DSGVO-Auskunftsanspruch gegenüber dem Finanzamt

Verarbeitung personenbezogener Daten i.S.d. DSGVO

Auch lag unproblematisch eine Verarbeitung personenbezogener Daten im Sinne der DSGVO durch das Finanzamt vor. Personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO sind alle Informationen, die sich auf eine identifizierbare oder identifizierte natürliche Person beziehen. Demnach sind unter personenbezogene Daten Einzelangaben zu verstehen, nicht etwa Akten oder Aktensammlungen.

DSGVO-relevanter Datenverarbeitungsvorgang

Das Gericht bejahte im vorliegenden Fall eine DSGVO-relevante Datenverarbeitung durch das Finanzamt. Allerdings nur im Hinblick auf automatisierte oder teilautomatisierte Verarbeitungen personenbezogener Daten im Sinne von Art. 2 Abs. 1 Alt. 1 DSGVO.

Unter einer automatisierten Datenverarbeitung ist in der Regel jede Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen zu verstehen, also grundsätzlich jeder Vorgang mittels Computersysteme, der ohne menschliches Zutun erfolgt. Eine nicht automatisierte Datenverarbeitung liegt bei Vorgängen vor, die manuell, d.h. ohne technische Geräte erfolgen (z.B. das Anfertigen einer handschriftlichen Liste).

Nicht automatisierte Verarbeitungen unterliegen dem Anwendungsbereich nur, sofern die personenbezogenen Daten in Dateisystemen gespeichert sind oder dies vorgesehen ist, Art. 2 Abs. 1 Alt. 2 DSGVO. Dabei muss der Dateiinhalt hinreichend strukturiert sein, sodass ein leichter Zugriff auf die personenbezogenen Daten möglich ist.

Datenschutzrechtliche Behandlung umfangreicher Aktensammlungen

Bisher hat die Rechtsprechung im Hinblick auf die datenschutzrechtliche Behandlung derart umfangreicher Aktensammlungen, die eine große Zahl von nicht hinreichend strukturierten Dokumentenbündel enthält, wie es bei Steuerakten der Fall ist, nicht Stellung genommen. Ebenso ist bisher die Frage, ob sich aus einer Differenzierung zwischen ganz und teilweise automatisierten sowie nicht automatisierten Datenverarbeitungen im Sinne des Art. 2 DSGVO Rückschlüsse auf den Umfang des Auskunftsrechts aus Art. 15 DSGVO ziehen lassen, ungeklärt geblieben.

Das Gericht hielt es deshalb für geboten, Anwendungsbereich und die Rechte der DSGVO für umfangreiche Aktensysteme, ausgehend von deren Funktion, differenziert zu betrachten.

Insoweit nahm das Gericht eine Differenzierung für umfangreiche Datensammlungen samt zugehöriger Aktensammlungen, wie sie im Falle von Steuerakten gegeben sind, vor. Dabei wird zwischen leicht auffindbaren, mithilfe von Kriterien strukturiert abgelegte Daten zum einen und in sich selbst nicht weiter strukturierte Textdokumente differenziert, da jeweils ein unterschiedlicher Aufwand erforderlich ist, der dem Verantwortlichen im Zusammenhang mit einer Auskunftserteilung im Sinne des Art. 15 DSGVO entsteht.

Unstrukturierte Schriftstücksammlungen nicht vom Anwendungsbereich der DSGVO erfasst

Das FG München kam zu dem Ergebnis, dass die Steuerakte in Papierform, die eine in zeitlicher Abfolge sortierte Ablage des Schriftverkehrs der Steuerverwaltung mit dem Steuerpflichtigen sowie diverse andere unstrukturierte Texte enthält, nicht in den Schutzbereich der DSGVO einbezogen ist.

Während eine Auskunftserteilung über strukturiert abgelegte Daten, die leicht auffindbar sind, unter vertretbarem Aufwand möglich ist, würde eine Pflicht zur Auskunftserteilung über Einzelangaben, die in unstrukturierten Schriftstücksammlungen enthalten sind, erfordern, dass diese Dokumente manuell durch eine Person gesichtet werden müssten, um im Anschluss darin enthaltene Einzelangaben zum Zwecke der Auskunftserteilung herauszuarbeiten. Erst durch diesen Prozess werden die Daten in einen leicht auffindbaren Datenbereich bewegt, sodass eine mühelose Auskunftserteilung möglich ist.

Von einem derartigen Aufwand im Zusammenhang mit der Auskunftsverpflichtung geht die DSGVO selbst allerdings nicht aus. Zwar ist in Art. 12 Abs. 1 DSGVO eine Obliegenheit des Verantwortlichen normiert, wonach dieser Maßnahmen ergreifen muss, die ihm eine möglichst schnelle Auskunftserteilung ermöglichen. Allerdings ist damit nicht gemeint, dass er sich vorsorglich durch den gesamten Schriftwechsel durcharbeiten muss, um daraus Einzelangaben zu extrahieren, die potenziellen Auskunftsanträgen vorgehalten werden könnten.

Auch wenn die Schriftgutsammlung selbst auch Einzelangaben mit Personenbezug aufweist, enthält sie dennoch eine Vielzahl von Einzelangaben ohne unmittelbaren Bezug zum Steuerpflichtigen, wie beispielsweise Bearbeitungsvermerke, den Namen des Bearbeiters, rechtliche Analysen o.ä. Solche noch „ungehobenen“ Einzeleingaben weisen nach Ansicht des Gerichts noch keine „Strukturierung nach bestimmten Kriterien“ auf, die eine leichte Wiederauffindung ermöglicht. Nach Auffassung des Gerichts ist der sachliche Anwendungsbereich der DSGVO daher erst dann eröffnet, wenn solche ungehobenen Einzeleingaben, manuell durch eine Person aus der Akte extrahiert und in ein Dateisystem übertragen werden. Erst dann liegt eine nicht automatisierte Verarbeitung im Sinne der DSGVO vor.

Unterscheidung Akteneinsicht und Auskunftsanspruch

Zwar steht dem Kläger ein Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO gegen das Finanzamt zu. Dieser ist jedoch mit Blick auf die Beschränkungen des Auskunftsrechts durch die DSGVO selbst, durch die AO sowie allgemeine Grundsätze zu begrenzen.

Nicht nur nach den Erwägungsgründen 15 und 16 zur DSGVO sind Akten und Aktensammlungen, die nicht durch bestimmte Kriterien strukturiert sind, vom Anwendungsbereich der DSGVO ausgenommen. Vielmehr stellte auch der EuGH (Urteil vom 17.7.2014 C-141/12) in der Vergangenheit klar, dass der Auskunftsanspruch aus Art. 15 DSGVO kein Recht auf Zugang zu Verwaltungsdokumenten gewährt. Was für einzelne Dokumente gilt, muss erst recht für ganze Dokumentensammlungen gelten, so das Münchner Finanzgericht.

So hat das beklagte Finanzamt im Verfahren zutreffend darauf hingewiesen, dass die DSGVO zwischen Auskunft und Akteneinsicht unterscheidet. Dies ergebe sich aus einer wortlautorientierten Auslegung mehrerer Sprachfassungen.

Vor Inkrafttreten der DSGVO sahen auch der BFH und das BVerfG als gerechtfertigt an, dass die AO kein generelles Akteneinsichtsrecht im Bereich des Steuerrechts gewährleistet. Der Ablehnung eines solchen gebundenen Akteneinsichtanspruchs lag die Erwägung zugrunde, dass der Gesetzgeber ein solches allgemeines Recht auf Akteneinsicht im Steuerverfahren als nicht praktikabel ansah. Einem solchen Recht stünde der Schutz Dritter, das Ermittlungsinteresse der Finanzbehörden und der damit verbundene Verwaltungsaufwand entgegen. Die Finanzbehörde hätte vor jeder Akteneinsicht prüfen müssen, ob Interessen Dritter durch die Einsicht beeinträchtigt sein könnten und im Anschluss ggf. das gesamte Kontrollmaterial, interne Vermerke und Anweisungen der Behörde oder Ähnliches entfernen müssen.

Verpflichtung der Finanzbehörde zur Auskunftserteilung

Weiterhin ist von einem gebundenen Auskunftsanspruch auszugehen. Auch wenn die Rechtsprechung des BFH (Beschluss vom 4. Juni 2003 VII B 138/01) davon ausgeht, dass Akteneinsicht in Ermangelung eines normierten Anspruchs nach pflichtgemäßem Ermessen der Behörde zu gewähren sei, trifft das nicht auf den Auskunftsanspruch nach Art. 15 DSGVO zu, da dieser nicht dem Ermessen der Behörde unterliegt. Ein Ermessen wird dem Finanzamt gem. § 32d Abs. 1 AO lediglich im Hinblick auf die Form der Auskunftserteilung eingeräumt. In diesem Zusammenhang steht es der Finanzbehörde frei, die Auskunft mittels eines Datenausdrucks, durch Einräumung eines Onlinezugangs oder die Gestattung von Akteneinsicht zu gewähren.

Ausblick

Trotz der Entscheidung des FG München, bleibt die Antwort auf die Frage nach der Anwendbarkeit der DSGVO auf Ansprüche gegen die Finanzverwaltung direkter Steuern weiterhin mehr oder weniger offen, solange der Bundesfinanzhof in dieser Sache noch keine Entscheidung getroffen hat. Auch wenn das Urteil des FG München eine Orientierungshilfe darstellt, verbleibt dennoch die Möglichkeit anderslautenden Instanzenrechtsprechung.