Der Fall
Die Kläger streiten sich mit dem Finanzamt wegen verfassungsrechtlicher Bedenken gegen Säumniszuschläge. Im Zusammenhang mit Vollstreckungsmaßnahmen wegen der Nichtzahlung der Säumniszuschläge veranlasste das Finanzamt am 21. Januar 2020 eine Kontenabfrage beim Bundeszentralamt für Steuern (BZSt). Dagegen erhoben die Kläger Beschwerde beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) mit der Begründung, die Kontenabfrage verletze ihre Datenschutzrechte. Der BfDI wies die Beschwerde mit Bescheid vom 29. Juni 2021 ab. Der Kontenabruf stelle eine nach Art. 6 Abs. 1 Satz 1 lit. e, Abs. 2, 3 DS-GVO, § 29b Abs. 1 AO und § 85 AO zulässige Datenverarbeitung dar.
Die nachfolgend von den Klägern erhobene Klage, mit der sie die Aufhebung des Bescheids des BfDI begehrten, wurde vom Finanzgericht (FG) Köln mit Urteil vom 27. Oktober 2021 – 2 K 1415/21 – als unbegründet abgewiesen. Dieses war der Ansicht, dass eine inhaltliche Überprüfung der Beschwerdeentscheidung einer datenschutzrechtlichen Aufsichtsbehörde in der DS-GVO nicht vorgesehen sei. Bei dem Beschwerderecht nach Art. 77 Abs. 1 DS-GVO handele es sich um ein petitionsähnlich ausgestaltetes Recht, das nur eingeschränkter richterlicher Kontrolle unterliege. Gegen eine inhaltliche Prüfung der aufsichtsrechtlichen Entscheidung spreche insbesondere, dass dem Betroffenen neben seinem Beschwerderecht gegenüber der Aufsichtsbehörde regelmäßig auch die Möglichkeit eingeräumt sei, gegenüber dem Verantwortlichen selbst um Rechtsschutz nachzusuchen.
Gegen die Entscheidung des FG Köln legten die Kläger Revision ein.
Die Entscheidung
Der BFH hielt die Revision für begründet und verwies die Sache zur erneuten Verhandlung und Entscheidung an das FG Köln zurück. Dieses sei fehlerhaft davon ausgegangen, dass eine gerichtliche Überprüfung der Entscheidung der Aufsichtsbehörde nur in beschränktem Umfang stattfinde und insbesondere eine gerichtliche Überprüfung der inhaltlichen Richtigkeit der Entscheidung des BfDI ausscheide.
Gemäß Art. 78 Abs. 1 DS-GVO hat jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Der BFH hat nunmehr entschieden, dass Art. 78 DS-GVO eine vollumfängliche gerichtliche Überprüfung der Beschwerdeentscheidung der Aufsichtsbehörde erfordert.
Die Regelung gewährleiste ein hohes Schutzniveau der Rechte, die dem Einzelnen aus dem Unionsrecht erwachsen, anhand der nationalen Verfahrensvorschriften. Unter Berücksichtigung von Erwägungsgrund 141 der DS-GVO könne Art. 78 DS-GVO nicht dahingehend ausgelegt werden, dass die gerichtliche Überprüfung einer aufsichtsbehördlichen Beschwerdeentscheidung im Sinne eines Petitionsrechts darauf beschränkt sei, ob die Behörde sich mit der Beschwerde befasse, den Gegenstand der Beschwerde in angemessenem Umfang untersuche und den Beschwerdeführer über das Ergebnis der Prüfung in Kenntnis setze. Vielmehr müsse die aufsichtsbehördliche Beschwerdeentscheidung für einen „wirksamen“ gerichtlichen Rechtsbehelf einer vollständigen gerichtlichen Überprüfung unterliegen.
Im vorliegenden Fall hat daher das FG zu prüfen, ob der BfDI in dem angefochtenen Bescheid zu Recht zu dem Ergebnis gekommen ist, dass für das Finanzamt als Verantwortlichen im Sinne von § 2a Abs. 3 AO i. V. m. Art. 4 Nr. 7 DS-GVO der Kontenabruf erforderlich war und das Finanzamt zu diesem Zweck die personenbezogenen Daten der Kläger verarbeiten durfte.
Fazit
Das Datenschutzrecht wird auch im komplexen Steuer- und Steuerverfahrensrecht effektiv gewährt. Dies gilt sowohl für die Überprüfung der Maßnahmen des FA durch die datenschutzrechtlichen Aufsichtsbehörden als auch für die Überprüfung von deren Tätigkeit durch die Gerichte nach Maßgabe des jeweiligen nationalen Prozessrechts. Denn nur so kann der nach der DS-GVO geforderte „wirksame Rechtsbehelf“ gewährt werden. Die teilweise vertretenen Auffassung, es handele sich bei dem Beschwerderecht um ein bloßes Petitions- oder Befassungsrecht, das gerichtlich nur eingeschränkt überprüfbar sei, hatte der Europäische Gerichtshof bereits zuvor zurückgewiesen (EuGH, Urteil vom 12. Januar 2023 – C-132/21). Ein anderes Ergebnis hätte nicht nur die Schwächung des Datenschutzes natürlicher Personen zur Folge gehabt, sondern auch die europaweite Durchsetzbarkeit der Datenschutz-Grundverordnung erschwert.
