Schwarz/Pahlke, AO § 29b Verarbeitung personenbezogener ... / 2.1 Verarbeitung personenbezogener Daten durch Finanzbehörden

Rz. 15

Der Begriff der Verarbeitung ist in Art. 4 Nr. 2 DSGVO legal definiert. Diese Definition ist auch im Rahmen des § 29b AO verbindlich.^[1] Danach umfasst die "Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. Darunter fällt das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung^[2], das Löschen oder die Vernichtung dieser Daten. Es ist unerheblich, ob die Verarbeitung mithilfe eines automatisierten Verfahrens oder manuell erfolgt.^[3]

Der Katalog der legal definierten Verarbeitungsformen ist dabei – wie in Art. 4 Nr. 2 DSGVO durch das Wort "wie" ausdrücklich geregelt – nicht abschließend.^[4]

Rz. 16

Personenbezogene Daten sind nach der Legaldefinition des Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare (natürliche) Person beziehen. Es muss also eine Zuordnung der Daten zu einer konkreten bzw. konkretisierbaren Person oder Personenmehrheit möglich sein.^[5] Anonymisierte oder pseudonymisierte Daten unterfallen dem Schutzbereich der DSGVO und des § 29b AO dagegen nicht.^[6]

Rz. 17

§ 29b Abs. 1 AO regelt (nur) die Verarbeitung personenbezogener Daten durch Finanzbehörden oder i. V. m. § 1 Abs. 2 Nr. 1 AO in entsprechender Anwendung durch Kommunen, soweit ihnen die Verwaltung der Realsteuern übertragen wurde.^[7]

"Verantwortlicher" für die Verarbeitung der Daten i. S. d. Art. 4 Nr. 7 DSGVO ist i. d. R. die für den jeweiligen Fall sachlich und örtlich zuständige Finanzbehörde.^[8]

Rz. 18

Ist die Finanzbehörde danach zur Verarbeitung der Daten berechtigt, darf die Verarbeitung unter Einhaltung der Anforderungen der Art. 28ff. DSGVO als zulässiges Mittel zur Verarbeitung auch durch die durch sie beauftragten Auftragsverarbeiter erfolgen.^[9]

Rz. 19

Öffentliche Stellen, die keine Finanzbehörden i. S. d. § 6 Abs. 2 AO sind und für die diese Regelungen auch nicht entsprechend gelten, sowie nicht-öffentliche Stellen können sich dagegen – auch wenn sie Aufgaben im Besteuerungsverfahren wahrnehmen – nicht auf § 29b Abs. 1 AO als Rechtsgrundlage für die Verarbeitung personenbezogener Daten stützen.^[10] Tatsächlich verarbeiten aber neben Finanzbehörden auch Dritte personenbezogene Daten zur Erfüllung steuerlicher Pflichten. § 6 Abs. 1a bis 1e AO enthält eine Zusammenstellung der in Betracht kommenden öffentlichen und privaten Stellen, die im Rahmen des Besteuerungsverfahrens mitzuwirken verpflichtet sind. So sind z. B. nach §§ 93a und 93c AO eine Reihe von institutionell am Besteuerungsverfahren beteiligten Stellen aufgrund einer gewissen Sachnähe zum steuerrelevanten Sachverhalt verpflichtet, steuerliche Pflichten für den Stpfl. wahrzunehmen. Beispielsweise ruft der Arbeitgeber nach § 39e Abs. 4 EStG die elektronischen Lohnsteuermerkmale des Stpfl. ab und teilt die berechnete LSt nach § 41 a Abs. 1 EStG an sein Betriebsstätten-FA und die abgeführte LSt nach § 41b Abs. 1 EStG dem Wohnsitz-FA des Stpfl. mit. Da der Dritte nicht als Finanzbehörde im Sinne des § 6 Abs. 2 AO anzusehen ist, greift § 29b AO als Rechtsgrundlage für die Datenverarbeitung in diesen Fällen nicht.^[11] Die Rechtmäßigkeit der Datenverarbeitung richtet sich hier nach Art. 6 Abs. 1 S. 1 Buchst. c) DSGVO i. V. m. den Einzelsteuergesetzen^[12], die die entsprechenden steuerlichen Pflichten des Dritten enthalten.^[13] Art. 6 Abs. 3 Buchst. b) DSGVO sieht für diesen Fall die Möglichkeit zur Regelung durch nationales Gesetz ausdrücklich vor.

Rz. 20

Die steuerverwaltende Tätigkeit öffentlich-rechtlicher Religionsgemeinschaften fällt nicht unter diese Regelungen. Für diese eröffnet aber Art. 91 Abs. 1 DSGVO im Einklang mit Art. 17 AEUV^[14] die Option zur Fortanwendung für Kirchen oder sonstige religiöse Vereinigungen oder Gemeinschaften bestehender Datenschutzregelungen, soweit diese in Einklang mit der DSGVO gebracht werden.^[15]

[1] BFH v. 5.9.2023, IX R 32/21, BFH/NV 2024, 55, NJW 2023, 3668 Rz. 18; Wackerbeck, in HHSp, AO/FGO, § 29b AO Rz. 18.

[2] Legal definiert in Art. 4 Nr. 3 DSGVO.

[3] Koenig/Pätz, AO, 5. Aufl. 2024, § 29b Rz. 25.

[4] Wackerbeck, in HHSp, AO/FGO, § 29b AO Rz. 18; Mues, in Gosch, AO/FGO, § 29b AO Rz. 21.

[5] Wackerbeck, in HHSp, AO/FGO, § 29b AO Rz. 14.

[6] Peuthert/Schaebs, DB 2021, 2650, 2652.

[7] Wackerbeck, in HHSp, AO/FGO, § 29b AO Rz. 19; Drüen, in Tipke/Kruse, AO/FGO, § 29b AO Rz. 8; Baum, in eKommentar, § 29b AO Rz. 2; Koenig/Pätz, AO, 5. Aufl. 2024, § 29b Rz. 30.

[8] Mues, in Gosch, AO/FGO, § 29b AO Rz. 24; BMF v. 13.1.2020, IV A 3 – S 0130/19/10017 :004, BStBl I 2020, 143, geändert durch BMF v. 17.6.2021, IV A 3 – S 0130/19/10017 :004, BStBl I 2021, 809, Rz. 14.

[9] Wackerbeck, in HHSp, AO/FGO, § 29b AO Rz. 19; Drüen, in Tipke/Kruse, AO/FGO, § 29b AO Rz. 8; Baum, in e...