Schwarz/Pahlke/Keß, AO § 32a Informationspflicht der Finanzbehörde bei Erhebung personenbezogener Daten bei betroffenen Personen

1 Allgemeines

Rz. 1

§ 32a AO eröffnet das sechste Kapitel "Rechte der betroffenen Person", das bereichsspezifische Beschränkungen der Betroffenenrechte gem. Art. 12–22 DSGVO beinhaltet und Ausnahmen von den Informationspflichten bei der Erhebung von personenbezogenen Daten regelt. § 32a AO ist damit Ausfluss der Informationspflichten des Verantwortlichen nach der EU-Datenschutzgrundverordnung (DSGVO)^[1] und trat zeitgleich mit dieser am 25.5.2018 in Kraft.

§ 32a Abs. 1 AO beinhaltet Ausnahmen von der Informationspflicht nur von der in Art. 13 Abs. 3 DSGVO geregelten Fallgruppe einer beabsichtigten Zweckänderung bzw. Weiterverarbeitung von personenbezogenen Daten durch die verantwortliche Finanzbehörde. Die weiteren Informationspflichten aus Art. 13 Abs. 1 und 2 DSGVO, die bei der Datenerhebung zu erfüllen sind, werden demgegenüber nicht beschränkt.

Der verantwortlichen Finanzbehörde werden jedoch als Kompensation nach Abs. 3 Schutz- und Dokumentationspflichten auferlegt. Bestand der Hindernisgrund für das Unterlassen der Information in den Fällen des Abs. 1 nur vorübergehend, bestimmt Abs. 4 zudem eine Pflicht zur Nachholung der Information i. S. d. Art. 13 Abs. 3 DSGVO.

Rz. 2

Die DSGVO beinhaltet Informationspflichten des Verantwortlichen gegenüber der betroffenen Person in Abhängigkeit davon, ob personenbezogene Daten bei der betroffenen Person^[2] oder bei Dritten^[3] erhoben werden. Im Fall der Erhebung bei der betroffenen Person richtet sich die Informationspflicht nach Art. 13 DSGVO, andernfalls nach Art. 14 DSGVO. Gemäß Erwägungsgründen (ErwG) 50 und 61 der DSGVO geht die DSGVO davon aus, dass die Verarbeitung personenbezogener Daten nur zweckgebunden erfolgen kann. Beabsichtigt der Datenverarbeiter, die personenbezogenen Daten für einen anderen Zweck zu verarbeiten, als für den die Daten ursprünglich erhoben worden sind (Zweckänderung), besteht grundsätzlich eine erneute Pflicht zur Information der betroffenen Person. Eine solche Zweckänderung ist anzunehmen, wenn personenbezogene Daten eines Stpfl. für die Festsetzung oder Erhebung einer anderen Steuer verarbeitet werden sollen, als für die sie erhoben worden sind. Art. 13 Abs. 4 DSGVO schränkt diese Pflicht ein, soweit die betroffene Person bereits über die zu erteilenden Informationen verfügt.

§ 32a Abs. 1 AO betrifft die Informationspflicht nach Art. 13 DSGVO für den Fall, dass personenbezogene Daten bei der betroffenen Person selbst zu dieser erhoben werden (Direkterhebung) oder beabsichtigt ist, diese weiterzuverarbeiten. In diesem Fall obliegen der verantwortlichen Finanzbehörde proaktive Informationspflichten gegenüber der steuerpflichtigen Person.

Rz. 3

Nach ErwG 39 der DSGVO soll sichergestellt werden, dass hinsichtlich der Verarbeitung personenbezogener Daten für natürliche Personen Transparenz gegeben ist, dass sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden sollen. Die Informationspflichten gem. Art. 13 DSGVO sollen demgemäß gewährleisten, dass die betroffene Person bereits zum Zeitpunkt der Datenerhebung über deren Zweck sowie über den weiteren Verarbeitungsvorgang unterrichtet wird und damit ihm gegenüber eine transparente Datenverarbeitung sichergestellt wird. Die Informationspflichten bilden damit zugleich die Grundlage für die Ausübung der Betroffenenrechte.^[4] Denn nur wenn die betroffene Person auf einer ersten Stufe weiß, dass personenbezogene Daten über sie verarbeitet werden, kann sie darauf aufbauend ihre Datenschutzrechte^[5] auch ausüben. Demgemäß hat die verantwortliche Finanzbehörde der betroffenen Person nach Art. 13 DSGVO spätestens im Zeitpunkt der Erhebung dieser Daten von Amts wegen bestimmte Informationen zur Verfügung zu stellen.

Rz. 4

Bei den mitzuteilenden Informationen wird zwischen den Informationen unterschieden, die der betroffenen Person mitzuteilen sind^[6] und solchen, die zur Verfügung zu stellen sind, um eine faire und transparente Verarbeitung der personenbezogenen Daten zu gewährleisten.^[7] Zu den nach Art. 13 Abs. 1 DSGVO mitzuteilenden Informationen gehören insbesondere:

• der Name und die Kontaktdaten der verantwortlichen Finanzbehörde;
• ggf. die Kontaktdaten des Datenschutzbeauftragten;
• die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
• ggf. die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;
• ggf. die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gem. Art. 46 oder Art. 47 oder Art. 49 Abs. 1 Unterabs. 2 DSGVO einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist oder wo sie verfügbar sind.

Rz. 5

Zusätzlic...