BFG RV/1100264/2019

IM NAMEN DER REPUBLIK Das Bundesfinanzgericht hat durch die Richterin***Ri*** in der Beschwerdesache ***Bf1***, ***Bf1-Adr***, über die Beschwerde vom 25. Juni 2019 gegen den Bescheid des ***FA*** vom 5. Juni 2019 betreffend Einkommensteuer (Arbeitnehmerveranlagung) 2018 nach Durchführung einer mündlichen Verhandlung zu Recht erkannt: Die Beschwerde wird gemäß § 279 BAO als unbegründet abgewiesen. Der angefochtene Bescheid bleibt unverändert. Gegen dieses Erkenntnis ist eine Revision an den Verwaltungsgerichtshof nach Art. 133 Abs. 4 Bundes-Verfassungsgesetz (B-VG) zulässig. Entscheidungsgründe I. Verfahrensgang Der Beschwerdeführer (im Folgenden abgekürzt Bf.) beantragte im Rahmen der Erklärung zur Arbeitnehmerveranlagung für das Jahr 2018 die Berücksichtigung einer von ihm an einen gemeinnützigen Verein nachweislich geleisteten Geldspende in Höhe von 20,00 Euro als Sonderausgabe. Begründend wurde ausgeführt, freigiebige Zuwendungen seien grundsätzlich bei Vorliegen der Voraussetzungen gemäß § 18 Abs. 1 Z 7 EStG 1988 als Sonderausgaben bei der Ermittlung des Einkommens abzuziehen. Gegenständlich lägen die Voraussetzungen für einen solchen Abzug vor. So sei die Zuwendung ausschließlich in Geld geleistet worden und der Empfänger sei zum Zeitpunkt der Zuwendung in die Liste begünstigter Spendenempfänger gemäß § 4a Abs. 7 Z 1 EStG 1988 eingetragen gewesen. Lediglich die Bestimmung des § 18 Abs. 8 Z 1 EStG 1988 stünde einer Berücksichtigung der Zuwendung als Sonderausgabe entgegen und zwar insofern, als der Bf. die dort genannten personenbezogenen Daten gegenüber dem Zuwendungsempfänger nicht vollständig bekannt gegeben habe. Die betreffende Bestimmung sei allerdings aus nachfolgenden Gründen nicht anzuwenden bzw. verfassungswidrig: Nichtanwendbarkeit von § 18 Abs. 8 EStG 1988 aufgrund des Vorrangs der DSGVO In § 18 Abs. 8 EStG 1988 werde als Voraussetzung für die Berücksichtigung von Zuwendungen die Bekanntgabe von personenbezogenen Daten des jeweiligen Steuerpflichtigen gegenüber dem Zuwendungsempfänger vorgeschrieben. Der jeweilige Zuwendungsempfänger sei in der Folge verpflichtet, diese Daten sowie den Betrag der Zuwendung an die Abgabenbehörden zu übermitteln. Aus den Materialien zu dieser Bestimmung ergebe sich, dass durch eine automatische Berücksichtigung von Zuwendungen sowohl die Finanzbehörden als auch die Steuerpflichtigen entlastet werden sollten. Umgekehrt sei allerdings zu bedenken, dass durch die Bekanntgabe personenbezogener Daten und insbesondere die verpflichtende Übermittlung dieser Daten durch die Zuwendungsempfänger eine weitreichende Datenverarbeitung stattfinde, die durch diesen Zweck jedenfalls nicht gerechtfertigt sei. Je nach Tätigkeitsbereich des Zuwendungsempfängers würden sich aus solchen Daten unter Umständen auch Informationen über politische Meinungen oder weltanschauliche oder religiöse Überzeugungen ableiten lassen. Insofern handle es sich dabei gegebenenfalls auch um Daten besonderer Kategorien im Sinne von Art. 9 DSGVO. Die Bestimmung des § 18 Abs. 8 EStG 1988 erfülle allerdings nicht die Voraussetzung für die Verarbeitung solcher Daten gemäß Art. 9 DSGVO, weshalb eine solche Datenverarbeitung gemäß Art. 9 Abs. 1 DSGVO untersagt sei. Im Übrigen sei davon auszugehen, dass selbst wenn im Einzelfall keine Daten besonderer Kategorien vorliegen würden, die gegenständliche Datenverarbeitung auch gemäß Art. 6 DSGVO nicht rechtmäßig wäre. Im Hinblick auf den europarechtlich gebotenen Anwendungsvorrang der DSGVO gegenüber den Bestimmungen des EStG habe daher § 18 Abs. 8 EStG 1988 unangewendet zu bleiben und die Zuwendung sei im Rahmen der Arbeitnehmerveranlagung für das Jahr 2018 zu berücksichtigen. Verfassungswidrigkeit der Bestimmung des § 18 Abs. 8 EStG 1988 Abgesehen von den Bestimmungen der DSGVO sei auch das in der Verfassungsbestimmung des § 1 DSG geregelte Grundrecht auf Datenschutz einschlägig. Gemäß § 1 Abs. 2 DSG seien Beschränkungen des Grundrechts auf Datenschutz nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der EMRK genannten Gründen notwendig seien. Selbst im Fall zulässiger Beschränkungen dürfe der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. Die Voraussetzungen des § 1 Abs. 2 DSG lägen im Hinblick auf § 18 Abs. 8 EStG 1988 jedenfalls nicht vor. Im Übrigen könnten die mit dieser Bestimmung verfolgten Ziele auch durch gelindere Mittel erreicht werden, weshalb diese Bestimmung jedenfalls auch verfassungswidrig sei. Mit Einkommensteuerbescheid 2018 vom 5. Juni 2019 wurde diesem Begehren ohne konkrete Begründung nicht entsprochen. Die gegen den obigen Bescheid fristgerecht erhobene Beschwerde richtet sich ausschließlich gegen die Nichtanerkennung der geleisteten Geldspende als Sonderausgabe. Neben einer diesem Begehren entsprechenden Abänderung des angefochtenen Bescheides wurde beantragt, die belangte Behörde möge gemäß § 262 Abs. 2 BAO von der Erlassung einer Beschwerdevorentscheidung absehen und die gegenständliche Beschwerde dem BFG direkt vorlegen. Überdies wurde die Durchführung einer mündlichen Senatsverhandlung begehrt. Begründend führte der Bf. im Wesentlichen aus, er habe - wie der beigelegte Überweisungsbeleg samt Übernahmebestätigung belege - dem Zuwendungsempfänger, also dem gemeinnützigen Verein, seinen Namen und seine Adresse, nicht jedoch sein Geburtsdatum bekannt gegeben. Der Zuwendungsempfänger sei unter der Registrierungsnummer ***1*** in der Liste der begünstigten Einrichtungen gemäß § 4a Abs. 7 Z 1 EStG 1988 eingetragen. Grundsätzlich seien freigiebige Zuwendungen bei Vorliegen der Voraussetzungen gemäß § 18 Abs. 1 Z 7 EStG 1988 als Sonderausgaben bei der Ermittlung des Einkommens abzuziehen. Die Voraussetzungen für einen solchen Abzug der Zuwendung vom 14. Dezember 2018 lägen im gegenständlichen Fall vor: Insbesondere sei die Zuwendung ausschließlich in Geld geleistet worden und wäre der Empfänger zum Zeitpunkt der Zuwendung in die Liste begünstigter Spendenempfänger gemäß § 4a Abs. 7 Z 1 EStG 1988 eingetragen gewesen. Lediglich die Bestimmung des § 18 Abs. 8 Z 1 EStG 1988 stehe einer Berücksichtigung der Zuwendung als Sonderausgabe entgegen, weil dort vorgesehen sei, dass Zuwendungen nur dann als Sonderausgaben zu berücksichtigen seien, wenn dem Zuwendungsempfänger Vor- und Zunamen und das Geburtsdatum des Leistenden bekannt gegeben würden und eine Datenübermittlung gemäß § 18 Abs. 8 Z 2 EStG 1988 erfolge. Richtig sei, dass im gegenständlichen Fall die in § 18 Abs. 8 Z 1 EStG 1988 genannten personenbezogenen Daten gegenüber dem Zuwendungsempfänger nicht vollständig bekannt gegeben worden seien und insofern - soweit für den Bf. ersichtlich - auch keine Datenübermittlung gemäß § 18 Abs. 8 Z 2 EStG 1988 erfolgt sei. Die Bestimmung des § 18 Abs. 8 Z. 2 EStG 1988 sei allerdings aus den nachfolgenden Gründen nicht anzuwenden bzw. sei diese verfassungswidrig: 1. Nichtanwendbarkeit der Bestimmung des § 18 Abs. 8 EStG 1988 aufgrund des Anwendungsvorrangs der DSGVO In der Bestimmung des § 18 Abs. 8 Z 1 EStG 1988 werde als Voraussetzung für die Berücksichtigung von Zuwendungen die Bekanntgabe von personenbezogenen Daten des jeweiligen Steuerpflichtigen gegenüber dem Zuwendungsempfänger vorgeschrieben. Der jeweilige Zuwendungsempfänger sei in der Folge gemäß § 18 Abs. 8 Z 2 EStG 1988 verpflichtet, diese Daten sowie den Betrag der Zuwendung an die Abgabenbehörden zu übermitteln. Aus den Materialien zu dieser Bestimmung ergebe sich, dass durch eine automatische Berücksichtigung von Zuwendungen sowohl die Finanzbehörden als auch die Steuerpflichtigen entlastet werden sollten. Umgekehrt sei allerdings zu bedenken, dass durch die Bekanntgabe personenbezogener Daten und insbesondere die verpflichtende Übermittlung dieser Daten durch die Zuwendungsempfänger eine weitreichende Datenverarbeitung stattfinde, die durch den genannten Zweck jedenfalls nicht gerechtfertigt sei. Diesbezüglich sei hervorzuheben, dass der bedenkliche Aspekt der in § 18 Abs. 8 EStG 1988 vorgesehenen Datenübermittlungen weniger die Bekanntgabe von Name und Geburtsdatum gegenüber dem jeweiligen Zuwendungsempfänger, sondern die nachfolgende Zusammenführung dieser Daten bei den Abgabenbehörden sei. Im Ergebnis würden diese Übermittlungen dazu führen, dass - sozusagen auf "Vorrat" - eine vollständige Erfassung und Verarbeitung aller in Österreich steuerlich geltend gemachten freigiebigen Zuwendungen erfolge. Im Rahmen dieser Verarbeitung würden sich verschiedene durchaus bedeutsame Informationen ergeben. So würden die Abgabenbehörden eine detaillierte Übersicht erhalten, welche Zuwendungsempfänger jeweils Zuwendungen in welcher Höhe erhalten würden. In Bezug auf einzelne Steuerpflichtige lasse sich außerdem genau nachvollziehen, welche Zuwendungsempfänger jeweils unterstützt würden. Je nach Tätigkeitsbereich des Zuwendungsempfängers würden sich aus solchen Daten in vielen, wenn auch nicht in allen Fällen auch Informationen über politische Meinungen oder weltanschauliche oder religiöse Überzeugungen des jeweiligen Steuerpflichtigen ableiten lassen. Insofern handele es sich bei den gegenständlichen personenbezogenen Daten auch um Daten besonderer Kategorien im Sinne von Art. 9 DSGVO. Gemäß Art. 9 Abs. 1 DSGVO sei die Verarbeitung solcher personenbezogener Daten besonderer Kategorien grundsätzlich untersagt, wenn nicht eine Rechtsgrundlage im Sinne von Art 9 Abs. 2 DSGVO vorliege. Im gegenständlichen Fall kämen als mögliche Rechtsgrundlagen nur entweder eine ausdrückliche Einwilligung im Sinne von Art. 9 Abs. 2 lit. a DSGVO oder eine gesetzliche Grundlage im Sinne von Art. 9 Abs. 2 lit. g DSGVO in Frage. Hinsichtlich des allfälligen Vorliegens einer Einwilligung sei jedoch zu beachten, dass eine solche ausdrückliche Einwilligung im gegenständlichen Fall jedenfalls nicht eingeholt worden sei. Eine konkludente Einwilligung wäre in Bezug auf Daten besonderer Kategorien jedenfalls nicht ausreichend (Kastelitz/Hötzendorfer/Tschol in Knyrim (Hrsg) DatKomm, DSGVO Art. 9 Rz 31; Petri in Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Art. 9 DSGVO Rz 33; Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 9 Rz 28; Kampert in Sydow (Hrsg.), Europäische Datenschutzgrundordnung Art. 9 Rz 14; Schulz in Gola, DSGVO Art. 9 Rz 14; Frenzel in Paal/Pauly, Datenschutz-Grundverordnung Art. 9 Rz 21). Im Übrigen müsste eine entsprechende Einwilligung auch die Voraussetzungen des Art. 7 DSGVO erfüllen und insbesondere freiwillig im Sinne von Art. 7 Abs. 4 DSGVO sein. Gerade im verfahrensgegenständlichen Zusammenhang wäre die für eine wirksame Einwilligung erforderliche Freiwilligkeit jedenfalls nicht gegeben. Auf Basis der Regelung des § 18 Abs. 8 EStG 1988 habe der jeweilige Steuerpflichtige nur die Wahl entweder die geforderten Daten bekanntzugeben oder auf die steuerliche Berücksichtigung der getätigten freigiebigen Zuwendungen ganz zu verzichten. Auch deshalb könne die gegenständliche Datenverarbeitung nicht auf eine Einwilligung der betroffenen Person gestützt werden. Als mögliche Rechtsgrundlage für die gegenständliche Verarbeitung komme daher nur noch die Bestimmung des Art. 9 Abs. 2 lit. g DSGVO infrage. Nach dieser Bestimmung sei die Verarbeitung von Daten besonderer Kategorien zulässig, wenn die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaates, das in angemessenem Verhältnis zu dem verfolgten Ziel stehe, den Wesensgehalt des Rechts auf Datenschutz wahre und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen vorsehe, aus Gründen eines erheblichen öffentlichen Interesses erforderlich sei. Die wichtigste Voraussetzung für die Anwendung dieser Bestimmung sei das Vorliegen eines öffentlichen Interesses, welches erheblich sein müsse. Ausweislich der Erläuterung in der Regierungsvorlage (ErläutRV 684 BlgNR 25. GP) ziele die Bestimmung des § 18 Abs. 8 EStG 1988 vor allem auf eine Verwaltungsvereinfachung im Sinne einer Entlastung von Steuerpflichtigen und Finanzverwaltung ab. Darüber hinaus solle offenbar eine Erhöhung der Gleichmäßigkeit der Vollziehung und Steuergerechtigkeit erzielt werden, weil allfällige Manipulationsmöglichkeiten verhindert würden. Auch wenn eine Verwaltungsvereinfachung und die Verhinderung von Manipulationen in Zusammenhang mit der Abgabe von Steuererklärungen ein öffentliches Interesse darstellen mögen, handle es sich dabei jedenfalls nicht um erhebliche öffentliche Interessen. Als erheblich würden nur solche öffentlichen Interessen angesehen, die so bedeutsam seien, dass die Allgemeinheit ohne die in Rede stehenden Maßnahmen ernsthaft beeinträchtigt wäre (Petri in Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Art. 9 DSGVO Rz 69; Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 9 Rz 45). Dies könne im Hinblick auf die verfahrensgegenständliche Regelung des § 18 Abs. 8 EStG 1988 jedenfalls nicht angenommen werden. Bereits vor Einführung der automatischen Berücksichtigung von Sonderausgaben auf Basis der Übermittlung von personenbezogenen Daten hätten solche Zuwendungen steuerlich geltend gemacht werden können und hätten im Fall einer Prüfung durch Vorlage entsprechender Belege verifiziert werden können. Im Übrigen müsse das erhebliche öffentliche Interesse bei jeder legislativen Maßnahme bereits aus dem Gesetz selbst erkennbar sein (Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 9 Rz 46), was im Hinblick auf die Bestimmung des § 18 Abs. 8 EStG 1988 ebenso nicht der Fall sei. Im Hinblick auf den Anwendungsbereich der gegenständlichen Regelung, welche lediglich bestimmte freigiebige Zuwendungen erfasse, welche in Summe nur eine untergeordnete Auswirkung auf das Volumen der erhobenen Einkommensteuer haben könnten, sei diese Regelung auch nicht verhältnismäßig. Wie bereits ausgeführt, werde eine umfangreiche Verarbeitung personenbezogener Daten, welche im Übrigen ohne konkreten Anlass, nur im Hinblick auf eine mögliche zukünftige Prüfung der Rechtmäßigkeit der Geltendmachung solcher Zuwendungen als Sonderausgaben erfolge, vorgenommen, welche umgekehrt nur in manchen Fällen zu einer Verwaltungsvereinfachung führen werde. Allgemein sei auch noch darauf hinzuweisen, dass die allenfalls mögliche Verwaltungsvereinfachung vor allem dadurch erfolge, dass der entsprechende Verwaltungsaufwand an die Zuwendungsempfänger ausgelagert werde. Insofern sei die gegenständliche Regelung im Hinblick auf das verfolgte Ziel auch nicht verhältnismäßig, sodass auch die zweite Anwendungsvoraussetzung für Art. 9 Abs. 2 lit. g DSGVO nicht vorliege. Im Hinblick auf die im Wesentlichen anlasslose, auf Vorrat erfolgende Verarbeitung personenbezogener Daten besonderer Kategorien sei auch zu hinterfragen, ob die Bestimmung des § 18 Abs. 8 EStG 1988 den Wesensgehalt des Datenschutzes wahre. Gerade im Hinblick auf anlasslose Überwachungsmaßnahmen sei vom EuGH (EuGH 8.4.2014, C-2913/12 und C-594/12, Digital Rights Ireland ua; EuGH 21.12.2016, C-203/15 und C-698/15, Tele2 Sverige AB ua) bereits entschieden worden, dass die Wesensgehaltsgarantie im Hinblick auf den Datenschutz solchen Maßnahmen entgegenstünde (Bäcker in Kühling/Buchner, DSGVO Art. 23 Rz 57). Die Bestimmung des § 18 Abs. 8 EStG 1988 erfülle daher zusammenfassend nicht die Voraussetzungen für die rechtmäßige Verarbeitung besonderer Kategorien von Daten gemäß Art. 9 DSGVO, weshalb eine solche Datenverarbeitung gemäß Art. 9 Abs. 1 DSGVO untersagt sei. Im Übrigen sei davon auszugehen, dass selbst wenn im Einzelfall keine Daten besonderer Kategorien verarbeitet würden, die gegenständliche Datenverarbeitung auch gemäß Art. 6 Abs. 3 DSGVO nicht rechtmäßig wäre, weil auch in diesem Fall eine Verhältnismäßigkeitsprüfung erfolgen müsste, die im Hinblick auf § 18 Abs. 8 EStG 1988 zum Ergebnis führen würde, dass diese Regelung nicht verhältnismäßig sei. Im Hinblick auf den europarechtlich gebotenen Anwendungsvorrang der DSGVO (Selmayr/Ehmann in Ehmann/Selmayr, Datenschutz-Grundverordnung Einführung Rz 3 und zuletzt auch OGH 23.5.2019, 6 Ob 91/19d) gegenüber den Bestimmungen des EStG habe daher die Bestimmung des § 18 Abs. 8 EStG unangewendet zu bleiben und die verfahrensgegenständliche Zuwendung des Bf. sei im Rahmen der ArbeitnehmerInnenveranlagung für das Jahr 2018 zu berücksichtigen. I. Verfassungswidrigkeit der Bestimmung des § 18 Abs. 8 EStG 1988 Abgesehen von den Bestimmungen der DSGVO sei auch das in der Verfassungsbestimmung des § 1 DSG geregelte Grundrecht auf Datenschutz einschlägig. Gemäß § 1 Abs. 2 DSG seien Beschränkungen des Grundrechts auf Datenschutz nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig und zwar bei Eingriffen einer staatlichen Behörde nur aufgrund von Gesetzen, die aus den in Art. 8 Abs. 2 der EMRK genannten Gründen notwendig seien. Selbst im Fall zulässiger gesetzlicher Beschränkungen dürfe der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden und müsse - in einer Abwägung zwischen der Schwere des Eingriffs und dem Gewicht der mit dem Eingriff verfolgten Ziele - verhältnismäßig sein. Im Beschwerdefall handle es sich bei § 18 Abs. 8 EStG 1988 zwar um eine gesetzliche Regelung, die im weiteren Sinn auch der Erhebung von Steuern und damit dem wirtschaftlichen Wohl des Landes diene. Die sonstigen Voraussetzungen für eine Beschränkung des Grundrechts auf Datenschutz im Sinne des § 1 Abs. 2 DSG würden im Hinblick auf § 18 Abs. 8 EStG 1988 aber jedenfalls nicht vorliegen. So sei in § 1 Abs. 2 letzter Satz vorgesehen, dass besonders schutzwürdige Daten, worunter jedenfalls auch Daten besonderer Kategorien im Sinne von Art. 9 DSGVO fallen würden, nur für wichtige öffentliche Interessen verwendet werden dürften. Dies entspräche inhaltlich der Einschränkung in Art. 9 Abs. 2 lit. g DSGVO, welche ein erhebliches öffentliches Interesse voraussetze. Wie bereits ausgeführt, liege ein solches wichtiges öffentliches Interesse im Hinblick auf § 18 Abs. 8 EStG 1988 nicht vor. Weiters sei bereits dargelegt worden, dass die Regelung des § 18 Abs. 8 EStG 1988 im Hinblick auf die durch diese Bestimmung verfolgten Ziele nicht verhältnismäßig sei; auf die diesbezüglichen obigen Ausführungen werde verwiesen. Die Regelung des § 18 Abs. 8 EStG 1988, die einen Eingriff in das Grundrecht auf Datenschutz vorsehe, sei aber jedenfalls auch nicht als das gelindeste Mittel zur Zielerreichung anzusehen. Gerade im Gegenteil erfolge auf Basis dieser Bestimmung eine umfangreiche Verarbeitung (besonders schutzwürdiger) personenbezogener Daten, wobei konkrete Datenzugriffe nur in Einzelfällen erfolgen sollten. Dies sei vergleichbar mit den ursprünglichen Regelungen zur Vorratsdatenspeicherung in der StPO bzw. dem TKG 2003, welche vom Verfassungsgerichtshof aufgehoben worden seien, weil diese nicht das gelindeste Mittel darstellten und nicht verhältnismäßig gewesen seien (VfSlg. 19.892). Zusammenfassend sei festzuhalten, dass die Bestimmung des § 18 Abs. 8 EStG 1988 einen Eingriff in das Grundrecht auf Datenschutz gemäß § 1 DSG darstelle, wobei jedoch die strengen Voraussetzungen für die Rechtmäßigkeit eines solchen Eingriffs gemäß § 1 Abs. 2 DSG nicht vorliegen würden. Aus diesem Grund sei die Bestimmung des § 18 Abs. 8 EStG 1988 auch verfassungswidrig und verletze das Grundrecht des Bf. auf Datenschutz gemäß § 1 DSG. Sollte den Beschwerdeanträgen nicht oder nicht vollständig Folge gegeben werden, ergehe folgende Anregung: "Das BFG möge einen Antrag auf Vorabentscheidung gemäß Art 267 AEUV zur Auslegung der beschwerdegegenständlichen Bestimmungen der DSGVO an den Gerichtshof der Europäischen Union stellen und bei der Formulierung der Vorlagefragen an den EuGH insbesondere die folgenden Fragen berücksichtigen, wobei der Bf. selbstverständlich die alleinige Zuständigkeit des BFG zur Formulierung der konkreten Vorlagefragen anerkenne: 1. "Stehen die Bestimmungen der DSGVO und insbesondere das Verwendungsverbot im Hinblick auf besondere Kategorien von Daten gemäß Art. 9 Abs. 1 DSGVO einer nationalen Regelung wie dem gegenständlichen § 18 Abs. 8 EStG, der als Voraussetzung für die steuerliche Anerkennung von freigiebigen Zuwendungen verpflichtend die Übermittlung und Speicherung personenbezogener Daten einschließlich der konkreten Zuwendungsempfänger und der Höhe der Zuwendungen auf Vorrat vorsieht, entgegen? 2. Verstößt die in § 18 Abs. 8 EStG 1988 vorgesehene anlasslose Speicherung der personenbezogenen Daten von Steuerpflichtigen, insbesondere Name, Geburtsdatum, Empfänger von Zuwendungen und Höhe der jeweiligen Zuwendungen gegen den in Art. 6 Abs. 3 DSGVO bzw. Art. 9 Abs. 2 lit. g DSGVO vorgesehenen Grundsatz der Verhältnismäßigkeit?" Mit Vorlagebericht vom 9. Juli 2019 wurde die Beschwerde antragsgemäß ohne Erlassung einer Beschwerdevorentscheidung dem BFG vorgelegt. In seiner Stellungnahme führte die belangte Behörde aus, die vom Bf. geleistete Spende habe mangels Erfüllung der in § 18 Abs. 8 EStG 1988 vorgesehenen gesetzlichen Voraussetzungen nicht als Sonderausgabe berücksichtigt werden können. Es obliege nicht dem Finanzamt zu beurteilen, ob § 18 Abs. 8 EStG 1988 in Widerspruch zu höherrangigen Rechtsvorschriften stehe. Mit Schriftsatz vom 24. Februar 2020 teilte das BFG dem Bf. unter Bezugnahme auf Atzmüller (Atzmüller, Elektronische Datenübermittlung betreffend Sonderausgaben, SWK 34/2016, 1433ff) und Zirngast (Zirngast, Die Sonderausgaben-Datenübermittlungsverordnung, SWK 15/2017, 722) mit, dass der jeweilige Spendenempfänger der Finanzverwaltung nicht die ihm vom Spender bekannt gegebenen personenbezogenen Daten (Vor- und Zunamen sowie Geburtsdatum) einschließlich des Betrages der im betreffenden Kalenderjahr vom jeweiligen Spender erhaltenen Zuwendungen als Klardaten übermittle. Vielmehr werde ein verschlüsseltes bereichsspezifisches Personenkennzeichen Steuern und Abgaben (sogenanntes "vbPK SA") erstellt, mittels dem der Datenaustausch erfolge. Im EDV-System der Finanzverwaltung werde dadurch sichergestellt, dass übermittelte Daten ohne Zuordnung zu einer konkreten Organisation nur in einer Gesamtsumme und nach Kategorien (entspricht den Kennzahlen in den Steuererklärungen) gegliedert dargestellt würden. Die einzelnen Organisationen betreffenden Informationen seien EDV-technisch nur dann zugänglich, wenn die übermittelte Zuwendung selbst Gegenstand einer Überprüfungshandlung durch das Finanzamt sei (siehe dazu § 14 der Sonderausgaben-Datenübermittlungsverordnung (SA-DÜV), BGBl II 289/2016 idF BGBL II 122/2017); Jakom/Peyerl EStG, 2019, § 18 Rz 201; Atzmüller, Elektronische Datenübermittlung betreffend Sonderausgaben, SWK 34/2016, 1433ff; Zirngast, Die Sonderausgaben-Datenübermittlungsverordnung, SWK 15/2017, 722). In den zitierten Artikeln werde daher die Auffassung vertreten, dass die in § 18 Abs. 8 Z 2 EStG 1988 vorgesehene Datenübermittlung im Ergebnis zu keinem Mehr an Information gegenüber der Steuererklärung führe. Es werde daher um Stellungnahme ersucht, ob bzw. weshalb die Rechtsmeinung, dass § 18 Abs. 8 Z 2 EStG 1988 nicht datenschutzkonform sei, weiterhin aufrechterhalten werde. In seiner Stellungnahme vom 26. Mai 2020 führte der Bf. Folgendes aus: "1. Zum Vorhalt des BFG Im Rahmen der nachfolgenden Punkte geht der Bf. zunächst auf die dem Vorhalt angeschlossenen Unterlagen und die im Vorhalt enthaltenen Ausführungen ein: 1.1. Sonderausgaben-Datenübermittlungsverordnung (BGBl II Nr. 89/2016 idF BGBl II Nr. 122/2017) Die auf Basis der Bestimmung des § 18 Abs. 8 Z 2 lit. d EStG 1988 erlassene Sonderausgaben-Datenübermittlungsverordnung (im Folgenden die "Sonderausgaben-DÜV") enthält detaillierte Bestimmungen zu den Inhalten der von den Zuwendungsempfängern gemäß § 18 Abs. 8 Z 2 EStG 1988 vorzunehmenden Übermittlungen und zum anzuwendenden Verfahren bei der Datenübermittlung. Für das gegenständliche Verfahren ist insbesondere die Bestimmung des § 14 Sonderausgaben-DÜV relevant. In dieser Bestimmung, die sich ausweislich der Überschrift des 3. Abschnitts der Sonderausgaben-DÜV auf die Behandlung der Daten der betroffenen Personen nach erfolgter Übermittlung bezieht, ist die Sicherstellung der folgenden technischen und (verwaltungs-) organisatorischen Maßnahmen vorgeschrieben: I. Zugänglichmachung von Informationen über die konkreten übermittlungspflichtigen Organisationen (das sind die Zuwendungsempfänger) an einen berechtigten Organwalter nur im Falle von Überprüfungshandlungen in Bezug auf die übermittelten Zuwendungen; II. sonst nur Zugänglichmachung der Summe der Zuwendungen ohne Angabe der jeweils übermittelnden Organisation; III. Zugänglichmachung der übermittelten Zuwendungsbeträge einschließlich Gliederung nach den übermittlungspflichtigen Organisationen gegenüber dem Steuerpflichtigen; IV. Angabe der betragsmäßigen Informationen, die sich auf übermittlungspflichtige Organisationen beziehen, dürfen nur in einer Beilage zum Abgabenbescheid ersichtlich gemacht werden. Die Beilage darf elektronisch für Organwalter nicht einsehbar gemacht werden. Zusammenfassend handelt es sich bei den in § 14 Sonderausgaben-DÜV vorgesehenen Maßnahmen aus Sicht des Datenschutzrechts um technische bzw. organisatorische Datensicherheitsmaßnahmen (siehe dazu Punkt 2.7 unten). Die Sonderausgaben-DÜV enthält im Übrigen keine zusätzlichen Regelungen hinsichtlich der für die Rechtsmäßigkeit einer Datenverarbeitung notwendigen Rechtsgrundlage (siehe dazu Punkt 2.8 unten). 1.2. Atzmüller, Elektronische Datenübermittlung betreffend Sonderausgaben, SWK 34/2016, 1433ff Der in der Überschrift genannte und dem Vorhalt angeschlossene Beitrag von Atzmüller setzt sich detailliert mit den Regelungen der Sonderausgaben-DÜV auseinander. Im Folgenden erlaubt sich der Bf. auf die für das gegenständliche Verfahren relevanten Punkte einzugehen: In Punkt 1.1 beschreibt Atzmüller durchaus treffend das sich durch die elektronische Datenübermittlung in Bezug auf Zuwendungen ergebende Spannungsfeld verschiedener Interessen: V. So wird festgehalten, dass der Zuwendende immer die alleinige Entscheidung über die Zulassung oder den Widerruf der Datenübermittlung haben muss. Weiters müsse auch sichergestellt werden, dass es weder zu einer missbräuchlichen Weitergabe und Verwendung von Identifikationsdaten noch zu einer Durchleuchtung von Zahlungspräferenzen (Stichwort "Gläserner Spender") kommen dürfe. VI. Der Aufwand für die übermittlungspflichtigen Organisationen soll möglichst gering gehalten werden und der Übermittlungsprozess soll Rechtssicherheit bieten. VII. Für die Finanzverwaltung sei eine durchgängig EDV-basierte Verarbeitung ohne Medienbruch wichtig, wobei manipulative Eingriffe möglichst gering gehalten werden sollen. In der Folge wird mehrfach auf das so bezeichnete "Opting-in" bzw. die Tatsache verwiesen, dass es dem Zuwendenden frei steht, eine Datenübermittlung durch Bekanntgabe der in § 18 Abs. 8 Z 1 EStG genannten personenbezogenen Daten zu ermöglichen. Aus datenschutzrechtlicher Sicht ist allerdings zu beachten, dass sich dieses "Opting-in" bzw. die diesbezügliche Entscheidung des Zuwendenden nur auf die Frage bezieht, ob Zuwendungen als Sonderausgaben berücksichtigt werden sollen oder nicht. Wenn eine Berücksichtigung von Zuwendungen als Sonderausgabe gewünscht ist, ist die Bekanntgabe der Daten und die Zustimmung zur Datenübermittlung durch den Zuwendungsempfänger (bzw. das Unterlassen einer Untersagung der Übermittlung) verpflichtend vorgesehen. Insofern liegt keine Einwilligung im Sinne von Art 7 DSGVO vor, weil die diesbezügliche Voraussetzung der "Freiwilligkeit" nicht gegeben ist. In Punkt 6. beschreibt Atzmüller detailliert den Inhalt und die Form der Datenübermittlung, insbesondere wird hier auch die Ermittlung des "verschlüsselten bereichsspezifischen Personenkennzeichen für Steuern und Abgaben (vbPK SA) beschrieben. Das vbPK SA ist vom jeweiligen Zuwendungsempfänger gemäß § 18 Abs. 8 Z 2 EStG gemeinsam mit dem Gesamtbetrag der im jeweiligen Kalenderjahr zugewendeten Beträge an die Abgabenbehörden zu übermitteln. Aus der Sicht der DSGVO handelt es sich bei dem beschriebenen Vorgang der Bildung des vbPK SA um eine "Pseudonymisierung" im Sinne von Art 4 Z 5 DSGVO. Dies bedeutet, dass eine direkte Zuordnung der übermittelten Daten zu bestimmten Personen durch einen Dritten nicht mehr möglich wäre. Zu beachten ist allerdings, dass es sich bei den übermittelten Daten trotz der vorgenommenen Pseudonymisierung weiterhin um personenbezogene Daten handelt, die den Regelungen der DSGVO und des DSG unterliegen. Die in Punkt 6.3. beschriebene Datenübermittlung im Wege von FinanzOnline, welche nur nach Zulassung des jeweiligen Zuwendungsempfängers zur Teilnahme an der Datenübermittlung gemäß § 10 Sonderausgaben-DÜV möglich ist, stellt aus der Sicht des Bf. ebenfalls eine organisatorische bzw. technische Datensicherheitsmaßnahme dar. Bemerkenswert ist allerdings, dass auch Atzmüller hier ausdrücklich darauf verweist, dass es sich bei den übermittelten personenbezogenen Daten um besonders sensible Daten handelt. Dies deckt sich mit dem Vorbringen des Bf. in der Beschwerde, wonach zumindest nicht ausgeschlossen werden kann, dass die im Rahmen der Datenübermittlung übermittelten personenbezogenen Daten uU auch Informationen zu politischen Meinungen oder religiösen oder weltanschaulichen Überzeugungen enthalten und insofern als Daten besonderer Kategorien im Sinne von Art 9 DSGVO anzusehen sind. In Punkt 8.1. beschreibt Atzmüller die Regelungen des § 14 Sonderausgaben-DÜV und führt aus, dass zum Schutz der Persönlichkeitssphäre des Zuwendenden in dieser Bestimmung eine abgestufte Informationsmöglichkeit für die Finanzverwaltung vorgesehen sei: - So sei im EDV-System der Finanzverwaltung sichergestellt, dass die im Rahmen der elektronischen Datenübermittlung übermittelten Angaben nur summarisch bzw. nach Kategorien dargestellt werden und somit im Vergleich mit der Information aus der Steuererklärung (gemeint wohl ohne automatische Datenübermittlung) zu keinem "Mehr an Information" führen. - Eine vertiefte Information, welche auch die einzelnen übermittelnden Organisationen betreffe, sei EDV-technisch nur möglich, wenn die übermittelte Zuwendung selbst Gegenstand einer Überprüfungshandlung sei. Das Finanzamt habe schon bisher die Möglichkeit gehabt, diese Information vom Steuerpflichtigen zu erlangen, sodass auch insoweit kein Mehr an Information zugänglich gemacht würde. Diesbezüglich verweist Atzmüller auf die Bestimmungen der §§ 138 und 161 BAO. Auch im letzten Punkt des Artikels wird nochmals darauf verwiesen, dass die Datenübermittlung zu keinem Mehr an Information gegenüber der Steuererklärung führe. Die hier vorgebrachten Argumente, die auch im Vorhalt des BFG enthalten sind, sind allerdings sowohl in tatsächlicher als auch in rechtlicher Hinsicht nicht nachvollziehbar. Diesbezüglich wird auf die Ausführungen im Punkt 2.9 unten verwiesen. 1.3. Zirngast, Die Sonderausgaben-Datenübermittlungsverordnung, SWK 15/2017, 722 Auch im mit dem Vorhalt übermittelten Artikel von Zirngast werden die Bestimmungen der Sonderausgaben-DÜV im Detail analysiert. Im Hinblick auf den Verfahrensgegenstand sind insbesondere die Ausführungen in Punkt 5 relevant: In diesem Abschnitt weist Zirngast darauf hin, dass nunmehr anstelle der ursprünglich offenbar vorgesehenen Verknüpfung der zu übermittelnden Daten über Zuwendungen mit der Sozialversicherungsnummer stattdessen das vbPK SA herangezogen wird. Auch nach Ansicht des Bf. ist aus datenschutzrechtlicher Sicht eine Pseudonymisierung unter Heranziehung des vbPK SA einer Verknüpfung der Daten mit der Sozialversicherungsnummer, die aus datenschutzrechtlicher Sicht jedenfalls bedenklich gewesen wäre, vorzuziehen. Die Bestimmung des § 14 Sonderausgaben-DÜV wird von Zirngast allgemein dargestellt, ohne dass im Artikel eine eigene Stellungnahme enthalten ist. 2.Stellungnahme des Bf. zum Vorhalt des BFG Im Folgenden erlaubt sich der Bf. Stellung zum Vorhalt des BFG zu nehmen, das sich - soweit für den Bf. ersichtlich - vor allem auf die von Atzmüller vertretene Rechtsansicht (siehe dazu Punkt 1.2 oben) stützt. Zum besseren Verständnis werden dabei zunächst einige allgemeine Aspekte der anwendbaren datenschutzrechtlichen Bestimmungen dargestellt. 2.1. Sachlicher Anwendungsbereich der DSGVO Ganz allgemein ist zu beachten, dass die Bestimmungen des DSGVO gemäß Art 2 DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Datensystem gespeichert sind oder gespeichert werden sollen, gelten. Aus Kompetenzgründen ist in Art 2 Abs. 2 lit. a eine Ausnahme des Anwendungsbereichs der DSGVO für Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen, vorgesehen. In diesem Zusammenhang ist allerdings auf die Bestimmung des § 4 Abs. 1 DSG zu verweisen, wonach die DSGVO für alle in Art 2 DSGVO genannten Verarbeitungen gilt, soweit nicht Bestimmungen des 3. Hauptstücks des DSG vorgehen (das 3. Hauptstück des DSG betrifft die Verarbeitung von Daten für Zwecke der Sicherheitspolizei, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, Strafvollstreckung und des Maßnahmenvollzugs). Für den Bereich des Abgabenrechts (insbesondere auch hinsichtlich der Einkommensteuer) ist die DSGVO daher vollinhaltlich anwendbar (Vock/Bauer, Datenschutzrechtliche Sonderregelungen im Abgabenverfahren, RdW 2018, 592; Ehrke-Rabel/Gunacker-Slawitsch, Anpassung der BAO an die DSGVO als Persilschein zur finanzbehördlichen Datensammlung? taxlex 2019, 90 [92]). 2.2. Allgemeine Grundsätze für die Verarbeitung personenbezogener Daten In Art 5 DSGVO sind die Grundsätze für die Verarbeitung personenbezogener Daten geregelt, zu deren Einhaltung gemäß Art 5 Abs. 2 DSGVO der Verantwortliche verpflichtet ist. Für das gegenständliche Beschwerdeverfahren sind dabei insbesondere die zwei nachfolgend beschriebenen Grundsätze relevant, auch wenn die weiteren in Art 5 Abs. 1 DSGVO angeführten Grundsätze natürlich ebenso zu beachten sind: 2.3. Rechtmäßigkeit der Datenverarbeitung/Rechtsgrundlage Gemäß Art 5 Abs. 1 lit a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ("Rechtmäßigkeit, Verantwortung nach Treu und Glauben, Transparenz"). Rechtmäßig ist eine Verarbeitung insbesondere dann, wenn eine der in Art 6 Abs. 1 DSGVO (taxativ) genannten Rechtsgrundlagen (oder allenfalls des Art 9 DSGVO) vorliegt (vgl ErwGr 40ff zur DSGVO; Herbst in Kühling/Buchner, DSGVO - BDSG2, Art 5 Rz 11f; Heberlein in Ehmann/Selmayr, Datenschutzgrundverordnung, Art 5 Rz 8). Im öffentlichen Bereich kommen insbesondere (i) die in Art 6 Abs. 1 lit. a DSGVO genannte Einwilligung, (ii) die Erfüllung einer rechtlichen Verpflichtung gemäß Art 6 Abs. 1 lit c DSGVO oder (iii) gemäß Art 6 Abs. 1 lit. e DSGVO die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, in Betracht. Für die beiden letztgenannten Bestimmungen muss gemäß Art 6 Abs. 3 DSGVO eine (gesetzliche oder allenfalls verordnungsmäßige) Rechtsgrundlage des Unionsrechts oder des Rechts eines Mitgliedsstaates vorliegen, welche den in dieser Bestimmung genannten Voraussetzungen genügt. Insbesondere muss eine solche Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen (Vock/Bauer, Datenschutzrechtliche Sonderregelungen im Abgabenverfahren, RdW 2018, 592 [594]; Ehrke-Rabel/Gunacker-Slawitsch, Anpassung der BAO an die DSGVO als Persilschein zur finanzbehördlichen Datensammlung? taxlex 2019, 90 [93]). Soweit die Verarbeitung auch personenbezogene Daten besonderer Kategorien gemäß Art 9 DSGVO betrifft, muss gemäß Art 9 Abs. 2 lit. g DSGVO die entsprechende Rechtsgrundlage in angemessenem Verhältnis zu dem verfolgten Ziel stehen, den Wesensgehalt des Rechts auf Datenschutz wahren und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsehen sowie aus Gründen eines erheblichen öffentlichen Interesses erforderlich sein. Aus beiden genannten Bestimmungen ergibt sich insofern, dass eine die Verarbeitung von personenbezogenen Daten rechtfertigende Rechtsgrundlage jedenfalls auch verhältnismäßig sein muss. Dies entspricht grundsätzlich auch der Judikatur des Verfassungsgerichtshofes zum weiterhin anwendbaren § 1 DSG. Diesbezüglich vertritt der VfGH in ständiger Rechtsprechung die Ansicht, dass an die Verhältnismäßigkeit des Eingriffs in das Grundrecht auf Datenschutz nach § 1 DSG ein strengerer Maßstab angelegt werden müsse, als es sich bereits aus Art 8 EMRK ergibt (VfSlg. 19.892; vgl. auch Eberhard in Korinek/Holoubek/Bezemek/Fuchs/Martin/Zellenberg, Österreichisches Bundesverfassungsrecht II/2, DSG § 1 Rz 61 mwN). Weiters geht der VfGH davon aus, dass die Fälle zulässiger Eingriffe in das Grundrecht auf Datenschutz konkretisiert und begrenzt werden müssen, weshalb schon aus diesem Grund eine Verarbeitung (Speicherung) von Daten "auf Vorrat", also ohne aktuellen Verwendungsbedarf, mit den Vorgaben des Grundrechts auf Datenschutz nur schwer in Einklang zu bringen ist (VfSlg. 19.892; vgl. auch Eberhard in Korinek/Holoubek/Bezemek/Fuchs/Martin/Zellenberg, Österreichisches Bundesverfassungsrecht II/2, DSG § 1 Rz 73). 2.4. Grundsatz der Datenminimierung Nach Art 5 Abs. 1 lit. c DSGVO müssen die von einer konkreten Datenverarbeitung erfassten personenbezogenen Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung"). Aus diesem Grundsatz folgt insbesondere, dass eine präventive Verarbeitung von personenbezogenen Daten bzw. eine Speicherung von personenbezogenen Daten "auf Vorrat" nicht zulässig ist (Heberlein in Ehmann/Selmayr, Datenschutzgrundverordnung, Art 5 Rz 22). Im gegenständlichen Fall werden aber neben den für die Feststellung der jeweiligen Steuerschuld erforderlichen Daten (im Wesentlichen nur der Gesamtbetrag der Zuwendungen an begünstigte Zuwendungsempfänger), die vor Einführung der automatischen Übermittlung von Zuwendungen vom jeweiligen Steuerpflichtigen in der Steuererklärung angegeben wurden, zusätzliche Daten über alle Zuwendungen aller Steuerpflichtigen an alle (begünstigten) Zuwendungsempfänger verarbeitet. Während nach dem ursprünglichen Modell (vor Einführung der automatischen Datenübermittlung) entsprechende Daten nur im Fall einer Überprüfung vom jeweiligen Steuerpflichtigen angefordert und in der Folge anlassbezogen verarbeitet wurden, erfolgt nunmehr eine Verarbeitung (insbesondere Speicherung) aller in Frage kommender Daten "auf Vorrat". Damit ist die Verarbeitung personenbezogener Daten aber gerade nicht auf das notwendige Maß beschränkt, sondern im Gegenteil wird die Menge der verarbeiteten Daten geradezu "maximiert". 2.5. Datenschutzrechtliche Rollenverteilung Eine wichtige Vorfrage bei der Prüfung datenschutzrechtlicher Sachverhalte ist weiters die Festlegung, wer der Verantwortliche im Sinne von Art. 4 Z 7 DSGVO für eine konkrete Datenverarbeitung ist. Die Klärung dieser Frage ist deswegen bedeutsam, weil der Verantwortliche der primäre Normadressat der in der DSGVO vorgesehenen Pflichten in Zusammenhang mit der Verarbeitung personenbezogener Daten ist. Verantwortlicher ist nach der genannten Bestimmung jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Auch wenn gerade im öffentlichen Bereich diesbezüglich noch nicht alle Fragen abschließend geklärt sind, ist wohl davon auszugehen, dass im Vollzugsbereich der Bundesministerien der jeweilige Bundesminister bzw. die jeweilige Bundesministerin auch Verantwortlicher im Sinne der DSGVO ist (Lachmayer, Die DSGVO im öffentlichen Bereich, ÖJZ 2018, 112 [115]). Für die Festsetzung und Einhebung der Bundesabgaben wäre dies wohl der Bundesminister für Finanzen. Allenfalls könnte auch das einzelne Finanzamt (oder zukünftig das Finanzamt Österreich) als Verantwortlicher angesehen werden. Für die rechtliche Beurteilung des gegenständlichen Sachverhalts dürfte diese Frage von untergeordneter Bedeutung sein. Jedenfalls nicht Verantwortlicher im Sinne der DSGVO ist der einzelne Organwalter, welcher mit der Bearbeitung und/oder Prüfung von Steuererklärungen betraut ist. Insofern sind die Ausführungen von Atzmüller (siehe Punkt 1.2 oben), wonach es eine abgestufte Informationsmöglichkeit "für die Finanzverwaltung" gebe, nicht ganz korrekt. Die abgestufte Informations- bzw. Einsichtsmöglichkeit besteht nämlich nur in Bezug auf einzelne Organwalter. Die Verarbeitung der hier relevanten Daten (unabhängig davon, ob es sich beim Verantwortlichen um den Bundesminister für Finanzen oder nachgeordnete Behörden bzw. Finanzämter handelt) betrifft jedenfalls alle personenbezogenen Daten im Hinblick auf begünstigte Zuwendungen, weshalb auch die Rechtmäßigkeit der Verarbeitung dieser (nämlich aller) Daten durch den Verantwortlichen zu prüfen ist. Nur der Vollständigkeit halber wird darauf hingewiesen, dass die in der Sonderausgaben-DÜV vorgesehenen Einschränkungen der Einsichtnahme für einzelne Organwalter vom Bundesfinanzminister jederzeit abgeändert (und allenfalls auch gelockert) werden könnten. 2.6. Pflichten des Verantwortlichen nach dem DSGVO Den Verantwortlichen im Sinne von Art 4 Z 7 DSGVO treffen nach der DSGVO unter anderem die nachfolgenden Verpflichtungen: 1. Auf die in Art 5 Abs. 2 DSGVO vorgesehene Verpflichtung des Verantwortlichen zur Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art 5 DSGVO wurde in den vorstehenden Abschnitten bereits hingewiesen. 2. Darüber hinaus hat der Verantwortliche aber nach Art 12 DSGVO auch geeignete Maßnahmen zur Einhaltung der Informationspflichten gemäß Art 13 und 14 DSGVO und zur Sicherung der Rechte betroffener Personen gemäß den Art 15 bis 22 DSGVO vorzusehen. 3. Weiters hat der Verantwortliche gemäß Art 30 DSGVO ein Verzeichnis der Verarbeitungstätigkeiten zu führen, welches auf Anfrage der Aufsichtsbehörde zur Verfügung zu stellen ist. 4. Der Verantwortliche ist gemäß Art 32 DSGVO verpflichtet, technische und organisatorische Datensicherheitsmaßnahmen zu treffen (dazu sogleich unten). 5. Gemäß Art 33f DSGVO muss der Verantwortliche im Falle einer Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden eine Meldung an die Aufsichtsbehörde erstatten. 6. Im Fall des Vorliegens der Voraussetzungen nach Art 35 DSGVO muss der Verantwortliche eine Datenschutz-Folgeabschätzung durchführen. 7. Gemäß Art 37 Abs. 1 lit. a DSGVO ist bei Datenverarbeitungen von Behörden oder öffentlichen Stellen auch jedenfalls ein Datenschutzbeauftragter zu benennen. 2.7. Technische und organisatorische Datensicherungsmaßnahmen In Art 32 Abs. 1 DSGVO ist - wie bereits ausgeführt - die Verpflichtung für den Verantwortlichen enthalten, geeignete technische und organisatorische Datensicherheitsmaßnahmen zu treffen. Die Festlegung, welche technischen und organisatorischen Datensicherheitsmaßnahmen im Einzelfall konkret erforderlich sind, erfolgt nach dem sogenannten risikobasierten Ansatz, d.h. dass dabei u.a. der Stand der Technik, die Implementierungskosten, aber auch die Art, der Umfang, die Umstände und der Zweck der Verarbeitung sowie die unterschiedlichen Eintrittswahrscheinlichkeiten und die Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen sind. In der Folge werden einige Beispiele für solche Datensicherheitsmaßnahmen angeführt: 1. Pseudonymisierung und Verschlüsselung personenbezogener Daten; 2. die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen; 3. die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen: 4. ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. Zu beachten ist nun, dass es sich bei den in § 18 Abs. 8 EStG vorgesehenen Maßnahmen in Zusammenhang mit der Übermittlung und Verarbeitung der personenbezogenen Daten der jeweiligen Steuerpflichtigen vor allem um technische und organisatorische Datensicherheitsmaßnahmen handelt: I. So sieht § 18 Abs. 8 Z 2 EStG vor, dass anstelle der Daten zur Identifikation des Steuerpflichtigen (Name und Geburtsdatum) das verschlüsselte bereichsspezifische Personenkennzeichen zu übermitteln ist, damit erfolgt eine Pseudonymisierung der hier relevanten Daten. II. In § 9 Sonderausgaben-DÜV wird hinsichtlich der Datenübermittlung auf die FOnV 2006 verwiesen, die ebenfalls technische Sicherheitsmaßnahmen und insbesondere eine Beschränkung des Teilnehmerkreises vorsieht. III. § 14 Sonderausgaben-DÜV regelt - wie oben beschrieben - detailliert die Zugriffsberechtigungen einzelner Organwalter auf die verarbeiteten Daten und differenziert dabei insbesondere danach, ob die übermittelten Zuwendungen Gegenstand einer Überprüfungshandlung sind. Diese Regelungen stellen ebenfalls eine organisatorische Datensicherheitsmaßnahme dar. 2.8. Geeignete und angemessene Datensicherheitsmaßnahmen ersetzen nicht die Rechtsgrundlage Wie im vorstehenden Abschnitt ausgeführt, sind im Zusammenhang mit der Übermittlung von Zuwendungen in § 18 Abs. 8 EStG und in der Sonderausgaben-DÜV eine Reihe von technischen und organisatorischen Datensicherheitsmaßnahmen vorgesehen. Die gegenständliche Beschwerde zielt nicht darauf ab, dass solche Datensicherheitsmaßnahmen im gegenständlichen Zusammenhang fehlen oder nicht angemessen sind. Umgekehrt ist allerdings zu beachten, dass auch noch so umfangreiche technische und organisatorische Datensicherheitsmaßnahmen, die auf dem aktuellen Stand der Technik beruhen, eine fehlende oder nicht ausreichende Rechtsgrundlage im Sinne von Art 6 DSGVO bzw. Art 9 DSGVO nicht ersetzen können (Stichwort: Datenschutz ist nicht gleich Datensicherheit). 2.9. (Angeblich) Kein Mehr an Information durch Übermittlung von Zuwendungen Zuletzt ist noch auf die im Vorhalt referierte Ansicht von Atzmüller einzugehen, wonach sich durch die elektronische Übermittlung von Daten zu Zuwendungen (und deren Verarbeitung durch die Finanzverwaltung) "kein Mehr an Informationen" ergebe: Atzmüller verweist diesbezüglich insbesondere auf § 14 Sonderausgaben-DÜV und die dort vorgesehene "abgestufte" Zugriffsmöglichkeit der Finanzverwaltung (obwohl wie oben ausgeführt nur die Zugriffsmöglichkeit einzelner Organwalter von der genannten Einschränkung erfasst ist). Wie bereits oben ausgeführt, handelt es sich dabei allerdings um eine (organisatorische) Datensicherheitsmaßnahme. Bei der Klärung der Frage, ob nunmehr im Vergleich zur Situation vor der elektronischen Übermittlung von Daten zu Zuwendungen gemäß § 18 Abs. 8 EStG mehr personenbezogene Daten verarbeitet werden, ist nicht darauf abzustellen, welche Daten für einzelne Organwalter zugänglich sind, sondern welche Daten vom Verantwortlichen im Sinne der DSGVO tatsächlich verarbeitet werden. Wie oben bereits ausgeführt, ist davon auszugehen, dass wohl der Bundesminister für Finanzen als Verantwortlicher für die hier gegenständliche Datenverarbeitung anzusehen ist (das nachfolgende Argument bleibt aber auch gültig, wenn sonstige Abgabenbehörden als Verantwortliche ermittelt würden). Eine Prüfung des Umfangs der verarbeiteten Daten auf der Ebene des Verantwortlichen ergibt aber unmittelbar, dass durch die elektronische Übermittlung aller steuerlich zu berücksichtigenden Zuwendungen (welche beim Verantwortlichen sowohl dem einzelnen Steuerpflichtigen als auch dem jeweiligen Zuwendungsempfänger zugeordnet sind) eine vielfach größere Datenmenge anfällt als zu der Zeit, als die Zuwendungen nur in Summe in der Steuererklärung angegeben wurden und die Bekanntgabe des konkreten Zuwendungsempfängers nur im Rahmen einer Überprüfung und insofern anlassbezogen im Einzelfall erfolgte. Daran ändert auch die Tatsache nichts, dass - worauf Atzmüller hinweist - der Abgabenbehörde auf Basis der BAO gewisse Kompetenzen zur Erhebung von Informationen im Rahmen des Abgabenverfahrens zukommen (z.B. § 138 BAO oder § 161 BAO). Erstens stehen diese Kompetenzen den Abgabenbehörden nur unter bestimmten Voraussetzungen zu und zweitens - aus datenschutzrechtlicher Sicht noch bedeutsamer - führt die Ausübung solcher Kompetenzen im Einzelfall anders als die Speicherung aller Daten über Zuwendungen "auf Vorrat" nur dazu, dass eine Erhebung und Speicherung (und damit Verarbeitung) solcher Daten nur in jenem Ausmaß erfolgt, das für den Einzelfall bedeutsam ist, und damit auch der Grundsatz der Datenminimierung eingehalten wird. Diese Unterscheidung zwischen der Speicherung aller Daten "auf Vorrat" und der Erhebung einzelner Daten im Anlassfall gilt auch in vielen anderen Bereichen und spielt vor allem bei der Verhältnismäßigkeitsprüfung bei Grundrechtseingriffen (siehe dazu die Ausführungen in der Beschwerde und in Punkt 2.3 oben) eine entscheidende Rolle.