I. Einführung
Der Datenschutz spielt im Unternehmensalltag eine zunehmende Rolle. Dies gilt etwa auch bei Auskunftsersuchen der Steuerfahndung gemäß § 208 Abs. 1 S. 1 Nr. 3 AO an Unternehmen.

Beispiel: Schreiben der Steuerfahndung an Unternehmer wegen Auskunft über Umsätze und Rechnungen betreffend eines Lieferanten.

Bei Auskunftserteilung ist im Hinblick auf die Preisgabe personenbezogener Daten Vorsicht geboten, da der Betroffene (z.B. der Lieferant) bei unzulässiger Offenbarung solcher Daten in seinem Recht verletzt sein kann, weshalb zivilrechtliche (Schadensersatz-)Ansprüche bzw. auch bußgeldrechtliche oder gar strafrechtliche Folgen drohen können.

II. Folgen der Nichtbeachtung des Datenschutzrechts im Einzelnen
1. Schadensersatzansprüche des Betroffenen
gem.§ 7 S. 1 Bundesdatenschutzgesetz (BDSG), wenn ihm durch eine nach dem BDSG oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige Verarbeitung seiner personenbezogenen Daten ein Schaden zugefügt wird.
Dafür genügt die Preisgabe personenbezogener Daten ohne Einwilligung des Betroffenen (etwa des Lieferanten) bzw. ohne ausreichende gesetzliche Ermächtigung. In diesem Fall wäre die verantwortliche Stelle (das Unternehmen) dann nach § 7 S. 1 BDSG verpflichtet, sämtliche Schäden gemäß §§ 249 ff. BGB zu ersetzen, die durch die unrechtmäßige Übermittlung personenbezogener Daten dem Betroffenen entstanden sind.
Die Ersatzpflicht entfällt nach § 7 S. 2 BDSG nur, soweit die verantwortliche Stelle (Unternehmer bzw. Geschäftsführer) die nach den Umständen des Falles gebotene Sorgfalt beachtet hat.

Darüber hinaus können auch vertragliche Schadensersatzansprüche wegen Verletzung einer vertraglichen Nebenpflicht und auch deliktische Schadensersatzansprüche in Betracht kommen.

2. Bußgelder
Gem.§ 43 Abs. 2 Nr. 1 BDSG kommt bei einer nicht rechtmäßigen Übermittlung von personenbezogenen Daten auch ein Bußgeld gegen das Unternehmen in Betracht. Nach § 43 Abs. 3 S. 1 Alt. 2 BDSG beträgt die Geldbuße bis zu 300.000 EUR, bei Mehrfachbegehung auch deutlich mehr.

3. Sonstige Folgen
a) Gem.§ 44 Abs. 1 BDSG kann sogar eine Straftat vorliegen, wenn die Ordnungswidrigkeit
gegen Entgelt oder mit Bereicherungs- bzw. Schädigungsabsicht begangen wurde.
Dies setzt einen Strafantrag des Betroffenen gem.§ 44 Abs. 2 BDSG voraus.

b) Es kann auch ein möglicher wettbewerbsrechtlicher Unterlassungsanspruch gem.§§ 3, 4 Nr. 11 UWG gegeben sein;

c) nicht zu vernachlässigen wäre auch ein – im Hinblick des in jüngster Zeit gesteigerten öffentlichen Interesses an datenschutzrechtlichen Verstößen – erheblicher Ansehensverlust für das Unternehmen.

III. Datenschutzrechtliche Relevanz
Staatliche Auskunftsbegehren an Unternehmen gehen regelmäßig auf die Übermittlung von personenbezogenen Daten und betreffen somit das Datenschutzrecht.
Im Volkszählungsurteil des BVerfG aus dem Jahre 1983 (BVerfG 15.12.83, 1 BvR 209/83, NJW 84, 419) wurde das Grundrecht auf informationelle Selbstbestimmung gemäß Art. 2 Abs. 1 GG i.V. mit Art. 1 Abs. 1 GG verfassungsrechtlich begründet.
Danach hat jeder Einzelne das Recht, selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen (BVerfG 15.12.83,1 BvR 209/83, NJW 84,419). Die gesetzliche Umsetzung dieses Grundrechts erfolgte mit § 4 Abs. 1 BDSG, der ein präventives Verbot mit Erlaubnisvorbehalt vorsieht. Danach ist jede Datenerhebung und Datenverwendung – beispielsweise die Speicherung, Übermittlung, Nutzung etc. – von personenbezogenen Daten grundsätzlich verboten, es sei denn, es liegt eine Einwilligung des Betroffenen (§ 4a BDSG) oder eine gesetzliche Ermächtigungsgrundlage vor.

Ein Auskunftsersuchen gem.§ 208 Abs. 1 S. 1 Nr. 3 AO i.V. mit §§ 93, 97 AO betrifft grundsätzlich dann personenbezogene Daten im Sinne des Datenschutzrechts (§ 3 Abs. 1 BDSG), wenn beispielsweise der Name von Kunden oder Lieferanten, deren Anschrift, deren Geburtsdatum, vertragliche Beziehungen zu Dritten etc. umfasst sind.
Relevant ist insbesondere das Bekanntgeben gespeicherter personenbezogener Daten an einen Dritten in der Weise, dass die Daten an den Dritten weitergegeben werden (§ 3 Abs. 4 S. 1 BDSG, § 3 Abs. 4 S. 2 Nr. 3a BDSG). Da das Auskunftsersuchen die Verpflichtung des Unternehmens zur Weitergabe der Daten an das Finanzamt erfordert, liegt ein relevanter Übermittlungsvorgang in diesem Sinne vor.

Will der Unternehmer kein rechtliches Risiko in oben bezeichnetem Sinne (s. Ziff. II.) eingehen, muss sichergestellt werden, dass die Preisgabe der personenbezogenen Daten rechtmäßig ist. Dies setzt entweder die schriftliche Einwilligung des Betroffenen (z.B. Lieferanten) voraus oder eine gesetzliche Ermächtigungsgrundlage, §§ 4, 4a BDSG.

Im Folgenden wird unterstellt, dass -wie regelmäßig in der Praxis- keine schriftliche Einwilligung vorliegt.
In diesem Fall kommt es auf das Eingreifen einer Ermächtigungsgrundlage an. Liegt eine solche nicht vor, darf die Auskunft zum Schutze des Betroffenen und zur Vermeidung rechtlicher Nachteile für den Unternehmer (s. Ziff. II.) nicht erteilt werden.

IV. Gesetzliche Ermächtigung zur Preisgabe personenbezogener Daten
1. § 208 Abs. 1 S. 1 Nr. 3 AO (i.V. mit §§ 93, 97 AO)
stellen (nur) dann eine Ermächtigungsgrundlage in diesem Sinne dar, wenn die rechtlichen Voraussetzungen für das Auskunftsersuchen tatsächlich auch vorliegen.
Eine Aufgabe der Steuerfahndung sind sogenannte Vorfeldermittlungen zur Aufdeckung und Ermittlung unbekannter Steuerfälle gemäß § 208 Abs. 1 S. 1 Nr. 3 AO (i.V. mit §§ 93, 97

AO,), etwa durch Auskunftsersuchen.
Voraussetzung ist das Vorliegen eines hinreichenden Anlasses. Ein solcher Anlass ist nach den Vorgaben der Rechtsprechung des BFH dann gegeben, wenn aufgrund konkreter Anhaltspunkte oder allgemeiner Erfahrungen, die Möglichkeit einer Steuerverkürzung in Betracht zu ziehen ist (BFH 25.7.00, VII B 28/99, DStR 00,1511.1514; BFH 5.10.06, VII R 63/05, NJW07,1308).
Der hinreichende Anlass muss im Sinne einer erhöhten Entdeckungswahrscheinlichkeit verdichtet sein (BFH 16.1.09, VII R 25/08, NJW 09, 1998, 2000). Nach Auffassung des BFH liegt ein hinreichender Anlass beispielsweise dann vor, wenn bei Betriebsprüfungen Steuerverkürzungen aufgedeckt wurden, die durch für die Berufsgruppe typische Geschäftsabläufe begünstigt worden sind (BFH 5.10.06, VII R 63/05, NJW 07,1308). Ebenfalls wurde der hinreichende Anlass dann bejaht, wenn eine Bank Verkäufe bestimmter Wertpapiere mit hohen Kursgewinnen innerhalb der Spekulationsfrist durchführte und die Kunden des Kreditinstituts in erheblicher Zahl in einem bestimmten Marktsegment innerhalb der Spekulationsfrist Aktiengeschäfte getätigt sowie Spekulationsgewinne realisiert haben (BFH 21.3.02, VII B 152/01, DStR 02, 993).

Nach der Rechtsprechung müssen also immer besondere Merkmale vorliegen, um das Aus-kunftsbegehren zu rechtfertigen. Eine nur allgemeine, nach der Lebenserfahrung gerechtfertigte Vermutung, dass Steuern oftmals verkürzt und steuerpflichtige Einnahmen nicht erklärt werden, genügt danach nicht, um einen hinreichenden Anlass bejahen zu können (BFH 16.1.09, VII R 25/08, NJW 09, 1998). Ermittlungen „ins Blaue hinein“, bloße Ausforschungen sowie informelle Anfragen sind daher nach ständiger Rechtsprechung nicht zulässig (FG Hamburg 18.4.13,1 K 89/12, PStR 13, 200, EFG 13,1195).

Stellt sich nach Prüfung heraus, dass die Voraussetzungen nach § 208 Abs. 1 S. 1 Nr. 3 AO (i.V. mit §§ 93, 97 AO) nicht vorliegen, darf die Auskunft zum Schutze des Betroffenen und zur Vermeidung rechtlicher Nachteile (Ziff. II.) also nicht erteilt werden, es sei denn, es greift eine andere gesetzliche Ermächtigung ein. In Betracht kommen insoweit Ermächtigungen nach dem BDSG.

2. Ermächtigungsgrundlage nach BDSG
a) §§ 28 BDSG
kommen in Betracht, wenn das Unternehmen das Auskunftsersuchen trotz der Unsicherheit des Vorliegens eines hinreichenden Anlasses nach § 208 Abs. 1 S. 1 Nr. 3 AO erfüllen möchte, etwa um eigene personelle und finanzielle Ressourcen, die bei einem Einspruchs- und Gerichts-verfahren unweigerlich verloren gehen würden, zu schonen.

(1) Ermächtigungsgrundlage § 28 Abs. 2 Nr. 2b BDSG
§ 28 Abs. 2 Nr. 2b BDSG lässt die Übermittlung von personenbezogenen Daten zu, soweit sie zur Verfolgung von Straftaten erforderlich ist und kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat.
Hierbei sind alle Straftatbestände erfasst, ausgeschlossen sind lediglich Ordnungswidrigkeiten. Es muss keine besonders erhebliche Straftat vorliegen (Kehr PstR 06/2015 S. 152, 154f.; Simitis, BDSG, 8. Aufl., § 28 BDSG, Rn. 190). Die Norm erfasst auch in Betracht kommende Steuerstraftaten.

Bezüglich der Straftat müssen mindestens konkrete Anhaltspunkte vorliegen (Kehr PstR 06/2015 a.a.O.; Plath, BDSG, 1. Aufl., § 28 BDSG, Rn. 97), also ein auf Tatsachen beruhender Anfangsverdacht gemäß § 152 Abs. 2 StPO. Dieser ist gegeben, wenn nach kriminalistischer Erfahrung eine verfolgbare Straftat vorliegt (Diemer in Karlsruher Kommentar StPO, 7. Aufl., § 152 StPO, Rn. 7).
Ein strafprozessualer Anfangsverdacht hat indessen höhere Anforderungen als ein hinrei-chender Anlass i.S. von § 208 Abs. 1 S. 1 Nr. 3 AO i.V. mit §§ 93, 97 AO.
Folglich kann die Datenübermittlung in einer solchen Konstellation grundsätzlich nicht durch § 28 Abs. 2 Nr. 2b BDSG legitimiert werden.

(2) § 28 Abs. 1 S. 1 Nr. 2 BDSG (i.V. mit § 28 Abs. 2 Nr. 1 BDSG)
lässt die Übermittlung von personenbezogenen Daten zu, soweit sie zur Wahrung berechtigter Interessen des angefragten Unternehmens erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung überwiegt.

Ein berechtigtes Interesse ist ein nach vernünftiger Erwägung durch die Sachlage gerechtfertigtes tatsächliches Interesse, das wirtschaftlicher oder ideeller Natur sein kann, d.h. es muss sich um einen Zweck handeln, dessen Verfolgung vom gesunden Rechtsempfinden gebilligt wird (Kehr PstR 06/2015 a.a.O.; Simitis, BDSG, 8. Aufl., § 28 BDSG, Rn. 104). Etwa, wenn der Unternehmer ein Interesse daran hat, mit dem Staatsanwalt zusammen zu arbeiten, um dadurch Ermittlungsmaßnahmen abwenden zu können bzw. negative Medienberichte hinsichtlich des Bekanntwerdens des Sachverhaltes zu vermeiden (Kehr, PStR 06/2015, 152, 155; Schmidt, ZD 12, 63, 66 und Schürrle/Olbers, CCZ 10, 178, 180). Soweit die konkrete Gefahr besteht, dass mit weiteren behördlichen Maßnahmen zu rechnen ist, stellt auch dies ein berechtigtes Interesse des Unternehmens dar (Kehr, PStR 06/2015, 152, 155; Schmidt, ZD 12,63,66). Unklar ist indessen, ob Vorfeldermittlungen der Steuerfahndung in Form eines Auskunftsersuchens ausreichend sind, um ein solches berechtigtes Interesse, ähnlich wie bei Ermittlungen durch die Staatsanwaltschaft zu belegen (Kehr, PStR 06/2015, 152, 155). In begründeten Einzelfällen mag das zutreffen.

Unzulässig ist die Übermittlung immer dann, wenn ein schutzwürdiges Interesse des Betroffenen (etwa des Lieferanten) besteht und dieses Interesse erheblich beeinträchtigt wird. Im Einzelfall ist stets anhand des Verhältnismäßigkeitsgrundsatzes abzuwägen zwischen den berechtigten Unternehmensinteressen an der Preisgabe und den schutzwürdigen Belangen des Betroffenen (Kehr, PStR 06/2015 a.a.O; OLG Düsseldorf 11.5.05, 1-15 U 196/04, MMR 05, 538, 539). Hinsichtlich der schutzwürdigen Interessen des Betroffenen ist maßgeblich darauf
abzustellen, in welche Sphäre des Rechts auf informationelle Selbstbestimmung gemäß Art. 2 Abs. 1 GG i.V. mit Art. 1 Abs. 1 GG eingegriffen wird. Je sensibler die Daten sind (§ 3 Abs. 9 BDSG), desto eher werden schutzwürdige Interessen des Betroffenen beeinträchtigt. Die Intimsphäre ist absolut geschützt, eine diesbezügliche Datenübermittlung wäre deshalb auf jeden Fall unzulässig.

b) § 32 BDSG Übermittlung von Beschäftigtendaten des Unternehmens
§ 32 Abs. 1 S. 2 BDSG gilt bei der Übermittlung von Beschäftigtendaten vorrangig.
Zur Aufdeckung von Straftaten dürfen personenbezogene Daten eines Beschäftigten gemäß
§ 32 Abs. 1 S. 2 BDSG nur dann übermittelt werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat. Insoweit dürfte ein einfacher Anfangsverdacht gem. § 152 StPO ausreichend sein (str., Zoll in Taeger/Gabel, BDSG, 1. Aufl., § 32 BDSG, Rn. 43; Kehr, PStR 06/2015 S. 156 m.w.N.).

Weitere Voraussetzung ist,
-dass die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich ist und
-dass das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung, Verar-    beitung oder Nutzung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den       Anlass nicht unverhältnismäßig sind. Auch bei einem Abstellen auf § 32 Abs. 1 S. 2 BDSG     ist daher eine exakte Einzelfallprüfung vorzunehmen.

IV. Fazit
Die Voraussetzungen für eine Ermächtigung nach dem BDSG sind recht hoch.
Wenn das Vorliegen der rechtlichen Voraussetzung von Auskunftsersuchen (insbesondere der hinreichende Anlass) -wie häufig- zweifelhaft ist, läuft der Unternehmer Gefahr, sich zivilrechtlich haftbar zu machen bzw. ein empfindliches Bußgeld und ggf. einen Reputationsverlust wegen Verletzung des Datengeheimnisses zu riskieren.

Vor dem Hintergrund der oben unter II. dargestellten datenschutzrechtlichen Konsequenzen dürfte wegen der häufig gegebenen Ungewissheit der Voraussetzungen des Auskunftsersuchens gemäß § 208 Abs. 1 S. 1 Nr. 3 AO die Durchführung eines Rechtsbehelfsverfahrens und ggf. eines Finanzrechtsstreits verstärkt zum Mittel der Wahl werden.

Leingarten, August 2015

Mitgeteilt von
Rechtsanwalt Hans Georg Hofmann
Fachanwalt für Steuerrecht/Steuerstrafverteidiger
Heilbronner Straße 77  74211 Leingarten