Datenschutz im Steuerverwaltungsverfahren seit dem 25. Mai 2018

BMF, 13.1.2020, IV A 3 - S 0130/19/10017 :004

Neuregelungen durch die Datenschutz-Grundverordnung und Änderungen der AO durch das Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom 17. Juli 2017

1 Anlagen

Seit dem 25. Mai 2018 ist die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl L 119 vom 4. Mai 2016, S. 1; L 314 vom 22. November 2016, S. 72) – im Folgenden: DSGVO – unmittelbar geltendes Recht in allen Mitgliedstaaten der Europäischen Union. Ziel der DSGVO ist ein gleichwertiges Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung von Daten in allen Mitgliedstaaten.

Ihrem Charakter als Grundverordnung folgend, enthält die DSGVO konkrete, an die Mitgliedstaaten gerichtete Regelungsaufträge sowie mehrere Öffnungsklauseln für den nationalen Gesetzgeber. Durch das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU vom 30. Juni 2017 (BGBl 2017 I S. 2097) und das Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom 17. Juli 2017 (BGBl 2017 I S. 2541) wurden das Bundesdatenschutzgesetz (BDSG), das FVG und die AO mit Wirkung ab dem 25. Mai 2018 an die DSGVO angepasst.

Im Einvernehmen mit den obersten Finanzbehörden der Länder gilt bei Anwendung der DSGVO und der AO seit dem 25. Mai 2018 in allen offenen Fällen Folgendes:

I. Anwendungsbereich der DSGVO und der Datenschutzvorschriften der AO sowie der Steuergesetze

1. Unmittelbare Anwendung der DSGVO

[1]	Die DSGVO gilt in ihrem Anwendungsbereich (vgl. Art. 2 DSGVO) unmittelbar. Dies bedeutet, dass ihre Regelungen in den Mitgliedstaaten der EU verbindlich sind, ohne dass es einer nationalen Umsetzung bedarf. Sie gehen nationalen Rechtsvorschriften vor. Dies ergibt sich aus Art. 288 des Vertrages über die Arbeitsweise der Europäischen Union (AEUV). Darin heißt es: „Die Verordnung hat allgemeine Geltung. Sie ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.” Dies ist in § 2a Abs. 3 AO nochmals ausdrücklich als Hinweis aufgenommen worden (Anwendungsvorrang). Die Regelungen der DSGVO dürfen im nationalen Recht grundsätzlich nicht wiederholt werden (Wiederholungsverbot).
[2]	Die Regelungen der DSGVO sind auch im Verwaltungsverfahren in Steuersachen nach der AO unmittelbar anzuwenden. Sie gelten damit insbesondere für Bundesfinanzbehörden, soweit sie bundesgesetzlich geregelte Steuern verwalten (§ 1 Abs. 1 Satz 1 AO) oder den grenzüberschreitenden Warenverkehr überwachen (§ 2a Abs. 2 AO), Landesfinanzbehörden, soweit sie bundesgesetzlich geregelte Steuern verwalten (§ 1 Abs. 1 Satz 1 AO) und Gemeinden, soweit sie Realsteuern verwalten (§ 1 Abs. 2 Nr. 1 AO).
[3]	Zum Verwaltungsverfahren in Steuersachen nach der AO gehören insbesondere die Ermittlung der Steuerpflichtigen und der steuerrelevanten Sachverhalte (ggf. auch im Rahmen einer Außenprüfung, Lohnsteuer-Außenprüfung, Umsatzsteuer-Sonderprüfung, Lohnsteuer-Nachschau, Umsatzsteuer-Nachschau oder Kassen-Nachschau), die Festsetzung und Erhebung von Steuern, Steuervergütungen und steuerlichen Nebenleistungen einschließlich der Vollstreckung dieser Ansprüche, die Inanspruchnahme von Haftungsschuldnern sowie das außergerichtliche Rechtsbehelfsverfahren.
[4]	Die AO und die Steuergesetze enthalten ergänzende bereichsspezifische Regelungen zur Rechtmäßigkeit der Verarbeitung und Weiterverarbeitung personenbezogener Daten durch Finanzbehörden sowie andere öffentliche oder nicht-öffentliche Stellen (vgl. § 2a Abs. 1 Satz 1 AO). Außerdem enthält die AO Beschränkungen der Rechte der Betroffenen nach Kapitel III der DSGVO (siehe Rn. 29 ff.).
[5]	Die Regelungen des BDSG gelten für Finanzbehörden im Anwendungsbereich der AO nur, soweit dies in der AO ausdrücklich bestimmt ist (§ 2a Abs. 1 Satz 2 AO). Landesdatenschutzgesetze gelten im Anwendungsbereich der AO nicht.

2. Entsprechende Anwendung der DSGVO – § 2a Abs. 5 AO

[6]

Die DSGVO gilt unmittelbar nur für personenbezogene Daten lebender natürlicher Personen. § 2a Abs. 5 AO erweitert diesen Anwendungsbereich. Hiernach gelten die datenschutzrechtlichen Vorschriften der DSGVO, der AO und der Steuergesetze über die Verarbeitung personenbezogener Daten (lebender) natürlicher Personen des Weiteren entsprechend für Informationen, die sich auf identifizierte oder identifizierbare (vgl. Rn. 9) verstorbene natürliche Personen oder Körperschaften, rechtsfähige oder nicht rechtsfähige Personenvereinigungen oder Vermögensmassen beziehen. Soweit die AO (z. B. in § 30 Abs. 2 AO) oder dieses Schreiben die Begriffe „personenbezogene Daten” oder „betroffene Person” verwendet, gelten die jeweiligen Bestimmungen somit auch für Informationen entsprechend, die sich auf eine verstorbene natürliche Person oder auf eine Körperschaft, rechtsfähige oder nicht rechtsfähige Personenverei...