Schwarz/Pahlke/Keß, AO § 2a Anwendungsbereich der Vorsch ... / 1 Vorschrift über die Verarbeitung personenbezogener Daten

1.1 Überblick

Rz. 1

Die Regelung des § 2a AO ist am 25.5.2018 in Kraft getreten.^[1] Sie wurde in Abs. 3 hinsichtlich der letzten Berichtigung der Verordnung der EU im ABl EU L 127 v. 23.5.2018, 2, angepasst.^[2] Ebenfalls ab 25.5.2018 wurde die Datenschutzgrundverordnung^[3] als Verordnung nach § 288 Abs. 2 AEUV als unmittelbar geltendes Recht in allen EU-Mitgliedstaaten wirksam.

Rz. 2

Durch das Kreditzweitmarktförderungsgesetz^[4] wurden Abs. 3 und Abs. 5 geändert.

Rz. 3

Das ab 25.5.2018 geltende Datenschutzrecht ergibt sich aus dem Zusammenspiel des unionsrechtlichen Datenschutzes^[5] und den bereichsspezifischen Neuregelungen der AO. Die Vorschriften des BDSG sowie der entsprechenden Landesdatenschutzgesetze gelten für die Finanzbehörden nur bei entsprechender Bestimmung; solche Bestimmungen enthalten z. B. § 31c Abs. 1 S. 2 AO durch Verweis auf § 22 Abs. 2 S. 2 BDSG oder § 32g AO auf § 5 Abs. 2 bis 5 BDSG.^[6] Das BDSG hat jedenfalls seine bisherige Funktion als "Auffanggesetz" verloren.^[7]

Rz. 4

Durch die Anpassung der AO an die Regelungsaufträge der DSGVO sollen die bereits bestehenden Vorschriften über die Verarbeitung personenbezogener Daten an die Regelungen und Begriffsbestimmungen dieser Verordnung angepasst bzw. neue bereichsspezifische Regelungen in enger Anlehnung an das neue Bundesdatenschutzgesetz geschaffen werden. Zugleich sollen auf Grundlage des Art. 23 DSGVO bereichsspezifische Einschränkungen der Betroffenenrechte bestimmt werden, damit die Finanzbehörden weiterhin ihrem Verfassungsauftrag nachkommen können, die Steuern nach Maßgabe der Gesetze gleichmäßig festzusetzen und zu erheben und Steuerverkürzungen aufzudecken.

Rz. 5

Art. 23 DSGVO war im EU-Gesetzgebungsverfahren höchst umstritten.^[8] Erst die hier erreichten Zugeständnisse haben jedoch den Weg für die Verabschiedung des Art. 23 DSGVO geebnet. Mit Blick auf Art. 23 DSGVO erscheint es jedenfalls nicht logisch, wenn einerseits die Betroffenenrechte durch die DSGVO eingeschränkt werden und andererseits die Ausgestaltung des § 30 AO (Steuergeheimnis) etwa durch Ausdehnung des § 30 Abs. 4 Nr. 2a, 2b und 2c AO relativiert wird.^[9]

Rz. 6

§ 2a AO bestimmt, welche Vorschriften über die Verarbeitung personenbezogener Daten im Anwendungsbereich der AO^[10] anzuwenden sind (dazu nachfolgend unter Ziff. 2). Der § 29b AO enthält die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Finanzbehörden. Die Verarbeitung personenbezogener Daten durch Finanzbehörden zu anderen Zwecken wird in § 29c AO geregelt. Im Zuge der Anpassung an die DSGVO wurde auch § 30 AO modifiziert. Die Rechte der betroffenen Personen, insbesondere die Informationspflichten, das Recht auf Auskunft und auf Berichtigung, Löschung und Widerspruch ergeben sich aus §§ 32a bis f AO. Die Regelungen zur Datenschutzaufsicht sowie zum gerichtlichen Rechtsschutz in datenschutzrechtlichen Angelegenheiten ergeben sich aus §§ 32g bis j AO.

Rz. 7

Bei der Anwendung des neuen Datenschutzrechts ist das sog. Normwiederholungsverbot zu beachten, das dem nationalen Normgeber eine Wiederholung der Regelung der DSGVO verbietet.^[11] Die DSGVO und die AO-Regelungen sind deshalb immer parallel heranzuziehen. Das ist durchaus misslich, soweit sich, wie in § 31c AO, nur auf der Regelung des Art. 9 Buchst. j DSGVO die Regelungsmöglichkeit für die Verarbeitung von besonderen Kategorien personenbezogener Daten für statistische Zwecke ergibt.

Für das Finanzgerichtsverfahren verbleibt es bei der Anwendung des § 78 FGO, weil Art. 15 DSGVO hier nicht anwendbar ist.^[12]

[1] BGBl I 2017, 2541, 2546ff., Art. 31 Abs. 4.

[2] Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) v. 20.9.2019, BGBl I 2019, 1626.

[3] VO (EU) 2016/679 v. 27.4.2016, ABl EU 2016, L 119, 1 (DSGVO).

[4] Gesetz zur Förderung geordneter Kreditzweitmärkte und zur Umsetzung der Richtlinie (EU) 2021/2167 über Kreditdienstleister und Kreditkäufer sowie zur Änderung weiterer finanzmarktrechtlicher Bestimmungen vom 22.12.2023, BGBl I 2023, Nr. 411.

[5] Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, Datenschutz-Grundverordnung (hier abgekürzt: DSGVO), ABl EU L 119, 1, berichtigt ABl EU L 314, 72, vom 22.11.2016, ABl EU L 127, 2 vom 23.5.2018 und ABl EU L 74, 35 vom 4.3.2021.

[6] § 2a Abs. 1 S. 2 AO.

[7] Myßen/Kraus, DB 2017, 1860/1864.

[8] Gierschmann/Schlender/Stentzel/Veil, Datenschutz-Grundverordnung, 2018, Art. 23 DSGVO Rz. 11ff. m. w. N.

[9] Erkis, DStR 2018, 161/1667; diese Gesichtspunkte werden bei der Kommentierung bei Kordt, in Schwarz/Pahlke/Keß, AO/FGO, zu § 30 Abs. 4 Nr. 2a bis 2c AO nicht aufgenommen.

[10] Vgl. § 1 AO.

[11] EUGH v. 7.2.1973, 39/72, Slg. 1973, 101 Rz. 17; Streinz, EUV/AEUV, 3. Aufl. 2018, Art. 288 Rz. 43.

[12] BFH v. 29.8.2019, X S 6/19, BFH/NV 2020, 25.

1.2 Abstimmungsbedarf zwischen EuGH und BVerfG

Rz. 8

Ausgehend von den Grundsätzen in der Rechtssache Âkerberg Fransson^[1] liegt die Annahme...