BFH: Finanzamt muss gegenüber Steuerpflichtigem Auskunft nach Art. 15 DSGVO erteilen, aber…

einen Anspruch auf eine Kopie von Dokumenten nach Art 15 III DSGVO besteht grundsätzlich jur in dem Ausnahmefall, dass damit die Durchsetzung von Rechten aus der DSGVO verbunden sei. Dann könnten auch Akten oder Dokumente in Kopie bzw. elektronischer Form als Auskunftserteilung erfolgen. So das Gericht in seinen ersten, grundsätzliche Rechtsfragen des Auskunftsanspruchs nach Art. 15 DSGVO klärenden, Urteil vom 12. März 2024 (Az.: IX R 35/21).

Der Anspruch, so das Gericht, gilt der Anspruch unabhängig von der konkreten Form der Aktenführung durch das Finanzamt. Das Gericht führt dazu in den Entscheidungsgründen unter anderem aus:

„..Der Anwendung der Datenschutz-Grundverordnung steht nicht entgegen, dass personenbezogene Daten in Akten enthalten sind, die von der Finanzverwaltung (noch) in Papierform geführt werden.

Eine teilweise automatisierte Verarbeitung liegt vor, wenn die personenbezogenen Daten teilweise manuell und teilweise automatisiert verarbeitet werden. Der Schutz der personenbezogenen Daten soll nach Erwägungsgrund 15 Satz 1 DSGVO technologieneutral erfolgen. Insbesondere soll der Schutz nach Erwägungsgrund 15 Satz 2 DSGVO auch für die manuelle Verarbeitung personenbezogener Daten gelten. Dem entsprechend hat der Gerichtshof der Europäischen Union (EuGH) zur Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Amtsblatt der Europäischen Gemeinschaften L 281 vom 23.11.1995, S. 31 ‑‑Datenschutz-Richtlinie oder Datenschutz-RL‑‑) entschieden, dass diese genauso für die automatisierte wie für die manuelle Verarbeitung personenbezogener Daten gilt, damit der Schutz, den sie den von der Datenverarbeitung betroffenen Personen verleiht, nicht von den verwendeten Techniken abhängt und keine Risiken der Umgehung dieses Schutzes entstehen (EuGH-Urteil Jehovan todistajat vom 10.07.2018 – C-25/17, EU:C:2018:551, Rz 53). Zwar wurde die Datenschutz-Richtlinie durch die Datenschutz-Grundverordnung abgelöst. Da Art. 2 Abs. 1 DSGVO jedoch Art. 3 Abs. 1 Datenschutz-RL bis auf den Bezug auf die Datenschutz-Grundverordnung beziehungsweise auf die Datenschutz-Richtlinie wortgleich entspricht, gelten die vom EuGH bereits aufgestellten Rechtsgrundsätze fort (vgl. EuGH-Urteil Latvijas Republikas Saeima (Points de pénalité) vom 22.06.2021 – C-439/19, EU:C:2021:504, Rz 64 ff.). Lediglich bei einer rein manuellen Datenverarbeitung ist es für die Eröffnung des Schutzbereichs der Datenschutz-Grundverordnung nach Art. 2 Abs. 1 DSGVO erforderlich, dass die personenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Unter einem Dateisystem ist nach Art. 4 Nr. 6 DSGVO jede strukturierte Sammlung personenbezogener Daten zu verstehen, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird. Zwar ist nicht näher konkretisiert, nach welchen Kriterien die Datei strukturiert sein muss. Nach der zu Art. 3 Abs. 1 Datenschutz-RL ergangenen und auf die hier streitige Rechtslage übertragbaren Rechtsprechung ist damit jedoch nur gemeint, dass die Daten über eine bestimmte Person leicht wiederauffindbar sein müssen (EuGH-Urteil Jehovan todistajat vom 10.07.2018 – C-25/17, EU:C:2018:551, Rz 57). Lediglich Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, fallen nach Erwägungsgrund 15 Satz 3 DSGVO nicht in den Anwendungsbereich der Datenschutz-Grundverordnung…“

Zu dem nur im Ausnahmefall bestehenden Anspruch auf Kopie von Dokumenten nach Art. 15 III DSGVO führt das Gericht in den Entscheidungsgründen unter anderem aus:

„..Nur wenn die Zurverfügungstellung einer Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind, besteht nach Art. 15 Abs. 3 Satz 1 DSGVO ein Anspruch darauf, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zu erhalten (vgl. EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 75 und Österreichische Datenschutzbehörde vom 04.05.2023 – C-487/21, EU:C:2023:369, Rz 41 und Rz 45). Anders als der Kläger meint, besteht hierfür jedoch keine generelle Vermutung. Vielmehr obliegt es der betroffenen Person, darzulegen, dass die Kopie der personenbezogenen Daten sowie die Mitteilung der Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO für die Wahrnehmung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte nicht genügt. Begehrt die betroffene Person die Zurverfügungstellung von Kopien von Dokumenten mit ihren personenbezogenen Daten, ist es vielmehr an ihr zu benennen, welche ihr durch die Datenschutz-Grundverordnung verliehenen Rechte sie auszuüben gedenkt und darzulegen, aus welchen Gründen die Zurverfügungstellung von Kopien von Akten mit personenbezogenen Daten hierfür unerlässlich ist. Andernfalls liefe das durch den EuGH aufgestellte Regel-Ausnahme-Prinzip ins Leere. Denn nach der Rechtsprechung des EuGH ist der Anspruch nach Art. 15 Abs. 1 und Abs. 3 DSGVO grundsätzlich auf die Zurverfügungstellung einer Kopie der verarbeiteten personenbezogenen Daten der betroffenen Person gerichtet (EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 72 und Österreichische Datenschutzbehörde vom 04.05.2023 – C-487/21, EU:C:2023:369, Rz 32). Wenn dies für die Wahrnehmung der Rechte aus der Datenschutz-Grundverordnung nicht genügt, kann ausnahmsweise ein Anspruch auf eine (auszugsweise) Kopie der Quelle, in der die personenbezogenen Daten verarbeitet sind, bestehen (vgl. EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 75 und Österreichische Datenschutzbehörde vom 04.05.2023 – C-487/21, EU:C:2023:369, Rz 41 und Rz 45). Einer entsprechenden Vermutung der Unerlässlichkeit bedarf es im Übrigen auch nicht, um einen effektiven Datenschutz zu gewährleisten. Regelmäßig genügt es für die Wahrnehmung der durch die Datenschutz-Grundverordnung verliehenen Rechte, wenn die betroffene Person Kenntnis von den über sie verarbeiteten personenbezogenen Daten erlangt und ihr die Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO mitgeteilt werden. Insbesondere durch die Mitteilung, welche personenbezogenen Daten verarbeitet werden und zu welchem Zweck diese Verarbeitung erfolgt, ist die betroffene Person bereits regelmäßig in der Lage, die Richtigkeit der personenbezogenen Daten und die Rechtmäßigkeit deren Verarbeitung zu überprüfen…“