Bundesfinanzhof, Urteil vom 12.12.2023, Az. IX R 33/21

Die Beteiligten streiten um die Rechtmäßigkeit eines Kontenabrufs nach § 93 Abs. 7 der Abgabenordnung ([X.]) und begehren ein Einschreiten der Datenschutzaufsichtsbehörde.

Die Kläger und Revisionskläger (Kläger) werden beim Finanzamt … ([X.]) steuerlich geführt. Mit diesem führen sie eine streitige Auseinandersetzung wegen verfassungsrechtlicher Bedenken gegen Säumniszuschläge.

Im Zusammenhang mit Vollstreckungsmaßnahmen wegen der Nichtzahlung der Säumniszuschläge versandte das [X.] am 16.12.2019 eine Pfändungs- und Einziehungsverfügung an die [X.]. Nachdem eine Drittschuldnererklärung der [X.] zunächst nicht beim [X.] einging, veranlasste das [X.] am 21.01.2020 eine [X.] beim Bundeszentralamt für Steuern.

Die Kläger wandten sich an den Beklagten und Revisionsbeklagten, den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit --Beklagter--) mit einer Beschwerde. Sie trugen unter anderem vor, das [X.] habe die nicht rechtskräftig titulierten Säumniszuschläge [X.] wollen, ohne den rechtskräftigen Ausgang eines eingelegten Rechtsmittels abzuwarten. Der Kontenabruf verletze ihre Datenschutzrechte. Das [X.] habe zunächst eine Vermögensauskunft bei ihnen einholen müssen.

Der Beklagte teilte nach Ermittlung des Sachverhalts den Klägern mit, er halte den durchgeführten Kontenabruf für plausibel und rechtmäßig. Es habe sich um eine nach Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 2, 3 der [X.] ([X.]), § 29b Abs. 1 [X.] und § 85 [X.] zulässige Datenverarbeitung gehandelt.

Am 29.06.2021 erließ der Beklagte einen Bescheid, mit dem die Beschwerde der Kläger abgewiesen wurde. Die [X.] des [X.] wertete der Beklagte als datenschutzrechtlich zulässig. Das [X.] habe sein Ermessen vor dem Hintergrund der bisherigen Zahlungs- und Vollstreckungserfahrungen mit den Klägern fehlerfrei ausgeübt.

Die von den Klägern nachfolgend beim Finanzgericht ([X.]) erhobene Klage, mit der sie die Aufhebung des Bescheids vom 29.06.2021 und die Festsetzung von Geldbußen begehrten, wurde mit Urteil vom 27.10.2021 - 2 K 1415/21 (Entscheidungen der Finanzgerichte 2022, 230) als unbegründet abgewiesen. Eine inhaltliche Überprüfung der Beschwerdeentscheidung einer datenschutzrechtlichen Aufsichtsbehörde sei in der [X.] nicht vorgesehen. Bei dem Beschwerderecht nach Art. 77 Abs. 1 [X.] handele es sich um ein petitionsähnlich ausgestaltetes Recht, das nur eingeschränkter richterlicher Kontrolle unterliege. Gegen eine inhaltliche Prüfung der aufsichtsrechtlichen Entscheidung spreche insbesondere der Umstand, dass dem Betroffenen neben seinem Beschwerderecht gegenüber der Aufsichtsbehörde regelmäßig auch die Möglichkeit eingeräumt sei, gegenüber dem Verantwortlichen selbst um Rechtsschutz nachzusuchen. Der Beklagte habe sich mit dem Anliegen der Kläger inhaltlich befasst und diesen das Ergebnis mitgeteilt. Ein weitergehender Anspruch der Kläger bestehe nicht. Dass die datenschutzrechtliche Würdigung des Sachverhalts durch den Beklagten völlig fernliegend und willkürlich sei, sei nicht ersichtlich. Gemäß § 93 Abs. 7 Satz 1 Nr. 4 [X.] dürfe ein automatisierter Abruf von Kontoinformationen durchgeführt werden, wenn er unter anderem zur Erhebung von bundesgesetzlich geregelten Steuern erforderlich sei. Gemäß § 93 Abs. 7 Satz 2 Halbsatz 2 [X.] dürfe das Abrufersuchen nur dann erfolgen, wenn ein Auskunftsersuchen an den Steuerpflichtigen nicht zum Ziel geführt habe oder keinen Erfolg verspreche. Die Bewertung des Beklagten, das [X.] habe aufgrund der Gesamtumstände davon ausgehen dürfen, dass ein Auskunftsersuchen an die Kläger keinen Erfolg verspreche, sei weder fernliegend noch willkürlich, sondern sogar ausdrücklich nachvollziehbar.

Mit ihrer Revision bringen die Kläger vor: Die Auffassung des [X.] sei unzutreffend. Das [X.] vollstrecke, obwohl die streitigen Säumniszuschläge und Zinsen noch gar nicht rechtskräftig bestätigt seien. Der Kontenabruf sei dafür gar nicht notwendig gewesen. In ihrem Fall habe das [X.] in die ihm seit langem bekannte Kontoverbindung vollstreckt, was zur vollständigen Tilgung der Rückstände geführt habe. Zu der [X.] sei das [X.] daher nicht berechtigt gewesen. Weiter sei ihr Grundrecht auf informationelle Selbstbestimmung nach Art. 2 Abs. 1, Art. 1 Abs. 1 des Grundgesetzes verletzt. Der Rechtsbehelf des Art. 78 Abs. 1 [X.] mache nur Sinn, wenn damit auch eine inhaltliche Prüfung des Beschlusses durch das angerufene Gericht möglich sei. Art. 78 Abs. 1 [X.] diene gerade der gerichtlichen Überwachung der Arbeit des Beklagten. Es werde ein "wirksamer Rechtsbehelf" verlangt. Die Auffassung des Beklagten bedeute, dass ein [X.] aus beliebigen Gründen und wann es dies für seine Interessen für sinnvoll halte, einen Kontenabruf tätigen könne.

Die Kläger beantragen sinngemäß,
das Urteil des [X.] Köln vom 27.10.2021 - 2 K 1415/21 und den Bescheid des Beklagten vom 29.06.2021 aufzuheben und über seine Beschwerde unter Beachtung der Rechtsauffassung des [X.] neu zu entscheiden.

Der Beklagte beantragt,
die Revision als unbegründet zurückzuweisen.

Das angefochtene Urteil beruhe weder auf einem fehlerhaften Prüfungsmaßstab noch auf einer fehlerhaften Anwendung der Abgabenordnung oder der Grundrechte. Den den Klägern zukommenden [X.] habe der Beklagte mit dem Bescheid vom 29.06.2021 vollumfänglich erfüllt. Der petitionsähnliche [X.] nach Art. 77 [X.] unterliege nur eingeschränkter gerichtlicher Kontrolle. Art. 57 Abs. 1 Buchst. f [X.] sehe vor, dass die Datenschutzaufsichtsbehörde den Gegenstand der Beschwerde in angemessenem Umfang untersuche und den Beschwerdeführer in angemessener Frist über den Fortgang und das Ergebnis der Untersuchung unterrichte. Der Aufsichtsbehörde stehe ein weiter Ermessenspielraum zu, wie sie mit einer Beschwerde verfahre. Einen darüber hinausgehenden Anspruch begründe das Beschwerderecht nicht. Ein Beschwerdeführer könne daher grundsätzlich (nur) beanspruchen, dass sich die Datenschutzaufsichtsbehörde mit seiner Beschwerde überhaupt befasse und ihn innerhalb der dort genannten Zeiträume über den Stand und das Ergebnis der Beschwerde unterrichte. Gegen eine inhaltliche Überprüfung spreche auch die dem Betroffenen neben seinem Beschwerderecht gegenüber der Aufsichtsbehörde eingeräumte Möglichkeit, nach Maßgabe des Art. 79 [X.] selbst gegenüber dem Verantwortlichen um Rechtsschutz nachzusuchen. Unabhängig von der Frage des [X.] habe sich das [X.] nicht auf eine reine Willkürkontrolle beschränkt. Stattdessen habe es die Entscheidung des Beklagten inhaltlich geprüft und diese für zutreffend gehalten. Im Übrigen erweise sich die Beschwerdeentscheidung auch als rechtmäßig. Soweit in Rechtsprechung und Schrifttum eine vollständige gerichtliche Überprüfung verlangt werde, habe das [X.] zu Recht einen Verstoß gegen § 93 Abs. 8 [X.], § 93 Abs. 7 Satz 1 Nr. 4 und Satz 2 [X.] abgelehnt.

Die Revision ist begründet. Die Vorentscheidung ist aufzuheben und die Sache zur anderweitigen Verhandlung und Entscheidung an das [X.] zurückzuverweisen (§ 126 Abs. 3 Satz 1 Nr. 2 der Finanzgerichtsordnung --[X.]O--).

1. Die Entscheidung des [X.] ist aufzuheben. Das [X.] ist fehlerhaft davon ausgegangen, dass eine gerichtliche Überprüfung der Entscheidung der Aufsichtsbehörde nur in beschränktem Umfang stattfindet und insbesondere eine gerichtliche Überprüfung, ob die Beschwerdeentscheidung des Beklagten auch inhaltlich zutreffend ist, ausscheidet. Denn Art. 78 [X.] erfordert eine vollumfängliche gerichtliche Überprüfung der Beschwerdeentscheidung der Aufsichtsbehörde.

a) Nach Art. 78 Abs. 1 [X.] hat jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Dieses Recht besteht auch, wenn eine Beschwerde gemäß Art. 77 [X.] zurückgewiesen wird (vgl. Art. 77 Abs. 2 [X.]).

Art. 78 [X.] fordert einen "wirksamen gerichtlichen Rechtsbehelf" gegen eine Aufsichtsbehörde. Die Regelung gewährleistet ein hohes Schutzniveau der dem Einzelnen aus dem Unionsrecht erwachsenden Rechte. Dies hat anhand der nationalen Verfahrensvorschriften zu erfolgen (vgl. Urteile des Gerichtshofs der [X.] --[X.]-- Budapesti Elektromos Művek vom 12.01.2023 - [X.], [X.]:[X.], Rz 43, 45 und [X.] vom 07.12.2023 - [X.]/22, [X.]:C:2023:958, Rz 51).

Ziel der [X.] ist, ein gleichmäßiges und hohes Datenschutzniveau zu gewährleisten. Das Schutzniveau soll in allen Mitgliedstaaten gleichwertig sein (Erwägungsgrund 10 der [X.]). Ein unionsweit wirksamer Schutz personenbezogener Daten erfordert die Stärkung und präzise Festlegung der Rechte der betroffenen Personen sowie eine Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden (Erwägungsgrund 11 der [X.]). Nach Erwägungsgrund 141 der [X.] sollte jede betroffene Person das Recht haben, bei einer Aufsichtsbehörde eine Beschwerde einzureichen und einen wirksamen gerichtlichen Rechtsbehelf einzulegen, wenn sie sich in ihren Rechten aus der [X.] verletzt sieht, die Aufsichtsbehörde auf ihre Beschwerde hin nicht tätig wird oder die Beschwerde ganz oder teilweise abweist. In dem gerichtlichen Verfahren gegen eine Aufsichtsbehörde soll das zuständige Gericht eine uneingeschränkte Zuständigkeit besitzen, was die Zuständigkeit, sämtliche für den anhängigen Rechtsstreit maßgebliche Sach- und Rechtsfragen zu prüfen, einschließt (vgl. Erwägungsgrund 143 der [X.] sowie [X.] Elektromos Művek vom 12.01.2023 - [X.], [X.]:[X.], Rz 41 ff. und [X.] vom 07.12.2023 - [X.]/22, [X.]:C:2023:958, Rz 52). Die [X.] legt mithin den Mitgliedstaaten die Verpflichtung auf, ein hohes Schutzniveau zu gewährleisten.

Die Ausgestaltung des Rechtsschutzes darf dabei nicht weniger günstig ausgestaltet sein als für entsprechende innerstaatliche Rechtsbehelfe (Grundsatz der Äquivalenz) und die Ausübung der durch die [X.] gewährten Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Grundsatz der Effektivität, vgl. [X.] vom 14.07.2022 - [X.]/21 und [X.]/21, [X.]:C:2022:565, Rz 73, m.w.[X.] und Budapesti Elektromos Művek vom 12.01.2023 - [X.], [X.]:[X.], Rz 48; vgl. auch [X.] Datenschutzrecht/Mundil, 46. [X.]. [Stand 01.11.2021], [X.] Art. 78 Rz 13). Daher kann Art. 78 [X.] nicht dahin ausgelegt werden, dass die gerichtliche Überprüfung einer aufsichtsbehördlichen Beschwerdeentscheidung darauf beschränkt ist, ob die Behörde sich mit der Beschwerde befasst, den Gegenstand der Beschwerde in angemessenem Umfang untersucht und den Beschwerdeführer über das Ergebnis der Prüfung in Kenntnis setzt. Vielmehr muss die aufsichtsbehördliche Beschwerdeentscheidung, damit ein gerichtlicher Rechtsbehelf "wirksam" ist, einer vollständigen gerichtlichen Überprüfung durch ein Gericht unterliegen (vgl. [X.]-Urteil [X.] vom 07.12.2023 - [X.]/22, [X.]:C:2023:958, Rz 53; Urteil des [X.] vom 07.10.2019 - 5 Bf 279/17, Zeitschrift für Öffentliches Recht in Norddeutschland 2020, 285, Rz 63 ff; Bergt in [X.]/[X.], DS-GVO [X.], 4. Aufl., Art. 78 [X.] Rz 11; [X.] in [X.]/[X.], DS-GVO, 2. Aufl., Art. 78 Rz 9; [X.] in [X.]/[X.], DS-GVO [X.], 3. Aufl., Art. 78 [X.] Rz 5; [X.] in Simitis/[X.]/[X.] gen. Döhlmann, Datenschutzrecht, 1. Aufl., Art. 78 [X.] Rz 5; [X.], Datenschutz-Berater --[X.]-- 2020, 68, 70; [X.]/[X.], juris [X.] IT-Recht --[X.]-- 14/2021, [X.]. 6, unter [X.]; [X.], [X.] 7/2021, [X.]. 3, unter [X.]; [X.]/[X.]/Thiess, Computer und Recht 2018, 296, 300).

Gemäß dem in Art. 4 Abs. 3 des Vertrags über die [X.] verankerten Grundsatz der loyalen Zusammenarbeit haben die Gerichte der Mitgliedstaaten den gerichtlichen Schutz der Rechte zu gewährleisten, die im Einzelnen aus der [X.] erwachsen. Insoweit darf das in Art. 47 der Charta der Grundrechte der [X.] verankerte Recht auf einen wirksamen Rechtsbehelf nicht beeinträchtigt werden. Dies gilt insbesondere auch für die in Art. 77 Abs. 1 und Art. 78 Abs. 1 [X.] vorgesehenen Rechtsbehelfe (vgl. [X.] vom 27.09.2017 - [X.]/16, [X.]:[X.], Rz 76 und Budapesti Elektromos Művek vom 12.01.2023 [X.], [X.]:[X.], Rz 50 f.; Pötters/Werkmeister in [X.], DS-GVO [X.], 3. Aufl., Art. 78 [X.] Rz 1; [X.] in Simitis/[X.]/[X.] gen. Döhlmann, Datenschutzrecht, 1. Aufl., Art. 78 [X.] Rz 5).

b) Die von der Vorinstanz vertretene Ansicht, eine Beschwerdeentscheidung nach Art. 77 [X.] unterliege (nur) einer eingeschränkten richterlichen Kontrolle, und eine inhaltliche Überprüfung der Beschwerdeentscheidung scheide demzufolge aus, widerspricht diesen Grundsätzen. Die obengenannten Grundsätze erfordern stattdessen eine vollständige Überprüfung der Beschwerdeentscheidung des Beklagten nach Maßgabe des nationalen ([X.]) Prozessrechts (vgl. [X.] in [X.]/[X.], DS-GVO, 2. Aufl., Art. 78 Rz 9). Art. 77 [X.] begründet ein subjektiv-öffentliches Recht auf Überprüfung einer Maßnahme durch eine Aufsichtsbehörde (vgl. dazu [X.] in [X.]/Marsch, DS-GVO [X.], 3. Aufl., Art. 77 [X.] Rz 18; [X.], [X.] 2020, 68). Es dient dem effektiven Schutz der Rechte von betroffenen Personen im Anwendungsbereich der [X.] (vgl. [X.] in [X.]/[X.], DS-GVO, 2. Aufl., Art. 77 Rz 1). Dies muss über das nationale Prozessrecht gewährleistet werden (vgl. [X.] in [X.]/[X.]/[X.]/[X.], DS-GVO/[X.], 2. Aufl., Art. 78 [X.] Rz 73). Die von der Vorinstanz vertretene Annahme einer nur eingeschränkten richterlichen Kontrolle schränkt dieses Recht eines Beschwerdeführers im Hinblick auf eine vollständige Nachprüfung in rechtlicher und tatsächlicher Hinsicht ein.

Die vom [X.] vertretene Annahme eines bloßen Petitions- oder Befassungsrechts und der damit verbundene eingeschränkte Prüfungsmaßstab bewirken eine Schwächung des Schutzes natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten und erschweren die europaweite Durchsetzbarkeit der [X.] (vgl. auch [X.] in [X.]/[X.], DS-GVO, 2. Aufl., Art. 77 Rz 2). Denn ein Petitionsrecht räumt dem Betroffenen keinen Anspruch, auch nicht auf eine ermessensfehlerfreie Entscheidung ein. Vielmehr hat nach den Vorgaben der [X.] das Gericht die Beschwerdeentscheidung in vollem Umfang nach Maßgabe des nationalen Prozessrechts --mithin auf datenschutzrechtliche Regelungen des Europarechts und des nationalen Rechts-- zu überprüfen.

2. Das [X.] hat weiter nicht geprüft, ob der Beklagte zutreffend angenommen hat, dass der Kontenabruf nach Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 2, 3 [X.] i.V.m. § 29b Abs. 1 [X.] datenschutzrechtlich zulässig ist.

a) Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 [X.] genannten Bedingungen erfüllt ist (Verbot mit Erlaubnisvorbehalt; statt vieler Wackerbeck in [X.]/[X.]/[X.], § 29b [X.] 9, m.w.[X.]). Dies ist unter anderem nach Art. 6 Abs. 1 Satz 1 Buchst. e [X.] der Fall, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Hierfür bedarf es gemäß Art. 6 Abs. 3 Satz 1 [X.] einer Rechtsgrundlage, die entweder durch das Unionsrecht (Buchst. a) oder durch das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt (Buchst. b), festgelegt wird. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ferner ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen (Art. 6 Abs. 3 Satz 4 [X.]).

Das Steuerverfahrensrecht sieht mit § 29b [X.] eine bereichsspezifische Rechtsgrundlage zur Verarbeitung personenbezogener Daten im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. e [X.] vor. Nach § 29b Abs. 1 [X.] ist die Verarbeitung personenbezogener Daten durch eine Finanzbehörde zulässig, wenn sie zur Erfüllung der ihr obliegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die ihr übertragen wurde, erforderlich ist. Die Vorschrift des § 29b [X.] legitimiert die Finanzbehörden unter den dort genannten Voraussetzungen für sämtliche das Steuerverfahrensrecht betreffende Maßnahmen zur Verarbeitung personenbezogener Daten (vgl. dazu Senatsurteil vom 05.09.2023 - IX R 32/21, zur amtlichen Veröffentlichung vorgesehen, Rz 21 ff.).

Rechtsgrundlage für die hier in Streit stehende Verarbeitung von personenbezogenen Daten ist § 93 Abs. 7 Satz 1 Nr. 4, Satz 2 [X.]. Danach ist ein automatisierter Abruf von [X.] (§ 93b [X.]) zulässig, soweit der Abruf zur Erhebung bundesgesetzlich geregelter Steuern erforderlich ist. Ein Abrufersuchen darf nur dann erfolgen, wenn ein Auskunftsersuchen an den Steuerpflichtigen nicht zum Ziel geführt hat oder keinen Erfolg verspricht. Eine nach § 29b [X.] zulässige Verarbeitung liegt daher dann vor, wenn der Kontenabruf nach § 93 Abs. 7 Satz 1 Nr. 4, Satz 2 [X.] zur Erfüllung einer dem [X.] obliegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die ihm übertragen wurde, erforderlich war.

Dies kann zum Beispiel die Beitreibung nicht gezahlter Steuern im Rahmen des [X.] sein. Denn insoweit sind die Finanzbehörden zur Vorbereitung der Vollstreckung nach § 249 Abs. 2 Satz 1 [X.] befugt, die Vermögens- und Einkommensverhältnisse zu ermitteln. Eine zulässige Ermittlungsmaßnahme stellt der Kontenabruf nach § 93 Abs. 7 Satz 1 Nr. 4, Satz 2 [X.] dar. Werden die auf diese Weise ermittelten personenbezogenen Daten zur Erfüllung der dem [X.] obliegenden Aufgabe der Vollstreckung bundesgesetzlich geregelter Steuern verarbeitet, ist dies von § 29b [X.] gedeckt und mithin nicht zu beanstanden.

Allerdings ist die Verarbeitung personenbezogener Daten nicht im Sinne von § 29b Abs. 1 [X.] erforderlich, wenn die Tatbestandsvoraussetzungen des § 93 Abs. 7 [X.] offensichtlich nicht gegeben sind.

b) Das [X.] hat nicht geprüft, ob der Beklagte mit dem angefochtenen Bescheid vom 29.06.2021 zu Recht zu dem Ergebnis gekommen ist, dass für das [X.] als Verantwortlicher im Sinne von § 2a Abs. 3 [X.] i.V.m. Art. 4 Nr. 7 [X.] der Kontenabruf nach § 93 Abs. 7 Satz 1 Nr. 4, Satz 2 [X.] erforderlich war und das [X.] zu diesem Zweck die Kläger betreffende personenbezogene Daten verarbeiten durfte. Denn mit der Kontenabfrage hat das [X.] Daten im Sinne von Art. 4 Nr. 2 [X.] erhoben, abgefragt und verwertet. Diese Verarbeitung ist nur rechtmäßig im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. e [X.], wenn der erfolgte Kontenabruf von § 29b [X.] gedeckt war. Dies ist der Fall, wenn die mit dem Kontenabruf einhergehende Verarbeitung personenbezogener Daten durch das [X.] zur Erfüllung einer ihm obliegenden Aufgabe erforderlich ist.

3. Der Senat kann in der Sache nicht selbst abschließend entscheiden. Die Sache ist nicht spruchreif und daher zur anderweitigen Verhandlung und Entscheidung an das [X.] zurückzuverweisen. Aufgrund der vom [X.] getroffenen Feststellungen kann nicht entschieden werden, ob der Beklagte die Beschwerde der Kläger nach Art. 77 [X.] zu Recht zurückgewiesen hat. Für den weiteren Fortgang im Verfahren weist der Senat dabei auf Folgendes hin:

Das [X.] hat die Beschwerdeentscheidung des Beklagten nach Art. 78 [X.] auf der Grundlage des nationalen Verfahrensrechts vollumfänglich zu überprüfen.

a) Rechtsgrundlage der streitgegenständlichen Beschwerdeentscheidung ist Art. 57 Abs. 1 Buchst. f [X.]. Welcher Untersuchungsumfang im Rahmen des [X.] bei der Bearbeitung einer Beschwerde als "in angemessenen Umfang" anzusehen ist, regelt Art. 57 [X.] nicht. Aus Erwägungsgrund 141 Satz 2 der [X.] folgt, dass die Untersuchung vorbehaltlich gerichtlicher Überprüfung so weit gehen soll, wie dies im Einzelfall angemessen ist. Maßstab für den Umfang der Ermittlungen sind danach insbesondere die individuelle Bedeutung der Sache und die Schwere des in Rede stehenden Verstoßes. Insoweit steht der Aufsichtsbehörde ein Ermessen zu (vgl. u.a. [X.] Datenschutzrecht/Eichler/Matzke, 46. [X.]. [Stand 01.08.2023], [X.] Art. 57 Rz 17 und [X.] Datenschutzrecht/Mundil, 46. [X.]. [Stand 01.11.2021], [X.] Art. 77 Rz 14 f.; [X.] in [X.]/[X.], DS-GVO [X.], 4. Aufl., Art. 57 [X.] Rz 11 f. und Bergt in [X.]/[X.], DS-GVO [X.], 4. Aufl., Art. 77 [X.] Rz 16; [X.] in [X.]/[X.], DS-GVO [X.], 3. Aufl., Art. 77 [X.] Rz 5). Dieses Ermessen ist nach Maßgabe des § 102 [X.]O zu überprüfen.

Einen Pflichtenkatalog, wie die Aufsichtsbehörde mit der Beschwerde zu verfahren hat, enthält Art. 77 [X.] nicht (vgl. u.a. [X.] Datenschutzrecht/Mundil, 46. [X.]. [Stand 01.11.2021], [X.] Art. 77 Rz 14; Bergt in [X.]/[X.], DS-GVO [X.], 4. Aufl., Art. 77 [X.] Rz 17). Die Untersuchung selbst hat nach der Rechtsprechung des [X.] in angemessenem Umfang und mit aller gebotenen Sorgfalt zu erfolgen (vgl. [X.]-Urteile Facebook Ireland und [X.] vom 16.07.2020 - [X.]/18, [X.]:[X.], Rz 111 und [X.] vom 07.12.2023 - [X.]/22, [X.]:C:2023:958, Rz 56). Dabei ist zu berücksichtigen, dass die Aufsichtsbehörde nach Art. 57 Abs. 1 Buchst. a [X.] zur Durchsetzung der [X.] verpflichtet ist.

Bei festgestellten Verstößen gegen datenschutzrechtliche Normen ist die Aufsichtsbehörde in der Regel gehalten, mit dem Ziel der Abstellung des Verstoßes Maßnahmen zu ergreifen (Art. 58 Abs. 2 [X.], vgl. [X.]-Urteile Facebook Ireland und [X.] vom 16.07.2020 - [X.]/18, [X.]:[X.] Rz 111 und [X.] vom 07.12.2023 - [X.]/22, [X.]:C:2023:958, Rz 57). Stellt die Aufsichtsbehörde keinen Verstoß gegen datenschutzrechtliche Vorschriften fest, hat sie den Beschwerdeführer innerhalb des in Art. 78 Abs. 2 [X.] genannten Zeitraums über den Stand und das Ergebnis der Beschwerde zu unterrichten.

b) Das [X.] hat mithin im zweiten Rechtszug darüber zu befinden, ob der Beklagte diese Pflichten bei der Bearbeitung der Beschwerde der Kläger erfüllt hat. Dazu gehört die Überprüfung, ob der Beklagte den Sachverhalt ermittelt, das Beschwerdevorbringen der Kläger zur Kenntnis genommen und anschließend den gesamten Sachverhalt in datenschutzrechtlicher Hinsicht geprüft und bewertet hat. Dazu hat das [X.] zu prüfen, ob der Beklagte zutreffend die Vereinbarkeit der streitigen Verarbeitung personenbezogener Daten mit Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 2, 3 [X.] i.V.m. § 29b Abs. 1 [X.] bejaht hat. Dies beinhaltet die Frage, ob die mit dem Kontenabruf einhergehende Verarbeitung personenbezogener Daten zur Erfüllung einer dem [X.] obliegenden Aufgabe erforderlich ist.

4. Die Übertragung der Entscheidung über die Kosten des Revisionsverfahrens auf das [X.] beruht auf § 143 Abs. 2 [X.]O.