1. NV: Gegen die Ablehnung der Akteneinsicht in die Steuerakten der Finanzbehörde muss der Steuerpflichtige erfolglos ein Vorverfahren durchführen, anderenfalls ist seine Klage unzulässig.

2. NV: Der Ausschluss des Vorverfahrens nach § 32i Abs. 9 Satz 1 der Abgabenordnung greift nur, soweit der Steuerpflichtige seinen Akteneinsichtsanspruch aus Art. 15 der Datenschutz-Grundverordnung ableitet.

Auf die Revision des Klägers wird das Urteil des Finanzgerichts München vom 04.11.2021 - 15 K 118/20 aufgehoben.

Die Sache wird an das Finanzgericht München zur anderweitigen Verhandlung und Entscheidung zurückverwiesen.

Diesem wird die Entscheidung über die Kosten des Verfahrens übertragen.

I.

Streitig ist, inwiefern aus Art. 15 der Datenschutz-Grundverordnung (DSGVO) ein Anspruch auf Zurverfügungstellung der zum Zweck der Besteuerung verarbeiteten Daten besteht, ob dieser bereits erfüllt wurde und ob ein Anspruch auf Akteneinsicht besteht.

Der Kläger und Revisionskläger (Kläger) beantragte mit Schreiben vom 28.10.2019 "Akteneinsicht" gemäß Art. 15 Abs. 1 Halbsatz 2, Abs. 2 DSGVO und die "Zurverfügungstellung der Informationen als Kopie" gemäß Art. 15 Abs. 3 DSGVO sowie möglicherweise vorhandener Hand- und Nebenakten. Weiter verlangte er Auskunft, "wie und durch welche Dienststelle" Akten beziehungsweise Daten verarbeitet worden seien, an wen Informationen weitergegeben wurden und welcher Art diese waren. Daneben benötige er eine Historie der Bescheide ab 2009.

Mit Schreiben vom 05.11.2019 übersandte der Beklagte und Revisionsbeklagte (Finanzamt --FA--) Zweitschriften der Einkommensteuerbescheide ab 2009 sowie der Bescheide zur gesonderten Verlustfeststellung zur Einkommensteuer. Im Übrigen verwies das FA den Kläger an das für den Betrieb des Klägers zuständige Finanzamt X. Zur Akteneinsicht oder zum Auskunftsrecht verhält sich das Schreiben nicht.

Mit Schreiben vom 17.12.2019 gewährte das FA schließlich die beantragte Auskunft insoweit, als es eine Grunddatenübersicht sowie eine eDaten-Übersicht 2018 übersandte. Es verwies auf die Möglichkeit des Belegabrufs über das Elster-Portal. Im Übrigen wies das FA den Antrag ab. Art. 15 DSGVO biete keine Rechtsgrundlage für ein Akteneinsichtsrecht und vermittle auch keinen Anspruch auf Herausgabe bereits gewechselten Schriftverkehrs sowie interner Vermerke und Stellungnahmen, rechtlicher Stellungnahmen oder Analysen. Dem Schreiben war als Anlage die "Allgemeinen Informationen zur Umsetzung der datenschutzrechtlichen Vorgaben" beigefügt.

Der Kläger erhob gegen das Schreiben vom 17.12.2019 Klage beim Finanzgericht (FG). Er beantragte Auskunft über die verarbeiteten personenbezogenen Daten sowie Akteneinsicht in die jeweils zusammenhängenden Akten und Schriftstücke mit Bezug zu persönlichen Informationen, Notizen, Akteneinträge und Kommunikation mit Bezug zu den personenbezogenen Daten. Im Rahmen der mündlichen Verhandlung überließ das FA dem Kläger Konvolute mit Ausdrucken aus seinen Datenbanken. Auf Nachfrage des FG, welche weiteren Auskünfte der Kläger konkret noch aus den Datenbanken benötige, benannte er eine Übersicht über die historischen Veränderungen von Bescheid zu Bescheid und Informationen über das Zustandekommen von Schätzungen.

Das FG wies die Klage mit Urteil vom 04.11.2021 - 15 K 118/20 ab. Das Urteil ist in Entscheidungen der Finanzgerichte 2022, 299 abgedruckt.

Mit seiner Revision rügt der Kläger die Verletzung von Bundesrecht.

Fraglich sei,

1. ob das FG die Steuerakte, welche nach diversen Kriterien sortiert sei, als unsortierte Aktensammlung definieren könne, um sie nicht dem Schutzbereich des Art. 15 DSGVO unterfallen zu lassen;

2. ob das FG die Beschränkungen der §§ 32c ff. der Abgabenordnung (AO) im Wesentlichen absolut und ohne notwendige Prüfung der tatsächlichen Verhältnisse annehmen könne;

3. ob die Beschränkungen der §§ 32a, 32b, 32c AO dem übergeordneten Regelungszweck der europäischen [Verordnung] hinsichtlich der Beschränkung der Auskunftsrechte zuwiderliefen und die Beschränkungen unzulässig im Sinne des europäischen Rechts seien und

4. ob die Rechtsfrage dem Gerichtshof der Europäischen Union (EuGH) vorzulegen sei, inwiefern die Beschränkungen der §§ 32a, 32b, 32c AO dem Regelungszweck der Datenschutz-Grundverordnung und dem europäischen Recht zuwiderliefen.

Der Kläger beantragt sinngemäß,

das Urteil des FG vom 04.11.2021 - 15 K 118/20 aufzuheben und unter Abänderung des Bescheids vom 17.12.2019 das FA zur Auskunft über die verarbeiteten, den Kläger betreffenden personenbezogenen Daten zu verpflichten sowie es darüber hinaus zur Gewährung von Einsicht in die Akten und Schriftstücke mit Bezug zu persönlichen Informationen, Notizen, Akteneinträgen und Kommunikation mit Bezug zu den personenbezogenen Daten zu verpflichten.

Das FA beantragt,

die Revision als unbegründet zurückzuweisen.

II.

Die Revision ist begründet und führt gemäß § 126 Abs. 3 Satz 1 Nr. 2 der Finanzgerichtsordnung (FGO) zur Aufhebung des finanzgerichtlichen Urteils und zur Zurückverweisung der Sache zur anderweitigen Verhandlung und Entscheidung.

Das FG hat Art. 15 Abs. 1 DSGVO und Art. 15 Abs. 3 DSGVO rechtsfehlerhaft angewendet. Aufgrund der vorgenannten Rechtsfehler ist das Urteil aufzuheben. Die Sache ist nicht spruchreif, da das FG nicht sämtliche für eine abschließende Prüfung erforderlichen Feststellungen getroffen hat.

1. Das FG hat Art. 15 Abs. 1 DSGVO rechtsfehlerhaft angewendet. Dem Kläger steht dem Grunde nach ein Auskunftsanspruch zu.

a) Die Verarbeitung personenbezogener Daten natürlicher Personen (als betroffene Person im Sinne von Art. 4 Nr. 1 DSGVO) durch das FA (als Verantwortlicher im Sinne von Art. 4 Nr. 7 Halbsatz 1 DSGVO) im Rahmen eines Besteuerungsverfahrens unterliegt unabhängig von der Steuerart den Vorgaben der Datenschutz-Grundverordnung.

aa) Als Verordnung der Europäischen Union ist die Datenschutz-Grundverordnung nach Art. 288 Abs. 2 des Vertrags über die Arbeitsweise der Europäischen Union in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Der Anwendungsbereich der Datenschutz-Grundverordnung beschränkt sich nicht auf den Bereich der harmonisierten Steuern (Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 21 ff.).

bb) Der Begriff der personenbezogenen Daten bezeichnet gemäß Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

In der Verwendung der Formulierung "alle Informationen" bei der Bestimmung des Begriffs "personenbezogene Daten" in dieser Vorschrift kommt das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen, die potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen "über" die in Rede stehende Person handelt (EuGH-Urteile IAB Europe vom 07.03.2024 - C-604/22, EU:C:2024:214, Rz 36; Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 23, m.w.N.). Es handelt sich um eine Information über eine identifizierte oder identifizierbare natürliche Person, wenn sie aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer identifizierbaren Person verknüpft ist (EuGH-Urteil IAB Europe vom 07.03.2024 - C-604/22, EU:C:2024:214, Rz 37), wobei die Person direkt oder auch indirekt identifizierbar sein kann. Weiter weist der EuGH darauf hin, dass die Verwendung des Begriffs "indirekt" durch den Unionsgesetzgeber darauf hindeutet, dass es für die Einstufung einer Information als personenbezogenes Datum nicht erforderlich ist, dass die Information für sich genommen die Identifizierung der betreffenden Person ermöglicht (EuGH-Urteil OC/Kommission vom 07.03.2024 - C-479/22 P, EU:C:2024:215, Rz 47 ff., m.w.N.).

Daraus ergibt sich, dass es für die Qualifikation als personenbezogene Daten --anders als das FG meint-- weder eines "Hebens" in Form eines Interpretationsakts noch der Absicht des Verantwortlichen, eine personenbezogenen Angabe unter einer spezifischen, personenbezogenen (Feld-)Bezeichnung zu speichern, bedarf. Eine solche Einschränkung steht nicht im Einklang mit den Vorgaben der Datenschutz-Grundverordnung, die von einem weiten Begriffsverständnis ausgeht (vgl. Urteile des Bundesgerichtshofs --BGH-- vom 27.09.2023 - IV ZR 177/22, Rz 47 und vom 06.02.2024 - VI ZR 15/23, Rz 7).

cc) Sachlich gilt die Datenschutz-Grundverordnung nach Art. 2 Abs. 1 DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Auf eine Differenzierung nach der Art der Aktenführung (Papier, elektronisch, hybrid), der Art der Dokumente (interne Vermerke, Gutachten, interne E-Mails, Gesprächsnotizen und Bearbeitungsvermerke et cetera) oder der Form der Bearbeitung durch den zuständigen Sachbearbeiter (anhand von Ausdrucken oder digital) kommt es nicht an (vgl. Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 17 ff.).

Was den Begriff des "Dateisystem(s)" betrifft, bestimmt Art. 4 Nr. 6 DSGVO, dass er "jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird", erfasst. Entsprechend diesem Ziel wird der Begriff "Datei" in dieser Bestimmung weit definiert, insbesondere dadurch, dass "jede" strukturierte Sammlung personenbezogener Daten einbezogen wird. Darüber hinaus ist mit dem Erfordernis, dass die Sammlung personenbezogener Daten "nach bestimmten Kriterien strukturiert" sein muss, nur gemeint, dass die Daten über eine bestimmte Person leicht wiederauffindbar sind. Abgesehen von diesem Erfordernis regelt Art. 4 Nr. 6 DSGVO weder die Modalitäten, nach denen eine Datei strukturiert werden muss, noch die Form, die sie aufweisen muss. Insbesondere geht weder aus dieser noch aus irgendeiner anderen Bestimmung dieser Verordnung hervor, dass die in Rede stehenden personenbezogenen Daten in spezifischen Sammlungen, Verzeichnissen oder einem anderen Recherchesystem enthalten sein müssen, damit das Vorliegen eines Dateisystems im Sinne dieser Verordnung bejaht werden kann (vgl. EuGH-Urteile Jehovan todistajat vom 10.07.2018 - C-25/17, EU:C:2018:551, Rz 56 ff. und Endemol Shine Finland vom 07.03.2024 - C-740/22, EU:C:2024:216, Rz 36 f.).

dd) Nach Art. 15 Abs. 1 Halbsatz 1 DSGVO hat die betroffene Person (hier der Kläger) das Recht, von dem Verantwortlichen (hier das FA) eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, bestimmt Halbsatz 2 der Vorschrift, dass die Person das Recht auf Auskunft über diese personenbezogenen Daten und auf die in Buchst. a bis h genannten Informationen hat.

b) Gemessen hieran hat das FG zum Auskunftsanspruch dem Grunde nach rechtsfehlerhaft entschieden.

aa) Auch die in den Papierakten enthaltenen personenbezogenen Daten sind dem Grunde nach von dem Auskunftsanspruch umfasst. Der Senat kann dahinstehen lassen, ob die bei dem FA geführten Papierakten teilweise automatisiert sind, weil sie zum Beispiel über die elektronische Datenverarbeitung auffindbar sind (vgl. Urteil des Bundesverwaltungsgerichts vom 30.11.2022 - 6 C 10.21, BVerwGE 177, 211, Rz 20). Hierzu hat das FG keine Feststellungen getroffen. Jedenfalls aber sind die personenbezogenen Daten vorliegend in einem Dateisystem im Sinne von Art. 2 Abs. 1, Art. 4 Nr. 6 DSGVO gespeichert, weil die Papierakten über Namen/Steuernummer, Steuerart et cetera und regelmäßig chronologisch geordnet sind.

bb) Zutreffend hat das FG zwar ausgeführt, dass der Kläger auf der Grundlage von Art. 15 DSGVO keine Übersicht über die historischen Veränderungen "von Bescheid zu Bescheid" erhalten kann. Dabei handelt es sich nicht um ein personenbezogenes Datum, sondern das FA müsste eine solche Übersicht selbst erst erstellen. Das wäre allerdings --bei Bedarf-- Aufgabe des Steuerpflichtigen. Soweit der Kläger wissen möchte, "wie Schätzungen zustande gekommen sind", kann er sich ebenfalls nicht auf Art. 15 DSGVO stützen. Sein Auskunftsrecht erfasst allenfalls die den Schätzungen zugrundeliegenden Daten, soweit es sich dabei um seine Person betreffende personenbezogene Daten handelt.

cc) Die Auskunft vom 17.12.2019 enthält allerdings nicht sämtliche nach Art. 15 Abs. 1 Buchst. a bis h DSGVO erforderlichen Daten. Der Verweis des FA und des FG auf die "Allgemeine Informationen zur Umsetzung der datenschutzrechtlichen Vorgaben der Artikel 12 bis 14 der Datenschutz-Grundverordnung in der Steuerverwaltung" trägt nicht. Insoweit verweist das FG auf die Fassung vom 20.10.2020, welche dem Kläger --nach Klageeinreichung-- übergeben worden sein soll; dem Bescheid vom 17.12.2019 war die damals gültige Fassung des Informationsschreibens als Anlage beigefügt. In dem genannten Schreiben sind allerdings nur allgemeine Angaben enthalten, die nicht auf den Kläger bezogen sind und in keinem Zusammenhang mit seinem Auskunftsbegehren stehen. Zum Beispiel wird dort unter 6. ausgeführt, unter welchen Voraussetzungen Daten an Dritte weitergegeben werden dürfen. Nach Art. 15 Abs. 1 Buchst. c DSGVO muss jedoch angegeben werden, wem gegenüber Daten offengelegt wurden oder noch offengelegt werden (Empfänger oder Empfängerkategorien). Schließlich kann der Senat mangels Feststellungen die Annahme des FG nicht nachvollziehen, Informationen über die Datenherkunft würden nicht systematisch vermerkt.

2. Auch die Ausführungen des FG zum Umfang des Auskunftsanspruchs sind nicht frei von Rechtsfehlern.

a) Rechtsfehlerhaft geht das FG davon aus, Art. 13 Abs. 4 DSGVO schränke die Auskunftspflicht ein, soweit die Informationen dem Betroffenen bereits bekannt seien. Art. 13 Abs. 4 DSGVO gilt nicht für den Auskunftsanspruch nach Art. 15 DSGVO, denn die Norm bezieht sich eindeutig auf die Abs. 1, 2 und 3 des Art. 13 DSGVO. Selbst wenn die betreffenden Daten dem Kläger bekannt wären, würde das nach der Rechtsprechung des BGH den Auskunftsanspruch nicht ausschließen (vgl. BGH-Urteile vom 15.06.2021 - VI ZR 576/19, Rz 25 und vom 16.04.2024 - VI ZR 223/21, Rz 13).

b) Auch die Prüfung des § 32c Abs. 3 AO durch das FG erfolgt rechtsfehlerhaft. § 32c Abs. 3 AO regelt, dass wenn die personenbezogenen Daten weder automatisiert noch in nicht automatisierten Dateisystemen gespeichert sind, nur Auskunft erteilt wird, soweit die betroffene Person Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht. Diese Norm ist im Streitfall nicht einschlägig, weil sie außerhalb des sachlichen Anwendungsbereichs der Datenschutz-Grundverordnung liegt (Tormöhlen in Hübschmann/Hepp/Spitaler, § 32c AO Rz 27; Schober in Gosch, AO § 32c Rz 18; Drüen in Tipke/Kruse, § 32c AO Rz 21; BTDrucks 18/12611, S. 88).

Wenn zudem das FG eine "anlassfreie datenschutzrechtliche Auskunft" zulasten des Klägers in die Abwägung nach § 32c Abs. 3 AO einbezieht, widerspricht das im Kern der Rechtsprechung des EuGH. Denn der Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten setzt keine Begründung voraus und besteht auch dann, wenn der Antrag mit einem anderen als den in Erwägungsgrund 63 DSGVO genannten Zwecken begründet wird (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 50 und Rz 52; Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 27).

c) Das FG führt unter den Urteilsgründen Beschränkungen des Auskunftsanspruchs in den §§ 32a AO ff. auf. Darauf beziehen sich seine anschließenden Ausführungen, ohne jedoch im Einzelnen auf die Rechtsgrundlagen (§§ 32a AO ff., Art. 15 Abs. 4 DSGVO) Bezug zu nehmen. Das FG behauptet pauschal, die Einzelangaben in der Steuerakte oder den Steuerdatenbanken unterfielen "mit Ausnahme weniger trivialer Angaben" den gesetzlichen Beschränkungen.

aa) Dabei nimmt das FG an keiner Stelle Bezug auf konkrete Aussagen des FA, so dass die maßgeblichen Feststellungen fehlen. Die Darlegungslast für das Vorliegen der Ausschlussgründe trägt jedoch der Verantwortliche (vgl. Kühling/Buchner/Bäcker, 4. Aufl., DS-GVO Art. 15 Rz 42a; Landesarbeitsgericht Baden-Württemberg, Urteil vom 20.12.2018 - 17 Sa 11/18, Rz 208 f.). Im Rahmen des Art. 15 Abs. 4 DSGVO bedürfte es der Nennung eines konkreten Sachverhaltes, anhand dessen geprüft werden könnte, ob durch die Auskunftserteilung tatsächlich die Rechte und Freiheiten anderer Personen beschränkt werden würde. Nur der Verantwortliche ist kraft Sachnähe in der Lage vorzutragen, welche konkreten personenbezogen Daten nicht herausgegeben werden können, ohne dass schützenswerte Interessen Dritter tangiert werden. Nur dann ist den Gerichten die notwendige Einzelfallabwägung überhaupt möglich.

bb) Das FG hat auf abgeschlossene Besteuerungszeiträume verwiesen und rechtsfehlerhaft den Auskunftsanspruch nach § 32c Abs. 1 Nr. 3 Buchst. a AO insoweit verneint. Ungeachtet dessen, dass das FG die weiteren in der Norm genannten Tatbestandsvoraussetzungen gar nicht geprüft hat, fehlt es an einer gesetzlichen Aufbewahrungspflicht für Steuerakten (vgl. Senatsurteil vom 07.05.2024 - IX R 21/22, zur amtlichen Veröffentlichung bestimmt, Rz 33), so dass der Ausschlussgrund nicht greifen kann.

cc) In der angefochtenen Entscheidung wird nicht hinreichend deutlich, auf der Grundlage welcher Norm das FG seine Interessenabwägung durchführt.

Soweit das FG in diese Abwägung zulasten des Klägers einen "erheblichen manuellen Personalaufwand" der Finanzbehörde einstellt, muss der Senat nicht entscheiden, inwiefern ein solcher Einwand dem Grunde nach überhaupt durchgreifen kann. Denn es fehlt bereits an entsprechenden Feststellungen des FG, dass die Auskunftserteilung mit einem unverhältnismäßigen Aufwand verbunden ist. Auch der Umstand, dass der Betroffene seine eigenen Schriftsätze kennt, darf nicht einschränkend zu seinen Lasten berücksichtigt werden. Denn auch Schreiben des Betroffenen an den Verantwortlichen sind ihrem gesamten Inhalt nach als personenbezogene Daten einzustufen und unterliegen dem Auskunftsanspruch (vgl. BGH-Urteile vom 06.02.2024 - VI ZR 15/23, Rz 8; vom 27.09.2023 - IV ZR 177/22, Rz 48). Rechtsfehlerhaft verweist das FG innerhalb seiner Abwägungsüberlegungen auf den Umstand, dem Kläger stünden andere Rechtsschutzmöglichkeiten, zum Beispiel im laufenden Steuerverfahren oder die Mitteilung der Besteuerungsgrundlagen nach § 364 AO, zur Verfügung. In diesem Zusammenhang kann auch nicht von einem "Hauptsacheverfahren" gesprochen werden. Der datenschutzrechtliche Auskunftsanspruch hat keinen Bezug zum Besteuerungsverfahren. Deshalb kommt es auch nicht darauf an, ob die personenbezogenen Daten für die Besteuerung relevant sind oder werden können.

dd) Soweit das FG auf "gegenläufige Datengeheimnis-Rechte der Bearbeiter" abstellt, ist nicht nachvollziehbar, auf welcher Rechtsgrundlage diese Beschränkung des Auskunftsanspruchs vorgenommen wird. Selbst wenn man das informelle Selbstbestimmungsrecht der Bearbeiter berücksichtigt, kann dem zum Beispiel durch Schwärzung der Namen ausreichend Genüge getan werden.

3. Das FG hat darüber hinaus Art. 15 Abs. 3 DSGVO rechtsfehlerhaft angewendet.

a) Art. 15 Abs. 3 Satz 1 DSGVO gewährt keinen gegenüber Art. 15 Abs. 1 DSGVO eigenständigen Anspruch gegen den Verantwortlichen auf Zurverfügungstellung von Dokumenten mit personenbezogenen Daten. Nach Art. 15 Abs. 3 Satz 1 DSGVO stellt der Verantwortliche der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Durch die Rechtsprechung des EuGH ist geklärt, dass Art. 15 DSGVO nicht dahin auszulegen ist, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt. Im Übrigen bezieht sich der Begriff "Kopie" nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind (EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 72 und Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 32). Der Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten setzt keine Begründung voraus, weshalb es auch nicht entgegensteht, wenn er mit anderen als den in Erwägungsgrund 63 Satz 1 DSGVO genannten Zwecken begründet wird (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 50 und Rz 52).

Nur wenn die Zurverfügungstellung einer Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind, besteht nach Art. 15 Abs. 3 Satz 1 DSGVO ein Anspruch darauf, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zu erhalten (vgl. EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 75 und Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 41 und Rz 45).

Hierfür besteht jedoch keine generelle Vermutung. Vielmehr obliegt es der betroffenen Person, darzulegen, dass die Kopie der personenbezogenen Daten sowie die Mitteilung der Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO für die Wahrnehmung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte nicht genügt. Begehrt die betroffene Person die Zurverfügungstellung von Kopien von Dokumenten mit ihren personenbezogenen Daten, muss sie darlegen, welche ihr durch die Datenschutz-Grundverordnung verliehenen Rechte sie auszuüben gedenkt und aus welchen Gründen die Zurverfügungstellung von Kopien von Akten mit personenbezogenen Daten hierfür unerlässlich ist. Andernfalls liefe das durch den EuGH aufgestellte Regel-Ausnahme-Prinzip ins Leere. Denn nach der Rechtsprechung des EuGH ist der Anspruch nach Art. 15 Abs. 1 und Abs. 3 DSGVO grundsätzlich auf die Zurverfügungstellung einer Kopie der verarbeiteten personenbezogenen Daten der betroffenen Person gerichtet (EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 72 und Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 32). Wenn dies für die Wahrnehmung der Rechte aus der Datenschutz-Grundverordnung nicht genügt, kann ausnahmsweise ein Anspruch auf eine (auszugsweise) Kopie der Quelle, in der die personenbezogenen Daten verarbeitet sind, bestehen (vgl. EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 75 und Österreichische Datenschutzbehörde vom 04.05.2023 - C-487/21, EU:C:2023:369, Rz 41 und Rz 45). Einer entsprechenden Vermutung der Unerlässlichkeit bedarf es im Übrigen auch nicht, um einen effektiven Datenschutz zu gewährleisten. Regelmäßig genügt es für die Wahrnehmung der durch die Datenschutz-Grundverordnung verliehenen Rechte, wenn die betroffene Person Kenntnis von den über sie verarbeiteten personenbezogenen Daten erlangt und ihr die Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO mitgeteilt werden. Insbesondere durch die Mitteilung, welche personenbezogenen Daten verarbeitet werden und zu welchem Zweck diese Verarbeitung erfolgt, ist die betroffene Person bereits regelmäßig in der Lage, die Richtigkeit der personenbezogenen Daten und die Rechtmäßigkeit deren Verarbeitung zu überprüfen (vgl. zum Ganzen Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 27 f.).

b) Diesen Maßstäben wird die angefochtene Entscheidung nicht gerecht. Soweit das FG --im Hinblick auf die Ausführungen des FA im Schreiben vom 17.12.2019-- ausgeführt hat, es genüge, wenn sich der Betroffene aufgrund eines eingeräumten Online-Zugriffs (Elster-Portal) selbst eine Kopie erstellen könne, berücksichtigt dies, dass die Form der Auskunftserteilung grundsätzlich nach § 32d Abs. 1 AO im pflichtgemäßen Ermessen des FA steht. Zwar hat nach Art. 15 Abs. 3 DSGVO der Verantwortliche eine (elektronische) Kopie der personenbezogenen Daten und unter gewissen Umständen auch der Quellen, in denen solche Daten verarbeitet wurden, zur Verfügung zu stellen (Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 37). Nach dem Erwägungsgrund 63 Satz 4 DSGVO (hierzu auch Kühling/Buchner/Bäcker, 4. Aufl., DS-GVO Art. 15 Rz 44d) sollte jedoch der Verantwortliche nach Möglichkeit den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Ob das Elster-Portal diesen Anforderungen entspricht, vermag der Senat mangels ausreichender Feststellungen des FG nicht zu beurteilen.

c) Was die Übersendung von Kopien nicht nur der personenbezogenen Daten, sondern ganzer Dokumente betrifft, hat es das FG zudem unterlassen, die erforderlichen Feststellungen für eine abschließende Beurteilung zu treffen. Es fehlt an Feststellungen, ob und inwiefern der Kläger geltend gemacht hat, dass die begehrten Kopien für ihn unerlässlich sind, um ihm die wirksame Ausübung der ihm durch die Datenschutz-Grundverordnung verliehenen Rechte zu ermöglichen. Der Kläger muss dazu vortragen, dass und warum die Kopie der personenbezogenen Daten sowie die Mitteilung der Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO nicht für die Wahrnehmung der ihm durch die Datenschutz-Grundverordnung verliehenen Rechte genügt (vgl. Senatsurteil vom 07.05.2024 - IX R 21/22, zur amtlichen Veröffentlichung bestimmt, Rz 39).

4. Rechtsfehlerfrei hat das FG dagegen entschieden, dass der vom Kläger geltend gemachte Anspruch auf Akteneinsicht sich nicht aus Art. 15 DSGVO ergibt.

Das Auskunftsrecht in Art. 15 DSGVO ist nicht mit dem Akteneinsichtsrecht identisch. Denn die Datenschutz-Grundverordnung sieht keinen Anspruch auf Akteneinsicht vor (so auch Gola/Heckmann/Franck, DS-GVO, 3. Aufl., Art. 15 Rz 33, m.w.N.). Soweit der Kläger einen Anspruch auf Akteneinsicht aus Art. 15 DSGVO herleiten möchte, enthält diese Vorschrift lediglich einen Auskunftsanspruch gegenüber dem für die Verarbeitung der personenbezogenen Daten Verantwortlichen.

Ebenso beinhaltet Art. 15 DSGVO keinen Anspruch auf Akteneinsicht als "Weniger" zum Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten beziehungsweise ausnahmsweise unter bestimmten Umständen auf Zurverfügungstellung der Quellen, in denen die personenbezogenen Daten verarbeitet wurden. Vielmehr handelt es sich bei der Gewährung von Akteneinsicht um ein Aliud. Während das Recht auf Akteneinsicht die temporäre Möglichkeit zur Einsicht in die gesamte Verwaltungsakte beinhaltet, betrifft Art. 15 DSGVO nicht die gesamte Verwaltungsakte, sondern ist auf die dauerhafte Überlassung der darin enthaltenen personenbezogenen Daten und nur ausnahmsweise unter bestimmten Umständen auf die Überlassung von Auszügen von Verwaltungsakten gerichtet.

Daran gemessen hat das FG einen Anspruch auf Akteneinsicht aus Art. 15 DSGVO zutreffend verneint. Art. 15 Abs. 1 DSGVO ermöglicht nicht die Einsicht in Verwaltungsakten und damit die in ihnen enthaltenen Verwaltungsdokumente in Abschrift oder im Original. Vielmehr hat das FA als Verantwortlicher lediglich eine (elektronische) Kopie der personenbezogenen Daten und unter gewissen Umständen auch der Quellen, in denen solche Daten verarbeitet wurden, zur Verfügung zu stellen (Senatsurteil vom 12.03.2024 - IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 36 f.).

5. Zwar hat das FG nicht abschließend geprüft, ob sich ein Akteneinsichtsrecht aufgrund anderer Rechtsvorschriften ergeben kann (vgl. Senatsurteil vom 20.09.2024 - IX R 24/23, zur amtlichen Veröffentlichung bestimmt). Eine solche Prüfung verbietet sich im vorliegenden Verfahren jedoch, weil die hierfür erforderlichen Sachentscheidungsvoraussetzungen nicht vorliegen. Es fehlt an der Durchführung eines Vorverfahrens (§ 44 Abs. 1 FGO).

a) Nach § 347 Abs. 1 Satz 1 Nr. 1 i.V.m. Abs. 2 AO ist der Einspruch gegen Verwaltungsakte in Abgabenangelegenheiten, wozu auch die Entscheidung über die Bewilligung oder Ablehnung der Akteneinsicht in die Steuerakten der Finanzbehörde gehört (Anwendungserlass zur Abgabenordnung zu § 364 Satz 4; Krömker in Lippross/Seibel, Basiskommentar Steuerrecht, Stand: 12.2024, § 347 AO Rz 11), statthaft.

b) Nichts anderes ergibt sich aus § 32i Abs. 9 Satz 1 AO. Die Vorschrift greift nur, soweit der Antragsteller seinen Akteneinsichtsanspruch aus Art. 15 DSGVO ableitet. Hingegen findet die Regelung keine Anwendung, wie sich aus § 32i Abs. 4 AO sowie der systematischen Stellung im Siebten Abschnitt der Abgabenordnung (Datenschutzaufsicht, Gerichtlicher Rechtsschutz in datenschutzrechtlichen Angelegenheiten) ergibt, wenn ein Akteneinsichtsrecht aus anderen rechtlichen Aspekten abgeleitet wird. Eine teleologische Extension des Anwendungsbereichs des § 32i Abs. 9 Satz 1 AO auf Fälle, in denen Ansprüche nicht nur aus der Datenschutz-Grundverordnung, sondern auch aus anderen rechtlichen Aspekten abgeleitet werden, kommt nicht in Betracht.

aa) Die teleologische Extension einer Norm setzt zum einen eine Regelungslücke voraus. Eine solche liegt vor, wenn ein bestimmter Sachverhalt zwar gesetzlich geregelt ist, jedoch keine Vorschrift für Fälle enthält, die nach dem Grundgedanken und dem System des Gesetzes hätten mitgeregelt werden müssen (u.a. Urteile des Bundesfinanzhofs --BFH-- vom 09.08.1989 - X R 30/86, BFHE 158, 45, BStBl II 1989, 891, unter 2.a; vom 11.02.2010 - V R 38/08, BFHE 229, 385, BStBl II 2010, 873, Rz 21, m.w.N. sowie vom 28.10.2020 - X R 29/18, BFHE 271, 370, BStBl II 2021, 675, Rz 33). Die Norm muss --gemessen an ihrem Zweck-- unvollständig, das heißt ergänzungsbedürftig sein (BFH-Urteil vom 28.10.2020 - X R 29/18, BFHE 271, 370, BStBl II 2021, 675, Rz 33, m.w.N.). Selbst ein eindeutiger Gesetzeswortlaut schließt eine Regelungslücke nicht aus (BFH-Urteil vom 11.02.2010 - V R 38/08, BFHE 229, 385, BStBl II 2010, 873, Rz 22, m.w.N.). Zum anderen muss die Regelungslücke planwidrig sein (statt vieler BFH-Urteil vom 02.07.1997 - I R 32/95, BFHE 183, 496, BStBl II 1998, 176, unter II.2.b bb). Dies erfordert die Feststellung, dass der in Frage stehende Sachverhalt vom Gesetzgeber nur versehentlich nicht geregelt worden ist (BFH-Urteil vom 28.10.2020 - X R 29/18, BFHE 271, 370, BStBl II 2021, 675, Rz 34, m.w.N.). Eine lückenfüllende Ergänzung der Norm darf somit nicht einer vom Gesetzgeber beabsichtigten Beschränkung auf bestimmte Tatbestände widersprechen (BFH-Beschluss vom 10.04.2013 - I R 80/12, BFHE 241, 483, BStBl II 2013, 1004, Rz 28). Keine (planwidrigen) Regelungslücken sind rechtspolitische Unvollständigkeiten ("rechtspolitische Fehler"), bei denen die Ergänzung aus lediglich rechtspolitischen Gründen wünschenswert wäre (vgl. Senatsurteil vom 26.09.2023 - IX R 19/21, BFHE 281, 514, BStBl II 2024, 43, Rz 33).

bb) Zwar liegt insoweit eine Regelungslücke vor, als nicht gesetzlich geregelt ist, ob ein Vorverfahren durchzuführen ist, wenn zwar die Voraussetzungen des § 32i Abs. 9 Satz 1 AO vorliegen, zugleich das begehrte Ziel aber auch aufgrund anderer rechtlicher Aspekte verfolgt wird. Eine entsprechende Erweiterung des Anwendungsbereichs des § 32i Abs. 9 Satz 1 AO würde jedoch der vom Gesetzgeber beabsichtigten Beschränkung auf die Fälle des § 32i Abs. 1 bis 3 AO widersprechen (vgl. Krumm in Tipke/Kruse, § 32i AO Rz 15a). Da der Gesetzgeber mit § 32i Abs. 9 Satz 2 i.V.m. Abs. 2 Satz 2 i.V.m. § 32e AO bewusst Auskunfts- und Informationszugangsansprüche nach den Informationsfreiheitsgesetzen des Bundes und der Länder vom Anwendungsbereich des § 32i Abs. 9 Satz 1 AO ausschließt, ist zu vermuten, dass der Gesetzgeber zumindest auch in Kauf genommen hat, dass es insoweit zu einer Aufspaltung des Rechtsschutzwegs kommen kann, soweit ein Anspruch auf Auskunft mit der Datenschutz-Grundverordnung und mit einem Informationsfreiheitsgesetz des Bundes beziehungsweise eines Landes begründet wird. Insoweit besteht auch kein Raum für die Annahme, dass etwas anderes gelten könnte, wenn ein Anspruch weder mit der Datenschutz-Grundverordnung noch mit einem Informationsfreiheitsgesetz, sondern mit einem anderweitigen rechtlichen Aspekt begründet wird. Auch nach dem Sinn und Zweck des § 32i Abs. 9 Satz 1 AO ist keine erweiternde Auslegung geboten. Hintergrund des Ausschlusses des Einspruchsverfahrens bei datenschutzrechtlichen Streitigkeiten ist unter anderem, dass der betroffenen Person bereits kraft gesetzlicher Regelung durch die Datenschutz-Grundverordnung die Möglichkeit der Beschwerde bei der Datenschutzaufsichtsbehörde eingeräumt wird, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutz-Grundverordnung verstößt (BTDrucks 19/22850, S. 162 f.). Die Datenschutzaufsichtsbehörde wird jedoch nur einen etwaigen Verstoß gegen die Datenschutz-Grundverordnung, jedoch nicht gegen anderweitige rechtliche Aspekte überprüfen (vgl. Art. 55 ff. DSGVO).

c) Unter Anwendung dieser Grundsätze fehlt das erforderliche Vorverfahren, weil der Kläger unmittelbar gegen den Bescheid vom 17.12.2019 Klage erhoben hat.

6. Die Sache ist nicht spruchreif. Das FG hat keine ausreichenden Feststellungen dazu getroffen, ob und in welchem Umfang der dem Grunde nach bestehende Anspruch auf Auskunft nach Art. 15 Abs. 1 DSGVO ausgeschlossen ist.

7. Die Kostenentscheidung beruht auf § 143 Abs. 2 FGO.