BFH: Zulässigkeit der Verarbeitung personenbezogener Daten im Besteuerungsverfahren gemäß § 29b AO

1. § 29b der Abgabenordnung (AO) legitimiert die Finanzbehörde, unter den dort genannten Voraussetzungen für sämtliche das Steuerverfahrensrecht betreffende Maßnahmen personenbezogene Daten zu verarbeiten.
2. § 29b AO genügt den Vorgaben des Art. 6 Abs. 3 der Datenschutz-Grund­verordnung und verletzt nicht das unionsrechtliche Normwiederholungsverbot.
3. § 29b AO verstößt weder gegen das Grundrecht auf informationelle Selbst­bestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 des Grundgesetzes) noch ge­gen das Recht auf Schutz personenbezogenen Daten gemäß Art. 8 Abs. 1 der Charta der Grundrechte der Europäischen Union.

AO § 29b, § 32f Abs. 5, § 32i Abs. 2 und 9, § 85, § 93 Abs. 1 Satz 3, § 97 Abs. 1 Satz 3, § 193, § 200 Abs. 1 Satz 2
DSGVO Art. 4 Nr. 1, Nr. 2 und Nr. 7, Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 2 und Abs. 3 Satz 1 Buchst. b, Abs. 3 Satz 2 bis 4, Art. 9 Abs. 1 und Abs. 2 Buchst. g, Art. 17 Abs. 1 Buchst. d und Abs. 3 Buchst. b, Art. 21 Abs. 1 Satz 1, Art. 23 Abs. 1
GG Art. 1 Abs. 1, Art. 2 Abs. 1, Art. 3 Abs. 1, Art. 101 Abs. 1 Satz 2, Art. 103 Abs. 1
EUGrdRCh Art. 8 Abs. 1 und Abs. 2 Satz 1
AEUV Art. 267 Abs. 2 und 3, Art. 288 Abs. 2 Satz 2
FGO § 74, § 96 Abs. 2

BFH-Urteil vom 5.9.2023, IX R 32/21 (veröffentlicht am 2.11.2023)

Vorinstanz: Schleswig-Holsteinisches FG vom 23.8.2021, 5 K 42/21 = SIS 21 18 46

I. Der Beklagte und Revisionsbeklagte (Finanzamt ‑‑FA‑‑) ordnete beim Kläger und Revisionskläger (Kläger), einem Rechtsanwalt, eine Außenprüfung zur Ein­kommen- und Umsatzsteuer für die Jahre 2017 bis 2019 an. Zugleich forderte das FA den Kläger auf, bis zum Prüfungsbeginn die Auszüge seines betriebli­chen Bankkontos zu übersenden.

Nachdem der Kläger dieser Aufforderung nicht nachgekommen war, ersuchte das FA mit Schreiben vom 15.02.2021 unter Hinweis auf § 97 Abs. 1 Satz 1 und 3 i.V.m. § 93 Abs. 1 Satz 3 der Abgabenordnung (AO) das kontoführende Geldinstitut (G) um Vorlage der Kontoauszüge. Diesem Ersuchen kam G nach.

Der Kläger wandte sich gegen das Vorlageersuchen und machte geltend, § 97 AO genüge nicht den Anforderungen des Art. 6 Abs. 3 der Datenschutz-Grund­verordnung (DSGVO). Es fehle daher an einer rechtmäßigen Verarbeitung der ihn betreffenden persönlichen Daten.

Das FA wies die Eingabe des Klägers, die es als Widerspruch gegen die Verar­beitung personenbezogener Daten gemäß Art. 21 Abs. 1 DSGVO wertete, zu­rück. Die Datenverarbeitung sei nach Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 3 Satz 1 Buchst. b DSGVO i.V.m. § 29b Abs. 1 AO rechtmäßig. Die Verarbeitung der Daten diene der Ermittlung der Besteuerungsgrundlagen im Rahmen einer Außenprüfung.

Die Klage zum Finanzgericht (FG), mit der der Kläger ein Recht auf Löschung seiner personenbezogenen Daten gemäß Art. 17 Abs. 1 Buchst. d DSGVO be­anspruchte und hilfsweise seinen Widerspruch gemäß Art. 21 Abs. 1 DSGVO weiterverfolgte, hatte keinen Erfolg. Das FG wies die Klage mit in Entschei­dungen der Finanzgerichte (EFG) 2022, 1 veröffentlichtem Urteil im Haupt- und Hilfsantrag ab.

Der Kläger hält mit seiner Revision daran fest, dass die Vorschrift des § 97 Abs. 1 Satz 1 AO, auf die das FA sein Vorlageersuchen an G gestützt habe, nicht den Anforderungen des Art. 6 Abs. 3 Satz 1 Buchst. b DSGVO genüge und somit nicht die Verarbeitung von personenbezogenen Daten gestatte. Auch § 29b AO sei keine mit den Vorgaben der Datenschutz-Grundverordnung vereinbare Rechtsgrundlage. Im Gegensatz zu § 97 Abs. 1 Satz 1 AO nenne § 29b AO noch nicht einmal diejenigen Unterlagen, die der Finanzbehörde auf Verlangen vorzulegen seien. Darüber hinaus gebe § 29b AO lediglich den In­halt des Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO wieder.

Schließlich rügt der Kläger Verfahrensfehler.

Der Kläger beantragt,
das angefochtene Urteil aufzuheben und alle im Zusammenhang mit den Kontoauszügen für den Zeitraum von Januar 2017 bis Dezember 2019 für das Konto Nummer … bei der … (G) stehenden personenbezogenen Daten des Klägers zu löschen;
hilfsweise das angefochtene Urteil aufzuheben und alle im Zusammen­hang mit den Kontoauszügen für den Zeitraum von Januar 2017 bis Dezember 2019 für das Konto Nummer … bei G stehenden personenbezogenen Daten des Klägers nicht mehr zu verarbeiten.

Das FA beantragt,
die Revision zurückzuweisen.

Es sieht die Verarbeitung der den Kläger betreffenden personenbezogenen Da­ten im Zuge des an G gerichteten und erfüllten Vorlageersuchens von § 29b AO gedeckt.

II. Die Revision ist unbegründet und daher gemäß § 126 Abs. 2 der Finanzge­richtsordnung (FGO) zurückzuweisen.

Das FG hat die Klage, für die der Finanzrechtsweg eröffnet ist (dazu unten 1.), zu Recht abgewiesen. Der Kläger hat keinen Anspruch auf Löschung seiner personenbezogenen Daten (unten 2.). Ihm steht auch kein Widerspruchsrecht gegen die Datenverarbeitung zu (unten 3.). Die geltend gemachten Verfah­rensmängel des vorinstanzlichen Verfahrens liegen nicht vor (unten 4.). Von einer Aussetzung des Revisionsverfahrens zum Zweck eines Vorabentschei­dungsersuchens an den Gerichtshof der Europäischen Union (EuGH) konnte der Senat absehen (unten 5.).

1. Das FG hat die Klage zutreffend dahin ausgelegt, dass der Kläger im Haupt­antrag eine Löschung der ihn betreffenden personenbezogenen Daten gemäß Art. 17 Abs. 1 DSGVO und hilfsweise ein Recht auf Widerspruch gemäß Art. 21 Abs. 1 DSGVO verfolgt. Das Auskunftsersuchen gemäß § 97 Abs. 1 Satz 1 AO, dessen Regelungsgehalt sich mit der Übersendung der Kontoauszüge durch G im Übrigen erledigt hat, hat der Kläger nach Lage der Akten nicht angefoch­ten.

Das FA hat sowohl die beanspruchte Löschung der Daten als auch den Wider­spruch gegen die Datenverarbeitung zurückgewiesen. Für die gerichtliche Überprüfung dieser Entscheidungen ist ‑‑ohne dass dies der Senat im Revisi­onsverfahren in Frage stellen könnte (§ 17a Abs. 5 des Gerichtsverfassungs­gesetzes)‑‑ der Finanzrechtsweg eröffnet (§ 33 Abs. 1 Nr. 4 FGO i.V.m. § 32i Abs. 2 Satz 1 AO). Eines außergerichtlichen Vorverfahrens bedurfte es gemäß § 32i Abs. 9 Satz 1 AO nicht.

2. Das FG hat frei von Rechtsfehlern entschieden, dass der Kläger keinen An­spruch auf Löschung der vom FA verarbeiteten personenbezogenen Daten hat.

Die Voraussetzungen der insoweit einzig in Betracht kommenden Rechtsgrund­lage des Art. 17 Abs. 1 Buchst. d DSGVO, die nach Art. 288 Abs. 2 Satz 2 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) ohne Umset­zungsakt in jedem Mitgliedstaat der Europäischen Union (EU) gilt, sind nicht erfüllt.

a) Nach Art. 17 Abs. 1 Buchst. d DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezo­gene Daten unverzüglich gelöscht werden, sofern jene Daten unrechtmäßig verarbeitet wurden.

aa) Personenbezogene Daten sind alle Informationen, die sich auf eine identi­fizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 Halb­satz 1 DSGVO). Unter einer "Verarbeitung" im datenschutzrechtlichen Sinne wird jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Spei­cherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine an­dere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Ein­schränkung, das Löschen oder die Vernichtung verstanden (Art. 4 Nr. 2 DSGVO). Die Norm ist von einem weiten Verständnis des Begriffs "Verarbei­tung" geprägt (EuGH-Urteil "SS" SIA gegen Valsts ieņēmumu dienests vom 24.02.2022 ‑ C‑175/20, EU:C:2022:124, Rz 35). Als Verantwortlicher im Sin­ne von Art. 17 Abs. 1 DSGVO gilt unter anderem die Behörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von per­sonenbezogenen Daten entscheidet (Art. 4 Nr. 7 Halbsatz 1 DSGVO).

bb) Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn min­destens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt ist (Verbot mit Erlaubnisvorbehalt; statt vieler Wackerbeck in Hübschmann/Hepp/Spitaler ‑‑HHSp‑‑, § 29b AO Rz 9, m.w.N.). Dies ist unter anderem nach Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO der Fall, wenn die Verar­beitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentli­chen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Ver­antwortlichen übertragen wurde. Hierfür bedarf es gemäß Art. 6 Abs. 3 Satz 1 DSGVO einer Rechtsgrundlage, die entweder durch das Unionsrecht (Buchst. a) oder durch das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt (Buchst. b), festgelegt wird. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ferner ein im öffentlichen Interesse liegendes Ziel ver­folgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen (Art. 6 Abs. 3 Satz 4 DSGVO).

Ergänzend zu den Regelungen in Art. 6 DSGVO bestimmt Art. 9 Abs. 1 DSGVO, dass unter anderem die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, grundsätzlich untersagt ist. Hiervon lässt die Verordnung unter anderem dann eine Ausnahme zu, wenn die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Da­tenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist (Art. 9 Abs. 2 Buchst. g DSGVO).

cc) Der deutsche Gesetzgeber hat für das Verwaltungsverfahren in Steuersa­chen durch das Gesetz zur Änderung des Bundesversorgungsgesetzes und an­derer Vorschriften vom 17.07.2017 (BGBl I 2017, 2541) mit § 29b AO eine be­reichspezifische Rechtsgrundlage sowohl zur Verarbeitung personenbezogener Daten im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO als auch solcher ge­mäß Art. 9 Abs. 2 Buchst. g DSGVO geschaffen.

Nach § 29b Abs. 1 AO ist die Verarbeitung personenbezogener Daten durch ei­ne Finanzbehörde zulässig, wenn sie zur Erfüllung der ihr obliegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die ihr übertragen wurde, erforderlich ist. Abs. 2 Satz 1 der Vorschrift regelt, dass die Verarbeitung der in Art. 9 Abs. 1 DSGVO genannten ‑‑besonderen (sensiblen)‑‑ personenbezogenen Da­ten durch eine Finanzbehörde zulässig ist, soweit die Verarbeitung aus Grün­den eines erheblichen öffentlichen Interesses erforderlich ist und soweit die In­teressen des Verantwortlichen an der Datenverarbeitung die Interessen der betroffenen Person überwiegen. In diesem Fall hat die Finanzbehörde ange­messene und spezifische Maßnahmen zur Wahrung der Interessen der betrof­fenen Person vorzusehen, wobei § 22 Abs. 2 Satz 2 des Bundesdatenschutzge­setzes (BDSG) entsprechend anzuwenden ist (§ 29b Abs. 2 Satz 2 AO).

Die Vorschrift des § 29b AO legitimiert die Finanzbehörden unter den dort ge­nannten Voraussetzungen für sämtliche das Steuerverfahrensrecht betreffende Maßnahmen zur Verarbeitung personenbezogener Daten. Es handelt sich um die "Kopfnorm" des Vierten Abschnitts des Ersten Teils der Abgabenordnung (vgl. Drüen in Tipke/Kruse, § 29b AO Rz 1), durch die die Finanzbehörde be­rechtigt wird, zum Zweck der Erfüllung ihrer Aufgaben personenbezogene Da­ten zu verarbeiten (Krumm, Der Betrieb ‑‑DB‑‑ 2017, 2182, 2189). Die Norm ist damit getragen von den verfassungsrechtlichen Geboten der Gleichmäßig­keit der Besteuerung (Art. 3 Abs. 1 des Grundgesetzes ‑‑GG‑‑) und der Ge­setzmäßigkeit der Verwaltung (Art. 20 Abs. 3 GG) sowie der diese Gebote im Steuerverfahrensrecht umsetzenden Vorschrift des § 85 AO (BTDrucks 18/12611, S. 76 f.). Allerdings beschränkt sich der Anwendungsbereich des § 29b AO auf solche Datenverarbeitungen, die bereits bei ihrer Einführung Ge­genstand steuerverfahrensrechtlicher Verwaltungs- und Eingriffsbefugnisse waren. Die Vorschrift bietet keine Grundlage für die Schaffung neuer Formen der Datenerhebung (Ehrke-Rabel, Finanz-Rundschau ‑‑FR‑‑ 2019, 45, 49).

b) Nach diesen Rechtsgrundlagen hat das FA als Verantwortlicher im Sinne von § 2a Abs. 3 AO i.V.m. Art. 4 Nr. 7 DSGVO zwar den Kläger betreffende perso­nenbezogene Daten verarbeitet (dazu unten aa). Diese Verarbeitung war aber rechtmäßig, da das an G gerichtete und auch erfüllte Vorlageersuchen von § 29b AO gedeckt war (unten bb) und jene Norm den Vorgaben der Daten­schutz-Grundverordnung genügt (unten cc). Die einfachrechtlichen und verfas­sungsrechtlichen Einwendungen des Klägers greifen nicht durch (unten dd und ee).

aa) Das FA hat den Kläger betreffende Daten verarbeitet, indem es die von G auf Anforderung übersandten Kontoauszüge zu den Akten genommen hat. Hiermit hat es Daten im Sinne von Art. 4 Nr. 2 DSGVO erhoben, abgefragt und geordnet. Hierüber besteht zwischen den Beteiligten zu Recht ebenso wenig Streit wie über den Umstand, dass die auf den Kontoauszügen enthaltenen Daten personenbezogenen Charakter gemäß Art. 4 Nr. 1 DSGVO haben.

Sollte sich aus den verakteten Kontoauszügen ‑‑was das FG nicht festgestellt hat‑‑ ergeben, dass der Kläger Beiträge an den Verein "… e.V." überwiesen hat und wäre dieser Verein poli­tisch aktiv, hätte das FA insoweit zudem besondere personenbezogene Daten im Sinne von Art. 9 Abs. 1 DSGVO ("politische Meinungen") verarbeitet.

bb) Diese Datenverarbeitung war durch § 29b AO gedeckt.

aaa) Die mit dem Vorlageersuchen an G einhergehende Verarbeitung perso­nenbezogener Daten durch das FA, einer Finanzbehörde gemäß § 6 Abs. 2 Nr. 5 AO, war zur Erfüllung einer ihr obliegenden Aufgabe erforderlich (§ 29b Abs. 1 Alternative 1 AO).

(1) Kernaufgabe der Finanzbehörden ist die gleichmäßige Festsetzung und Er­hebung der Steuern nach Maßgabe der Gesetze (§ 85 Satz 1 AO). Die Behör­den haben nach Satz 2 der Vorschrift insbesondere sicherzustellen, dass Steu­ern nicht verkürzt, zu Unrecht erhoben oder Steuererstattungen und Steuer­vergütungen nicht zu Unrecht gewährt oder versagt werden. Den Besteue­rungssachverhalt ermittelt die Finanzbehörde von Amts wegen, wobei sie Art und Umfang der Ermittlungen nach den Umständen des Einzelfalls sowie nach den Grundsätzen der Gleichmäßigkeit, Gesetzmäßigkeit und Verhältnismäßig­keit bestimmt (§ 88 Abs. 1 Satz 1 und Abs. 2 Satz 1 Halbsatz 1 AO). Zustän­dig hierfür sind die Finanzämter als örtliche Landesbehörden (§ 2 Abs. 1 Nr. 4 i.V.m. § 17 Abs. 2 Satz 1 des Finanzverwaltungsgesetzes ‑‑FVG‑‑).

Die Beteiligten ‑‑und hierbei insbesondere die Steuerpflichtigen‑‑ sind zur Mit­wirkung bei der Ermittlung des Sachverhalts verpflichtet (§ 90 Abs. 1 Satz 1 AO). Sie kommen nach Satz 2 der Vorschrift der Mitwirkungspflicht insbeson­dere dadurch nach, dass sie die für die Besteuerung erheblichen Tatsachen vollständig und wahrheitsgemäß offenlegen und die ihnen bekannten Beweis­mittel angeben. Mitwirkungspflichten im Speziellen bestehen im Rahmen einer beim Steuerpflichtigen durchzuführenden Außenprüfung (§ 193 AO). § 200 Abs. 1 Satz 2 AO regelt in diesem Zusammenhang, dass der Steuerpflichtige insbesondere Auskünfte zu erteilen, Aufzeichnungen, Bücher, Geschäftspapiere und andere Urkunden zur Einsicht und Prüfung vorzulegen, die zum Verständ­nis der Aufzeichnungen erforderlichen Erläuterungen zu geben und die Finanz­behörde bei Ausübung ihrer Befugnisse nach § 147 Abs. 6 AO zu unterstützen hat.

Die Beteiligten und andere Personen haben der Finanzbehörde die zur Fest­stellung eines für die Besteuerung erheblichen Sachverhalts erforderlichen Auskünfte zu erteilen (§ 93 Abs. 1 Satz 1 AO). Auf Verlangen der Finanzbe­hörde haben die Beteiligten und andere Personen gemäß § 97 Abs. 1 Satz 1 AO Bücher, Aufzeichnungen, Geschäftspapiere und andere Urkunden zur Ein­sicht und Prüfung vorzulegen. § 93 Abs. 1 Satz 3 und § 97 Abs. 1 Satz 3 AO regeln, dass andere Personen als die Beteiligten erst dann zur Auskunft bezie­hungsweise zur Vorlage von Urkunden angehalten werden sollen, wenn die Sachverhaltsaufklärung durch die Beteiligten nicht zum Ziel führt oder keinen Erfolg verspricht.

(2) Im Streitfall war das FA zur Erfüllung seiner Aufgabe gehalten, die Auszüge des für betriebliche Zwecke genutzten Kontos bei G anzufordern. Der Kläger ist seiner insofern gegenüber der Inanspruchnahme von G vorrangigen Pflicht, die Auszüge zu Beginn der Außenprüfung vorzulegen, nicht nachgekommen. Zur Überprüfung der Richtigkeit und Vollständigkeit der vom Kläger erklärten Betriebseinnahmen und ‑ausgaben war es erforderlich, die Kontoauszüge von G anzufordern und zu sichten. Das FA konnte seine Aufgabe, den besteue­rungsrelevanten Sachverhalt zu ermitteln und zu überprüfen, ohne die Verar­beitung personenbezogener Daten nicht erfüllen. Dies stellt auch der Kläger nicht in Abrede.

bbb) Sollten die angeforderten und vorgelegten Kontoauszüge besondere per­sonenbezogene Daten im Sinne von Art. 9 Abs. 1 DSGVO beinhalten (siehe oben), wäre deren Verarbeitung nach § 29b Abs. 2 AO rechtmäßig.

(1) Das hierfür nach § 29b Abs. 2 Satz 1 AO zum einen erforderliche erhebli­che öffentliche Interesse liegt vor.

Ausreichend ist nicht irgendein ‑‑der Allgemeinheit dienendes‑‑ öffentliches In­teresse; vielmehr muss die Erheblichkeitsschwelle überschritten werden, das heißt, das öffentliche Interesse muss besonders bedeutend sein. Mit Blick auf die verfassungsrechtlich verbürgten Grundsätze der Gesetzmäßigkeit und Gleichmäßigkeit der Besteuerung ist diese Qualifikation bei der Verarbeitung von Daten im steuerlichen Verfahrensrecht nach allgemeiner Ansicht erreicht (Drüen in Tipke/Kruse, § 29b AO Rz 15; Mues in Gosch, AO § 29b Rz 30 ff., 47; Klein/Rüsken, AO, 16. Aufl., § 29b Rz 29; Tormöhlen, AO-Steuerberater ‑‑AOStB‑‑ 2019, 248, 249).

(2) Zum anderen überwiegen die Interessen des FA an der Datenverarbeitung die Interessen des Klägers an einer Untersagung der Verarbeitung. Dies ergibt sich bereits daraus, dass das Vorlageersuchen des FA nicht gezielt zum Ge­genstand hatte, besondere personenbezogene Daten im Sinne von Art. 9 Abs. 1 DSGVO zu verarbeiten. Die Prüfungsanordnung verdeutlicht vielmehr, dass diejenigen Vorgänge, die betriebliche Veranlassung hatten beziehungs­weise hätten haben können und über das angefragte Konto abgewickelt wur­den (insbesondere der Zufluss von Honoraren aus rechtsanwaltlicher Tätig­keit), überprüft werden sollten. Die Verarbeitung nicht-betrieblicher Daten im Sinne von Art. 9 Abs. 1 DSGVO hatte lediglich unvermeidbare begleitende Re­levanz.

(3) Wegen der fehlenden Trennbarkeit der besonderen personenbezogenen Daten war deren Verarbeitung im Sinne des Zwecks des Vorlageersuchens des FA auch erforderlich.

cc) § 29b AO genügt den Anforderungen, die die Datenschutz-Grundverord­nung an die Gestattung für die Verarbeitung von einfachen personenbezoge­nen Daten gemäß Art. 6 Abs. 3 DSGVO (dazu unten aaa) sowie an die Verar­beitung von besonderen personenbezogenen Daten im Sinne von Art. 9 Abs. 2 DSGVO (unten bbb) stellt.

aaa) (1) Art. 6 Abs. 3 Satz 2 DSGVO gibt vor, dass in der für Verarbeitungen gemäß Abs. 1 Buchst. e der Vorschrift erforderlichen Rechtsgrundlage entwe­der der Zweck der Verarbeitung festgelegt sein muss (Alternative 1) oder der Zweck für die Erfüllung einer Aufgabe erforderlich ist, die im öffentlichen Inte­resse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortli­chen übertragen wurde (Alternative 2). Der Verarbeitungszweck muss somit nicht ausdrücklich gesetzlich bestimmt werden, sondern kann sich ebenso aus dem Kontext einer zu erfüllenden bestimmten Aufgabe ergeben (Frenzel in Paal/Pauly, DS-GVO BDSG, 3. Aufl., Art. 6 DSGVO Rz 41; Drüen in Tipke/Kruse, § 29b AO Rz 10). Dies korrespondiert mit der Erwägung des Ver­ordnungsgebers, dass nicht für jede Verarbeitung ein spezifisches Gesetz ver­langt wird (Datenschutz-Grundverordnung, dort vorangestellter Erwägungs­grund Nummer 45 Satz 2; vgl. auch BeckOK Datenschutzrecht/Albers/Veit, 45. Ed. [01.08.2023], DSGVO Art. 6 Rz 80). Vorausgesetzt wird allerdings, dass eine solche Aufgabe durch das Recht hinreichend klar und bestimmt be­schrieben wird (Buchner/Petri in Kühling/Buchner, DS-GVO BDSG, 3. Aufl., Art. 6 DSGVO Rz 121).

(2) Dementsprechend wird § 29b Abs. 1 AO bereits der Alternative 2 des Art. 6 Abs. 3 Satz 2 DSGVO gerecht.

Die Verarbeitung personenbezogener Daten ist für die Erfüllung der den Fi­nanzbehörden obliegenden (Kern‑)Aufgabe, nämlich der gleichmäßigen Fest­setzung und Erhebung von Steuern nach Maßgabe der Gesetze (Art. 3 Abs. 1 GG i.V.m. § 85 Satz 1 AO), erforderlich. Mit Blick auf die jeweils weit gefassten Begriffe der Personenbezogenheit von Daten sowie des Verarbeitens von Da­ten (Art. 4 Nr. 1 und 2 DSGVO) erscheint es unvorstellbar, dass das Steuer­festsetzungs- und ‑erhebungsverfahren ‑‑insbesondere vor dem Hintergrund des Amtsermittlungsgrundsatzes (§ 88 Abs. 1 Satz 1 AO)‑‑ ohne die Verarbei­tung personenbezogener Daten gesetzmäßig und effektiv umzusetzen wäre (in diesem Sinne auch Fischbach, EFG 2022, 4, 5). Die Erfüllung dieser in § 85 Satz 1 AO festgelegten Aufgabe liegt evident im öffentlichen Interesse, was sich bereits darin zeigt, dass der europäische Verordnungsgeber unter ande­rem den "Steuerbereich" als schützenswertes wichtiges Ziel des allgemeinen öffentlichen Interesses erklärt hat (Art. 23 Abs. 1 Buchst. e DSGVO). Dies ent­spricht auch der Rechtsprechung des EuGH, der zufolge sowohl die Steuer­erhebung als auch die Bekämpfung von Steuerbetrug als im öffentlichen Inte­resse liegende Aufgaben im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO anzusehen sind (EuGH-Urteil "SS" SIA gegen Valsts ieņēmumu dienests vom 24.02.2022 ‑ C‑175/20, EU:C:2022:124, Rz 70, m.w.N.).

(3) Unabhängig von Vorgenanntem hat der Gesetzgeber in § 29b Abs. 1 AO den Zweck der Verarbeitung personenbezogener Daten im steuerlichen Ver­fahrensrecht festgelegt und damit auch die Anforderungen des Art. 6 Abs. 3 Satz 2 Alternative 1 DSGVO erfüllt.

§ 29b Abs. 1 AO benennt zwar nicht konkret einen Verarbeitungszweck, knüpft aber an die den Finanzbehörden obliegenden Aufgaben an und rechtfertigt für deren Erfüllung die Verarbeitung personenbezogener Daten. Der insoweit zu­mindest konkludent gefasste Verweis auf die Aufgaben und Zuständigkeiten der Finanzbehörden sowohl in der Abgabenordnung (hier insbesondere § 85 Satz 1 AO) als auch im Finanzverwaltungsgesetz (hier insbesondere § 17 Abs. 2 FVG) genügt, um anzunehmen, dass auch der Zweck der Verarbeitung personenbezogener Daten im Sinne von Art. 6 Abs. 3 Satz 2 Alternative 1 DSGVO gesetzlich festgelegt ist (in diesem Sinne ebenso Wackerbeck in HHSp, § 29b AO Rz 12: "minimalistische Umsetzung"; Mues in Gosch, AO § 29b Rz 29; Drüen in Tipke/Kruse, § 29b AO Rz 1, 10: "nur … sehr moderate Kon­kretisierungspflicht"; BeckOK AO/Steinke, 25. Ed. [01.07.2023], AO § 29b Rz 20; Tormöhlen, AOStB 2019, 248, 249; Krumm, DB 2017, 2182, 2190; Ehrke-Rabel, FR 2019, 45, 52; zweifelnd dagegen Klein/Rüsken, AO, 16. Aufl., § 29b Rz 21).

Ein darüber hinausgehendes Konkretisierungs- beziehungsweise Präzisierungs­gebot ergibt sich weder aus Art. 6 Abs. 2 und Abs. 3 Satz 4 DSGVO (beide Normen sind als "Kann"-Bestimmungen verfasst) noch aus dem der Daten­schutz-Grundverordnung vorangestellten Erwägungsgrund Nummer 45 (der dortige Satz 5 ist ebenfalls als "Kann"‑Bestimmung ausgestaltet). Die Fassung abs­trakter Erlaubnistatbestände gewährleistet zudem ein hinreichendes Maß an Verwaltungsflexibilität und ‑ermessen (vgl. insoweit zu § 88 Abs. 2 Satz 1 AO Volquardsen in Schwarz/Pahlke/Keß, AO/FGO, § 29b AO Rz 6); ferner wird der Gefahr einer "Verrechtlichungsfalle" im Datenschutzrecht entgegengewirkt (BeckOK Datenschutzrecht/Albers/Veit, 45. Ed. [01.08.2023], DSGVO Art. 6 Rz 80, m.w.N.).

(4) § 29b Abs. 1 AO verletzt auch nicht das unionsrechtliche Normwiederho­lungsverbot.

Dieses Verbot soll sicherstellen, dass die Wirkung einer unmittelbaren Geltung von Verordnungen der EU (Art. 288 Abs. 2 AEUV) nicht vereitelt wird (vgl. EuGH-Urteile Kommission der Europäischen Gemeinschaften gegen Italieni­sche Republik vom 07.02.1973 ‑ C‑39/72, EU:C:1973:13, Rz 17; Fratelli Variola S.p.A. gegen Amministrazione italiana delle Finanze vom 10.10.1973 ‑ C‑34/73, EU:C:1973:101, Rz 9 ff. sowie Kommission der Europäischen Ge­meinschaften gegen Italienische Republik vom 28.03.1985 ‑ C‑272/83, EU:C:1985:147, Rz 26; Schaumburg in Schaumburg, Internationales Steuer­recht ‑‑IStR‑‑, 5. Aufl., Rz 3.47; Myßen/Kraus, FR 2019, 58, 59). Folge dessen ist, dass die Regelungen der Datenschutz-Grundverordnung in einer nationalen Rechtsgrundlage grundsätzlich nicht schlicht wiederholt werden dürfen (Frenzel in Paal/Pauly, DS-GVO BDSG, 3. Aufl., Art. 6 DSGVO Rz 33; Taeger in Taeger/Gabel, DSGVO BDSG TTDSG, 4. Aufl., Art. 6 DSGVO Rz 155; vgl. auch Schreiben des Bundesministeriums der Finanzen vom 13.01.2020, BStBl I 2020, 143, Rz 1).

Diesen Anforderungen wird § 29b Abs. 1 AO gerecht. Der Wortlaut der Norm ist zwar eng an die Formulierung des Erlaubnistatbestands des Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO angelehnt, beschränkt sich allerdings nicht auf des­sen schlichte Wiederholung. § 29b Abs. 1 AO konkretisiert zum einen den Be­rechtigten einer Verarbeitung personenbezogener Daten, nämlich die Finanz­behörde, und knüpft zum anderen an die ihr obliegenden und von ihr zu erfül­lenden Aufgaben an (vgl. auch Wackerbeck in HHSp, § 29b AO Rz 12).

Soweit § 29b Abs. 1 AO die Begrifflichkeiten von Art. 6 Abs. 3 Satz 1 Buchst. e DSGVO wörtlich beziehungsweise im Kontext übernimmt (insbesondere "Ver­arbeitung", "Erfüllung einer Aufgabe", "Ausübung öffentlicher Gewalt"), wird das Normwiederholungsverbot nicht verletzt. Der Verordnungsgeber lässt es zu, jedenfalls "Textpassagen" der Datenschutz-Grundverordnung im nationa­len Recht zu wiederholen, wenn ‑‑wie hier‑‑ die Datenschutz-Grundverordnung eine Präzisierung durch mitgliedstaatliches Recht zulässt und die Wiederholung als erforderlich gilt, um die Kohärenz sicherzustellen und um die nationalen Vorschriften verständlicher zu formulieren (Datenschutz-Grundverordnung, dort vorangestellter Erwägungsgrund Nummer 8; vgl. zur Ausnahme vom Normwiederholungsverbot bereits EuGH-Urteil Kommission der Europäischen Gemeinschaften gegen Italienische Republik vom 28.03.1985 ‑ C‑272/83, EU:C:1985:147, Rz 27 sowie BeckOK Datenschutzrecht/Albers/Veit, 45. Ed. [01.08.2023], DSGVO Art. 6 Rz 87).

Soweit im Schrifttum vereinzelt vertreten wird, dass die § 29b Abs. 1 AO weit­gehend gleichlautende Ermächtigungsnorm des § 3 BDSG das Normwiederho­lungsverbot verletze (Frenzel in Paal/Pauly, DS-GVO BDSG, 3. Aufl., § 3 BDSG Rz 1 f.), rechtfertigt dies kein anderes Ergebnis. Weder setzt sich diese Auffas­sung mit dem der Datenschutz-Grundverordnung vorangestellten Erwägungsgrund Nummer 8 auseinander noch berücksichtigt sie, dass Art. 6 Abs. 3 Satz 3 DSGVO ‑‑wie oben dargelegt‑‑ nur dazu berechtigt, nicht aber verpflichtet, spezifischere Bestimmungen in die nationale Rechtsgrundlage aufzunehmen (vgl. auch Starnecker in Gola/Heckmann, DS-GVO BDSG, 3. Aufl., § 3 BDSG Rz 8 sowie BeckOK Datenschutzrecht/Wolff, 45. Ed. [01.11.2021], BDSG § 3 Rz 31).

(5) Der Senat hat auch keine Zweifel, dass § 29b Abs. 1 AO ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck steht (vgl. Art. 6 Abs. 3 Satz 4 DSGVO). Die Verarbeitung personenbezogener Daten dient der Durchführung des Besteue­rungsverfahrens (§ 85 AO). Die Vorschrift schließt eine unbeschränkte Daten­bevorratung aus; sie macht die Verarbeitung davon abhängig, dass diese final im Zusammenhang mit den Aufgaben der Verwaltung steht ("zur Erfüllung") und darüber hinaus insoweit auch erforderlich ist, das heißt auf das für den Zweck der Verarbeitung notwendige Maß beschränkt wird ("Datenminimie­rung", vgl. Art. 5 Abs. 1 Buchst. c DSGVO).

bbb) Schließlich sind auch die speziellen Regelungen in § 29b Abs. 2 AO zur Gestattung der Verarbeitung besonderer personenbezogener Daten mit den Vorgaben in Art. 9 Abs. 2 Buchst. g DSGVO vereinbar.

§ 29b Abs. 2 Satz 1 AO berücksichtigt das erhöhte Schutzniveau der in Art. 9 Abs. 1 DSGVO genannten Daten, die nicht bereits zum Zweck eines allgemei­nen, sondern nur eines erheblichen öffentlichen Interesses verarbeitet werden dürfen. Darüber hinaus fordert die Norm eine strenge Prüfung der Verhältnis­mäßigkeit und wahrt damit die Grundrechte und Interessen der betroffenen Person. Ferner gewährleistet § 29b Abs. 2 Satz 1 AO keine schrankenlose Ver­arbeitung von Daten im Sinne von Art. 9 Abs. 1 DSGVO, sondern gestattet dies nur, "soweit" dies aus Gründen eines erheblichen öffentlichen Interesses "erforderlich" ist.

Mit den in § 29b Abs. 2 Satz 2 AO gesetzlich verbürgten Maßnahmen zur Wah­rung der Interessen der betroffenen Person und hierbei insbesondere mit dem Verweis auf den Katalog des § 22 Abs. 2 Satz 2 BDSG trägt die Gestattungs­norm zudem den weiteren Vorgaben des Art. 9 Abs. 2 Buchst. g DSGVO Rech­nung.

dd) Die mit der Revision vorgebrachten Einwendungen des Klägers gegen die Verarbeitung seiner personenbezogenen Daten sind unbegründet.

aaa) Der wesentliche Einwand, § 97 Abs. 1 Satz 1 AO enthalte keine Rechtfer­tigung für die Verarbeitung personenbezogener Daten, ist bereits im Ansatz verfehlt. Die Befugnis der Finanzbehörden, mit Vorlageersuchen entweder bei den Beteiligten (§ 97 Abs. 1 Satz 1 AO) oder bei Dritten (Satz 3 der Vorschrift) personenbezogene Daten zu erheben und zu verarbeiten, ergibt sich abschlie­ßend aus der für das gesamte steuerliche Verfahrensrecht geltenden ‑‑vorge­schalteten‑‑ Norm des § 29b AO (zutreffend Fischbach, EFG 2022, 4, 5). Aus diesem Grund sind auch die weiteren gegen § 97 AO gerichteten Einwendun­gen im vorliegenden Verfahren ohne Bedeutung.

bbb) Soweit der Kläger beanstandet, dass § 29b AO nicht diejenigen Unterla­gen benenne, die der Finanzbehörde auf Verlangen vorzulegen seien, über­strapaziert er den erforderlichen Regelungsgehalt jener Norm. Wie bereits dar­gelegt, reicht es aus, dass der Gesetzgeber mit § 29b AO einen abstrakten Er­laubnistatbestand geschaffen hat, nach dem unter den dort genannten Voraus­setzungen personenbezogene Daten verarbeitet werden dürfen.

ee) Die vom Kläger gerügten materiellen Verfassungsverstöße liegen nicht vor.

aaa) Dies gilt zunächst für das aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG abge­leitete Grundrecht auf informationelle Selbstbestimmung.

(1) Dieses Grundrecht gewährleistet die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu be­stimmen. Es umfasst den Schutz gegen die unbegrenzte Erhebung, Speiche­rung, Verwendung und Weitergabe persönlicher Daten. Die Gewährleistung greift insbesondere, wenn die Entfaltung der Persönlichkeit dadurch gefährdet wird, dass personenbezogene Informationen von staatlichen Behörden in einer Art und Weise genutzt und verknüpft werden, die Betroffene weder überschau­en noch beherrschen können (Beschluss des Bundesverfassungsgerichts ‑‑BVerfG‑‑ vom 27.05.2020 ‑ 1 BvR 1873/13, 1 BvR 2618/13, BVerfGE 155, 119, Rz 92, m.w.N.).

Das Recht auf informationelle Selbstbestimmung wird aber nicht schrankenlos gewährleistet. Eingriffe in dieses Grundrecht bedürfen ‑‑wie jede Grundrechts­beschränkung‑‑ einer gesetzlichen Ermächtigung, die einen legitimen Gemein­wohlzweck verfolgt und im Übrigen den Grundsatz der Verhältnismäßigkeit wahrt (statt vieler BVerfG-Beschluss vom 10.11.2020‑ 1 BvR 3214/15, BVerfGE 156, 11, Rz 84). Sie müssen daher zur Erreichung des legitimen Zwecks geeignet, erforderlich und verhältnismäßig im engeren Sinne sein. Da­bei bedürfen sie einer gesetzlichen Grundlage, welche die Datenverarbeitung auf spezifische Zwecke hinreichend begrenzt. Alle angegriffenen Befugnisse sind zudem am Grundsatz der Normenklarheit und Bestimmtheit zu messen, der der Vorhersehbarkeit von Eingriffen für die Bürgerinnen und Bürger, einer wirksamen Begrenzung der Befugnisse gegenüber der Verwaltung sowie der Ermöglichung einer effektiven Kontrolle durch die Gerichte dient (vgl. Urteil des Bundessozialgerichts ‑‑BSG‑‑ vom 20.01.2021 ‑ B 1 KR 7/20 R, BSGE 131, 169, Rz 93, m.w.N.).

(2) Diesen Anforderungen wird die das Grundrecht auf informationelle Selbst­bestimmung einschränkende Norm des § 29b AO gerecht. Sie dient den Fi­nanzbehörden bei der Erfüllung ihrer Aufgabe einer gesetzesgemäßen, gleich­mäßigen Festsetzung und Erhebung von Steuern und verfolgt demnach ein le­gitimes Gemeinwohlziel. Zweifel an einer dem Verhältnismäßigkeitsgrundsatz entsprechenden Ausgestaltung der Norm bestehen nicht, zumal § 29b Abs. 1 AO die Verarbeitung personenbezogener Daten nur soweit gestattet, als sie zur Erfüllung der der Finanzbehörde obliegenden Aufgabe erforderlich ist; eine Datenbevorratung ist somit ‑‑wie oben dargelegt‑‑ ausgeschlossen. Darüber hinaus sieht § 29b Abs. 2 Satz 2 Halbsatz 1 AO bei der Verarbeitung besonde­rer persönlicher Daten im Sinne von Art. 9 Abs. 1 DSGVO spezifische Maßnah­men zur Wahrung der Datenschutzrechte des Betroffenen vor. Infolge der in § 29b Abs. 1 AO geregelten Verbindung zwischen der Aufgabe einer Finanzbe­hörde und der (nur) hierzu zulässigen Verarbeitung personenbezogener Daten ist diese Gestattungsnorm ‑‑im Übrigen ebenso wie Absatz 2 der Vorschrift‑‑ hinreichend klar ausgestaltet.

bbb) Auch eine Verletzung von Art. 8 Abs. 1 und Abs. 2 Satz 1 der Charta der Grundrechte der Europäischen Union (EUGrdRCh) ist ausgeschlossen.

Unbeschadet der Frage, ob der sachliche Anwendungsbereich der Charta der Grundrechte der Europäischen Union im Hinblick auf deren Art. 51 Abs. 1 Satz 1 überhaupt eröffnet ist (vgl. hierzu Urteil des Bundesfinanzhofs ‑‑BFH‑‑ vom 30.08.2022 ‑ X R 17/21, BFHE 278, 327, BStBl II 2023, 396, Rz 50 sowie BSG-Urteil vom 20.01.2021 ‑ B 1 KR 7/20 R, BSGE 131, 169, Rz 91), wäre ein Eingriff in Art. 8 Abs. 1 und 2 Satz 1 EUGrdRCh gerechtfertigt.

Nach Art. 8 Abs. 1 EUGrdRCh hat jede Person das Recht auf Schutz der sie be­treffenden personenbezogenen Daten. Absatz 2 Satz 1 der Vorschrift legt fest, dass diese Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich gere­gelten legitimen Grundlage verarbeitet werden dürfen.

Eine Regelung, die unter anderem einen Eingriff in das durch Art. 8 EUGrdRCh garantierte Grundrecht auf Schutz der personenbezogenen Daten enthält, muss dem Erfordernis der Verhältnismäßigkeit genügen. Dies verlangt, dass die Handlungen der Unionsorgane (beziehungsweise der Mitgliedstaaten) ge­eignet sind, die mit der fraglichen Regelung zulässigerweise verfolgten Ziele zu erreichen, und nicht die Grenzen dessen überschreiten, was zur Erreichung dieser Ziele geeignet und erforderlich ist (vgl. EuGH-Urteil Digital Rights Ireland Ltd gegen Minister for Communications, Marine and Natural Resources u.a. und Kärntner Landesregierung u.a. vom 08.04.2014 ‑ C‑293/12, C‑594/12, EU:C:2014:238, Rz 46, m.w.N.). Die Ausnahmen und Einschrän­kungen in Bezug auf den Schutz personenbezogener Daten müssen sich auf das absolut Notwendige beschränken. Die den Eingriff enthaltende Regelung muss zudem klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen, so dass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchs­risiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder un­berechtigten Nutzung ermöglichen (EuGH-Urteil Digital Rights Ireland Ltd gegen Minister for Communications, Marine and Natural Resources u.a. und Kärntner Landesregierung u.a. vom 08.04.2014 ‑ C‑293/12, C‑594/12, EU:C:2014:238, Rz 54; BSG-Urteil vom 20.01.2021 ‑ B 1 KR 7/20 R, BSGE 131, 169, Rz 109, jeweils m.w.N.).

Zweifel daran, dass § 29b AO diesen Anforderungen, die im Wesentlichen de­nen für die Rechtfertigung eines Eingriffs in das Grundrecht auf informationelle Selbstbestimmung entsprechen, genügt, bestehen aus den oben dargelegten Erwägungen nicht.

c) Es bedarf keiner Entscheidung des Senats, ob das FA als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO seinen Transparenz- und Informationspflich­ten gegenüber dem Kläger (Art. 12, Art. 14 DSGVO) hinreichend nachgekom­men ist. Selbst wenn dies ‑‑abweichend von der Auffassung des FG‑‑ nicht der Fall gewesen sein sollte, könnte der Kläger allein deshalb keine Löschung der ihn betreffenden personenbezogenen Daten gemäß Art. 17 Abs. 1 Buchst. d DSGVO verlangen. Etwaige Verstöße gegen Transparenzpflichten führen für sich betrachtet nicht dazu, dass die Datenverarbeitung ‑‑wie von Art. 17 Abs. 1 Buchst. d DSGVO verlangt‑‑ "unrechtmäßig" war. Dies ergibt sich aus Art. 5 Abs. 1 Buchst. a DSGVO, der klar zwischen Rechtmäßigkeit, Treu und Glauben sowie Transparenz differenziert (vgl. auch Herbst in Kühling/Buchner, DS-GVO BDSG, 3. Aufl., Art. 5 DSGVO Rz 10 f.: "enges Verständnis" des Be­griffs der Rechtmäßigkeit).

d) Aus alledem ergibt sich, dass der Kläger keinen Anspruch auf Löschung sei­ner verarbeiteten personenbezogenen Daten gemäß Art. 17 Abs. 1 Buchst. d DSGVO hat.

e) Dasselbe Ergebnis bestimmt Art. 17 Abs. 3 Buchst. b Variante 2 DSGVO.

Hiernach besteht kein Löschungsanspruch, soweit die Verarbeitung personen­bezogener Daten erforderlich ist zur Wahrnehmung einer Aufgabe, die im öf­fentlichen Interesse liegt. Auch insofern bedarf es allerdings einer rechtlichen Grundlage im Unions‑ oder nationalen Recht (vgl. Nolte/Werkmeister in Gola/Heckmann, DS-GVO BDSG, 3. Aufl., Art. 17 DSGVO Rz 46), die der nati­onale Gesetzgeber mit § 29b AO geschaffen hat.

3. Das im Hilfsantrag vom Kläger weiterverfolgte Widerspruchsrecht gemäß Art. 21 Abs. 1 Satz 1 Halbsatz 1 DSGVO besteht nicht.

a) Nach dieser Vorschrift hat die betroffene Person das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbei­tung sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 Satz 1 Buchst. e oder f DSGVO erfolgt, Widerspruch einzulegen.

Art. 23 Abs. 1 DSGVO gestattet den Mitgliedstaaten der EU allerdings, unter anderem das vorgenannte Widerspruchsrecht im Wege von Gesetzgebungs­maßnahmen zu beschränken, sofern eine solche Beschränkung den Wesensge­halt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die die in Buchstaben a bis j geregelten Schutzgüter sicherstellt. Als Schutzgut im Sinne von Art. 23 Abs. 1 Buchst. e DSGVO benennt der Verordnungsgeber sonstige wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, wobei er beispielhaft den Währungs‑, Haushalts- und Steuerbereich der Union oder eines Mitgliedstaats anführt.

Von einer solchen Beschränkungsmöglichkeit hat der nationale Gesetzgeber mit § 32f Abs. 5 AO Gebrauch gemacht. Hiernach besteht das Recht auf Wi­derspruch gemäß Art. 21 Abs. 1 DSGVO gegenüber einer Finanzbehörde nicht, soweit an der Verarbeitung ein zwingendes öffentliches Interesse besteht, das die Interessen der betroffenen Person überwiegt (Alternative 1), oder eine Rechtsvorschrift zur Verarbeitung verpflichtet (Alternative 2).

b) Jedenfalls die Voraussetzungen der Alternative 1 liegen vor.

Der Kläger ist seinen Mitwirkungspflichten im Rahmen der bei ihm angeordne­ten Außenprüfung (§ 193, § 200 AO) nicht nachgekommen. Zum Zweck der Überprüfung der Einkünfte und Umsätze des Klägers aus selbständiger Arbeit auf Richtigkeit und Vollständigkeit war es dem FA gestattet, von G die Vorlage der Kontoauszüge zu verlangen. Die hiermit unweigerlich einhergehende Ver­arbeitung personenbezogener Daten war mit Blick auf die in einem zwingen­den öffentlichen Interesse liegende Aufgabe des FA, Steuern nach Maßgabe der Gesetze gleichmäßig festzusetzen (§ 85 Satz 1 AO) und hierbei den Be­steuerungssachverhalt von Amts wegen zu ermitteln (§ 88 Abs. 1 Satz 1 AO), vom Kläger hinzunehmen.

4. Die vom Kläger gerügten Verfahrensmängel greifen nicht durch.

a) Weder liegt ein Begründungsausfall im Sinne von § 119 Nr. 6 FGO vor noch kann der Kläger mit Erfolg eine Verletzung seines Anspruchs auf Gewährung rechtlichen Gehörs gemäß Art. 103 Abs. 1 GG, § 96 Abs. 2 FGO geltend ma­chen.

Der Gehörsanspruch verpflichtet das Gericht nur, die Ausführungen der Betei­ligten zur Kenntnis zu nehmen, in Erwägung zu ziehen und sich mit dem ent­scheidungserheblichen Kern des Vorbringens auseinanderzusetzen (sogenann­te Beachtenspflicht). Jener Anspruch verpflichtet aber nicht, sich mit Ausfüh­rungen der Beteiligten auseinanderzusetzen, auf die es für die Entscheidung nicht ankommt (statt vieler BFH-Beschluss vom 11.11.2022 ‑ VIII B 97/21, Rz 9, m.w.N.). Ebenso wenig besteht die Pflicht, sich mit jedem Vorbringen in den Entscheidungsgründen ausdrücklich zu befassen. Der Gehörsanspruch ist erst verletzt, wenn das Gericht Vorbringen, auf das es ankommen kann, nicht nur nicht ausdrücklich bescheidet, sondern bei seiner Entscheidung überhaupt nicht berücksichtigt (BFH-Beschlüsse vom 26.02.2019 ‑ VIII B 133/18, Rz 4; vom 13.03.2015 ‑ X B 138/14, Rz 24).

Nach diesen Maßstäben ist dem FG keine Gehörsverletzung vorzuhalten. Das wesentliche Vorbringen des Klägers, § 97 Abs. 1 AO genüge nicht den Anfor­derungen von Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 3 Satz 1 Buchst. b sowie Satz 2 ff. DSGVO, war aus den oben genannten Gründen nicht entscheidungs­erheblich. Mit dem Kern seiner Rüge wendet sich der Kläger insoweit gegen die materielle Rechtmäßigkeit der angefochtenen Entscheidung und macht keinen Verfahrensfehler geltend. Er beanstandet letztlich, vom FG nicht "er­hört" worden zu sein, da sich dieses nicht seinen rechtlichen Ansichten ange­schlossen hat; dies wird vom Gehörsanspruch nicht umfasst (BFH-Beschluss vom 14.11.2022 ‑ XI B 106/21, Rz 16, m.w.N.).

b) Die Entscheidung der Vorinstanz, das Klageverfahren nicht nach § 74 FGO auszusetzen und keine Vorabentscheidung des EuGH zu den vom Kläger auf­geworfenen Rechtsfragen einzuholen, verletzt ihn nicht in seinem Anspruch auf den gesetzlichen Richter gemäß Art. 101 Abs. 1 Satz 2 GG. Das FG ist als erstinstanzliches Gericht nach Art. 267 Abs. 2 AEUV nur berechtigt, nicht aber verpflichtet, den EuGH um eine Vorabentscheidung zu ersuchen (BFH-Be­schluss vom 26.06.2021 ‑ VIII B 46/20, Rz 29, m.w.N.).

5. Ein Vorabentscheidungsersuchen des erkennenden Senats an den EuGH ge­mäß Art. 267 Abs. 3 AEUV ist nicht geboten.

a) Entgegen der Auffassung der Vorinstanz enthält der Streitfall zwar entschei­dungserhebliche Fragen zur Auslegung des Unionsrechts. Dieser Umstand ver­pflichtet den Senat aber nicht, eine Vorabentscheidung des EuGH einzuholen. Denn eine Vorlagepflicht nach Art. 267 Abs. 3 AEUV besteht nicht, wenn zu der entscheidungserheblichen Frage nach der Auslegung oder Gültigkeit des Unionsrechts bereits eine gesicherte Rechtsprechung des EuGH existiert ("acte éclairé") oder die richtige Anwendung des Unionsrechts derart offenkundig ist, dass keinerlei Raum für einen vernünftigen Zweifel an der Entscheidung der gestellten Frage bleibt, sogenannte "acte clair" (EuGH-Urteil Srl CILFIT und Lanificio di Gavardo SpA gegen Ministero della Sanità vom 06.10.1982 ‑ C‑283/81, EU:C:1982:335, Rz 13 ff.; vgl. auch BVerfG-Beschluss vom 04.03.2021 ‑ 2 BvR 1161/19, Rz 55; Wegener in Calliess/Ruffert, EUV/AEUV, 6. Aufl., Art. 267 AEUV Rz 33; Schönfeld, IStR 2022, 617, 623).

b) Nach diesen Maßstäben bedarf es im Streitfall keines Vorabentscheidungs­ersuchens.

Durch die Rechtsprechung des EuGH ist bereits geklärt, dass die Steuererhe­bung ‑‑neben der Bekämpfung des Steuerbetrugs‑‑ als eine im öffentlichen In­teresse liegende Aufgabe im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO ist (EuGH-Urteil "SS" SIA gegen Valsts ieņēmumu dienests vom 24.02.2022 ‑ C‑175/20, EU:C:2022:124, Rz 70). Hieran anknüpfend kann es keinem ver­nünftigen Zweifel unterliegen, dass § 29b AO den besonderen unionsrecht­lichen Anforderungen, die Art. 6 Abs. 3 Satz 2 und Abs. 3 Satz 4 DSGVO für die Legitimation der Verarbeitung personenbezogener Daten vorgibt, genügt. Beide Normen knüpfen an ein im "öffentlichen Interesse" liegendes Ziel an.

Ebenso geklärt sind der unionsrechtliche Grundsatz des Normwiederholungs­verbots und die hiervon bestehenden Ausnahmen (EuGH-Urteile Kommission der Europäischen Gemeinschaften gegen Italienische Republik vom 07.02.1973 ‑ C‑39/72, EU:C:1973:13, Rz 17; Fratelli Variola S.p.A. gegen Amministrazione italiana delle Finanze vom 10.10.1973 ‑ C‑34/73, EU:C:1973:101, Rz 9 ff. sowie Kommission der Europäischen Gemeinschaften gegen Italienische Republik vom 28.03.1985 ‑ C‑272/83, EU:C:1985:147, Rz 26 f.). Da der der Datenschutz-Grundverordnung vorangestellte Erwä­gungsgrund Nummer 8 es ausdrücklich zulässt, dass die Mitgliedstaaten unter den dort genannten Voraussetzungen Teile der Verordnung wörtlich in ihr na­tionales Recht aufnehmen, besteht nach Ansicht des erkennenden Senats auch keinerlei Raum für vernünftige Zweifel, dass § 29b AO insoweit unionsrechts­konform ist.

Schließlich bieten sowohl die sprachlichen Fassungen von Art. 6 Abs. 2 und Abs. 3 Satz 3 DSGVO als auch der der Datenschutz-Grundverordnung voran­gestellte und insoweit maßgebliche Erwägungsgrund Nummer 45 für den Se­nat hinreichend Anlass, zweifelsfrei annehmen zu können, dass der nationale Gesetzgeber unionsrechtlich befugt war, § 29b AO als abstrakten Erlaubnistat­bestand für die Verarbeitung personenbezogener Daten auszugestalten. Präzi­sierungen zu den unionsrechtlichen Erlaubnistatbeständen sind hiernach aus­drücklich ins Ermessen der nationalen Gesetzgeber gestellt. Zudem gestattet Satz 3 des der Datenschutz-Grundverordnung vorangestellten Erwägungs­grunds Nummer 45 ausdrücklich, dass ein (nationales) Gesetz ‑‑vorliegend § 29b AO‑‑ "Grundlage für mehrere Verarbeitungsvorgänge" sein kann, wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse erforderlich ist.

6. Die Kostenentscheidung beruht auf § 135 Abs. 2 FGO.