Bundesfinanzhof, Urteil vom 12.03.2024, Az. IX R 35/21

Streitig ist, inwiefern aus Art. 15 Abs. 3 der Datenschutz-Grundverordnung (DSGVO) ein Anspruch auf Zurverfügungstellung von (elektronischen) Kopien von Steuerakten mit personenbezogenen Daten besteht.

Mit E-Mail vom 14.10.2020 beantragte der Kläger und Revisionskläger (Kläger) im Zusammenhang mit dem beim [X.](FG) unter dem Aktenzeichen 5 K 5093/20 geführten --inzwischen rechtskräftig abgeschlossenen-- Klageverfahren wegen der Festsetzung der [X.]bis 2015 gegenüber dem Beklagten und Revisionsbeklagten (Finanzamt --FA--) unter Berufung auf Art. 15 Abs. 3 DSGVO die elektronische Zurverfügungstellung der folgenden Verwaltungsvorgänge: Verwaltungsakten, Betriebsprüfungsakten, Rechtsbehelfsakten, etwaige Handakten, hilfsweise die Überlassung von Kopien personenbezogener Daten, die Gegenstand der Verarbeitung der Gewerbesteuermessbescheide 2013 bis 2015 sind. Das [X.]lehnte dieses Begehren mit Schreiben vom 21.10.2020 ab. Die hiergegen erhobene Klage blieb aus den in Entscheidungen der Finanzgerichte 2022, 586 abgedruckten Gründen ohne Erfolg.

Hiergegen wendet sich der Kläger mit seiner Revision, mit der er insbesondere die Verletzung materiellen Rechts rügt. Aus Art. 15 Abs. 3 DSGVO erwachse ein gegenüber dem Auskunftsrecht nach Art. 15 Abs. 1 DSGVO eigenständiger Anspruch auf Zurverfügungstellung von Kopien der Verwaltungsakten des FA, soweit darin personenbezogene Daten enthalten seien. Auch sei das Begehren auf Zurverfügungstellung der Kopien nicht exzessiv. Wegen der elektronischen Beantragung seien die Kopien in einem gängigen elektronischen Format zu übermitteln.

Der Kläger beantragt,
das Urteil des [X.]Berlin-Brandenburg vom 27.10.2021 - 16 K 5148/20 aufzuheben und das [X.]zu verurteilen, elektronische Kopien der Verwaltungsvorgänge zu den Gewerbesteuermessbeträgen 2013 bis 2015 (Verwaltungsakten, Betriebsprüfungsakten, Rechtsbehelfsakten als auch etwaige Handakten, alle inklusive sämtlicher Gesprächsnotizen und Telefonvermerke über die Person des Klägers), hilfsweise als unentgeltliche physische Kopie, zur Verfügung zu stellen.

Das [X.]beantragt,
die Revision zurückzuweisen.

Infolge der Beendigung des Verfahrens wegen der Festsetzung der [X.]bis 2015 sei das Rechtsschutzbedürfnis in Hinblick auf den Erhalt der begehrten Auskunft entfallen. Dem Auskunftsbegehren stehe außerdem entgegen, dass dessen Erfüllung mit einem unverhältnismäßigen Aufwand verbunden sei. Jedenfalls könne anstatt Kopien zur Verfügung zu stellen, Akteneinsicht gewährt werden, um das Auskunftsbegehren zu erfüllen.

Das [X.]hat dem Kläger die elektronische Übersendung einer Aufstellung mit seinen personenbezogenen Daten angeboten. Auf dieses Angebot ist der Kläger nicht eingegangen.

Die Revision ist zulässig.

Anders als das [X.]meint, ist für das Begehren des [X.]auf Auskunftserteilung nach Art. 15 DSGVO wegen der Beendigung des unter dem Aktenzeichen 5 K 5093/20 geführten Klageverfahrens betreffend die Festsetzung der [X.]bis 2015 nicht das Rechtsschutzbedürfnis entfallen. Der Auskunftsanspruch nach Art. 15 DSGVO ist eigenständig und nicht von einem anderweitigen Verwaltungs- oder Rechtsbehelfsverfahren abhängig. Nach Erwägungsgrund 63 Satz 1 [X.]ist Zweck des Auskunftsanspruchs, dass sich die betroffene Person der Verarbeitung ihrer personenbezogenen Daten bewusst sei und die Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten überprüfen kann.

Die Revision ist begründet. Sie führt zur Aufhebung der Vorentscheidung und zur Zurückverweisung der Sache zur anderweitigen Verhandlung und Entscheidung (§ 126 Abs. 3 Satz 1 Nr. 2 der Finanzgerichtsordnung --FGO--).

Zwar hat das [X.]die Zulässigkeit der Klage im Ergebnis zu Recht bejaht (dazu unter 1.). Zudem ist dem [X.]zuzustimmen, dass die [X.]auch im Bereich der direkten Steuern zur Anwendung kommt (dazu unter 2.). Das [X.]hat jedoch Art. 15 Abs. 3 DSGVO (dazu unter 3.) sowie Art. 12 Abs. 5 Satz 2 und Satz 3 DSGVO (dazu unter 4.) rechtsfehlerhaft angewendet. Aufgrund der vorgenannten Rechtsfehler ist das Urteil aufzuheben. Die angefochtene Entscheidung erweist sich auch nicht aus anderen Gründen als rechtmäßig (dazu unter 5.). [X.]ist nicht spruchreif, da das [X.]nicht sämtliche für eine abschließende Prüfung erforderlichen Feststellungen getroffen hat (dazu unter 6.).

1. Die Klage ist zulässig. Ob die Klage auf Zurverfügungstellung von Kopien personenbezogener Daten nach Art. 15 Abs. 3 DSGVO als Verpflichtungsklage nach § 40 Abs. 1 Variante 2 FGO, als allgemeine Leistungsklage nach § 40 Abs. 1 Variante 3 FGO oder als allgemeine Leistungsklage kombiniert mit einer Anfechtungs- beziehungsweise Verpflichtungsklage gegen die Ablehnung des Begehrens durch das [X.]statthaft ist, kann im vorliegenden Verfahren dahinstehen (für Verpflichtungsklage: Urteil des [X.]--BVerwG-- vom 30.11.2022 - 6 C 10.21, BVerwGE 177, 211, Rz 14; vgl. zur Geltendmachung eines Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO BVerwG-Urteil vom 16.09.2020 - 6 C 10.19, Rz 12; [X.]in Tipke/Kruse, § 40 FGO Rz 23; zur Ablehnung des Antrags auf Erörterung des Sach- und Rechtsstands gemäß § 364a der Abgabenordnung --AO-- Urteil des [X.]--BFH-- vom 11.04.2012 - I R 63/11, BFHE 237, 29, BStBl II 2012, 539, Rz 13 mit Verweis auf BFH-Urteil vom 16.12.1987 - I R 66/84, [X.]1988, 319, unter 3.a zur Ablehnung eines Antrags auf Überlassung von Fotokopien der schriftlichen Erklärungen von Zeugen; für allgemeine Leistungsklage vgl. BFH-Urteil vom 05.10.2006 - VII R 24/03, BFHE 215, 32, BStBl II 2007, 243, unter II.1.; BVerwG-Urteil vom 20.08.2003 - 8 C 13.02, m.w.N.; zur Kombination von allgemeiner Leistungsklage und Anfechtungs- beziehungsweise Verpflichtungsklage vgl. von [X.]in Gosch, FGO § 40 Rz 123; [X.]in Hübschmann/Hepp/Spitaler, § 40 FGO Rz 134; Gräber/Teller, Finanzgerichtsordnung, 9. Aufl., § 40 Rz 34). Denn die jeweiligen Zulässigkeitsvoraussetzungen der unterschiedlichen Klagearten liegen vor. Insbesondere ist ein nach § 44 FGO für die Verpflichtungsklage vorausgesetztes Vorverfahren nach § 32i Abs. 9 Satz 1 AO entbehrlich. Zudem hat der Kläger auch bereits vor Erhebung der Klage sein Begehren auf Zurverfügungstellung von Kopien personenbezogener Daten an das [X.]gerichtet, welches dieses abgelehnt hat, sodass auch das für eine allgemeine Leistungsklage erforderliche allgemeine Rechtsschutzbedürfnis vorliegt.

2. Die Verarbeitung personenbezogener Daten natürlicher Personen (als betroffene Person im Sinne von Art. 4 Nr. 1 DSGVO) durch das [X.](als Verantwortlicher im Sinne von Art. 4 Nr. 7 Halbsatz 1 DSGVO) im Rahmen eines Besteuerungsverfahrens unterliegt unabhängig von der Steuerart den Vorgaben der Datenschutz-Grundverordnung.

a) Als Verordnung der [X.](EU) ist die [X.]nach Art. 288 Abs. 2 des Vertrags über die Arbeitsweise der [X.](AEUV) in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

b) Sachlich gilt die [X.]nach Art. 2 Abs. 1 DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

aa) Die zu den Steuerpflichtigen von der Finanzverwaltung verarbeiteten Daten enthalten auch personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO. Denn die von der Finanzverwaltung verarbeiteten Daten enthalten Informationen, die sich auf eine jedenfalls identifizierbare natürliche Person beziehen. Dies gilt insbesondere, wenn es sich --wie vorliegend-- um die Steuerakten einer natürlichen Person handelt.

bb) Der Anwendung der [X.]steht nicht entgegen, dass personenbezogene Daten in Akten enthalten sind, die von der Finanzverwaltung (noch) in Papierform geführt werden.

Eine teilweise automatisierte Verarbeitung liegt vor, wenn die personenbezogenen Daten teilweise manuell und teilweise automatisiert verarbeitet werden. Der Schutz der personenbezogenen Daten soll nach Erwägungsgrund 15 Satz 1 [X.]technologieneutral erfolgen. Insbesondere soll der Schutz nach Erwägungsgrund 15 Satz 2 [X.]auch für die manuelle Verarbeitung personenbezogener Daten gelten. Dem entsprechend hat der Gerichtshof der [X.](EuGH) zur Richtlinie 95/46/[X.]und des [X.]zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ([X.]vom 23.11.1995, S. 31 --[X.]oder Datenschutz-RL--) entschieden, dass diese genauso für die automatisierte wie für die manuelle Verarbeitung personenbezogener Daten gilt, damit der Schutz, den sie den von der Datenverarbeitung betroffenen Personen verleiht, nicht von den verwendeten Techniken abhängt und keine Risiken der Umgehung dieses Schutzes entstehen (EuGH-Urteil Jehovan todistajat vom 10.07.2018 - C-25/17, EU:C:2018:551, Rz 53). Zwar wurde die [X.]durch die [X.]abgelöst. Da Art. 2 Abs. 1 DSGVO jedoch Art. 3 Abs. 1 Datenschutz-RL bis auf den Bezug auf die [X.]beziehungsweise auf die [X.]wortgleich entspricht, gelten die vom [X.]bereits aufgestellten Rechtsgrundsätze fort (vgl. EuGH-Urteil [X.](Points de pénalité) vom 22.06.2021 - C-439/19, EU:C:2021:504, Rz 64 ff.). Lediglich bei einer rein manuellen Datenverarbeitung ist es für die Eröffnung des Schutzbereichs der [X.]nach Art. 2 Abs. 1 DSGVO erforderlich, dass die personenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Unter einem Dateisystem ist nach Art. 4 Nr. 6 DSGVO jede strukturierte Sammlung personenbezogener Daten zu verstehen, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird. Zwar ist nicht näher konkretisiert, nach welchen Kriterien die Datei strukturiert sein muss. Nach der zu Art. 3 Abs. 1 Datenschutz-RL ergangenen und auf die hier streitige Rechtslage übertragbaren Rechtsprechung ist damit jedoch nur gemeint, dass die Daten über eine bestimmte Person leicht wiederauffindbar sein müssen (EuGH-Urteil Jehovan todistajat vom 10.07.2018 - C-25/17, EU:C:2018:551, Rz 57). Lediglich Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, fallen nach Erwägungsgrund 15 Satz 3 [X.]nicht in den Anwendungsbereich der Datenschutz-Grundverordnung.

Ungeachtet dessen, ob die Papierakten diesen Anforderungen aufgrund der jeweiligen verwaltungsinternen Vorgaben zur Aktenführung genügen, dienen die in den Papierakten enthaltenen personenbezogenen Daten der Durchführung des Besteuerungsverfahrens. Dieses erfolgte in den Jahren 2013 bis 2015 teilweise digitalisiert. Mithin erfolgt die Datenverarbeitung zumindest teilautomatisiert. Die Verarbeitung personenbezogener Daten durch die Finanzverwaltung unterfällt damit dem Anwendungsbereich der Datenschutz-Grundverordnung. Auf eine Differenzierung nach der Art der Aktenführung (Papier, elektronisch, hybrid), der Art der Dokumente (interne Vermerke, Gutachten, interne E-Mails et cetera) oder der Form der Bearbeitung durch den zuständigen Sachbearbeiter (anhand von Ausdrucken oder digital) kommt es nicht an.

c) Der Anwendungsbereich der [X.]ist auch nicht nach Art. 2 Abs. 2 Buchst. a [X.]auf den Bereich der harmonisierten Steuern beschränkt.

aa) Die Ausnahmen vom sachlichen Anwendungsbereich der [X.]sind in Art. 2 Abs. 2 und Abs. 3 DSGVO erschöpfend festgelegt (vgl. EuGH-Urteil [X.]"[X.]Bulgaria - Obedinenie" vom 20.10.2022 - C-306/21, EU:C:2022:813, Rz 33). Nach Erwägungsgrund 2 Satz 1 [X.]sollen die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten gewährleisten, dass sowohl ihre Grundrechte und Grundfreiheiten als auch insbesondere ihr Recht auf Schutz personenbezogener Daten ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gewahrt bleiben. Die [X.]soll in Anbetracht dessen nach ihrem Erwägungsgrund 2 Satz 2 [X.]zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts und einer Wirtschaftsunion, zum wirtschaftlichen und [X.]Fortschritt, zur Stärkung und zum Zusammenwachsen der Volkswirtschaften innerhalb des Binnenmarkts sowie zum Wohlergehen natürlicher Personen beitragen. Vor diesem Hintergrund sind die Ausnahmen vom Anwendungsbereich der [X.]nach Art. 2 Abs. 2 Buchst. a DSGVO, wie die anderen in Art. 2 Abs. 2 vorgesehenen Ausnahmen, eng auszulegen (so im Ergebnis auch [X.]([X.]des juges) vom 05.06.2023 - C-204/21, EU:C:2023:442, Rz 316; [X.]"[X.]Bulgaria - Obedinenie" vom 20.10.2022 - C-306/21, EU:C:2022:813, Rz 35 sowie [X.](Points de pénalité) vom 22.06.2021 - C-439/19, EU:C:2021:504, Rz 62, m.w.N.).

Gemäß Art. 2 Abs. 2 Buchst. a [X.]findet die [X.]keine Anwendung auf die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt. Dies bringt auch Erwägungsgrund 16 Satz 1 [X.]so zum Ausdruck. Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen, sind nach der Rechtsprechung des [X.]etwa die nationale Sicherheit betreffende Tätigkeiten sowie Tätigkeiten im Rahmen der [X.]der [X.](vgl. EuGH-Urteile [X.]"[X.]Bulgaria - Obedinenie" vom 20.10.2022 - C-306/21, EU:C:2022:813, Rz 36; sowie [X.](Points de pénalité) vom 22.06.2021 - C-439/19, EU:C:2021:504, Rz 63). Daraus folgt, dass Art. 2 Abs. 2 Buchst. a [X.]im Licht von Erwägungsgrund 16 [X.]so zu verstehen ist, dass damit vom Anwendungsbereich dieser Verordnung allein Verarbeitungen personenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit vorgenommen werden, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann. Der bloße Umstand, dass eine Tätigkeit eine spezifische Tätigkeit eines Staates oder einer Behörde ist, reicht nicht aus (vgl. [X.]([X.]des juges) vom 05.06.2023 - C-204/21, EU:C:2023:442, Rz 317; [X.]"[X.]Bulgaria - Obedinenie" vom 20.10.2022 - C-306/21, EU:C:2022:813, Rz 39; [X.](Points de pénalité) vom 22.06.2021 - C-439/19, EU:C:2021:504, Rz 66 sowie [X.]vom 09.07.2020 - C-272/19, EU:C:2020:535, Rz 70).

bb) Der Ausnahmetatbestand des Art. 2 Abs. 2 Buchst. a [X.]gilt daher nicht für die Durchführung des Besteuerungsverfahrens durch die Finanzverwaltung (vgl. EuGH-Urteil [X.](Traitement des données personnelles à des fins fiscales) vom 24.02.2022 - C-175/20, EU:C:2022:124, Rz 47, wonach die Erhebung von Informationen, die große Mengen personenbezogener Daten enthalten, durch die Steuerverwaltung eines Mitgliedstaats bei einem Wirtschaftsteilnehmer den Anforderungen der [X.]genügen muss). Das Besteuerungsverfahren dient nicht einer Tätigkeit der gleichen Kategorie wie die nationale Sicherheit. Wie in § 3 Abs. 1 AO zum Ausdruck kommt, dienen Steuern im Wesentlichen der Staatsfinanzierung. Hingegen dienen sie nicht unmittelbar, wie die nationale Sicherheit, der Wahrung der staatlichen Integrität. Dies gilt auch für die Verwaltung direkter Steuern. Auch in diesem Bereich findet die [X.]unmittelbare Anwendung (so auch BTDrucks 18/12611, S. 75; BTDrucks 18/7457, S. 47; Schreiben des [X.]vom 13.01.2020, BStBl I 2020, 143, Rz 1 f.; van Armansperg, Deutsches Steuerrecht 2021, 453, 457; [X.]in Gosch, [X.]§ 2a Rz 13; vgl. auch EuGH-Urteil [X.](Traitement des données personnelles à des fins fiscales) vom 24.02.2022 - C-175/20, EU:C:2022:124, Rz 47, wobei der [X.]jedoch nicht darauf eingeht, inwieweit die Entscheidung auch nicht harmonisiertes Recht betrifft; a.[X.]in Tipke/Kruse, § 2a AO Rz 6; Krumm, Der Betrieb 2017, 2182, 2186). Zwar steht den Organen der [X.]keine Regelungskompetenz für den Bereich der Verwaltung der direkten Steuern --wie vorliegend betroffen-- zu. Der Schutz der personenbezogenen Daten wird jedoch ohne entsprechende Einschränkung für den Bereich des nicht harmonisierten Rechts in Art. 8 der Charta der Grundrechte der [X.](EUGrdRCh) sowie durch Art. 16 Abs. 1 AEUV sichergestellt. Im Übrigen gebietet auch der [X.]("effet utile") die unmittelbare Anwendung der [X.]im Bereich der Verwaltung direkter Steuern, um ein möglichst hohes und einheitliches Datenschutzniveau gemäß dem Erwägungsgrund 10 [X.]innerhalb der gesamten [X.]zu gewährleisten. Nach diesem Erwägungsgrund soll durch die Harmonisierung des Datenschutzes ein gleichmäßiges und hohes Datenschutzniveau gewährleistet werden. Der [X.]wiederum besagt, dass die Ausübung der durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich gemacht oder übermäßig erschwert werden darf (vgl. EuGH-Urteil [X.]u.a. vom 06.10.2020 - C-511/18, EU:C:2020:791, Rz 223, m.w.N.). Dem stünde es entgegen, wenn die [X.]wegen einer Bereichsausnahme nach Art. 2 Abs. 2 Buchst. a [X.]im Bereich der Verwaltung direkter Steuern nicht anwendbar und damit weite Teile des Besteuerungsverfahrens nicht unmittelbar der [X.]unterworfen wären. Zwar wird der Datenschutz im Bereich des Steuerrechts auch durch eine Vielzahl nationaler Vorschriften, beispielsweise durch die §§ 29b bis 32j AO, gewährleistet. Ein Berufen auf diese Vorschriften zum Schutz des unter anderem durch Art. 8 [X.]gewährleisteten Rechts auf Schutz der personenbezogenen Daten liefe jedoch dem aus Erwägungsgrund 3 [X.]sowie Erwägungsgrund 10 Satz 1 [X.]als auch Erwägungsgrund 53 Satz 2 [X.]zum Ausdruck kommenden Harmonisierungsgedanken der [X.]zuwider. Nach Erwägungsgrund 3 [X.]diente die Vorgängerrichtlinie zur Datenschutz-Grundverordnung, die Datenschutz-Richtlinie, der Harmonisierung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Datenverarbeitung sowie der Gewährleistung des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten. Nichts anderes kann für die [X.]gelten. Denn nach Erwägungsgrund 53 Satz 2 [X.]sollte die [X.]Bedingungen für die Verarbeitung besonderer Kategorien personenbezogener Gesundheitsdaten im Hinblick auf bestimmte Erfordernisse harmonisieren, insbesondere wenn die Verarbeitung dieser Daten für gesundheitsbezogene Zwecke von Personen durchgeführt wird, die gemäß einer rechtlichen Verpflichtung dem Berufsgeheimnis unterliegen.

3. Das [X.]hat jedoch Art. 15 Abs. 3 DSGVO rechtsfehlerhaft angewendet.

a) Anders als der Kläger meint, gewährt Art. 15 Abs. 3 Satz 1 DSGVO keinen gegenüber Art. 15 Abs. 1 DSGVO eigenständigen Anspruch gegen den Verantwortlichen auf Zurverfügungstellung von Dokumenten mit personenbezogenen Daten.

aa) Art. 15 Abs. 1 DSGVO gewährt der betroffenen Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die näher in Art. 15 Abs. 1 Buchst. a bis h [X.]bezeichneten Informationen. Nach Art. 15 Abs. 3 Satz 1 DSGVO stellt der Verantwortliche der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Durch die Rechtsprechung des [X.]ist geklärt, dass Art. 15 DSGVO nicht dahin auszulegen ist, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt. Im Übrigen bezieht sich der Begriff "Kopie" nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind ([X.](Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 72 und [X.]Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 32). Der Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten setzt keine Begründung voraus, weshalb es auch nicht entgegensteht, wenn er mit anderen als den in Erwägungsgrund 63 Satz 1 [X.]genannten Zwecken begründet wird (EuGH-Urteil [X.](Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 50 und Rz 52).

bb) Nur wenn die Zurverfügungstellung einer Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die [X.]verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind, besteht nach Art. 15 Abs. 3 Satz 1 DSGVO ein Anspruch darauf, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zu erhalten (vgl. [X.](Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 75 und [X.]Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 41 und Rz 45). Anders als der Kläger meint, besteht hierfür jedoch keine generelle Vermutung. Vielmehr obliegt es der betroffenen Person, darzulegen, dass die Kopie der personenbezogenen Daten sowie die Mitteilung der Informationen nach Art. 15 Abs. 1 Buchst. a bis h [X.]für die Wahrnehmung der ihr durch die [X.]verliehenen Rechte nicht genügt. Begehrt die betroffene Person die Zurverfügungstellung von Kopien von Dokumenten mit ihren personenbezogenen Daten, ist es vielmehr an ihr zu benennen, welche ihr durch die [X.]verliehenen Rechte sie auszuüben gedenkt und darzulegen, aus welchen Gründen die Zurverfügungstellung von Kopien von Akten mit personenbezogenen Daten hierfür unerlässlich ist. Andernfalls liefe das durch den [X.]aufgestellte Regel-Ausnahme-Prinzip ins Leere. Denn nach der Rechtsprechung des [X.]ist der Anspruch nach Art. 15 Abs. 1 und Abs. 3 DSGVO grundsätzlich auf die Zurverfügungstellung einer Kopie der verarbeiteten personenbezogenen Daten der betroffenen Person gerichtet ([X.](Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 72 und [X.]Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 32). Wenn dies für die Wahrnehmung der Rechte aus der [X.]nicht genügt, kann ausnahmsweise ein Anspruch auf eine (auszugsweise) Kopie der Quelle, in der die personenbezogenen Daten verarbeitet sind, bestehen (vgl. [X.](Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 75 und [X.]Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 41 und Rz 45). Einer entsprechenden Vermutung der Unerlässlichkeit bedarf es im Übrigen auch nicht, um einen effektiven Datenschutz zu gewährleisten. Regelmäßig genügt es für die Wahrnehmung der durch die [X.]verliehenen Rechte, wenn die betroffene Person Kenntnis von den über sie verarbeiteten personenbezogenen Daten erlangt und ihr die Informationen nach Art. 15 Abs. 1 Buchst. a bis h [X.]mitgeteilt werden. Insbesondere durch die Mitteilung, welche personenbezogenen Daten verarbeitet werden und zu welchem Zweck diese Verarbeitung erfolgt, ist die betroffene Person bereits regelmäßig in der Lage, die Richtigkeit der personenbezogenen Daten und die Rechtmäßigkeit deren Verarbeitung zu überprüfen.

b) Ausgehend von anderen Rechtsgrundsätzen, hat es das [X.]unterlassen, die erforderlichen Feststellungen für eine abschließende Beurteilung zu treffen. Es fehlt an Feststellungen, ob beziehungsweise inwiefern der Kläger geltend gemacht hat, dass die begehrten Kopien für ihn unerlässlich sind, um ihm die wirksame Ausübung der ihm durch die [X.]verliehenen Rechte zu ermöglichen. Ferner fehlt es an Feststellungen, welche Rechte der [X.]der Kläger überhaupt beabsichtigt geltend zu machen.

4. Das [X.]ist zudem rechtsfehlerhaft davon ausgegangen, dass der durch den Kläger geltend gemachte Anspruch aufgrund eines exzessiven Antrags im Sinne von Art. 12 Abs. 5 Satz 2 und Satz 3 DSGVO ausgeschlossen ist.

a) Nach Art. 12 Abs. 5 Satz 2 DSGVO kann der Verantwortliche bei offenkundig unbegründeten oder --insbesondere im Fall von häufiger [X.]exzessiven Anträgen einer betroffenen Person entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden (Art. 12 Abs. 5 Satz 2 Buchst. a DSGVO), oder sich weigern, aufgrund des Antrags tätig zu werden (Art. 12 Abs. 5 Satz 2 Buchst. b DSGVO). Mangels Erfordernis der Begründung des Auskunftsbegehrens besteht die Verpflichtung des Verantwortlichen, der betroffenen Person unentgeltlich eine erste Kopie ihrer personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zur Verfügung zu stellen, auch dann, wenn der betreffende Antrag mit einem anderen als den in Erwägungsgrund 63 Satz 1 [X.]genannten Zwecken begründet wird (vgl. EuGH-Urteil [X.](Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 50 und Rz 52). Der Verantwortliche hat gemäß Art. 12 Abs. 5 Satz 3 DSGVO den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen. Hieraus folgt, dass ein Ausschluss des Auskunftsrechts nach Art. 12 Abs. 5 Satz 2 DSGVO nur in Betracht kommt, wenn sich der Verantwortliche hierauf beruft und darlegt, dass ein offenkundig unbegründeter oder exzessiver Antrag vorliegt (vgl. Gola/Heckmann/Frank, DS-GVO, 3. Aufl., Art. 12 Rz 41 und Art. 15 DSGVO Rz 50; [X.]in Paal/Pauly, DS-GVO, 3. Aufl., Art. 15 Rz 9; Schneider/Schwartmann in Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 2. Aufl., Art. 12 DSGVO Rz 69; BeckOK DatenschutzR/Quaas, 46. Ed. [01.11.2023], DS-GVO Art. 12 Rz 48; Heckmann/[X.]in Ehmann/Selmayr, DS-GVO, 2. Aufl., Art. 12 Rz 49; vgl. Kühling/Buchner/Bäcker, 4. Aufl., DS-GVO Art. 15 Rz 42b; Taeger/Gabel/Mester, 4. Aufl. [2022], DS-GVO, Art. 15 Rz 21).

Ist der Antrag nach diesen Grundsätzen exzessiv, kann in diesem --entgegen der Ansicht des [X.]nicht zugleich als Weniger ein statthafter Antrag auf Zurverfügungstellung von Kopien personenbezogener Daten erblickt werden. Dies ergibt sich eindeutig aus Art. 12 Abs. 5 Satz 2 Buchst. b DSGVO. Verlangt der Verantwortliche nicht ein angemessenes Entgelt, braucht er bei einer Verweigerung aufgrund eines exzessiven Antrags nicht tätig zu werden. Im Übrigen erweist sich eine Reduktion des exzessiven Antrags auf ein zulässiges Maß nicht als ein Minus, sondern als unzulässiges Aliud zum ursprünglichen Begehren (vgl. [X.]vom 05.05.2017 - X B 36/17, Rz 20 zur Überlassung von Kopien bestimmter Aktenteile bei einem auf die Überlassung des vollständigen Akteninhalts gerichteten Begehrens).

b) Diesen Maßstäben genügen die Ausführungen der Vorinstanz zu Art. 12 Abs. 5 Satz 2 und Satz 3 DSGVO nicht. Es fehlt bereits an der Feststellung eines rechtsmissbräuchlichen Verhaltens beziehungsweise an Feststellungen zu dem Vorbringen des [X.]vor dem Hintergrund der ihm obliegenden Nachweispflicht eines offenkundig unbegründeten oder exzessiven Antrags. Zudem vermag der [X.]der Würdigung des [X.]nicht zu folgen, dass der Antrag des [X.]auf Zurverfügungstellung von Kopien nach Art. 15 Abs. 3 Satz 1 DSGVO offensichtlich unbegründet sei, da er lediglich pauschal gestellt und damit offensichtlich überschießend sei. Wie die obigen Ausführungen zeigen, steht dem Kläger ein Anspruch nach Art. 15 Abs. 3 Satz 1 DSGVO dem Grunde nach zu, sodass die Geltendmachung eines entsprechenden Begehrens jedenfalls nicht offenkundig unbegründet sein kann. Inwiefern dem Kläger Informationen zu seinen personenbezogenen Daten und auch die Kopie von Steuerbescheiden angeboten worden sind, ist hierfür nicht von Bedeutung, da der Kläger mit seinem Begehren die Zurverfügungstellung von Kopien der näher bezeichneten Verwaltungsakten mit seinen personenbezogenen Daten begehrt. Auch soweit das Begehren des [X.]nach dem [X.]nicht den Zielen der [X.]diene, ist der Antrag auf Zurverfügungstellung von Kopien nach Art. 15 Abs. 3 Satz 1 DSGVO nach den genannten Grundsätzen weder offenkundig unbegründet noch exzessiv.

5. Die angefochtene Entscheidung erweist sich auch nicht aus anderen Gründen als rechtmäßig (§ 126 Abs. 4 FGO).

a) Das [X.]kann dem Begehren des [X.]nicht entgegenhalten, dass die Erfüllung des Auskunftsanspruchs mit unverhältnismäßigem Aufwand verbunden sei. Der [X.]braucht nicht zu entscheiden, inwiefern ein solcher Einwand dem Grunde nach durchgreifen kann. Denn es fehlt bereits an entsprechenden Feststellungen der Vorinstanz, dass die Auskunftserteilung mit einem unverhältnismäßigen Aufwand verbunden ist. Entsprechende Anhaltspunkte liefert auch nicht das entsprechende pauschale Vorbringen des [X.]im Revisionsverfahren.

b) Es steht nicht im Belieben des FA, das Begehren des [X.]durch die Gewährung von Akteneinsicht zu erfüllen.

aa) Zwar steht es nach § 32d Abs. 1 AO im pflichtgemäßen Ermessen des FA, die Form der Auskunftserteilung zu bestimmen. Dies gilt jedoch nur, soweit in Art. 12 bis 15 [X.]keine diesbezüglichen Regelungen enthalten sind. Dies ist mit Art. 15 Abs. 3 Satz 1 und Satz 3 DSGVO jedoch der Fall. Hiernach hat der Verantwortliche eine (elektronische) Kopie der personenbezogenen Daten und unter gewissen Umständen auch der Quellen, in denen solche Daten verarbeitet wurden, zur Verfügung zu stellen.

bb) Inwiefern die Gewährung der Akteneinsicht anstelle der Zurverfügungstellung von Kopien nach § 11 Abs. 2 des [X.]Datenschutzgesetzes genügt, unterliegt nicht der Beurteilung durch den BFH. [X.]ist nach § 118 Abs. 1 Satz 1 FGO nur die Verletzung von Bundesrecht. Auch erklärt das [X.]nicht den [X.]für eröffnet (§ 33 Abs. 1 Nr. 4, § 118 Abs. 1 Satz 2 FGO). Ein Ausnahmefall, wonach im Revisionsverfahren ausnahmsweise auch eine an sich irreversible Vorschrift des Landesrechts zu prüfen ist (vgl. [X.]in Tipke/Kruse, § 118 FGO Rz 30, m.w.N.), liegt nicht vor.

c) Das [X.]kann sich nicht mit Erfolg auf § 34 Abs. 1 des Bundesdatenschutzgesetzes berufen. Die Regelung ist durch die speziellere Regelung des § 32c AO ("lex specialis") verdrängt.

aa) Soweit nach § 32c Abs. 1 AO das Recht auf Auskunft der betroffenen Person gegenüber einer Finanzbehörde gemäß Art. 15 DSGVO nicht besteht, fehlt es an den erforderlichen Feststellungen, die eine Subsumtion unter die hierfür erforderlichen Voraussetzungen zulassen. Entsprechende Anhaltspunkte wurden auch nicht vorgetragen.

bb) Zwar wird die Auskunft ferner nach § 32c Abs. 3 FGO nur erteilt, soweit die betroffene Person Angaben macht, die das Auffinden der Daten ermöglichen und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht. Dies gilt jedoch nur, sofern die personenbezogenen Daten weder automatisiert noch in nicht automatisierten Dateisystemen gespeichert sind. Dies ist jedoch --wie bereits [X.]nicht der Fall. Im Übrigen fehlt es auch an der Feststellung eines außer Verhältnis stehenden Aufwandes.

6. [X.]ist nicht spruchreif und daher an das [X.]zurückzuverweisen.

a) Das [X.]wird zu prüfen haben, inwiefern der Kläger der ihm obliegenden Darlegungslast nachgekommen ist und die Zurverfügungstellung von (elektronischen) Kopien der Akten des [X.]zur wirksamen Ausübung seiner ihm nach der [X.]zustehenden Rechte unerlässlich ist. Hierbei wird das [X.]die Rechtsprechung des [X.]zu berücksichtigen haben, dass sich die Wiedergabe von Auszügen aus Dokumenten oder von ganzen Dokumenten als unerlässlich erweisen kann, wenn diese in ihrem Zusammenhang dargestellt werden müssen, um ihre Verständlichkeit zu gewährleisten ([X.](Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 74 sowie [X.]Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 41). Insbesondere wenn personenbezogene Daten aus anderen Daten generiert werden oder wenn sie auf freien Feldern beruhen, das heißt einer fehlenden Angabe, aus der eine Information über die betroffene Person hervorgeht, ist der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann (EuGH-Urteil [X.]Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 42).

b) Das [X.]wird zudem im zweiten Rechtsgang Feststellungen nachholen müssen, inwiefern das [X.]der ihm nach Art. 12 Abs. 5 Satz 3 DSGVO obliegenden Nachweispflicht nachgekommen ist und ein offenkundig unbegründeter oder exzessiver Antrag vorliegt. Hierbei ist die Rechtsprechung des [X.]zu berücksichtigen, wonach sich die beiden Gründe, bei denen der Verantwortliche dem Begehren des Betroffenen nach Art. 12 Abs. 5 Satz 2 DSGVO nicht nachkommen muss, auf Fälle des Rechtsmissbrauchs beziehen (EuGH-Urteil [X.](Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 31).

c) Sollte das [X.]unter Anwendung der vorgenannten Rechtssätze zu dem Ergebnis kommen, dass dem Kläger ein Anspruch aus Art. 15 Abs. 3 Satz 1 DSGVO auf Zurverfügungstellung von Kopien zusteht, sind die Informationen dem Kläger nach Art. 15 Abs. 3 Satz 3 DSGVO in einem gängigen elektronischen Format zur Verfügung zu stellen. Dass die E-Mail an das [X.]vom 14.10.2020 die Voraussetzungen einer elektronischen Antragstellung in diesem Sinne erfüllt, ist zwischen den Beteiligten unstreitig, weshalb der [X.]auf weitere Erläuterungen verzichtet.

7. Inwieweit die vom Kläger gerügten Verfahrensfehler vorliegen, kann dahinstehen bleiben, da das Verfahren bereits aus materiellen Gründen an das [X.]zur anderweitigen Verhandlung und Entscheidung zurückzuweisen ist.

8. Einer Vorlage an den [X.]nach Art. 267 Abs. 3 AEUV bedarf es im vorliegenden Verfahren nicht. Die Rechtslage ist aus den jeweils genannten Gründen eindeutig ("acte clair"; Beschluss des [X.]vom 04.03.2021 - 2 BvR 1161/19, Rz 55; EuGH-Urteil CILFIT / Ministero della Sanità vom 06.10.1982 - 283/81, EU:C:1982:335, Rz 16) beziehungsweise bereits durch die aufgezeigte Rechtsprechung des [X.]in einer Weise geklärt, die keinen vernünftigen Zweifel offenlässt ("acte éclairé"; [X.]vom 04.03.2021 - 2 BvR 1161/19, Rz 55 sowie vom 19.07.2011 - 1 BvR 1916/09, [X.]129, 78, Rz 80; EuGH-Urteil CILFIT / Ministero della Sanità vom 06.10.1982 - 283/81, EU:C:1982:335, Rz 16). Insbesondere hat der [X.]vor dem Hintergrund des Art. 2 Abs. 1 DSGVO und Art. 4 Nr. 6 DSGVO sowie Erwägungsgrund 15 Satz 1 und Satz 2 [X.]als auch der Rechtsprechung des [X.](EuGH-Urteil Jehovan todistajat vom 10.07.2018 - C-25/17, EU:C:2018:551) keine Zweifel an den Voraussetzungen des sachlichen Anwendungsbereichs der [X.]und dass dieser insbesondere auch die in den vom [X.]geführten Papierakten enthaltenen personenbezogenen Daten umfasst. Vor dem Hintergrund des Art. 8 [X.]sowie Art. 16 Abs. 1 AEUV als auch dem Erwägungsgrund 2 Satz 1 [X.]und der Rechtsprechung des [X.]([X.]([X.]des juges) vom 05.06.2023 - C-204/21, EU:C:2023:442; [X.]"[X.]Bulgaria - Obedinenie" vom 20.10.2022 - C-306/21, EU:C:2022:813; [X.](Traitement des données personnelles à des fins fiscales) vom 24.02.2022 - C-175/20, EU:C:2022:124; [X.](Points de pénalité) vom 22.06.2021 - C-439/19, EU:C:2021:504, Rz 62, m.w.N.; [X.]vom 09.07.2020 - C-272/19, EU:C:2020:535) sowie dem effet [X.]hat der [X.]keine Zweifel, dass der Bereich der Verwaltung der nicht harmonisierten Steuern nicht vom Anwendungsbereich der [X.]nach Art. 2 Abs. 2 Buchst. a [X.]ausgenommen ist. Ferner ist durch die Rechtsprechung des [X.]geklärt, dass Art. 15 Abs. 1 i.V.m. Abs. 3 [X.]grundsätzlich nur einen Anspruch auf die Zurverfügungstellung der personenbezogenen Daten enthalten und nur bei Unerlässlichkeit für die Wahrnehmung der Rechte der [X.]ein Anspruch auf Kopie der Quelle, in der die personenbezogenen Daten verarbeitet wurden, besteht ([X.](Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811; [X.]Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369). Auch sieht der [X.]aufgrund der Rechtsprechung des [X.]die Voraussetzungen für einen offenkundig unbegründeten oder exzessiven Antrag im Sinne von Art. 12 Abs. 5 Satz 2 DSGVO als geklärt an (EuGH-Urteil [X.](Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811).

9. [X.]beruht auf § 143 Abs. 2 FGO.