Gerichtlicher Prüfungsmaßstab nach Art. 78 Abs. 1 DSGVO; Tätigkeit und Mitteilung der Aufsichtsbehörde nach Art. 77 DSGVO

Leitsatz

1. Art. 78 der Datenschutz-Grundverordnung (DSGVO) fordert zum Schutz der Rechte, die dem Einzelnen aus der Datenschutz-Grundverordnung erwachsen, einen wirksamen gerichtlichen Rechtsbehelf, der nach Maßgabe des nationalen Verfahrensrechts eine vollständige inhaltliche Überprüfung der Beschwerdeentscheidung der Aufsichtsbehörde durch das Gericht ermöglicht.

2. Maßstab für den Umfang der Ermittlungen im Rahmen einer Beschwerde nach Art. 77 DSGVO sind insbesondere die individuelle Bedeutung der Sache und die Schwere des in Rede stehenden Verstoßes.

Normenkette

Art. 57 Abs. 1 Buchst. f, Art. 77, Art. 78 Abs. 1 DSGVO, § 93 Abs. 7 Satz 1 Nr. 4 AO

Sachverhalt

Im Streit steht die Rechtmäßigkeit eines Kontenabrufs nach § 93 Abs. 7 AO. Die Kläger begehren ein Einschreiten der Datenschutzaufsichtsbehörde.

Im Zusammenhang mit Vollstreckungsmaßnahmen wegen der Nichtzahlung der Säumniszuschläge versandte das FA eine Pfändungs- und Einziehungsverfügung an die X‐Bank. Nachdem eine Drittschuldnererklärung der X‐Bank zunächst nicht beim FA einging, veranlasste das FA die streitige Kontenabfrage.

Daraufhin wandten sich die Kläger an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI). Dieser teilte nach Ermittlung des Sachverhalts mit, er halte den durchgeführten Kontenabruf für plausibel und rechtmäßig. Es habe sich um eine nach Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 2, 3 DSGVO, § 29b Abs. 1 AO und § 85 AO zulässige Datenverarbeitung gehandelt. Der BfDI wies die Beschwerde der Kläger ab.

Die von den Klägern nachfolgend erhobene Klage, mit der sie die Aufhebung des Bescheids des BfDI und die Festsetzung von Geldbußen begehrten, wurde als unbegründet abgewiesen (FG Köln, Urteil vom 27.10.2021, 2 K 1415/21, Haufe-Index 15025410, EFG 2022, 230). Eine inhaltliche Überprüfung der Beschwerdeentscheidung einer datenschutzrechtlichen Aufsichtsbehörde sei in der DSGVO nicht vorgesehen. Bei dem Beschwerderecht nach Art. 77 Abs. 1 DSGVO handele es sich um ein petitionsähnlich ausgestaltetes Recht, das nur eingeschränkter richterlicher Kontrolle unterliege.

Entscheidung

Der BFH hat die Vorentscheidung aufgehoben und die Sache an das FG zurückverweisen.

Das FG muss im zweiten Rechtsgang prüfen, ob der BfDI zutreffend angenommen hat, dass der Kontenabruf nach Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 2, 3 DSGVO i.V.m. § 29b Abs. 1 AO datenschutzrechtlich zulässig ist.

Hinweis

Vorliegend handelt es sich um eine der ersten Grundsatzentscheidungen des BFH zur DSGVO. Sie betrifft die Frage nach dem Umfang der gerichtlichen Überprüfung einer Beschwerdeentscheidung der Aufsichtsbehörde (Art. 78 DSGVO).

1. Nach Art. 78 Abs. 1 DSGVO hat jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Dieses Recht besteht auch, wenn eine Beschwerde gemäß Art. 77 DSGVO zurückgewiesen wird (vgl. Art. 77 Abs. 2 DSGVO).

2. Bislang war die überwiegende Ansicht im Schrifttum davon ausgegangen, dass es sich bei dem Beschwerderecht nach Art. 77 Abs. 1 DSGVO um ein petitionsähnlich ausgestaltetes Recht handelt, das nur eingeschränkter richterlichen Kontrolle unterliegt. Begründet wurde dies insbesondere damit, dass Art. 77 DSGVO an die in Art. 57 Abs. 1 Buchs. f DSGVO geregelten Aufgaben der Aufsichtsbehörde anknüpft. Diese beschränken sich bei der Bearbeitung von Beschwerden nach Art. 77 Abs. 1 DSGVO auf die Befassung mit der Beschwerde, die Untersuchung des Beschwerdegegenstands sowie die Unterrichtung des Beschwerdeführers über das Ergebnis.

Davon ging auch das FG in seiner Entscheidung aus.

3. Davon abweichend hat der BFH entschieden, dass Art. 78 DSGVO eine vollumfängliche gerichtliche Überprüfung der Beschwerdeentscheidung der Aufsichtsbehörde erfordert.

Das konnte nach der Entscheidung des EuGH Nemzeti Adatvédelmi és Információszabadság Hatóság vom 12.1.2023 (C-132/21, EU:C:2023:2, Haufe-Index 15742121) wenig überraschen. Darin hatte sich der EuGH zu dem Verhältnis zwischen den Rechtsbehelfen nach Art. 78 und Art. 79 DSGVO geäußert und u.a. ausgeführt, dass Gegenstand der Prüfung nach Art. 78 DSGVO die Rechtmäßigkeit des gemäß Art. 77 DSGVO erlassenen Beschlusses einer Aufsichtsbehörde sei (Rz. 35).

Noch deutlicher wurde der EuGH in der viel beachteten Entscheidung SCHUFA Holding vom 7.12.2023 (C‐26/22, EU:C:2023:958, Rz. 53), die nur wenige Tage vor dem hiesigen Urteil ergangen ist. Danach kann Art. 78 Abs. 1 DSGVO nicht dahin gehend ausgelegt werden, dass die gerichtliche Überprüfung einer aufsichtsbehördlichen Beschwerdeentscheidung darauf beschränkt sei, ob die Behörde sich mit der Beschwerde befasst, den Gegenstand der Beschwerde in angemessenem Umfang untersucht und den Beschwerdeführer über das Ergebnis der Prüfung in Kenntnis gesetzt hat. Vielmehr muss eine solche Entscheidung, damit ein gerichtlicher Rechtsbehelf "wirksam" ...