Aktuelles zum datenschutzrechtlichen Auskunftsanspruch

Artikel als PDF (Download)

 

Einleitung

Der in Artikel 15 der Datenschutz-Grundverordnung (DSGVO) normierte datenschutzrechtliche Auskunfts­anspruch ist schon lange ein zentrales Thema in der höchstrichterlichen Rechtsprechung. Immer wieder müssen Gerichte klären, wie dieser Anspruch konkret umzusetzen ist und welche Informationen Betroffenen zustehen. So haben sich in der Vergangenheit nicht nur bereits der Europäische Gerichtshof, das Bundesverfassungsgericht, das Bundesarbeitsgericht, der Bundesgerichtshof, das Bundesverwaltungsgericht, das Bundessozialgericht, sondern auch der Bundesfinanzhof (BFH) mit Rechtsfragen im Zusammenhang mit diesem Anspruch beschäftigt. Spätestens seit der Ankündigung des Europäischen Datenschutzausschusses (EDSA) allerdings, dass sich die im Jahr 2024 gestartete dritte koordinierte Durchsetzungsmaßnahme der nationalen Datenschutzbehörden auf das Auskunftsrecht konzentrieren werde, ist dieses endgültig in den Fokus gerückt. In einer koordinierten Aktion priorisiert der EDSA ein bestimmtes Thema, an dem die Datenschutzbehörden auf nationaler Ebene arbeiten sollen. Die Ergebnisse dieser nationalen Aktionen werden dann gebündelt und analysiert, wodurch tiefere Einblicke in das Thema gewonnen und gezielte Folgemaßnahmen ­sowohl auf nationaler als auch auf EU-Ebene ermöglicht werden (siehe hier).

Nun hat sich der BFH in seinem Urteil vom 12.03.2024 (Az. IX R 35/21) erneut mit dem Auskunftsanspruch auseinandergesetzt und dessen Voraussetzungen sowie Reich­weite weiter konkretisiert. Wir fassen die Entscheidung für Sie zusammen.

Hintergrund zum datenschutzrechtlichen Auskunftsanspruch

Das Recht auf Auskunft gemäß Art. 15 DSGVO ist Ausfluss des Datenschutzgrundsatzes der Transparenz und Kernbestandteil der Betroffenenrechte. Betroffene sollen jederzeit Kontrolle über ihre eigenen Daten haben und zu diesem Zweck die Möglichkeit besitzen, einen Überblick darüber zu erlangen, was mit ihren personenbezogenen Daten geschieht.

Dazu können sie nach Art. 15 Abs. 1 DSGVO detaillierte Informationen darüber anfordern, welche Daten über sie verarbeitet werden, zu welchem Zweck und für welchen Zeitraum dies geschieht. Darüber hinaus müssen Verantwortliche Auskunft über die Empfänger der Daten und die Herkunft der Informationen geben, wenn diese nicht direkt bei den Betroffenen erhoben wurden. Die Betroffenen haben so die Möglichkeit, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen und gegebenenfalls ihre weiteren Rechte wie Berichtigung oder Löschung geltend zu machen. Art. 15 Abs. 3 DSGVO sieht ferner vor, dass der Verantwortliche dem Betroffenen eine ­Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung stellen muss.

Entscheidung des Bundesfinanzhofs

Der BFH hatte zu entscheiden, inwiefern aus Art. 15 ­DSGVO ein Anspruch auf Zurverfügungstellung von (elektronischen) Kopien von Steuerakten mit personenbezogenen Daten besteht.

Sachverhalt

Der Kläger beantragte im Zusammenhang mit einem Klageverfahren vor dem Finanzgericht Berlin-Brandenburg wegen der Festsetzung von Gewerbesteuermessbeträgen gegenüber dem beklagten Finanzamt die elektronische Zurverfügungstellung von verschiedenen Verwaltungsvorgängen, darunter Verwaltungsakten, ­Betriebsprüfungsakten, Rechtsbehelfsakten und ­etwaige Handakten. Hilfsweise begehrte er die Überlassung von Kopien personenbezogener Daten, die Gegenstand der Verarbeitung der Gewerbesteuermessbescheide sind. Das Finanzamt lehnte dieses Begehren ab, seine hier­gegen erhobene Klage blieb ohne Erfolg.

In der Revision führte der Kläger an, aus Art. 15 Abs. 3 DSGVO erwachse ein eigenständiger Anspruch auf Zurverfügungstellung von Kopien der Verwaltungsakten des Finanzamts, soweit darin personenbezogene Daten enthalten seien. Das Begehren auf Zurverfügungstellung der Kopien sei auch nicht exzessiv. Nach Ansicht des beklagten Finanzamts stand dem Auskunftsbegehren ent­gegen, dass dessen Erfüllung mit einem unverhältnismäßigen Aufwand verbunden sei. Außerdem könne – ­anstatt ­Kopien zur Verfügung zu stellen – Akteneinsicht gewährt werden.

Entscheidungsgründe

In seinen Entscheidungsgründen hatte sich der BFH mit verschiedenen Rechtsfragen zu beschäftigen:

• Klageart: Welche Klageart statthaft wäre (Verpflichtungsklage nach § 40 Abs. 1 Variante 2 FGO – all­gemeine Leistungsklage nach § 40 Abs. 1 Variante 3 FGO oder allgemeine Leistungsklage, kombiniert mit einer Anfechtungs- beziehungsweise Verpflichtungsklage gegen die Ablehnung des Begehrens –, lässt der BFH dahinstehen. Denn im konkreten Fall seien die Voraussetzungen für alle Klagearten erfüllt.
• DSGVO anwendbar: Der BFH stellt sodann fest, dass die Verarbeitung personenbezogener Daten durch die Finanzverwaltung unter den Anwendungsbereich der DSGVO falle. Dabei sei es unerheblich, ob die Daten in Papierform oder elektronisch geführt würden. Entscheidend sei es für Art. 2 Abs. 1 Fall 1 DSGVO, dass die Daten teilweise automatisiert verarbeitet würden oder in einem Dateisystem gespeichert seien. Auch der Ausnahmetatbestand von Art. 2 Abs. 2 lit. a DSGVO schließe die Anwendung der DSGVO auf die Steuer­verwaltung nicht aus – die eng auszulegende Aus­nahme gelte nur für Tätigkeiten, die die staatliche ­Integrität sicherstellen sollen (z.B. nationale Sicherheit). Dazu ­gehöre das Besteuerungsverfahren nicht.
• Kein eigenständiger Anspruch auf Dokumente: Der BFH führt weiter aus, dass Art. 15 Abs. 3 Satz 1 ­DSGVO keinen eigenständigen Anspruch auf die Zurverfügungstellung von Dokumenten mit personenbezogenen Daten begründe. Vielmehr umfasse der Anspruch lediglich die Bereitstellung einer Kopie der personenbezogenen Daten, die verarbeitet werden.
• Unerlässlichkeit der Kopie: Der BFH betont, dass eine Kopie der Dokumente nur dann herauszugeben sei, wenn dies unerlässlich sei, um die Rechte der betroffenen Person nach der DSGVO wirksam auszuüben. Der Kläger müsse darlegen, dass die bloße Mitteilung der personenbezogenen Daten und die Informationen nach Art. 15 Abs. 1 DSGVO nicht ausreichten. Nur wenn danach
  „die Zurverfügungstellung einer Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte zu ermöglichen, (…) besteht nach Art. 15 Abs. 3 Satz 1 DSGVO ein Anspruch darauf, eine Kopie von Auszügen aus ­Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zu ­erhalten“.
  Dies treffe insbesondere auf Daten zu, die das Finanzamt selbst aus anderen Daten – oder der Tatsache, dass diese fehlen – generiert habe. Eine Vermutung für die Erforderlichkeit einer Kopie besteht nicht.
• Exzessive Anträge: Der BFH stellt klar, dass der Verantwortliche nach Art. 12 Abs. 5 DSGVO den Nachweis erbringen müsse, wenn er einen Antrag als ­exzessiv oder offenkundig unbegründet ablehne. ­Insoweit verweist der BFH darauf, dass der betreffende Antrag ­beliebig und auch pauschal begründet werden könne und ­damit ebenso mit anderen als den in ­Erwägungsgrund 63 Satz 1 DSGVO genannten Zwecken. Das ­Finanzamt habe im vorliegenden Fall nicht ausreichend darlegen können, dass der Antrag des Klägers exzessiv war. Hätte ein Exzess vorgelegen, hätte das Finanzamt aber gar nicht tätig werden müssen – also insbesondere die Bearbeitung weder von einem Entgelt abhängig machen müssen noch den Antrag auf ein ­zulässiges Maß reduzieren.
• Keine Akteneinsicht als Ersatz: Der BFH entschied, dass das Finanzamt dem Kläger nicht einfach Akteneinsicht nach § 32d Abs. 1 AO gewähren könne, um seinen Auskunftsanspruch zu erfüllen. Nach Art. 15 Abs. 3 DSGVO habe der Kläger einen Anspruch auf eine (elektronische) Kopie der personenbezogenen ­Daten.

Praxishinweise

Die Entscheidung des BFH verdeutlicht die weitreichende Anwendbarkeit der DSGVO auch im Bereich der Steuer­verwaltung, betont jedoch die Notwendigkeit präziser Begründungen für Auskunftsersuchen, die auf eine Kopie von Akten abzielen. Im Ergebnis stärkt die Entscheidung die Rechte der Steuerpflichtigen und stellt klar, dass auch im Bereich der Steuerverwaltung ein hohes Maß an Datenschutz gewährleistet sein muss.

Hinweis für Betroffene: Zwar genügt es beim Auskunftsersuchen selbst, den Antrag pauschal zu ­begründen, da die Anforderungen an die Darlegung eines berechtigten Interesses gering sind und bei ­wenigen Angaben das Risiko minimiert wird, dass das Auskunftsersuchen als exzessiv abgelehnt wird. Eine sorgfältige Begründung ist jedoch dann erforderlich, wenn es um die Notwendigkeit der Kopie der gesamten Dokumente geht. Hier muss klar dargelegt werden, warum die Mitteilung der personenbezogenen Daten und die Informationen nach Art. 15 Abs. 1 DSGVO nicht ausreichen. Im Regelfall wird eine Kopie nicht verlangt werden können.

Hinweis für Unternehmen: In der Praxis ist ferner zu beachten, dass es neben Art. 15 DSGVO auch (branchenspezifische) weitergehende Informationsrechte geben kann. Angesichts der laufenden Entwicklungen im Datenschutzrecht sollte die Rechtslage regel­mäßig überprüft werden. Dies betrifft insbesondere die ­geplante Anpassung von § 630g BGB, die einen Anspruch auf eine kostenfreie vollständige Kopie der Patientenakte vorsieht.

Prozessuales: Zwar hat der BFH klargestellt, dass die Wahl der richtigen Klageart flexibel gehandhabt ­werden kann, solange die Voraussetzungen für die jeweiligen Klagearten erfüllt sind. In der Praxis sollte jedoch die jeweils passende Klageart sorgfältig geprüft und strategisch gewählt werden, um die besten Erfolgsaussichten zu gewährleisten.