Schwarz/Pahlke, AO § 29b Verarbeitung personenbezogener ... / 4.2 Folgen

Rz. 56

Die datenschutzrechtliche Bewertung geht nicht mit der steuerrechtlichen Bewertung der Behördenentscheidung einher und beeinflusst diese auch nicht. Dies hat zur Folge, dass eine in datenschutzrechtlicher Hinsicht unzulässige Datenverarbeitung nicht zwingend die Rechtswidrigkeit der Behördenentscheidung und deren Aufhebbarkeit zur Folge haben muss. Mit anderen Worten führt eine aus datenschutzrechtlicher Sicht rechtswidrige Datenverarbeitung nicht zwingend, sondern eher nur im Ausnahmefall zu einem Verwertungsverbot im Rahmen des Besteuerungsverfahrens.^[1] Daher erfolgt die rechtliche Überprüfung in unterschiedlichen Verfahren mit jeweils unterschiedlichen in Betracht kommenden Rechtsfolgen, wobei im Folgenden nur die Maßnahmen zur datenschutzrechtlichen Überprüfung dargestellt werden sollen:

• Geltendmachung der Betroffenenrechte gegenüber dem Verantwortlichen^[2],
• Meldung einer Datenpanne durch den Verantwortlichen^[3],
• Meldung an den Datenschutzbeauftragten beim Verantwortlichen^[4],
• Beschwerde zur Aufsichtsbehörde^[5],
• Klage gegen den Verantwortlichen vor dem FG bei Streitigkeit hinsichtlich der Rechtmäßigkeit der Datenverarbeitung auf Wahrung der Vorgabe der DSGVO^[6],
• Geltendmachung eines Schadensersatzanspruchs, falls der datenschutzrechtliche Verstoß zu einem materiellen oder immateriellen Schaden beim Betroffenen geführt hat.^[7] Dieser tritt neben den nationalen Amtshaftungsanspruch aus § 839 BGB i. V. m. Art. 34 GG.^[8]

Die Verhängung einer Geldbuße nach Art. 83 DSGVO ist gegenüber dem Verantwortlichen nicht vorgesehen, da der nationale Gesetzgeber von dem durch Art. 84 DSGVO vorgesehenen Gestaltungsspielraum in der Weise Gebrauch gemacht hat, dass er die Verhängung von Geldbußen gegen Behörden ausgeschlossen hat.^[9]

[1] So auch Klein/Maetz, AO, 17. Aufl. 2023, § 29b Rz. 39.

[2] Art. 16 DSGVO: Recht auf Berichtigung, Art. 17 DSGVO: Recht auf Löschung in den Grenzen des § 32f AO; Art. 18 DSGVO: Recht auf Einschränkung der Verarbeitung.

[3] Art. 33 Abs. 1 DSGVO.

[4] Art. 38 Abs. 4 DSGVO.

[5] Art. 57 Abs. 1 Buchst. f) DSGVO – für bundesgesetzlich geregelte Steuerarten ist dies nach § 32h Abs. 1 AO der oder die Bundesbeauftragte für Datenschutz und Informationsfreiheit, für landesgesetzlich geregelte Steuerarten sind dies die Landesdatenschutzbeauftragten.

[6] § 32i Abs. 1 und 2 AO.

[7] Art. 82 DSGVO mit Exkulpationsmöglichkeit für den Verantwortlichen nach Art. 82 Abs. 3 DSGVO.

[8] Drüen, in Tipke/Kruse, AO/FGO, § 29b AO Rz. 20 m. w. N.; Koenig/Pätz, AO, 5. Aufl. 2024, § 29b Rz. 79.

[9] Vgl. § 43 Abs. 3 BDSG.