4.8          Steuerverwaltung

4.8.1       Änderung der datenschutzrechtlichen Aufsicht über Finanzbehörden

Die Änderung der Abgabenordnung (AO) durch Artikel 6 des Gesetzes vom 18. Juli 2017 (BGBl. I S. 2745) hat zu einer Neuregelung der datenschutzrechtlichen Aufsicht über die Finanzbehörden geführt. Gemäß § 32h Abs. 1 AO obliegt die diesbezügliche aufsichtsrechtliche Zuständigkeit nunmehr dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), sofern die Verarbeitung personenbezogener Daten im Anwendungsbereich der Abgabenordnung erfolgt.

Neben den Steuern oder Steuervergütungen, die durch Bundesrecht oder Recht der Europäischen Union geregelt sind (und sofern diese durch Bundesfinanzbehörden oder durch Landesfinanzbehörden verarbeitet werden), gilt die Zuständigkeit des BfDI auch für die Datenverarbeitung zur Erhebung von Realsteuern (Grundsteuer, Gewerbesteuer), soweit ihre Verwaltung den Gemeinden übertragen worden ist (§ 1 Abs. 2 Nr. 1 AO).

Bei der Landesbeauftragten für Datenschutz Schleswig-Holstein verbleibt jedoch die aufsichtsrechtliche Zuständigkeit über die Finanzbehörden des Landes, sofern diese personenbezogene Daten verarbeiten

  • zur Erhebung landesrechtlicher oder kommunaler Steuergesetze (z. B. Hundesteuersatzung, Kurabgabesatzung, Zweitwohnungssteuersatzung usw.) oder
  • über die eigenen Beschäftigten der Steuerverwaltung in anderen als den Bundesbehörden (Personaldatenschutz).

Datenschutzprüfungen bei den Finanzbehörden in Schleswig-Holstein können von BfDI und ULD in ihren jeweiligen Zuständigkeitsbereichen getrennt oder zusammen vorgenommen werden.


Was ist zu tun?
Beschwerden über die Verarbeitung personenbezogener Daten durch Finanzbehörden im Anwendungsbereich der Abgabenordnung (z. B. im Zusammenhang mit der Abgabe der Einkommensteuererklärung) müssen an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit gerichtet werden.

 

4.8.2       Überarbeitungsbedarf kommunaler Abgabensatzungen

Ein Überarbeitungsbedarf kommunaler Satzungen besteht bereits vor dem Hintergrund, dass seit dem 25. Mai 2018 infolge der direkten Geltung der DSGVO und der Neufassung des LDSG eine Vielzahl der in den datenschutzrechtlichen Klauseln zitierten Normen des LDSG-alt nicht mehr zur korrekten Fundstelle führen wird.

Darüber hinaus fällt bei der Prüfung datenschutzrechtlicher Regelungen in kommunalen Abgabensatzungen immer wieder auf, dass die Klauseln zur Verarbeitung personenbezogener Daten oft zu unbestimmt formuliert sind. Nicht selten werden Klauseln aus teils veralteten Mustersatzungen übernommen, ohne dass diese auf die konkrete, in der Gemeinde geplante Datenverarbeitung angepasst werden. Teilweise ist dann der Zweck der Verarbeitung nicht klar genug bestimmt. Auch ist oft der Umfang der Verarbeitungstätigkeit zu allgemein beschrieben und damit zu weit gefasst. Viele Satzungen enthalten lediglich eine Vielzahl von Erhebungsbefugnissen, jedoch keine klaren Löschfristen. Die Grundsätze des Art. 5 Abs. 1 DSGVO werden auf diese Weise nicht gewahrt.

Sollen für die Erhebung kommunaler Abgaben besondere Kategorien personenbezogener Daten verarbeitet werden, sind außerdem die Vorgaben des Artikels 9 DSGVO und des § 12 LDSG zu beachten. Danach ist die Verarbeitung dieser Daten grundsätzlich untersagt, sofern sie nicht auf Grundlage des Rechts eines Mitgliedstaates („das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht“) aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist.

Im Bereich des kommunalen Abgabenrechts ist daher zu prüfen, ob besondere Kategorien personenbezogener Daten verarbeitet werden sollen. Dies wäre z. B. der Fall, wenn zur Berechnung einer Kurabgabe Angaben über den Grad einer Behinderung (Gesundheitsdaten) vom Steuerschuldner erfragt würden. In diesen Fällen muss die Satzung eine entsprechende, hinreichend bestimmte Rechtsgrundlage enthalten.

Ist keine hinreichende Rechtsgrundlage enthalten oder werden weitere Grundsätze des Art. 5 Abs. 1 DSGVO nicht eingehalten, liegt ein Verstoß gegen die DSGVO vor, der die Aufsichtsbehörden zu Maßnahmen nach Artikel 58 DSGVO befugt.


Was ist zu tun?
Verantwortliche müssen prüfen, ob bei der Erhebung kommunaler Abgaben besondere Kategorien personenbezogener Daten verarbeitet werden und ob die in ihren Satzungen enthaltenen Regelungen hinreichend bestimmt sind. Zudem ist zu prüfen, ob Verweise auf das LDSG-alt nunmehr auf die entsprechende Regelung der DSGVO oder des LDSG-neu umzuschreiben sind. Bei der Evaluation der Satzungen ist die oder der behördliche Datenschutzbeauftragte einzubeziehen.

 

4.8.3       Anforderung von Auszügen der Steuererklärung bei der Zweitwohnungssteuer

Im Rahmen zweier Beschwerden wurde das ULD darauf aufmerksam gemacht, dass bei der Erhebung der Zweitwohnungssteuer von Steuerpflichtigen verlangt wurde, die Anlage V zur Einkommensteuererklärung als Nachweis für die Dauervermietung zu erbringen. Auf diese Weise sollte nachgewiesen werden, dass die Zweitwohnung nicht zur persönlichen Lebensführung vorgehalten wurde, sondern als (steuerbefreite) Kapitalanlage dem Eigentümer im Erhebungszeitraum nicht zur freien Verfügung stand.

Aufgrund des steuerrechtlichen Amtsermittlungsgrundsatzes sind Finanzbehörden zunächst gehalten, alle für die Besteuerung notwendigen – einschließlich der für die Steuerpflichtigen positiven – Umstände von Amts wegen zu ermitteln. Hierbei können sie im Rahmen der Kooperationsmaxime auch die Steuerpflichtigen zur Mitwirkung verpflichten.

Die Erhebung und weitere Verarbeitung personenbezogener Daten stellt jedoch zugleich einen Eingriff in das Grundrecht auf informationelle Selbstbestimmung der Steuerpflichtigen dar. Aus diesem Grund muss sich die Amtsermittlungspflicht in den Grenzen der Verhältnismäßigkeit bewegen. Die Ermittlungen müssen nach pflichtgemäßem Ermessen – auch hinsichtlich der Beweismittel – geführt werden. Jede Datenerhebung ist daraufhin zu überprüfen, ob sie verhältnismäßig, d. h. geeignet, erforderlich und angemessen ist.

Nach Ansicht des ULD bestehen bereits Zweifel daran, ob die Anforderung der Anlage V der Einkommensteuererklärung überhaupt geeignet ist, den Nachweis darüber zu führen, dass bzw. in welche Höhe Mieteinnahmen durch die Steuerpflichtigen erzielt wurden. Denn es ist alleine aus der Anlage heraus noch nicht ersichtlich, dass sie überhaupt beim Finanzamt in dieser Form eingereicht wurde. Ohne die Gegenprüfung durch das zuständige Finanzamt kann die Richtigkeit des Dokuments nicht festgestellt werden. Der Anlage zur Steuererklärung kommt daher im Zweifel kein größerer Beweiswert zu als jeder anderen Erklärung der Steuerpflichtigen auch.

Des Weiteren bestehen erhebliche Zweifel daran, ob die Anforderung der Anlage V zur Einkommensteuererklärung erforderlich ist, um ihren angestrebten Zweck – den Nachweis einer Dauervermietung der Zweitwohnung – zu erreichen. Die Erforderlichkeit in diesem Sinne ist dann nicht gegeben, wenn die begehrte Information lediglich dienlich oder förderlich, nicht aber unbedingt notwendig zur Zweckerreichung ist. In der Regel wird der Nachweis einer Dauervermietung auch durch mildere Mittel erbracht werden können, beispielsweise durch die Vorlage von (gegebenenfalls teilgeschwärzten) Auszügen aus einem Dauermietvertrag. Die Anlage V zur Einkommensteuererklärung enthält dagegen eine Vielzahl weiterer personenbezogener Daten (z. B. die Angabe von Werbungskosten), die für den Nachweis der Dauervermietung allenfalls Indizien darstellen.

Erhebt ein Verantwortlicher eine Vielzahl von personenbezogenen Daten, die nicht erforderlich für die Erreichung des in der einschlägigen Rechtsgrundlage beschriebenen Zweckes sind, so verstößt dies gegen den Grundsatz der Rechtmäßigkeit der Datenverarbeitung gemäß Art. 5 Abs. 1 Buchst. a DSGVO und gegen den Grundsatz zur Datensparsamkeit gemäß Art. 5 Abs. 1 Buchst. c DSGVO.


Was ist zu tun?
Bei der Erhebung örtlicher Aufwandssteuern müssen die Gemeinden prüfen, ob die personenbezogenen Daten, die sie im Rahmen von Steuererklärungen, Formularen und Fragebögen von den Steuerpflichtigen einfordern, verhältnismäßig zur anvisierten Aufgabenerfüllung sind. Die verwendeten Formulare müssen so gestaltet sein, dass freiwillige Angaben als solche erkennbar sind. Weiterhin muss dort, wo eine Teilschwärzung möglich ist oder verschiedene Unterlagen als Nachweis erbracht werden können, auf die Auswahlmöglichkeiten hingewiesen werden. Zudem sind die Informationspflichten des Artikels 13 DSGVO durch die Gemeinden umzusetzen.

 

4.8.4       Einsatz von Software und Dienstleistung bei der Verwaltung von Kurabgaben


Das ULD erhielt im Rahmen einer Beschwerde Kenntnis davon, dass eine Gemeinde die örtliche Kurabgabe von den Gästen durch die Gastgeber bzw. Beherbergungsbetriebe mittels Meldescheinen und Online-Meldescheinen berechnen und einziehen ließ. Die Prüfung und Verwaltung der Kurabgaben erfolgte durch eine von der Gemeinde beliehene Tourismusagentur, welche die Formulare zur Verfügung stellte.

Beliehenes Unternehmen
Einem beliehenen Unternehmen hat eine öffentliche Stelle Aufgaben der öffentlichen Verwaltung übertragen.

Die Tourismusagentur beauftragte hierzu einen Dienstleister, der die Software für den Online-Meldeschein bereitstellte. Die Gastgeber bzw. Beherbergungsbetriebe konnten so über eine Webseite die Daten ihrer Gäste und die Abrechnung an die Agentur übermitteln. Die analogen Meldescheine ließ die Tourismusagentur durch einen weiteren Dienstleister händisch über einen eigenen Zugang zur Software einpflegen.

Die Überprüfung der Tourismusagentur durch das ULD ergab, dass keine hinreichenden Verträge über diese Auftragsdatenverarbeitungen im Sinne von § 17 LDSG-alt (entspricht nun der Auftragsverarbeitung gemäß Artikel 28 DSGVO) geschlossen wurden.

Dass ein Vertrag mit dem Softwareanbieter kurzerhand rückdatiert wurde, hat das ULD gemäß § 42 Abs. 2 LDSG-alt beanstandet. Für die händische Übertragung der analogen Meldescheine in die Software lag zwar ein Auftragsdatenverarbeitungsvertrag mit dem Dienstleister vor. Dieser entsprach jedoch nicht den Anforderungen des § 17 LDSG-alt, was gemäß § 42 Abs. 1 LDSG-alt bemängelt wurde.


Was ist zu tun?
Verantwortliche müssen überprüfen, ob sie Dienstleister oder Software von Drittanbietern zur Verwaltung ihrer örtlichen Kurabgaben einsetzen und ob in diesen Fällen die Vorgaben des Artikels 28 DSGVO korrekt umgesetzt werden. Altverträge sind zu überprüfen und gegebenenfalls an die neue Rechtslage anzupassen. Sofern noch nicht geschehen, sind auch die Informationspflichten der Artikel 12 ff. DSGVO umzusetzen. Das bedeutet: Analoge Meldescheine und Online-Formulare sind so zu gestalten, dass die betroffenen Personen nachvollziehen können, was mit ihren personenbezogenen Daten passiert.

 

Zurück zum vorherigen Kapitel Zum Inhaltsverzeichnis Zum nächsten Kapitel