Schwarz/Pahlke, AO § 29b Verarbeitung personenbezogener ... / 4.2 Folgen

Rz. 56

Die datenschutzrechtliche Bewertung geht nicht mit der steuerrechtlichen Bewertung der Behördenentscheidung einher und beeinflusst diese auch nicht. Dies hat zur Folge, dass eine in datenschutzrechtlicher Hinsicht unzulässige Datenverarbeitung nicht zwingend die Rechtswidrigkeit der Behördenentscheidung und deren Aufhebbarkeit zur Folge haben muss. Mit anderen Worten führt eine aus datenschutzrechtlicher Sicht rechtswidrige Datenverarbeitung nicht zwingend, sondern eher nur im Ausnahmefall zu einem Verwertungsverbot im Rahmen des Besteuerungsverfahrens.^[1] Daher erfolgt die rechtliche Überprüfung in unterschiedlichen Verfahren mit jeweils unterschiedlichen in Betracht kommenden Rechtsfolgen, wobei im Folgenden nur die Maßnahmen zur datenschutzrechtlichen Überprüfung dargestellt werden sollen:

• Geltendmachung der Betroffenenrechte gegenüber dem Verantwortlichen^[2],
• Meldung einer Datenpanne durch den Verantwortlichen^[3],
• Meldung an den Datenschutzbeauftragten beim Verantwortlichen^[4],
• Beschwerde zur Aufsichtsbehörde^[5],
• Klage gegen den Verantwortlichen vor dem FG bei Streitigkeit hinsichtlich der Rechtmäßigkeit der Datenverarbeitung auf Wahrung der Vorgabe der DSGVO^[6],
• Geltendmachung eines Schadensersatzanspruchs, falls der datenschutzrechtliche Verstoß zu einem materiellen oder immateriellen Schaden beim Betroffenen geführt hat.^[7] Dieser tritt neben den nationalen Amtshaftungsanspruch aus § 839 BGB i. V. m. Art. 34 GG.^[8]

Die Verhängung einer Geldbuße nach Art. 83 DSGVO ist gegenüber dem Verantwortlichen nicht vorgesehen, da der nationale Gesetzgeber von dem durch Art. 84 DSGVO vorgesehenen Gestaltungsspielraum in der Weise Gebrauch gemacht hat, dass er die Verhängung von Geldbußen gegen Behörden ausgeschlossen hat.^[9]

Rz. 57

Nach Art. 77 Abs. 1 DSGVO hat jede betroffene Person unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe auch das Recht auf Beschwerde bei einer Aufsichtsbehörde.^[10] Dazu, wie die Aufsichtsbehörde mit der Beschwerde einer betroffenen Person wegen eines vermeintlichen datenschutzrechtlichen Verstoßes zu verfahren hat, enthält Art. 77 DSGVO keinen Pflichtenkatalog. Die Untersuchung hat aber unter der Prämisse, dass die Aufsichtsbehörde nach Art. 57 Abs. 1 Buchst. a) DSGVO zur Durchsetzung der Regeln der DSGVO verpflichtet ist, in angemessenem Umfang und mit aller gebotenen Sorgfalt zu erfolgen.^[11]

Bei festgestellten Verstößen gegen datenschutzrechtliche Normen ist die Aufsichtsbehörde i. d. R. gehalten, mit dem Ziel der Abstellung des Verstoßes die Ihr obliegenden Abhilfebefugnisse^[12] zu ergreifen.^[13] Stellt sie keinen entsprechenden Verstoß fest, hat sie den Beschwerdeführer innerhalb von drei Monaten^[14] über den Stand und das Ergebnis der erhobenen Beschwerde zu unterrichten.^[15]

[1] So auch Klein/Maetz, AO, 18. Aufl. 2024, § 29b Rz. 39; Mues, in Gosch, AO/FGO, § 29b AO Rz. 54.

[2] Art. 16 DSGVO: Recht auf Berichtigung, Art. 17 DSGVO: Recht auf Löschung in den Grenzen des § 32f AO; Art. 18 DSGVO: Recht auf Einschränkung der Verarbeitung.

[3] Art. 33 Abs. 1 DSGVO.

[4] Art. 38 Abs. 4 DSGVO.

[5] Art. 57 Abs. 1 Buchst. f) DSGVO – für bundesgesetzlich geregelte Steuerarten ist dies nach § 32h Abs. 1 AO der oder die Bundesbeauftragte für Datenschutz und Informationsfreiheit, für landesgesetzlich geregelte Steuerarten sind dies die Landesdatenschutzbeauftragten.

[6] § 32i Abs. 1 und 2 AO.

[7] Art. 82 DSGVO mit Exkulpationsmöglichkeit für den Verantwortlichen nach Art. 82 Abs. 3 DSGVO.

[8] Drüen, in Tipke/Kruse, AO/FGO, § 29b AO Rz. 20 m. w. N.; Koenig/Pätz, AO, 5. Aufl. 2024, § 29b Rz. 79; Mues, in Gosch, AO/FGO, § 29b AO Rz. 57.

[9] Vgl. § 43 Abs. 3 BDSG.

[10] Vgl. Rz. 56; für bundesgesetzlich geregelte Steuerarten ist dies nach § 32h Abs. 1 AO der oder die Bundesbeauftragte für Datenschutz und Informationsfreiheit, für landesgesetzlich geregelte Steuerarten sind dies die Landesdatenschutzbeauftragten.

[11] BFH v. 12.12.2023, IX R 33/21, BStBl II 2024, 399 Rz. 31 m. w. N.

[12] Art. 58 DSGVO.

[13] BFH v. 12.12.2023, IX R 33/21, BStBl II 2024, 399 Rz. 32 m. w. N.

[14] Art. 78 Abs. 2 DSGVO.

[15] BFH v. 12.12.2023, IX R 33/21, BStBl II 2024, 399 Rz. 32.