Inhalt und Gegenstand der Entscheidung
Im Zentrum des Streits stand die Frage, ob aus Art. 15 Abs. 1 und 3 DSGVO ein Anspruch auf Zurverfügungstellung von Kopien aus Steuerakten abzuleiten ist. Der Kläger beantragte im Zusammenhang mit einem beim Finanzgericht inzwischen rechtskräftig abgeschlossenen Klageverfahren (Gewerbesteuermessbetrag 2013-2015) unter Hinweis auf Art. 15 Abs. 3 DSGVO, ihm Verwaltungs-, Betriebsprüfungs-, Rechtsbehelfs- und Handakten elektronisch zur Verfügung zu stellen. Das Finanzamt lehnte dies ab. Die Klage hatte keinen Erfolg. Mit seiner Revision trug der Kläger im Kern vor, Art. 15 Abs. 3 DSGVO begründe einen gegenüber dem Auskunftsrecht nach Abs. 1 der Norm eigenständigen Anspruch auf Zurverfügungstellung von Kopien der Verwaltungsakten, soweit darin personenbezogene Daten enthalten seien. Der BFH hob das angefochtene Urteil auf und wies die Sache zur erneuten Entscheidung an das Finanzgericht zurück.
Der für DSGVO-Streitverfahren zuständige IX. Senat des BFH hat mit der Besprechungsentscheidung erstmals – und ausführlich – zu den Voraussetzungen und der Reichweite des Auskunfts- und Kopienübermittlungsanspruchs gemäß Art. 15 DSGVO Stellung bezogen. Das Urteil lässt sich in zehn Kernthesen zusammenfassen:
1. Der gegen eine Finanzbehörde gerichtete Anspruch aus Art. 15 DSGVO kann auch dann noch (weiter-)verfolgt werden, wenn das Besteuerungsverfahren, wegen dessen jener Anspruch geltend gemacht wurde, inzwischen bestandskräftig abgeschlossen ist. Aus diesem Grund hat der BFH dem Einwand des Finanzamts, das gegen die Gewerbesteuermessbescheide der Jahre 2013-2015 gerichtete Klageverfahren sei während des vorliegenden Revisionsverfahrens rechtskräftig beendet worden, keine prozessuale Bedeutung beigemessen. Das Rechtsschutzbedürfnis entfiel hierdurch nicht (vgl. Rn. 9 der Besprechungsentscheidung).
2. Das allgemeine Rechtsschutzbedürfnis setzt allerdings voraus, dass der Auskunftsanspruch gemäß Art. 15 DSGVO vor dessen gerichtlicher Geltendmachung bei der Finanzbehörde angebracht (und dort abschlägig beschieden) wurde. Eines außergerichtlichen Einspruchsverfahrens bedarf es wegen der besonderen Regelung in § 32i Abs. 9 Satz 1 AO allerdings nicht. Wegen Letzterem konnte der BFH offenlassen, ob der Anspruch gerichtlich im Wege der Verpflichtungsklage (die grundsätzlich ein Vorverfahren voraussetzt) oder durch allgemeine Leistungsklage (die kein Vorverfahren erfordert) zu verfolgen ist (Rn. 12 der Besprechungsentscheidung).
3. Die DSGVO findet im Besteuerungsverfahren unabhängig von der konkreten Art der Aktenführung (Papierform; elektronisch; hybrid) Anwendung. Der Grund hierfür liegt darin, dass Art. 2 Abs. 1 DSGVO nicht zwingend eine vollautomatisierte Verarbeitung personenbezogener Daten fordert, sondern unter anderem eine Teilautomatisierung genügen lässt. Der Datenschutz soll technologieneutral ausgestaltet sein. Der BFH befand, dass die in den Steuerakten enthaltenen personenbezogenen Daten i.S.v. Art. 4 Abs. 1 DSGVO im Hinblick auf den voranschreitenden (aber noch nicht abgeschlossenen) Digitalisierungsprozess in der Finanzverwaltung zumindest teilautomatisiert verarbeitet würden. Dies galt auch für die betroffenen Streitjahre 2013 bis 2015 (Rn. 20 der Besprechungsentscheidung).
4. Der sachliche Anwendungsbereich der DSGVO im Besteuerungsverfahren erfasst EU-harmonisierte und nicht-harmonisierte Steuerarten gleichermaßen. Die tatbestandliche Ausnahme gemäß Art. 2 Abs. 2 Buchst. a DSGVO gilt nach Ansicht des BFH nicht für die Durchführung des Besteuerungsverfahrens. Eine Differenzierung zwischen den Steuerarten sei nicht mit dem unionsrechtlichen Effektivitätsgrundsatz („effet utile“) vereinbar (Rn. 21 ff. der Besprechungsentscheidung).
5. Der Kopienübermittlungsanspruch gemäß Art. 15 Abs. 3 DSGVO ist kein von Absatz 1 der Vorschrift losgelöstes Recht. Die Norm regelt nur, auf welche Weise der Auskunftsanspruch nach Absatz 1 zu erfüllen ist, nämlich durch die Übersendung einer Kopie von den verarbeiteten personenbezogenen Daten. Der Kopienübermittlungsanspruch setzt somit einen Auskunftsanspruch voraus. Damit folgt der BFH den bereits durch die EuGH-Rechtsprechung geklärten Grundsätzen zu Art. 15 DSGVO; u.a. EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 - C-307/22 - EU:C:2023:811, Rn 72). Vgl. hierzu Rn. 27 der Besprechungsentscheidung.
6. Der gegenüber einer Finanzbehörde geltend gemachte Auskunfts- und Kopienübermittlungsanspruch gemäß Art. 15 DSGVO kann nicht mit dem Argument abgelehnt werden, der Anspruchsteller mache keine datenschutzrelevante (sondern „nur“ eine steuerrechtliche) Begründung geltend. Der Anspruch muss auch erfüllt werden, wenn der Antragsteller seinen Anspruch gar nicht begründet, zu seinen Beweggründen also schweigt. Auch mit dieser These bewegt sich der BFH im „EuGH-Fahrwasser“ (vgl. Rn. 27 der Besprechungsentscheidung).
7. Zur Kernfrage der Entscheidung: Wiederum anknüpfend an zwei EuGH-Judikate aus dem Jahr 2023 geht der BFH davon aus, dass der Antragsteller nur ausnahmsweise den Anspruch hat, anstelle von Kopien über die verarbeiteten Daten Kopien von Dokumenten vom Datenverantwortlichen (Art. 4 Nr. 6 DSGVO) zu erhalten. Dies setzt aber voraus, dass es dem Antragsteller ohne dies verwehrt ist, wirksam seine DSGVO-Rechte auszuüben. Für den Antragsteller muss es demnach unerlässlich sein, Kenntnis vom gesamten Dokument (Dokumentensatz), auf oder in dem die personenbezogenen Daten enthalten sind, zu haben, damit er in die Lage versetzt wird, die Daten auf Richtigkeit zu überprüfen, deren Löschung zu verlangen, Widerspruch zu erheben oder Schadensersatz zu fordern (vgl. zu den einzelnen Rechten Art. 16 ff., Art. 77 ff. DSGVO). Der BFH hob hervor, dass für eine solche Unerlässlichkeit keine generelle Vermutung bestehe, da andernfalls das durch den EuGH aufgestellte Regel-Ausnahme-Verhältnis verkehrt würde (vgl. EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 - C-307/22 Rn. 72 und Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21 Rn. 32). Vielmehr sei der Antragsteller im Obligo, die Unerlässlichkeit der Übersendung von Dokumentenkopien darzulegen (Rn. 28 der Besprechungsentscheidung).
8. Einen Antragsexzess i.S.v. Art. 12 Abs. 5 Satz 2 DSGVO, der den Datenverantwortlichen aus Gründen des Rechtsmissbrauchs ausnahmsweise entpflichtet, Auskunft nach Art. 15 DSGVO zu erteilen (und Kopien zu übersenden), muss dagegen der Verantwortliche darlegen und nachvollziehbar begründen (Rn. 30 ff. der Besprechungsentscheidung).
9. Die Finanzbehörde kann den Anspruch auf Auskunftserteilung gemäß Art. 15 DSGVO nicht dadurch erfüllen, dass sie dem Antragsteller Einsicht in die für ihn geführten Steuerakten anbietet (und der Antragsteller dieses Angebot ausschlägt). Zwar ergibt sich aus § 32d Abs. 1 AO, dass die „Form“ der Auskunftserteilung im pflichtgemäßen Ermessen der Behörde steht. Allerdings darf sich die nationale Regelung insoweit nicht mit den Vorgaben der DSGVO (hier Art. 15 Abs. 3 Satz 1 und Satz 3 DSGVO) in Konflikt setzen (Rn. 36 f. der Besprechungsentscheidung).
10. Der (nicht selten von Datenverantwortlichen erhobene) Einwand, die Erfüllung des Anspruchs gemäß Art. 15 DSGVO sei mit unverhältnismäßigem Aufwand verbunden, wurde vom BFH nicht geprüft. Fest steht aber, dass der Verantwortliche diesen Einwand, wenn er überhaupt zu berücksichtigen ist, konkretisieren muss. Pauschales Vorbringen reicht hierzu nicht aus (Rn. 35 der Besprechungsentscheidung).
