Schwarz/Pahlke/Keß, AO § 31c Verarbeitung besonderer Kat ... / 4.1 Gebot zur Pseudonymisierung oder Anonymisierung

Rz. 36

Um dem zusätzlichen Schutzbedürfnis bei der Weiterverarbeitung dieser "sensiblen Daten" im Hinblick auf die in Art. 89 DSGVO genannten Garantien zu entsprechen, ergänzt § 31c Abs. 3 S. 1 AO den durch die in § 22 Abs. 2 S. 2 BDSG genannten Maßnahmen^[1] gewährten Schutz^[2] durch weitere Anforderungen. Die zu statistischen Zwecken verarbeiteten besonderen Kategorien personenbezogener Daten i. S. d. Art. 9 Abs. 1 DSGVO sind danach zu pseudonymisieren^[3] oder zu anonymisieren, sobald der Statistikzweck dies zulässt. Nur wenn ausnahmsweise berechtigte Interessen der betroffenen Person dem entgegenstehen, wird auf diesen zusätzlichen Schutz der Daten verzichtet. Ob dieser Verzicht auf den Schutz der Daten, der etwa im Gesundheitsbereich oder bei Forschungsvorhaben, wie etwa bei klinischen Studien, durchaus einige Berechtigung hat, im Steuerbereich Wirkung entfalten kann, darf wohl getrost bezweifelt werden. Diese Orientierung an § 27 Abs. 3 S. 1 BDSG macht im Rahmen des Regelungsbereichs des § 31c AO deshalb wenig Sinn und dürfte in der Praxis keine Bedeutung haben.^[4]

Rz. 37

Unter Pseudonymisierung fasst die DSGVO in Art. 4 Nr. 5 – verbindlich auch für den nationalen Gesetzgeber – die Verarbeitung personenbezogener Daten in der Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können. Voraussetzung ist dafür, dass diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren Person zugewiesen werden. Über den Geltungsbereich der DSGVO für natürliche Personen hinaus gilt diese Begriffsbestimmung über § 2a Abs. 5 AO entsprechend auch für juristische u. a. dort genannte Personen (s. dazu Rz. 6).

Rz. 38

Mit der Alternative, die Daten zu pseudonymisieren, anstatt sie zu anonymisieren, geht § 31c Abs. 3 S. 1 AO über die für diese Zwecke außerhalb des Steuerrechts geschaffene Regelung des § 27 Abs. 3 BDSG, die lediglich die Anonymisierung zulässt, hinaus, bzw. schränkt den Schutz der Daten insoweit ein. Während die Anonymisierung den Personenbezug irreversibel aufhebt und dadurch keine personenbezogenen Daten – die des Schutzes bedürfen – mehr gegeben sind, besteht die Personalisierung – und damit die Schutzbedürftigkeit der Daten – bei der Pseudonymisierung wegen der Möglichkeit der Rückgängigmachung fort.^[5] Dieses gegenüber den Zwecken der DSGVO abgeschwächte Datenschutzniveau findet aber in den Bezugsregelungen im Übrigen durchaus seine Berechtigung. Zudem lässt sie die Rückgängigmachung der "Anonymisierung" nicht zuletzt auch im Interesse des Besteuerungsverfahrens zu.^[6]

Zu den geeigneten Garantien zum Schutz der Daten gehört nach Art. 6 Abs. 4 Buchst. e DSGVO u. a. die Pseudonymisierung. Ebenso sehen auch Art. 5 Abs. 1 Buchst. b DSGVO i. V. m. Art. 89 Abs. 1 S. 3 DSGVO die Pseudonymisierung als geeignete Maßnahme vor, die die Achtung des Grundsatzes der Datenminimierung gewährleistet. So ist die Pseudonymisierung auch in § 22 Abs. 2 S. 2 Nr. 6 BDSG i. V. m. § 31c Abs. 1 S. 2 AO als angemessene und spezifische Maßnahme zur Wahrung der Interessen der betroffenen Person vorgesehen.

Rz. 39

Da die Pseudonymisierung oder Anonymisierung nach § 31c Abs. 3 S. 1 2. Halbs. AO erfolgen muss, wenn und sobald die statistische Weiterverarbeitung dies faktisch erlaubt, wird die Rechtsbeschränkung des Betroffenen für Statistikzwecke auch insoweit an enge Verhältnismäßigkeitskriterien gebunden.^[7]

[1] S. dazu § 31c Abs. 1 S. 2 AO; Rz. 31.

[2] Myßen/Kraus, DB 2017, 1860, 1867.

[3] Legaldefiniert in Art. 4 Nr. 5 DSGVO.

[4] Drüen, in Tipke/Kruse, AO/FGO, § 31c AO Rz. 14; Thaler, in HHSp, AO/FGO, § 31c AO Rz. 44; einschränkend Tormöhlen, in Gosch, AO/FGO, § 31c AO Rz. 27.

[5] Drüen, in Tipke/Kruse, AO/FGO, § 31c AO Rz. 15; Koenig/Pätz, AO, 5. Aufl. 2024, § 31c Rz. 43; Thaler, in HHSp, AO/FGO, § 31c AO Rz. 42.

[6] Thaler, in HHSp, AO/FGO, § 31c AO Rz. 35.

[7] Tormöhlen, in Gosch, AO/FGO, § 31c AO Rz. 27.