Schwarz/Pahlke/Keß, AO § 32h Datenschutzrechtliche Aufsi ... / 2.4 Datenschutzaufsicht

2.4.1 Allgemeines

Rz. 34

Nach § 2a Abs. 1 AO gelten bei der Verarbeitung personenbezogener Daten im Anwendungsbereich der Abgabenordnung durch Finanzbehörden, durch andere öffentliche Stellen und durch nicht-öffentliche Stellen neben der DSGVO ausschließlich die datenschutzrechtlichen Vorschriften der Abgabenordnung und der Steuergesetze. Dieser Grundsatz wird durchbrochen, soweit die AO ausdrücklich auf die Bestimmungen des BDSG verweist.

Rz. 35

Einen entsprechenden Verweis auf die §§ 13 bis 16 BDSG enthält § 32h Abs. 1 S. 2 AO. In diesen Vorschriften werden die Rechte und Pflichten des BfDI^[1], ihre Aufgaben^[2], die Ausgestaltung ihres Tätigkeitsberichts^[3] sowie ihre Befugnisse näher umschrieben.^[4] Die Vorschriften ergänzen jedoch nur die Regelungen in der DSGVO. In der Literatur^[5] werden die vorgenommenen Verweise teilweise als überflüssig angesehen, insbesondere soweit auf Vorschriften zur Ausübung der Tätigkeit der BfDI verwiesen werden. Diese Einschätzung wird nicht geteilt. So regelt § 2a Abs. 1 S. 2 AO, dass das BDSG nur anzuwenden ist, wenn dies ausdrücklich gesetzlich normiert wird. D. h. mit dem Verweis auf die §§ 13 bis 16 BDSG bringt der Gesetzgeber zum Ausdruck, dass die außerhalb der Finanzverwaltung geltenden allgemeinen Verhaltensregularien für den BfDI auch bei der Datenschutzaufsicht im Anwendungsbereich der AO zu beachten sind. Hierbei ist auch zu berücksichtigen, dass nach § 2a Abs. 5 AO der Anwendungsbereich der DSGVO im Rahmen des steuerlichen Datenschutzrechts auch auf juristische Personen und Verstorbene ausgeweitet wird.

[1] § 13 BDSG.

[2] § 14 BDSG.

[3] § 15 BDSG.

[4] § 16 BDSG.

[5] Schober, in Gosch, AO/FGO, § 32h Rz. 13ff.

2.4.2 Untersuchungs- und Abhilfebefugnisse der Datenschutzaufsichtsbehörden

Rz. 36

Gegenüber den für die Verarbeitung Verantwortlichen hat die Datenschutzaufsicht umfangreiche Befugnisse.^[1] Diese sind zu unterscheiden in Untersuchung- und Abhilfebefugnisse und treffen den Verantwortlichen genauso wie einen möglichen Auftragsverarbeiter.^[2] So kann die Datenschutzaufsicht den Verantwortlichen anweisen ihr bestimmte Unterlagen vorzulegen oder eine Vor-Ort-Kontrolle^[3] durchführen. Kündigt sich die Datenschutzaufsicht bei der Finanzbehörde an, dann erfolgt eine umfangreiche Prüfung. Hierzu gehört dann u. a.

• Zutritt zu allen Räumlichkeiten, auch z. B. Einsicht in Schränke;
• Gespräche mit Mitarbeitern;
• Einsicht in sämtliche dienstlichen Unterlagen, Fertigung von Kopien, evtl. Fotografien;
• Kontrolle der Mitarbeiter-PC in deren Beisein, Prüfung der Ablagen, Speicherorte und E-Mail-Postfächer auf dienstliche Dokumente und Tabellen mit personenbezogenen Daten.

Rz. 37

Die Datenschutzaufsicht kann auch untersuchen, ob die Standorte von Kopierern, Faxgeräten so gewählt sind, dass personenbezogene Daten nicht unzulässigerweise offengelegt werden. Sie kann sich vom Verantwortlichen darstellen lassen, wie Posteingänge behandelt werden, die Reinigung der Büros erfolgt und hierbei der Datenschutz gewahrt wird, wie bei Abwesenheiten der Mitarbeiter verfahren wird, wie Besucherregelungen ausgestaltet sind oder wie die Dienststelle bewacht wird. Daneben kann die Datenschutzaufsicht auch die IT-Systeme des Verantwortlichen untersuchen. Wie ist der Schutz der Systeme ausgestaltet, wer kann worauf zugreifen, wie sind die Regularien zur Datensicherung oder sind die Serverräume ausreichend gesichert. Zusammenfassend hat die Datenschutzaufsicht gegenüber einem Verantwortlichen weitgehende Untersuchungsrechte die teilweise über die Möglichkeiten des FA bei Außenprüfungen hinausgehen.

Rz. 38

Neben diesen Vor-Ort Kontrollen kann die Datenschutzaufsicht gegenüber dem Verantwortlichen vorsorgliche Warnungen aussprechen, wenn dieser eine Datenverarbeitung beabsichtigt, die voraussichtlich einen Verstoß gegen die DSGVO darstellen würde. Es können Verwarnungen ausgesprochen werden, wenn mit der Datenverarbeitung bereits gegen die DSGVO verstoßen wurde. Darüber hinaus können Verantwortliche und Auftragsverarbeiter künftig im Rahmen eines förmlichen Verwaltungsaktes von den Aufsichtsbehörden angewiesen werden, Betroffenenrechten zu entsprechen, Datenverarbeitungen mit der DSGVO in Einklang zu bringen sowie von einem Datenschutzverstoß betroffene Personen entsprechend zu benachrichtigen.

[1] Schaffland/Holthaus, in Schaffland/Wiltfang, DSGVO, Art. 58 Rz. 2 ff.; Neun/Lubitzsch, BB 2017, 1538.

[2] Zum Begriff des Auftragsverarbeiters vgl. Art 28 DSGVO; Hartung/Büttgen, DuD 2017, 549; Krohm/Müller-Peltzer, RDV 2016, 307.

[3] Die Vor-Ort-Kontrolle braucht nicht angekündigt zu werden vgl. Schaffland/Holthaus, in Schaffland/Wiltfang, DSGVO, Art. 51 Rz. 22.