Schwarz/Pahlke, AO § 29b Verarbeitung personenbezogener ... / 2 Zulässigkeit der Verarbeitung zu bestimmten Zwecken (Abs. 1)

Rz. 12

Ist die Verarbeitung von personenbezogenen Daten nur nach Maßgabe einer (u. a.) im nationalen Recht enthaltenen Rechtgrundlage zulässig, erwartet die DSGVO, dass die Reichweite der Verarbeitungsbefugnis, mithin der Verarbeitungszweck, ebenfalls durch die nationale Grundlage konkretisiert wird.^[1] Der nationale Gesetzgeber kann die Zwecke der Verarbeitung, eine Präzisierung der Verarbeitungsbedingungen, Arten zu verarbeitender Daten, betroffene Personenkreise und in Betracht kommende Übermittlungsempfänger konkret regeln. Art. 5 Abs. 1 Buchst. b) DSGVO legt fest, dass personenbezogenen Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen. Hierbei geht die Pflicht zur Konkretisierung nicht so weit, dass jeder einzelne Verarbeitungsvorgang mit einer eigenen Rechtsgrundlage unterlegt werden muss; vielmehr kann ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. § 29b Abs. 1 AO benennt – in Anlehnung an den insoweit entsprechenden § 22 BDSG – allerdings keinen konkreten Verarbeitungszweck, sondern lässt die Verarbeitung zur Erfüllung einer konkretisierungsbedürftigen Aufgabe zu.

Der Verarbeitungszweck muss aber auch nicht ausdrücklich gesetzlich bestimmt werden, sondern kann sich ebenso aus dem Kontext einer zu erfüllenden bestimmten Aufgabe ergeben, wenn und soweit diese Aufgabe durch das Recht hinreichend klar und bestimmt beschrieben wird.^[2] Eine abstrakte Regelung eines Erlaubnistatbestands gewährleistet dabei auch ein hinreichendes Maß an Verwaltungsflexibilität und -ermessen und wirkt einer "Verrechtlichungsfalle" entgegen.^[3]

Rz. 13

§ 29b AO stellt die nationale Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Finanzbehörden zu dem Zweck, zu dem sie erhoben wurden, dar.^[4] Die Norm stellt sicher, dass die Daten auch automationsunterstützt erhoben und insoweit verarbeitet werden dürfen.^[5]

Rz. 14 einstweilen frei

[1] EG 45 zur DSGVO.

[2] BFH v. 5.9.2023, IX R 32/21, BFH/NV 2024, 55, NJW 2023, 3668 Rz. 39 m. w. N.

[3] BFH v. 5.9.2023, IX R 32/21, BFH/NV 2024, 55, NJW 2023, 3668 Rz. 44 m. w. N.

[4] "Zweckbindungsgrundsatz"; Drüen, in Tipke/Kruse, AO/FGO, § 29b AO Rz. 7; Wackerbeck, in HHSp, AO/FGO, § 29b AO Rz. 5.

[5] Drüen, in Tipke/Kruse, AO/FGO, § 29b AO Rz. 1 m. w. N.

2.1 Verarbeitung personenbezogener Daten durch Finanzbehörden

Rz. 15

Der Begriff der Verarbeitung ist in Art. 4 Nr. 2 DSGVO legal definiert. Diese Definition ist auch im Rahmen des § 29b AO verbindlich.^[1] Danach umfasst die "Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. Darunter fällt das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung^[2], das Löschen oder die Vernichtung dieser Daten. Es ist unerheblich, ob die Verarbeitung mithilfe eines automatisierten Verfahrens oder manuell erfolgt.^[3]

Der Katalog der legal definierten Verarbeitungsformen ist dabei – wie in Art. 4 Nr. 2 DSGVO durch das Wort "wie" ausdrücklich geregelt – nicht abschließend.^[4]

Rz. 16

Personenbezogene Daten sind nach der Legaldefinition des Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare (natürliche) Person beziehen. Es muss also eine Zuordnung der Daten zu einer konkreten bzw. konkretisierbaren Person oder Personenmehrheit möglich sein.^[5] Anonymisierte oder pseudonymisierte Daten unterfallen dem Schutzbereich der DSGVO und des § 29b AO dagegen nicht.^[6]

Rz. 17

§ 29b Abs. 1 AO regelt (nur) die Verarbeitung personenbezogener Daten durch Finanzbehörden oder i. V. m. § 1 Abs. 2 Nr. 1 AO in entsprechender Anwendung durch Kommunen, soweit ihnen die Verwaltung der Realsteuern übertragen wurde.^[7]

"Verantwortlicher" für die Verarbeitung der Daten i. S. d. Art. 4 Nr. 7 DSGVO ist i. d. R. die für den jeweiligen Fall sachlich und örtlich zuständige Finanzbehörde.^[8]

Rz. 18

Ist die Finanzbehörde danach zur Verarbeitung der Daten berechtigt, darf die Verarbeitung unter Einhaltung der Anforderungen der Art. 28ff. DSGVO als zulässiges Mittel zur Verarbeitung auch durch die durch sie beauftragten Auftragsverarbeiter erfolgen.^[9]

Rz. 19

Öffentliche Stellen, die keine Finanzbehörden i. S. d. § 6 Abs. 2 AO sind und für die diese Regelungen auch nicht entsprechend gelten, sowie nicht-öffentliche Stellen können sich dagegen – auch wenn sie Aufgaben im Besteuerungsverfahren wahrnehmen – nicht auf § 29b Abs. 1 AO als Rechtsgrundlage für die Verarbeitung personenbezogener Daten stützen.^[10] Tatsächlich verarbeiten aber neben Finanzbehörden auch Dritte personenbezogene Da...