Datenschutz und Kontenabrufe<\/strong>: Der Fall beleuchtet die Spannungen zwischen steuerrechtlichen Ermittlungen und Datenschutzanforderungen. Der BFH machte deutlich, dass Kontenabrufe nachvollziehbar und gerechtfertigt sein m\u00fcssen, besonders unter Ber\u00fccksichtigung der Datenschutz-Grundverordnung.<\/li><\/ul>\n\n\n\nImplikationen f\u00fcr die Praxis<\/h4>\n\n\n\n
Das Urteil hat wichtige Implikationen f\u00fcr die Praxis der Datenschutzaufsichtsbeh\u00f6rden und die Rechte der Betroffenen. Es st\u00e4rkt den gerichtlichen Rechtsschutz gegen\u00fcber Entscheidungen der Datenschutzaufsichtsbeh\u00f6rden und betont die Notwendigkeit, dass alle beh\u00f6rdlichen Ma\u00dfnahmen, einschlie\u00dflich Kontenabrufen, sowohl rechtlich als auch datenschutzrechtlich fundiert sein m\u00fcssen.<\/p>\n\n\n\n
Dieses Urteil sorgt f\u00fcr eine wichtige Klarstellung im Bereich des Datenschutzrechts und st\u00e4rkt die Position der Betroffenen hinsichtlich ihrer Rechte unter der DSGVO.<\/p>\n\n\n\n
Urteil vom 12. Dezember 2023, IX R 33\/21<\/h1>\n\n\n\n
ECLI:DE:BFH:2023:U.121223.IXR33.21.0<\/p>\n\n\n\n
BFH IX. Senat<\/p>\n\n\n\n
AO \u00a7 93 Abs 7 S 1 Nr 4, EUV 2016\/679 Art 57 Abs 1 Buchst f, EUV 2016\/679 Art 77, EUV 2016\/679 Art 78 Abs 1, FGO \u00a7 102, AO \u00a7 32i, AO \u00a7 29b<\/p>\n\n\n\n
vorgehend FG K\u00f6ln, 27. Oktober 2021, Az: 2 K 1415\/21<\/p>\n\n\n\n
Leits\u00e4tze<\/h2>\n\n\n\n
1. Art. 78 der Datenschutz-Grundverordnung (DSGVO) fordert zum Schutz der Rechte, die dem Einzelnen aus der Datenschutz-Grundverordnung erwachsen, einen wirksamen gerichtlichen Rechtsbehelf, der nach Ma\u00dfgabe des nationalen Verfahrensrechts eine vollst\u00e4ndige inhaltliche \u00dcberpr\u00fcfung der Beschwerdeentscheidung der Aufsichtsbeh\u00f6rde durch das Gericht erm\u00f6glicht.<\/p>\n\n\n\n
2. Ma\u00dfstab f\u00fcr den Umfang der Ermittlungen im Rahmen einer Beschwerde nach Art. 77 DSGVO sind insbesondere die individuelle Bedeutung der Sache und die Schwere des in Rede stehenden Versto\u00dfes.<\/p>\n\n\n\n
Tenor<\/h2>\n\n\n\n
Auf die Revision der Kl\u00e4ger wird das Urteil des Finanzgerichts K\u00f6ln vom 27.10.2021 – 2 K 1415\/21 aufgehoben.<\/p>\n\n\n\n
Die Sache wird an das Finanzgericht K\u00f6ln zur anderweitigen Verhandlung und Entscheidung zur\u00fcckverwiesen.<\/p>\n\n\n\n
Diesem wird die Entscheidung \u00fcber die Kosten des Verfahrens \u00fcbertragen.<\/p>\n\n\n\n
Tatbestand<\/h2>\n\n\n\nI.<\/h3>\n\n\n\n- Die Beteiligten streiten um die Rechtm\u00e4\u00dfigkeit eines Kontenabrufs nach \u00a7 93 Abs. 7 der Abgabenordnung (AO) und begehren ein Einschreiten der Datenschutzaufsichtsbeh\u00f6rde.<\/li>
- Die Kl\u00e4ger und Revisionskl\u00e4ger (Kl\u00e4ger) werden beim Finanzamt \u2026 (FA) steuerlich gef\u00fchrt. Mit diesem f\u00fchren sie eine streitige Auseinandersetzung wegen verfassungsrechtlicher Bedenken gegen S\u00e4umniszuschl\u00e4ge.<\/li>
- Im Zusammenhang mit Vollstreckungsma\u00dfnahmen wegen der Nichtzahlung der S\u00e4umniszuschl\u00e4ge versandte das FA am 16.12.2019 eine Pf\u00e4ndungs- und Einziehungsverf\u00fcgung an die X-Bank. Nachdem eine Drittschuldnererkl\u00e4rung der X-Bank zun\u00e4chst nicht beim FA einging, veranlasste das FA am 21.01.2020 eine Kontenabfrage beim Bundeszentralamt f\u00fcr Steuern.<\/li>
- Die Kl\u00e4ger wandten sich an den Beklagten und Revisionsbeklagten, den Bundesbeauftragten f\u00fcr den Datenschutz und die Informationsfreiheit \u2011\u2011Beklagter\u2011\u2011) mit einer Beschwerde. Sie trugen unter anderem vor, das FA habe die nicht rechtskr\u00e4ftig titulierten S\u00e4umniszuschl\u00e4ge beitreiben wollen, ohne den rechtskr\u00e4ftigen Ausgang eines eingelegten Rechtsmittels abzuwarten. Der Kontenabruf verletze ihre Datenschutzrechte. Das FA habe zun\u00e4chst eine Verm\u00f6gensauskunft bei ihnen einholen m\u00fcssen.<\/li>
- Der Beklagte teilte nach Ermittlung des Sachverhalts den Kl\u00e4gern mit, er halte den durchgef\u00fchrten Kontenabruf f\u00fcr plausibel und rechtm\u00e4\u00dfig. Es habe sich um eine nach Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 2, 3 der Datenschutz-Grundverordnung (DSGVO), \u00a7 29b Abs. 1 AO und \u00a7 85 AO zul\u00e4ssige Datenverarbeitung gehandelt.<\/li>
- Am 29.06.2021 erlie\u00df der Beklagte einen Bescheid, mit dem die Beschwerde der Kl\u00e4ger abgewiesen wurde. Die Kontenabfrage des FA wertete der Beklagte als datenschutzrechtlich zul\u00e4ssig. Das FA habe sein Ermessen vor dem Hintergrund der bisherigen Zahlungs- und Vollstreckungserfahrungen mit den Kl\u00e4gern fehlerfrei ausge\u00fcbt.<\/li>
- Die von den Kl\u00e4gern nachfolgend beim Finanzgericht (FG) erhobene Klage, mit der sie die Aufhebung des Bescheids vom 29.06.2021 und die Festsetzung von Geldbu\u00dfen begehrten, wurde mit Urteil vom 27.10.2021 – 2 K 1415\/21 (Entscheidungen der Finanzgerichte 2022, 230) als unbegr\u00fcndet abgewiesen. Eine inhaltliche \u00dcberpr\u00fcfung der Beschwerdeentscheidung einer datenschutzrechtlichen Aufsichtsbeh\u00f6rde sei in der Datenschutz-Grundverordnung nicht vorgesehen. Bei dem Beschwerderecht nach Art. 77 Abs. 1 DSGVO handele es sich um ein petitions\u00e4hnlich ausgestaltetes Recht, das nur eingeschr\u00e4nkter richterlicher Kontrolle unterliege. Gegen eine inhaltliche Pr\u00fcfung der aufsichtsrechtlichen Entscheidung spreche insbesondere der Umstand, dass dem Betroffenen neben seinem Beschwerderecht gegen\u00fcber der Aufsichtsbeh\u00f6rde regelm\u00e4\u00dfig auch die M\u00f6glichkeit einger\u00e4umt sei, gegen\u00fcber dem Verantwortlichen selbst um Rechtsschutz nachzusuchen. Der Beklagte habe sich mit dem Anliegen der Kl\u00e4ger inhaltlich befasst und diesen das Ergebnis mitgeteilt. Ein weitergehender Anspruch der Kl\u00e4ger bestehe nicht. Dass die datenschutzrechtliche W\u00fcrdigung des Sachverhalts durch den Beklagten v\u00f6llig fernliegend und willk\u00fcrlich sei, sei nicht ersichtlich. Gem\u00e4\u00df \u00a7 93 Abs. 7 Satz 1 Nr. 4 AO d\u00fcrfe ein automatisierter Abruf von Kontoinformationen durchgef\u00fchrt werden, wenn er unter anderem zur Erhebung von bundesgesetzlich geregelten Steuern erforderlich sei. Gem\u00e4\u00df \u00a7 93 Abs. 7 Satz 2 Halbsatz 2 AO d\u00fcrfe das Abrufersuchen nur dann erfolgen, wenn ein Auskunftsersuchen an den Steuerpflichtigen nicht zum Ziel gef\u00fchrt habe oder keinen Erfolg verspreche. Die Bewertung des Beklagten, das FA habe aufgrund der Gesamtumst\u00e4nde davon ausgehen d\u00fcrfen, dass ein Auskunftsersuchen an die Kl\u00e4ger keinen Erfolg verspreche, sei weder fernliegend noch willk\u00fcrlich, sondern sogar ausdr\u00fccklich nachvollziehbar.<\/li>
- Mit ihrer Revision bringen die Kl\u00e4ger vor: Die Auffassung des FG sei unzutreffend. Das FA vollstrecke, obwohl die streitigen S\u00e4umniszuschl\u00e4ge und Zinsen noch gar nicht rechtskr\u00e4ftig best\u00e4tigt seien. Der Kontenabruf sei daf\u00fcr gar nicht notwendig gewesen. In ihrem Fall habe das FA in die ihm seit langem bekannte Kontoverbindung vollstreckt, was zur vollst\u00e4ndigen Tilgung der R\u00fcckst\u00e4nde gef\u00fchrt habe. Zu der Kontenabfrage sei das FA daher nicht berechtigt gewesen. Weiter sei ihr Grundrecht auf informationelle Selbstbestimmung nach Art. 2 Abs. 1, Art. 1 Abs. 1 des Grundgesetzes verletzt. Der Rechtsbehelf des Art. 78 Abs. 1 DSGVO mache nur Sinn, wenn damit auch eine inhaltliche Pr\u00fcfung des Beschlusses durch das angerufene Gericht m\u00f6glich sei. Art. 78 Abs. 1 DSGVO diene gerade der gerichtlichen \u00dcberwachung der Arbeit des Beklagten. Es werde ein „wirksamer Rechtsbehelf“ verlangt. Die Auffassung des Beklagten bedeute, dass ein FA aus beliebigen Gr\u00fcnden und wann es dies f\u00fcr seine Interessen f\u00fcr sinnvoll halte, einen Kontenabruf t\u00e4tigen k\u00f6nne.<\/li>
- Die Kl\u00e4ger beantragen sinngem\u00e4\u00df,
das Urteil des FG K\u00f6ln vom 27.10.2021 – 2 K 1415\/21 und den Bescheid des Beklagten vom 29.06.2021 aufzuheben und \u00fcber seine Beschwerde unter Beachtung der Rechtsauffassung des Bundesfinanzhofs neu zu entscheiden.<\/li> - Der Beklagte beantragt,
die Revision als unbegr\u00fcndet zur\u00fcckzuweisen.<\/li> - Das angefochtene Urteil beruhe weder auf einem fehlerhaften Pr\u00fcfungsma\u00dfstab noch auf einer fehlerhaften Anwendung der Abgabenordnung oder der Grundrechte. Den den Kl\u00e4gern zukommenden Befassungsanspruch habe der Beklagte mit dem Bescheid vom 29.06.2021 vollumf\u00e4nglich erf\u00fcllt. Der petitions\u00e4hnliche Befassungsanspruch nach Art. 77 DSGVO unterliege nur eingeschr\u00e4nkter gerichtlicher Kontrolle. Art. 57 Abs. 1 Buchst. f DSGVO sehe vor, dass die Datenschutzaufsichtsbeh\u00f6rde den Gegenstand der Beschwerde in angemessenem Umfang untersuche und den Beschwerdef\u00fchrer in angemessener Frist \u00fcber den Fortgang und das Ergebnis der Untersuchung unterrichte. Der Aufsichtsbeh\u00f6rde stehe ein weiter Ermessenspielraum zu, wie sie mit einer Beschwerde verfahre. Einen dar\u00fcber hinausgehenden Anspruch begr\u00fcnde das Beschwerderecht nicht. Ein Beschwerdef\u00fchrer k\u00f6nne daher grunds\u00e4tzlich (nur) beanspruchen, dass sich die Datenschutzaufsichtsbeh\u00f6rde mit seiner Beschwerde \u00fcberhaupt befasse und ihn innerhalb der dort genannten Zeitr\u00e4ume \u00fcber den Stand und das Ergebnis der Beschwerde unterrichte. Gegen eine inhaltliche \u00dcberpr\u00fcfung spreche auch die dem Betroffenen neben seinem Beschwerderecht gegen\u00fcber der Aufsichtsbeh\u00f6rde einger\u00e4umte M\u00f6glichkeit, nach Ma\u00dfgabe des Art. 79 DSGVO selbst gegen\u00fcber dem Verantwortlichen um Rechtsschutz nachzusuchen. Unabh\u00e4ngig von der Frage des Pr\u00fcfungsma\u00dfstabs habe sich das FG nicht auf eine reine Willk\u00fcrkontrolle beschr\u00e4nkt. Stattdessen habe es die Entscheidung des Beklagten inhaltlich gepr\u00fcft und diese f\u00fcr zutreffend gehalten. Im \u00dcbrigen erweise sich die Beschwerdeentscheidung auch als rechtm\u00e4\u00dfig. Soweit in Rechtsprechung und Schrifttum eine vollst\u00e4ndige gerichtliche \u00dcberpr\u00fcfung verlangt werde, habe das FG zu Recht einen Versto\u00df gegen \u00a7 93 Abs. 8 AO, \u00a7 93 Abs. 7 Satz 1 Nr. 4 und Satz 2 AO abgelehnt.<\/em><\/li><\/ol>\n\n\n\n
Entscheidungsgr\u00fcnde<\/h2>\n\n\n\nII.<\/h3>\n\n\n\n- Die Revision ist begr\u00fcndet. Die Vorentscheidung ist aufzuheben und die Sache zur anderweitigen Verhandlung und Entscheidung an das FG zur\u00fcckzuverweisen (\u00a7 126 Abs. 3 Satz 1 Nr. 2 der Finanzgerichtsordnung \u2011\u2011FGO\u2011\u2011).<\/li>
- 1. Die Entscheidung des FG ist aufzuheben. Das FG ist fehlerhaft davon ausgegangen, dass eine gerichtliche \u00dcberpr\u00fcfung der Entscheidung der Aufsichtsbeh\u00f6rde nur in beschr\u00e4nktem Umfang stattfindet und insbesondere eine gerichtliche \u00dcberpr\u00fcfung, ob die Beschwerdeentscheidung des Beklagten auch inhaltlich zutreffend ist, ausscheidet. Denn Art. 78 DSGVO erfordert eine vollumf\u00e4ngliche gerichtliche \u00dcberpr\u00fcfung der Beschwerdeentscheidung der Aufsichtsbeh\u00f6rde.<\/li>
- a) Nach Art. 78 Abs. 1 DSGVO hat jede nat\u00fcrliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder au\u00dfergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbeh\u00f6rde. Dieses Recht besteht auch, wenn eine Beschwerde gem\u00e4\u00df Art. 77 DSGVO zur\u00fcckgewiesen wird (vgl. Art. 77 Abs. 2 DSGVO).<\/li>
- Art. 78 DSGVO fordert einen „wirksamen gerichtlichen Rechtsbehelf“ gegen eine Aufsichtsbeh\u00f6rde. Die Regelung gew\u00e4hrleistet ein hohes Schutzniveau der dem Einzelnen aus dem Unionsrecht erwachsenden Rechte. Dies hat anhand der nationalen Verfahrensvorschriften zu erfolgen (vgl. Urteile des Gerichtshofs der Europ\u00e4ischen Union \u2011\u2011EuGH\u2011\u2011 Budapesti Elektromos M\u0171vek vom 12.01.2023 – C-132\/21, EU:C:2023:2, Rz 43, 45 und SCHUFA Holding vom 07.12.2023 – C-26\/22, EU:C:2023:958, Rz 51).<\/li>
- Ziel der Datenschutz-Grundverordnung ist, ein gleichm\u00e4\u00dfiges und hohes Datenschutzniveau zu gew\u00e4hrleisten. Das Schutzniveau soll in allen Mitgliedstaaten gleichwertig sein (Erw\u00e4gungsgrund 10 der DSGVO). Ein unionsweit wirksamer Schutz personenbezogener Daten erfordert die St\u00e4rkung und pr\u00e4zise Festlegung der Rechte der betroffenen Personen sowie eine Versch\u00e4rfung der Verpflichtungen f\u00fcr diejenigen, die personenbezogene Daten verarbeiten und dar\u00fcber entscheiden (Erw\u00e4gungsgrund 11 der DSGVO). Nach Erw\u00e4gungsgrund 141 der DSGVO sollte jede betroffene Person das Recht haben, bei einer Aufsichtsbeh\u00f6rde eine Beschwerde einzureichen und einen wirksamen gerichtlichen Rechtsbehelf einzulegen, wenn sie sich in ihren Rechten aus der Datenschutz-Grundverordnung verletzt sieht, die Aufsichtsbeh\u00f6rde auf ihre Beschwerde hin nicht t\u00e4tig wird oder die Beschwerde ganz oder teilweise abweist. In dem gerichtlichen Verfahren gegen eine Aufsichtsbeh\u00f6rde soll das zust\u00e4ndige Gericht eine uneingeschr\u00e4nkte Zust\u00e4ndigkeit besitzen, was die Zust\u00e4ndigkeit, s\u00e4mtliche f\u00fcr den anh\u00e4ngigen Rechtsstreit ma\u00dfgebliche Sach- und Rechtsfragen zu pr\u00fcfen, einschlie\u00dft (vgl. Erw\u00e4gungsgrund 143 der DSGVO sowie EuGH-Urteile Budapesti Elektromos M\u0171vek vom 12.01.2023 – C-132\/21, EU:C:2023:2, Rz 41 ff. und SCHUFA Holding vom 07.12.2023 – C-26\/22, EU:C:2023:958, Rz 52). Die Datenschutz-Grundverordnung legt mithin den Mitgliedstaaten die Verpflichtung auf, ein hohes Schutzniveau zu gew\u00e4hrleisten.<\/li>
- Die Ausgestaltung des Rechtsschutzes darf dabei nicht weniger g\u00fcnstig ausgestaltet sein als f\u00fcr entsprechende innerstaatliche Rechtsbehelfe (Grundsatz der \u00c4quivalenz) und die Aus\u00fcbung der durch die Datenschutz-Grundverordnung gew\u00e4hrten Rechte nicht praktisch unm\u00f6glich machen oder \u00fcberm\u00e4\u00dfig erschweren (Grundsatz der Effektivit\u00e4t, vgl. EuGH-Urteile EPIC Financial Consulting vom 14.07.2022 – C-274\/21 und C-275\/21, EU:C:2022:565, Rz 73, m.w.N. und Budapesti Elektromos M\u0171vek vom 12.01.2023 – C-132\/21, EU:C:2023:2, Rz 48; vgl. auch BeckOK Datenschutzrecht\/Mundil, 46. Ed. [Stand 01.11.2021], DSGVO Art. 78 Rz 13). Daher kann Art. 78 DSGVO nicht dahin ausgelegt werden, dass die gerichtliche \u00dcberpr\u00fcfung einer aufsichtsbeh\u00f6rdlichen Beschwerdeentscheidung darauf beschr\u00e4nkt ist, ob die Beh\u00f6rde sich mit der Beschwerde befasst, den Gegenstand der Beschwerde in angemessenem Umfang untersucht und den Beschwerdef\u00fchrer \u00fcber das Ergebnis der Pr\u00fcfung in Kenntnis setzt. Vielmehr muss die aufsichtsbeh\u00f6rdliche Beschwerdeentscheidung, damit ein gerichtlicher Rechtsbehelf „wirksam“ ist, einer vollst\u00e4ndigen gerichtlichen \u00dcberpr\u00fcfung durch ein Gericht unterliegen (vgl. EuGH-Urteil SCHUFA Holding vom 07.12.2023 – C-26\/22, EU:C:2023:958, Rz 53; Urteil des Hamburgischen Oberverwaltungsgerichts vom 07.10.2019 – 5 Bf 279\/17, Zeitschrift f\u00fcr \u00d6ffentliches Recht in Norddeutschland 2020, 285, Rz 63 ff; Bergt in K\u00fchling\/Buchner, DS-GVO BDSG, 4. Aufl., Art. 78 DSGVO Rz 11; Nemitz in Ehmann\/Selmayr, DS-GVO, 2. Aufl., Art. 78 Rz 9; K\u00f6rffer in Paal\/Pauly, DS-GVO BDSG, 3. Aufl., Art. 78 DSGVO Rz 5; Boehm in Simitis\/Hornung\/Spiecker gen. D\u00f6hlmann, Datenschutzrecht, 1. Aufl., Art. 78 DSGVO Rz 5; Piltz, Datenschutz-Berater \u2011\u2011DSB\u2011\u2011 2020, 68, 70; Halder\/He\u00df, juris PraxisReport IT-Recht \u2011\u2011jurisPR-ITR\u2011\u2011 14\/2021, Anm. 6, unter C.; Halder, jurisPR-ITR 7\/2021, Anm. 3, unter C.; H\u00e4rting\/Flisek\/Thiess, Computer und Recht 2018, 296, 300).<\/li>
- Gem\u00e4\u00df dem in Art. 4 Abs. 3 des Vertrags \u00fcber die Europ\u00e4ische Union verankerten Grundsatz der loyalen Zusammenarbeit haben die Gerichte der Mitgliedstaaten den gerichtlichen Schutz der Rechte zu gew\u00e4hrleisten, die im Einzelnen aus der Datenschutz-Grundverordnung erwachsen. Insoweit darf das in Art. 47 der Charta der Grundrechte der Europ\u00e4ischen Union verankerte Recht auf einen wirksamen Rechtsbehelf nicht beeintr\u00e4chtigt werden. Dies gilt insbesondere auch f\u00fcr die in Art. 77 Abs. 1 und Art. 78 Abs. 1 DSGVO vorgesehenen Rechtsbehelfe (vgl. EuGH-Urteile Pusk\u00e1r vom 27.09.2017 – C-73\/16, EU:C:2017:725, Rz 76 und Budapesti Elektromos M\u0171vek vom 12.01.2023 C-132\/21, EU:C:2023:2, Rz 50 f.; P\u00f6tters\/Werkmeister in Gola\/Heckmann, DS-GVO BDSG, 3. Aufl., Art. 78 DSGVO Rz 1; Boehm in Simitis\/Hornung\/Spiecker gen. D\u00f6hlmann, Datenschutzrecht, 1. Aufl., Art. 78 DSGVO Rz 5).<\/li>
- b) Die von der Vorinstanz vertretene Ansicht, eine Beschwerdeentscheidung nach Art. 77 DSGVO unterliege (nur) einer eingeschr\u00e4nkten richterlichen Kontrolle, und eine inhaltliche \u00dcberpr\u00fcfung der Beschwerdeentscheidung scheide demzufolge aus, widerspricht diesen Grunds\u00e4tzen. Die obengenannten Grunds\u00e4tze erfordern stattdessen eine vollst\u00e4ndige \u00dcberpr\u00fcfung der Beschwerdeentscheidung des Beklagten nach Ma\u00dfgabe des nationalen (deutschen) Prozessrechts (vgl. Nemitz in Ehmann\/Selmayr, DS-GVO, 2. Aufl., Art. 78 Rz 9). Art. 77 DSGVO begr\u00fcndet ein subjektiv-\u00f6ffentliches Recht auf \u00dcberpr\u00fcfung einer Ma\u00dfnahme durch eine Aufsichtsbeh\u00f6rde (vgl. dazu Sydow in Sydow\/Marsch, DS-GVO BDSG, 3. Aufl., Art. 77 DSGVO Rz 18; Piltz, DSB 2020, 68). Es dient dem effektiven Schutz der Rechte von betroffenen Personen im Anwendungsbereich der Datenschutz-Grundverordnung (vgl. Nemitz in Ehmann\/Selmayr, DS-GVO, 2. Aufl., Art. 77 Rz 1). Dies muss \u00fcber das nationale Prozessrecht gew\u00e4hrleistet werden (vgl. Schneider in Schwartmann\/Jaspers\/Th\u00fcsing\/Kugelmann, DS-GVO\/BDSG, 2. Aufl., Art. 78 DSGVO Rz 73). Die von der Vorinstanz vertretene Annahme einer nur eingeschr\u00e4nkten richterlichen Kontrolle schr\u00e4nkt dieses Recht eines Beschwerdef\u00fchrers im Hinblick auf eine vollst\u00e4ndige Nachpr\u00fcfung in rechtlicher und tats\u00e4chlicher Hinsicht ein.<\/li>
- Die vom FG vertretene Annahme eines blo\u00dfen Petitions- oder Befassungsrechts und der damit verbundene eingeschr\u00e4nkte Pr\u00fcfungsma\u00dfstab bewirken eine Schw\u00e4chung des Schutzes nat\u00fcrlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten und erschweren die europaweite Durchsetzbarkeit der Datenschutz-Grundverordnung (vgl. auch Nemitz in Ehmann\/Selmayr, DS-GVO, 2. Aufl., Art. 77 Rz 2). Denn ein Petitionsrecht r\u00e4umt dem Betroffenen keinen Anspruch, auch nicht auf eine ermessensfehlerfreie Entscheidung ein. Vielmehr hat nach den Vorgaben der Datenschutz-Grundverordnung das Gericht die Beschwerdeentscheidung in vollem Umfang nach Ma\u00dfgabe des nationalen Prozessrechts \u2011\u2011mithin auf datenschutzrechtliche Regelungen des Europarechts und des nationalen Rechts\u2011\u2011 zu \u00fcberpr\u00fcfen.<\/li>
- 2. Das FG hat weiter nicht gepr\u00fcft, ob der Beklagte zutreffend angenommen hat, dass der Kontenabruf nach Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 2, 3 DSGVO i.V.m. \u00a7 29b Abs. 1 AO datenschutzrechtlich zul\u00e4ssig ist.<\/li>
- a) Die Verarbeitung personenbezogener Daten ist nur rechtm\u00e4\u00dfig, wenn mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erf\u00fcllt ist (Verbot mit Erlaubnisvorbehalt; statt vieler Wackerbeck in H\u00fcbschmann\/Hepp\/Spitaler, \u00a7 29b AO Rz 9, m.w.N.). Dies ist unter anderem nach Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO der Fall, wenn die Verarbeitung f\u00fcr die Wahrnehmung einer Aufgabe erforderlich ist, die im \u00f6ffentlichen Interesse liegt oder in Aus\u00fcbung \u00f6ffentlicher Gewalt erfolgt, die dem Verantwortlichen \u00fcbertragen wurde. Hierf\u00fcr bedarf es gem\u00e4\u00df Art. 6 Abs. 3 Satz 1 DSGVO einer Rechtsgrundlage, die entweder durch das Unionsrecht (Buchst. a) oder durch das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt (Buchst. b), festgelegt wird. Das Unionsrecht oder das Recht der Mitgliedstaaten m\u00fcssen ferner ein im \u00f6ffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verh\u00e4ltnis zu dem verfolgten legitimen Zweck stehen (Art. 6 Abs. 3 Satz 4 DSGVO).<\/li>
- Das Steuerverfahrensrecht sieht mit \u00a7 29b AO eine bereichsspezifische Rechtsgrundlage zur Verarbeitung personenbezogener Daten im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO vor. Nach \u00a7 29b Abs. 1 AO ist die Verarbeitung personenbezogener Daten durch eine Finanzbeh\u00f6rde zul\u00e4ssig, wenn sie zur Erf\u00fcllung der ihr obliegenden Aufgabe oder in Aus\u00fcbung \u00f6ffentlicher Gewalt, die ihr \u00fcbertragen wurde, erforderlich ist. Die Vorschrift des \u00a7 29b AO legitimiert die Finanzbeh\u00f6rden unter den dort genannten Voraussetzungen f\u00fcr s\u00e4mtliche das Steuerverfahrensrecht betreffende Ma\u00dfnahmen zur Verarbeitung personenbezogener Daten (vgl. dazu Senatsurteil vom 05.09.2023 – IX R 32\/21, zur amtlichen Ver\u00f6ffentlichung vorgesehen, Rz 21 ff.).<\/li>
- Rechtsgrundlage f\u00fcr die hier in Streit stehende Verarbeitung von personenbezogenen Daten ist \u00a7 93 Abs. 7 Satz 1 Nr. 4, Satz 2 AO. Danach ist ein automatisierter Abruf von Konteninformationen (\u00a7 93b AO) zul\u00e4ssig, soweit der Abruf zur Erhebung bundesgesetzlich geregelter Steuern erforderlich ist. Ein Abrufersuchen darf nur dann erfolgen, wenn ein Auskunftsersuchen an den Steuerpflichtigen nicht zum Ziel gef\u00fchrt hat oder keinen Erfolg verspricht. Eine nach \u00a7 29b AO zul\u00e4ssige Verarbeitung liegt daher dann vor, wenn der Kontenabruf nach \u00a7 93 Abs. 7 Satz 1 Nr. 4, Satz 2 AO zur Erf\u00fcllung einer dem FA obliegenden Aufgabe oder in Aus\u00fcbung \u00f6ffentlicher Gewalt, die ihm \u00fcbertragen wurde, erforderlich war.<\/li>
- Dies kann zum Beispiel die Beitreibung nicht gezahlter Steuern im Rahmen des Erhebungsverfahrens sein. Denn insoweit sind die Finanzbeh\u00f6rden zur Vorbereitung der Vollstreckung nach \u00a7 249 Abs. 2 Satz 1 AO befugt, die Verm\u00f6gens- und Einkommensverh\u00e4ltnisse zu ermitteln. Eine zul\u00e4ssige Ermittlungsma\u00dfnahme stellt der Kontenabruf nach \u00a7 93 Abs. 7 Satz 1 Nr. 4, Satz 2 AO dar. Werden die auf diese Weise ermittelten personenbezogenen Daten zur Erf\u00fcllung der dem FA obliegenden Aufgabe der Vollstreckung bundesgesetzlich geregelter Steuern verarbeitet, ist dies von \u00a7 29b AO gedeckt und mithin nicht zu beanstanden.<\/li>
- Allerdings ist die Verarbeitung personenbezogener Daten nicht im Sinne von \u00a7 29b Abs. 1 AO erforderlich, wenn die Tatbestandsvoraussetzungen des \u00a7 93 Abs. 7 AO offensichtlich nicht gegeben sind.<\/li>
- b) Das FG hat nicht gepr\u00fcft, ob der Beklagte mit dem angefochtenen Bescheid vom 29.06.2021 zu Recht zu dem Ergebnis gekommen ist, dass f\u00fcr das FA als Verantwortlicher im Sinne von \u00a7 2a Abs. 3 AO i.V.m. Art. 4 Nr. 7 DSGVO der Kontenabruf nach \u00a7 93 Abs. 7 Satz 1 Nr. 4, Satz 2 AO erforderlich war und das FA zu diesem Zweck die Kl\u00e4ger betreffende personenbezogene Daten verarbeiten durfte. Denn mit der Kontenabfrage hat das FA Daten im Sinne von Art. 4 Nr. 2 DSGVO erhoben, abgefragt und verwertet. Diese Verarbeitung ist nur rechtm\u00e4\u00dfig im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO, wenn der erfolgte Kontenabruf von \u00a7 29b AO gedeckt war. Dies ist der Fall, wenn die mit dem Kontenabruf einhergehende Verarbeitung personenbezogener Daten durch das FA zur Erf\u00fcllung einer ihm obliegenden Aufgabe erforderlich ist.<\/li>
- 3. Der Senat kann in der Sache nicht selbst abschlie\u00dfend entscheiden. Die Sache ist nicht spruchreif und daher zur anderweitigen Verhandlung und Entscheidung an das FG zur\u00fcckzuverweisen. Aufgrund der vom FG getroffenen Feststellungen kann nicht entschieden werden, ob der Beklagte die Beschwerde der Kl\u00e4ger nach Art. 77 DSGVO zu Recht zur\u00fcckgewiesen hat. F\u00fcr den weiteren Fortgang im Verfahren weist der Senat dabei auf Folgendes hin:<\/li>
- Das FG hat die Beschwerdeentscheidung des Beklagten nach Art. 78 DSGVO auf der Grundlage des nationalen Verfahrensrechts vollumf\u00e4nglich zu \u00fcberpr\u00fcfen.<\/li>
- a) Rechtsgrundlage der streitgegenst\u00e4ndlichen Beschwerdeentscheidung ist Art. 57 Abs. 1 Buchst. f DSGVO. Welcher Untersuchungsumfang im Rahmen des Amtsermittlungsgrundsatzes bei der Bearbeitung einer Beschwerde als „in angemessenen Umfang“ anzusehen ist, regelt Art. 57 DSGVO nicht. Aus Erw\u00e4gungsgrund 141 Satz 2 der DSGVO folgt, dass die Untersuchung vorbehaltlich gerichtlicher \u00dcberpr\u00fcfung so weit gehen soll, wie dies im Einzelfall angemessen ist. Ma\u00dfstab f\u00fcr den Umfang der Ermittlungen sind danach insbesondere die individuelle Bedeutung der Sache und die Schwere des in Rede stehenden Versto\u00dfes. Insoweit steht der Aufsichtsbeh\u00f6rde ein Ermessen zu (vgl. u.a. BeckOK Datenschutzrecht\/Eichler\/Matzke, 46. Ed. [Stand 01.08.2023], DSGVO Art. 57 Rz 17 und BeckOK Datenschutzrecht\/Mundil, 46. Ed. [Stand 01.11.2021], DSGVO Art. 77 Rz 14 f.; Boehm in K\u00fchling\/Buchner, DS-GVO BDSG, 4. Aufl., Art. 57 DSGVO Rz 11 f. und Bergt in K\u00fchling\/Buchner, DS-GVO BDSG, 4. Aufl., Art. 77 DSGVO Rz 16; K\u00f6rffer in Paal\/Pauly, DS-GVO BDSG, 3. Aufl., Art. 77 DSGVO Rz 5). Dieses Ermessen ist nach Ma\u00dfgabe des \u00a7 102 FGO zu \u00fcberpr\u00fcfen.<\/li>
- Einen Pflichtenkatalog, wie die Aufsichtsbeh\u00f6rde mit der Beschwerde zu verfahren hat, enth\u00e4lt Art. 77 DSGVO nicht (vgl. u.a. BeckOK Datenschutzrecht\/Mundil, 46. Ed. [Stand 01.11.2021], DSGVO Art. 77 Rz 14; Bergt in K\u00fchling\/Buchner, DS-GVO BDSG, 4. Aufl., Art. 77 DSGVO Rz 17). Die Untersuchung selbst hat nach der Rechtsprechung des EuGH in angemessenem Umfang und mit aller gebotenen Sorgfalt zu erfolgen (vgl. EuGH-Urteile Facebook Ireland und Schrems vom 16.07.2020 – C-311\/18, EU:C:2020:559, Rz 111 und SCHUFA Holding vom 07.12.2023 – C-26\/22, EU:C:2023:958, Rz 56). Dabei ist zu ber\u00fccksichtigen, dass die Aufsichtsbeh\u00f6rde nach Art. 57 Abs. 1 Buchst. a DSGVO zur Durchsetzung der Datenschutz-Grundverordnung verpflichtet ist.<\/li>
- Bei festgestellten Verst\u00f6\u00dfen gegen datenschutzrechtliche Normen ist die Aufsichtsbeh\u00f6rde in der Regel gehalten, mit dem Ziel der Abstellung des Versto\u00dfes Ma\u00dfnahmen zu ergreifen (Art. 58 Abs. 2 DSGVO, vgl. EuGH-Urteile Facebook Ireland und Schrems vom 16.07.2020 – C-311\/18, EU:C:2020:559 Rz 111 und SCHUFA Holding vom 07.12.2023 – C-26\/22, EU:C:2023:958, Rz 57). Stellt die Aufsichtsbeh\u00f6rde keinen Versto\u00df gegen datenschutzrechtliche Vorschriften fest, hat sie den Beschwerdef\u00fchrer innerhalb des in Art. 78 Abs. 2 DSGVO genannten Zeitraums \u00fcber den Stand und das Ergebnis der Beschwerde zu unterrichten.<\/li>
- b) Das FG hat mithin im zweiten Rechtszug dar\u00fcber zu befinden, ob der Beklagte diese Pflichten bei der Bearbeitung der Beschwerde der Kl\u00e4ger erf\u00fcllt hat. Dazu geh\u00f6rt die \u00dcberpr\u00fcfung, ob der Beklagte den Sachverhalt ermittelt, das Beschwerdevorbringen der Kl\u00e4ger zur Kenntnis genommen und anschlie\u00dfend den gesamten Sachverhalt in datenschutzrechtlicher Hinsicht gepr\u00fcft und bewertet hat. Dazu hat das FG zu pr\u00fcfen, ob der Beklagte zutreffend die Vereinbarkeit der streitigen Verarbeitung personenbezogener Daten mit Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 2, 3 DSGVO i.V.m. \u00a7 29b Abs. 1 AO bejaht hat. Dies beinhaltet die Frage, ob die mit dem Kontenabruf einhergehende Verarbeitung personenbezogener Daten zur Erf\u00fcllung einer dem FA obliegenden Aufgabe erforderlich ist.<\/li>
- 4. Die \u00dcbertragung der Entscheidung \u00fcber die Kosten des Revisionsverfahrens auf das FG beruht auf \u00a7 143 Abs. 2 FGO.<\/li><\/ol>\n","protected":false},"excerpt":{"rendered":"
Zusammenfassung des BFH-Urteils IX R 33\/21 vom 12. Dezember 2023 Kontext des Falls Die Revision betrifft die rechtliche \u00dcberpr\u00fcfung eines Kontenabrufs nach \u00a7 93 Abs. 7 der Abgabenordnung (AO) und die Rolle der Datenschutzaufsichtsbeh\u00f6rde gem\u00e4\u00df der Datenschutz-Grundverordnung (DSGVO), speziell Art. 77 und 78. Die Kl\u00e4ger, die in steuerrechtlichen Auseinandersetzungen mit dem Finanzamt (FA) standen, hatten … Gerichtlicher Pr\u00fcfungsma\u00dfstab nach Art. 78 Abs. 1 DSGVO; T\u00e4tigkeit und Mitteilung der Aufsichtsbeh\u00f6rde nach Art. 77 DSGVO – BFH-Urteil IX R 33\/21 vom 12. Dezember 2023<\/span> weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[212],"tags":[],"class_list":["post-76597","post","type-post","status-publish","format-standard","hentry","category-bfh-urteile-alle-urteile-des-bundesfinanzhofes-online"],"_links":{"self":[{"href":"https:\/\/www.steuerschroeder.de\/steuer\/wp-json\/wp\/v2\/posts\/76597","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.steuerschroeder.de\/steuer\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.steuerschroeder.de\/steuer\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.steuerschroeder.de\/steuer\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.steuerschroeder.de\/steuer\/wp-json\/wp\/v2\/comments?post=76597"}],"version-history":[{"count":0,"href":"https:\/\/www.steuerschroeder.de\/steuer\/wp-json\/wp\/v2\/posts\/76597\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.steuerschroeder.de\/steuer\/wp-json\/wp\/v2\/media?parent=76597"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.steuerschroeder.de\/steuer\/wp-json\/wp\/v2\/categories?post=76597"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.steuerschroeder.de\/steuer\/wp-json\/wp\/v2\/tags?post=76597"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}