[pinguin]

Der BFH stützt sich bei seinen Aussagen auch auf die Entscheidungen des EuGH zur Schufa-Holding; auch in Belangen eiens Kontenabrufs ist die DSGVO einzuhalten.

Urteil vom 12. Dezember 2023, IX R 33/21
Gerichtlicher Prüfungsmaßstab nach Art. 78 Abs. 1 DSGVO; Tätigkeit und Mitteilung der Aufsichtsbehörde nach Art. 77 DSGVO
https://www.bundesfinanzhof.de/de/entscheidung/entscheidungen-online/detail/STRE202410032/

Leitsätze

1. Art. 78 der Datenschutz-Grundverordnung (DSGVO) fordert zum Schutz der Rechte, die dem Einzelnen aus der Datenschutz-Grundverordnung erwachsen, einen wirksamen gerichtlichen Rechtsbehelf, der nach Maßgabe des nationalen Verfahrensrechts eine vollständige inhaltliche Überprüfung der Beschwerdeentscheidung der Aufsichtsbehörde durch das Gericht ermöglicht.

2. Maßstab für den Umfang der Ermittlungen im Rahmen einer Beschwerde nach Art. 77 DSGVO sind insbesondere die individuelle Bedeutung der Sache und die Schwere des in Rede stehenden Verstoßes.

1
Die Beteiligten streiten um die Rechtmäßigkeit eines Kontenabrufs nach § 93 Abs. 7 der Abgabenordnung (AO) und begehren ein Einschreiten der Datenschutzaufsichtsbehörde.

18.
Gemäß dem in Art. 4 Abs. 3 des Vertrags über die Europäische Union verankerten Grundsatz der loyalen Zusammenarbeit haben die Gerichte der Mitgliedstaaten den gerichtlichen Schutz der Rechte zu gewährleisten, die im Einzelnen aus der Datenschutz-Grundverordnung erwachsen. Insoweit darf das in Art. 47 der Charta der Grundrechte der Europäischen Union verankerte Recht auf einen wirksamen Rechtsbehelf nicht beeinträchtigt werden. Dies gilt insbesondere auch für die in Art. 77 Abs. 1 und Art. 78 Abs. 1 DSGVO vorgesehenen Rechtsbehelfe (vgl. EuGH-Urteile Puskár vom 27.09.2017 - C-73/16, EU:C:2017:725, Rz 76 und Budapesti Elektromos M?vek vom 12.01.2023 C-132/21, EU:C:2023:2, Rz 50 f.; Pötters/Werkmeister in Gola/Heckmann, DS-GVO BDSG, 3. Aufl., Art. 78 DSGVO Rz 1; Boehm in Simitis/Hornung/Spiecker gen. Döhlmann, Datenschutzrecht, 1. Aufl., Art. 78 DSGVO Rz 5).

22
a) Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt ist (Verbot mit Erlaubnisvorbehalt; statt vieler Wackerbeck in Hübschmann/Hepp/Spitaler, § 29b AO Rz 9, m.w.N.). Dies ist unter anderem nach Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO der Fall, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Hierfür bedarf es gemäß Art. 6 Abs. 3 Satz 1 DSGVO einer Rechtsgrundlage, die entweder durch das Unionsrecht (Buchst. a) oder durch das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt (Buchst. b), festgelegt wird. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ferner ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen (Art. 6 Abs. 3 Satz 4 DSGVO).

24
Rechtsgrundlage für die hier in Streit stehende Verarbeitung von personenbezogenen Daten ist § 93 Abs. 7 Satz 1 Nr. 4, Satz 2 AO. Danach ist ein automatisierter Abruf von Konteninformationen (§ 93b AO) zulässig, soweit der Abruf zur Erhebung bundesgesetzlich geregelter Steuern erforderlich ist. Ein Abrufersuchen darf nur dann erfolgen, wenn ein Auskunftsersuchen an den Steuerpflichtigen nicht zum Ziel geführt hat oder keinen Erfolg verspricht. Eine nach § 29b AO zulässige Verarbeitung liegt daher dann vor, wenn der Kontenabruf nach § 93 Abs. 7 Satz 1 Nr. 4, Satz 2 AO zur Erfüllung einer dem FA obliegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die ihm übertragen wurde, erforderlich war.

26
Allerdings ist die Verarbeitung personenbezogener Daten nicht im Sinne von § 29b Abs. 1 AO erforderlich, wenn die Tatbestandsvoraussetzungen des § 93 Abs. 7 AO offensichtlich nicht gegeben sind.

Querverweis:
EuGH C-439/19 - DSGVO - Datenübertragung an Wirtschaftsteilnehmer unzulässig
https://gez-boykott.de/Forum/index.php?topic=35594.0