Schwarz/Pahlke, AO § 29b Verarbeitung personenbezogener ... / 3 Verarbeitung von sensiblen Daten (Abs. 2)

Rz. 35

Daten, deren Verarbeitung aufgrund ihres Gehaltes einen besonders hohen Eingriff in grundrechtlich geschützte Selbstbestimmungsrechte darstellt, dürfen nach Art. 9 Abs. 1 DSGVO im Grundsatz nicht verarbeitet werden. Dies beruht auf dem Gedanken, dass mit der Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten der Betroffenen eintreten können.^[1]

Art. 9 DSGVO unterscheidet verschiedene Kategorien von Daten und macht die Verarbeitung besonders sensibler Daten von weiteren Voraussetzungen abhängig.^[2] Anders als die "normalen" Daten, die der Identifikation dienen und der im Falle des Besteuerungsverfahrens zu erfassenden wirtschaftlichen Betätigung der betroffenen Person entspringen, sind die besonderen Kategorien personenbezogener Daten i. S. d. Art. 9 Abs. 1 DSGVO durch die Grundfreiheiten besonders geschützt, sodass die Verarbeitung dieser Daten einen intensiveren Eingriff darstellt und vor diesem Hintergrund einer besonderen Rechtfertigung bedarf. Im Einzelnen handelt es sich hierbei um Daten, aufgrund derer auf die rassische und ethnische Herkunft der betroffenen Person geschlossen werden kann, durch welche politische Meinungen, religiöse oder weltanschauliche Überzeugungen zum Ausdruck kommen oder durch die genetische, biometrische Eigenheiten bzw. die sexuellen Orientierung oder die gesundheitliche Disposition der betroffenen Person bekannt werden können. Schon nach altem Recht konnten diese Daten nur unter besonderen Voraussetzungen verarbeitet werden.^[3]

Die von der DSGVO als besondere Kategorien personenbezogener Daten benannten persönlichen Merkmale werden andernorts^[4] auch als sensible Daten bezeichnet. Diese Terminologie scheint sich insoweit durchgesetzt zu haben.^[5]

[1] Baum, NWB 2017, 3203, 3205.

[2] Vgl. Art. 9 Abs. 2 DSGVO.

[3] Vgl. § 13 Abs. 2 BDSG a. F.; BGBl I 2003, 66.

[4] EG 10 Satz 5 zur DSGVO.

[5] BMF v. 13.1.2020, IV A 3 – S 0130/19/10017 :004, BStBl I 2020, 143, geändert durch BMF v. 17.6.2021, IV A 3 – S 0130/19/10017 :004, BStBl I 2021, 809, Rz. 10.

3.1 Zugelassene Verarbeitung sensibler Daten (Abs. 2 S. 1)

Rz. 36

Von dem Verarbeitungsverbot für sensible Daten macht Art. 9 Abs. 2 DSGVO eine Ausnahme, wenn

• die betroffene Person in die Verarbeitung ausdrücklich eingewilligt hat,
• die betreffenden Daten von der betroffenen Person öffentlich gemacht worden sind,
• die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist oder
• die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedsstaates aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist; das maßgebliche Recht muss dabei in angemessenem Verhältnis zu dem verfolgten Ziel stehen, den Wesensgehalt des Rechts auf Datenschutz wahren und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsehen.

Der Gesetzgeber macht ausweislich der Gesetzesbegründung von dem Ausnahmetatbestand des Art. 9 Abs. 2 Buchst. g) DSGVO in § 29b Abs. 2 AO Gebrauch.^[1]

Neben den ausdrücklich in der Gesetzesbegründung genannten Verarbeitungsanlässen (Gewerkschaftsbeiträge oder Spenden an gemeinnützige Empfänger als Werbungskosten nach § 9 EStG oder Sonderausgaben nach § 10 EStG; Krankheitskosten als außergewöhnliche Belastungen nach § 33 EStG), für die nach Annahme des Gesetzgebers bereits Art. 9 Abs. 2 Buchst. g) DSGVO unmittelbar Anwendung findet, sind nach der allgemeinen Verarbeitungsvorschrift des § 29b Abs. 2 AO weitere Verarbeitungsanlässe (z. B. Religionszugehörigkeit zur Festsetzung der Kirchensteuer oder zum Sonderausgabenabzug bei gezahlter Kirchensteuer) umfasst.^[2]

Rz. 37

Soweit Art. 9 Abs. 2 DSGVO an eine nationale Ausgestaltung Anforderungen zur inhaltlichen Konturierung der Datenverarbeitungsregelung knüpft, ist zweifelhaft, ob die wortlautidentische Übernahme in § 29b Abs. 2 S. 1 AO diesen Anforderungen genügt.^[3] Vereinzelt wird der Regelung der "normative Eigenwert" mit der Folge abgesprochen^[4], dass die generalklauselartige Umsetzung rechtliche Zweifel hinsichtlich der VO-Konformität aufwirft. Allerdings erhält die Befugnisnorm durch die Einbettung in das fachspezifische Verfahrensrecht der AO und die Anbindung an eine strenge Verhältnismäßigkeitsprüfung hinsichtlich der verantwortlichen Behörden, der Verarbeitungsanlässe und -zwecke sowie des Umfangs der Datenverarbeitung hinreichende Konturen.^[5] Zudem hat sich die Regelungstechnik an dem sehr auf den Einzelfall bezogenen Verarbeitungsumfang und dem Ermittlungsaufwand und nicht zuletzt an der steten Weiterentwicklung der Verarbeitungsarten und -wege in der Steuerverwaltung zu orientieren, sodass die Umsetzung in nationales Recht als EU-Rechtskonform anzusehen ist.^[6]

Rz. 38

Die Verarbeitung sensibler Daten durch eine Finanzbehörde ist nach § 29b Abs. 2 S. 1 AO dann zulässig, wenn kumulativ die Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist und zudem die Interessen des Verantwortlichen an der Datenverarbei...