Leitsatz

1. Der Verantwortliche kann dem Auskunftsanspruch nach Art. 15 der Datenschutz-Grundverordnung nicht entgegenhalten, dass die Auskunft einen unverhältnismäßigen Aufwand erfordern würde. (Rn. 27) (Rn. 31) (Rn. 34) (Rn. 35) (Rn. 36)

2. Ein Auskunftsbegehren gilt nicht bereits als exzessiv, wenn die betroffene Person Auskunft zu ihren personenbezogenen Daten begehrt, ohne dieses Begehren in sachlicher beziehungsweise zeitlicher Hinsicht zu beschränken. (Rn. 45) (Rn. 47) (Rn. 48)

3. Ein Auskunftsanspruch ist grundsätzlich dann erfüllt, wenn die Angaben nach dem erklärten Willen des Auskunftsschuldners die Auskunft im geschuldeten Gesamtumfang darstellen. (Rn. 53) (Rn. 54) (Rn. 55)

Tenor

Auf die Revision des Klägers wird das Urteil des Thüringer Finanzgerichts vom 22.02.2022 - 4 K 660/20 aufgehoben.

Die Sache wird an das Thüringer Finanzgericht zur anderweitigen Verhandlung und Entscheidung zurückverwiesen.

Diesem wird die Entscheidung über die Kosten des Verfahrens übertragen.

Tatbestand

I.

Strittig ist, in welchem Umfang der Kläger und Revisionskläger (Kläger) vom Beklagten und Revisionsbeklagten (Finanzamt --FA--) Auskunft nach Art. 15 der Datenschutz-Grundverordnung (DSGVO) verlangen kann.

Der Kläger ist Vorstand einer AG (Z-AG). Zudem war er an einer damit im Zusammenhang stehenden atypisch stillen Gesellschaft (Z-atypisch still) beteiligt. Die Prozessbevollmächtigte des Klägers beantragte unter Bezugnahme auf die Datenschutz-Grundverordnung "die Überlassung von Ablichtungen aller gespeicherten Informationen" der Z-AG, worauf das FA verschiedene Übersichten (Grunddaten, Bescheiddaten, eDaten) mit Schreiben vom 08.05.2020 übersandte. Diesbezüglich rügte die Prozessbevollmächtigte, dass nicht alle gemäß Art. 15 DSGVO vorzulegenden Unterlagen zur Verfügung gestellt worden seien, die bei der Finanzverwaltung vorhanden seien. Das FA wertete dies als Antrag auf allumfassende Akteneinsicht, der an Amtsstelle zugestimmt wurde. Hierauf beantragte die Prozessbevollmächtigte Auskunft nach Art. 15 DSGVO bezüglich des Klägers. Das FA erklärte diesbezüglich seine Bereitschaft zur Akteneinsicht zur Erfüllung des Auskunftsbegehrens. Eine Übersendung aller Akten wurde jedoch abgelehnt.

Mit seiner zum Finanzgericht (FG) hiergegen erhobenen Klage verfolgte der Kläger sein Begehren auf Auskunft nach Art. 15 Abs. 1 DSGVO sowie auf Zurverfügungstellung von Kopien seiner personenbezogenen Daten nach Art. 15 Abs. 3 DSGVO weiter. Mit Schriftsatz vom 21.07.2021 übersandte das FA während des Klageverfahrens dem Kläger zur Erteilung einer Auskunft nach Art. 15 DSGVO verschiedene Übersichten in Hinblick auf die Z-atypisch still. Der Kläger beantragte im erstinstanzlichen Verfahren, das FA zu verurteilen, ihm Auskunft über diese personenbezogenen Daten und auf folgende Informationen (Art. 15 Abs. 1 DSGVO) zu geben:

-

"die Verarbeitungszwecke; - die Kategorien personenbezogener Daten, die verarbeitet werden; - die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen; - falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer; - das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung; - das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde; wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten; - das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person."

Weiter beantragte der Kläger vor dem FG, das FA zu verurteilen, ihm eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen.

Folgende Informationen wurden vom Kläger ausdrücklich von dem Auskunftsverlangen ausgenommen:

-

"die dem Kläger aus einem Schriftverkehr zwischen dem Beklagten und dem Kläger persönlich sowie aus Schriftverkehr zwischen dem Beklagten und einem der Steuerberater, Rechtsanwälte oder einer entsprechenden Berufsassoziierung zusammengefunden haben; - die nur deshalb bei dem Beklagten gespeichert sind, weil diese aufgrund der gesetzlichen Aufbewahrungsverpflichtung nicht gelöscht werden dürfen; hiervon sind jedoch die Daten ausgenommen, die zu einer Festsetzung eines noch nicht festsetzungsverjährten Zeitraumes relevant sind; - die sachlich den Beschränkungen des Art. 2 Abs. 2 Buchst. d DSGVO unterfallen; - die bereits mit der Übersendung in dem Schriftsatz vom 21.07.2021, also Grunddatenübersicht, Bescheiddatenübersicht, e-Datenübersicht, erteilt worden sind; - die Steuerbescheide, die den Kläger persönlich betreffen; - die Steuerbescheide, die die Gesellschaft(en) betreffen, die der Kläger persönlich vertritt."

Die Klage blieb ohne Erfolg (Entscheidungen der Finanzgerichte 2022, 1347).

Am 01.09.2022 wurde dem Kläger Akteneinsicht in die die Einspruchsverfahren der Z-AG betreffenden Akten gewährt.

Mit der Revision rügt der Kläger die Verletzung materiellen Rechts (Art. 15 DSGVO) und Verfahrensfehler. Das Auskunftsbegehren sei insbesondere auch auf die Zurverfügungstellung von Kopien personenbezogener Daten gerichtet. Dieses sei bislang nicht --auch nicht teilweise-- erfolgt. Das Auflisten behördeninterner Vorgänge, deren Inhalt sich nicht erschließe, stelle keine Auskunftserteilung dar. Dem Auskunftsbegehren könne nicht der Einwand unverhältnismäßigen Aufwands entgegengehalten werden. Ferner sei sein Auskunftsbegehren auch nicht als exzessiv zu bezeichnen. Zudem werde ein Anspruch auf Schadensersatz in Höhe von 450 EUR wegen der angefallenen Kosten im Zusammenhang mit der Akteneinsicht geltend gemacht. Dieser sei als Minus in dem bereits geltend gemachten Auskunftsanspruch enthalten. Sein Anspruch auf Datenschutz gehöre zu den geschützten Menschenrechten und werde durch die Datenschutz-Grundverordnung konkretisiert. In der Entscheidung des Bundesfinanzhofs (BFH) vom 12.03.2024 - IX R 35/21 (BFHE 283, 266, BStBl II 2024, 682) werde der Begriff der "Unerlässlichkeit" so ausgelegt, als obliege die Darlegungslast dem Steuerpflichtigen. Der Gerichtshof der Europäischen Union (EuGH) formuliere das aber so, dass der Auskunftsschuldner, wenn es für ihn unerlässlich sei, um die Auskunft richtig und vollständig erteilen zu können, die ganze Akte kopieren müsse. Die Anforderung des BFH, der Antragsteller habe die Unerlässlichkeit darzulegen, sei eine nicht in der Datenschutz-Grundverordnung enthaltene weitere Voraussetzung. Das vom BFH angenommene Regel-Ausnahme-Prinzip werde auch vom EuGH nicht geteilt. Dem entspreche es, dass ein Antrag nach Art. 15 DSGVO vom Antragsteller nicht begründet werden müsse. In jedem Auskunftsantrag sei konkludent enthalten, dass der Antragsteller alle seine Rechte aus der Datenschutz-Grundverordnung geltend machen wolle. Dies gelte auch für ihn, den Kläger. Die vom BFH getroffene Unterscheidung zwischen "Kopie der personenbezogenen Daten" und "Kopie der Quelle, in der die personenbezogenen Daten verarbeitet sind", sei nicht nachvollziehbar. Im Übrigen sei zur Erfüllung seines Auskunftsanspruchs die Zurverfügungstellung von Kopien der Akten mit Personendaten unerlässlich.

Der Kläger beantragt,

das Urteil der Vorinstanz aufzuheben und der Klage mit der Maßgabe stattzugeben, dass darüber hinaus keine Auskunft bezüglich der Informationen begehrt wird, die sich bereits in Aktenbestandteilen befinden, welche über die Einsichtnahme am 01.09.2022 bekanntgeworden sind.

Des Weiteren beantragt der Kläger,

das FA zu verurteilen, Schadensersatz in Höhe von 450 EUR zu zahlen.

Das FA beantragt,

die Revision zurückzuweisen.

Dem Auskunftsbegehren sei bereits mit Schreiben vom 08.05.2020 sowie vom 21.07.2021 nachgekommen worden. Im Übrigen gehe aus Art. 15 DSGVO kein darüber hinausgehender Anspruch auf vollumfängliche Akteneinsicht hervor. Die Ausführungen der Vorinstanz seien zutreffend. 

Gründe

II.

Bezüglich des erstmalig im Revisionsverfahren geltend gemachten Begehrens auf Schadensersatz in Höhe von 450 EUR ist die Revision unzulässig.

Der Antrag auf Schadensersatz stellt eine Klageerweiterung dar, die im Revisionsverfahren unzulässig ist, weil es dazu an einer Entscheidung des FG als dem Gegenstand der revisionsgerichtlichen Nachprüfung fehlt (vgl. § 123 Abs. 1 Satz 1 der Finanzgerichtsordnung --FGO--; BFH-Urteile vom 26.11.1998 - IV R 66/97, BFH/NV 1999, 788, unter I. und vom 15.11.2022 - VII R 29/21 (VII R 17/18), BFHE 279, 1, BStBl II 2023, 803, Rz 41 ff.). Entgegen der klägerischen Ansicht ist der Anspruch auf Schadensersatz nicht als Minus im Auskunftsbegehren enthalten. Während das Begehren nach Art. 15 DSGVO auf die Erteilung einer Auskunft gerichtet ist, ist der Antrag auf Schadensersatz auf die Kompensation eines Schadens, mithin ein Aliud, gerichtet. Letzterer lässt, ungeachtet der vorliegenden Einschränkung infolge der Akteneinsicht, den Auskunftsanspruch unberührt.

III.

Im Übrigen ist die Revision zulässig und begründet und führt gemäß § 126 Abs. 3 Satz 1 Nr. 2 FGO zur Aufhebung des finanzgerichtlichen Urteils und zur Zurückverweisung der Sache zur anderweitigen Verhandlung und Entscheidung. Das FG hat zwar zu Recht entschieden, dass dem Kläger dem Grunde nach ein Anspruch auf Auskunft über die ihn betreffenden und vom FA verarbeiteten personenbezogenen Daten zusteht (dazu unter 1.). Rechtsfehlerhaft ist das FG jedoch davon ausgegangen, das FA könne der Auskunftserteilung entgegenhalten, dass diese mit einem unverhältnismäßigen Aufwand verbunden sei (dazu unter 2.) und das Auskunftsbegehren exzessiv sei (dazu unter 3.). Die Sache ist nicht spruchreif, da es an den für eine abschließende Überprüfung erforderlichen Feststellungen fehlt, ob der Auskunftsanspruch bereits erfüllt worden und daher untergegangen ist (dazu unter 4.).

1. Dem Kläger steht dem Grunde nach ein Anspruch auf Auskunft nach Art. 15 DSGVO gegenüber dem FA zu.

a) Die Verarbeitung personenbezogener Daten des Klägers durch das FA unterliegt den Vorgaben der Datenschutz-Grundverordnung.

aa) Als Verordnung der Europäischen Union gilt die Datenschutz-Grundverordnung nach Art. 288 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) unmittelbar in jedem Mitgliedstaat, ohne dass es einer Umsetzung in nationales Recht bedarf.

bb) Sachlich gilt die Datenschutz-Grundverordnung nach Art. 2 Abs. 1 DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Der Begriff der Verarbeitung bezeichnet nach Art. 4 Nr. 2 DSGVO jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Zu den jedenfalls teilweise automatisiert verarbeiteten Daten gehören auch die vom FA in den Papierakten befindlichen personenbezogenen Daten des Klägers, da diese der Durchführung des zumindest teilweise digitalisierten Besteuerungsverfahrens dienen. Vor diesem Hintergrund unterfallen auch sämtliche in E-Mails, Besprechungsprotokollen und sonstigen Dokumenten enthaltenen personenbezogenen Daten des Klägers --wie im Ergebnis auch das FG erkannt hat-- dem sachlichen Anwendungsbereich der Datenschutz-Grundverordnung (vgl. Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 15 ff.).

cc) Eine Einschränkung des Anwendungsbereichs der Datenschutz-Grundverordnung durch die in Art. 2 Abs. 2 sowie Abs. 3 DSGVO geregelten Ausnahmetatbestände liegt nicht vor. Da dies zwischen den Beteiligten unstreitig ist, sieht der Senat von weiteren Erläuterungen ab.

b) Dem Kläger als betroffener Person im Sinne von Art. 4 Nr. 1 DSGVO steht nach Art. 15 Abs. 1 Halbsatz 1 DSGVO das Recht auf Auskunft gegenüber dem FA als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO über die vom FA verarbeiteten, ihn betreffenden personenbezogenen Daten sowie über die in Art. 15 Abs. 1 Buchst. a bis h DSGVO genannten Informationen dem Grunde nach zu.

c) Zudem hat der Kläger dem Grunde nach gemäß Art. 15 Abs. 3 Satz 1 DSGVO Anspruch auf Übersendung einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind.

aa) Die Vorschrift gewährt generell keinen gegenüber Art. 15 Abs. 1 DSGVO eigenständigen Anspruch gegen den Verantwortlichen auf Zurverfügungstellung von Dokumenten mit personenbezogenen Daten. Durch die Rechtsprechung des EuGH ist geklärt, dass Art. 15 DSGVO nicht dahin auszulegen ist, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt. Im Übrigen bezieht sich der Begriff "Kopie" nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind (EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 72; Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 32; Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 27).

bb) Nur wenn die Zurverfügungstellung einer Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind, besteht nach Art. 15 Abs. 3 Satz 1 DSGVO ein Anspruch, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zur Verfügung gestellt zu erhalten (vgl. EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 75; Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 41 und Rz 45). Dies wurde jedoch im Klageverfahren nicht beantragt. Vielmehr ist der die Gerichte bindende Antrag auf die Zurverfügungstellung einer Kopie der Daten gerichtet. Hierüber kann der Senat auch im Revisionsverfahren nicht hinausgehen.

d) Wie auch das FG zutreffend erkannt hat, rechtfertigen unzureichende Soll-Angaben im Sinne von § 32c Abs. 2 der Abgabenordnung (AO) keine Ablehnung des Auskunftsbegehrens im Sinne von Art. 15 DSGVO.

Nach dieser Vorschrift soll die betroffene Person in dem Antrag auf Auskunft gemäß Art. 15 DSGVO die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, näher bezeichnen. Eine Rechtsfolge, insbesondere ein Untergang des Auskunftsanspruchs oder ein Recht, diesen zu verweigern, sieht die Regelung allerdings nicht vor. Vor dem Hintergrund des Art. 23 Abs. 2 Buchst. c DSGVO wäre dies jedoch für die Annahme einer entsprechenden Rechtsfolge erforderlich. Nach dieser Vorschrift muss jede Norm, die unter anderem das Auskunftsrecht nach Art. 15 DSGVO beschränkt, zumindest den Umfang der vorgenommenen Beschränkung regeln.

2. Rechtsfehlerhaft gelangt das FG jedoch zu dem Ergebnis, dass der Auskunftsanspruch wegen unverhältnismäßigen Aufwands nicht bestehe.

a) Ungeachtet dessen, dass es an Feststellungen zu einem unverhältnismäßigen Aufwand der Finanzbehörde fehlt, ergibt sich eine entsprechende Einschränkung des Auskunftsanspruchs nicht aus der Datenschutz-Grundverordnung.

aa) Zwar muss der Verantwortliche nach Art. 14 Abs. 5 Buchst. b Alternative 2 DSGVO seiner Verpflichtung nach der Datenschutz-Grundverordnung nicht nachkommen, wenn dies mit einem unverhältnismäßigem Aufwand verbunden wäre. Dies gilt jedoch nur hinsichtlich der Informationspflicht im Sinne von Art. 14 DSGVO.

Auch scheidet eine analoge Anwendung von Art. 14 Abs. 5 Buchst. b Alternative 2 DSGVO auf ein Auskunftsbegehren aus (Urteil des Bundesverwaltungsgerichts vom 30.11.2022 - 6 C 10.21, BVerwGE 177, 211, Rz 36; Starke, Zeitschrift für Datenschutz --ZD-- 2024, 63, 66; Schreiber/Brinke, Recht Digital 2023, 232, 235; Kuznik, Neue Zeitschrift für Verwaltungsrecht 2023, 297, 303; Korch/Chatard, ZD 2022, 482, 484; Waldkirch, recht und schaden --r+s-- 2021, 317, 319; Schulte/Welge, Neue Zeitschrift für Arbeitsrecht --NZA-- 2019, 1110, 1114; vgl. Benkert, Neue Juristische Wochenschrift Spezial 2022, 306, 307; Krämer/Burghoff, ZD 2022, 428, 431; Lembke/Fischels, NZA 2022, 513, 516; König, Computer und Recht --CR-- 2019, 295, 298; a.A. BeckOK DatenschutzR/Schmidt-Wudy, 49. Ed. 01.08.2024, DS-GVO Art. 15 Rz 99.3; Härting, CR 2019, 219, 223). Es fehlt bereits an einer hierfür erforderlichen planwidrigen Regelungslücke. Während Art. 14 DSGVO die Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden, regelt, beinhaltet Art. 15 DSGVO das Auskunftsrecht der betroffenen Person über die Verarbeitung der sie betreffenden personenbezogenen Daten.

Ergänzend zu diesen Vorschriften enthält Art. 12 DSGVO zusätzliche Modalitäten unter anderem für die Ausübung dieser Rechte. Der Einwand unverhältnismäßigen Aufwands ist hierin nicht geregelt. Das Auskunftsrecht steht nicht unter dem allgemeinen Vorbehalt der Verhältnismäßigkeit in Hinblick auf die Anstrengungen, die der Verantwortliche unternehmen muss, um dem Antrag der betroffenen Person nachzukommen (Leitlinien des Europäischen Datenschutzausschusses 01/2022 zu den Rechten der betroffenen Person - Auskunftsrecht, Version 2.1, S. 5).

Zudem besteht auch keine vergleichbare Interessenlage zwischen der Informationspflicht nach Art. 14 DSGVO und der Auskunftspflicht nach Art. 15 DSGVO. Während Art. 14 DSGVO dem Verantwortlichen eine Verpflichtung zur Information der betroffenen Person über die erhobenen personenbezogenen Daten auferlegt, besteht der Auskunftsanspruch nach Art. 15 DSGVO nur auf Antrag der betroffenen Person.

Der Auskunftsanspruch ist zudem insbesondere darauf gerichtet, Kenntnis über die jeweils verarbeiteten personenbezogenen Daten zu erlangen, während nach Art. 14 DSGVO keine Verpflichtung besteht, die betroffene Person darüber zu informieren, welche konkreten personenbezogenen Daten über sie erhoben wurden. So beschränkt sich nach Art. 14 Abs. 1 Buchst. d DSGVO die Informationspflicht auf die Kategorien personenbezogener Daten.

bb) Auch ergibt sich eine entsprechende Einschränkung des Auskunftsrechts bei unverhältnismäßigem Aufwand der Auskunftserteilung nicht aus Art. 15 Abs. 4 DSGVO (a.A. Starke, ZD 2024, 63, 66). Nach Art. 15 Abs. 4 DSGVO darf das Recht auf Erhalt einer Kopie im Sinne von Art. 15 Abs. 3 Satz 1 DSGVO nicht die Rechte und Freiheiten anderer Personen beeinträchtigen. Art. 15 Abs. 4 DSGVO schränkt den Auskunftsanspruch nur in Hinblick auf die Rechte Dritter, nicht hingegen in Bezug auf die Belange des Verantwortlichen, insbesondere in Bezug auf den mit dem Schutz der Rechte Dritter verbundenen Aufwand, ein (vgl. EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 63, 67; a.A. Kamlah in Plath, DSGVO/BDSG/TTDSG, 4. Aufl., Art. 15 DSGVO Rz 20; Schwartmann/Klein/Peisker in Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl., Art. 15 DSGVO Rz 68).

cc) Auch kann ein entsprechender Einwand nicht aus Erwägungsgrund 63 Satz 7 DSGVO abgeleitet werden. Nach diesem sollte der Verantwortliche verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt, wenn er eine große Menge von Informationen über die betroffene Person verarbeitet. Aus den Erwägungsgründen kann jedoch kein allgemeiner Rechtssatz abgeleitet werden, der zu einer Einschränkung der Rechte und Pflichten nach der Datenschutz-Grundverordnung führt. Es entspricht der Rechtsprechung des EuGH, dass Erwägungsgründe rechtlich nicht verbindlich sind und weder herangezogen werden können, um von den Bestimmungen des betreffenden Rechtsakts abzuweichen, noch, um diese Bestimmungen in einem Sinn auszulegen, der ihrem Wortlaut offensichtlich widerspricht (vgl. EuGH-Urteil Hauptzollamt Bremen gegen J. E. Tyson Parketthandel GmbH hanse j. vom 02.04.2009 - C-134/08, EU:C:2009:229, Rz 16). So verhält es sich vorliegend. Die Einbeziehung des Erwägungsgrundes 63 Satz 7 DSGVO würde dazu führen, dass die Rechte aus Art. 15 Abs. 1 bzw. Abs. 3 DSGVO ohne ausdrückliche Regelung eingeschränkt würden, obwohl eine solche nach Art. 23 Abs. 2 Buchst. c DSGVO erforderlich ist. Die Erwägungsgründe ersetzen diese nicht, da sie nach den oben genannten Grundsätzen rechtlich nicht verbindlich sind.

b) Eine Einschränkung des Auskunftsanspruchs bei unverhältnismäßigem Aufwand für die Auskunftserteilung ergibt sich ferner nicht aus den Vorschriften des nationalen Rechts.

Gemäß § 32c Abs. 1 Nr. 3 AO ist der Einwand eines unverhältnismäßigen Aufwands nur zu berücksichtigen, wenn die personenbezogenen Daten nur deshalb gespeichert werden, weil sie aufgrund gesetzlicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen (§ 32c Abs. 1 Nr. 3 Buchst. a AO) oder wenn die personenbezogenen Daten ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen (§ 32c Abs. 1 Nr. 3 Buchst. b AO). Weiter ist erforderlich, dass eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist (§ 32c Abs. 1 Nr. 3 AO).

Wie der Senat bereits entschieden hat, fehlt es bereits an einer gesetzlichen Aufbewahrungspflicht der Finanzbehörden (Senatsurteil vom 07.05.2024 - IX R 21/22, zur amtlichen Veröffentlichung bestimmt, Leitsatz Nr. 3 und Rz 33). Im Übrigen wurde weder vorgetragen noch durch das FG festgestellt, dass das FA die personenbezogenen Daten des Klägers ausschließlich zur Datensicherung oder Datenschutzkontrolle verarbeitet und eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist. Letztlich ist dies auch fernliegend, da Aufgabe der Finanzbehörden die Festsetzung und Erhebung von Steuern ist.

aa) Soweit die Auskunft nach § 32c Abs. 3 AO nur erteilt wird, soweit die betroffene Person Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht, kann dieser Einwand nicht einem Auskunftsersuchen nach Art. 15 DSGVO entgegengehalten werden. Denn § 32c Abs. 3 AO gilt nur, sofern die personenbezogenen Daten weder automatisiert noch in nicht automatisierten Dateisystemen gespeichert sind (BTDrucks 18/12611, S. 88). Mithin liegt die Einschränkung außerhalb des Anwendungsbereichs der Datenschutz-Grundverordnung.

bb) Auch kann dem Auskunftsanspruch nicht die Regelung des § 275 Abs. 2 des Bürgerlichen Gesetzbuchs (BGB) oder der darin zum Ausdruck kommende Rechtsgedanke entgegengehalten werden, dass der Schuldner eine Leistung verweigern kann, soweit diese einen Aufwand erfordert, der unter Beachtung des Inhalts des Schuldverhältnisses und der Gebote von Treu und Glauben in einem groben Missverhältnis zu dem Leistungsinteresse des Gläubigers steht (so auch Starke, ZD 2024, 63, 66; König, CR 2019, 295, 298; vgl. Waldkirch, r+s 2021, 317, 319; a.A. Gola/Heckmann/Franck, DS-GVO, 3. Aufl., Art. 15 Rz 51).

3. Rechtsfehlerhaft kommt das FG ferner zu dem Ergebnis, dass das Auskunftsbegehren aufgrund eines exzessiven Antrags im Sinne von Art. 12 Abs. 5 Satz 2 und 3 DSGVO ausgeschlossen sei.

a) Nach Art. 12 Abs. 5 Satz 2 DSGVO kann bei offenkundig unbegründeten oder --insbesondere im Fall von häufiger Wiederholung-- exzessiven Anträgen einer betroffenen Person der Verantwortliche entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden (Art. 12 Abs. 5 Satz 2 Buchst. a DSGVO), oder sich weigern, aufgrund des Antrags tätig zu werden (Art. 12 Abs. 5 Satz 2 Buchst. b DSGVO). Der Verantwortliche hat gemäß Art. 12 Abs. 5 Satz 3 DSGVO den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen. Nach der Rechtsprechung des EuGH beziehen sich die beiden Gründe, bei denen der Verantwortliche dem Begehren des Betroffenen nach Art. 12 Abs. 5 Satz 2 DSGVO nicht nachkommen muss, auf Fälle des Rechtsmissbrauchs (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 31). Ist der Antrag exzessiv, kann in diesem nicht zugleich als Weniger ein statthafter Antrag auf Zurverfügungstellung von Kopien personenbezogener Daten erblickt werden. Dies ergibt sich eindeutig aus Art. 12 Abs. 5 Satz 2 Buchst. b DSGVO. Verlangt der Verantwortliche nicht ein angemessenes Entgelt, braucht er bei einer Verweigerung aufgrund eines exzessiven Antrags nicht tätig zu werden (vgl. Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 32). Ferner bedarf es für die Geltendmachung des Anspruchs aus Art. 15 Abs. 3 Satz 1 DSGVO auf Zurverfügungstellung von Kopien personenbezogener Daten keiner Begründung (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 38).

b) Diesen Maßstäben genügen die Ausführungen des FG zu Art. 12 Abs. 5 Satz 2 und 3 DSGVO nicht.

Rechtsfehlerhaft nimmt das FG eine Ausnahme von der dem FA für die Annahme eines exzessiven Antrags obliegenden Nachweispflicht an, da sich die zur Unbegründetheit des Antrags führenden Umstände bereits aus dem Antrag ergeben sollen und damit offensichtlich seien. Andernfalls liefe die Nachweispflicht des Art. 12 Abs. 5 Satz 3 DSGVO ins Leere. Das FG verkennt, dass das Verweigerungsrecht nach Art. 12 Abs. 5 Satz 2 Buchst. b DSGVO nur besteht, wenn der Antrag offenkundig unbegründet oder exzessiv ist. Zwar verwendet das FG den Begriff offensichtlich, dieser meint jedoch dasselbe wie offenkundig.

Im Übrigen kann ein Auskunftsbegehren nicht bereits als exzessiv gelten, wenn die betroffene Person Auskunft zu ihren personenbezogenen Daten begehrt, ohne --wie vorliegend-- dieses Begehren in sachlicher beziehungsweise zeitlicher Hinsicht (weitestgehend) zu beschränken. Nach Art. 15 Abs. 1 DSGVO besteht ein Anspruch auf Auskunft über sämtliche personenbezogenen Daten, die der Verantwortliche verarbeitet. Nur so wird dem Zweck des Art. 15 DSGVO hinreichend Rechnung getragen, es der betroffenen Person durch die Wahrnehmung des Auskunftsrechts in angemessenen Abständen zu ermöglichen, sich der Verarbeitung der sie betreffenden personenbezogenen Daten bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können (vgl. Erwägungsgrund 63 Satz 1 DSGVO). Dem stünde es entgegen, wenn der Verantwortliche die Auskunft verweigern könnte, wenn die betroffene Person ihr Auskunftsrecht unbeschränkt geltend macht.

Ferner kann auch ein Exzess des Antrags nicht damit begründet werden, dass das FA dem Kläger die Möglichkeit zur Akteneinsicht angeboten hat. Die Möglichkeit zur Akteneinsicht erweist sich als ein Aliud im Vergleich zu dem Begehren auf Zurverfügungstellung einer Kopie der personenbezogenen Daten. Während das Recht auf Akteneinsicht die temporäre Möglichkeit zur Einsicht in die gesamte Verwaltungsakte beinhaltet, betrifft Art. 15 DSGVO nicht die gesamte Verwaltungsakte, sondern ist auf die dauerhafte Überlassung der darin enthaltenen personenbezogenen Daten und nur ausnahmsweise unter bestimmten Umständen auf die Überlassung von Auszügen von Verwaltungsakten gerichtet. Zudem betrifft das Recht auf Akteneinsicht einen Einblick in die Originalakte zu erhalten, während Art. 15 DSGVO auf die Erteilung von Auskünften und die Zurverfügungstellung von Kopien gerichtet ist.

Auch kann es für die Annahme eines Exzesses nicht darauf ankommen, dass der Kläger nach der Überzeugung des FG mit seinem Auskunftsbegehren andere Zwecke verfolge als die, denen die Datenschutz-Grundverordnung dient. Soweit es der betroffenen Person freisteht, Auskunft nach Art. 15 DSGVO auch ohne eine Begründung ihres Begehrens zu verlangen, kann ein exzessiver Antrag nicht deshalb angenommen werden, dass die betroffene Person mit ihrem Auskunftsbegehren andere Zwecke als die der Datenschutz-Grundverordnung verfolgt (vgl. EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 51 f.). Vielmehr wäre es widersprüchlich, wenn ein Verweigerungsrecht entstünde, weil die betroffene Person ihr Auskunftsersuchen nicht hinsichtlich der Art der personenbezogenen Daten, über die Auskunft begehrt wird, näher präzisiert.

Ferner kann auch kein exzessiver Antrag allein deswegen angenommen werden, dass der Kläger in seinem Auskunftsersuchen die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, nicht näher bezeichnet hat. Soweit § 32c Abs. 2 AO eine entsprechende Vorgabe enthält, handelt es sich hierbei um eine bloße Sollvorschrift, an die keine Rechtsfolge geknüpft ist.

4. Die Sache ist nicht spruchreif und daher an das FG zurückzuverweisen.

a) Es fehlt bereits an der Feststellung eines rechtsmissbräuchlichen Verhaltens beziehungsweise an Feststellungen zum diesbezüglichen Vorbringen des FA vor dem Hintergrund der ihm obliegenden Darlegungslast eines offenkundig unbegründeten oder exzessiven Antrags (vgl. Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 31).

b) Das FG hat auf Grundlage seiner Rechtsauffassung, dass ein Anspruch nach Art. 15 Abs. 1 und 3 DSGVO nicht besteht, nicht geprüft, ob der nach den oben genannten Grundsätzen dem Grunde nach bestehende Auskunftsanspruch aufgrund Erfüllung bereits erloschen ist.

aa) Ein Auskunftsanspruch ist grundsätzlich dann erfüllt, wenn die Angaben des Auskunftsschuldners nach seinem erklärten Willen die Auskunft im geschuldeten Gesamtumfang darstellen. Wesentlich für die Erfüllung des Auskunftsanspruchs ist die --gegebenenfalls konkludente-- Erklärung des Auskunftsschuldners, dass die Auskunft vollständig ist (vgl. Urteile des Bundesgerichtshofs --BGH-- vom 03.09.2020 - III ZR 136/18, Rz 43, m.w.N. sowie vom 15.06.2021 - VI ZR 576/19, Rz 19). Die Annahme eines derartigen Erklärungsinhalts setzt voraus, dass die erteilte Auskunft erkennbar den Gegenstand des berechtigten Auskunftsbegehrens vollständig abdecken soll. Daran fehlt es beispielsweise, wenn sich der Auskunftsschuldner hinsichtlich einer bestimmten Kategorie von Auskunftsgegenständen nicht erklärt hat, etwa weil er irrigerweise davon ausgeht, er sei hinsichtlich dieser Gegenstände nicht zur Auskunft verpflichtet. Dann kann der Auskunftsberechtigte eine Ergänzung der Auskunft verlangen (BGH-Urteil vom 15.06.2021 - VI ZR 576/19, Rz 20, m.w.N.).

Hat der Auskunftsschuldner --zumindest konkludent-- erklärt, die Auskunft vollständig und zutreffend erteilt zu haben, gilt das Auskunftsbegehren als erfüllt, soweit dem FG keine Zweifel an der Richtigkeit der Vollständigkeitserklärung erwachsen. Derartige Zweifel nimmt der Senat --vergleichbar den zivilrechtlichen Regelungen zur eidesstattlichen Versicherung hinsichtlich der Rechenschafts- und Auskunftspflichten nach § 259 Abs. 2 und § 260 Abs. 2 BGB-- dann an, wenn Grund zu der Annahme besteht, dass die Auskunft nicht mit der erforderlichen Sorgfalt erteilt wurde. In diesem Fall führt die Vollständigkeitserklärung nicht zum Erlöschen des Auskunftsbegehrens und der Auskunftsberechtigte kann eine vollständige und zutreffende Auskunftserteilung unter Beachtung der erforderlichen Sorgfalt vom Auskunftsschuldner verlangen.

bb) Unter Anwendung dieser Maßstäbe fehlt es an Feststellungen, inwieweit das Auskunftsbegehren des Klägers bereits erfüllt wurde. Diese wird das FG im zweiten Rechtsgang nachzuholen haben.

(1) Soweit das FA vorträgt, dass es dem Auskunftsbegehren bereits mit Schreiben vom 08.05.2020 sowie vom 21.07.2021 nachgekommen sei, wird das FG insbesondere zu überprüfen haben, inwiefern mit diesen Schreiben dem Kläger bezüglich der ihn betreffenden, durch das FA verarbeiteten personenbezogenen Daten Auskunft erteilt wurde und inwiefern aus diesen die zumindest konkludente Erklärung hervorgeht, dass die erteilte Auskunft vollständig sei. Insbesondere hinsichtlich des Schreibens vom 08.05.2020 erwachsen dem Senat hieran --ohne Bindungswirkung für das FG-- deshalb Zweifel, da der Kläger erst anschließend mit Schreiben vom 25.11.2020 einen eigenen Antrag auf Auskunft nach Art. 15 DSGVO stellte. Entsprechendes gilt für das im Rahmen des erstinstanzlichen Verfahrens ergangene Schreiben vom 21.07.2021, soweit damit die Auskunft bezüglich der Z-atypisch still erteilt worden sein soll. Zudem besteht für das FA im zweiten Rechtszug die Möglichkeit, die Auskunft gegebenenfalls nachzuholen und die Vollständigkeit der Auskunftserteilung zu erklären.

(2) Ergänzend weist der Senat darauf hin, dass durch die Gewährung der Akteneinsicht am 01.09.2022 der Auskunftsanspruch nicht erfüllt worden ist. Zwar steht die Form der Auskunft nach Art. 15 DSGVO gemäß § 32d Abs. 1 AO im Ermessen des FA. Dies gilt jedoch nur, soweit Art. 12 bis 15 DSGVO keine diesbezüglichen Regelungen enthalten. So regelt Art. 15 Abs. 3 DSGVO, dass die Auskunft nach Art. 15 DSGVO durch Zurverfügungstellung einer Kopie zu erfüllen ist (vgl. EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 72; Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 32). Die Gewährung der Akteneinsicht steht dem nicht gleich. Es handelt sich hierbei vielmehr um ein Aliud (dazu unter III.3.b).

(3) Sollte das FG zu dem Ergebnis kommen, dass das FA zumindest konkludent erklärt hat, gegenüber dem Kläger das Auskunftsbegehren erfüllt zu haben, wird es zu ermitteln haben, inwiefern Grund zu der Annahme bestehen könnte, dass die Auskunft nicht mit der erforderlichen Sorgfalt erteilt worden sei. Das FG wird hierbei zu berücksichtigen haben, dass dies nicht bereits bei einem pauschalen Vorbringen des Betroffenen "ins Blaue hinein", die Auskunft sei unvollständig, der Fall ist. Andernfalls könnte der Auskunftsberechtigte auch aus sachfremden Motiven die grundsätzliche Erfüllungswirkung der Vollständigkeitserklärung aushebeln. Vielmehr muss der Auskunftsberechtigte substantiierte Gründe vortragen, die zu der Annahme führen, dass die erteilte Auskunft unvollständig ist.

(4) Sollte das FG zu dem Ergebnis gelangen, dass das FA bislang bis zum Schluss der mündlichen Verhandlung nicht --zumindest konkludent-- erklärt hat, das Auskunftsbegehren des Klägers vollständig erfüllt zu haben oder dass Grund zu der Annahme besteht, dass die Auskunft nicht mit der erforderlichen Sorgfalt erteilt wurde, wird es das FA verpflichten, die begehrte Auskunft zu erteilen.

5. Einer Vorlage an den EuGH nach Art. 267 Abs. 3 AEUV bedarf es im vorliegenden Verfahren nicht. Die Rechtslage ist aus den jeweils genannten Gründen eindeutig ("acte clair", Beschlüsse des Bundesverfassungsgerichts --BVerfG-- vom 19.07.2011 - 1 BvR 1916/09, BVerfGE 129, 78, unter C.I.2.e und vom 04.03.2021 - 2 BvR 1161/19, Rz 55; EuGH-Urteil Srl CILFIT und Lanificio di Gavardo SpA gegen Ministero della Sanità vom 06.10.1982 - C-283/81, EU:C:1982:335, Rz 16) beziehungsweise bereits durch die aufgezeigte Rechtsprechung des EuGH in einer Weise geklärt, die keinen vernünftigen Zweifel offenlässt ("acte éclairé", BVerfG-Beschluss vom 04.03.2021 - 2 BvR 1161/19, Rz 55; EuGH-Urteil Srl CILFIT und Lanificio di Gavardo SpA gegen Ministero della Sanità vom 06.10.1982 - C-283/81, EU:C:1982:335, Rz 14). Insbesondere hat der erkennende Senat vor dem Hintergrund des eindeutigen Wortlauts des Art. 14 Abs. 5 Buchst. b Alternative 2 DSGVO sowie des Art. 15 Abs. 3 und Abs. 4 DSGVO keine Zweifel, dass dem Begehren auf Auskunft nach Art. 15 Abs. 1 und Abs. 3 DSGVO nicht der Einwand eines mit der Auskunftserteilung verbundenen unverhältnismäßigen Aufwands entgegengehalten werden kann. Auch soweit sich eine entsprechende Aussage in Erwägungsgrund 63 Satz 7 DSGVO findet, hat der erkennende Senat vor dem Hintergrund des EuGH-Urteils Hauptzollamt Bremen gegen J. E. Tyson Parketthandel GmbH hanse j. vom 02.04.2009 - C-134/08, EU:C:2009:229 keine Zweifel, dass hieraus kein allgemeiner, für die Anwendung des Art. 15 DSGVO gültiger Rechtssatz abgeleitet werden kann. Durch die Rechtsprechung des EuGH ist zudem geklärt, dass die Gründe zur Verweigerung eines Auskunftsbegehrens nach Art. 12 Abs. 5 Satz 2 Buchst. b DSGVO ein rechtsmissbräuchliches Verhalten voraussetzen (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811) und dass das Begehren auf Auskunft über die verarbeiteten personenbezogenen Daten keiner Begründung bedarf (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 38).

6. Da die Revision, soweit sie zulässig ist, bereits aus materiellen Gründen Erfolg hat, kann es dahinstehen bleiben, inwiefern die gerügten Verfahrensfehler vorliegen.

7. Die Kostenentscheidung beruht auf § 143 Abs. 2 FGO.