Zulässigkeit der Verarbeitung personenbezogener Daten im Besteuerungsverfahren gem. § 29b AO
Kurzbesprechung
BFH v. 5.9.2023 - IX R 32/21
AO § 29b, § 32f Abs. 5, § 32i Abs. 2, § 32i Abs. 9, § 85, § 93 Abs. 1 Satz 3, § 97 Abs. 1 Satz 3, § 193, § 200 Abs. 1 Satz 2
EUV 2016/679 Art. 4 Nr. 1, 2016/679 Art. 4 Nr. 2, 2016/679 Art. 4 Nr. 7, 2016/679 Art. 6 Abs. 1 Satz 1 Buchst. e, 2016/679 Art. 6 Abs. 2, 2016/679 Art. 6 Abs. 3 Satz 1 Buchst. b, 2016/679 Art. 6 Abs. 3 Satz 2, 2016/679 Art. 6 Abs. 3 Satz 3, 2016/679 Art. 6 Abs. 3 Satz 4, 2016/679 Art. 9 Abs. 1, 2016/679 Art. 9 Abs. 2 Buchst. g, 2016/679 Art. 17 Abs. 1 Buchst. d, 2016/679 Art. 17 Abs. 3 Buchst. b, 2016/679 Art. 21 Abs. 1 Satz 1, 2016/679 Art. 23 Abs. 1
GG Art. 1 Abs. 1, Art. 2 Abs. 1, Art. 3 Abs. 1, Art. 101 Abs. 1 Satz 2, Art. 103 Abs. 1
EUGrdRCh Art. 8 Abs. 1, Art. 8 Abs. 2 Satz 1
AEUV Art. 267 Abs. 2, Art. 267 Abs. 3, Art. 288 Abs. 2 Satz 2
FGO § 74, § 96 Abs. 2
Das FA ordnete beim Steuerpflichtigen, einem Rechtsanwalt, eine Außenprüfung zur Einkommen- und Umsatzsteuer für die Jahre 2017 bis 2019 an. Zugleich forderte das FA ihn auf, bis zum Prüfungsbeginn die Auszüge seines betrieblichen Bankkontos zu übersenden.
Nachdem der Steuerpflichtige dieser Aufforderung nicht nachgekommen war, ersuchte das FA unter Hinweis auf § 97 Abs. 1 Satz 1 und 3 i.V.m. § 93 Abs. 1 Satz 3 AO das kontoführende Geldinstitut (G) um Vorlage der Kontoauszüge. Diesem Ersuchen kam G nach.
Der Steuerpflichtige wandte sich im Einspruchs- und Klageverfahren erfolglos gegen das Vorlageersuchen und machte geltend, § 97 AO genüge nicht den Anforderungen des Art. 6 Abs. 3 DSGVO. Es fehle daher an einer rechtmäßigen Verarbeitung der ihn betreffenden persönlichen Daten. Im Revisionsverfahren beantragte er, das angefochtene Urteil aufzuheben und alle im Zusammenhang mit den Kontoauszügen für den Zeitraum von Januar 2017 bis Dezember 2019 für das Konto bei G stehenden personenbezogenen Daten zu löschen, hilfsweise das angefochtene Urteil aufzuheben und alle im Zusammenhang mit den Kontoauszügen für den Zeitraum von Januar 2017 bis Dezember 2019 für das Konto bei G stehenden personenbezogenen Daten nicht mehr zu verarbeiten.
Der BFH wies die eingelegte Revision zurück. Er entschied, dass der Steuerpflichtige keinen Anspruch auf Löschung der vom FA verarbeiteten personenbezogenen Daten hat. Die Voraussetzungen der insoweit einzig in Betracht kommenden Rechtsgrundlage des Art. 17 Abs. 1 Buchst. d DSGVO, die nach Art. 288 Abs. 2 Satz 2 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) ohne Umsetzungsakt in jedem Mitgliedstaat der Europäischen Union (EU) gilt, waren nicht erfüllt.
Das FA hatte als Verantwortlicher i.S.v. § 2a Abs. 3 AO i.V.m. Art. 4 Nr. 7 DSGVO zwar den Steuerpflichtigen betreffende personenbezogene Daten verarbeitet. Diese Verarbeitung war aber rechtmäßig, da das an G gerichtete und auch erfüllte Vorlageersuchen von § 29b AO gedeckt war und jene Norm den Vorgaben der Datenschutz-Grundverordnung genügt.
§ 29b Abs. 1 AO verletzt auch nicht das unionsrechtliche Normwiederholungsverbot. Der BFH hat keine Zweifel, dass § 29b Abs. 1 AO ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck steht (vgl. Art. 6 Abs. 3 Satz 4 DSGVO).
Die Verarbeitung personenbezogener Daten dient der Durchführung des Besteuerungsverfahrens (§ 85 AO). Die Vorschrift schließt eine unbeschränkte Datenbevorratung aus; sie macht die Verarbeitung davon abhängig, dass diese final im Zusammenhang mit den Aufgaben der Verwaltung steht ("zur Erfüllung") und darüber hinaus insoweit auch erforderlich ist, das heißt auf das für den Zweck der Verarbeitung notwendige Maß beschränkt wird ("Datenminimierung", vgl. Art. 5 Abs. 1 Buchst. c DSGVO). Mit den in § 29b Abs. 2 Satz 2 AO gesetzlich verbürgten Maßnahmen zur Wahrung der Interessen der betroffenen Person und hierbei insbesondere mit dem Verweis auf den Katalog des § 22 Abs. 2 Satz 2 BDSG trägt die Gestattungsnorm zudem den weiteren Vorgaben des Art. 9 Abs. 2 Buchst. g DSGVO Rechnung.
Der vom Steuerpflichtigen vorgetragene Einwand, § 97 Abs. 1 Satz 1 AO enthalte keine Rechtfertigung für die Verarbeitung personenbezogener Daten, hält der BFH bereits im Ansatz für verfehlt. Denn die Befugnis der Finanzbehörden, mit Vorlageersuchen entweder bei den Beteiligten (§ 97 Abs. 1 Satz 1 AO) oder bei Dritten (Satz 3 der Vorschrift) personenbezogene Daten zu erheben und zu verarbeiten, ergibt sich abschließend aus der für das gesamte steuerliche Verfahrensrecht geltenden ‑ vorgeschalteten ‑ Norm des § 29b AO. Aus diesem Grund sind auch die weiteren gegen § 97 AO gerichteten Einwendungen im vorliegenden Verfahren ohne Bedeutung.
Die vom Steuerpflichtigen gerügten materiellen Verfassungsverstöße hat der BFH verneint. Auch eine Verletzung von Art. 8 Abs. 1 und Abs. 2 Satz 1 der Charta der Grundrechte der Europäischen Union (EUGrdRCh) ist ausgeschlossen.
Der BFH kommt somit zu dem Ergebnis, dass der Steuerpflichtige keinen Anspruch auf Löschung seiner verarbeiteten personenbezogenen Daten gem. Art. 17 Abs. 1 Buchst. d DSGVO hat.
Ein Vorabentscheidungsersuchen an den EuGH gem. Art. 267 Abs. 3 AEUV hält der BFH nicht für geboten. Der Streitfall enthält zwar entscheidungserhebliche Fragen zur Auslegung des Unionsrechts. Dieser Umstand verpflichtet den BFH aber nicht, eine Vorabentscheidung des EuGH einzuholen. Denn eine Vorlagepflicht nach Art. 267 Abs. 3 AEUV besteht nicht, wenn zu der entscheidungserheblichen Frage nach der Auslegung oder Gültigkeit des Unionsrechts bereits eine gesicherte Rechtsprechung des EuGH existiert ("acte éclairé") oder die richtige Anwendung des Unionsrechts derart offenkundig ist, dass keinerlei Raum für einen vernünftigen Zweifel an der Entscheidung der gestellten Frage bleibt, sogenannte "acte clair".
Verlag Dr. Otto Schmidt
AO § 29b, § 32f Abs. 5, § 32i Abs. 2, § 32i Abs. 9, § 85, § 93 Abs. 1 Satz 3, § 97 Abs. 1 Satz 3, § 193, § 200 Abs. 1 Satz 2
EUV 2016/679 Art. 4 Nr. 1, 2016/679 Art. 4 Nr. 2, 2016/679 Art. 4 Nr. 7, 2016/679 Art. 6 Abs. 1 Satz 1 Buchst. e, 2016/679 Art. 6 Abs. 2, 2016/679 Art. 6 Abs. 3 Satz 1 Buchst. b, 2016/679 Art. 6 Abs. 3 Satz 2, 2016/679 Art. 6 Abs. 3 Satz 3, 2016/679 Art. 6 Abs. 3 Satz 4, 2016/679 Art. 9 Abs. 1, 2016/679 Art. 9 Abs. 2 Buchst. g, 2016/679 Art. 17 Abs. 1 Buchst. d, 2016/679 Art. 17 Abs. 3 Buchst. b, 2016/679 Art. 21 Abs. 1 Satz 1, 2016/679 Art. 23 Abs. 1
GG Art. 1 Abs. 1, Art. 2 Abs. 1, Art. 3 Abs. 1, Art. 101 Abs. 1 Satz 2, Art. 103 Abs. 1
EUGrdRCh Art. 8 Abs. 1, Art. 8 Abs. 2 Satz 1
AEUV Art. 267 Abs. 2, Art. 267 Abs. 3, Art. 288 Abs. 2 Satz 2
FGO § 74, § 96 Abs. 2
Das FA ordnete beim Steuerpflichtigen, einem Rechtsanwalt, eine Außenprüfung zur Einkommen- und Umsatzsteuer für die Jahre 2017 bis 2019 an. Zugleich forderte das FA ihn auf, bis zum Prüfungsbeginn die Auszüge seines betrieblichen Bankkontos zu übersenden.
Nachdem der Steuerpflichtige dieser Aufforderung nicht nachgekommen war, ersuchte das FA unter Hinweis auf § 97 Abs. 1 Satz 1 und 3 i.V.m. § 93 Abs. 1 Satz 3 AO das kontoführende Geldinstitut (G) um Vorlage der Kontoauszüge. Diesem Ersuchen kam G nach.
Der Steuerpflichtige wandte sich im Einspruchs- und Klageverfahren erfolglos gegen das Vorlageersuchen und machte geltend, § 97 AO genüge nicht den Anforderungen des Art. 6 Abs. 3 DSGVO. Es fehle daher an einer rechtmäßigen Verarbeitung der ihn betreffenden persönlichen Daten. Im Revisionsverfahren beantragte er, das angefochtene Urteil aufzuheben und alle im Zusammenhang mit den Kontoauszügen für den Zeitraum von Januar 2017 bis Dezember 2019 für das Konto bei G stehenden personenbezogenen Daten zu löschen, hilfsweise das angefochtene Urteil aufzuheben und alle im Zusammenhang mit den Kontoauszügen für den Zeitraum von Januar 2017 bis Dezember 2019 für das Konto bei G stehenden personenbezogenen Daten nicht mehr zu verarbeiten.
Der BFH wies die eingelegte Revision zurück. Er entschied, dass der Steuerpflichtige keinen Anspruch auf Löschung der vom FA verarbeiteten personenbezogenen Daten hat. Die Voraussetzungen der insoweit einzig in Betracht kommenden Rechtsgrundlage des Art. 17 Abs. 1 Buchst. d DSGVO, die nach Art. 288 Abs. 2 Satz 2 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) ohne Umsetzungsakt in jedem Mitgliedstaat der Europäischen Union (EU) gilt, waren nicht erfüllt.
Das FA hatte als Verantwortlicher i.S.v. § 2a Abs. 3 AO i.V.m. Art. 4 Nr. 7 DSGVO zwar den Steuerpflichtigen betreffende personenbezogene Daten verarbeitet. Diese Verarbeitung war aber rechtmäßig, da das an G gerichtete und auch erfüllte Vorlageersuchen von § 29b AO gedeckt war und jene Norm den Vorgaben der Datenschutz-Grundverordnung genügt.
§ 29b Abs. 1 AO verletzt auch nicht das unionsrechtliche Normwiederholungsverbot. Der BFH hat keine Zweifel, dass § 29b Abs. 1 AO ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck steht (vgl. Art. 6 Abs. 3 Satz 4 DSGVO).
Die Verarbeitung personenbezogener Daten dient der Durchführung des Besteuerungsverfahrens (§ 85 AO). Die Vorschrift schließt eine unbeschränkte Datenbevorratung aus; sie macht die Verarbeitung davon abhängig, dass diese final im Zusammenhang mit den Aufgaben der Verwaltung steht ("zur Erfüllung") und darüber hinaus insoweit auch erforderlich ist, das heißt auf das für den Zweck der Verarbeitung notwendige Maß beschränkt wird ("Datenminimierung", vgl. Art. 5 Abs. 1 Buchst. c DSGVO). Mit den in § 29b Abs. 2 Satz 2 AO gesetzlich verbürgten Maßnahmen zur Wahrung der Interessen der betroffenen Person und hierbei insbesondere mit dem Verweis auf den Katalog des § 22 Abs. 2 Satz 2 BDSG trägt die Gestattungsnorm zudem den weiteren Vorgaben des Art. 9 Abs. 2 Buchst. g DSGVO Rechnung.
Der vom Steuerpflichtigen vorgetragene Einwand, § 97 Abs. 1 Satz 1 AO enthalte keine Rechtfertigung für die Verarbeitung personenbezogener Daten, hält der BFH bereits im Ansatz für verfehlt. Denn die Befugnis der Finanzbehörden, mit Vorlageersuchen entweder bei den Beteiligten (§ 97 Abs. 1 Satz 1 AO) oder bei Dritten (Satz 3 der Vorschrift) personenbezogene Daten zu erheben und zu verarbeiten, ergibt sich abschließend aus der für das gesamte steuerliche Verfahrensrecht geltenden ‑ vorgeschalteten ‑ Norm des § 29b AO. Aus diesem Grund sind auch die weiteren gegen § 97 AO gerichteten Einwendungen im vorliegenden Verfahren ohne Bedeutung.
Die vom Steuerpflichtigen gerügten materiellen Verfassungsverstöße hat der BFH verneint. Auch eine Verletzung von Art. 8 Abs. 1 und Abs. 2 Satz 1 der Charta der Grundrechte der Europäischen Union (EUGrdRCh) ist ausgeschlossen.
Der BFH kommt somit zu dem Ergebnis, dass der Steuerpflichtige keinen Anspruch auf Löschung seiner verarbeiteten personenbezogenen Daten gem. Art. 17 Abs. 1 Buchst. d DSGVO hat.
Ein Vorabentscheidungsersuchen an den EuGH gem. Art. 267 Abs. 3 AEUV hält der BFH nicht für geboten. Der Streitfall enthält zwar entscheidungserhebliche Fragen zur Auslegung des Unionsrechts. Dieser Umstand verpflichtet den BFH aber nicht, eine Vorabentscheidung des EuGH einzuholen. Denn eine Vorlagepflicht nach Art. 267 Abs. 3 AEUV besteht nicht, wenn zu der entscheidungserheblichen Frage nach der Auslegung oder Gültigkeit des Unionsrechts bereits eine gesicherte Rechtsprechung des EuGH existiert ("acte éclairé") oder die richtige Anwendung des Unionsrechts derart offenkundig ist, dass keinerlei Raum für einen vernünftigen Zweifel an der Entscheidung der gestellten Frage bleibt, sogenannte "acte clair".