Verstößt § 18 Abs. 8 EStG 1988 gegen die DSGVO sowie gegen § 1 DSG?

Entscheidungstext

IM NAMEN DER REPUBLIK

Das Bundesfinanzgericht hat durch die Richterin***Ri*** in der Beschwerdesache ***Bf1***, ***Bf1-Adr***, über die Beschwerde vom 25. Juni 2019 gegen den Bescheid des ***FA*** vom 5. Juni 2019 betreffend Einkommensteuer (Arbeitnehmerveranlagung) 2018 nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:

Die Beschwerde wird gemäß § 279 BAO als unbegründet abgewiesen. Der angefochtene Bescheid bleibt unverändert.

Gegen dieses Erkenntnis ist eine Revision an den Verwaltungsgerichtshof nach Art. 133 Abs. 4 Bundes-Verfassungsgesetz (B-VG) zulässig.

Entscheidungsgründe

Verfahrensgang

Der Beschwerdeführer (im Folgenden abgekürzt Bf.) beantragte im Rahmen der Erklärung zur Arbeitnehmerveranlagung für das Jahr 2018 die Berücksichtigung einer von ihm an einen gemeinnützigen Verein nachweislich geleisteten Geldspende in Höhe von 20,00 Euro als Sonderausgabe. Begründend wurde ausgeführt, freigiebige Zuwendungen seien grundsätzlich bei Vorliegen der Voraussetzungen gemäß § 18 Abs. 1 Z 7 EStG 1988 als Sonderausgaben bei der Ermittlung des Einkommens abzuziehen. Gegenständlich lägen die Voraussetzungen für einen solchen Abzug vor. So sei die Zuwendung ausschließlich in Geld geleistet worden und der Empfänger sei zum Zeitpunkt der Zuwendung in die Liste begünstigter Spendenempfänger gemäß § 4a Abs. 7 Z 1 EStG 1988 eingetragen gewesen. Lediglich die Bestimmung des § 18 Abs. 8 Z 1 EStG 1988 stünde einer Berücksichtigung der Zuwendung als Sonderausgabe entgegen und zwar insofern, als der Bf. die dort genannten personenbezogenen Daten gegenüber dem Zuwendungsempfänger nicht vollständig bekannt gegeben habe. Die betreffende Bestimmung sei allerdings aus nachfolgenden Gründen nicht anzuwenden bzw. verfassungswidrig:

1. Nichtanwendbarkeit von § 18 Abs. 8 EStG 1988 aufgrund des Vorrangs der DSGVO

In § 18 Abs. 8 EStG 1988 werde als Voraussetzung für die Berücksichtigung von Zuwendungen die Bekanntgabe von personenbezogenen Daten des jeweiligen Steuerpflichtigen gegenüber dem Zuwendungsempfänger vorgeschrieben. Der jeweilige Zuwendungsempfänger sei in der Folge verpflichtet, diese Daten sowie den Betrag der Zuwendung an die Abgabenbehörden zu übermitteln.

Aus den Materialien zu dieser Bestimmung ergebe sich, dass durch eine automatische Berücksichtigung von Zuwendungen sowohl die Finanzbehörden als auch die Steuerpflichtigen entlastet werden sollten. Umgekehrt sei allerdings zu bedenken, dass durch die Bekanntgabe personenbezogener Daten und insbesondere die verpflichtende Übermittlung dieser Daten durch die Zuwendungsempfänger eine weitreichende Datenverarbeitung stattfinde, die durch diesen Zweck jedenfalls nicht gerechtfertigt sei.

Je nach Tätigkeitsbereich des Zuwendungsempfängers würden sich aus solchen Daten unter Umständen auch Informationen über politische Meinungen oder weltanschauliche oder religiöse Überzeugungen ableiten lassen. Insofern handle es sich dabei gegebenenfalls auch um Daten besonderer Kategorien im Sinne von Art. 9 DSGVO.

Die Bestimmung des § 18 Abs. 8 EStG 1988 erfülle allerdings nicht die Voraussetzung für die Verarbeitung solcher Daten gemäß Art. 9 DSGVO, weshalb eine solche Datenverarbeitung gemäß Art. 9 Abs. 1 DSGVO untersagt sei. Im Übrigen sei davon auszugehen, dass selbst wenn im Einzelfall keine Daten besonderer Kategorien vorliegen würden, die gegenständliche Datenverarbeitung auch gemäß Art. 6 DSGVO nicht rechtmäßig wäre.

Im Hinblick auf den europarechtlich gebotenen Anwendungsvorrang der DSGVO gegenüber den Bestimmungen des EStG habe daher § 18 Abs. 8 EStG 1988 unangewendet zu bleiben und die Zuwendung sei im Rahmen der Arbeitnehmerveranlagung für das Jahr 2018 zu berücksichtigen.

1. Verfassungswidrigkeit der Bestimmung des § 18 Abs. 8 EStG 1988

Abgesehen von den Bestimmungen der DSGVO sei auch das in der Verfassungsbestimmung des § 1 DSG geregelte Grundrecht auf Datenschutz einschlägig.

Gemäß § 1 Abs. 2 DSG seien Beschränkungen des Grundrechts auf Datenschutz nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der EMRK genannten Gründen notwendig seien.

Selbst im Fall zulässiger Beschränkungen dürfe der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Die Voraussetzungen des § 1 Abs. 2 DSG lägen im Hinblick auf § 18 Abs. 8 EStG 1988 jedenfalls nicht vor. Im Übrigen könnten die mit dieser Bestimmung verfolgten Ziele auch durch gelindere Mittel erreicht werden, weshalb diese Bestimmung jedenfalls auch verfassungswidrig sei.

Mit Einkommensteuerbescheid 2018 vom 5. Juni 2019 wurde diesem Begehren ohne konkrete Begründung nicht entsprochen.

Die gegen den obigen Bescheid fristgerecht erhobene Beschwerde richtet sich ausschließlich gegen die Nichtanerkennung der geleisteten Geldspende als Sonderausgabe. Neben einer diesem Begehren entsprechenden Abänderung des angefochtenen Bescheides wurde beantragt, die belangte Behörde möge gemäß § 262 Abs. 2 BAO von der Erlassung einer Beschwerdevorentscheidung absehen und die gegenständliche Beschwerde dem BFG direkt vorlegen. Überdies wurde die Durchführung einer mündlichen Senatsverhandlung begehrt. Begründend führte der Bf. im Wesentlichen aus, er habe - wie der beigelegte Überweisungsbeleg samt Übernahmebestätigung belege - dem Zuwendungsempfänger, also dem gemeinnützigen Verein, seinen Namen und seine Adresse, nicht jedoch sein Geburtsdatum bekannt gegeben. Der Zuwendungsempfänger sei unter der Registrierungsnummer ***1*** in der Liste der begünstigten Einrichtungen gemäß § 4a Abs. 7 Z 1 EStG 1988 eingetragen. Grundsätzlich seien freigiebige Zuwendungen bei Vorliegen der Voraussetzungen gemäß § 18 Abs. 1 Z 7 EStG 1988 als Sonderausgaben bei der Ermittlung des Einkommens abzuziehen. Die Voraussetzungen für einen solchen Abzug der Zuwendung vom 14. Dezember 2018 lägen im gegenständlichen Fall vor: Insbesondere sei die Zuwendung ausschließlich in Geld geleistet worden und wäre der Empfänger zum Zeitpunkt der Zuwendung in die Liste begünstigter Spendenempfänger gemäß § 4a Abs. 7 Z 1 EStG 1988 eingetragen gewesen. Lediglich die Bestimmung des § 18 Abs. 8 Z 1 EStG 1988 stehe einer Berücksichtigung der Zuwendung als Sonderausgabe entgegen, weil dort vorgesehen sei, dass Zuwendungen nur dann als Sonderausgaben zu berücksichtigen seien, wenn dem Zuwendungsempfänger Vor- und Zunamen und das Geburtsdatum des Leistenden bekannt gegeben würden und eine Datenübermittlung gemäß § 18 Abs. 8 Z 2 EStG 1988 erfolge.

Richtig sei, dass im gegenständlichen Fall die in § 18 Abs. 8 Z 1 EStG 1988 genannten personenbezogenen Daten gegenüber dem Zuwendungsempfänger nicht vollständig bekannt gegeben worden seien und insofern - soweit für den Bf. ersichtlich - auch keine Datenübermittlung gemäß § 18 Abs. 8 Z 2 EStG 1988 erfolgt sei.

Die Bestimmung des § 18 Abs. 8 Z. 2 EStG 1988 sei allerdings aus den nachfolgenden Gründen nicht anzuwenden bzw. sei diese verfassungswidrig:

1. Nichtanwendbarkeit der Bestimmung des § 18 Abs. 8 EStG 1988 aufgrund des Anwendungsvorrangs der DSGVO

In der Bestimmung des § 18 Abs. 8 Z 1 EStG 1988 werde als Voraussetzung für die Berücksichtigung von Zuwendungen die Bekanntgabe von personenbezogenen Daten des jeweiligen Steuerpflichtigen gegenüber dem Zuwendungsempfänger vorgeschrieben. Der jeweilige Zuwendungsempfänger sei in der Folge gemäß § 18 Abs. 8 Z 2 EStG 1988 verpflichtet, diese Daten sowie den Betrag der Zuwendung an die Abgabenbehörden zu übermitteln.

Aus den Materialien zu dieser Bestimmung ergebe sich, dass durch eine automatische Berücksichtigung von Zuwendungen sowohl die Finanzbehörden als auch die Steuerpflichtigen entlastet werden sollten. Umgekehrt sei allerdings zu bedenken, dass durch die Bekanntgabe personenbezogener Daten und insbesondere die verpflichtende Übermittlung dieser Daten durch die Zuwendungsempfänger eine weitreichende Datenverarbeitung stattfinde, die durch den genannten Zweck jedenfalls nicht gerechtfertigt sei.

Diesbezüglich sei hervorzuheben, dass der bedenkliche Aspekt der in § 18 Abs. 8 EStG 1988 vorgesehenen Datenübermittlungen weniger die Bekanntgabe von Name und Geburtsdatum gegenüber dem jeweiligen Zuwendungsempfänger, sondern die nachfolgende Zusammenführung dieser Daten bei den Abgabenbehörden sei.

Im Ergebnis würden diese Übermittlungen dazu führen, dass - sozusagen auf "Vorrat" - eine vollständige Erfassung und Verarbeitung aller in Österreich steuerlich geltend gemachten freigiebigen Zuwendungen erfolge. Im Rahmen dieser Verarbeitung würden sich verschiedene durchaus bedeutsame Informationen ergeben. So würden die Abgabenbehörden eine detaillierte Übersicht erhalten, welche Zuwendungsempfänger jeweils Zuwendungen in welcher Höhe erhalten würden.

In Bezug auf einzelne Steuerpflichtige lasse sich außerdem genau nachvollziehen, welche Zuwendungsempfänger jeweils unterstützt würden. Je nach Tätigkeitsbereich des Zuwendungsempfängers würden sich aus solchen Daten in vielen, wenn auch nicht in allen Fällen auch Informationen über politische Meinungen oder weltanschauliche oder religiöse Überzeugungen des jeweiligen Steuerpflichtigen ableiten lassen. Insofern handele es sich bei den gegenständlichen personenbezogenen Daten auch um Daten besonderer Kategorien im Sinne von Art. 9 DSGVO.

Gemäß Art. 9 Abs. 1 DSGVO sei die Verarbeitung solcher personenbezogener Daten besonderer Kategorien grundsätzlich untersagt, wenn nicht eine Rechtsgrundlage im Sinne von Art 9 Abs. 2 DSGVO vorliege.

Im gegenständlichen Fall kämen als mögliche Rechtsgrundlagen nur entweder eine ausdrückliche Einwilligung im Sinne von Art. 9 Abs. 2 lit. a DSGVO oder eine gesetzliche Grundlage im Sinne von Art. 9 Abs. 2 lit. g DSGVO in Frage.

Hinsichtlich des allfälligen Vorliegens einer Einwilligung sei jedoch zu beachten, dass eine solche ausdrückliche Einwilligung im gegenständlichen Fall jedenfalls nicht eingeholt worden sei. Eine konkludente Einwilligung wäre in Bezug auf Daten besonderer Kategorien jedenfalls nicht ausreichend (Kastelitz/Hötzendorfer/Tschol in Knyrim (Hrsg) DatKomm, DSGVO Art. 9 Rz 31; Petri in Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Art. 9 DSGVO Rz 33; Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 9 Rz 28; Kampert in Sydow (Hrsg.), Europäische Datenschutzgrundordnung Art. 9 Rz 14; Schulz in Gola, DSGVO Art. 9 Rz 14; Frenzel in Paal/Pauly, Datenschutz-Grundverordnung Art. 9 Rz 21).

Im Übrigen müsste eine entsprechende Einwilligung auch die Voraussetzungen des Art. 7 DSGVO erfüllen und insbesondere freiwillig im Sinne von Art. 7 Abs. 4 DSGVO sein.

Gerade im verfahrensgegenständlichen Zusammenhang wäre die für eine wirksame Einwilligung erforderliche Freiwilligkeit jedenfalls nicht gegeben. Auf Basis der Regelung des § 18 Abs. 8 EStG 1988 habe der jeweilige Steuerpflichtige nur die Wahl entweder die geforderten Daten bekanntzugeben oder auf die steuerliche Berücksichtigung der getätigten freigiebigen Zuwendungen ganz zu verzichten. Auch deshalb könne die gegenständliche Datenverarbeitung nicht auf eine Einwilligung der betroffenen Person gestützt werden.

Als mögliche Rechtsgrundlage für die gegenständliche Verarbeitung komme daher nur noch die Bestimmung des Art. 9 Abs. 2 lit. g DSGVO infrage. Nach dieser Bestimmung sei die Verarbeitung von Daten besonderer Kategorien zulässig, wenn die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaates, das in angemessenem Verhältnis zu dem verfolgten Ziel stehe, den Wesensgehalt des Rechts auf Datenschutz wahre und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen vorsehe, aus Gründen eines erheblichen öffentlichen Interesses erforderlich sei.

Die wichtigste Voraussetzung für die Anwendung dieser Bestimmung sei das Vorliegen eines öffentlichen Interesses, welches erheblich sein müsse. Ausweislich der Erläuterung in der Regierungsvorlage (ErläutRV 684 BlgNR 25. GP) ziele die Bestimmung des § 18 Abs. 8 EStG 1988 vor allem auf eine Verwaltungsvereinfachung im Sinne einer Entlastung von Steuerpflichtigen und Finanzverwaltung ab. Darüber hinaus solle offenbar eine Erhöhung der Gleichmäßigkeit der Vollziehung und Steuergerechtigkeit erzielt werden, weil allfällige Manipulationsmöglichkeiten verhindert würden.

Auch wenn eine Verwaltungsvereinfachung und die Verhinderung von Manipulationen in Zusammenhang mit der Abgabe von Steuererklärungen ein öffentliches Interesse darstellen mögen, handle es sich dabei jedenfalls nicht um erhebliche öffentliche Interessen.

Als erheblich würden nur solche öffentlichen Interessen angesehen, die so bedeutsam seien, dass die Allgemeinheit ohne die in Rede stehenden Maßnahmen ernsthaft beeinträchtigt wäre (Petri in Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Art. 9 DSGVO Rz 69; Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 9 Rz 45). Dies könne im Hinblick auf die verfahrensgegenständliche Regelung des § 18 Abs. 8 EStG 1988 jedenfalls nicht angenommen werden. Bereits vor Einführung der automatischen Berücksichtigung von Sonderausgaben auf Basis der Übermittlung von personenbezogenen Daten hätten solche Zuwendungen steuerlich geltend gemacht werden können und hätten im Fall einer Prüfung durch Vorlage entsprechender Belege verifiziert werden können.

Im Übrigen müsse das erhebliche öffentliche Interesse bei jeder legislativen Maßnahme bereits aus dem Gesetz selbst erkennbar sein (Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 9 Rz 46), was im Hinblick auf die Bestimmung des § 18 Abs. 8 EStG 1988 ebenso nicht der Fall sei.

Im Hinblick auf den Anwendungsbereich der gegenständlichen Regelung, welche lediglich bestimmte freigiebige Zuwendungen erfasse, welche in Summe nur eine untergeordnete Auswirkung auf das Volumen der erhobenen Einkommensteuer haben könnten, sei diese Regelung auch nicht verhältnismäßig.

Wie bereits ausgeführt, werde eine umfangreiche Verarbeitung personenbezogener Daten, welche im Übrigen ohne konkreten Anlass, nur im Hinblick auf eine mögliche zukünftige Prüfung der Rechtmäßigkeit der Geltendmachung solcher Zuwendungen als Sonderausgaben erfolge, vorgenommen, welche umgekehrt nur in manchen Fällen zu einer Verwaltungsvereinfachung führen werde. Allgemein sei auch noch darauf hinzuweisen, dass die allenfalls mögliche Verwaltungsvereinfachung vor allem dadurch erfolge, dass der entsprechende Verwaltungsaufwand an die Zuwendungsempfänger ausgelagert werde.

Insofern sei die gegenständliche Regelung im Hinblick auf das verfolgte Ziel auch nicht verhältnismäßig, sodass auch die zweite Anwendungsvoraussetzung für Art. 9 Abs. 2 lit. g DSGVO nicht vorliege.

Im Hinblick auf die im Wesentlichen anlasslose, auf Vorrat erfolgende Verarbeitung personenbezogener Daten besonderer Kategorien sei auch zu hinterfragen, ob die Bestimmung des § 18 Abs. 8 EStG 1988 den Wesensgehalt des Datenschutzes wahre. Gerade im Hinblick auf anlasslose Überwachungsmaßnahmen sei vom EuGH (EuGH 8.4.2014, C-2913/12 und C-594/12, Digital Rights Ireland ua; EuGH 21.12.2016, C-203/15 und C-698/15, Tele2 Sverige AB ua) bereits entschieden worden, dass die Wesensgehaltsgarantie im Hinblick auf den Datenschutz solchen Maßnahmen entgegenstünde (Bäcker in Kühling/Buchner, DSGVO Art. 23 Rz 57).

Die Bestimmung des § 18 Abs. 8 EStG 1988 erfülle daher zusammenfassend nicht die Voraussetzungen für die rechtmäßige Verarbeitung besonderer Kategorien von Daten gemäß Art. 9 DSGVO, weshalb eine solche Datenverarbeitung gemäß Art. 9 Abs. 1 DSGVO untersagt sei.

Im Übrigen sei davon auszugehen, dass selbst wenn im Einzelfall keine Daten besonderer Kategorien verarbeitet würden, die gegenständliche Datenverarbeitung auch gemäß Art. 6 Abs. 3 DSGVO nicht rechtmäßig wäre, weil auch in diesem Fall eine Verhältnismäßigkeitsprüfung erfolgen müsste, die im Hinblick auf § 18 Abs. 8 EStG 1988 zum Ergebnis führen würde, dass diese Regelung nicht verhältnismäßig sei.

Im Hinblick auf den europarechtlich gebotenen Anwendungsvorrang der DSGVO (Selmayr/Ehmann in Ehmann/Selmayr, Datenschutz-Grundverordnung Einführung Rz 3 und zuletzt auch OGH 23.5.2019, 6 Ob 91/19d) gegenüber den Bestimmungen des EStG habe daher die Bestimmung des § 18 Abs. 8 EStG unangewendet zu bleiben und die verfahrensgegenständliche Zuwendung des Bf. sei im Rahmen der ArbeitnehmerInnenveranlagung für das Jahr 2018 zu berücksichtigen.

1. Verfassungswidrigkeit der Bestimmung des § 18 Abs. 8 EStG 1988

Abgesehen von den Bestimmungen der DSGVO sei auch das in der Verfassungsbestimmung des § 1 DSG geregelte Grundrecht auf Datenschutz einschlägig.

Gemäß § 1 Abs. 2 DSG seien Beschränkungen des Grundrechts auf Datenschutz nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig und zwar bei Eingriffen einer staatlichen Behörde nur aufgrund von Gesetzen, die aus den in Art. 8 Abs. 2 der EMRK genannten Gründen notwendig seien.

Selbst im Fall zulässiger gesetzlicher Beschränkungen dürfe der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden und müsse - in einer Abwägung zwischen der Schwere des Eingriffs und dem Gewicht der mit dem Eingriff verfolgten Ziele - verhältnismäßig sein.

Im Beschwerdefall handle es sich bei § 18 Abs. 8 EStG 1988 zwar um eine gesetzliche Regelung, die im weiteren Sinn auch der Erhebung von Steuern und damit dem wirtschaftlichen Wohl des Landes diene.

Die sonstigen Voraussetzungen für eine Beschränkung des Grundrechts auf Datenschutz im Sinne des § 1 Abs. 2 DSG würden im Hinblick auf § 18 Abs. 8 EStG 1988 aber jedenfalls nicht vorliegen.

So sei in § 1 Abs. 2 letzter Satz vorgesehen, dass besonders schutzwürdige Daten, worunter jedenfalls auch Daten besonderer Kategorien im Sinne von Art. 9 DSGVO fallen würden, nur für wichtige öffentliche Interessen verwendet werden dürften. Dies entspräche inhaltlich der Einschränkung in Art. 9 Abs. 2 lit. g DSGVO, welche ein erhebliches öffentliches Interesse voraussetze. Wie bereits ausgeführt, liege ein solches wichtiges öffentliches Interesse im Hinblick auf § 18 Abs. 8 EStG 1988 nicht vor.

Weiters sei bereits dargelegt worden, dass die Regelung des § 18 Abs. 8 EStG 1988 im Hinblick auf die durch diese Bestimmung verfolgten Ziele nicht verhältnismäßig sei; auf die diesbezüglichen obigen Ausführungen werde verwiesen.

Die Regelung des § 18 Abs. 8 EStG 1988, die einen Eingriff in das Grundrecht auf Datenschutz vorsehe, sei aber jedenfalls auch nicht als das gelindeste Mittel zur Zielerreichung anzusehen.

Gerade im Gegenteil erfolge auf Basis dieser Bestimmung eine umfangreiche Verarbeitung (besonders schutzwürdiger) personenbezogener Daten, wobei konkrete Datenzugriffe nur in Einzelfällen erfolgen sollten. Dies sei vergleichbar mit den ursprünglichen Regelungen zur Vorratsdatenspeicherung in der StPO bzw. dem TKG 2003, welche vom Verfassungsgerichtshof aufgehoben worden seien, weil diese nicht das gelindeste Mittel darstellten und nicht verhältnismäßig gewesen seien (VfSlg. 19.892).

Zusammenfassend sei festzuhalten, dass die Bestimmung des § 18 Abs. 8 EStG 1988 einen Eingriff in das Grundrecht auf Datenschutz gemäß § 1 DSG darstelle, wobei jedoch die strengen Voraussetzungen für die Rechtmäßigkeit eines solchen Eingriffs gemäß § 1 Abs. 2 DSG nicht vorliegen würden. Aus diesem Grund sei die Bestimmung des § 18 Abs. 8 EStG 1988 auch verfassungswidrig und verletze das Grundrecht des Bf. auf Datenschutz gemäß § 1 DSG.

Sollte den Beschwerdeanträgen nicht oder nicht vollständig Folge gegeben werden, ergehe folgende Anregung: "Das BFG möge einen Antrag auf Vorabentscheidung gemäß Art 267 AEUV zur Auslegung der beschwerdegegenständlichen Bestimmungen der DSGVO an den Gerichtshof der Europäischen Union stellen und bei der Formulierung der Vorlagefragen an den EuGH insbesondere die folgenden Fragen berücksichtigen, wobei der Bf. selbstverständlich die alleinige Zuständigkeit des BFG zur Formulierung der konkreten Vorlagefragen anerkenne:

1. "Stehen die Bestimmungen der DSGVO und insbesondere das Verwendungsverbot im Hinblick auf besondere Kategorien von Daten gemäß Art. 9 Abs. 1 DSGVO einer nationalen Regelung wie dem gegenständlichen § 18 Abs. 8 EStG, der als Voraussetzung für die steuerliche Anerkennung von freigiebigen Zuwendungen verpflichtend die Übermittlung und Speicherung personenbezogener Daten einschließlich der konkreten Zuwendungsempfänger und der Höhe der Zuwendungen auf Vorrat vorsieht, entgegen?

2. Verstößt die in § 18 Abs. 8 EStG 1988 vorgesehene anlasslose Speicherung der personenbezogenen Daten von Steuerpflichtigen, insbesondere Name, Geburtsdatum, Empfänger von Zuwendungen und Höhe der jeweiligen Zuwendungen gegen den in Art. 6 Abs. 3 DSGVO bzw. Art. 9 Abs. 2 lit. g DSGVO vorgesehenen Grundsatz der Verhältnismäßigkeit?"

Mit Vorlagebericht vom 9. Juli 2019 wurde die Beschwerde antragsgemäß ohne Erlassung einer Beschwerdevorentscheidung dem BFG vorgelegt. In seiner Stellungnahme führte die belangte Behörde aus, die vom Bf. geleistete Spende habe mangels Erfüllung der in § 18 Abs. 8 EStG 1988 vorgesehenen gesetzlichen Voraussetzungen nicht als Sonderausgabe berücksichtigt werden können. Es obliege nicht dem Finanzamt zu beurteilen, ob § 18 Abs. 8 EStG 1988 in Widerspruch zu höherrangigen Rechtsvorschriften stehe.

Mit Schriftsatz vom 24. Februar 2020 teilte das BFG dem Bf. unter Bezugnahme auf Atzmüller (Atzmüller, Elektronische Datenübermittlung betreffend Sonderausgaben, SWK 34/2016, 1433ff) und Zirngast (Zirngast, Die Sonderausgaben-Datenübermittlungsverordnung, SWK 15/2017, 722) mit, dass der jeweilige Spendenempfänger der Finanzverwaltung nicht die ihm vom Spender bekannt gegebenen personenbezogenen Daten (Vor- und Zunamen sowie Geburtsdatum) einschließlich des Betrages der im betreffenden Kalenderjahr vom jeweiligen Spender erhaltenen Zuwendungen als Klardaten übermittle. Vielmehr werde ein verschlüsseltes bereichsspezifisches Personenkennzeichen Steuern und Abgaben (sogenanntes "vbPK SA") erstellt, mittels dem der Datenaustausch erfolge. Im EDV-System der Finanzverwaltung werde dadurch sichergestellt, dass übermittelte Daten ohne Zuordnung zu einer konkreten Organisation nur in einer Gesamtsumme und nach Kategorien (entspricht den Kennzahlen in den Steuererklärungen) gegliedert dargestellt würden. Die einzelnen Organisationen betreffenden Informationen seien EDV-technisch nur dann zugänglich, wenn die übermittelte Zuwendung selbst Gegenstand einer Überprüfungshandlung durch das Finanzamt sei (siehe dazu § 14 der Sonderausgaben-Datenübermittlungsverordnung (SA-DÜV), BGBl II 289/2016 idF BGBL II 122/2017); Jakom/Peyerl EStG, 2019, § 18 Rz 201; Atzmüller, Elektronische Datenübermittlung betreffend Sonderausgaben, SWK 34/2016, 1433ff; Zirngast, Die Sonderausgaben-Datenübermittlungsverordnung, SWK 15/2017, 722). In den zitierten Artikeln werde daher die Auffassung vertreten, dass die in § 18 Abs. 8 Z 2 EStG 1988 vorgesehene Datenübermittlung im Ergebnis zu keinem Mehr an Information gegenüber der Steuererklärung führe. Es werde daher um Stellungnahme ersucht, ob bzw. weshalb die Rechtsmeinung, dass § 18 Abs. 8 Z 2 EStG 1988 nicht datenschutzkonform sei, weiterhin aufrechterhalten werde.

In seiner Stellungnahme vom 26. Mai 2020 führte der Bf. Folgendes aus:

"1. Zum Vorhalt des BFG

• Im Rahmen der nachfolgenden Punkte geht der Bf. zunächst auf die dem Vorhalt angeschlossenen Unterlagen und die im Vorhalt enthaltenen Ausführungen ein:

1.1. Sonderausgaben-Datenübermittlungsverordnung (BGBl II Nr. 89/2016 idF BGBl II Nr. 122/2017)

Die auf Basis der Bestimmung des § 18 Abs. 8 Z 2 lit. d EStG 1988 erlassene Sonderausgaben-Datenübermittlungsverordnung (im Folgenden die "Sonderausgaben-DÜV") enthält detaillierte Bestimmungen zu den Inhalten der von den Zuwendungsempfängern gemäß § 18 Abs. 8 Z 2 EStG 1988 vorzunehmenden Übermittlungen und zum anzuwendenden Verfahren bei der Datenübermittlung.

Für das gegenständliche Verfahren ist insbesondere die Bestimmung des § 14 Sonderausgaben-DÜV relevant. In dieser Bestimmung, die sich ausweislich der Überschrift des 3. Abschnitts der Sonderausgaben-DÜV auf die Behandlung der Daten der betroffenen Personen nach erfolgter Übermittlung bezieht, ist die Sicherstellung der folgenden technischen und (verwaltungs-) organisatorischen Maßnahmen vorgeschrieben:

1. Zugänglichmachung von Informationen über die konkreten übermittlungspflichtigen Organisationen (das sind die Zuwendungsempfänger) an einen berechtigten Organwalter nur im Falle von Überprüfungshandlungen in Bezug auf die übermittelten Zuwendungen;

2. sonst nur Zugänglichmachung der Summe der Zuwendungen ohne Angabe der jeweils übermittelnden Organisation;

3. Zugänglichmachung der übermittelten Zuwendungsbeträge einschließlich Gliederung nach den übermittlungspflichtigen Organisationen gegenüber dem Steuerpflichtigen;

4. Angabe der betragsmäßigen Informationen, die sich auf übermittlungspflichtige Organisationen beziehen, dürfen nur in einer Beilage zum Abgabenbescheid ersichtlich gemacht werden. Die Beilage darf elektronisch für Organwalter nicht einsehbar gemacht werden.

Zusammenfassend handelt es sich bei den in § 14 Sonderausgaben-DÜV vorgesehenen Maßnahmen aus Sicht des Datenschutzrechts um technische bzw. organisatorische Datensicherheitsmaßnahmen (siehe dazu Punkt 2.7 unten).

Die Sonderausgaben-DÜV enthält im Übrigen keine zusätzlichen Regelungen hinsichtlich der für die Rechtsmäßigkeit einer Datenverarbeitung notwendigen Rechtsgrundlage (siehe dazu Punkt 2.8 unten).

1.2. Atzmüller, Elektronische Datenübermittlung betreffend Sonderausgaben, SWK 34/2016, 1433ff

Der in der Überschrift genannte und dem Vorhalt angeschlossene Beitrag von Atzmüller setzt sich detailliert mit den Regelungen der Sonderausgaben-DÜV auseinander. Im Folgenden erlaubt sich der Bf. auf die für das gegenständliche Verfahren relevanten Punkte einzugehen:

In Punkt 1.1 beschreibt Atzmüller durchaus treffend das sich durch die elektronische Datenübermittlung in Bezug auf Zuwendungen ergebende Spannungsfeld verschiedener Interessen:

1. So wird festgehalten, dass der Zuwendende immer die alleinige Entscheidung über die Zulassung oder den Widerruf der Datenübermittlung haben muss. Weiters müsse auch sichergestellt werden, dass es weder zu einer missbräuchlichen Weitergabe und Verwendung von Identifikationsdaten noch zu einer Durchleuchtung von Zahlungspräferenzen (Stichwort "Gläserner Spender") kommen dürfe.

2. Der Aufwand für die übermittlungspflichtigen Organisationen soll möglichst gering gehalten werden und der Übermittlungsprozess soll Rechtssicherheit bieten.

3. Für die Finanzverwaltung sei eine durchgängig EDV-basierte Verarbeitung ohne Medienbruch wichtig, wobei manipulative Eingriffe möglichst gering gehalten werden sollen.

In der Folge wird mehrfach auf das so bezeichnete "Opting-in" bzw. die Tatsache verwiesen, dass es dem Zuwendenden frei steht, eine Datenübermittlung durch Bekanntgabe der in § 18 Abs. 8 Z 1 EStG genannten personenbezogenen Daten zu ermöglichen.

Aus datenschutzrechtlicher Sicht ist allerdings zu beachten, dass sich dieses "Opting-in" bzw. die diesbezügliche Entscheidung des Zuwendenden nur auf die Frage bezieht, ob Zuwendungen als Sonderausgaben berücksichtigt werden sollen oder nicht. Wenn eine Berücksichtigung von Zuwendungen als Sonderausgabe gewünscht ist, ist die Bekanntgabe der Daten und die Zustimmung zur Datenübermittlung durch den Zuwendungsempfänger (bzw. das Unterlassen einer Untersagung der Übermittlung) verpflichtend vorgesehen. Insofern liegt keine Einwilligung im Sinne von Art 7 DSGVO vor, weil die diesbezügliche Voraussetzung der "Freiwilligkeit" nicht gegeben ist.

In Punkt 6. beschreibt Atzmüller detailliert den Inhalt und die Form der Datenübermittlung, insbesondere wird hier auch die Ermittlung des "verschlüsselten bereichsspezifischen Personenkennzeichen für Steuern und Abgaben (vbPK SA) beschrieben. Das vbPK SA ist vom jeweiligen Zuwendungsempfänger gemäß § 18 Abs. 8 Z 2 EStG gemeinsam mit dem Gesamtbetrag der im jeweiligen Kalenderjahr zugewendeten Beträge an die Abgabenbehörden zu übermitteln.

Aus der Sicht der DSGVO handelt es sich bei dem beschriebenen Vorgang der Bildung des vbPK SA um eine "Pseudonymisierung" im Sinne von Art 4 Z 5 DSGVO. Dies bedeutet, dass eine direkte Zuordnung der übermittelten Daten zu bestimmten Personen durch einen Dritten nicht mehr möglich wäre. Zu beachten ist allerdings, dass es sich bei den übermittelten Daten trotz der vorgenommenen Pseudonymisierung weiterhin um personenbezogene Daten handelt, die den Regelungen der DSGVO und des DSG unterliegen.

Die in Punkt 6.3. beschriebene Datenübermittlung im Wege von FinanzOnline, welche nur nach Zulassung des jeweiligen Zuwendungsempfängers zur Teilnahme an der Datenübermittlung gemäß § 10 Sonderausgaben-DÜV möglich ist, stellt aus der Sicht des Bf. ebenfalls eine organisatorische bzw. technische Datensicherheitsmaßnahme dar.

Bemerkenswert ist allerdings, dass auch Atzmüller hier ausdrücklich darauf verweist, dass es sich bei den übermittelten personenbezogenen Daten um besonders sensible Daten handelt. Dies deckt sich mit dem Vorbringen des Bf. in der Beschwerde, wonach zumindest nicht ausgeschlossen werden kann, dass die im Rahmen der Datenübermittlung übermittelten personenbezogenen Daten uU auch Informationen zu politischen Meinungen oder religiösen oder weltanschaulichen Überzeugungen enthalten und insofern als Daten besonderer Kategorien im Sinne von Art 9 DSGVO anzusehen sind.

In Punkt 8.1. beschreibt Atzmüller die Regelungen des § 14 Sonderausgaben-DÜV und führt aus, dass zum Schutz der Persönlichkeitssphäre des Zuwendenden in dieser Bestimmung eine abgestufte Informationsmöglichkeit für die Finanzverwaltung vorgesehen sei:

- So sei im EDV-System der Finanzverwaltung sichergestellt, dass die im Rahmen der elektronischen Datenübermittlung übermittelten Angaben nur summarisch bzw. nach Kategorien dargestellt werden und somit im Vergleich mit der Information aus der Steuererklärung (gemeint wohl ohne automatische Datenübermittlung) zu keinem "Mehr an Information" führen.

- Eine vertiefte Information, welche auch die einzelnen übermittelnden Organisationen betreffe, sei EDV-technisch nur möglich, wenn die übermittelte Zuwendung selbst Gegenstand einer Überprüfungshandlung sei. Das Finanzamt habe schon bisher die Möglichkeit gehabt, diese Information vom Steuerpflichtigen zu erlangen, sodass auch insoweit kein Mehr an Information zugänglich gemacht würde. Diesbezüglich verweist Atzmüller auf die Bestimmungen der §§ 138 und 161 BAO.

Auch im letzten Punkt des Artikels wird nochmals darauf verwiesen, dass die Datenübermittlung zu keinem Mehr an Information gegenüber der Steuererklärung führe.

Die hier vorgebrachten Argumente, die auch im Vorhalt des BFG enthalten sind, sind allerdings sowohl in tatsächlicher als auch in rechtlicher Hinsicht nicht nachvollziehbar. Diesbezüglich wird auf die Ausführungen im Punkt 2.9 unten verwiesen.

1.3. Zirngast, Die Sonderausgaben-Datenübermittlungsverordnung, SWK 15/2017, 722

Auch im mit dem Vorhalt übermittelten Artikel von Zirngast werden die Bestimmungen der Sonderausgaben-DÜV im Detail analysiert. Im Hinblick auf den Verfahrensgegenstand sind insbesondere die Ausführungen in Punkt 5 relevant:

In diesem Abschnitt weist Zirngast darauf hin, dass nunmehr anstelle der ursprünglich offenbar vorgesehenen Verknüpfung der zu übermittelnden Daten über Zuwendungen mit der Sozialversicherungsnummer stattdessen das vbPK SA herangezogen wird.

Auch nach Ansicht des Bf. ist aus datenschutzrechtlicher Sicht eine Pseudonymisierung unter Heranziehung des vbPK SA einer Verknüpfung der Daten mit der Sozialversicherungsnummer, die aus datenschutzrechtlicher Sicht jedenfalls bedenklich gewesen wäre, vorzuziehen.

Die Bestimmung des § 14 Sonderausgaben-DÜV wird von Zirngast allgemein dargestellt, ohne dass im Artikel eine eigene Stellungnahme enthalten ist.

2.Stellungnahme des Bf. zum Vorhalt des BFG

Im Folgenden erlaubt sich der Bf. Stellung zum Vorhalt des BFG zu nehmen, das sich - soweit für den Bf. ersichtlich - vor allem auf die von Atzmüller vertretene Rechtsansicht (siehe dazu Punkt 1.2 oben) stützt.

Zum besseren Verständnis werden dabei zunächst einige allgemeine Aspekte der anwendbaren datenschutzrechtlichen Bestimmungen dargestellt.

2.1. Sachlicher Anwendungsbereich der DSGVO

Ganz allgemein ist zu beachten, dass die Bestimmungen des DSGVO gemäß Art 2 DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Datensystem gespeichert sind oder gespeichert werden sollen, gelten.

Aus Kompetenzgründen ist in Art 2 Abs. 2 lit. a eine Ausnahme des Anwendungsbereichs der DSGVO für Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen, vorgesehen. In diesem Zusammenhang ist allerdings auf die Bestimmung des § 4 Abs. 1 DSG zu verweisen, wonach die DSGVO für alle in Art 2 DSGVO genannten Verarbeitungen gilt, soweit nicht Bestimmungen des 3. Hauptstücks des DSG vorgehen (das 3. Hauptstück des DSG betrifft die Verarbeitung von Daten für Zwecke der Sicherheitspolizei, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, Strafvollstreckung und des Maßnahmenvollzugs).

Für den Bereich des Abgabenrechts (insbesondere auch hinsichtlich der Einkommensteuer) ist die DSGVO daher vollinhaltlich anwendbar (Vock/Bauer, Datenschutzrechtliche Sonderregelungen im Abgabenverfahren, RdW 2018, 592; Ehrke-Rabel/Gunacker-Slawitsch, Anpassung der BAO an die DSGVO als Persilschein zur finanzbehördlichen Datensammlung? taxlex 2019, 90 [92]).

2.2. Allgemeine Grundsätze für die Verarbeitung personenbezogener Daten

In Art 5 DSGVO sind die Grundsätze für die Verarbeitung personenbezogener Daten geregelt, zu deren Einhaltung gemäß Art 5 Abs. 2 DSGVO der Verantwortliche verpflichtet ist. Für das gegenständliche Beschwerdeverfahren sind dabei insbesondere die zwei nachfolgend beschriebenen Grundsätze relevant, auch wenn die weiteren in Art 5 Abs. 1 DSGVO angeführten Grundsätze natürlich ebenso zu beachten sind:

2.3. Rechtmäßigkeit der Datenverarbeitung/Rechtsgrundlage

Gemäß Art 5 Abs. 1 lit a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ("Rechtmäßigkeit, Verantwortung nach Treu und Glauben, Transparenz").

Rechtmäßig ist eine Verarbeitung insbesondere dann, wenn eine der in Art 6 Abs. 1 DSGVO (taxativ) genannten Rechtsgrundlagen (oder allenfalls des Art 9 DSGVO) vorliegt (vgl ErwGr 40ff zur DSGVO; Herbst in Kühling/Buchner, DSGVO - BDSG², Art 5 Rz 11f; Heberlein in Ehmann/Selmayr, Datenschutzgrundverordnung, Art 5 Rz 8).

Im öffentlichen Bereich kommen insbesondere (i) die in Art 6 Abs. 1 lit. a DSGVO genannte Einwilligung, (ii) die Erfüllung einer rechtlichen Verpflichtung gemäß Art 6 Abs. 1 lit c DSGVO oder (iii) gemäß Art 6 Abs. 1 lit. e DSGVO die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, in Betracht.

Für die beiden letztgenannten Bestimmungen muss gemäß Art 6 Abs. 3 DSGVO eine (gesetzliche oder allenfalls verordnungsmäßige) Rechtsgrundlage des Unionsrechts oder des Rechts eines Mitgliedsstaates vorliegen, welche den in dieser Bestimmung genannten Voraussetzungen genügt.

Insbesondere muss eine solche Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen (Vock/Bauer, Datenschutzrechtliche Sonderregelungen im Abgabenverfahren, RdW 2018, 592 [594]; Ehrke-Rabel/Gunacker-Slawitsch, Anpassung der BAO an die DSGVO als Persilschein zur finanzbehördlichen Datensammlung? taxlex 2019, 90 [93]).

Soweit die Verarbeitung auch personenbezogene Daten besonderer Kategorien gemäß Art 9 DSGVO betrifft, muss gemäß Art 9 Abs. 2 lit. g DSGVO die entsprechende Rechtsgrundlage in angemessenem Verhältnis zu dem verfolgten Ziel stehen, den Wesensgehalt des Rechts auf Datenschutz wahren und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsehen sowie aus Gründen eines erheblichen öffentlichen Interesses erforderlich sein.

Aus beiden genannten Bestimmungen ergibt sich insofern, dass eine die Verarbeitung von personenbezogenen Daten rechtfertigende Rechtsgrundlage jedenfalls auch verhältnismäßig sein muss.

Dies entspricht grundsätzlich auch der Judikatur des Verfassungsgerichtshofes zum weiterhin anwendbaren § 1 DSG. Diesbezüglich vertritt der VfGH in ständiger Rechtsprechung die Ansicht, dass an die Verhältnismäßigkeit des Eingriffs in das Grundrecht auf Datenschutz nach § 1 DSG ein strengerer Maßstab angelegt werden müsse, als es sich bereits aus Art 8 EMRK ergibt (VfSlg. 19.892; vgl. auch Eberhard in Korinek/Holoubek/Bezemek/Fuchs/Martin/Zellenberg, Österreichisches Bundesverfassungsrecht II/2, DSG § 1 Rz 61 mwN).

Weiters geht der VfGH davon aus, dass die Fälle zulässiger Eingriffe in das Grundrecht auf Datenschutz konkretisiert und begrenzt werden müssen, weshalb schon aus diesem Grund eine Verarbeitung (Speicherung) von Daten "auf Vorrat", also ohne aktuellen Verwendungsbedarf, mit den Vorgaben des Grundrechts auf Datenschutz nur schwer in Einklang zu bringen ist (VfSlg. 19.892; vgl. auch Eberhard in Korinek/Holoubek/Bezemek/Fuchs/Martin/Zellenberg, Österreichisches Bundesverfassungsrecht II/2, DSG § 1 Rz 73).

2.4. Grundsatz der Datenminimierung

Nach Art 5 Abs. 1 lit. c DSGVO müssen die von einer konkreten Datenverarbeitung erfassten personenbezogenen Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung").

Aus diesem Grundsatz folgt insbesondere, dass eine präventive Verarbeitung von personenbezogenen Daten bzw. eine Speicherung von personenbezogenen Daten "auf Vorrat" nicht zulässig ist (Heberlein in Ehmann/Selmayr, Datenschutzgrundverordnung, Art 5 Rz 22).

Im gegenständlichen Fall werden aber neben den für die Feststellung der jeweiligen Steuerschuld erforderlichen Daten (im Wesentlichen nur der Gesamtbetrag der Zuwendungen an begünstigte Zuwendungsempfänger), die vor Einführung der automatischen Übermittlung von Zuwendungen vom jeweiligen Steuerpflichtigen in der Steuererklärung angegeben wurden, zusätzliche Daten über alle Zuwendungen aller Steuerpflichtigen an alle (begünstigten) Zuwendungsempfänger verarbeitet.

Während nach dem ursprünglichen Modell (vor Einführung der automatischen Datenübermittlung) entsprechende Daten nur im Fall einer Überprüfung vom jeweiligen Steuerpflichtigen angefordert und in der Folge anlassbezogen verarbeitet wurden, erfolgt nunmehr eine Verarbeitung (insbesondere Speicherung) aller in Frage kommender Daten "auf Vorrat". Damit ist die Verarbeitung personenbezogener Daten aber gerade nicht auf das notwendige Maß beschränkt, sondern im Gegenteil wird die Menge der verarbeiteten Daten geradezu "maximiert".

2.5. Datenschutzrechtliche Rollenverteilung

Eine wichtige Vorfrage bei der Prüfung datenschutzrechtlicher Sachverhalte ist weiters die Festlegung, wer der Verantwortliche im Sinne von Art. 4 Z 7 DSGVO für eine konkrete Datenverarbeitung ist. Die Klärung dieser Frage ist deswegen bedeutsam, weil der Verantwortliche der primäre Normadressat der in der DSGVO vorgesehenen Pflichten in Zusammenhang mit der Verarbeitung personenbezogener Daten ist.

Verantwortlicher ist nach der genannten Bestimmung jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Auch wenn gerade im öffentlichen Bereich diesbezüglich noch nicht alle Fragen abschließend geklärt sind, ist wohl davon auszugehen, dass im Vollzugsbereich der Bundesministerien der jeweilige Bundesminister bzw. die jeweilige Bundesministerin auch Verantwortlicher im Sinne der DSGVO ist (Lachmayer, Die DSGVO im öffentlichen Bereich, ÖJZ 2018, 112 [115]).

Für die Festsetzung und Einhebung der Bundesabgaben wäre dies wohl der Bundesminister für Finanzen. Allenfalls könnte auch das einzelne Finanzamt (oder zukünftig das Finanzamt Österreich) als Verantwortlicher angesehen werden. Für die rechtliche Beurteilung des gegenständlichen Sachverhalts dürfte diese Frage von untergeordneter Bedeutung sein.

Jedenfalls nicht Verantwortlicher im Sinne der DSGVO ist der einzelne Organwalter, welcher mit der Bearbeitung und/oder Prüfung von Steuererklärungen betraut ist.

Insofern sind die Ausführungen von Atzmüller (siehe Punkt 1.2 oben), wonach es eine abgestufte Informationsmöglichkeit "für die Finanzverwaltung" gebe, nicht ganz korrekt. Die abgestufte Informations- bzw. Einsichtsmöglichkeit besteht nämlich nur in Bezug auf einzelne Organwalter. Die Verarbeitung der hier relevanten Daten (unabhängig davon, ob es sich beim Verantwortlichen um den Bundesminister für Finanzen oder nachgeordnete Behörden bzw. Finanzämter handelt) betrifft jedenfalls alle personenbezogenen Daten im Hinblick auf begünstigte Zuwendungen, weshalb auch die Rechtmäßigkeit der Verarbeitung dieser (nämlich aller) Daten durch den Verantwortlichen zu prüfen ist.

Nur der Vollständigkeit halber wird darauf hingewiesen, dass die in der Sonderausgaben-DÜV vorgesehenen Einschränkungen der Einsichtnahme für einzelne Organwalter vom Bundesfinanzminister jederzeit abgeändert (und allenfalls auch gelockert) werden könnten.

2.6. Pflichten des Verantwortlichen nach dem DSGVO

Den Verantwortlichen im Sinne von Art 4 Z 7 DSGVO treffen nach der DSGVO unter anderem die nachfolgenden Verpflichtungen:

1. Auf die in Art 5 Abs. 2 DSGVO vorgesehene Verpflichtung des Verantwortlichen zur Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art 5 DSGVO wurde in den vorstehenden Abschnitten bereits hingewiesen.

2. Darüber hinaus hat der Verantwortliche aber nach Art 12 DSGVO auch geeignete Maßnahmen zur Einhaltung der Informationspflichten gemäß Art 13 und 14 DSGVO und zur Sicherung der Rechte betroffener Personen gemäß den Art 15 bis 22 DSGVO vorzusehen.

3. Weiters hat der Verantwortliche gemäß Art 30 DSGVO ein Verzeichnis der Verarbeitungstätigkeiten zu führen, welches auf Anfrage der Aufsichtsbehörde zur Verfügung zu stellen ist.

4. Der Verantwortliche ist gemäß Art 32 DSGVO verpflichtet, technische und organisatorische Datensicherheitsmaßnahmen zu treffen (dazu sogleich unten).

5. Gemäß Art 33f DSGVO muss der Verantwortliche im Falle einer Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden eine Meldung an die Aufsichtsbehörde erstatten.

6. Im Fall des Vorliegens der Voraussetzungen nach Art 35 DSGVO muss der Verantwortliche eine Datenschutz-Folgeabschätzung durchführen.

7. Gemäß Art 37 Abs. 1 lit. a DSGVO ist bei Datenverarbeitungen von Behörden oder öffentlichen Stellen auch jedenfalls ein Datenschutzbeauftragter zu benennen.

2.7. Technische und organisatorische Datensicherungsmaßnahmen

In Art 32 Abs. 1 DSGVO ist - wie bereits ausgeführt - die Verpflichtung für den Verantwortlichen enthalten, geeignete technische und organisatorische Datensicherheitsmaßnahmen zu treffen.

Die Festlegung, welche technischen und organisatorischen Datensicherheitsmaßnahmen im Einzelfall konkret erforderlich sind, erfolgt nach dem sogenannten risikobasierten Ansatz, d.h. dass dabei u.a. der Stand der Technik, die Implementierungskosten, aber auch die Art, der Umfang, die Umstände und der Zweck der Verarbeitung sowie die unterschiedlichen Eintrittswahrscheinlichkeiten und die Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen sind.

In der Folge werden einige Beispiele für solche Datensicherheitsmaßnahmen angeführt:

1. Pseudonymisierung und Verschlüsselung personenbezogener Daten;

2. die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;

3. die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen:

4. ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Zu beachten ist nun, dass es sich bei den in § 18 Abs. 8 EStG vorgesehenen Maßnahmen in Zusammenhang mit der Übermittlung und Verarbeitung der personenbezogenen Daten der jeweiligen Steuerpflichtigen vor allem um technische und organisatorische Datensicherheitsmaßnahmen handelt:

1. So sieht § 18 Abs. 8 Z 2 EStG vor, dass anstelle der Daten zur Identifikation des Steuerpflichtigen (Name und Geburtsdatum) das verschlüsselte bereichsspezifische Personenkennzeichen zu übermitteln ist, damit erfolgt eine Pseudonymisierung der hier relevanten Daten.

2. In § 9 Sonderausgaben-DÜV wird hinsichtlich der Datenübermittlung auf die FOnV 2006 verwiesen, die ebenfalls technische Sicherheitsmaßnahmen und insbesondere eine Beschränkung des Teilnehmerkreises vorsieht.

3. § 14 Sonderausgaben-DÜV regelt - wie oben beschrieben - detailliert die Zugriffsberechtigungen einzelner Organwalter auf die verarbeiteten Daten und differenziert dabei insbesondere danach, ob die übermittelten Zuwendungen Gegenstand einer Überprüfungshandlung sind. Diese Regelungen stellen ebenfalls eine organisatorische Datensicherheitsmaßnahme dar.

2.8. Geeignete und angemessene Datensicherheitsmaßnahmen ersetzen nicht die Rechtsgrundlage

Wie im vorstehenden Abschnitt ausgeführt, sind im Zusammenhang mit der Übermittlung von Zuwendungen in § 18 Abs. 8 EStG und in der Sonderausgaben-DÜV eine Reihe von technischen und organisatorischen Datensicherheitsmaßnahmen vorgesehen.

Die gegenständliche Beschwerde zielt nicht darauf ab, dass solche Datensicherheitsmaßnahmen im gegenständlichen Zusammenhang fehlen oder nicht angemessen sind.

Umgekehrt ist allerdings zu beachten, dass auch noch so umfangreiche technische und organisatorische Datensicherheitsmaßnahmen, die auf dem aktuellen Stand der Technik beruhen, eine fehlende oder nicht ausreichende Rechtsgrundlage im Sinne von Art 6 DSGVO bzw. Art 9 DSGVO nicht ersetzen können (Stichwort: Datenschutz ist nicht gleich Datensicherheit).

2.9. (Angeblich) Kein Mehr an Information durch Übermittlung von Zuwendungen

Zuletzt ist noch auf die im Vorhalt referierte Ansicht von Atzmüller einzugehen, wonach sich durch die elektronische Übermittlung von Daten zu Zuwendungen (und deren Verarbeitung durch die Finanzverwaltung) "kein Mehr an Informationen" ergebe:

Atzmüller verweist diesbezüglich insbesondere auf § 14 Sonderausgaben-DÜV und die dort vorgesehene "abgestufte" Zugriffsmöglichkeit der Finanzverwaltung (obwohl wie oben ausgeführt nur die Zugriffsmöglichkeit einzelner Organwalter von der genannten Einschränkung erfasst ist). Wie bereits oben ausgeführt, handelt es sich dabei allerdings um eine (organisatorische) Datensicherheitsmaßnahme.

Bei der Klärung der Frage, ob nunmehr im Vergleich zur Situation vor der elektronischen Übermittlung von Daten zu Zuwendungen gemäß § 18 Abs. 8 EStG mehr personenbezogene Daten verarbeitet werden, ist nicht darauf abzustellen, welche Daten für einzelne Organwalter zugänglich sind, sondern welche Daten vom Verantwortlichen im Sinne der DSGVO tatsächlich verarbeitet werden.

Wie oben bereits ausgeführt, ist davon auszugehen, dass wohl der Bundesminister für Finanzen als Verantwortlicher für die hier gegenständliche Datenverarbeitung anzusehen ist (das nachfolgende Argument bleibt aber auch gültig, wenn sonstige Abgabenbehörden als Verantwortliche ermittelt würden).

Eine Prüfung des Umfangs der verarbeiteten Daten auf der Ebene des Verantwortlichen ergibt aber unmittelbar, dass durch die elektronische Übermittlung aller steuerlich zu berücksichtigenden Zuwendungen (welche beim Verantwortlichen sowohl dem einzelnen Steuerpflichtigen als auch dem jeweiligen Zuwendungsempfänger zugeordnet sind) eine vielfach größere Datenmenge anfällt als zu der Zeit, als die Zuwendungen nur in Summe in der Steuererklärung angegeben wurden und die Bekanntgabe des konkreten Zuwendungsempfängers nur im Rahmen einer Überprüfung und insofern anlassbezogen im Einzelfall erfolgte.

Daran ändert auch die Tatsache nichts, dass - worauf Atzmüller hinweist - der Abgabenbehörde auf Basis der BAO gewisse Kompetenzen zur Erhebung von Informationen im Rahmen des Abgabenverfahrens zukommen (z.B. § 138 BAO oder § 161 BAO).

Erstens stehen diese Kompetenzen den Abgabenbehörden nur unter bestimmten Voraussetzungen zu und zweitens - aus datenschutzrechtlicher Sicht noch bedeutsamer - führt die Ausübung solcher Kompetenzen im Einzelfall anders als die Speicherung aller Daten über Zuwendungen "auf Vorrat" nur dazu, dass eine Erhebung und Speicherung (und damit Verarbeitung) solcher Daten nur in jenem Ausmaß erfolgt, das für den Einzelfall bedeutsam ist, und damit auch der Grundsatz der Datenminimierung eingehalten wird.

Diese Unterscheidung zwischen der Speicherung aller Daten "auf Vorrat" und der Erhebung einzelner Daten im Anlassfall gilt auch in vielen anderen Bereichen und spielt vor allem bei der Verhältnismäßigkeitsprüfung bei Grundrechtseingriffen (siehe dazu die Ausführungen in der Beschwerde und in Punkt 2.3 oben) eine entscheidende Rolle.

Würde man der Ansicht Atzmüllers folgen, gäbe es auch keinen Unterschied zwischen der präventiven Speicherung aller Nachrichtenübermittlungen im Sinne von § 134ff StPO und der Übermittlung solcher Daten im Anlassfall, weil ja auch hier den Strafverfolgungsbehörden entsprechende Kompetenzen zukommen. Dies wurde aber sowohl vom EuGH (EuGH 8.4.2014, C-2913/12 und C-594/12, Digital Rights Ireland u.a.; EuGH 21.12.2016, C-203/15 und C-698/15, Tele2 Sverige AB u.a.) als auch vom VfGH nicht so gesehen (VfSlg. 19.892 und zuletzt VfGH vom 11.12.2019, G72/2019 u.a.).

Aus datenschutzrechtlicher Sicht ist der Ansicht Atzmüllers daher jedenfalls nicht zu folgen und es ist davon auszugehen, dass die elektronische Übermittlung von Zuwendungen sehr wohl zu einem "Mehr an Information" führt, was nur zulässig ist, wenn für eine solche erweiterte Verarbeitung von personenbezogenen Daten auch eine ausreichende Rechtsgrundlage im Sinne der DSGVO vorliegt.

2.10. Zusammenfassung

Zusammenfassend ist festzuhalten, dass die Bestimmung des § 14 Sonderausgaben-DÜV insbesondere technische und organisatorische Datensicherheitsmaßnahmen regelt und auch § 18 Abs. 8 Z 2 lit. a EStG die pseudonymisierte und verschlüsselte Übermittlung der personenbezogenen Daten vorsieht und damit ebenfalls eine technische Datensicherheitsmaßnahme vorsieht.

Der Bf. bezweifelt auf Basis der ihm vorliegenden Informationen und insbesondere auch der dem Vorhalt angeschlossenen Dokumente nicht, dass hinsichtlich der elektronischen Übermittlung von Daten zu Zuwendungen gemäß § 18 Abs. 8 EStG angemessene technische und organisatorische Datensicherheitsmaßnahmen vorgesehen sind.

Sehr wohl bestreitet der Bf. allerdings die Ansicht von Atzmüller, wonach die elektronische Übermittlung (und Verarbeitung) aller Daten zu Zuwendungen nicht zu einem "Mehr an Information" führt.

In diesem Zusammenhang geht der Bf. auch weiterhin davon aus, dass die elektronische Übermittlung der Daten zu Zuwendungen gemäß § 18 Abs. 8 EStG gegen den Grundsatz der Datenminimierung gemäß Art 5 Abs. 1 lit. c verstößt und diese Bestimmung auch keine den Voraussetzungen der Art 6 bzw. 9 DSGVO bzw. § 1 DSG entsprechende Rechtsgrundlage für eine Verarbeitung dieser Daten darstellt.

Insbesondere ist die Regelung des § 18 Abs. 8 EStG im Hinblick auf den mit ihr verfolgten Zweck der "Verwaltungsvereinfachung" nicht verhältnismäßig.

3.Beschwerdeanträge/Anregung der Einleitung eines Vorabentscheidungsverfahrens

Unter Verweis auf die vorstehenden Ausführungen hält der Bf. die in der Beschwerde gestellten Anträge ausdrücklich aufrecht.

Der Bf. zieht allerdings den in der Beschwerde enthaltenen Antrag gemäß § 272 Abs.2 BAO auf Entscheidung durch den Senat zurück.

Soweit im Hinblick auf die vorstehenden Ausführungen beim BFG gegebenenfalls Zweifel hinsichtlich der Auslegung der Bestimmungen der DSGVO und insbesondere des Art 6 DSGVO und des Art 9 DSGVO bestehen, wird nochmals auf die in der Beschwerde enthaltene Anregung, ein Vorabentscheidungsverfahren gemäß Art 267 AEUV einzuleiten, verwiesen."

In der mündlichen Verhandlung legte der Bf. einen - nicht veröffentlichten - Bescheid der Datenschutzbehörde betreffend die ***2*** vom ***3*** sowie eine vom ihm erstellte schriftliche Zusammenfassung bezüglich Daten besonderer Kategorien gemäß Art 9 DSGVO mit folgendem Inhalt vor:

1. "Definition der Daten besonderer Kategorien in Art 9 Abs. 1 DSGVO

2. Entscheidung der Datenschutzbehörde im "***4***datenfall": Die ***4*** hat auf Basis von statistischen Erhebungen und persönlichen Merkmalen (Alter, Geschlecht, Adresse) "Parteiaffinitäten" berechnet und an (Werbe-)Kunden verkauft. Die Datenschutzbehörde bejaht die Frage, ob es sich bei solchen "Parteiaffinitäten" um Daten im Sinne von Art 9 DSGVO handelt, und hält dazu fest: "Sowohl begrifflich als auch teleologisch genügt, dass der Inhalt des Datums die in Art 9 Abs. 1 DSGVO genannte Eigenschaft für einen durchschnittlichen, objektiven Dritten zumindest mittelbar erkennen lässt, dass also die Eigenschaft aus dem Datum bzw. den Daten produziert werden kann. Die Voraussetzung des Hervorgehens ist im Zweifel großzügig auszulegen, um der Gefahr von Abgrenzungsproblemen vorzubeugen und ein einheitlich hohes Schutzniveau zu gewährleisten (***5***)".

3. Spenden , aus denen religiöse oder weltanschauliche Überzeugungen hervorgehen: Spende an ***6***, ***7*** (Registrierungsnummer ***8***); Spende an ***9*** (Registrierungsnummer ***10***); Spende an ***11*** (***12***), (Registrierungsnummer ***13***); Spende an ***14*** - Unterstützung von Familien in Not (Registrierungsnummer ***15***);

4. Spenden, aus denen Gesundheitsdaten hervorgehen: Spende an den ***16*** (Registrierungsnummer ***17***); Spende an ***18*** (Registrierungsnummer ***19***);

5. Fallen Daten über getätigte Spenden unter Art 9 DSGVO?: Wie die vorhergehenden Beispiele zeigen, lassen sich aus der Tatsache, dass ein Steuerpflichtiger Spenden an bestimmte Organisationen geleistet hat, in vielen Fällen Rückschlüsse auf religiöse oder weltanschauliche Überzeugungen oder auch den Gesundheitszustand des Steuerpflichtigen (oder dessen Angehörige) ableiten. Daran ändert auch die Tatsache nichts, dass andere Spenden weltanschaulich "neutral" sind (z.B. Spende an ***20***). Zusammenfassend ist daher davon auszugehen, dass Daten über geleistete Spenden als Daten besonderer Kategorien im Sinne von Art. 9 DSGVO anzusehen sind und für die Verarbeitung daher eine Rechtsgrundlage im Sinne von Art 9 DSGVO vorliegen muss.

6. Rechtsgrundlage für Verarbeitung von Daten gemäß Art 9 DSGVO (I): Einzige mögliche Rechtsgrundlage wäre Art 9 Abs. 2 lit. g DSGVO: "[…] die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedsstaats, das in angemessenen Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich, […]"; laut Regierungsvorlage dient die elektronische Übermittlung von Informationen über Zuwendungen gemäß § 18 Abs. 8 EStG einerseits der Verwaltungsvereinfachung und andererseits der Erhöhung der Gleichmäßigkeit der Vollziehung und der Steuergerechtigkeit; handelt es sich dabei um erhebliche öffentliche Interessen?

7. Rechtsgrundlage für Verarbeitung von Daten gemäß Art 9 DSGVO (II): Selbst bei Annahme eines wichtigen öffentlichen Interesses oder unter der Annahme, dass keine Daten im Sinne von Art 9 vorliegen, wäre auch die Notwendigkeit zu prüfen - ist tatsächlich die Verarbeitung aller Daten über begünstigte Zuwendungen erforderlich? Zuletzt ist auch noch zu prüfen, ob die vorgesehene Verarbeitung aller Daten zu begünstigten Zuwendungen in einem angemessenen Verhältnis zum verfolgten Zweck steht - eine solche Verhältnismäßigkeitsprüfung ist sowohl in Art 9 Abs. 2 lit. g DSGVO als auch in Art 6 Abs. 3 DSGVO vorgesehen. Aus Sicht des Bf. ist die in § 18 Abs. 8 EStG vorgesehene Verarbeitung von Daten zu Zuwendungen allerdings für die verfolgten Zwecke weder notwendig noch ist eine solche Verarbeitung verhältnismäßig."

Ergänzend führte der Bf. aus, auch das Finanzamt wäre verpflichtet gewesen, die DSGVO anzuwenden. Die in der Stellungnahme zum Vorlagebericht vom 9. Juli 2019 geäußerte Rechtsansicht, wonach es nicht dem Finanzamt obliege, zu beurteilen, ob § 18 Abs. 8 EStG 1988 in Widerspruch zur DSGVO stehe, sei deshalb unzutreffend.

Darüber hinaus betonte der Bf. unter Bezugnahme auf den Inhalt der vorgelegten Unterlagen nochmals, dass es sich bei den der Abgabenbehörde vorliegenden Daten über getätigte Spenden aus der Sicht des Bf. eindeutig um solche besonderer Kategorien im Sinne des Art 9 Abs. 1 DSGVO handle. Beispielsweise lasse der Umstand, dass jemand der ***6***, einer Gemeinschaft erklärter Abtreibungsgegner, eine Spende zukommen lasse, einen Rückschluss darauf zu, wie der Spender zum Thema Abtreibung stehe. Ebenso werde jemand, der eine Spende an den Verein ***21*** tätige, mit hoher Wahrscheinlichkeit selbst Buddhist sein oder dieser Religionsgesellschaft zumindest nahestehen. Spende jemand an ***14***, einen Verein, der es sich zur Aufgabe gemacht habe, für im Islam vorgesehene besondere Anlässe Spenden für wohltätige Zwecke zu sammeln, liege es nahe, dass der Spender moslemischen Glaubens sei. Bei anderen Spendenempfängern, wie beispielsweise ***9***, seien Rückschlüsse auf politische Meinungen bzw. religiöse oder weltanschauliche Überzeugungen zwar nicht so eindeutig möglich. Allerdings könne auch in diesem Fällen von gewissen weltanschaulichen Überzeugungen ausgegangen werden, im Fall von ***9*** eventuell von regierungskritischen, menschenrechtsfreundlichen Überzeugungen. Aus den Tätigkeitsbereichen bestimmter Spendenempfänger wie beispielsweise dem ***22*** oder der ***18*** könnten wiederum Rückschlüsse auf den Gesundheitszustand des Spenders oder zumindest von dessen Angehörigen abgeleitet werden.

Zum vorgelegten Bescheid der Datenschutzbehörde im "***4***datenfall" führte der Bf. erläuternd aus, die ***2*** habe anhand von anonymen Meinungsumfragen unter anderem errechnet, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemographischen Eigenschaften wie zum Beispiel Geschlecht, Alter, Wohnort, formale Bildung und Familienstand ein Werbeinteresse für bestimmte Parteien sowie Interesse an Wahlwerbung hätten. Diese errechneten Prozentsätze seien als "Parteiaffinitäten" der jeweiligen Marketinggruppen bezeichnet worden. Diese "Parteiaffinitäten" der betroffenen Personen seien samt Titel, Name, Wohnadresse und Geburtsdatum interessierten Dritten verkauft worden. Die ***2*** habe argumentiert, dass "Parteiaffinitäten" keine personenbezogenen Daten im Sinne des Art 4 Abs. 1 DSGVO seien, weil es sich dabei nur um "Durchschnittswahrscheinlichkeiten für eine Marketinggruppe" handle, deren sachliche Richtigkeit nicht feststellbar sei und die deshalb auch nicht berichtigt werden könnten. Die Datenschutzbehörde sei diesem Argument allerdings nicht gefolgt, sondern habe das Vorliegen personenbezogener Daten iSd Art 4 Abs. 1 DSGVO deshalb bejaht, weil sich die vorliegenden Informationen auf eine identifizierbare Person beziehen würden (ansonsten wäre keine personalisierte und zielgerichtete Werbeaktivität möglich) und unter personenbezogenen Daten nicht nur als solche unschwer erkennbaren Angaben wie Name, Geschlecht, Adresse oder Wohnort einer Person zu verstehen seien, sondern beispielsweise auch Werturteile und damit schlechthin personenbezogene Informationen. Zudem müssten die einzelnen Personen zuordenbaren Informationen nicht unbedingt wahr oder bewiesen sein, damit sie als personenbezogene Daten eingestuft würden.

Seitens der Datenschutzbehörde sei die von der ***2*** ermittelte "Parteiaffinität" überdies als besondere Kategorie von personenbezogenen Daten im Sinne des Art 9 DSGVO eingestuft worden. Danach genüge es, wenn sich die politische Meinung bzw. die weltanschauliche Überzeugung aus den Daten für einen durchschnittlichen, objektiven Dritten zumindest mittelbar erkennen lasse. Die Voraussetzung des Hervorgehens sei im Zweifel großzügig auszulegen.

Ebenso wie im obigen Beispiel die potentielle politische Affinität einer bestimmten Person zuordenbar sei, sei im Beschwerdefall aus dem Tätigkeitsbereich des Zuwendungsempfängers in vielen Fällen zumindest mittelbar die politische Meinung bzw. die religiöse oder weltanschauliche Überzeugung des jeweiligen Spenders ableitbar.

Bezüglich der Rechtmäßigkeit der Datenverarbeitung im Beschwerdefall werde nochmals auf die Beschwerdeausführungen verwiesen, wonach die Einwilligung nicht freiwillig im Sinne von Art 7 Abs. 4 DSGVO sei. Freiwillig wäre die Einwilligung zur Datenübermittlung gemäß § 18 Abs. 8 EStG 1988 nur dann, wenn es dem Spender freistünde, zu entscheiden, ob er eine automatische Datenübermittlung in Anspruch nehmen oder ob er die Spendensumme erst in der Erklärung zur Einkommensteuererklärung geltend machen wolle unter dem Vorbehalt einer eventuellen späteren Prüfung der Rechtmäßigkeit.

Art 7 Abs. 4 DSGVO ziele vor allem auf den Vertragsbereich ab. Beispielsweise müsse bei einer Bestellung bei ***23*** der Kunde die Adresse bekannt geben, damit ihm das Paket zugeschickt werden könne. Für die Verwendung der Adresse sei keine Einwilligung erforderlich, weil die Vertragserfüllung ohne Speicherung der Kundenadresse nicht möglich sei. Für die Vertragserfüllung sei aber nicht erforderlich, die Artikelsuche zu speichern, die Dauer dieser Suche bzw. ob und welche Artikel in den Warenkorb gelegt, aber nicht bestellt worden seien. Sofern Daten für die Vertragserfüllung nicht erforderlich seien, sei eine Einwilligung für die Datenverarbeitung notwendig.

Im öffentlichen Bereich komme als Erlaubnistatbestand für die Datenverarbeitung einzig Art 9 Abs. 2 lit. g DSGVO in Betracht, wobei insbesondere zu verneinen sei, dass die in § 18 Abs. 8 EStG 1988 vorgesehene automatische Datenverarbeitung im Hinblick auf die damit verfolgten Zwecke verhältnismäßig sei. Zwar spiele bei der Verhältnismäßigkeit eine Rolle, ob eine Kontrollmöglichkeit der Abgabenbehörde bestehe. Diesbezüglich sei aber auf die - als nicht verhältnismäßig bewertete - Vorratsdatenspeicherung nach der StPO zu verweisen. Durch diese Vorratsdatenspeicherung sei es beispielsweise möglich gewesen, Internetbetrüger auszuforschen, die auf ***24*** Waren angeboten und die Kaufsumme einbehalten hätten, ohne den Käufern die Waren auszuhändigen. Der EuGH habe in diesem Zusammenhang festgestellt, dass die Vorratsdatenspeicherung ursprünglich für schwerste Verbrechen wie Terrorismusbekämpfung gedacht gewesen sei. In diesen Bereichen bestehe ein erhebliches öffentliches Interesse am massiven, praktisch die gesamte erwachsene Bevölkerung betreffenden Eingriff in die Personenrechte und der Eingriff sei angesichts der Schwere der potentiellen Straftaten auch verhältnismäßig. Im Beschwerdefall käme als zu verhindernde potentielle Straftat allenfalls Betrug in Betracht, welcher gemäß § 146 StGB mit einer Freiheitsstrafe von maximal sechs Monaten bedroht sei. In diesem Bereich der Kleinkriminalität bzw. bei einem potentiell drohenden Steuerausfall sei ein solch massiver Eingriff in das Grundrecht auf Datenschutz jedenfalls nicht gerechtfertigt.

Als weiteres Beispiel für einen verhältnismäßigen Eingriff in das Grundrecht auf Datenschutz und als wesentlich gelinderes Mittel sei das Modell des "Quick Freeze-Verfahrens" zu nennen, mit dem Telekommunikations-Verkehrsdaten für Zwecke der Strafverfolgung vorübergehend gesichert werden könnten. Es handle sich dabei also um eine Anlassdatenspeicherung als Alternative zur Vorratsdatenspeicherung. Dabei könnten Strafverfolgungsbehörden (Polizei und Staatsanwaltschaft) in Einzelfällen bei Vorliegen eines Anfangsverdachts eine - gesetzlich vorgesehene - Speicheranordnung für Bestands- und Verkehrsdaten der Kunden von Telekommunikationsunternehmen und Internetanbietern erlassen, um zu verhindern, dass die Daten in der Zwischenzeit gelöscht würden. Sobald ein richterlicher Beschluss vorliegen würde, könnte auf die Daten zugegriffen werden, ansonsten würden die Daten gelöscht.

Der Vertreter der belangten Behörde stellte den Antrag auf Abweisung der Beschwerde.

Unter Verweis auf das Vorbringen in der mündlichen Verhandlung sowie das weitere Beschwerdevorbringen stellte der Bf. den Antrag, der Beschwerde Folge zu geben und die geleistete Geldspende als Sonderausgabe zu berücksichtigen.

Das Bundesfinanzgericht hat erwogen:

Sachverhalt

Aufgrund des dem Finanzgericht vorliegenden Überweisungsbeleges samt Übernahmebestätigung ist erwiesen, dass der Bf. einem sich auf der Liste der begünstigten Einrichtungen befindlichen gemeinnützigen Verein im Streitjahr 2018 eine Geldspende in Höhe von 20,00 Euro hat zukommen lassen. Der Bf. hat dem betreffenden Verein lediglich seinen Namen und seine Adresse, nicht aber sein Geburtsdatum bekannt gegeben, weshalb auch keine Datenübermittlung gemäß § 18 Abs. 8 Z 2 EStG 1988 erfolgte.

Rechtliche Beurteilung

Zu Spruchpunkt I. (Abweisung)

In Streit steht, ob die in § 18 Abs. 8 EStG 1988 vorgesehene Bekanntgabe- und Übermittlungsverpflichtung wegen Verstoßes gegen § 1 DSG (Grundrecht auf Datenschutz) verfassungswidrig ist. Zu prüfen ist zudem auch die Nichtanwendbarkeit des § 18 Abs. 8 EStG 1988 wegen Verstoßes gegen die DSGVO.

1. Nationales Recht:

Gemäß § 18 Abs. 1 Z 7 EStG 1988 sind freigebige Zuwendungen - soweit sie nicht Betriebsausgaben oder Werbungskosten sind - insoweit bei der Ermittlung des Einkommens als Sonderausgaben abzuziehen, als sie zusammen mit Zuwendungen aus dem Betriebsvermögen im Sinne des § 4a insgesamt 10% des sich nach Verlustausgleich ergebenden Gesamtbetrages der Einkünfte nicht übersteigen, wenn sie

1. an Einrichtungen im Sinne des § 4a Abs. 3 Z 1, 2 und 3 und Abs. 4, sowie

2. ausschließlich in Geld an begünstigte Körperschaften im Sinne des § 4a Abs. 3 Z 2a, Z 4 bis 6, Abs. 4a, Abs. 5 und Abs. 6

geleistet werden.

Eine Zuwendung an einen Empfänger, der keine feste örtliche Einrichtung im Inland unterhält, ist durch den Zuwendenden auf Verlangen der Abgabenbehörde durch Vorlage eines Beleges nachzuweisen. Dieser Beleg hat jedenfalls zu enthalten den Namen der empfangenden Körperschaft, den Namen des Zuwendenden, den Betrag und das Datum der Zuwendung. Auf Verlangen des Zuwendenden ist durch einen Empfänger der Zuwendung, der keine feste örtliche Einrichtung im Inland unterhält, eine Spendenbestätigung auszustellen. In dieser Bestätigung sind, neben den Inhalten die ein Beleg jedenfalls zu enthalten hat, auch die Anschrift des Zuwendenden und die Registrierungsnummer, unter der die empfangende Einrichtung in die Liste begünstigter Spendenempfänger eingetragen ist, anzuführen. Die Bestätigung kann für alle von demselben Zuwendenden in einem Kalenderjahr getätigten Zuwendungen ausgestellt werden.

Steht den Zuwendungen eine Gegenleistung gegenüber, sind sie als freigebige Zuwendungen abzugsfähig, wenn der gemeine Wert der Zuwendung den Wert der Gegenleistung erheblich übersteigt. Der dem gemeinen Wert der Gegenleistung entsprechende Teil der Zuwendung ist nicht abzugsfähig. Ebenso nicht abzugsfähig sind Mitgliedsbeiträge in Höhe der satzungsgemäß von ordentlichen Mitgliedern zu entrichtenden Beiträge, die an eine der begünstigten Körperschaften bezahlt werden.

Freigebige Zuwendungen an begünstigte Einrichtungen im Sinne der lit. b und an Einrichtungen gemäß § 4a Abs. 4 lit. d sind nur dann abzugsfähig, wenn die empfangende Einrichtung zum Zeitpunkt der Zuwendung in der Liste begünstigter Spendenempfänger (§ 4a Abs. 7 Z 1) eingetragen ist; dies gilt nicht für Zuwendungen an Einrichtungen gemäß § 4a Abs. 6 und Abs. 3 Z 2a.

Gemäß § 18 Abs. 8 Z 1 EStG 1988 sind Beiträge und Zuwendungen an einen Empfänger, der eine feste örtliche Einrichtung im Inland unterhält, nur dann als Sonderausgaben zu berücksichtigen, wenn dem Empfänger Vor- und Zunamen und das Geburtsdatum des Leistenden bekannt gegeben werden und eine Datenübermittlung gemäß Z 2 erfolgt.

Gemäß § 18 Abs. 8 Z 2 EStG 1988 sind Empfänger von Beiträgen und Zuwendungen im Sinne der Z 1 verpflichtet, den Abgabenbehörden im Wege von FinanzOnline Informationen nach Maßgabe der folgenden Bestimmungen elektronisch zu übermitteln. Zu übermitteln sind gemäß lit. a dieser Norm das verschlüsselte bereichsspezifische Personenkennzeichen für Steuern und Abgaben (vbPK SA) des Leistenden, wenn dieser dem Empfänger Vor- und Zunamen und sein Geburtsdatum bekannt gegeben hat, und der Gesamtbetrag aller im Kalenderjahr zugewendeten Beträge des Leistenden. Die Übermittlung hat zu unterbleiben, wenn der Leistende dem Empfänger die Übermittlung ausdrücklich untersagt hat. In diesem Fall darf bis zum Widerruf für sämtliche Leistungen des betreffenden Kalenderjahres und der Folgejahre keine Übermittlung erfolgen.

Gemäß § 18 Abs. 8 Z 5 lit. b EStG 1988 erfüllen die auf Grundlage der Z 1 bis 3 vorzunehmenden Datenverarbeitungen die Voraussetzungen des Art. 35 Abs. 10 für den Entfall der Datenschutz-Folgeabschätzung nach der Verordnung (EU) Nr. 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1.

Gemäß § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Gemäß § 1 Abs. 2 DSG sind, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Gemäß § 4 Abs. 1 DSG gelten die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.

Gemäß § 14 der Verordnung des Bundesministers für Finanzen zur Übermittlung von Daten für die Berücksichtigung von Sonderausgaben in der Einkommensteuerveranlagung (Sonderausgaben-Datenübermittlungsverordnung - Sonderausgaben-DÜV) ist im Interesse des Schutzes der Persönlichkeitssphäre des Zuwendenden verwaltungsorganisatorisch und technisch Folgendes sicherzustellen:

1. Einem berechtigten Organwalter dürfen Informationen betreffend die konkrete(n) übermittlungspflichtige(n) Organisation(en) nur in Fällen zugänglich gemacht werden, in denen übermittelte Zuwendungen Gegenstand einer Überprüfungshandlung sind.

2. In allen von Z 1 nicht betroffenen Fällen dürfen Daten, die übermittelte Zuwendungen betreffen, im Rahmen der automatisationsunterstützten Datenverarbeitung nur summarisch und ohne Benennung der jeweils übermittelnden Organisation zugänglich gemacht werden. Der Gesamtbetrag der von der Datenübermittlung betroffenen Zuwendungen ist nach Kategorien gegliedert darzustellen. Dabei gilt gemäß lit. b dieser Norm, dass die sonstigen übermittelten Zuwendungen nach der in der Abgabenerklärung für derartige Betriebsausgaben vorgesehenen Gliederung und Bezeichnung in einer Gesamtsumme darzustellen sind.

3. Die von übermittlungspflichtigen Organisationen durchgeführten Übermittlungen sind dem betroffenen Steuerpflichtigen in FinanzOnline einsehbar zu machen. Dabei sind die übermittelten Daten nach den übermittlungspflichtigen Organisationen zu gliedern und betragsmäßig anzuzeigen.

4. In einem Abgabenbescheid dürfen betragsmäßig Informationen, die sich auf die übermittlungspflichtigen Organisationen beziehen, nur in einer Beilage ersichtlich gemacht werden. Im Rahmen der automatisationsunterstützten Datenverarbeitung darf diese Beilage für Organwalter nicht einsehbar gemacht werden.

Gemäß § 48d Abs. 1 BAO ist die ganz oder teilweise automatisierte sowie die nichtautomatisierte Verarbeitung personenbezogener Daten durch eine Abgabenbehörde zulässig, wenn sie für Zwecke der Abgabenerhebung oder sonst zur Erfüllung ihrer Aufgaben oder in Ausübung öffentlicher Gewalt, die ihr übertragen wurde, erforderlich ist.

Gemäß § 48d Abs. 2 BAO ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1 (im Folgenden: DSGVO), durch eine Abgabenbehörde zulässig, wenn die Voraussetzungen des Abs. 1 und ein erhebliches öffentliches Interesse im Sinne des Art. 9 Abs. 2 lit. g DSGVO vorliegen.

Gemäß § 114 Abs. 1 BAO haben die Abgabenbehörden haben zu achten, dass alle Abgabepflichtigen nach den Abgabenvorschriften erfasst und gleichmäßig behandelt werden, sowie darüber zu wachen, dass Abgabeneinnahmen nicht zu Unrecht verkürzt werden. Sie haben alles, was für die Bemessung der Abgaben wichtig ist, sorgfältig zu erheben und die Nachrichten darüber zu sammeln, fortlaufend zu ergänzen und auszutauschen.

Gemäß § 114 Abs. 2 BAO darf hierfür eine elektronische Dokumentation angelegt werden (Dokumentationsregister). Diese Dokumentation hat insbesondere Daten betreffend die Identität des Abgabepflichtigen und die Klassifizierung seiner Tätigkeit zu umfassen.

Gemäß § 114 Abs. 3 BAO kann die Abgabenbehörde Anbringen und andere das Verfahren betreffende Unterlagen mit automationsunterstützter Datenverarbeitung erfassen. Diese Erfassung beeinträchtigt nicht die Beweiskraft, wenn sichergestellt ist, dass die so erfassten Unterlagen nachträglich nicht unbemerkbar verändert werden können.

Gemäß § 114 Abs. 4 BAO dürfen Abgabenbehörden personenbezogene und nicht personenbezogene Daten für Zwecke des automationsunterstützten Risikomanagements und der Betrugsbekämpfung verarbeiten, soweit dies nach dem Grundsatz der Verhältnismäßigkeit zur Erfüllung ihrer Aufgaben geeignet, erforderlich und angemessen ist.

1. Unionsrecht:

Die Verordnung (EU) 2016/679 des europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden abgekürzt DSGVO) gilt gemäß ihrem Art 2 Abs. 1 für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Der Ausdruck "personenbezogene Daten" bezeichnet gemäß Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Der Ausdruck "Verarbeitung" bezeichnet gemäß Art 4 Z 2 DSGVO jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Der Ausdruck "Pseudonymisierung" bezeichnet gemäß Art 4 Z 5 DSGVO die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.

Der Ausdruck "Einwilligung" der betroffenen Person bezeichnet gemäß Art 4 Z 11 DSGVO jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Gemäß Art 6 Abs. 1 lit. a DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat.

Gemäß Art 6 Abs. 1 lit. e erster Halbsatz DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt.

Gemäß Art 6 Abs. 3 DSGVO wird die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstabe e festgelegt durch Unionsrecht (lit. a) oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt (lit. b). Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

Gemäß Art 7 Abs. 4 DSGVO muss bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.

Gemäß Art 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt.

Gemäß Art 9 Abs. 2 lit. a DSGVO gilt Absatz 1 nicht, wenn die betroffene Person in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden.

Gemäß Art 9 Abs. 2 lit. f DSGVO gilt Absatz 1 nicht, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist.

Gemäß Art 9 Abs. 2 lit. g DSGVO gilt Absatz 1 nicht, wenn die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist.

1. Nichtanwendbarkeit der Bestimmung des § 18 Abs. 8 EStG 1988 aufgrund des Anwendungsvorrangs der DSGVO

Die ab 25. Mai 2018 in Österreich unmittelbar anwendbare Datenschutz-Grundverordnung (kurz DSGVO) genießt Anwendungsvorrang vor dem nationalen Recht. Sofern daher eine nationale Rechtsvorschrift in Widerspruch zur DSGVO steht, darf sie nicht angewendet werden.

aa) Sachlicher Anwendungsbereich der DSGVO

Die Speicherung der gemäß § 18 Abs. 8 Z 2 EStG 1988 von den Spendenempfängern den Abgabenbehörden pseudonymisiert zu übermittelnden personenbezogenen Daten (Namen, Adressen, Geburtsdaten und Spendenbetrag) in einem Datensystem (Finanzonline) für Zwecke der Erhebung der Einkommensteuer ist ein Vorgang, der gemäß Art 2 DSGVO iVm § 4 Abs. 1 DSG in den Anwendungsbereich der DSGVO fällt. Denn § 4 Abs. 1 DSG, der die DSGVO ganz generell für die Verarbeitung personenbezogener Daten für anwendbar erklärt, schließt eine Anwendbarkeit lediglich für Zwecke der Sicherheitspolizei einschließlich des polizeilichen Staatsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzugs aus (Vock/Bauer, Datenschutzrechtliche Sonderregelungen im Abgabenverfahren, RdW 2018, 592; Ehrke-Rabel/Gunacker-Slawitsch, Anpassung der BAO an die DSGVO als Persilschein zur finanzbehördlichen Datensammlung? taxlex 2019, 90 [92]).

ab) Rechtmäßigkeit der Datenverarbeitung (Art 5 Abs. 1 lit. a DSGVO, Art 6 DSGVO, Art 9 DSGVO)

Nach der DSGVO ist die Verarbeitung von personenbezogenen Daten nur dann zulässig, wenn einer der in Art 6 Abs. 1 DSGVO bzw. der in Art 9 Abs. 2 leg. cit. taxativ angeführten Gründe vorliegt. Zulässig ist die Verarbeitung solcher Daten gemäß Art 6 Abs. 1 lit. a DSGVO bzw. Art 9 Abs. 2 lit. a DSGVO beispielsweise dann, wenn die betroffene Person eingewilligt hat.

Der Bf. verneint das Vorliegen einer Einwilligung im Sinne der DSGVO aus zwei Gründen. Zum einen sei die Einwilligung nur konkludent erfolgt, die Lehre (Kastelitz/Hötzendorfer/Tschol in Knyrim (Hrsg) DatKomm, DSGVO Art. 9 Rz 31; Petri in Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Art. 9 DSGVO Rz 33; Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 9 Rz 28; Kampert in Sydow (Hrsg.), Europäische Datenschutzgrundordnung Art. 9 Rz 14; Schulz in Gola, DSGVO Art. 9 Rz 14; Frenzel in Paal/Pauly, Datenschutz-Grundverordnung Art. 9 Rz 21) erachte aber bei der Verarbeitung von Daten besonderer Kategorien eine konkludente Einwilligung als nicht ausreichend.

Darüber hinaus war aus der Sicht des Bf. die Einwilligung auch nicht freiwillig im Sinne des Art 7 Abs. 4 DSGVO. Denn die Rechtsfolge einer Nichtbekanntgabe der erforderlichen Daten sei die finale Nichtberücksichtigung der getätigten Spenden als Sonderausgaben.

Das BFG teilt die in den zitierten Lehrmeinungen vertretene Rechtsauffassung, wonach einer konkludent erfolgten Einwilligung zumindest im Bereich der Verarbeitung von Daten besonderer Kategorien keine Rechtswirksamkeit zukommt. Zwar genügt gemäß Art 4 Z 11 DSGVO für eine rechtswirksame Einwilligung eine "Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist". Allerdings sieht § 9 Abs. 2 lit. a DSGVO, dem insofern als lex specialis Vorrang vor Art 4 Z 11 DSGVO zukommt, vor, dass eine Einwilligung im Falle der Verarbeitung von Daten besonderer Kategorien ausdrücklich erfolgen muss.

Für eine ausdrückliche Einwilligung im Sinne des Art. 9 Abs. 2 lit. a DSGVO ist erforderlich, der betroffenen Person die beabsichtigte Verarbeitung und deren Zweck unzweideutig mitzuteilen und die Einwilligung derart zu gestalten, dass über deren Erteilung kein Zweifel bestehen kann (vgl. Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 9 Rz 33).

Seitens des BFG wird nun die Meinung vertreten (siehe dazu BFG 18.3.2020, RV/7100998/2020; BFG 2.4.2020, RV/7100749/2020), dass die Nichtbekanntgabe des Geburtsdatums gegenüber den übermittlungspflichtigen Spendenempfängern nicht als konkludente Handlung zu werten ist, sondern vielmehr als ausdrückliche Erklärung des informierten Spenders zu qualifizieren ist, mit der dieser die Datenübermittlung untersagt. Von dieser Auffassung abzugehen, sieht das BFG keinen Anlass. Wie im Folgenden dargelegt werden wird, kommt dieser Beurteilung aber nur dann Bedeutung zu, wenn es sich bei den bekannt zu gebenden personenbezogenen Daten um solche im Sinne des Art 9 Abs. 1 DSGVO (Daten besonderer Kategorien) handelt.

Was unter Daten besonderer Kategorien zu verstehen ist, wird in Art 9 Abs. 1 DSGVO definiert. Danach zählen dazu unter anderem Gesundheitsdaten sowie Daten, aus denen politische Meinungen und religiöse oder weltanschauliche Überzeugungen hervorgehen.

Nach Auffassung des Bf. lassen sich aus den Tätigkeitsbereichen der Spendenempfänger in vielen, wenn auch nicht in allen Fällen Informationen über politische Meinungen, religiöse oder weltanschauliche Überzeugungen sowie über den Gesundheitszustand des jeweiligen Spenders ableiten.

Bezüglich Spenden ist festzuhalten, dass diese als freiwillige Zuwendungen gemäß § 20 Abs. 1 Z 4 EStG 1988 und § 20 Abs. 3 leg. cit. grundsätzlich dem Bereich der steuerlich unbeachtlichen Einkommensverwendung zuzurechnen sind. Der nationale Gesetzgeber hat sich allerdings dafür entschieden, freiwillige Zuwendungen für bestimmte Zwecke steuerlich dergestalt zu begünstigen, als er den Spendern eine Abzugsmöglichkeit einräumt mit dem Ziel einer Erhöhung des Spendenaufkommens. Während bis 2008 eine steuerliche Absetzbarkeit nur für Spenden an bestimmte Einrichtungen der Forschung und der Erwachsenenbildung bestand, wurde die Absetzbarkeit bis zum gegenwärtigen Zeitpunkt mehr und mehr ausgeweitet. So sind seit 2009 auch Spenden an bestimmte mildtätige und der Katastrophenhilfe dienende Vereine und Einrichtungen abgabenrechtlich begünstigt; 2012 wurde der Kreis der begünstigten Spendenempfänger auf Tierschutzvereine, Tierheime und freiwillige Feuerwehren erweitert, seither erfolgte eine Ausdehnung auf bestimmte Kunst- und Kultureinrichtungen sowie gemeinnützige Stiftungen oder Fonds, die nach dem Bundes-Stiftungs- und Fondsgesetz 1975, dem Bundes-Stiftungs- und Fondsgesetz 2015 oder nach vergleichbaren landesgesetzlichen Regelungen errichtet wurden (siehe dazu Büsser in Hofstätter/Reichel, EStG-Kommentar, § 18 Abs. 1 Z 7, 8 und 9 Tz 1ff).

Mit der Möglichkeit der steuerlichen Abzugsfähigkeit von freiwilligen Zuwendungen für eine Vielzahl von Zwecken trotz ihrer Zugehörigkeit zum Bereich der Kosten der Lebensführung hat der Gesetzgeber aufgezeigt, dass er all diese Zwecke aus Gründen des Gemeinwohls als förderungswürdig erachtet. Es läge daher nahe, die Auffassung zu vertreten, dass - anders als bei einer freiwilligen Mitgliedschaft zu einer politischen Partei oder einer Organisation, die für eine konkrete politische, religiöse oder weltanschauliche Überzeugung steht - eine bloße Spende an eine der begünstigten Einrichtungen für einen bestimmten begünstigten Zweck gerade angesichts der beachtlichen Anzahl begünstigter Zwecke noch keinen Rückschluss auf eine konkrete politische Meinung bzw. auf eine bestimmte religiöse oder weltanschauliche Überzeugung des Spenders zulasse. Allerdings hat die Datenschutzbehörde in ihrem die [...] betreffenden Bescheid vom [...] (siehe dazu oben) die Rechtsmeinung vertreten, dass es "sowohl begrifflich als auch teleologisch genügt, dass der Inhalt des Datums die in Art 9 Abs. 1 DSGVO genannte Eigenschaft für einen durchschnittlichen, objektiven Dritten zumindest mittelbar erkennen lässt, dass also die Eigenschaft aus dem Datum bzw. den Daten produziert werden kann. Die Voraussetzung des Hervorgehens ist im Zweifel großzügig auszulegen, um der Gefahr von Abgrenzungsproblemen vorzubeugen und ein einheitlich hohes Schutzniveau zu gewährleisten." Dass sich aus den Tätigkeitsbereichen einzelner Spendenempfänger - der Bf. nannte als Beispiele den Verein "[...]", den Verein "[...]", den Verein "[...]" sowie [...] - zumindest mittelbar die religiöse oder weltanschauliche Überzeugung des Spenders ableiten lässt, ist aus der Sicht des BFG nicht in Abrede zu stellen. Im Folgendem ist daher die Rechtmäßigkeit der Datenverarbeitung auf Basis von Art 9 Abs. 2 DSGVO zu bewerten.

Auch beim Erlaubnistatbestand des Art. 9 Abs. 2 lit. a DSGVO ist zu prüfen, ob die Einwilligung zur Verarbeitung der personenbezogenen Daten (konkret die Speicherung der gemäß § 18 Abs. 8 Z 2 EStG 1988 von den Spendenempfängern den Abgabenbehörden pseudonymisiert zu übermittelnden personenbezogenen Daten (Namen, Adressen, Geburtsdaten und Spendenbetrag) in einem Datensystem) nicht nur ausdrücklich erfolgt ist, sondern ob sie überdies als "freiwillig" zu qualifizieren ist. Art 7 Abs. 4 DSGVO nimmt nun zwar primär auf den privatrechtlichen Bereich und nicht auf den im Beschwerdefall maßgeblichen öffentlich-rechtlichen Bereich Bezug. Die Wortfolge "unter anderem" spricht aber dafür, dass Art 7 Abs. 4 DSGVO Relevanz auch für den öffentlich-rechtlichen Bereich zukommt.

Eine Einwilligung gilt dann als freiwillig erteilt, wenn die betroffene Person eine echte Wahl hat, und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden. Ist aber die Kenntnis der betroffenen personenbezogenen Daten, in deren Verarbeitung die betroffene Person eingewilligt hat, für die Erfüllung der damit bezweckten Leistung erforderlich, spricht dies nach dem Wortlaut des Art 7 Abs. 4 DSGVO nicht gegen die Freiwilligkeit.

Im Schrifttum (Atzmüller, Elektronische Datenübermittlung betreffend Sonderausgaben, SWK 34/2016, 1433ff) und Zirngast (Zirngast, Die Sonderausgaben-Datenübermittlungsverordnung, SWK 15/2017, 722) wird nun zum Teil die Auffassung vertreten, dass der Umstand, dass die Nichtbekanntgabe der erforderlichen Daten zwingend die Nichtberücksichtigung der getätigten Spenden als Sonderausgaben nach sich zieht, der Annahme der "Freiwilligkeit" der Einwilligung deshalb nicht entgegensteht, weil der Steuerpflichtige dadurch nicht am Spenden gehindert wird.

Aus der Sicht des BFG ist die "Freiwilligkeit" der Einwilligung deshalb zu bejahen, weil die betreffenden personenbezogenen Daten für die Veranlagung der Einkommensteuer notwendig sind. Denn ohne Kenntnis von der Höhe der Spende, des Vorliegens eines begünstigten Spendenempfängers und der Möglichkeit der richtigen Zuordnung zu einem Abgabenpflichtigen (wird durch Angabe des Namens, der Adresse und des Geburtsdatums des Spenders gewährleistet) ist eine rechtsrichtige Besteuerung des Einkommens nicht möglich.

Eine Verarbeitung personenbezogener Daten ist gemäß Art 9 Abs. 2 lit. g DSGVO überdies auch ohne Einwilligung zulässig, wenn die Datenverarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedsstaats, das in angemessenen Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist. Für solche Verarbeitungen bedarf es daher einer Rechtsgrundlage, die zwingend bestimmte inhaltliche Anforderungen erfüllen muss.

§ 48d Abs. 1 BAO benennt explizit die "Abgabenerhebung" (darunter sind gemäß § 49 Abs. 2 BAO alle der Durchführung der Abgabenvorschriften dienenden abgabenbehördlichen Maßnahmen zu verstehen) zur Sicherung der Einnahmen des Staates als das der Verarbeitung personenbezogener Daten zugrundeliegende öffentliche Interesse und ist damit - insbesondere neben § 114 BAO, § 18 Abs. 8 EStG 1988, der Sonderausgaben-Datenübermittlungsverordnung sowie des E-Government-Gesetzes (E-GovG) - maßgebliche Rechtsgrundlage im Sinne des Art 6 Abs. 3 DSGVO. Für die Verarbeitung besonderer Kategorien personenbezogener Daten iSd Art 9 Abs. 1 DSGVO ist insbesondere § 48d Abs. 2 BAO die maßgebliche Rechtsgrundlage. Danach erfordert die Verarbeitung solcher Daten zusätzlich zu den in Abs. 1 geregelten Voraussetzungen ein erhebliches öffentliches Interesse iSd Art 9 Abs. 2 lit. g DSGVO.

Die Abgabenerhebung ist aus der Sicht des BFG deshalb als "erhebliches" öffentliches Interesse zu werten, weil Steuern, Gebühren und sonstige Abgaben die Haupteinnahmequelle eines Staates darstellen, der diese benötigt, um seine ihm obliegenden Aufgaben finanzieren zu können.

Die auf § 18 Abs. 8 EStG 1988 basierende Datenverarbeitung ist für den Zweck der Einkommensteuererhebung nach Auffassung des BFG überdies aus den folgenden Gründen erforderlich:

Wie obig bereits dargelegt wurde, wurde die Möglichkeit der steuerlichen Absetzbarkeit von Spenden seit dem Jahr 2008 erheblich ausgeweitet. Laut Lachmayer/Atzmüller (Lachmayer/Atzmüller, Verfassungsrechtliche Aspekte der Verpflichtung zur Sonderausgaben-Datenübermittlung, ÖStZ 2018, 179, unter Verweis auf den Spendenbericht 2017, Fundraising Verband Austria) führte dieser Umstand dazu, dass bis 2017 ca. 1 Million Menschen die steuerliche Berücksichtigung von Spenden in einer Größenordnung von insgesamt 227.000.000,00 Euro in der Steuererklärung beantragten. Die Abgabenbehörde hätte somit - um ihrer in § 161 Abs. 1 BAO verankerten Verpflichtung nachzukommen - in ca. 1 Million Einkommensteuerveranlagungsverfahren prüfen müssen, ob die geltend gemachten Beträge zu Recht zu berücksichtigen sind. Dieser gesetzlichen Verpflichtung konnte die Finanzverwaltung bisher daher nur stichprobenweise und risikogewichtet nachkommen. Sofern aber in der überwiegenden Mehrheit der Fälle die Eintragung in der Steuererklärung ungeprüft in den Bescheid übernommen wird, ist davon auszugehen, dass Spenden berücksichtigt werden, die dem Grunde nach nicht absetzbar sind, weil sie an eine Organisation geleistet werden, die nicht begünstigt ist, oder es werden Beträge in unrichtiger Höhe oder im falschen Veranlagungsjahr berücksichtigt. Nach der allgemeinen Lebenserfahrung kann der Umstand, dass eine unrichtige Eintragung in der Steuererklärung in einer Vielzahl von Fällen keine Konsequenzen nach sich zieht, bewirken, unrichtige Besteuerungsgrundlagen anzugeben. Ohne Verpflichtung der Zuwendungsempfänger zur elektronischen Datenübermittlung an die Abgabenbehörden müssten somit - angesichts eines Spendenvolumens von beinahe 230 Mill. Euro - Steuerausfälle in nicht vernachlässigbaren Ausmaß in Kauf genommen werden (siehe dazu Lachmayer/Atzmüller, Verfassungsrechtliche Aspekte der Verpflichtung zur Sonderausgaben-Datenübermittlung, ÖStZ 2018, 179).

Die Notwendigkeit der auf § 18 Abs. 8 EStG 1988 basierenden Datenverarbeitung für den Zweck der Einkommensteuererhebung ergibt sich somit daraus, dass bei korrekter Übermittlung der von den Zuwendungsempfängern erhobenen Daten die richtige steuerliche Berücksichtigung von Spenden sicherstellt wird. Dadurch sind auch Prüfungsmaßnahmen der Finanzverwaltung, wenn überhaupt, nur mehr in zu vernachlässigendem Ausmaß erforderlich, wodurch wiederum Personalressourcen und damit Steuergelder eingespart werden können (wie bei Lachmayer/Atzmüller, Verfassungsrechtliche Aspekte der Verpflichtung zur Sonderausgaben-Datenübermittlung, ÖStZ 2018, 179, dargelegt wurde, war das System der verpflichtenden automatischen Datenübermittlung nicht nur eine Forderung der Steuerreformkommission, die diese angesichts der Ausweitung der Spendenbegünstigung gestellt hat - das bisherige Verfahren war gekennzeichnet durch eine mangelnde Überprüfungsmöglichkeit des rechtmäßigen Spendenabzugs sowie einen im Vergleich zum Steueraufkommen übermäßigen Verwaltungsaufwand - sondern wurde auch vom Rechnungshof eingefordert).

Die auf § 18 Abs. 8 EStG 1988 basierende Datenverarbeitung sichert aber auch aus weiteren Gründen neben einem effizienten Steuervollzug die Gleichmäßigkeit der Besteuerung. So wurde mit dem StRefG 2015/2016 die von Amts wegen durchzuführende antragslose Veranlagung eingeführt. Diese kommt gemäß § 41 Abs. 2 Z 2 EStG 1988 zur Anwendung, wenn der Spender lohnsteuerpflichtige Einkünfte hat, aber mangels Vorliegens der Voraussetzungen des § 41 Abs. 1 EStG 1988 keine Abgabenerklärung einzureichen hat und er überdies auch keinen Antrag iSd § 41 Abs. 2 Z 1 EStG 1988 gestellt hat. Bei einer solchen Fallkonstellation ist die sich aus der Berücksichtigung der vom Spendenempfänger gemeldeten Spende ergebende Steuergutschrift dem Steuerpflichtigen durch das Finanzamt automatisch zu überweisen.

Während die Eintragung einer Spendensumme in die jeweilige Steuererklärung nicht gewährleistete, dass tatsächlich eine steuerliche Absetzbarkeit dem Grunde nach bzw. im erklärten Ausmaß bestand, verhindert das System der verpflichtenden automatischen Datenübermittlung Manipulationen und stellt dadurch, wie erwähnt, - zumindest im Falle einer korrekten Übermittlung der erhobenen Daten - von vorneherein die richtige steuerliche Berücksichtigung von Spenden sicher. Die auf § 18 Abs. 8 EStG 1988 basierenden Datenverarbeitung ermöglicht also in Bezug auf Spenden eine fehlerfreie Einkommensteuerveranlagung. Die Datenverarbeitung erfolgt daher nicht lediglich im Hinblick auf eine mögliche zukünftige Prüfung der Rechtmäßigkeit der Geltendmachung solcher Zuwendungen als Sonderausgaben, sondern dient der Feststellung der Bemessungsgrundlage für die Einkommensteuer im Einzelfall und ist somit nicht anlasslos (also ohne aktuellen Verwendungsbedarf).

Die auf § 18 Abs. 8 EStG 1988 basierende Datenverarbeitung stellt zudem aus der Sicht des BFG einen verhältnismäßigen und minimalinvasiven Eingriff in das Grundrecht auf Datenschutz dar. Abgesehen davon, dass eine Datenerhebung gegen den Willen des Spenders gar nicht erfolgen kann, ist die Möglichkeit einer Einsicht in die erhobenen Daten ausschließlich auf Organe der Finanzverwaltung beschränkt (andere Personen, Behörden oder Einrichtungen haben weder eine Entschlüsselungs- noch eine Zugriffsmöglichkeit) und auch hier nur im Ausnahmefall vorgesehen. Die Richtigkeit der geltend gemachten Spendenbeträge ist somit im Regelfall nicht mehr von letztlich unzureichenden Stichprobenprüfungen abhängig, sodass durch die gegenständliche Datenverarbeitung die Gleichmäßigkeit der Besteuerung und damit der Schutz wichtiger finanzieller Interessen des Staates ressourcenschonend und kostensparend sichergestellt werden kann. Ohne die auf § 18 Abs. 8 EStG 1988 basierende Datenverarbeitung könnte - wie aufgezeigt wurde - dieser Zweck nicht erreicht werden. Die gegenständliche Datenverarbeitung überschreitet somit nicht das zur Zielerreichung erforderliche Ausmaß und stellt auch das gelindeste Mittel zur Erreichung eines effizienten und gleichmäßigen Steuervollzugs dar, weshalb sie den Erfordernissen des Art 9 Abs. 2 lit. g DSGVO entspricht.

Das BFG kommt daher aufgrund obiger Ausführungen zum Ergebnis, dass die in § 18 Abs. 8 EStG 1988 vorgesehene Datenerfassung und -übermittlung nicht gegen die Bestimmungen der DSGVO verstößt.

Hinsichtlich der Anregung zur Stellung eines Antrages auf Vorabentscheidung gemäß Art. 267 AEUV ist festzuhalten, dass für das BFG weder bezüglich Art 9 Abs. 2 lit. g DSGVO noch hinsichtlich sonstiger, im Beschwerdefall anzuwendender Normen der DSGVO ein Auslegungsbedarf erkennbar ist.

1. Verfassungswidrigkeit der Bestimmung des § 18 Abs. 8 EStG 1988

Nach Auffassung des BFG ist § 18 Abs. 8 EStG 1988 schon deshalb verfassungsrechtlich unbedenklich, weil die Datenverarbeitung nur mit Zustimmung des Spenders erfolgen kann. Hinsichtlich dem Erfordernis der Ausdrücklichkeit der Zustimmungserklärung sowie dem Erfordernis der Freiwilligkeit wird auf die Ausführungen unter Pkt. ab verwiesen.

Die auf § 18 Abs. 8 EStG 1988 basierende Datenverarbeitung ist überdies, soweit sie Spenden betrifft, für den als wichtiges öffentliches Interesse (entspricht inhaltlich dem Begriff erhebliches öffentliches Interesse in Art 9 Abs. 2 lit. g DSGVO) einzustufenden Zweck einer rechtskonformen Einkommensteuererhebung (§ 48d Abs. 1 BAO) und damit für die Gleichmäßigkeit der Besteuerung und das wirtschaftliche Wohl des Staates notwendig, weil dadurch eine korrekte steuerliche Berücksichtigung von Spenden sichergestellt wird. Demgegenüber besteht bei Zulässigkeit der Eintragung einer Spendensumme in die jeweilige Steuererklärung Raum für Manipulationsmöglichkeiten, denen mangels ausreichender Überprüfungsmöglichkeiten nicht entgegengetreten werden kann. Wie unter Pkt. ab dargestellt wurden, erachtet das BFG den durch die gegenständliche Datenverarbeitung bedingten Eingriff in das Grundrecht auf Datenschutz (§ 1 DSG) auch als verhältnismäßig und minimalinvasiv.

Eine Verfassungswidrigkeit von § 18 Abs. 8 EStG 1988 ist für das Finanzgericht in Bezug auf die Verarbeitung von in Zusammenhang mit Spenden stehenden Daten aus obigen Gründen daher nicht erkennbar.

Zu Spruchpunkt II. (Revision)

Gegen ein Erkenntnis des Bundesfinanzgerichtes ist die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.

Zur Frage, ob § 18 Abs. 8 EStG 1988 wegen Verstoßes gegen die Bestimmungen der DSGVO nicht anzuwenden ist, besteht keine Rechtsprechung des Verwaltungsgerichtshofes. Eine Revision ist daher zulässig.

Gesamthaft war somit spruchgemäß zu entscheiden.

Feldkirch, am 22. Juni 2020

Zusatzinformationen

Datenquelle: Findok — https://findok.bmf.gv.at