Steuerlicher Datenschutz – Was die Finanzbehörden dürfen

Die deutsche Finanzverwaltung verarbeitet in großem Umfang personenbezogene Daten. Daher muss auch das Besteuerungsverfahren auf das Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 vorbereitet werden. Sowohl der Gesetzgeber als auch das Bundesfinanz­ministerium haben reagiert und den steuerlichen Datenschutz angepasst.
 

Das steuerliche Datenschutzrecht fußt mit dem Inkrafttreten auf 2 Säulen: den obligatorischen Regelungen der DSGVO selbst sowie den durch das Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer vom 17. Juli 2017 angepassten Vorschriften der Abgabenordnung (AO). Hierzu hat das Bundesfinanzministerium mit einer Änderung des Anwendungserlasses der Abgabenordnung vom 12. Januar 2018 Anwendungs­­­richtlinien für die Finanzverwaltung erlassen. Alle Regelungen treten zum 25. Mai 2018 in Kraft. Das neugefasste Bundesdatenschutzgesetz (BDSG) gilt nur insoweit, als die AO ausdrücklich verweist. Ein anderes Bild ergibt sich, wenn nicht der Datenschutz durch die Finanzbehörden selbst betroffen ist: Hat z.B. der Arbeitgeber Daten im Rahmen des Lohnsteuerverfahrens zu übermitteln, sind die Regelungen des BDSG zu beachten. Ziel des neuen steuerlichen Datenschutzes ist es, den gegenwärtigen Zustand auch unter Geltung der DSGVO aufrecht erhalten zu können.

• Anwendungsbereich

• Rechtsgrundlage

• Steuergeheimnis

• Betroffenenrechte

• Datenschutzaufsicht und Rechtsweg

   

Anwendungsbereich

Der steuerliche Datenschutz wird einheitlich geregelt. Die AO gilt sowohl für Bundes- als auch Landesfinanzbehörden für die Verwaltung bundesgesetzlich geregelter Steuern – also alle wesentlichen Steuerarten. Die Landesdatenschutzgesetze kommen grundsätzlich nicht zur Anwendung. Der neue steuerliche Datenschutz erfasst nicht nur lebende natürliche Personen, sondern auch verstorbene sowie juristische Personen und sonstige Personenvereinigungen. Insoweit wird die DSGVO als entsprechend anwendbar erklärt.
 

Rechtsgrundlage

Für die Verarbeitung personenbezogener Daten benötigt die Finanzverwaltung künftig eine ausdrückliche Rechtsgrundlage, die mit § 29b AO-neu geschaffen wurde. Sie erfasst auch die Verarbeitung besonderer Kategorien personenbezogener Daten, also besonders sensibler Daten wie Gesundheitsdaten, die z.B. bei der Geltendmachung als außergewöhnliche Belastung anfallen. Die hierfür erforderlichen Garantien für die Wahrung der Rechte der Betroffenen werden insbesondere durch das weiterhin geltende Steuergeheimnis (§ 30 AO) erfüllt, dessen enger Rahmen die Daten vor einer unberechtigten Offenbarung und Verwertung schützt.
 

Um die bisherigen Arbeits- und Austauschwege der Finanzverwaltung zu sichern, wurde mit § 29c AO-neu die Weiterverarbeitung von Daten durch die Finanzverwaltung auch für Zwecke ermöglicht, für die sie ursprünglich nicht erhoben wurden. Ohne § 29c Abs. 1 Nr. 1 AO wäre z.B. unsicher, ob die mit der ESt-Erklärung erhobenen Daten auch für Zwecke der Umsatzsteuer verwendet werden dürften. Mit Nr. 4 wird die Grundlage für die Verwendung von Daten für die Entwicklung, Überprüfung und Änderung automatisierter Verfahren der Finanzbehörden geschaffen. Nr. 5 erlaubt die Weiterverarbeitung für Aufsichts-, Steuerungs- und Disziplinarbefugnisse oder für Ausbildungs- und Prüfungszwecke. Die Verarbeitung von rechtmäßig erhobenen Daten aus dem Steuerverfahren für im öffentlichen Interesse liegende statistische Auswertungen ist bereits nach der DSGVO zulässig. Für besondere Kategorien personenbezogener Daten wird in § 31c AO-neu dafür die erforderliche Gesetzesgrundlage geschaffen und die flankierenden Anforderungen werden geregelt.
 

Steuergeheimnis

Die bisherigen Offenbarungstatbestände werden durch weitere Fälle ergänzt. Ohne § 30 Abs. 4 Nr. 1a AO-neu würde ein Finanzbeamter, der Daten eines Steuerpflichtigen an eine vorgesetzte Behörde z.B. zum Zweck der Einholung der Zustimmung für eine Steuerstundung übermittelt, gegen das Steuergeheimnis verstoßen. Dasselbe gilt für die Datenherausgabe für Programmentwicklungen (Nr. 2c) oder die Offenbarung von Daten an die zuständige  atenschutz-Aufsichtsbehörde (Nr. 1b). Allerdings wird die Offenbarung zu Statistikzwecken über § 31c AO-neu hinausgehend eingeschränkt auf die gesetzlichen Aufgaben des Statistischen Bundesamts; für Studien der Wirtschaftsforschungsinstitute bspw. bleiben personenbezogene Steuerdaten weiterhin tabu.

Betroffenenrechte

§ 32a AO-neu modifiziert die durch die DSGVO vorgegebenen Informationspflichten der Finanzverwaltung bei der Weiterverarbeitung von Daten zu einem anderen Zweck. Keine Information erfolgt z.B., wenn sie die Verschleierung steuerlicher Sachverhalte ermöglichen oder geplante Prüfungsmaßnahmen offenbaren würde. Die Auskunftsrechte über gespeicherte und verarbeitete personenbezogene Daten werden in § 32c AO-neu eingeschränkt. Versagungsgründe beziehen sich insbesondere auf einen unverhältnismäßigen Aufwand für die Finanzbehörden. Das wird flankiert durch die Möglichkeit des Betroffenen, eine Prüfung durch die zuständige Aufsichtsbehörde einzuleiten (§ 32a Abs. 4 AO-neu).
 
Modifikationen erfahren auch die Rechte auf Berichtigung sowie Löschung in § 32f AO-neu. Es besteht z.B. kein Löschungsanspruch mehr, wenn bestrittene Daten einem bereits bestandskräftigen Steuerbescheid zugrunde liegen. Es ist jedoch eine entsprechende Dokumentation und ein Hinweis bei der Weiterverarbeitung vorgesehen.

Datenschutzaufsicht und Rechtsweg

Finanzämter müssen auch wegen des steuerlichen Datenschutzes einen Datenschutzbeauftragten bestellen. Die Kontaktdaten sind zu veröffentlichen. Die Datenschutzaufsicht über die Finanzbehörden obliegt dem „Bundesbeauftragten für den Datenschutz und Informationsfreiheit” (BfDI). Dessen Maßnahmen zum Datenschutz sind jedoch nicht sofort vollziehbar, ihre Wirksamkeit kann durch eine Klage der Finanzbehörde aufgeschoben werden bis die Rechtslage abschließend gerichtlich geklärt ist. Für alle Streitigkeiten, sowohl zwischen betroffenen Personen und den Finanzbehörden als auch zwischen ihnen und dem BfDI ist der Finanzrechtsweg eröffnet, ohne dass es der Durchführung eines Vorverfahrens bedarf (§ 32i AO neu).
 
Die Finanzverwaltung hat ein Allgemeines Informationsschreiben zur Umsetzung der datenschutzrechtlichen Vorgaben der Artikel 12 bis 14 der Datenschutz-Grundverordnung in der Steuerverwaltung herausgegeben (BMF-Schreiben vom 1. Mai 2018). Es unterrichtet Unternehmen und Privatpersonen über den Datenschutz im Besteuerungsverfahren.