Leitsatz

1. NV: Eine ausschließlich automatisierte Einzelentscheidung im Sinne von Art. 15 Abs. 1 Buchst. h i.V.m. Art. 22 der Datenschutz-Grundverordnung (DSGVO) liegt nicht vor, wenn ein Mensch die automatisierte Entscheidung überprüft und das Ergebnis bestätigt. (Rn. 23)

2. NV: Für die Qualifikation als personenbezogene Daten kommt es nicht darauf an, ob diese bei der betroffenen Person (oder Dritten) erhoben worden sind oder ob die Informationen aus selbst (mit oder ohne Hilfe automatisierter Verfahren) gezogenen Schlussfolgerungen stammen. (Rn. 27)

3. NV: Der Verantwortliche kann sich zur Begrenzung des Auskunftsrechts nach Art. 15 DSGVO nicht darauf berufen, dass der Betroffene über die begehrten Informationen bereits verfügt. (Rn. 13) (Rn. 29) (Rn. 31)

Tenor

Auf die Revision der Klägerin wird das Urteil des Finanzgerichts Münster vom 11.05.2022 - 9 K 848/20 aufgehoben, soweit die Entscheidung den Auskunftsanspruch über die vom Beklagten verarbeiteten personenbezogenen Daten und den Anspruch auf Kopien der personenbezogenen Daten betrifft.

Die Sache wird an das Finanzgericht Münster zur anderweitigen Verhandlung und Entscheidung zurückverwiesen, soweit die Vorentscheidung aufgehoben wird.

Diesem wird die Entscheidung über die Kosten des gesamten Verfahrens übertragen.

Tatbestand

I.

Die Beteiligten streiten über das Bestehen und den Umfang des Auskunftsanspruchs nach Art. 15 Abs. 1 und 3 der Datenschutz-Grundverordnung (DSGVO).

Die Klägerin und Revisionsklägerin (Klägerin), eine Unternehmergesellschaft im Sinne von § 5a des Gesetzes betreffend die Gesellschaften mit beschränkter Haftung, führt einen Gastronomiebetrieb. Im Rahmen einer Außenprüfung stellte sie zunächst einen Antrag auf Akteneinsicht. Diesen lehnte der Beklagte und Revisionsbeklagte (Finanzamt --FA--) ab, überreichte dem Bevollmächtigten der Klägerin jedoch verschiedene Unterlagen. Den hiergegen gerichteten Einspruch wies das FA als unbegründet zurück.

Darüber hinaus stellte die Klägerin einen Antrag nach Art. 15 Abs. 1 DSGVO und begehrte die Überlassung der Daten in einem auswertbaren Format. Daraufhin übersandte das FA dem Bevollmächtigten einen USB-Datenstick mit Betriebsprüfungsdaten (Excel-Tabellen). Da die Klägerin weiter an ihrem Antrag festhielt, lehnte das FA den Antrag auf Auskunft mit Bescheid vom 23.05.2019 ab.

Mit E-Mail vom 22.01.2020 stellte die Klägerin erneut einen Antrag nach Art. 15 Abs. 1 DSGVO. Sie führte aus, die Ablehnung vom 23.05.2019 sei rechtswidrig. Mit Bescheid vom 20.02.2020 lehnte das FA auch diesen Antrag unter Verweis auf die bereits übersandten Unterlagen und den USB-Stick ab. Einer weitergehenden Auskunft stehe § 32c Abs. 1 Nr. 1 i.V.m. § 32b Abs. 1 Satz 1 Nr. 1 Buchst. a i.V.m. § 32a Abs. 2 der Abgabenordnung (AO) entgegen.

Hiergegen wandte sich die Klägerin mit ihrer Klage und beantragte, unter Aufhebung des Bescheids vom 20.02.2020 das FA zu verpflichten, eine Bestätigung darüber zu geben, ob die Klägerin betreffende personenbezogene Daten verarbeitet worden seien, und falls dies der Fall sein sollte, das FA zu verpflichten, Auskunft über die Daten in elektronischer Form zu geben, die

1. im Rahmen des steuerlichen Verfahrens, insbesondere hinsichtlich der Umsatzsteuer, erhoben wurden, 2. die infolge Weiterverarbeitung entstanden und in elektronischer Form bei der Finanzverwaltung vorhanden sind, 3. inklusive der Datentabellen, mit Hilfe derer die Verarbeitung erfolgt, unter Offenlegung der Verarbeitungsschritte unter hinterlegten Formeln, Abfragen und Arbeitsanweisungen, mit Hilfe derer die Verarbeitung durchgeführt wurde.

Mit in Entscheidungen der Finanzgerichte 2022, 1509 abgedrucktem Urteil wies das Finanzgericht (FG) die Klage ab. Soweit die Klägerin beantrage, das FA zu einer Bestätigung zu verpflichten, ob dem Grunde nach persönliche Daten erhoben worden seien, sei die Klage unzulässig, im Übrigen unbegründet.

Hiergegen wendet sich die Klägerin mit ihrer Revision. Sie macht die Verletzung von Bundesrecht geltend und rügt Verfahrensmängel.

Die Klägerin beantragt,

das Urteil des FG aufzuheben, soweit die Klage als unbegründet abgewiesen wurde, und der Klage im Übrigen stattzugeben.

Das FA beantragt,

die Revision zurückzuweisen.

Soweit sich die Revision der Klägerin zunächst auch gegen die teilweise Zurückweisung der Klage als unzulässig richtete, hat die Klägerin die Revision in der mündlichen Verhandlung zurückgenommen. 

Gründe

II.

Die Revision ist begründet.

Das angefochtene Urteil ist aufzuheben und zur anderweitigen Verhandlung und Entscheidung an das FG zurückzuverweisen (§ 126 Abs. 3 Satz 1 Nr. 2 der Finanzgerichtsordnung --FGO--), soweit das FG die Klage als unbegründet abgewiesen hat. Das Urteil beruht auf Rechtsfehlern (dazu unter 1.). Die Sache ist diesbezüglich nicht spruchreif, da das FG nicht sämtliche für eine abschließende Prüfung erforderlichen Feststellungen getroffen hat (dazu unter 2.).

1. Das FG hat Art. 15 Abs. 1 DSGVO rechtsfehlerhaft angewendet, indem es davon ausgegangen ist, dass das Auskunftsrecht nach Art. 15 Abs. 1 DSGVO nicht besteht, wenn der Betroffene über die begehrten Informationen bereits verfügt.

a) Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht auf Auskunft über die vom Verantwortlichen verarbeiteten, sie betreffenden personenbezogenen Daten und auf die in Art. 15 Abs. 1 Buchst. a bis h DSGVO genannten Informationen.

Gemäß Art. 2 Abs. 1 DSGVO gilt die Datenschutz-Grundverordnung dabei für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Auf eine Differenzierung nach der Art der Aktenführung (Papier, elektronisch, hybrid), der Art der Dokumente (interne Vermerke, Gutachten, interne E-Mails et cetera) oder der Form der Bearbeitung durch den zuständigen Sachbearbeiter (anhand von Ausdrucken oder digital) kommt es nicht an (vgl. Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 17 ff.).

Der Begriff der personenbezogenen Daten bezeichnet gemäß Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

In der Verwendung der Formulierung "alle Informationen" bei der Bestimmung des Begriffs "personenbezogene Daten" in dieser Vorschrift kommt das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen, die potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen "über" die in Rede stehende Person handelt (Urteile des Gerichtshofs der Europäischen Union --EuGH-- IAB Europe vom 07.03.2024 - C-604/22, EU:C:2024:214, Rz 36, und Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 23, m.w.N.).

Insoweit hat der EuGH entschieden, dass es sich um eine Information über eine identifizierte oder identifizierbare natürliche Person handelt, wenn sie aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer identifizierbaren Person verknüpft ist (EuGH-Urteile IAB Europe vom 07.03.2024 - C-604/22, EU:C:2024:214, Rz 37, und Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 24, und die dort angeführte Rechtsprechung). Weiter weist der EuGH darauf hin, dass die Verwendung des Begriffs "indirekt" durch den Unionsgesetzgeber darauf hindeutet, dass es für die Einstufung einer Information als personenbezogenes Datum nicht erforderlich ist, dass die Information für sich genommen die Identifizierung der betreffenden Person ermöglicht (EuGH-Urteil OC/Kommission vom 07.03.2024 - C-479/22 P, EU:C:2024:215, Rz 47, m.w.N.).

b) Gemessen an diesen Grundsätzen hat das FG zwar zu Recht entschieden, dass Informationen ohne Bezug zur Klägerin nicht vom datenschutzrechtlichen Auskunftsanspruch umfasst sind (dazu unter aa). Allerdings geht es rechtsfehlerhaft davon aus, dass der Anspruch aus Art. 15 Abs. 1 DSGVO erledigt sei, soweit der Betroffene über die mit dem Antrag auf Auskunft begehrten Daten bereits verfügt (dazu unter bb (3)).

aa) Keine personenbezogenen Daten sind die von der Klägerin begehrten Datentabellen beziehungsweise die diesen zugrunde liegenden Formeln. Diesen Informationen fehlt --im Gegensatz zu den in den Tabellen enthaltenden, die Klägerin betreffenden Datensätzen-- der Personenbezug. Allein der Umstand, dass in die Tabelle personenbezogene Daten eingetragen werden, führt --entgegen der Auffassung der Klägerin-- nicht dazu, dass die gesamte Tabelle einschließlich der mathematischen Formeln einen Personenbezug erhalten. Aus Art. 15 Abs. 1 DSGVO ergibt sich kein Anspruch, abstrakte Formeln, abstrahierte Verarbeitungsschritte und allgemeine Arbeitsanweisungen offenzulegen. Es handelt sich auch nicht um Informationen im Sinne des Art. 15 Abs. 1 Buchst. h DSGVO.

(1) Nach Art. 15 Abs. 1 Buchst. h DSGVO hat der Betroffene unter anderem Anspruch auf folgende Informationen: das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO und --zumindest in diesen Fällen-- aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Die Anwendbarkeit des Art. 22 Abs. 1 DSGVO und damit die Auskunftspflicht nach Art. 15 Abs. 1 Buchst. h DSGVO hängt von drei kumulativen Voraussetzungen ab, nämlich davon, dass erstens eine "Entscheidung" vorliegen muss, zweitens diese Entscheidung "ausschließlich auf einer automatisierten Verarbeitung, - einschließlich Profiling - (beruhen)" muss und drittens sie "gegenüber (der betroffenen Person) rechtliche Wirkung" entfalten oder sie "in ähnlicher Weise erheblich" beeinträchtigen muss (EuGH-Urteil SCHUFA Holding (Scoring) vom 07.12.2023 - C-634/21, EU:C:2023:957, Rz 43 ff.). Liegen diese Voraussetzungen vor, sind dem Betroffenen anhand der maßgeblichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form das Verfahren und die Grundsätze zu erläutern, die bei der automatisierten Verarbeitung ihrer personenbezogenen Daten zur Gewinnung eines bestimmten Ergebnisses --beispielsweise eines Bonitätsprofils-- konkret angewandt wurden (vgl. EuGH-Urteil Dun 

& Bradstreet Austria vom 27.02.2025 - C-203/22, EU:C:2025:117, Rz 66).

Keine ausschließlich automatisierte Einzelentscheidung liegt demgegenüber vor, wenn ein Mensch die automatisierte Entscheidung überprüft und das Ergebnis bestätigt (vgl. Schaffland/Holthaus in Schaffland/Wiltfang, Datenschutz-Grundverordnung/Bundesdatenschutzgesetz, Art. 22 DSGVO Rz 9, m.w.N.). Hat eine natürliche Person die Befugnis, das aufgrund der automatisierten Verarbeitung gefundene Ergebnis aufgrund eigener inhaltlicher Bewertung zu korrigieren, beruht die Entscheidung nicht ausschließlich auf der automatisierten Verarbeitung (vgl. Veil in Gierschmann, Kommentar Datenschutz-Grundverordnung, 1. Aufl., Art. 22 DSGVO Rz 59).

(2) Gemessen hieran stellt die im Rahmen der Außenprüfung erfolgte automatisierte Verarbeitung von personenbezogenen Daten noch keine automatisierte Entscheidungsfindung dar. Es handelt sich lediglich um eine der Entscheidung des Außenprüfers beziehungsweise des zuständigen Amtsträgers vorausgehende Datenauswertung. Der Datenauswertung selbst kommt keine rechtlich oder die Klägerin in ähnlicher Weise belastende Wirkung zu. Hinzutreten muss stets die Prüfung und Umsetzung durch den Außenprüfer (zum Beispiel in Form einer Prüfungsanordnung, der Anforderung von Unterlagen oder der Erstellung eines Betriebsprüfungsberichts) oder die Prüfung und Änderung von Steuerbescheiden durch den zuständigen Amtsträger.

(3) Gleiches gilt für den von der Klägerin angeführten Einsatz eines Risikomanagementsystems im Sinne von § 88 Abs. 5 AO zur Ermittlung prüfungsbedürftiger Sachverhalte. Im Streitfall fehlt eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung, da nach § 88 Abs. 5 Satz 3 Nr. 2 AO zwingend eine Prüfung der als prüfungsbedürftig ausgesteuerten Sachverhalte durch Amtsträger zu erfolgen hat. Das Gesetz sieht insoweit gerade keine verfahrensabschließende "Vollautomatisierung" vor (vgl. Drüen in Hübschmann/Hepp/Spitaler, § 88 AO Rz 425).

bb) Demgegenüber unterliegen die aufgrund der automatisierten Datenverarbeitung gewonnenen personenbezogenen Daten dem Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO, und zwar unabhängig davon, ob diese in internen Abfragen, E-Mails oder Vermerken enthalten sind.

(1) Aufgrund des weiten Begriffsverständnisses der Datenschutz-Grundverordnung (vgl. hierzu auch Urteile des Bundesgerichtshofs --BGH-- vom 27.09.2023 - IV ZR 177/22, Rz 47, und vom 06.02.2024 - VI ZR 15/23, Rz 7) kommt es für die Qualifikation als personenbezogene Daten --anders als das FG meint-- nicht darauf an, ob diese bei der betroffenen Person (oder Dritten) erhoben worden sind oder ob die Informationen aus selbst (mit oder ohne Hilfe automatisierter Verfahren) gezogenen Schlussfolgerungen stammen, sofern im Übrigen die oben genannten Voraussetzungen erfüllt sind. Es bedarf daher keiner Abgrenzung von sogenannten "Rohdaten" beziehungsweise "Ursprungsdaten" und "generierten Daten". Eine Differenzierung zwischen dem "Gegenstand der Verarbeitung" und dem "Resultat der Verarbeitung" steht im Widerspruch zu Art. 4 Nr. 2 DSGVO. So werden die Daten unabhängig von dieser Unterscheidung gespeichert und somit verarbeitet.

(2) Das Vorhandensein anderweitiger Rechtsschutzmöglichkeiten (gegen die Steuerbescheide) ändert daran nichts. Der Auskunftsanspruch nach Art. 15 DSGVO ist eigenständig und nicht von einem anderweitigen Verwaltungs- oder Rechtsbehelfsverfahren abhängig (Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 9). Nach Erwägungsgrund 63 Satz 1 DSGVO ist Zweck des Auskunftsanspruchs, dass sich die betroffene Person der Verarbeitung ihrer personenbezogenen Daten bewusst ist und die Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten überprüfen kann.

(3) Nicht vom Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO ausgeschlossen sind entgegen der Auffassung der Vorinstanz zudem Informationen, über die der Betroffene bereits verfügt.

(a) Anders als Art. 13 Abs. 4 DSGVO und Art. 14 Abs. 5 Buchst. a DSGVO betreffend die Mitteilungspflichten sieht Art. 15 DSGVO keine Einschränkung des Auskunftsanspruchs vor, wenn die betroffene Person die Daten bereits kennt (vgl. BGH-Urteile vom 15.06.2021 - VI ZR 576/19, Rz 25, und vom 16.04.2024 - VI ZR 223/21, Rz 13; Senatsurteile vom 11.03.2025 - IX R 34/21, Rz 26; vom 08.04.2025 - IX R 22/22, Rz 30).

(aa) Eine entsprechende Einschränkung des Auskunftsanspruchs lässt sich auch nicht mit dem Erwägungsgrund 62 DSGVO begründen, da dieser sich lediglich auf die Informationspflichten (das heißt insbesondere auf Art. 14 DSGVO) bezieht. Der Auskunftsanspruch nach Art. 15 DSGVO kann wiederholt geltend gemacht werden (vgl. Erwägungsgrund 63 Satz 1, Art. 12 Abs. 5 Satz 2 DSGVO).

Es kommt --anders als das FA meint-- nicht darauf an, ob die betroffene Person, die Daten dem Verpflichteten zuvor (auf Anfrage) übergeben hat. Insoweit gewährt die Datenschutz-Grundverordnung der betroffenen Person ein Auskunftsrecht, um überprüfen zu können, ob die Daten rechtmäßig verarbeitet worden sind. Hiervon zu trennen ist die Frage, ob gegebenenfalls ein exzessiver Antrag im Sinne von Art. 12 Abs. 5 DSGVO vorliegen könnte, wenn --wie das FA vorträgt-- der Antrag nach Art. 15 DSGVO kurzfristig nach Einreichung der Unterlagen beim Verpflichteten gestellt wird. Hierüber muss der Senat nicht entscheiden, da das FG einen solchen Sachverhalt nicht festgestellt hat (§ 118 Abs. 2 FGO).

(bb) Ebenso rechtfertigen die Besonderheiten einer Außenprüfung --anders als das FA meint-- keine abweichende Beurteilung. So führt das FA an, dass eine Außenprüfung sich regelmäßig auf wenige Veranlagungszeiträume erstreckt. Dies schließt es jedoch nicht aus, dass sich einer Außenprüfung --vergleichbar mit dem dem BGH-Urteil vom 15.06.2021 - VI ZR 576/19 zugrunde liegenden Sachverhalt-- langjährige Verarbeitungsprozesse anschließen. Zudem lässt das FA unberücksichtigt, dass die Verarbeitung personenbezogener Daten nicht auf die Außenprüfung beschränkt ist, sondern sich auf das gesamte Steuerrechtsverhältnis erstreckt.

(b) Auch sieht das nationale Recht keinen entsprechenden Ausschlussgrund für die nach § 32c AO i.V.m. Art. 15 Abs. 1 DSGVO zu erteilende Auskunft vor. Ein solcher ergibt sich insbesondere nicht aus § 32c Abs. 1 Nr. 1 i.V.m. § 32a Abs. 1 AO und § 32b Abs. 1 Satz 1 AO.

Das Recht auf Auskunft der betroffenen Person gegenüber einer Finanzbehörde gemäß Art. 15 DSGVO besteht danach gemäß § 32c Abs. 1 Nr. 1 AO nicht, soweit die betroffene Person nach § 32a Abs. 1 AO oder nach § 32b Abs. 1 oder 2 AO nicht zu informieren ist. Weder § 32a Abs. 1 Nr. 1 bis 4 AO noch § 32b Abs. 1 Satz 1 Nr. 1 und 2 AO regeln dabei den Fall, dass der Betroffene über die Informationen bereits verfügt. Dieser Tatbestand findet sich allein in Art. 13 Abs. 4 DSGVO und Art. 14 Abs. 5 Buchst. a DSGVO.

Die Erwähnung der Art. 13 Abs. 4 DSGVO und Art. 14 Abs. 5 DSGVO in § 32a und § 32b AO lässt nicht den Schluss zu, dass gemäß § 32c Abs. 1 Nr. 1 AO die Auskunftserteilung auch dann ausgeschlossen sein soll, wenn der Betroffene bereits über die Informationen verfügt. Eine solche weite Auslegung steht nicht im Einklang mit Art. 23 DSGVO, da eine solche Maßnahme nicht die in Art. 23 Abs. 1 Buchst. a bis j DSGVO genannten Gesichtspunkte sicherstellen würde.

c) Das FG ist schließlich rechtsfehlerhaft davon ausgegangen, dass der Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO bereits erfüllt worden ist.

aa) Ein Auskunftsanspruch ist grundsätzlich dann erfüllt, wenn die Angaben des Auskunftsschuldners nach seinem erklärten Willen die Auskunft im geschuldeten Gesamtumfang darstellen. Wesentlich für die Erfüllung des Auskunftsanspruchs ist die --gegebenenfalls konkludente-- Erklärung des Auskunftsschuldners, dass die Auskunft vollständig ist (vgl. BGH-Urteile vom 03.09.2020 - III ZR 136/18, Rz 43, m.w.N., sowie vom 15.06.2021 - VI ZR 576/19, Rz 19). Die Annahme eines derartigen Erklärungsinhalts setzt voraus, dass die erteilte Auskunft erkennbar den Gegenstand des berechtigten Auskunftsbegehrens vollständig abdecken soll. Daran fehlt es beispielsweise, wenn sich der Auskunftsschuldner hinsichtlich einer bestimmten Kategorie von Auskunftsgegenständen nicht erklärt hat, etwa weil er irrigerweise davon ausgeht, er sei hinsichtlich dieser Gegenstände nicht zur Auskunft verpflichtet. Dann kann der Auskunftsberechtigte eine Ergänzung der Auskunft verlangen (BGH-Urteil vom 15.06.2021 - VI ZR 576/19, Rz 20, m.w.N.).

Hat der Auskunftsschuldner --zumindest konkludent-- erklärt, die Auskunft vollständig und zutreffend erteilt zu haben, gilt das Auskunftsbegehren als erfüllt, soweit dem FG keine Zweifel an der Richtigkeit der Vollständigkeitserklärung erwachsen. Derartige Zweifel nimmt der Senat --vergleichbar den zivilrechtlichen Regelungen zur eidesstattlichen Versicherung hinsichtlich der Rechenschafts- und Auskunftspflichten nach § 259 Abs. 2 und § 260 Abs. 2 des Bürgerlichen Gesetzbuchs-- dann an, wenn Grund zu der Annahme besteht, dass die Auskunft nicht mit der erforderlichen Sorgfalt erteilt wurde. In diesem Fall führt die Vollständigkeitserklärung nicht zum Erlöschen des Auskunftsbegehrens, und der Auskunftsberechtigte kann eine vollständige und zutreffende Auskunftserteilung unter Beachtung der erforderlichen Sorgfalt vom Auskunftsschuldner verlangen (Senatsurteil vom 14.01.2025 - IX R 25/22, zur amtlichen Veröffentlichung bestimmt, Rz 52 f.).

bb) Unter Anwendung dieser Maßstäbe ist das FG rechtsfehlerhaft von einer (teilweisen) Erfüllung des Auskunftsanspruchs ausgegangen. Eine Vollständigkeitserklärung liegt bereits deshalb nicht vor, weil das FA bestimmte Auskunftsgegenstände ausgenommen hat. Das betrifft zum einen den Einwand, die Klägerin verfüge bereits (teilweise) über die begehrten Angaben und zum anderen den Einwand des unverhältnismäßigen Verwaltungsaufwands.

2. Die Sache ist nicht spruchreif und daher zur Nachholung der notwendigen Feststellungen an das FG zurückzuverweisen.

a) Das FG hat ausgehend von seiner Rechtsauffassung, dass ein Auskunftsanspruch bereits aus anderen Gründen ausscheide, keine ausreichenden Feststellungen dazu getroffen, ob und in welchem Umfang der dem Grunde nach bestehende Anspruch auf Auskunft nach Art. 15 Abs. 1 DSGVO im Streitfall --wie vom FA im Ablehnungsbescheid angeführt-- gemäß § 32c Abs. 1 Nr. 1 i.V.m. § 32b Abs. 1 Satz 1 Nr. 1 Buchst. a bzw. § 32a Abs. 2 AO ausgeschlossen ist. Vorsorglich weist der Senat darauf hin, dass dem FA insoweit die Darlegungs- und Feststellungslast obliegt.

b) Ferner wird das FG die Feststellungen für eine abschließende Beurteilung zu treffen haben, ob und in welchem Umfang die Klägerin Anspruch auf Zurverfügungstellung von Kopien personenbezogener Daten gemäß Art. 15 Abs. 3 DSGVO hat. Ausgehend von seiner Rechtsaufassung, dass ein Anspruch auf Auskunft nach Art. 15 Abs. 1 DSGVO nicht bestehe, hat es nicht geprüft, ob im Streitfall die Zurverfügungstellung einer Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte zu ermöglichen. Der Senat verweist hierzu auf seine Urteile vom 12.03.2024 - IX R 35/21 (BFHE 283, 266, BStBl II 2024, 682, Rz 27 f.) und vom 07.05.2024 - IX R 21/22 (BFHE 284, 419, Rz 39).

c) Vorsorglich weist der Senat darauf hin, dass der Einwand des FA, der Aufwand sei unverhältnismäßig, weil die Klägerin den Umfang der Auskunft nicht begrenzt habe, nicht greift. Eine Einschränkung des Auskunftsanspruchs bei unverhältnismäßigem Aufwand für die Auskunftserteilung ergibt sich weder aus der Datenschutz-Grundverordnung noch aus den Vorschriften des nationalen Rechts (vgl. hierzu Senatsurteil vom 14.01.2025 - IX R 25/22, zur amtlichen Veröffentlichung bestimmt, Rz 27 ff.).

3. Ob die von der Klägerin gerügten Verfahrensfehler vorliegen, kann dahingestellt bleiben, da die Sache bereits wegen Rechtsfehlern an das FG zur anderweitigen Verhandlung und Entscheidung zurückzuverweisen ist.

4. Die Kostenentscheidung beruht auf § 143 Abs. 2 FGO.

Vorsorglich weist der Senat darauf hin, dass die Klägerin neben der Auskunft über die konkret beim FA verarbeiteten personenbezogenen Daten zunächst auch Auskunft darüber begehrt hat, ob überhaupt personenbezogene Daten verarbeitet worden waren. Hierbei handelt es sich um unterschiedliche Ansprüche aus Art. 15 Abs. 1 DSGVO (vgl. z.B. Ehmann/Selmayr/Ehmann, 3. Aufl.2024, DS-GVO Art. 15 Rz 25; Schemmer, Zeitschrift für das gesamte Informationsrecht 2024, 205; Paal in Paal/Pauly, DS-GVO BDSG, 3. Aufl., Art. 15 DSGVO Rz 1; Nowak/Bornholdt, Recht der Datenverarbeitung 2020, 191, 192). Dies ergibt sich bereits aus dem Wortlaut des Art. 15 Abs. 1 DSGVO. Danach hat die betroffene Person zunächst das Recht, von dem für die Verarbeitung Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Erfolgt eine solche Verarbeitung, ist nach Art. 15 Abs. 1 Halbsatz 2 DSGVO darüber Auskunft zu erteilen, welche personenbezogenen Daten über die um Auskunft ersuchende Person von dem Verantwortlichen verarbeitet werden.

Ausgehend von dem nach § 39 des Gerichtskostengesetzes (GKG) zu bildenden Gesamtstreitwert (vgl. zur Zolltarifauskunft Beschluss des Bundesfinanzhofs vom 19.11.1991 - VII S 49/91, BFH/NV 1992, 484; zum jeweils zu berücksichtigenden sogenannten Auffangstreitwert von 5.000 EUR nach § 52 Abs. 2 GKG s. Senatsurteil vom 07.05.2024 - IX R 21/22, BFHE 284, 419, Rz 41, sowie Senatsbeschluss vom 15.05.2024 - IX S 14/24) ist bei der einheitlichen Kostenentscheidung zu berücksichtigen, dass die Klägerin die Revision zurückgenommen hat, soweit sich ihr Antrag auf die Auskunft richtete, ob das FA dem Grunde nach personenbezogene Daten verarbeitet hat (Art. 15 Abs. 1 Halbsatz 1 DSGVO).