Betriebsprüfung, Steuerfahndung und dann auch noch der D ... / II. Verwertung datenschutzrechtlicher Erkenntnisse

1. Das Steuergeheimnis im Lichte der DS-GVO – Konkurrenzverhältnis

Erlangen Behörden, bzw. öffentliche Stellen, Informationen darüber, dass mutmaßlich eine Straftat oder Ordnungswidrigkeit begangen wurde, hat der Staat zur Aufrechterhaltung der öffentlichen Sicherheit und Ordnung grundsätzlich ein Interesse daran, dass diese Informationen der zuständigen Stelle bekannt gegeben werden können. Mit einer solchen Bekanntgabe ist die Verarbeitung personenbezogener Daten (Name, Anschrift, Geburtsdatum) i.S.v. Art. 4 Nr. 1 DS-GVO verbunden, z.B. in der Form des Erhebens, Speicherns oder Übermittelns, welche unter einem Verbot mit Erlaubnisvorbehalt steht. Hierzu enthalten die DS-GVO und die Landesdatenschutzgesetze Rechtsgrundlagen (z.B. Art. 6 DS-GVO, §§ 3, 5, 7 Abs. 1 Nr. 4 LDSG RLP), mit jeweils unterschiedlichen Voraussetzungen. Weitere Regelungen gibt es im Bundesdatenschutzgesetz (BDSG), aber auch im Ordnungswidrigkeitengesetz (OWiG) und der Strafprozessordung (StPO).

Das in § 30 AO verankerte Steuergeheimnis nimmt eine Sonderstellung ein, da es die Weitergabe jedweder Informationen zunächst untersagt. Hintergrund dessen ist der besondere Schutzzweck des Steuergeheimnisses als Ausprägung des Rechts auf informationelle Selbstbestimmung (Maetz in Klein, AO, 17. Aufl. 2023, § 30 Rz. 5 ff. m.w.N.). Das Steuergeheimnis bildet einen Ausgleich zu den umfangreichen Offenbarungspflichten des Steuerrechts (Merkt in BeckOK, OWIG, 42. Aufl. 24, § 30 AO Rz. 1). Gleichzeitig soll die Amtsverschwiegenheit die Auskunftsbereitschaft der Steuerpflichtigen fördern, um so eine gleichmäßige Besteuerung sicherzustellen (BVerfG v. 17.7.1984 – 2 BvE 11/83 u. 15/83). Da zur Durchführung der Besteuerung ggf. auch strafbare Handlungen offenbart werden müssen, soll dies nicht automatisch zu einer Umgehung des Rechts auf Selbstbelastungsfreiheit führen.

Aus diesem Grund ist § 30 AO eine bereichsspezifische Datenschutznorm. Der Schutzzweck wird durch entsprechende Bezugnahmen als Begrenzung datenschutzrechtlicher Übermittlungsbefugnisse verwirklicht (Drüen in Tipke/Kruse, AO/FGO, § 30 AO Rz. 4, 5 [Jan. 2024]). So sind im Anwendungsbereich der Abgabenordnung Landesgesetze und das BDSG nur nach ausdrücklicher Bestimmung anwendbar (§ 2a Abs. 1 S. 2, Abs. 4 AO, § 1 Abs. 2 S. 3 BDSG). Auch ist, soweit eine Abwägung von Interessen für die Frage der Übermittlung relevant ist, das im Steuergeheimnis verankerte Schutzinteresse besonders zu berücksichtigen.

2. Einordnung der Prüfungssituation

Stoßen Betriebsprüfung oder Steuerfahndung auf Unterlagen, die einen Datenschutzverstoß begründen, stellt sich die Frage, ob Informationen hierzu an die zuständige Datenschutzaufsichtsbehörde weitergeleitet werden müssen oder dürfen, ob Beweismittel erhoben werden können und ob ggf. eigene Ermittlungen erfolgen dürfen. Die Tätigkeiten der Betriebsprüfung und der Steuerfahndung sind dabei getrennt zu betrachten, da bei möglichen Rechtsgrundlagen zur Übermittlung zwischen Verwaltungsverfahren und Strafverfahren zu differenzieren ist.

Zur besseren Verständlichkeit, welche Art von Datenschutzverstößen hier relevant sein kann, dient die folgende Übersicht.

Norm/Datenschutzverstoß	Beispiele
Art. 5, 6 DS-GVO, § 26 BDSG: unrechtmäßige Erhebung/Speicherung	Videoaufzeichnungen von öffentlichem Raum, Kunden, Mitarbeitern
Art. 5, 6 DS-GVO: unrechtmäßige Verarbeitung	Offene E-Mail Verteiler
Art. 32 DS-GVO: technisch-organisatorische Maßnahmen	Unverschlüsselte Mails
Art. 5, 32 DS-GVO: Zweckbindung, Speicherbegrenzung, Integrität, Vertraulichkeit	Unsachgemäße Lagerung/fehlende Vernichtung personenbezogener Daten
Art. 5, 6 DS-GVO: Verstoß gegen Zweckbindung	Verkauf von Kundendaten
Art. 5, 6 DS-GVO: fehlende Einwilligung	Aufzeichnung von Gesprächen der Kunden-Hotline

3. Übermittlungsverpflichtungen

Keine Unterrichtungspflicht anderer Behörden: Eine Unterrichtungspflicht anderer Behörden gegenüber den Datenschutzaufsichtsbehörden kennt die DS-GVO nicht. Auch das BDSG kennt keine Mitteilungspflichten wie z.B. § 93a AO oder die Mistra. Es besteht somit für keine Behörde die Verpflichtung, datenschutzrelevante Erkenntnisse weiterzuleiten.

Ausnahme: Vorfälle, die eine Meldepflicht nach Art. 33 DS-GVO begründen, wären an den Bundesbeauftragten für den Datenschutz (zur Zuständigkeit s. § 32h AO) zu melden. Es handelt sich dabei um Situationen, in denen bei der öffentlichen Stelle selbst eine Verletzung des Schutzes personenbezogener Daten eingetreten ist (sog. Datenpanne). Dies dürfte jedoch in aller Regel keine Auswirkungen auf ein etwaiges Verhalten der Steuerpflichtigen haben.

4. Übermittlungsbefugnisse

a) Erkenntnisse der Betriebsprüfung

aa) Ausgangslage im Verwaltungsverfahren

Die Betriebsprüfung wird im Verwaltungsverfahren nach §§ 193 ff. AO tätig und ermittelt die steuerlichen Verhältnisse. In diesem Zusammenhang können Unterlagen wahrgenommen werden, die Hinweise auf Verstöße gegen datenschutzrechtliche Vorgaben geben oder belegen (s. Beispiele unter 2.).

Die Frage ob und ggf. wie solche Erkenntnisse weitergegeben werden können, richtet sich zunächst danach, wie die Außenprüfung bei strafrechtlich oder bußgeldrechtlich relevanten Sachverhalten reagieren muss. Ergeben sich Anhaltspunkte für eine Steuer straftat oder ...