Die vom Finanzamt abgelehnte Akteneinsicht in die Steuerakten

Gegen die Ablehnung der Akteneinsicht in die Steuerakten der Finanzbehörde muss der Steuerpflichtige zunächst erfolglos ein Vorverfahren durchführen, anderenfalls ist seine Klage unzulässig. Der Ausschluss des Vorverfahrens nach § 32i Abs. 9 Satz 1 der Abgabenordnung (AO) greift nur, soweit der Steuerpflichtige seinen Akteneinsichtsanspruch aus Art. 15 der Datenschutz-Grundverordnung (DSGVO) ableitet.

Die vom Finanzamt abgelehnte Akteneinsicht in die Steuerakten

In dem hier vom Bundesfinanzhof entschiedenen Fall war streitig, inwiefern aus Art. 15 DSGVO ein Anspruch auf Zurverfügungstellung der zum Zweck der Besteuerung verarbeiteten Daten besteht, ob dieser bereits erfüllt wurde und ob ein Anspruch auf Akteneinsicht besteht. Die klagende Steuerpflichtige beantragte „Akteneinsicht“ gemäß Art. 15 Abs. 1 Halbsatz 2, Abs. 2 DSGVO und die „Zurverfügungstellung der Informationen als Kopie“ gemäß Art. 15 Abs. 3 DSGVO sowie möglicherweise vorhandener Hand- und Nebenakten. Weiter verlangte er Auskunft, „wie und durch welche Dienststelle“ Akten beziehungsweise Daten verarbeitet worden seien, an wen Informationen weitergegeben wurden und welcher Art diese waren. Daneben benötige er eine Historie der Bescheide ab 2009. Das Finanzamt übersandte Zweitschriften der Einkommensteuerbescheide ab 2009 sowie der Bescheide zur gesonderten Verlustfeststellung zur Einkommensteuer. Im Übrigen verwies das Finanzamt den Steuerpflichtigen an das für den Betrieb des Steuerpflichtigen zuständige Finanzamt X. Zur Akteneinsicht oder zum Auskunftsrecht verhält sich das Schreiben nicht.

Mit Schreiben vom 17.12.2019 gewährte das Finanzamt schließlich die beantragte Auskunft insoweit, als es eine Grunddatenübersicht sowie eine eDaten-Übersicht 2018 übersandte. Es verwies auf die Möglichkeit des Belegabrufs über das Elster-Portal. Im Übrigen wies das Finanzamt den Antrag ab. Art. 15 DSGVO biete keine Rechtsgrundlage für ein Akteneinsichtsrecht und vermittle auch keinen Anspruch auf Herausgabe bereits gewechselten Schriftverkehrs sowie interner Vermerke und Stellungnahmen, rechtlicher Stellungnahmen oder Analysen. Dem Schreiben war als Anlage die „Allgemeinen Informationen zur Umsetzung der datenschutzrechtlichen Vorgaben“ beigefügt. Der Steuerpflichtige erhob gegen das Schreiben vom 17.12.2019 Klage beim Finanzgericht München, die das Finanzgericht abwies1. Die hiergegen gerichtete Revision des Steuerpflichtigen führt gemäß § 126 Abs. 3 Satz 1 Nr. 2 FGO zur Aufhebung des finanzgerichtlichen Urteils durch den Bundesfinanzhof und zur Zurückverweisung der Sache zur anderweitigen Verhandlung und Entscheidung an das Finanzgericht München.

Das Finanzgericht hat Art. 15 Abs. 1 DSGVO und Art. 15 Abs. 3 DSGVO rechtsfehlerhaft angewendet. Aufgrund der vorgenannten Rechtsfehler ist das Urteil aufzuheben. Die Sache ist nicht spruchreif, da das Finanzgericht nicht sämtliche für eine abschließende Prüfung erforderlichen Feststellungen getroffen hat.

Das Finanzgericht hat Art. 15 Abs. 1 DSGVO rechtsfehlerhaft angewendet. Dem Steuerpflichtigen steht dem Grunde nach ein Auskunftsanspruch zu.

Die Verarbeitung personenbezogener Daten natürlicher Personen (als betroffene Person im Sinne von Art. 4 Nr. 1 DSGVO) durch das Finanzamt (als Verantwortlicher im Sinne von Art. 4 Nr. 7 Halbsatz 1 DSGVO) im Rahmen eines Besteuerungsverfahrens unterliegt unabhängig von der Steuerart den Vorgaben der Datenschutz-Grundverordnung.

Als Verordnung der Europäischen Union ist die Datenschutz-Grundverordnung nach Art. 288 Abs. 2 des Vertrags über die Arbeitsweise der Europäischen Union in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Der Anwendungsbereich der Datenschutz-Grundverordnung beschränkt sich nicht auf den Bereich der harmonisierten Steuern2.

Der Begriff der personenbezogenen Daten bezeichnet gemäß Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

In der Verwendung der Formulierung „alle Informationen“ bei der Bestimmung des Begriffs „personenbezogene Daten“ in dieser Vorschrift kommt das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen, die potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt3. Es handelt sich um eine Information über eine identifizierte oder identifizierbare natürliche Person, wenn sie aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer identifizierbaren Person verknüpft ist4, wobei die Person direkt oder auch indirekt identifizierbar sein kann. Weiter weist der EuGH darauf hin, dass die Verwendung des Begriffs „indirekt“ durch den Unionsgesetzgeber darauf hindeutet, dass es für die Einstufung einer Information als personenbezogenes Datum nicht erforderlich ist, dass die Information für sich genommen die Identifizierung der betreffenden Person ermöglicht5.

Daraus ergibt sich, dass es für die Qualifikation als personenbezogene Daten -anders als das Finanzgericht meint- weder eines „Hebens“ in Form eines Interpretationsakts noch der Absicht des Verantwortlichen, eine personenbezogenen Angabe unter einer spezifischen, personenbezogenen (Feld-)Bezeichnung zu speichern, bedarf. Eine solche Einschränkung steht nicht im Einklang mit den Vorgaben der Datenschutz-Grundverordnung, die von einem weiten Begriffsverständnis ausgeht6.

Sachlich gilt die Datenschutz-Grundverordnung nach Art. 2 Abs. 1 DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Auf eine Differenzierung nach der Art der Aktenführung (Papier, elektronisch, hybrid), der Art der Dokumente (interne Vermerke, Gutachten, interne E-Mails, Gesprächsnotizen und Bearbeitungsvermerke et cetera) oder der Form der Bearbeitung durch den zuständigen Sachbearbeiter (anhand von Ausdrucken oder digital) kommt es nicht an7.

Was den Begriff des „Dateisystem(s)“ betrifft, bestimmt Art. 4 Nr. 6 DSGVO, dass er „jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird“, erfasst. Entsprechend diesem Ziel wird der Begriff „Datei“ in dieser Bestimmung weit definiert, insbesondere dadurch, dass „jede“ strukturierte Sammlung personenbezogener Daten einbezogen wird. Darüber hinaus ist mit dem Erfordernis, dass die Sammlung personenbezogener Daten „nach bestimmten Kriterien strukturiert“ sein muss, nur gemeint, dass die Daten über eine bestimmte Person leicht wiederauffindbar sind. Abgesehen von diesem Erfordernis regelt Art. 4 Nr. 6 DSGVO weder die Modalitäten, nach denen eine Datei strukturiert werden muss, noch die Form, die sie aufweisen muss. Insbesondere geht weder aus dieser noch aus irgendeiner anderen Bestimmung dieser Verordnung hervor, dass die in Rede stehenden personenbezogenen Daten in spezifischen Sammlungen, Verzeichnissen oder einem anderen Recherchesystem enthalten sein müssen, damit das Vorliegen eines Dateisystems im Sinne dieser Verordnung bejaht werden kann8.

Nach Art. 15 Abs. 1 Halbsatz 1 DSGVO hat die betroffene Person (hier der Steuerpflichtige) das Recht, von dem Verantwortlichen (hier das Finanzamt) eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, bestimmt Halbsatz 2 der Vorschrift, dass die Person das Recht auf Auskunft über diese personenbezogenen Daten und auf die in Buchst. a bis h genannten Informationen hat.

Gemessen hieran hat das Finanzgericht zum Auskunftsanspruch dem Grunde nach rechtsfehlerhaft entschieden.

Auch die in den Papierakten enthaltenen personenbezogenen Daten sind dem Grunde nach von dem Auskunftsanspruch umfasst. Der Bundesfinanzhof kann dahinstehen lassen, ob die bei dem Finanzamt geführten Papierakten teilweise automatisiert sind, weil sie zum Beispiel über die elektronische Datenverarbeitung auffindbar sind9. Hierzu hat das Finanzgericht keine Feststellungen getroffen. Jedenfalls aber sind die personenbezogenen Daten vorliegend in einem Dateisystem im Sinne von Art. 2 Abs. 1, Art. 4 Nr. 6 DSGVO gespeichert, weil die Papierakten über Namen/Steuernummer, Steuerart et cetera und regelmäßig chronologisch geordnet sind.

Zutreffend hat das Finanzgericht zwar ausgeführt, dass der Steuerpflichtige auf der Grundlage von Art. 15 DSGVO keine Übersicht über die historischen Veränderungen „von Bescheid zu Bescheid“ erhalten kann. Dabei handelt es sich nicht um ein personenbezogenes Datum, sondern das Finanzamt müsste eine solche Übersicht selbst erst erstellen. Das wäre allerdings -bei Bedarf- Aufgabe des Steuerpflichtigen. Soweit der Steuerpflichtige wissen möchte, „wie Schätzungen zustande gekommen sind“, kann er sich ebenfalls nicht auf Art. 15 DSGVO stützen. Sein Auskunftsrecht erfasst allenfalls die den Schätzungen zugrundeliegenden Daten, soweit es sich dabei um seine Person betreffende personenbezogene Daten handelt.

Die Auskunft vom 17.12.2019 enthält allerdings nicht sämtliche nach Art. 15 Abs. 1 Buchst. a bis h DSGVO erforderlichen Daten. Der Verweis des Finanzamtes und des Finanzgerichtes auf die „Allgemeine Informationen zur Umsetzung der datenschutzrechtlichen Vorgaben der Artikel 12 bis 14 der Datenschutz-Grundverordnung in der Steuerverwaltung“ trägt nicht. Insoweit verweist das Finanzgericht auf die Fassung vom 20.10.2020, welche dem Steuerpflichtigen -nach Klageeinreichung- übergeben worden sein soll; dem Bescheid vom 17.12.2019 war die damals gültige Fassung des Informationsschreibens als Anlage beigefügt. In dem genannten Schreiben sind allerdings nur allgemeine Angaben enthalten, die nicht auf den Steuerpflichtigen bezogen sind und in keinem Zusammenhang mit seinem Auskunftsbegehren stehen. Zum Beispiel wird dort unter 6. ausgeführt, unter welchen Voraussetzungen Daten an Dritte weitergegeben werden dürfen. Nach Art. 15 Abs. 1 Buchst. c DSGVO muss jedoch angegeben werden, wem gegenüber Daten offengelegt wurden oder noch offengelegt werden (Empfänger oder Empfängerkategorien). Schließlich kann der Bundesfinanzhof mangels Feststellungen die Annahme des Finanzgerichtes nicht nachvollziehen, Informationen über die Datenherkunft würden nicht systematisch vermerkt.

Auch die Ausführungen des Finanzgerichtes zum Umfang des Auskunftsanspruchs sind nicht frei von Rechtsfehlern.

Rechtsfehlerhaft geht das Finanzgericht davon aus, Art. 13 Abs. 4 DSGVO schränke die Auskunftspflicht ein, soweit die Informationen dem Betroffenen bereits bekannt seien. Art. 13 Abs. 4 DSGVO gilt nicht für den Auskunftsanspruch nach Art. 15 DSGVO, denn die Norm bezieht sich eindeutig auf die Abs. 1, 2 und 3 des Art. 13 DSGVO. Selbst wenn die betreffenden Daten dem Steuerpflichtigen bekannt wären, würde das nach der Rechtsprechung des BGH den Auskunftsanspruch nicht ausschließen10.

Auch die Prüfung des § 32c Abs. 3 AO durch das Finanzgericht erfolgt rechtsfehlerhaft. § 32c Abs. 3 AO regelt, dass wenn die personenbezogenen Daten weder automatisiert noch in nicht automatisierten Dateisystemen gespeichert sind, nur Auskunft erteilt wird, soweit die betroffene Person Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht. Diese Norm ist im Streitfall nicht einschlägig, weil sie außerhalb des sachlichen Anwendungsbereichs der Datenschutz-Grundverordnung liegt11.

Wenn zudem das Finanzgericht eine „anlassfreie datenschutzrechtliche Auskunft“ zulasten des Steuerpflichtigen in die Abwägung nach § 32c Abs. 3 AO einbezieht, widerspricht das im Kern der Rechtsprechung des EuGH. Denn der Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten setzt keine Begründung voraus und besteht auch dann, wenn der Antrag mit einem anderen als den in Erwägungsgrund 63 DSGVO genannten Zwecken begründet wird12.

Das Finanzgericht führt unter den Urteilsgründen Beschränkungen des Auskunftsanspruchs in den §§ 32a AO ff. auf. Darauf beziehen sich seine anschließenden Ausführungen, ohne jedoch im Einzelnen auf die Rechtsgrundlagen (§§ 32a AO ff., Art. 15 Abs. 4 DSGVO) Bezug zu nehmen. Das Finanzgericht behauptet pauschal, die Einzelangaben in der Steuerakte oder den Steuerdatenbanken unterfielen „mit Ausnahme weniger trivialer Angaben“ den gesetzlichen Beschränkungen.

Dabei nimmt das Finanzgericht an keiner Stelle Bezug auf konkrete Aussagen des Finanzamtes, sodass die maßgeblichen Feststellungen fehlen. Die Darlegungslast für das Vorliegen der Ausschlussgründe trägt jedoch der Verantwortliche13. Im Rahmen des Art. 15 Abs. 4 DSGVO bedürfte es der Nennung eines konkreten Sachverhaltes, anhand dessen geprüft werden könnte, ob durch die Auskunftserteilung tatsächlich die Rechte und Freiheiten anderer Personen beschränkt werden würde. Nur der Verantwortliche ist kraft Sachnähe in der Lage vorzutragen, welche konkreten personenbezogen Daten nicht herausgegeben werden können, ohne dass schützenswerte Interessen Dritter tangiert werden. Nur dann ist den Gerichten die notwendige Einzelfallabwägung überhaupt möglich.

Das Finanzgericht hat auf abgeschlossene Besteuerungszeiträume verwiesen und rechtsfehlerhaft den Auskunftsanspruch nach § 32c Abs. 1 Nr. 3 Buchst. a AO insoweit verneint. Ungeachtet dessen, dass das Finanzgericht die weiteren in der Norm genannten Tatbestandsvoraussetzungen gar nicht geprüft hat, fehlt es an einer gesetzlichen Aufbewahrungspflicht für Steuerakten14, sodass der Ausschlussgrund nicht greifen kann.

In der angefochtenen Entscheidung wird nicht hinreichend deutlich, auf der Grundlage welcher Norm das Finanzgericht seine Interessenabwägung durchführt.

Soweit das Finanzgericht in diese Abwägung zulasten des Steuerpflichtigen einen „erheblichen manuellen Personalaufwand“ der Finanzbehörde einstellt, muss der Bundesfinanzhof nicht entscheiden, inwiefern ein solcher Einwand dem Grunde nach überhaupt durchgreifen kann. Denn es fehlt bereits an entsprechenden Feststellungen des Finanzgerichtes, dass die Auskunftserteilung mit einem unverhältnismäßigen Aufwand verbunden ist. Auch der Umstand, dass der Betroffene seine eigenen Schriftsätze kennt, darf nicht einschränkend zu seinen Lasten berücksichtigt werden. Denn auch Schreiben des Betroffenen an den Verantwortlichen sind ihrem gesamten Inhalt nach als personenbezogene Daten einzustufen und unterliegen dem Auskunftsanspruch15. Rechtsfehlerhaft verweist das Finanzgericht innerhalb seiner Abwägungsüberlegungen auf den Umstand, dem Steuerpflichtigen stünden andere Rechtsschutzmöglichkeiten, zum Beispiel im laufenden Steuerverfahren oder die Mitteilung der Besteuerungsgrundlagen nach § 364 AO, zur Verfügung. In diesem Zusammenhang kann auch nicht von einem „Hauptsacheverfahren“ gesprochen werden. Der datenschutzrechtliche Auskunftsanspruch hat keinen Bezug zum Besteuerungsverfahren. Deshalb kommt es auch nicht darauf an, ob die personenbezogenen Daten für die Besteuerung relevant sind oder werden können.

Soweit das Finanzgericht auf „gegenläufige Datengeheimnis-Rechte der Bearbeiter“ abstellt, ist nicht nachvollziehbar, auf welcher Rechtsgrundlage diese Beschränkung des Auskunftsanspruchs vorgenommen wird. Selbst wenn man das informelle Selbstbestimmungsrecht der Bearbeiter berücksichtigt, kann dem zum Beispiel durch Schwärzung der Namen ausreichend Genüge getan werden.

Das Finanzgericht hat darüber hinaus Art. 15 Abs. 3 DSGVO rechtsfehlerhaft angewendet.

15 Abs. 3 Satz 1 DSGVO gewährt keinen gegenüber Art. 15 Abs. 1 DSGVO eigenständigen Anspruch gegen den Verantwortlichen auf Zurverfügungstellung von Dokumenten mit personenbezogenen Daten. Nach Art. 15 Abs. 3 Satz 1 DSGVO stellt der Verantwortliche der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Durch die Rechtsprechung des EuGH ist geklärt, dass Art. 15 DSGVO nicht dahin auszulegen ist, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt. Im Übrigen bezieht sich der Begriff „Kopie“ nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind16. Der Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten setzt keine Begründung voraus, weshalb es auch nicht entgegensteht, wenn er mit anderen als den in Erwägungsgrund 63 Satz 1 DSGVO genannten Zwecken begründet wird17.

Nur wenn die Zurverfügungstellung einer Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind, besteht nach Art. 15 Abs. 3 Satz 1 DSGVO ein Anspruch darauf, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zu erhalten18.

Hierfür besteht jedoch keine generelle Vermutung. Vielmehr obliegt es der betroffenen Person, darzulegen, dass die Kopie der personenbezogenen Daten sowie die Mitteilung der Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO für die Wahrnehmung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte nicht genügt. Begehrt die betroffene Person die Zurverfügungstellung von Kopien von Dokumenten mit ihren personenbezogenen Daten, muss sie darlegen, welche ihr durch die Datenschutz-Grundverordnung verliehenen Rechte sie auszuüben gedenkt und aus welchen Gründen die Zurverfügungstellung von Kopien von Akten mit personenbezogenen Daten hierfür unerlässlich ist. Andernfalls liefe das durch den EuGH aufgestellte Regel-Ausnahme-Prinzip ins Leere. Denn nach der Rechtsprechung des EuGH ist der Anspruch nach Art. 15 Abs. 1 und Abs. 3 DSGVO grundsätzlich auf die Zurverfügungstellung einer Kopie der verarbeiteten personenbezogenen Daten der betroffenen Person gerichtet16. Wenn dies für die Wahrnehmung der Rechte aus der Datenschutz-Grundverordnung nicht genügt, kann ausnahmsweise ein Anspruch auf eine (auszugsweise) Kopie der Quelle, in der die personenbezogenen Daten verarbeitet sind, bestehen18. Einer entsprechenden Vermutung der Unerlässlichkeit bedarf es im Übrigen auch nicht, um einen effektiven Datenschutz zu gewährleisten. Regelmäßig genügt es für die Wahrnehmung der durch die Datenschutz-Grundverordnung verliehenen Rechte, wenn die betroffene Person Kenntnis von den über sie verarbeiteten personenbezogenen Daten erlangt und ihr die Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO mitgeteilt werden. Insbesondere durch die Mitteilung, welche personenbezogenen Daten verarbeitet werden und zu welchem Zweck diese Verarbeitung erfolgt, ist die betroffene Person bereits regelmäßig in der Lage, die Richtigkeit der personenbezogenen Daten und die Rechtmäßigkeit deren Verarbeitung zu überprüfen19.

Diesen Maßstäben wird die angefochtene Entscheidung nicht gerecht. Soweit das Finanzgericht -im Hinblick auf die Ausführungen des Finanzamtes im Schreiben vom 17.12.2019- ausgeführt hat, es genüge, wenn sich der Betroffene aufgrund eines eingeräumten Online-Zugriffs (Elster-Portal) selbst eine Kopie erstellen könne, berücksichtigt dies, dass die Form der Auskunftserteilung grundsätzlich nach § 32d Abs. 1 AO im pflichtgemäßen Ermessen des Finanzamtes steht. Zwar hat nach Art. 15 Abs. 3 DSGVO der Verantwortliche eine (elektronische) Kopie der personenbezogenen Daten und unter gewissen Umständen auch der Quellen, in denen solche Daten verarbeitet wurden, zur Verfügung zu stellen20. Nach dem Erwägungsgrund 63 Satz 4 DSGVO (hierzu auch Kühling/Buchner/Bäcker, 4. Aufl., DS-GVO Art. 15 Rz 44d) sollte jedoch der Verantwortliche nach Möglichkeit den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Ob das Elster-Portal diesen Anforderungen entspricht, vermag der Bundesfinanzhof mangels ausreichender Feststellungen des Finanzgerichtes nicht zu beurteilen.

Was die Übersendung von Kopien nicht nur der personenbezogenen Daten, sondern ganzer Dokumente betrifft, hat es das Finanzgericht zudem unterlassen, die erforderlichen Feststellungen für eine abschließende Beurteilung zu treffen. Es fehlt an Feststellungen, ob und inwiefern der Steuerpflichtige geltend gemacht hat, dass die begehrten Kopien für ihn unerlässlich sind, um ihm die wirksame Ausübung der ihm durch die Datenschutz-Grundverordnung verliehenen Rechte zu ermöglichen. Der Steuerpflichtige muss dazu vortragen, dass und warum die Kopie der personenbezogenen Daten sowie die Mitteilung der Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO nicht für die Wahrnehmung der ihm durch die Datenschutz-Grundverordnung verliehenen Rechte genügt21.

Rechtsfehlerfrei hat das Finanzgericht dagegen entschieden, dass der vom Steuerpflichtigen geltend gemachte Anspruch auf Akteneinsicht sich nicht aus Art. 15 DSGVO ergibt.

Das Auskunftsrecht in Art. 15 DSGVO ist nicht mit dem Akteneinsichtsrecht identisch. Denn die Datenschutz-Grundverordnung sieht keinen Anspruch auf Akteneinsicht vor22. Soweit der Steuerpflichtige einen Anspruch auf Akteneinsicht aus Art. 15 DSGVO herleiten möchte, enthält diese Vorschrift lediglich einen Auskunftsanspruch gegenüber dem für die Verarbeitung der personenbezogenen Daten Verantwortlichen.

Ebenso beinhaltet Art. 15 DSGVO keinen Anspruch auf Akteneinsicht als „Weniger“ zum Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten beziehungsweise ausnahmsweise unter bestimmten Umständen auf Zurverfügungstellung der Quellen, in denen die personenbezogenen Daten verarbeitet wurden. Vielmehr handelt es sich bei der Gewährung von Akteneinsicht um ein Aliud. Während das Recht auf Akteneinsicht die temporäre Möglichkeit zur Einsicht in die gesamte Verwaltungsakte beinhaltet, betrifft Art. 15 DSGVO nicht die gesamte Verwaltungsakte, sondern ist auf die dauerhafte Überlassung der darin enthaltenen personenbezogenen Daten und nur ausnahmsweise unter bestimmten Umständen auf die Überlassung von Auszügen von Verwaltungsakten gerichtet.

Daran gemessen hat das Finanzgericht einen Anspruch auf Akteneinsicht aus Art. 15 DSGVO zutreffend verneint. Art. 15 Abs. 1 DSGVO ermöglicht nicht die Einsicht in Verwaltungsakten und damit die in ihnen enthaltenen Verwaltungsdokumente in Abschrift oder im Original. Vielmehr hat das Finanzamt als Verantwortlicher lediglich eine (elektronische) Kopie der personenbezogenen Daten und unter gewissen Umständen auch der Quellen, in denen solche Daten verarbeitet wurden, zur Verfügung zu stellen23.

Zwar hat das Finanzgericht nicht abschließend geprüft, ob sich ein Akteneinsichtsrecht aufgrund anderer Rechtsvorschriften ergeben kann24. Eine solche Prüfung verbietet sich im vorliegenden Verfahren jedoch, weil die hierfür erforderlichen Sachentscheidungsvoraussetzungen nicht vorliegen. Es fehlt an der Durchführung eines Vorverfahrens (§ 44 Abs. 1 FGO).

Nach § 347 Abs. 1 Satz 1 Nr. 1 i.V.m. Abs. 2 AO ist der Einspruch gegen Verwaltungsakte in Abgabenangelegenheiten, wozu auch die Entscheidung über die Bewilligung oder Ablehnung der Akteneinsicht in die Steuerakten der Finanzbehörde gehört25, statthaft.

Nichts anderes ergibt sich aus § 32i Abs. 9 Satz 1 AO. Die Vorschrift greift nur, soweit der Antragsteller seinen Akteneinsichtsanspruch aus Art. 15 DSGVO ableitet. Hingegen findet die Regelung keine Anwendung, wie sich aus § 32i Abs. 4 AO sowie der systematischen Stellung im Siebten Abschnitt der Abgabenordnung (Datenschutzaufsicht, Gerichtlicher Rechtsschutz in datenschutzrechtlichen Angelegenheiten) ergibt, wenn ein Akteneinsichtsrecht aus anderen rechtlichen Aspekten abgeleitet wird. Eine teleologische Extension des Anwendungsbereichs des § 32i Abs. 9 Satz 1 AO auf Fälle, in denen Ansprüche nicht nur aus der Datenschutz-Grundverordnung, sondern auch aus anderen rechtlichen Aspekten abgeleitet werden, kommt nicht in Betracht.

Die teleologische Extension einer Norm setzt zum einen eine Regelungslücke voraus. Eine solche liegt vor, wenn ein bestimmter Sachverhalt zwar gesetzlich geregelt ist, jedoch keine Vorschrift für Fälle enthält, die nach dem Grundgedanken und dem System des Gesetzes hätten mitgeregelt werden müssen26. Die Norm muss -gemessen an ihrem Zweck- unvollständig, das heißt ergänzungsbedürftig sein27. Selbst ein eindeutiger Gesetzeswortlaut schließt eine Regelungslücke nicht aus28. Zum anderen muss die Regelungslücke planwidrig sein29. Dies erfordert die Feststellung, dass der infrage stehende Sachverhalt vom Gesetzgeber nur versehentlich nicht geregelt worden ist30. Eine lückenfüllende Ergänzung der Norm darf somit nicht einer vom Gesetzgeber beabsichtigten Beschränkung auf bestimmte Tatbestände widersprechen31. Keine (planwidrigen) Regelungslücken sind rechtspolitische Unvollständigkeiten („rechtspolitische Fehler“), bei denen die Ergänzung aus lediglich rechtspolitischen Gründen wünschenswert wäre32.

Zwar liegt insoweit eine Regelungslücke vor, als nicht gesetzlich geregelt ist, ob ein Vorverfahren durchzuführen ist, wenn zwar die Voraussetzungen des § 32i Abs. 9 Satz 1 AO vorliegen, zugleich das begehrte Ziel aber auch aufgrund anderer rechtlicher Aspekte verfolgt wird. Eine entsprechende Erweiterung des Anwendungsbereichs des § 32i Abs. 9 Satz 1 AO würde jedoch der vom Gesetzgeber beabsichtigten Beschränkung auf die Fälle des § 32i Abs. 1 bis 3 AO widersprechen33. Da der Gesetzgeber mit § 32i Abs. 9 Satz 2 i.V.m. Abs. 2 Satz 2 i.V.m. § 32e AO bewusst Auskunfts- und Informationszugangsansprüche nach den Informationsfreiheitsgesetzen des Bundes und der Länder vom Anwendungsbereich des § 32i Abs. 9 Satz 1 AO ausschließt, ist zu vermuten, dass der Gesetzgeber zumindest auch in Kauf genommen hat, dass es insoweit zu einer Aufspaltung des Rechtsschutzwegs kommen kann, soweit ein Anspruch auf Auskunft mit der Datenschutz-Grundverordnung und mit einem Informationsfreiheitsgesetz des Bundes beziehungsweise eines Landes begründet wird. Insoweit besteht auch kein Raum für die Annahme, dass etwas anderes gelten könnte, wenn ein Anspruch weder mit der Datenschutz-Grundverordnung noch mit einem Informationsfreiheitsgesetz, sondern mit einem anderweitigen rechtlichen Aspekt begründet wird. Auch nach dem Sinn und Zweck des § 32i Abs. 9 Satz 1 AO ist keine erweiternde Auslegung geboten. Hintergrund des Ausschlusses des Einspruchsverfahrens bei datenschutzrechtlichen Streitigkeiten ist unter anderem, dass der betroffenen Person bereits kraft gesetzlicher Regelung durch die Datenschutz-Grundverordnung die Möglichkeit der Beschwerde bei der Datenschutzaufsichtsbehörde eingeräumt wird, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutz-Grundverordnung verstößt34. Die Datenschutzaufsichtsbehörde wird jedoch nur einen etwaigen Verstoß gegen die Datenschutz-Grundverordnung, jedoch nicht gegen anderweitige rechtliche Aspekte überprüfen (vgl. Art. 55 ff. DSGVO).

Unter Anwendung dieser Grundsätze fehlt das erforderliche Vorverfahren, weil der Steuerpflichtige unmittelbar gegen den Bescheid vom 17.12.2019 Klage erhoben hat.

Die Sache war für den Bundesfinanzhof jedoch noch nicht spruchreif. Das Finanzgericht München hatte keine ausreichenden Feststellungen dazu getroffen, ob und in welchem Umfang der dem Grunde nach bestehende Anspruch auf Auskunft nach Art. 15 Abs. 1 DSGVO ausgeschlossen ist.

Bundesfinanzhof, Urteil vom 11. März 2025 – IX R 34/21

  1. FG München, Urteil vom 04.11.2021 – 15 K 118/20, EFG 2022, 299[↩]
  2. BFH, Urteil vom 12.03.2024 – IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 21 ff.[↩]
  3. EuGH, Urteile IAB Europe vom 07.03.2024 – C-604/22, EU:C:2024:214, Rz 36; Österreichische Datenschutzbehörde vom 04.05.2023 – C-487/21, EU:C:2023:369, Rz 23, m.w.N.[↩]
  4. EuGH, Urteil IAB Europe vom 07.03.2024 – C-604/22, EU:C:2024:214, Rz 37[↩]
  5. EuGH, Urteil OC/Kommission vom 07.03.2024 – C-479/22 P, EU:C:2024:215, Rz 47 ff., m.w.N.[↩]
  6. vgl. BGH, Urteile vom 27.09.2023 – IV ZR 177/22, Rz 47; und vom 06.02.2024 – VI ZR 15/23, Rz 7[↩]
  7. vgl. BFH, Urteil vom 12.03.2024 – IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 17 ff.[↩]
  8. vgl. EuGH, Urteile Jehovan todistajat vom 10.07.2018 – C-25/17, EU:C:2018:551, Rz 56 ff. und Endemol Shine Finland vom 07.03.2024 – C-740/22, EU:C:2024:216, Rz 36 f.[↩]
  9. vgl. BVerwG, Urteil vom 30.11.2022 – 6 C 10.21, BVerwGE 177, 211, Rz 20[↩]
  10. vgl. BGH, Urteile vom 15.06.2021 – VI ZR 576/19, Rz 25; und vom 16.04.2024 – VI ZR 223/21, Rz 13[↩]
  11. Tormöhlen in Hübschmann/Hepp/Spitaler, § 32c AO Rz 27; Schober in Gosch, AO § 32c Rz 18; Drüen in Tipke/Kruse, § 32c AO Rz 21; BT-Drs. 18/12611, S. 88[↩]
  12. EuGH, Urteil FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 50 und Rz 52; BFH, Urteil vom 12.03.2024 – IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 27[↩]
  13. vgl. Kühling/Buchner/Bäcker, 4. Aufl., DS-GVO Art. 15 Rz 42a; Landesarbeitsgericht Baden-Württemberg, Urteil vom 20.12.2018 – 17 Sa 11/18, Rz 208 f.[↩]
  14. vgl. BFH, Urteil vom 07.05.2024 – IX R 21/22, zur amtlichen Veröffentlichung bestimmt, Rz 33[↩]
  15. vgl. BGH, Urteile vom 06.02.2024 – VI ZR 15/23, Rz 8; vom 27.09.2023 – IV ZR 177/22, Rz 48[↩]
  16. EuGH, Urteile FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 72 und Österreichische Datenschutzbehörde vom 04.05.2023 – C-487/21, EU:C:2023:369, Rz 32[↩][↩]
  17. EuGH, Urteil FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 50 und Rz 52[↩]
  18. vgl. EuGH, Urteile FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 75 und Österreichische Datenschutzbehörde vom 04.05.2023 – C-487/21, EU:C:2023:369, Rz 41 und Rz 45[↩][↩]
  19. vgl. zum Ganzen BFH, Urteil vom 12.03.2024 – IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 27 f.[↩]
  20. BFH, Urteil vom 12.03.2024 – IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 37[↩]
  21. vgl. BFH, Urteil vom 07.05.2024 – IX R 21/22, zur amtlichen Veröffentlichung bestimmt, Rz 39[↩]
  22. so auch Gola/Heckmann/Franck, DS-GVO, 3. Aufl., Art. 15 Rz 33, m.w.N.[↩]
  23. BFH, Urteil vom 12.03.2024 – IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 36 f.[↩]
  24. vgl. BFH, Urteil vom 20.09.2024 – IX R 24/23, zur amtlichen Veröffentlichung bestimmt[↩]
  25. Anwendungserlass zur Abgabenordnung zu § 364 Satz 4; Krömker in Lippross/Seibel, Basiskommentar Steuerrecht, Stand: 12.2024, § 347 AO Rz 11[↩]
  26. u.a. BFH, Urteile vom 09.08.1989 – X R 30/86, BFHE 158, 45, BStBl II 1989, 891, unter 2.a; vom 11.02.2010 – V R 38/08, BFHE 229, 385, BStBl II 2010, 873, Rz 21, m.w.N. sowie vom 28.10.2020 – X R 29/18, BFHE 271, 370, BStBl II 2021, 675, Rz 33[↩]
  27. BFH, Urteil vom 28.10.2020 – X R 29/18, BFHE 271, 370, BStBl II 2021, 675, Rz 33, m.w.N.[↩]
  28. BFH, Urteil vom 11.02.2010 – V R 38/08, BFHE 229, 385, BStBl II 2010, 873, Rz 22, m.w.N.[↩]
  29. statt vieler BFH, Urteil vom 02.07.1997 – I R 32/95, BFHE 183, 496, BStBl II 1998, 176, unter II. 2.b bb[↩]
  30. BFH, Urteil vom 28.10.2020 – X R 29/18, BFHE 271, 370, BStBl II 2021, 675, Rz 34, m.w.N.[↩]
  31. BFH, Beschluss vom 10.04.2013 – I R 80/12, BFHE 241, 483, BStBl II 2013, 1004, Rz 28[↩]
  32. vgl. BFH, Urteil vom 26.09.2023 – IX R 19/21, BFHE 281, 514, BStBl II 2024, 43, Rz 33[↩]
  33. vgl. Krumm in Tipke/Kruse, § 32i AO Rz 15a[↩]
  34. BT-Drs.19/22850, S. 162 f.[↩]

Das dürfte Sie auch interessieren: