Es besteht kein Anspruch auf Auskunft über die bei der Informationszentrale für steuerliche Auslandsbeziehungen gespeicherten Daten.

Die Revision der Klägerin gegen das Urteil des Finanzgerichts Köln vom 18.09.2019 - 2 K 312/19 wird als unbegründet zurückgewiesen.

Die Kosten des Revisionsverfahrens hat die Klägerin zu tragen.

I.

1. Die Klägerin und Revisionsklägerin (Klägerin) ist eine in A (Ausland) registrierte Gesellschaft. Das Finanzamt für Steuerstrafsachen und Steuerfahndung Z (FA Z) führte für 2006 bis 2012 eine Fahndungsprüfung durch, die zu geänderten Bescheiden und in ein Klageverfahren führte. Zentraler Streitpunkt war die Frage, wo die geschäftliche Oberleitung der Klägerin tatsächlich ansässig war. Die Finanzverwaltung meinte, dies sei in der Bundesrepublik Deutschland (Deutschland) gewesen. Im Rahmen einer mündlichen Verhandlung vor dem Finanzgericht (FG) vom 21.06.2018 kam es zu einer tatsächlichen Verständigung dahin, dass die geschäftliche Oberleitung sich bis 2008 im Inland, ab 2009 ausschließlich in A befunden habe.

2. Am 02.07.2018 beantragte die Klägerin unter Hinweis auf diese Verständigung erstmals bei dem Beklagten und Revisionsbeklagten (Bundeszentralamt für Steuern ‑‑BZSt‑‑) die Änderung der über sie bei der Informationszentrale für steuerliche Auslandsbeziehungen (IZA) gespeicherten Daten. Sie legte dafür ein Firmenprofil der IZA über sie, die Klägerin, vom 02.06.2014 vor. Darin wurde sie als Briefkastenfirma und Offshore-Gesellschaft bezeichnet, die nach Ermittlungen des FA Z keine inländische Betriebsstätte unterhalte. Auf dem Auszug hatte die Klägerin Löschungs- und Änderungswünsche vermerkt, die sich im Wesentlichen gegen eine Ansässigkeit in Deutschland richteten. Nach einer erstmaligen Ablehnung und einem erneuten Antrag der Klägerin lehnte das BZSt den Antrag schließlich am 07.11.2018 schriftlich ab. Im Rahmen eines Einspruchs vom 27.11.2018 reichte die Klägerin ein aktuelles Firmenprofil der IZA vom 12.11.2018 ein, auf dem sie wiederum Löschungs- und Änderungswünsche vermerkt hatte. Darin hieß es unter Hinweis auf Ermittlungen des FA Z zur Geschäftsleitung u.a. "... von 2009-2012 Geschäftsleitung in [A] ... Ab 2013 Offshoregesellschaft ...". Die Klägerin erläuterte, dass sie die sie betreffenden Datenauszüge auch ohne eigenen Anspruch zu gegebener Zeit von ihren Geschäftspartnern erhalten werde. Würden diese wegen einer angeblich ausländischen Geschäftsleitung der Klägerin mit ungerechtfertigten Umsatzsteuerforderungen überzogen, müssten spätestens im jeweiligen Finanzgerichtsverfahren die vermeintlichen Erkenntnisse über die Klägerin offengelegt werden.

3. Das BZSt fasste den Einspruch sowie ein weiteres Schreiben der Klägerin vom 19.12.2018 als Erweiterung des Antrags auf Änderung von Informationen im Bestand der IZA auf und lehnte diesen mit Bescheid vom 21.01.2019 ab. Ansprüche aus der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung ‑‑DSGVO‑‑) ‑‑Amtsblatt der Europäischen Union 2016, Nr. L 119, 1‑‑ i.V.m. § 2a Abs. 5 der Abgabenordnung (AO) bestünden nicht. Die Aufgabe der IZA liege im öffentlichen Interesse i.S. des Art. 23 Abs. 1 Buchst. e DSGVO i.V.m. § 32b Abs. 1 Satz 1 Nr. 1 Buchst. a AO. Die IZA solle eine zutreffende Besteuerung bei grenzüberschreitenden Sachverhalten sicherstellen. Die Offenbarung von Daten könne die Ausübung der Kontroll- und Aufsichtsaufgaben der Behörden beeinträchtigen. Rechtsschutz sei im Rahmen desjenigen Verwaltungsverfahrens zu suchen, das die Informationen der IZA verwerte.

4. Mit ihrer Klage beantragte die Klägerin die Korrektur der über sie bei der IZA gespeicherten Datensätze gemäß dem Schreiben vom 27.11.2018. Sie ergänzte, in der Praxis prüften die Finanzbehörden die Auskünfte der IZA nicht selbständig. Das BZSt hat im Klageverfahren u.a. vorgetragen, die Klägerin habe zu Unrecht Zugriff auf die über sie verwalteten Daten erlangt. In der mündlichen Verhandlung erklärte es, die Daten betreffend die Klägerin seien mittlerweile erneut geändert worden. Eine Mitteilung über den Inhalt der Änderung erfolge nicht.

5. Das FG hat die Klage abgewiesen. Es bestehe kein Anspruch auf Auskunft über den durch das BZSt nicht preisgegebenen aktuellen Datenbestand, so dass keine Grundlage für einen Korrekturanspruch gegeben sei. Das Grundrecht auf informationelle Selbstbestimmung stehe hinter dem Interesse des Staats an einer ordnungsgemäßen Aufgabenerfüllung in Bezug auf die gleichmäßige Festsetzung und Erhebung von Steuern zurück. Frühzeitige Auskunftserteilung mache die gesammelten Daten weitgehend wertlos, während der Betroffene zu einem späteren Zeitpunkt Rechtsschutz erhalte. Die Informations- und Berichtigungspflicht aus Art. 12 bis 22 DSGVO sei in zulässiger Weise auf Grundlage von Art. 23 Abs. 1 Buchst. e DSGVO durch § 58 des Bundesdatenschutzgesetzes (BDSG) wie auch die §§ 32a ff. AO, insbesondere § 32b, § 32c Abs. 1 Nr. 1 und § 32f Abs. 5 AO, eingeschränkt worden. Selbst in Bezug auf bekannt gewordene und etwa fehlerhafte Daten bestehe kein Korrekturanspruch, da den Informationen der IZA keine Bindungswirkung zukomme. Das FG-Urteil ist in Entscheidungen der Finanzgerichte (EFG) 2020, 413 veröffentlicht.

6. Mit der Revision rügt die Klägerin die Verletzung von Art. 14, 15, 16 DSGVO sowie von § 58 BDSG und von §§ 32a ff. AO. Art. 14 DSGVO verleihe einen Informationsanspruch, Art. 15 Abs. 3 DSGVO einen Anspruch auf eine Datenkopie, der über ein zweistufiges Auskunftsrecht (Verarbeitung von Daten dem Grunde sowie dem Inhalt nach) gewährleistet werde, und Art. 16 DSGVO einen Anspruch auf Berichtigung. § 58 BDSG flankiere diese Rechte. Zwischen dem Auskunftsinteresse des Betroffenen und dem Geheimhaltungsinteresse der speichernden Stelle sei eine konkrete Abwägung vorzunehmen, die das FG nicht vorgenommen habe und die zugunsten der Klägerin ausgehe. Sie gelange ohnehin an die Daten, die jedenfalls zwischenzeitlich auch noch nachweislich unrichtig gewesen seien. Falls die Auskunft das öffentliche Interesse gefährde, bestehe hilfsweise ein Anspruch auf Vorlage nach § 86 Abs. 1, Abs. 3 der Finanzgerichtsordnung (FGO). Sollte der Auskunftsanspruch die Unrichtigkeit der Daten ergeben, seien diese zu berichtigen. Jedenfalls unrichtig sei die Bezeichnung als Briefkastenfirma. Der Sitz ihrer Geschäftsleitung sei A.

7. Die Klägerin beantragt sinngemäß,
   die Vorentscheidung aufzuheben,
   das BZSt zu verpflichten, der Klägerin Auskunft über den Inhalt der bei der IZA gespeicherten Daten in ihrem Firmenprofil zu erteilen,
   hilfsweise festzustellen, dass das BZSt zur Vorlage der gespeicherten Daten verpflichtet ist sowie die Auskunft dadurch zu bewirken, dass die gespeicherten Daten dem Bundesfinanzhof (BFH) in von der Aufsichtsbehörde bestimmten Räumlichkeiten oder auf eine andere geeignete Art zur Verfügung gestellt werden (§ 86 Abs. 3 FGO),
   das BZSt zu verpflichten, das bei der IZA gespeicherte Firmenprofil der Klägerin gemäß dem Schreiben der Klägerin vom 27.11.2018 zu berichtigen sowie die Berichtigung der Klägerin in geeigneter Form nachzuweisen.

8. Das BZSt beantragt,
   die Revision zurückzuweisen.

II.

1. Klage und Revision sind zulässig.

2. 1. Der Finanzrechtsweg ist nach § 33 Abs. 1 Nr. 4 FGO i.V.m. § 32i Abs. 2 AO in der im Zeitpunkt der Klageerhebung geltenden Fassung (gleichlautend mit § 32i Abs. 2 Satz 1 AO i.d.F. des Jahressteuergesetzes 2020 ‑‑JStG 2020‑‑ vom 21.12.2020, BGBl I 2020, 3096) eröffnet. Das BZSt ist nach § 6 Abs. 2 Nr. 2 AO Finanzbehörde im Sinne der Vorschrift. Die Klägerin macht Ansprüche aus der DSGVO geltend.

3. 2. Eines Vorverfahrens bedurfte es nach § 32i Abs. 2, Abs. 9 AO (entspricht § 32i Abs. 2 Satz 1, Abs. 9 Satz 1 AO i.d.F. des JStG 2020) nicht.

4. 3. Das FG hat die Rechtsverfolgung der Klägerin in der Sache zutreffend als eine Stufenklage nach § 155 Satz 1 Halbsatz 1 FGO i.V.m. § 254 der Zivilprozessordnung (ZPO) verstanden und behandelt. Die Klägerin begehrte auf erster Stufe Auskunft über den Inhalt des über sie geführten Datenbestandes, auf zweiter Stufe auf Basis dieser Auskunft eine ihren Vorstellungen entsprechende Änderung des Datenbestandes. Die Unterschiede der Prozessordnungen stehen einer finanzprozessualen Stufenklage nicht entgegen (ebenso Urteil des Hessischen FG vom 11.12.2018 - 4 K 977/16, EFG 2019, 745, Rz 17). Die prozessuale Ausgangssituation entspricht der in § 254 ZPO geregelten Konstellation.

5. 4. Auch die Revision ist zulässig. Die geänderte Antragsfassung stellt insbesondere keine nach § 123 Abs. 1 Satz 1 FGO unzulässige Klageänderung dar. Die Klägerin hat damit vielmehr die beiden Stufen ihres Begehrens ausdrücklich formuliert und präzisiert. Soweit sie beantragt, hilfsweise festzustellen, dass das BZSt zur Vorlage der gespeicherten Daten verpflichtet ist, ist hierin insoweit eine unselbständige Begründung ihres vorstehenden Antrags zu sehen. Dies ist keine Klageänderung.

III.

1. Die Revision ist unbegründet und nach § 126 Abs. 2 FGO zurückzuweisen. Das FG hat zu Recht erkannt, dass die Klägerin weder einen Anspruch auf Auskunft noch auf Änderung der Datensätze bei der IZA besitzt. Ansprüche aus der DSGVO sind in zulässiger Weise durch die AO eingeschränkt worden.

2. 1. Die DSGVO regelt Voraussetzungen und Grenzen der Sammlung und Verarbeitung von Daten und gibt den Rahmen für Ansprüche der Betroffenen vor, kann jedoch durch das nationale Recht ergänzt werden.

3. a) Ihr sachlicher Anwendungsbereich erstreckt sich nach Art. 2 Abs. 1 DSGVO vorbehaltlich der Ausschlusstatbestände des Art. 2 Abs. 2 DSGVO auf die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie auf die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Räumlich erfasst sie u.a. nach Art. 3 Abs. 1 DSGVO die Verarbeitung von Daten im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union.

4. b) Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine betroffene Person beziehen. Betroffene Person ist nach Art. 4 Nr. 1 DSGVO nur eine natürliche Person. § 2a Abs. 5 Nr. 2 AO ordnet jedoch eine entsprechende Geltung der DSGVO auf identifizierte oder identifizierbare Körperschaften, Personenvereinigungen und Vermögensmassen an, die somit als Teil des nationalen Rechts anwendbar ist (Drüen in Tipke/Kruse, § 2a AO Tz 24). Die Verarbeitung ist nach Art. 4 Nr. 2 DSGVO jeder Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, u.a. deren Erheben, Erfassen und Speicherung. Verantwortlicher ist nach Art. 4 Nr. 7 Halbsatz 1 DSGVO jegliche Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

5. c) Abgesehen von einer Reihe allgemein geltender Grundsätze für die Verarbeitung personenbezogener Daten (Art. 5 DSGVO) ist nach Art. 6 DSGVO die Verarbeitung nur bei Erfüllung bestimmter Bedingungen zulässig. Das ist nach Art. 6 Abs. 1 Buchst. e DSGVO etwa dann der Fall, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Gemäß Art. 6 Abs. 2 bis 4 DSGVO können die Mitgliedstaaten spezifischere Bestimmungen treffen. Zugunsten der betroffenen Person bestehen nach Art. 13, 14 DSGVO Informationspflichten bei Erhebung von personenbezogenen Daten, nach Art. 15 DSGVO Auskunfts- und nach Art. 16, 17 DSGVO Berichtigungs- und Löschungsansprüche.

6. d) Art. 23 DSGVO ermöglicht unter bestimmten formellen und materiellen Voraussetzungen Beschränkungen der Rechte aus Art. 13 bis 17 DSGVO durch das nationale Recht.

7. aa) Nach Art. 23 Abs. 1 DSGVO können durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, die Pflichten und Rechte gemäß Art. 12 bis 22 DSGVO im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die u.a. (Buchst. e) den Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere eines wichtigen wirtschaftlichen oder finanziellen Interesses der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit, sicherstellt. Die nationalen Rechtsvorschriften müssen nach Erwägungsgrund 41 der DSGVO der Verfassungsordnung des betreffenden Mitgliedstaats entsprechen.

8. bb) Nach Art. 23 Abs. 2 DSGVO muss jede Gesetzgebungsmaßnahme i.S. des Art. 23 Abs. 1 DSGVO insbesondere ggf. spezifische Vorschriften enthalten, zumindest in Bezug auf die Zwecke der Verarbeitung oder die Verarbeitungskategorien (Buchst. a), die Kategorien personenbezogener Daten (Buchst. b), den Umfang der vorgenommenen Beschränkungen (Buchst. c), die Garantien gegen Missbrauch oder unrechtmäßigen Zugang oder unrechtmäßige Übermittlung (Buchst. d), die Angaben zu dem Verantwortlichen oder den Kategorien von Verantwortlichen (Buchst. e), die jeweiligen Speicherfristen sowie die geltenden Garantien unter Berücksichtigung von Art, Umfang und Zwecken der Verarbeitung oder der Verarbeitungskategorien (Buchst. f), die Risiken für die Rechte und Freiheiten der betroffenen Personen (Buchst. g) und das Recht der betroffenen Personen auf Unterrichtung über die Beschränkung, sofern dies nicht dem Zweck der Beschränkung abträglich ist (Buchst. h).

9. 2. Die Datensammlung durch die IZA ist als solche formell und materiell rechtmäßig. Dies hat zur Folge, dass ein Löschungsanspruch jedenfalls nicht allein deswegen besteht, weil die Datensammlung ungeachtet des Inhalts der gesammelten Daten selbst unrechtmäßig wäre.

10. a) Nach § 5 Abs. 1 Satz 1 Nr. 6 des Finanzverwaltungsgesetzes (FVG) gehört zu den Aufgaben des BZSt die zentrale Sammlung und Auswertung von Unterlagen über steuerliche Auslandsbeziehungen nach näherer Weisung des Bundesministeriums der Finanzen (BMF). Bei dieser Weisung handelt es sich um das noch kurz vor der mündlichen Verhandlung des FG ergangene BMF-Schreiben betreffend die zentrale Sammlung und Auswertung von Unterlagen über steuerliche Auslandsbeziehungen - Beziehungen eines Steuerinländers zum Ausland und eines Steuerausländers zum Inland - vom 09.09.2019 - IV B 6-S 1509/07/10001:012 ‑‑IZA-Erlass‑‑ (BStBl I 2019, 907), der den vormaligen Erlass vom 29.04.1997 - IV C 7-S 1300-69/97 (BStBl I 1997, 541) abgelöst hat. Nach Tz. 1.1 IZA-Erlass erfasst der Arbeitsbereich "Informationszentrale für steuerliche Auslandsbeziehungen (IZA)" alle sachdienlichen Informationen, die für die Tätigkeit der Steuerverwaltungen von Bund und Ländern von Bedeutung sein können. Dazu zählen u.a. Informationen über juristische Personen im Ausland, insbesondere auch ausländische Briefkastengesellschaften (Domizil-, Sitz-, Offshore-Gesellschaften). Alle gesammelten Informationen und Arbeitsergebnisse sind nach Tz. 2.1 IZA-Erlass in dem Informations-System der IZA (ISI-Datenbank) enthalten.

11. b) Die Befugnis des BZSt zur Verarbeitung der Daten folgt aus § 88a AO als verfahrensrechtliche Ergänzung der Aufgabenzuweisung (vgl. Beschluss des Bundesverfassungsgerichts ‑‑BVerfG‑‑ vom 10.03.2008 - 1 BvR 2388/03, BVerfGE 120, 351, BStBl II 2009, 23, unter A.I.). Danach dürfen die Finanzbehörden, soweit es zur Sicherstellung einer gleichmäßigen Festsetzung und Erhebung der Steuern erforderlich ist, nach § 30 AO geschützte Daten auch für Zwecke künftiger Verfahren i.S. des § 30 Abs. 2 Nr. 1 Buchst. a und b AO (das sind Verfahren in Steuersachen sowie die entsprechenden Straf- und Ordnungswidrigkeitenverfahren), insbesondere zur Gewinnung von Vergleichswerten, in Dateisystemen verarbeiten. Nach § 88a Satz 2 AO ist eine Verarbeitung nur für solche Verfahren zulässig. Gleichmäßige Festsetzung und Erhebung der Steuern in diesem Sinne ist nur unter Einbeziehung der steuerrechtlichen Verhältnisse mit Auslandsbezug zu gewährleisten.

12. c) Diese Vorschriften entsprechen den Anforderungen des Art. 6 Abs. 1 Buchst. e DSGVO. Die gleichmäßige Festsetzung und Erhebung der Steuern ist nach § 85 Satz 1 AO zentrale Aufgabe der Finanzbehörden, liegt im öffentlichen Interesse und erfolgt in Ausübung öffentlicher Gewalt. § 88a AO sowie § 5 Abs. 1 Satz 1 Nr. 6 FVG i.V.m. dem auf dieser Rechtsgrundlage ergangenen konkretisierenden IZA-Erlass stellen spezifischere Bestimmungen nach Maßgabe von Art. 6 Abs. 2 bis 4 DSGVO dar.

13. 3. Das innerstaatliche deutsche Recht hat die Rechte aus Art. 13 bis 17 DSGVO in einer mit Art. 23 DSGVO in Einklang stehenden Weise beschränkt.

14. a) Nach § 32c Abs. 1 Nr. 1 AO in der bis zum 28.12.2020 geltenden Fassung bestand das Recht auf Auskunft der betroffenen Person gegenüber einer Finanzbehörde gemäß Art. 15 DSGVO nicht, soweit die betroffene Person nach § 32b Abs. 1 oder 2 AO nicht zu informieren ist. Nach § 32c Abs. 1 Nr. 1 AO i.d.F. des JStG 2020 gilt dies heute auch, soweit die betroffene Person nach § 32a Abs. 1 AO nicht zu informieren ist. § 32a AO befasst sich mit den bei dem Betroffenen selbst erhobenen Daten, der weitgehend parallel aufgebaute § 32b AO mit solchen Daten, die nicht bei der betroffenen Person erhoben wurden.

15. aa) Nach § 32b Abs. 1 Satz 1 Nr. 1 Buchst. a AO besteht die Pflicht der Finanzbehörde zur Information der betroffenen Person gemäß Art. 14 Abs. 1, 2 und 4 DSGVO nicht, soweit die Erteilung der Information die ordnungsgemäße Erfüllung der in der Zuständigkeit der Finanzbehörden oder anderer öffentlicher Stellen liegenden Aufgaben i.S. des Art. 23 Abs. 1 Buchst. d bis h DSGVO gefährden würde und deswegen das Interesse der betroffenen Person an der Informationserteilung zurücktreten muss.

16. bb) Gemäß § 32b Abs. 1 Satz 2 i.V.m. § 32a Abs. 2 Nr. 1 AO wird die ordnungsgemäße Erfüllung der in der Zuständigkeit der Finanzbehörden liegenden Aufgaben i.S. des Art. 23 Abs. 1 Buchst. d bis h DSGVO insbesondere gefährdet, wenn die Erteilung der Information die betroffene Person oder Dritte in die Lage versetzen könnte, steuerlich bedeutsame Sachverhalte zu verschleiern (§ 32a Abs. 2 Nr. 1 Buchst. a AO), steuerlich bedeutsame Spuren zu verwischen (§ 32a Abs. 2 Nr. 1 Buchst. b AO) oder Art und Umfang der Erfüllung steuerlicher Mitwirkungspflichten auf den Kenntnisstand der Finanzbehörden einzustellen (§ 32a Abs. 2 Nr. 1 Buchst. c AO) und damit die Aufdeckung steuerlich bedeutsamer Sachverhalte wesentlich erschwert würde. § 32b Abs. 3 AO schreibt für solche Fälle geeignete Schutzmaßnahmen vor.

17. cc) Die Ablehnung einer Auskunft ist nach § 32c Abs. 4 Satz 1 AO grundsätzlich zu begründen, ggf. ist nach näherer Maßgabe von § 32c Abs. 5 AO auf Verlangen der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) zu beteiligen.

18. b) Diese Vorschriften, flankiert durch § 88a AO sowie § 5 Abs. 1 Satz 1 Nr. 6 FVG, Letztere in ihrer Eigenschaft als gesetzliche Grundlage des IZA-Erlasses, befolgen die formellen Vorgaben der DSGVO für Einschränkungen der datenschutzrechtlichen Auskunftsrechte.

19. aa) § 32b Abs. 1 Satz 1 Nr. 1 Buchst. a AO nimmt den Katalog des Art. 23 Abs. 1 Buchst. d bis h DSGVO auf und bleibt somit im erlaubten Rahmen.

20. bb) Den Grundsätzen der Notwendigkeit und der Verhältnismäßigkeit nach Art. 23 Abs. 1 DSGVO ist genügt. § 32b Abs. 1 Satz 2 i.V.m. § 32a Abs. 2 Nr. 1 AO konkretisiert das in einer Auskunftserteilung liegende Gefährdungspotential und beschränkt so die Verweigerung einer Auskunft auf das zur Verfolgung der staatlichen Zwecke Notwendige. § 32b Abs. 1 Satz 1 letzter Halbsatz AO enthält eine Abwägung zwischen den Interessen der Finanzbehörden und den Interessen der betroffenen Person und wahrt so den Grundsatz der Verhältnismäßigkeit.

21. cc) Die Zwecke der Verarbeitung oder Verarbeitungskategorien (Art. 23 Abs. 2 Buchst. a DSGVO) werden bereits in § 32b Abs. 1 Satz 1 Nr. 1 Buchst. a AO über die Bezugnahme auf die Aufgaben i.S. des Art. 23 Abs. 1 Buchst. d bis h DSGVO genannt. Aber auch Tz. 1.1 IZA-Erlass bezeichnet über die dort beschriebenen Aufgaben der IZA, nämlich die zuständigen Finanzämter bei der steuerrechtlichen Beurteilung von Auslandssachverhalten zu unterstützen, einen Verarbeitungszweck.

22. dd) Die Kategorien personenbezogener Daten (Art. 23 Abs. 2 Buchst. b DSGVO) werden in Tz. 1.1 IZA-Erlass ebenfalls bezeichnet. Es handelt sich um Informationen über ausländische Rechtssubjekte, über den steuerjuristischen Meinungsstand zu den Rechtsbeziehungen mit Basis- oder Briefkastengesellschaften sowie über grenzüberschreitende Beziehungen von Rechtssubjekten.

23. ee) Der Umfang der vorgenommenen Beschränkungen (Art. 23 Abs. 2 Buchst. c DSGVO) ergibt sich aus § 32c Abs. 1 i.V.m. § 32b Abs. 1 AO.

24. ff) Garantien gegen Missbrauch oder unrechtmäßigen Zugang oder unrechtmäßige Übermittlung (Art. 23 Abs. 2 Buchst. d DSGVO) bestehen zum einen über die Schutzverpflichtung der Finanzbehörde aus § 32c Abs. 1 i.V.m. § 32b Abs. 3 AO, zum anderen über die Begründungspflicht des § 32c Abs. 4 Satz 1 AO sowie ggf. über die Beteiligung des nach §§ 8 bis 16 BDSG rechtlich und organisatorisch unabhängigen BfDI nach § 32c Abs. 5 AO.

25. gg) Die erforderlichen Angaben zu dem Verantwortlichen (Art. 23 Abs. 2 Buchst. e DSGVO) liegen in der Zuständigkeitszuweisung für das BZSt nach § 5 FVG, namentlich § 5 Abs. 1 Satz 1 Nr. 6 FVG.

26. hh) Speicherfristen (Art. 23 Abs. 2 Buchst. f DSGVO) enthält Tz. 4 IZA-Erlass.

27. ii) Den Risiken für die Rechte und Freiheiten der betroffenen Personen (Art. 23 Abs. 2 Buchst. g DSGVO) begegnet der Gesetzgeber insbesondere durch die bereits vorerwähnte Beteiligung des BfDI nach § 32c Abs. 5 AO, aber auch durch die allgemeine Rechtsschutzgarantie aus Art. 19 Abs. 4 des Grundgesetzes (GG), die gewährleistet, dass dem Betroffenen gegen diejenigen Maßnahmen der öffentlichen Gewalt, die sich der Daten bedienen, effektiver Rechtsschutz möglich ist.

28. Die jeweiligen Behörden sind an den Inhalt etwa mitgeteilter Daten nicht gebunden. Im Bereich des Steuerrechts stellen diese Daten unselbständige Besteuerungsgrundlagen i.S. von § 157 Abs. 2 AO dar, die nach § 367 Abs. 2 Satz 1 AO von der Finanzbehörde und nach § 100 Abs. 1 Satz 1 FGO vom FG vollständig zu überprüfen sind. Sie können keine bindenden Grundlagenbescheide i.S. von § 171 Abs. 10 Satz 1 AO sein, da es dafür einer gesetzlichen Grundlage bedürfte (vgl. Beschluss des Großen Senats des BFH vom 11.04.2005 - GrS 2/02, BFHE 209, 399, BStBl II 2005, 679 [Zebragesellschaft], unter C.4.a; BFH-Urteil vom 03.07.2014 - III R 30/11, BFHE 246, 477, BStBl II 2015, 157, Rz 36 bis 38). Dasselbe bringt auch Tz. 2.2 IZA-Erlass zum Ausdruck.

29. jj) Die Unterrichtung der betroffenen Personen über die Beschränkung (Art. 23 Abs. 2 Buchst. h DSGVO) wird grundsätzlich durch § 32c AO gewährleistet, indem diese Vorschrift die notwendigen Beschränkungen des Auskunftsrechts des Betroffenen regelt.

30. 4. Es entspricht diesen Grundsätzen, der betroffenen Person über die nicht bei ihr erhobenen und bei der IZA gespeicherten Daten keine Auskunft zu erteilen. Die Auskunftsansprüche aus Art. 15 DSGVO sind nach § 32c Abs. 1 Nr. 1 i.V.m. § 32b Abs. 1 Satz 1 Nr. 1 Buchst. a AO ausgeschlossen.

31. a) Eine Auskunftserteilung über die bei der IZA gesammelten Daten gefährdete die ordnungsgemäße Erfüllung der Aufgaben der Finanzbehörden aus Art. 23 Abs. 1 Buchst. e DSGVO i.V.m. § 85 Satz 1 AO. Der Senat verweist auf die vom BVerfG in dem Beschluss in BVerfGE 120, 351, BStBl II 2009, 23 gebilligten Ausführungen des VII. Senats des BFH in dessen Urteil vom 30.07.2003 - VII R 45/02 (BFHE 202, 425, BStBl II 2004, 387), denen er sich vollen Umfangs anschließt und an denen er festhält.

32. An deren inhaltlicher Richtigkeit hat sich nicht deshalb etwas geändert, weil die Entscheidung noch zum BDSG i.d.F. des Gesetzes zur Fortentwicklung der Datenverarbeitung und des Datenschutzes vom 20.12.1990 (BGBl I 1990, 2954) –BDSG a.F.- und noch nicht zur DSGVO ergangen war. Die Datensammlung verfehlte ihren Zweck, wenn der Betroffene wüsste, welche Daten über ihn gespeichert sind. Der VII. Senat hatte in seiner damaligen Entscheidung insbesondere darauf abgestellt, dass ein Geschäftsführer einer Domizilgesellschaft typischerweise bei einer Vielzahl solcher Gesellschaften eine Organstellung einnimmt. Eine Auskunftserteilung legte offen, über welche seiner Funktionen die Finanzverwaltung bereits informiert ist. Den steuerlichen Folgerungen wäre durch Rückzug aus bereits bekannten Domizilgesellschaften und dem Tätigwerden in bisher unbekannten oder neuen Domizilgesellschaften zu begegnen. So wären zentral gesammelte Daten keine zuverlässige Entscheidungsgrundlage für die gleichmäßige Festsetzung und Erhebung der Steuern mehr, folglich wertlos (vgl. im Einzelnen BFH-Urteil in BFHE 202, 425, BStBl II 2004, 387, unter II.1.b). Diese Erwägungen bleiben zutreffend. Allein der Umstand, dass ein Betroffener ‑‑wie von der Klägerin vorgetragen‑‑ im Einzelfall möglicherweise stattdessen zufällig Jahre später über einen Geschäftspartner gleichwohl Kenntnis über einzelne gespeicherte Daten erhalten könnte, ändert daran nichts.

33. b) Die Interessen der betroffenen Person an der Informationserteilung müssen demgegenüber zurücktreten. Der BFH hatte in seinem Urteil in BFHE 202, 425, BStBl II 2004, 387 (unter II.1.c) bereits erkannt, dass der einfachgesetzliche Auskunftsanspruch hinter überwiegenden Allgemeininteressen zurückzutreten hatte. Auch in diesem Punkt hat sich die Rechtslage nicht maßgebend geändert. § 19 Abs. 4 Nr. 1 BDSG a.F. ist im Wesentlichen mit § 32b AO deckungsgleich. Die Frage, ob im jeweiligen Einzelfall die Interessen der Finanzverwaltung gefährdet sind, ist nicht zu prüfen (a.A. Drüen in Tipke/Kruse, § 32a AO Tz 20). Dies wäre ohne Preisgabe aller vorliegenden Datensätze nicht möglich, womit aber die begehrte Auskunft bereits erteilt und die Prüfung obsolet wäre. Es kommt deshalb nicht darauf an, ob der Steuerpflichtige aus dritter Quelle tatsächlich Kenntnis von den bei der IZA über ihn gespeicherten Datensätzen hat, zumal ohne umfängliche Auskunftserteilung niemals feststeht, ob diese Kenntnis noch dem Datenbestand zum Zeitpunkt der gerichtlichen Entscheidung entspricht.

34. c) Verfassungsrechtliche Bedenken gegen diese Abwägung bestehen nicht. Die Ausführungen des BVerfG-Beschlusses in BVerfGE 120, 351, BStBl II 2009, 23 gelten fort, da die Maßstäbe sich zwischen dem BDSG a.F. und der DSGVO i.V.m. §§ 32c, 32b AO nicht wesentlich geändert haben.

35. 5. Etwaige Ansprüche aus den Informationsfreiheitsgesetzen reichen jedenfalls im vorliegenden Kontext nicht weiter als die Ansprüche aus der AO. Nach § 32e Satz 1 AO gelten die Art. 12 bis 15 DSGVO i.V.m. §§ 32a bis 32d AO entsprechend, soweit die betroffene Person oder ein Dritter nach dem Informationsfreiheitsgesetz vom 05.09.2005 (BGBl I 2005, 2722) in der jeweils geltenden Fassung oder nach entsprechenden Gesetzen der Länder gegenüber der Finanzbehörde einen Anspruch auf Informationszugang hat. Weitergehende Informationsansprüche über steuerliche Daten sind nach § 32e Satz 2 AO insoweit ausgeschlossen.

36. 6. Es existiert kein selbständiger Berichtigungsanspruch aus Art. 16 DSGVO, der von einem vorgängigen Auskunftsanspruch unabhängig wäre, ebenso wenig wie ein selbständiger Löschungsanspruch aus Art. 17 DSGVO. § 32c AO ist in der Weise auszulegen, dass der Ausschluss des Auskunftsanspruchs auch einen Ausschluss des Berichtigungs- und Löschungsanspruchs beinhaltet.

37. a) Einer solchen Auslegung steht die DSGVO nicht entgegen. Art. 23 DSGVO erlaubt Beschränkungen aller Rechte aus den Art. 12 bis 22 DSGVO nach Maßgabe des nationalen Rechts, das autonom auszulegen ist.

38. b) Ein von einem vorgängigen Auskunftsanspruch unabhängiger Berichtigungs- oder Löschungsanspruch implizierte, dass das BZSt bzw. im Klageverfahren das FG im Rahmen seiner Sachaufklärungspflicht die Richtigkeit der bei der IZA gespeicherten Daten überprüfen müsste. Das ist nicht auf verfassungskonforme Weise möglich, ohne die Beschränkungen des § 32c AO gegenstandslos zu machen. Könnte ein selbständiger Korrekturanspruch im Verwaltungs- und Gerichtsverfahren geltend gemacht werden, wäre dem Anspruchsteller rechtliches Gehör (Art. 103 Abs. 1 GG) hinsichtlich der Feststellungen zu den gespeicherten Daten und deren Richtigkeit zu gewähren, womit ihm diejenige Auskunft erteilt wäre, auf die er nach § 32c AO gerade keinen Anspruch hat. Eine Rechtsanwendung, mit der eine Vorschrift, hier § 32c AO, funktionslos würde, ist offenkundig falsch.

39. Für ein Verfahren ohne Gewährung rechtlichen Gehörs fehlt eine Rechtsgrundlage. Auch § 86 Abs. 1, Abs. 3 FGO ermöglicht dieses nicht, denn die Vorschrift weist dem BFH nicht die inhaltliche Überprüfung entscheidungserheblicher Akten oder Auskünfte zu, sondern überantwortet ihm nur die Letztentscheidungskompetenz darüber, ob Akten oder Auskünfte vorzulegen bzw. zu erteilen sind (vgl. zu dem parallel aufgebauten § 99 der Verwaltungsgerichtsordnung Beschluss des Bundesverwaltungsgerichts vom 29.07.2002 - 2 AV 1/02, BVerwGE 117, 8; Schallmoser in Hübschmann/Hepp/Spitaler, § 86 FGO Rz 56; Krumm in Tipke/Kruse, § 86 FGO Tz 26; Stiepel in Gosch, FGO § 86 Rz 76).

40. 7. Nach diesen Maßstäben hat das FG zu Recht erkannt, dass über die bei der IZA über die Klägerin gespeicherten Daten keine Auskünfte zu erteilen sind. Der lediglich auf zweiter Stufe denkbare Korrekturanspruch geht ins Leere. Der geltend gemachte Auskunftsanspruch bezieht sich i.S. von § 32b AO auf Daten, die nicht bei der Klägerin erhoben wurden, denn er bezieht sich nicht auf Rohdaten, die von ihr stammen und die sie kennt, sondern auf Daten aus anderen Quellen nebst daraus gezogenen Schlussfolgerungen. Die Auskunftserteilung ist nach § 32c Abs. 1 Nr. 1 i.V.m. § 32b Abs. 1 Satz 1 Nr. 1 Buchst. a AO ausgeschlossen.

IV.

1. Der Hilfsantrag der Klägerin auf Auskunftserteilung an den BFH nach Maßgabe von § 86 Abs. 3 FGO ist schon deshalb unzulässig, weil der Antrag nach § 86 Abs. 3 Satz 2 FGO eine vorhergehende vergebliche Anforderung der Auskünfte durch das FG voraussetzt (vgl. BFH-Beschluss vom 09.12.2020 - II S 11/20, BFH/NV 2021, 532, Rz 8).

V.

1. Die Kostenentscheidung folgt aus § 135 Abs. 2 FGO, die Entscheidung ohne mündliche Verhandlung aus § 121 Satz 1 i.V.m. § 90 Abs. 2 FGO.