrens möglich ist, insb. ob es hierfür eine Rechtsgrundlage gibt.

bb) Rechtsgrundlage gemäß DS-GVO

Rechtsgrundlage kann Art. 6 DS-GVO sein. Dieser ist in Verfahren nach der AO gem. § 2a Abs. 3, 4 AO anwendbar, soweit es nicht um eine Datenverarbeitung im Straf- oder Ordnungswidrigkeitenverfahren geht (so auch Art. 2 Abs. 2 DS-GVO). In Betracht käme hier eine Verarbeitung im öffentlichen Interesse (Art. 6 Abs. 1 lit. e DS-GVO). Aus Erwägungsgrund 45 ergibt sich, dass dieser Rechtfertigungsgrund nur greift, wenn die Aufgabe des Verantwortlichen spezialgesetzlich geregelt ist. Auch wenn man die Unterrichtung von zuständigen Stellen über mögliche Straftaten oder Ordnungswidrigkeiten als im öffentlichen Interesse liegend ansehen kann, fehlt es hier an einer entsprechenden Aufgabenzuweisung an die Finanzbehörden (vgl. auch §§ 29b, 85 AO), welche den Zweck einer solchen Datenverarbeitung legitimieren würde (vgl. Drüen in Tipke/Kruse, AO/FGO § 29b AO Rz. 1 [Aug. 2021]). Datenverarbeitungen unterliegen dem Zweckbindungsgrundsatz (Art. 5 Abs. 1 lit. b DS-GVO), was eine enge Bindung an die Aufgabenzuweisung nach sich zieht.

cc) Rechtsgrundlage gemäß AO

Mit § 29b AO enthält die Abgabenordnung eine eigene Regelung zur Verarbeitung, und damit auch Übermittlung, personenbezogener Daten. Die Verarbeitung muss in Erfüllung einer Aufgabe erforderlich sein oder in Ausübung öffentlicher Gewalt erfolgen. An der Aufgabenerfüllung fehlt es (keine normative Zuweisung), die Ausübung öffentlicher Gewalt könnte man als erfüllt ansehen. Dann muss jedoch zusätzlich eine Ausnahme des § 30 AO eingreifen, da das Steuergeheimnis dem Grunde nach jeder Weitergabe entgegensteht (Drüen in Tipke/Kruse, AO/FGO, § 30 AO Rz. 4, 5 [Stand Jan 2024]).

• § 30 Abs. 4 Nr. 1b AO greift nicht, da hier gemäß der Gesetzesbegründung nur Datenschutzverstöße innerhalt der Tätigkeiten nach der Abgabenordnung erfasst sind (BT-Drucks. v. 31.5.2017, 18/12611 zu Nr. 1b; Drüen in Tipke/Kruse, AO/FGO, § 30 AO Rz. 70e [Jan.20 24]).
• Eine ausdrückliche Zulassung durch Bundesgesetz (§§ 25, 23 BDSG), welche über § 30 Abs. 4 Nr. 2 AO gefordert wäre, gibt es nicht.
• § 30 Abs. 4 Nr. 4a AO setzt voraus, dass die Kenntnisse in einem Strafverfahren erlangt wurden, woran es bei der Betriebsprüfung fehlt.
• Auch ein zwingendes öffentliches Interesse i.S.d. Nr. 5 ist nicht ersichtlich.

dd) Rechtfertigung über eine Zweckänderung

Art. 6 Abs. 4 DS-GVO gestattet bei zunächst gerechtfertigter Erhebung personenbezogener Daten eine zweckändernde Verarbeitung, wenn die Verarbeitungszwecke (hier: Ermittlung der Besteuerungsgrundlagen – Meldung einer Straftat/Ordnungswidrigkeit) kompatibel sind (Schulz in Gola/Heckmann, DS-GVO, 3. Aufl. 22, Art. 6 Rz. 133 ff.). Dies dürfte hier zu verneinen sein, zumal in die Abwägung der Schutzzweck des § 30 AO einzubeziehen ist und damit der Selbstbelastungsfreiheit der Steuerpflichtigen ein höheres Gewicht zukommt.

Als eigene Norm für die Finanzverwaltung für zweckändernde Verarbeitungen käme § 29c AO, als Ausprägung der Öffnungsklausel der DS-GVO, in Betracht. Danach wäre die Weiterverarbeitung durch Übermittlung in den Grenzen des § 30 Abs. 4 und Abs. 5 AO möglich (Maetz in Klein, AO, 17. Aufl. 2023, § 29c Rz. 10 ff.), wenn die Übermittlung als Aufgabe der Finanzbehörden angesehen werden könnte (Drüen in Tipke/Kruse, AO/FGO, § 29c AO Rz. 10 [Aug. 2021]). Eine verpflichtende Aufgabe dieser Art gibt es nicht (s.o.), lediglich eine Pflicht zur Zusammenarbeit auf landesrechtlicher Ebene (z.B. § 16 Abs. 4 LDSG RLP).

Folglich kann eine Weitergabe nicht über eine gerechtfertigte Zweckänderung erfolgen.

ee) Rechtsgrundlage gemäß BDSG oder Landesrecht

Auch § 25 BDSG i.V.m. § 23 BDSG enthält Rechtsgrundlagen für die Datenübermittlung durch öffentliche Stellen, auch im Falle einer Zweckänderung. Die Anwendbarkeit dieser Normen ist jedoch nicht gegeben, da den Finanzbehörden hierfür kein ausdrücklicher Anwendungsbereich eingeräumt wurde (§ 2a Abs. 1 S. 2 AO). Gleiches gilt für die Generalklauseln im Landesrecht.

Damit kommt insgesamt in Fällen, in denen die Betriebsprüfung tätig war, eine Übermittlung datenschutzrelevanter Erkenntnisse an die Datenschutzaufsichtsbehörden nicht in Betracht.

Beraterhinweis En...