BFG RV/1100264/2019

Würde man der Ansicht Atzmüllers folgen, gäbe es auch keinen Unterschied zwischen der präventiven Speicherung aller Nachrichtenübermittlungen im Sinne von § 134ff StPO und der Übermittlung solcher Daten im Anlassfall, weil ja auch hier den Strafverfolgungsbehörden entsprechende Kompetenzen zukommen. Dies wurde aber sowohl vom EuGH (EuGH 8.4.2014, C-2913/12 und C-594/12, Digital Rights Ireland u.a.; EuGH 21.12.2016, C-203/15 und C-698/15, Tele2 Sverige AB u.a.) als auch vom VfGH nicht so gesehen (VfSlg. 19.892 und zuletzt VfGH vom 11.12.2019, G72/2019 u.a.). Aus datenschutzrechtlicher Sicht ist der Ansicht Atzmüllers daher jedenfalls nicht zu folgen und es ist davon auszugehen, dass die elektronische Übermittlung von Zuwendungen sehr wohl zu einem "Mehr an Information" führt, was nur zulässig ist, wenn für eine solche erweiterte Verarbeitung von personenbezogenen Daten auch eine ausreichende Rechtsgrundlage im Sinne der DSGVO vorliegt. 2.10. Zusammenfassung Zusammenfassend ist festzuhalten, dass die Bestimmung des § 14 Sonderausgaben-DÜV insbesondere technische und organisatorische Datensicherheitsmaßnahmen regelt und auch § 18 Abs. 8 Z 2 lit. a EStG die pseudonymisierte und verschlüsselte Übermittlung der personenbezogenen Daten vorsieht und damit ebenfalls eine technische Datensicherheitsmaßnahme vorsieht. Der Bf. bezweifelt auf Basis der ihm vorliegenden Informationen und insbesondere auch der dem Vorhalt angeschlossenen Dokumente nicht, dass hinsichtlich der elektronischen Übermittlung von Daten zu Zuwendungen gemäß § 18 Abs. 8 EStG angemessene technische und organisatorische Datensicherheitsmaßnahmen vorgesehen sind. Sehr wohl bestreitet der Bf. allerdings die Ansicht von Atzmüller, wonach die elektronische Übermittlung (und Verarbeitung) aller Daten zu Zuwendungen nicht zu einem "Mehr an Information" führt. In diesem Zusammenhang geht der Bf. auch weiterhin davon aus, dass die elektronische Übermittlung der Daten zu Zuwendungen gemäß § 18 Abs. 8 EStG gegen den Grundsatz der Datenminimierung gemäß Art 5 Abs. 1 lit. c verstößt und diese Bestimmung auch keine den Voraussetzungen der Art 6 bzw. 9 DSGVO bzw. § 1 DSG entsprechende Rechtsgrundlage für eine Verarbeitung dieser Daten darstellt. Insbesondere ist die Regelung des § 18 Abs. 8 EStG im Hinblick auf den mit ihr verfolgten Zweck der "Verwaltungsvereinfachung" nicht verhältnismäßig. 3.Beschwerdeanträge/Anregung der Einleitung eines Vorabentscheidungsverfahrens Unter Verweis auf die vorstehenden Ausführungen hält der Bf. die in der Beschwerde gestellten Anträge ausdrücklich aufrecht. Der Bf. zieht allerdings den in der Beschwerde enthaltenen Antrag gemäß § 272 Abs.2 BAO auf Entscheidung durch den Senat zurück. Soweit im Hinblick auf die vorstehenden Ausführungen beim BFG gegebenenfalls Zweifel hinsichtlich der Auslegung der Bestimmungen der DSGVO und insbesondere des Art 6 DSGVO und des Art 9 DSGVO bestehen, wird nochmals auf die in der Beschwerde enthaltene Anregung, ein Vorabentscheidungsverfahren gemäß Art 267 AEUV einzuleiten, verwiesen." In der mündlichen Verhandlung legte der Bf. einen - nicht veröffentlichten - Bescheid der Datenschutzbehörde betreffend die ***2*** vom ***3*** sowie eine vom ihm erstellte schriftliche Zusammenfassung bezüglich Daten besonderer Kategorien gemäß Art 9 DSGVO mit folgendem Inhalt vor: "Definition der Daten besonderer Kategorien in Art 9 Abs. 1 DSGVO Entscheidung der Datenschutzbehörde im "***4***datenfall": Die ***4*** hat auf Basis von statistischen Erhebungen und persönlichen Merkmalen (Alter, Geschlecht, Adresse) "Parteiaffinitäten" berechnet und an (Werbe-)Kunden verkauft. Die Datenschutzbehörde bejaht die Frage, ob es sich bei solchen "Parteiaffinitäten" um Daten im Sinne von Art 9 DSGVO handelt, und hält dazu fest: "Sowohl begrifflich als auch teleologisch genügt, dass der Inhalt des Datums die in Art 9 Abs. 1 DSGVO genannte Eigenschaft für einen durchschnittlichen, objektiven Dritten zumindest mittelbar erkennen lässt, dass also die Eigenschaft aus dem Datum bzw. den Daten produziert werden kann. Die Voraussetzung des Hervorgehens ist im Zweifel großzügig auszulegen, um der Gefahr von Abgrenzungsproblemen vorzubeugen und ein einheitlich hohes Schutzniveau zu gewährleisten (***5***)". Spenden , aus denen religiöse oder weltanschauliche Überzeugungen hervorgehen: Spende an ***6***, ***7*** (Registrierungsnummer ***8***); Spende an ***9*** (Registrierungsnummer ***10***); Spende an ***11*** (***12***), (Registrierungsnummer ***13***); Spende an ***14*** - Unterstützung von Familien in Not (Registrierungsnummer ***15***); Spenden, aus denen Gesundheitsdaten hervorgehen: Spende an den ***16*** (Registrierungsnummer ***17***); Spende an ***18*** (Registrierungsnummer ***19***); Fallen Daten über getätigte Spenden unter Art 9 DSGVO?: Wie die vorhergehenden Beispiele zeigen, lassen sich aus der Tatsache, dass ein Steuerpflichtiger Spenden an bestimmte Organisationen geleistet hat, in vielen Fällen Rückschlüsse auf religiöse oder weltanschauliche Überzeugungen oder auch den Gesundheitszustand des Steuerpflichtigen (oder dessen Angehörige) ableiten. Daran ändert auch die Tatsache nichts, dass andere Spenden weltanschaulich "neutral" sind (z.B. Spende an ***20***). Zusammenfassend ist daher davon auszugehen, dass Daten über geleistete Spenden als Daten besonderer Kategorien im Sinne von Art. 9 DSGVO anzusehen sind und für die Verarbeitung daher eine Rechtsgrundlage im Sinne von Art 9 DSGVO vorliegen muss. Rechtsgrundlage für Verarbeitung von Daten gemäß Art 9 DSGVO (I): Einzige mögliche Rechtsgrundlage wäre Art 9 Abs. 2 lit. g DSGVO: "[…] die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedsstaats, das in angemessenen Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich, […]"; laut Regierungsvorlage dient die elektronische Übermittlung von Informationen über Zuwendungen gemäß § 18 Abs. 8 EStG einerseits der Verwaltungsvereinfachung und andererseits der Erhöhung der Gleichmäßigkeit der Vollziehung und der Steuergerechtigkeit; handelt es sich dabei um erhebliche öffentliche Interessen? Rechtsgrundlage für Verarbeitung von Daten gemäß Art 9 DSGVO (II): Selbst bei Annahme eines wichtigen öffentlichen Interesses oder unter der Annahme, dass keine Daten im Sinne von Art 9 vorliegen, wäre auch die Notwendigkeit zu prüfen - ist tatsächlich die Verarbeitung aller Daten über begünstigte Zuwendungen erforderlich? Zuletzt ist auch noch zu prüfen, ob die vorgesehene Verarbeitung aller Daten zu begünstigten Zuwendungen in einem angemessenen Verhältnis zum verfolgten Zweck steht - eine solche Verhältnismäßigkeitsprüfung ist sowohl in Art 9 Abs. 2 lit. g DSGVO als auch in Art 6 Abs. 3 DSGVO vorgesehen. Aus Sicht des Bf. ist die in § 18 Abs. 8 EStG vorgesehene Verarbeitung von Daten zu Zuwendungen allerdings für die verfolgten Zwecke weder notwendig noch ist eine solche Verarbeitung verhältnismäßig." Ergänzend führte der Bf. aus, auch das Finanzamt wäre verpflichtet gewesen, die DSGVO anzuwenden. Die in der Stellungnahme zum Vorlagebericht vom 9. Juli 2019 geäußerte Rechtsansicht, wonach es nicht dem Finanzamt obliege, zu beurteilen, ob § 18 Abs. 8 EStG 1988 in Widerspruch zur DSGVO stehe, sei deshalb unzutreffend. Darüber hinaus betonte der Bf. unter Bezugnahme auf den Inhalt der vorgelegten Unterlagen nochmals, dass es sich bei den der Abgabenbehörde vorliegenden Daten über getätigte Spenden aus der Sicht des Bf. eindeutig um solche besonderer Kategorien im Sinne des Art 9 Abs. 1 DSGVO handle. Beispielsweise lasse der Umstand, dass jemand der ***6***, einer Gemeinschaft erklärter Abtreibungsgegner, eine Spende zukommen lasse, einen Rückschluss darauf zu, wie der Spender zum Thema Abtreibung stehe. Ebenso werde jemand, der eine Spende an den Verein ***21*** tätige, mit hoher Wahrscheinlichkeit selbst Buddhist sein oder dieser Religionsgesellschaft zumindest nahestehen. Spende jemand an ***14***, einen Verein, der es sich zur Aufgabe gemacht habe, für im Islam vorgesehene besondere Anlässe Spenden für wohltätige Zwecke zu sammeln, liege es nahe, dass der Spender moslemischen Glaubens sei. Bei anderen Spendenempfängern, wie beispielsweise ***9***, seien Rückschlüsse auf politische Meinungen bzw. religiöse oder weltanschauliche Überzeugungen zwar nicht so eindeutig möglich. Allerdings könne auch in diesem Fällen von gewissen weltanschaulichen Überzeugungen ausgegangen werden, im Fall von ***9*** eventuell von regierungskritischen, menschenrechtsfreundlichen Überzeugungen. Aus den Tätigkeitsbereichen bestimmter Spendenempfänger wie beispielsweise dem ***22*** oder der ***18*** könnten wiederum Rückschlüsse auf den Gesundheitszustand des Spenders oder zumindest von dessen Angehörigen abgeleitet werden. Zum vorgelegten Bescheid der Datenschutzbehörde im "***4***datenfall" führte der Bf. erläuternd aus, die ***2*** habe anhand von anonymen Meinungsumfragen unter anderem errechnet, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemographischen Eigenschaften wie zum Beispiel Geschlecht, Alter, Wohnort, formale Bildung und Familienstand ein Werbeinteresse für bestimmte Parteien sowie Interesse an Wahlwerbung hätten. Diese errechneten Prozentsätze seien als "Parteiaffinitäten" der jeweiligen Marketinggruppen bezeichnet worden. Diese "Parteiaffinitäten" der betroffenen Personen seien samt Titel, Name, Wohnadresse und Geburtsdatum interessierten Dritten verkauft worden. Die ***2*** habe argumentiert, dass "Parteiaffinitäten" keine personenbezogenen Daten im Sinne des Art 4 Abs. 1 DSGVO seien, weil es sich dabei nur um "Durchschnittswahrscheinlichkeiten für eine Marketinggruppe" handle, deren sachliche Richtigkeit nicht feststellbar sei und die deshalb auch nicht berichtigt werden könnten. Die Datenschutzbehörde sei diesem Argument allerdings nicht gefolgt, sondern habe das Vorliegen personenbezogener Daten iSd Art 4 Abs. 1 DSGVO deshalb bejaht, weil sich die vorliegenden Informationen auf eine identifizierbare Person beziehen würden (ansonsten wäre keine personalisierte und zielgerichtete Werbeaktivität möglich) und unter personenbezogenen Daten nicht nur als solche unschwer erkennbaren Angaben wie Name, Geschlecht, Adresse oder Wohnort einer Person zu verstehen seien, sondern beispielsweise auch Werturteile und damit schlechthin personenbezogene Informationen. Zudem müssten die einzelnen Personen zuordenbaren Informationen nicht unbedingt wahr oder bewiesen sein, damit sie als personenbezogene Daten eingestuft würden. Seitens der Datenschutzbehörde sei die von der ***2*** ermittelte "Parteiaffinität" überdies als besondere Kategorie von personenbezogenen Daten im Sinne des Art 9 DSGVO eingestuft worden. Danach genüge es, wenn sich die politische Meinung bzw. die weltanschauliche Überzeugung aus den Daten für einen durchschnittlichen, objektiven Dritten zumindest mittelbar erkennen lasse. Die Voraussetzung des Hervorgehens sei im Zweifel großzügig auszulegen. Ebenso wie im obigen Beispiel die potentielle politische Affinität einer bestimmten Person zuordenbar sei, sei im Beschwerdefall aus dem Tätigkeitsbereich des Zuwendungsempfängers in vielen Fällen zumindest mittelbar die politische Meinung bzw. die religiöse oder weltanschauliche Überzeugung des jeweiligen Spenders ableitbar. Bezüglich der Rechtmäßigkeit der Datenverarbeitung im Beschwerdefall werde nochmals auf die Beschwerdeausführungen verwiesen, wonach die Einwilligung nicht freiwillig im Sinne von Art 7 Abs. 4 DSGVO sei. Freiwillig wäre die Einwilligung zur Datenübermittlung gemäß § 18 Abs. 8 EStG 1988 nur dann, wenn es dem Spender freistünde, zu entscheiden, ob er eine automatische Datenübermittlung in Anspruch nehmen oder ob er die Spendensumme erst in der Erklärung zur Einkommensteuererklärung geltend machen wolle unter dem Vorbehalt einer eventuellen späteren Prüfung der Rechtmäßigkeit. Art 7 Abs. 4 DSGVO ziele vor allem auf den Vertragsbereich ab. Beispielsweise müsse bei einer Bestellung bei ***23*** der Kunde die Adresse bekannt geben, damit ihm das Paket zugeschickt werden könne. Für die Verwendung der Adresse sei keine Einwilligung erforderlich, weil die Vertragserfüllung ohne Speicherung der Kundenadresse nicht möglich sei. Für die Vertragserfüllung sei aber nicht erforderlich, die Artikelsuche zu speichern, die Dauer dieser Suche bzw. ob und welche Artikel in den Warenkorb gelegt, aber nicht bestellt worden seien. Sofern Daten für die Vertragserfüllung nicht erforderlich seien, sei eine Einwilligung für die Datenverarbeitung notwendig. Im öffentlichen Bereich komme als Erlaubnistatbestand für die Datenverarbeitung einzig Art 9 Abs. 2 lit. g DSGVO in Betracht, wobei insbesondere zu verneinen sei, dass die in § 18 Abs. 8 EStG 1988 vorgesehene automatische Datenverarbeitung im Hinblick auf die damit verfolgten Zwecke verhältnismäßig sei. Zwar spiele bei der Verhältnismäßigkeit eine Rolle, ob eine Kontrollmöglichkeit der Abgabenbehörde bestehe. Diesbezüglich sei aber auf die - als nicht verhältnismäßig bewertete - Vorratsdatenspeicherung nach der StPO zu verweisen. Durch diese Vorratsdatenspeicherung sei es beispielsweise möglich gewesen, Internetbetrüger auszuforschen, die auf ***24*** Waren angeboten und die Kaufsumme einbehalten hätten, ohne den Käufern die Waren auszuhändigen. Der EuGH habe in diesem Zusammenhang festgestellt, dass die Vorratsdatenspeicherung ursprünglich für schwerste Verbrechen wie Terrorismusbekämpfung gedacht gewesen sei. In diesen Bereichen bestehe ein erhebliches öffentliches Interesse am massiven, praktisch die gesamte erwachsene Bevölkerung betreffenden Eingriff in die Personenrechte und der Eingriff sei angesichts der Schwere der potentiellen Straftaten auch verhältnismäßig. Im Beschwerdefall käme als zu verhindernde potentielle Straftat allenfalls Betrug in Betracht, welcher gemäß § 146 StGB mit einer Freiheitsstrafe von maximal sechs Monaten bedroht sei. In diesem Bereich der Kleinkriminalität bzw. bei einem potentiell drohenden Steuerausfall sei ein solch massiver Eingriff in das Grundrecht auf Datenschutz jedenfalls nicht gerechtfertigt. Als weiteres Beispiel für einen verhältnismäßigen Eingriff in das Grundrecht auf Datenschutz und als wesentlich gelinderes Mittel sei das Modell des "Quick Freeze-Verfahrens" zu nennen, mit dem Telekommunikations-Verkehrsdaten für Zwecke der Strafverfolgung vorübergehend gesichert werden könnten. Es handle sich dabei also um eine Anlassdatenspeicherung als Alternative zur Vorratsdatenspeicherung. Dabei könnten Strafverfolgungsbehörden (Polizei und Staatsanwaltschaft) in Einzelfällen bei Vorliegen eines Anfangsverdachts eine - gesetzlich vorgesehene - Speicheranordnung für Bestands- und Verkehrsdaten der Kunden von Telekommunikationsunternehmen und Internetanbietern erlassen, um zu verhindern, dass die Daten in der Zwischenzeit gelöscht würden. Sobald ein richterlicher Beschluss vorliegen würde, könnte auf die Daten zugegriffen werden, ansonsten würden die Daten gelöscht. Der Vertreter der belangten Behörde stellte den Antrag auf Abweisung der Beschwerde. Unter Verweis auf das Vorbringen in der mündlichen Verhandlung sowie das weitere Beschwerdevorbringen stellte der Bf. den Antrag, der Beschwerde Folge zu geben und die geleistete Geldspende als Sonderausgabe zu berücksichtigen. II. Das Bundesfinanzgericht hat erwogen: 1. Sachverhalt Aufgrund des dem Finanzgericht vorliegenden Überweisungsbeleges samt Übernahmebestätigung ist erwiesen, dass der Bf. einem sich auf der Liste der begünstigten Einrichtungen befindlichen gemeinnützigen Verein im Streitjahr 2018 eine Geldspende in Höhe von 20,00 Euro hat zukommen lassen. Der Bf. hat dem betreffenden Verein lediglich seinen Namen und seine Adresse, nicht aber sein Geburtsdatum bekannt gegeben, weshalb auch keine Datenübermittlung gemäß § 18 Abs. 8 Z 2 EStG 1988 erfolgte. 2. Rechtliche Beurteilung 2.1. Zu Spruchpunkt I. (Abweisung) In Streit steht, ob die in § 18 Abs. 8 EStG 1988 vorgesehene Bekanntgabe- und Übermittlungsverpflichtung wegen Verstoßes gegen § 1 DSG (Grundrecht auf Datenschutz) verfassungswidrig ist. Zu prüfen ist zudem auch die Nichtanwendbarkeit des § 18 Abs. 8 EStG 1988 wegen Verstoßes gegen die DSGVO. Nationales Recht: Gemäß § 18 Abs. 1 Z 7 EStG 1988 sind freigebige Zuwendungen - soweit sie nicht Betriebsausgaben oder Werbungskosten sind - insoweit bei der Ermittlung des Einkommens als Sonderausgaben abzuziehen, als sie zusammen mit Zuwendungen aus dem Betriebsvermögen im Sinne des § 4a insgesamt 10% des sich nach Verlustausgleich ergebenden Gesamtbetrages der Einkünfte nicht übersteigen, wenn sie a) an Einrichtungen im Sinne des § 4a Abs. 3 Z 1, 2 und 3 und Abs. 4, sowie b) ausschließlich in Geld an begünstigte Körperschaften im Sinne des § 4a Abs. 3 Z 2a, Z 4 bis 6, Abs. 4a, Abs. 5 und Abs. 6 geleistet werden. Eine Zuwendung an einen Empfänger, der keine feste örtliche Einrichtung im Inland unterhält, ist durch den Zuwendenden auf Verlangen der Abgabenbehörde durch Vorlage eines Beleges nachzuweisen. Dieser Beleg hat jedenfalls zu enthalten den Namen der empfangenden Körperschaft, den Namen des Zuwendenden, den Betrag und das Datum der Zuwendung. Auf Verlangen des Zuwendenden ist durch einen Empfänger der Zuwendung, der keine feste örtliche Einrichtung im Inland unterhält, eine Spendenbestätigung auszustellen. In dieser Bestätigung sind, neben den Inhalten die ein Beleg jedenfalls zu enthalten hat, auch die Anschrift des Zuwendenden und die Registrierungsnummer, unter der die empfangende Einrichtung in die Liste begünstigter Spendenempfänger eingetragen ist, anzuführen. Die Bestätigung kann für alle von demselben Zuwendenden in einem Kalenderjahr getätigten Zuwendungen ausgestellt werden. Steht den Zuwendungen eine Gegenleistung gegenüber, sind sie als freigebige Zuwendungen abzugsfähig, wenn der gemeine Wert der Zuwendung den Wert der Gegenleistung erheblich übersteigt. Der dem gemeinen Wert der Gegenleistung entsprechende Teil der Zuwendung ist nicht abzugsfähig. Ebenso nicht abzugsfähig sind Mitgliedsbeiträge in Höhe der satzungsgemäß von ordentlichen Mitgliedern zu entrichtenden Beiträge, die an eine der begünstigten Körperschaften bezahlt werden. Freigebige Zuwendungen an begünstigte Einrichtungen im Sinne der lit. b und an Einrichtungen gemäß § 4a Abs. 4 lit. d sind nur dann abzugsfähig, wenn die empfangende Einrichtung zum Zeitpunkt der Zuwendung in der Liste begünstigter Spendenempfänger (§ 4a Abs. 7 Z 1) eingetragen ist; dies gilt nicht für Zuwendungen an Einrichtungen gemäß § 4a Abs. 6 und Abs. 3 Z 2a. Gemäß § 18 Abs. 8 Z 1 EStG 1988 sind Beiträge und Zuwendungen an einen Empfänger, der eine feste örtliche Einrichtung im Inland unterhält, nur dann als Sonderausgaben zu berücksichtigen, wenn dem Empfänger Vor- und Zunamen und das Geburtsdatum des Leistenden bekannt gegeben werden und eine Datenübermittlung gemäß Z 2 erfolgt. Gemäß § 18 Abs. 8 Z 2 EStG 1988 sind Empfänger von Beiträgen und Zuwendungen im Sinne der Z 1 verpflichtet, den Abgabenbehörden im Wege von FinanzOnline Informationen nach Maßgabe der folgenden Bestimmungen elektronisch zu übermitteln. Zu übermitteln sind gemäß lit. a dieser Norm das verschlüsselte bereichsspezifische Personenkennzeichen für Steuern und Abgaben (vbPK SA) des Leistenden, wenn dieser dem Empfänger Vor- und Zunamen und sein Geburtsdatum bekannt gegeben hat, und der Gesamtbetrag aller im Kalenderjahr zugewendeten Beträge des Leistenden. Die Übermittlung hat zu unterbleiben, wenn der Leistende dem Empfänger die Übermittlung ausdrücklich untersagt hat. In diesem Fall darf bis zum Widerruf für sämtliche Leistungen des betreffenden Kalenderjahres und der Folgejahre keine Übermittlung erfolgen. Gemäß § 18 Abs. 8 Z 5 lit. b EStG 1988 erfüllen die auf Grundlage der Z 1 bis 3 vorzunehmenden Datenverarbeitungen die Voraussetzungen des Art. 35 Abs. 10 für den Entfall der Datenschutz-Folgeabschätzung nach der Verordnung (EU) Nr. 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1. Gemäß § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind. Gemäß § 1 Abs. 2 DSG sind, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. Gemäß § 4 Abs. 1 DSG gelten die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen. Gemäß § 14 der Verordnung des Bundesministers für Finanzen zur Übermittlung von Daten für die Berücksichtigung von Sonderausgaben in der Einkommensteuerveranlagung (Sonderausgaben-Datenübermittlungsverordnung - Sonderausgaben-DÜV) ist im Interesse des Schutzes der Persönlichkeitssphäre des Zuwendenden verwaltungsorganisatorisch und technisch Folgendes sicherzustellen: 1. Einem berechtigten Organwalter dürfen Informationen betreffend die konkrete(n) übermittlungspflichtige(n) Organisation(en) nur in Fällen zugänglich gemacht werden, in denen übermittelte Zuwendungen Gegenstand einer Überprüfungshandlung sind. 2. In allen von Z 1 nicht betroffenen Fällen dürfen Daten, die übermittelte Zuwendungen betreffen, im Rahmen der automatisationsunterstützten Datenverarbeitung nur summarisch und ohne Benennung der jeweils übermittelnden Organisation zugänglich gemacht werden. Der Gesamtbetrag der von der Datenübermittlung betroffenen Zuwendungen ist nach Kategorien gegliedert darzustellen. Dabei gilt gemäß lit. b dieser Norm, dass die sonstigen übermittelten Zuwendungen nach der in der Abgabenerklärung für derartige Betriebsausgaben vorgesehenen Gliederung und Bezeichnung in einer Gesamtsumme darzustellen sind. 3. Die von übermittlungspflichtigen Organisationen durchgeführten Übermittlungen sind dem betroffenen Steuerpflichtigen in FinanzOnline einsehbar zu machen. Dabei sind die übermittelten Daten nach den übermittlungspflichtigen Organisationen zu gliedern und betragsmäßig anzuzeigen. 4. In einem Abgabenbescheid dürfen betragsmäßig Informationen, die sich auf die übermittlungspflichtigen Organisationen beziehen, nur in einer Beilage ersichtlich gemacht werden. Im Rahmen der automatisationsunterstützten Datenverarbeitung darf diese Beilage für Organwalter nicht einsehbar gemacht werden. Gemäß § 48d Abs. 1 BAO ist die ganz oder teilweise automatisierte sowie die nichtautomatisierte Verarbeitung personenbezogener Daten durch eine Abgabenbehörde zulässig, wenn sie für Zwecke der Abgabenerhebung oder sonst zur Erfüllung ihrer Aufgaben oder in Ausübung öffentlicher Gewalt, die ihr übertragen wurde, erforderlich ist. Gemäß § 48d Abs. 2 BAO ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1 (im Folgenden: DSGVO), durch eine Abgabenbehörde zulässig, wenn die Voraussetzungen des Abs. 1 und ein erhebliches öffentliches Interesse im Sinne des Art. 9 Abs. 2 lit. g DSGVO vorliegen. Gemäß § 114 Abs. 1 BAO haben die Abgabenbehörden haben zu achten, dass alle Abgabepflichtigen nach den Abgabenvorschriften erfasst und gleichmäßig behandelt werden, sowie darüber zu wachen, dass Abgabeneinnahmen nicht zu Unrecht verkürzt werden. Sie haben alles, was für die Bemessung der Abgaben wichtig ist, sorgfältig zu erheben und die Nachrichten darüber zu sammeln, fortlaufend zu ergänzen und auszutauschen. Gemäß § 114 Abs. 2 BAO darf hierfür eine elektronische Dokumentation angelegt werden (Dokumentationsregister). Diese Dokumentation hat insbesondere Daten betreffend die Identität des Abgabepflichtigen und die Klassifizierung seiner Tätigkeit zu umfassen. Gemäß § 114 Abs. 3 BAO kann die Abgabenbehörde Anbringen und andere das Verfahren betreffende Unterlagen mit automationsunterstützter Datenverarbeitung erfassen. Diese Erfassung beeinträchtigt nicht die Beweiskraft, wenn sichergestellt ist, dass die so erfassten Unterlagen nachträglich nicht unbemerkbar verändert werden können. Gemäß § 114 Abs. 4 BAO dürfen Abgabenbehörden personenbezogene und nicht personenbezogene Daten für Zwecke des automationsunterstützten Risikomanagements und der Betrugsbekämpfung verarbeiten, soweit dies nach dem Grundsatz der Verhältnismäßigkeit zur Erfüllung ihrer Aufgaben geeignet, erforderlich und angemessen ist. Unionsrecht: Die Verordnung (EU) 2016/679 des europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden abgekürzt DSGVO) gilt gemäß ihrem Art 2 Abs. 1 für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Der Ausdruck "personenbezogene Daten" bezeichnet gemäß Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Der Ausdruck "Verarbeitung" bezeichnet gemäß Art 4 Z 2 DSGVO jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Der Ausdruck "Pseudonymisierung" bezeichnet gemäß Art 4 Z 5 DSGVO die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden. Der Ausdruck "Einwilligung" der betroffenen Person bezeichnet gemäß Art 4 Z 11 DSGVO jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Gemäß Art 6 Abs. 1 lit. a DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat. Gemäß Art 6 Abs. 1 lit. e erster Halbsatz DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt. Gemäß Art 6 Abs. 3 DSGVO wird die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstabe e festgelegt durch Unionsrecht (lit. a) oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt (lit. b). Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. Gemäß Art 7 Abs. 4 DSGVO muss bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind. Gemäß Art 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt. Gemäß Art 9 Abs. 2 lit. a DSGVO gilt Absatz 1 nicht, wenn die betroffene Person in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden. Gemäß Art 9 Abs. 2 lit. f DSGVO gilt Absatz 1 nicht, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist. Gemäß Art 9 Abs. 2 lit. g DSGVO gilt Absatz 1 nicht, wenn die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist. a) Nichtanwendbarkeit der Bestimmung des § 18 Abs. 8 EStG 1988 aufgrund des Anwendungsvorrangs der DSGVO Die ab 25. Mai 2018 in Österreich unmittelbar anwendbare Datenschutz-Grundverordnung (kurz DSGVO) genießt Anwendungsvorrang vor dem nationalen Recht. Sofern daher eine nationale Rechtsvorschrift in Widerspruch zur DSGVO steht, darf sie nicht angewendet werden. aa) Sachlicher Anwendungsbereich der DSGVO Die Speicherung der gemäß § 18 Abs. 8 Z 2 EStG 1988 von den Spendenempfängern den Abgabenbehörden pseudonymisiert zu übermittelnden personenbezogenen Daten (Namen, Adressen, Geburtsdaten und Spendenbetrag) in einem Datensystem (Finanzonline) für Zwecke der Erhebung der Einkommensteuer ist ein Vorgang, der gemäß Art 2 DSGVO iVm § 4 Abs. 1 DSG in den Anwendungsbereich der DSGVO fällt. Denn § 4 Abs. 1 DSG, der die DSGVO ganz generell für die Verarbeitung personenbezogener Daten für anwendbar erklärt, schließt eine Anwendbarkeit lediglich für Zwecke der Sicherheitspolizei einschließlich des polizeilichen Staatsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzugs aus (Vock/Bauer, Datenschutzrechtliche Sonderregelungen im Abgabenverfahren, RdW 2018, 592; Ehrke-Rabel/Gunacker-Slawitsch, Anpassung der BAO an die DSGVO als Persilschein zur finanzbehördlichen Datensammlung? taxlex 2019, 90 [92]). ab) Rechtmäßigkeit der Datenverarbeitung (Art 5 Abs. 1 lit. a DSGVO, Art 6 DSGVO, Art 9 DSGVO) Nach der DSGVO ist die Verarbeitung von personenbezogenen Daten nur dann zulässig, wenn einer der in Art 6 Abs. 1 DSGVO bzw. der in Art 9 Abs. 2 leg. cit. taxativ angeführten Gründe vorliegt. Zulässig ist die Verarbeitung solcher Daten gemäß Art 6 Abs. 1 lit. a DSGVO bzw. Art 9 Abs. 2 lit. a DSGVO beispielsweise dann, wenn die betroffene Person eingewilligt hat. Der Bf. verneint das Vorliegen einer Einwilligung im Sinne der DSGVO aus zwei Gründen. Zum einen sei die Einwilligung nur konkludent erfolgt, die Lehre (Kastelitz/Hötzendorfer/Tschol in Knyrim (Hrsg) DatKomm, DSGVO Art. 9 Rz 31; Petri in Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Art. 9 DSGVO Rz 33; Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 9 Rz 28; Kampert in Sydow (Hrsg.), Europäische Datenschutzgrundordnung Art. 9 Rz 14; Schulz in Gola, DSGVO Art. 9 Rz 14; Frenzel in Paal/Pauly, Datenschutz-Grundverordnung Art. 9 Rz 21) erachte aber bei der Verarbeitung von Daten besonderer Kategorien eine konkludente Einwilligung als nicht ausreichend. Darüber hinaus war aus der Sicht des Bf. die Einwilligung auch nicht freiwillig im Sinne des Art 7 Abs. 4 DSGVO. Denn die Rechtsfolge einer Nichtbekanntgabe der erforderlichen Daten sei die finale Nichtberücksichtigung der getätigten Spenden als Sonderausgaben. Das BFG teilt die in den zitierten Lehrmeinungen vertretene Rechtsauffassung, wonach einer konkludent erfolgten Einwilligung zumindest im Bereich der Verarbeitung von Daten besonderer Kategorien keine Rechtswirksamkeit zukommt. Zwar genügt gemäß Art 4 Z 11 DSGVO für eine rechtswirksame Einwilligung eine "Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist". Allerdings sieht § 9 Abs. 2 lit. a DSGVO, dem insofern als lex specialis Vorrang vor Art 4 Z 11 DSGVO zukommt, vor, dass eine Einwilligung im Falle der Verarbeitung von Daten besonderer Kategorien ausdrücklich erfolgen muss. Für eine ausdrückliche Einwilligung im Sinne des Art. 9 Abs. 2 lit. a DSGVO ist erforderlich, der betroffenen Person die beabsichtigte Verarbeitung und deren Zweck unzweideutig mitzuteilen und die Einwilligung derart zu gestalten, dass über deren Erteilung kein Zweifel bestehen kann (vgl. Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 9 Rz 33). Seitens des BFG wird nun die Meinung vertreten (siehe dazu BFG 18.3.2020, RV/7100998/2020; BFG 2.4.2020, RV/7100749/2020), dass die Nichtbekanntgabe des Geburtsdatums gegenüber den übermittlungspflichtigen Spendenempfängern nicht als konkludente Handlung zu werten ist, sondern vielmehr als ausdrückliche Erklärung des informierten Spenders zu qualifizieren ist, mit der dieser die Datenübermittlung untersagt. Von dieser Auffassung abzugehen, sieht das BFG keinen Anlass. Wie im Folgenden dargelegt werden wird, kommt dieser Beurteilung aber nur dann Bedeutung zu, wenn es sich bei den bekannt zu gebenden personenbezogenen Daten um solche im Sinne des Art 9 Abs. 1 DSGVO (Daten besonderer Kategorien) handelt. Was unter Daten besonderer Kategorien zu verstehen ist, wird in Art 9 Abs. 1 DSGVO definiert. Danach zählen dazu unter anderem Gesundheitsdaten sowie Daten, aus denen politische Meinungen und religiöse oder weltanschauliche Überzeugungen hervorgehen. Nach Auffassung des Bf. lassen sich aus den Tätigkeitsbereichen der Spendenempfänger in vielen, wenn auch nicht in allen Fällen Informationen über politische Meinungen, religiöse oder weltanschauliche Überzeugungen sowie über den Gesundheitszustand des jeweiligen Spenders ableiten. Bezüglich Spenden ist festzuhalten, dass diese als freiwillige Zuwendungen gemäß § 20 Abs. 1 Z 4 EStG 1988 und § 20 Abs. 3 leg. cit. grundsätzlich dem Bereich der steuerlich unbeachtlichen Einkommensverwendung zuzurechnen sind. Der nationale Gesetzgeber hat sich allerdings dafür entschieden, freiwillige Zuwendungen für bestimmte Zwecke steuerlich dergestalt zu begünstigen, als er den Spendern eine Abzugsmöglichkeit einräumt mit dem Ziel einer Erhöhung des Spendenaufkommens. Während bis 2008 eine steuerliche Absetzbarkeit nur für Spenden an bestimmte Einrichtungen der Forschung und der Erwachsenenbildung bestand, wurde die Absetzbarkeit bis zum gegenwärtigen Zeitpunkt mehr und mehr ausgeweitet. So sind seit 2009 auch Spenden an bestimmte mildtätige und der Katastrophenhilfe dienende Vereine und Einrichtungen abgabenrechtlich begünstigt; 2012 wurde der Kreis der begünstigten Spendenempfänger auf Tierschutzvereine, Tierheime und freiwillige Feuerwehren erweitert, seither erfolgte eine Ausdehnung auf bestimmte Kunst- und Kultureinrichtungen sowie gemeinnützige Stiftungen oder Fonds, die nach dem Bundes-Stiftungs- und Fondsgesetz 1975, dem Bundes-Stiftungs- und Fondsgesetz 2015 oder nach vergleichbaren landesgesetzlichen Regelungen errichtet wurden (siehe dazu Büsser in Hofstätter/Reichel, EStG-Kommentar, § 18 Abs. 1 Z 7, 8 und 9 Tz 1ff). Mit der Möglichkeit der steuerlichen Abzugsfähigkeit von freiwilligen Zuwendungen für eine Vielzahl von Zwecken trotz ihrer Zugehörigkeit zum Bereich der Kosten der Lebensführung hat der Gesetzgeber aufgezeigt, dass er all diese Zwecke aus Gründen des Gemeinwohls als förderungswürdig erachtet. Es läge daher nahe, die Auffassung zu vertreten, dass - anders als bei einer freiwilligen Mitgliedschaft zu einer politischen Partei oder einer Organisation, die für eine konkrete politische, religiöse oder weltanschauliche Überzeugung steht - eine bloße Spende an eine der begünstigten Einrichtungen für einen bestimmten begünstigten Zweck gerade angesichts der beachtlichen Anzahl begünstigter Zwecke noch keinen Rückschluss auf eine konkrete politische Meinung bzw. auf eine bestimmte religiöse oder weltanschauliche Überzeugung des Spenders zulasse. Allerdings hat die Datenschutzbehörde in ihrem die [...] betreffenden Bescheid vom [...] (siehe dazu oben) die Rechtsmeinung vertreten, dass es "sowohl begrifflich als auch teleologisch genügt, dass der Inhalt des Datums die in Art 9 Abs. 1 DSGVO genannte Eigenschaft für einen durchschnittlichen, objektiven Dritten zumindest mittelbar erkennen lässt, dass also die Eigenschaft aus dem Datum bzw. den Daten produziert werden kann. Die Voraussetzung des Hervorgehens ist im Zweifel großzügig auszulegen, um der Gefahr von Abgrenzungsproblemen vorzubeugen und ein einheitlich hohes Schutzniveau zu gewährleisten." Dass sich aus den Tätigkeitsbereichen einzelner Spendenempfänger - der Bf. nannte als Beispiele den Verein "[...]", den Verein "[...]", den Verein "[...]" sowie [...] - zumindest mittelbar die religiöse oder weltanschauliche Überzeugung des Spenders ableiten lässt, ist aus der Sicht des BFG nicht in Abrede zu stellen. Im Folgendem ist daher die Rechtmäßigkeit der Datenverarbeitung auf Basis von Art 9 Abs. 2 DSGVO zu bewerten. Auch beim Erlaubnistatbestand des Art. 9 Abs. 2 lit. a DSGVO ist zu prüfen, ob die Einwilligung zur Verarbeitung der personenbezogenen Daten (konkret die Speicherung der gemäß § 18 Abs. 8 Z 2 EStG 1988 von den Spendenempfängern den Abgabenbehörden pseudonymisiert zu übermittelnden personenbezogenen Daten (Namen, Adressen, Geburtsdaten und Spendenbetrag) in einem Datensystem) nicht nur ausdrücklich erfolgt ist, sondern ob sie überdies als "freiwillig" zu qualifizieren ist. Art 7 Abs. 4 DSGVO nimmt nun zwar primär auf den privatrechtlichen Bereich und nicht auf den im Beschwerdefall maßgeblichen öffentlich-rechtlichen Bereich Bezug. Die Wortfolge "unter anderem" spricht aber dafür, dass Art 7 Abs. 4 DSGVO Relevanz auch für den öffentlich-rechtlichen Bereich zukommt. Eine Einwilligung gilt dann als freiwillig erteilt, wenn die betroffene Person eine echte Wahl hat, und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden. Ist aber die Kenntnis der betroffenen personenbezogenen Daten, in deren Verarbeitung die betroffene Person eingewilligt hat, für die Erfüllung der damit bezweckten Leistung erforderlich, spricht dies nach dem Wortlaut des Art 7 Abs. 4 DSGVO nicht gegen die Freiwilligkeit. Im Schrifttum (Atzmüller, Elektronische Datenübermittlung betreffend Sonderausgaben, SWK 34/2016, 1433ff) und Zirngast (Zirngast, Die Sonderausgaben-Datenübermittlungsverordnung, SWK 15/2017, 722) wird nun zum Teil die Auffassung vertreten, dass der Umstand, dass die Nichtbekanntgabe der erforderlichen Daten zwingend die Nichtberücksichtigung der getätigten Spenden als Sonderausgaben nach sich zieht, der Annahme der "Freiwilligkeit" der Einwilligung deshalb nicht entgegensteht, weil der Steuerpflichtige dadurch nicht am Spenden gehindert wird. Aus der Sicht des BFG ist die "Freiwilligkeit" der Einwilligung deshalb zu bejahen, weil die betreffenden personenbezogenen Daten für die Veranlagung der Einkommensteuer notwendig sind. Denn ohne Kenntnis von der Höhe der Spende, des Vorliegens eines begünstigten Spendenempfängers und der Möglichkeit der richtigen Zuordnung zu einem Abgabenpflichtigen (wird durch Angabe des Namens, der Adresse und des Geburtsdatums des Spenders gewährleistet) ist eine rechtsrichtige Besteuerung des Einkommens nicht möglich. Eine Verarbeitung personenbezogener Daten ist gemäß Art 9 Abs. 2 lit. g DSGVO überdies auch ohne Einwilligung zulässig, wenn die Datenverarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedsstaats, das in angemessenen Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist. Für solche Verarbeitungen bedarf es daher einer Rechtsgrundlage, die zwingend bestimmte inhaltliche Anforderungen erfüllen muss. § 48d Abs. 1 BAO benennt explizit die "Abgabenerhebung" (darunter sind gemäß § 49 Abs. 2 BAO alle der Durchführung der Abgabenvorschriften dienenden abgabenbehördlichen Maßnahmen zu verstehen) zur Sicherung der Einnahmen des Staates als das der Verarbeitung personenbezogener Daten zugrundeliegende öffentliche Interesse und ist damit - insbesondere neben § 114 BAO, § 18 Abs. 8 EStG 1988, der Sonderausgaben-Datenübermittlungsverordnung sowie des E-Government-Gesetzes (E-GovG) - maßgebliche Rechtsgrundlage im Sinne des Art 6 Abs. 3 DSGVO. Für die Verarbeitung besonderer Kategorien personenbezogener Daten iSd Art 9 Abs. 1 DSGVO ist insbesondere § 48d Abs. 2 BAO die maßgebliche Rechtsgrundlage. Danach erfordert die Verarbeitung solcher Daten zusätzlich zu den in Abs. 1 geregelten Voraussetzungen ein erhebliches öffentliches Interesse iSd Art 9 Abs. 2 lit. g DSGVO. Die Abgabenerhebung ist aus der Sicht des BFG deshalb als "erhebliches" öffentliches Interesse zu werten, weil Steuern, Gebühren und sonstige Abgaben die Haupteinnahmequelle eines Staates darstellen, der diese benötigt, um seine ihm obliegenden Aufgaben finanzieren zu können. Die auf § 18 Abs. 8 EStG 1988 basierende Datenverarbeitung ist für den Zweck der Einkommensteuererhebung nach Auffassung des BFG überdies aus den folgenden Gründen erforderlich: Wie obig bereits dargelegt wurde, wurde die Möglichkeit der steuerlichen Absetzbarkeit von Spenden seit dem Jahr 2008 erheblich ausgeweitet. Laut Lachmayer/Atzmüller (Lachmayer/Atzmüller, Verfassungsrechtliche Aspekte der Verpflichtung zur Sonderausgaben-Datenübermittlung, ÖStZ 2018, 179, unter Verweis auf den Spendenbericht 2017, Fundraising Verband Austria) führte dieser Umstand dazu, dass bis 2017 ca. 1 Million Menschen die steuerliche Berücksichtigung von Spenden in einer Größenordnung von insgesamt 227.000.000,00 Euro in der Steuererklärung beantragten. Die Abgabenbehörde hätte somit - um ihrer in § 161 Abs. 1 BAO verankerten Verpflichtung nachzukommen - in ca. 1 Million Einkommensteuerveranlagungsverfahren prüfen müssen, ob die geltend gemachten Beträge zu Recht zu berücksichtigen sind. Dieser gesetzlichen Verpflichtung konnte die Finanzverwaltung bisher daher nur stichprobenweise und risikogewichtet nachkommen. Sofern aber in der überwiegenden Mehrheit der Fälle die Eintragung in der Steuererklärung ungeprüft in den Bescheid übernommen wird, ist davon auszugehen, dass Spenden berücksichtigt werden, die dem Grunde nach nicht absetzbar sind, weil sie an eine Organisation geleistet werden, die nicht begünstigt ist, oder es werden Beträge in unrichtiger Höhe oder im falschen Veranlagungsjahr berücksichtigt. Nach der allgemeinen Lebenserfahrung kann der Umstand, dass eine unrichtige Eintragung in der Steuererklärung in einer Vielzahl von Fällen keine Konsequenzen nach sich zieht, bewirken, unrichtige Besteuerungsgrundlagen anzugeben. Ohne Verpflichtung der Zuwendungsempfänger zur elektronischen Datenübermittlung an die Abgabenbehörden müssten somit - angesichts eines Spendenvolumens von beinahe 230 Mill. Euro - Steuerausfälle in nicht vernachlässigbaren Ausmaß in Kauf genommen werden (siehe dazu Lachmayer/Atzmüller, Verfassungsrechtliche Aspekte der Verpflichtung zur Sonderausgaben-Datenübermittlung, ÖStZ 2018, 179). Die Notwendigkeit der auf § 18 Abs. 8 EStG 1988 basierenden Datenverarbeitung für den Zweck der Einkommensteuererhebung ergibt sich somit daraus, dass bei korrekter Übermittlung der von den Zuwendungsempfängern erhobenen Daten die richtige steuerliche Berücksichtigung von Spenden sicherstellt wird. Dadurch sind auch Prüfungsmaßnahmen der Finanzverwaltung, wenn überhaupt, nur mehr in zu vernachlässigendem Ausmaß erforderlich, wodurch wiederum Personalressourcen und damit Steuergelder eingespart werden können (wie bei Lachmayer/Atzmüller, Verfassungsrechtliche Aspekte der Verpflichtung zur Sonderausgaben-Datenübermittlung, ÖStZ 2018, 179, dargelegt wurde, war das System der verpflichtenden automatischen Datenübermittlung nicht nur eine Forderung der Steuerreformkommission, die diese angesichts der Ausweitung der Spendenbegünstigung gestellt hat - das bisherige Verfahren war gekennzeichnet durch eine mangelnde Überprüfungsmöglichkeit des rechtmäßigen Spendenabzugs sowie einen im Vergleich zum Steueraufkommen übermäßigen Verwaltungsaufwand - sondern wurde auch vom Rechnungshof eingefordert). Die auf § 18 Abs. 8 EStG 1988 basierende Datenverarbeitung sichert aber auch aus weiteren Gründen neben einem effizienten Steuervollzug die Gleichmäßigkeit der Besteuerung. So wurde mit dem StRefG 2015/2016 die von Amts wegen durchzuführende antragslose Veranlagung eingeführt. Diese kommt gemäß § 41 Abs. 2 Z 2 EStG 1988 zur Anwendung, wenn der Spender lohnsteuerpflichtige Einkünfte hat, aber mangels Vorliegens der Voraussetzungen des § 41 Abs. 1 EStG 1988 keine Abgabenerklärung einzureichen hat und er überdies auch keinen Antrag iSd § 41 Abs. 2 Z 1 EStG 1988 gestellt hat. Bei einer solchen Fallkonstellation ist die sich aus der Berücksichtigung der vom Spendenempfänger gemeldeten Spende ergebende Steuergutschrift dem Steuerpflichtigen durch das Finanzamt automatisch zu überweisen.