Schwarz/Pahlke, AO § 29c Verarbeitung personenbezogener ... / 3 Weiterverarbeitung sensibler Daten (Abs. 2)

Rz. 49

Wie bei der Befugnis zur Verarbeitung personenbezogener Daten^[1] wurde auch die Befugnis zur Weiterverarbeitung auf sensible Daten im Sinne des Art. 9 Abs. 1 DSGVO ausgeweitet. Fast wortgleich wird die entsprechende Regelung aus dem allgemeinen Datenschutzrecht^[2] übernommen. Da die Weiterverarbeitung dieser Daten für die betroffene Person einen besonders tiefen Eingriff in ihre geschützten Persönlichkeitsrechte darstellt, ist dies nur unter Beachtung zusätzlicher Anforderungen nach Art. 9 Abs. 2 DSGVO oder des § 29b Abs. 2 AO zulässig. Die zusätzlichen Voraussetzungen des Art. 9 Abs. 2 DSGVO oder des § 29b Abs. 2 AO müssen dabei – dem Wortlaut entsprechend – nur alternativ und nicht kumulativ vorliegen.^[3]

Der Gesetzgeber nimmt – wie schon bei § 29b AO^[4] – die Befugnis aus Art. 9 Abs. 2 Buchst. g) DSGVO in Anspruch.

Rz. 50

Sowohl Art. 9 Abs. 2 Buchst. g) DSGVO, als auch § 29b Abs. 2 S. 2 AO sehen für die Weiterverarbeitung sensibler Daten das Ergreifen angemessener spezifischer Maßnahmen zur Wahrung der Interessen der betroffenen Person vor. Im Hinblick auf den Schutz personenbezogener Daten nach § 30 AO und § 355 StGB soll nach Auffassung der Finanzverwaltung^[5] und Teilen der Literatur^[6] sowohl für sensible Daten, als auch für sonstige personenbezogene Daten das gleiche Datenschutzniveau zu wählen und entsprechende Maßnahmen zu treffen, mithin also im Schutzgrund nicht zu differenzieren sein.

Soweit im Besteuerungsverfahren nicht nach normalen und sensiblen Daten unterschieden werden kann, da dies im Rahmen der bestehenden Personalressourcen und IT-Verfahren nicht zu leisten wäre, erscheint diese Regelung aus praktischen Erwägungen nachvollziehbar. Ein insbesondere praktischer Vorteil dieser Gleichbehandlung ist, dass für alle Daten ein einheitliches Datenschutzniveau angelegt werden kann, da bereits für den Schutz normaler Daten wegen der Pflicht zur Wahrung des Steuergeheimnisses ein hohes und damit dem Schutz sensibler Daten genügendes Schutzniveau anzulegen ist. Dennoch wird man diese "Vereinfachungsregelung" m. E. kritisch sehen müssen. Dazu kann auf die Kritik zur praktischen Umsetzung der Voraussetzungen des § 29b Abs. 2 AO verwiesen werden.^[7]

[1] Vgl. § 29b Abs. 2 AO.

[2] Vgl. § 23 Abs. 2 BDSG.

[3] Wackerbeck, in HHSp, AO/FGO, § 29c AO Rz. 33; Drüen, in Tipke/Kruse, AO/FGO, § 29c AO Rz. 23; Baum, in eKommentar, § 29c AO Rz. 29; Mues, in Gosch, AO/FGO, § 29c AO Rz. 26; a. A. Tormöhlen, AO-StB 2019, 248, 249.

[4] Vgl. Kordt, in Schwarz/Pahlke/Keß, AO/FGO, § 29b AO Rz. 36.

[5] BMF v. 13.1.2020, IV A 3 – S 0130/19/10017 :004, BStBl I 2020, 143, geändert durch BMF v. 17.6.2021, IV A 3 – S 0130/19/10017 :004, BStBl I 2021, 809, Rz. 21, 27.

[6] Baum, eKommentar, § 29c AO Rz. 30.

[7] Kordt, in Schwarz/Pahlke/Keß, AO/FGO, § 29b AO Rz. 49ff.