1. § 29b der Abgabenordnung (AO) legitimiert die Finanzbehörde, unter den dort genannten Voraussetzungen für sämtliche das Steuerverfahrensrecht betreffende Maßnahmen personenbezogene Daten zu verarbeiten.

2. § 29b AO genügt den Vorgaben des Art. 6 Abs. 3 der Datenschutz-Grundverordnung und verletzt nicht das unionsrechtliche Normwiederholungsverbot.

3. § 29b AO verstößt weder gegen das Grundrecht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 des Grundgesetzes) noch gegen das Recht auf Schutz personenbezogener Daten gemäß Art. 8 Abs. 1 der Charta der Grundrechte der Europäischen Union.

Die Revision des Klägers gegen das Urteil des Schleswig-Holsteinischen Finanzgerichts vom 23.08.2021 - 5 K 42/21 wird als unbegründet zurückgewiesen.

Die Kosten des Revisionsverfahrens hat der Kläger zu tragen.

I.

Der Beklagte und Revisionsbeklagte (Finanzamt --FA--) ordnete beim Kläger und Revisionskläger (Kläger), einem Rechtsanwalt, eine Außenprüfung zur Einkommen- und Umsatzsteuer für die Jahre 2017 bis 2019 an. Zugleich forderte das FA den Kläger auf, bis zum Prüfungsbeginn die Auszüge seines betrieblichen Bankkontos zu übersenden.

Nachdem der Kläger dieser Aufforderung nicht nachgekommen war, ersuchte das FA mit Schreiben vom 15.02.2021 unter Hinweis auf § 97 Abs. 1 Satz 1 und 3 i.V.m. § 93 Abs. 1 Satz 3 der Abgabenordnung (AO) das kontoführende Geldinstitut (G) um Vorlage der Kontoauszüge. Diesem Ersuchen kam G nach.

Der Kläger wandte sich gegen das Vorlageersuchen und machte geltend, § 97 AO genüge nicht den Anforderungen des Art. 6 Abs. 3 der Datenschutz-Grundverordnung (DSGVO). Es fehle daher an einer rechtmäßigen Verarbeitung der ihn betreffenden persönlichen Daten.

Das FA wies die Eingabe des Klägers, die es als Widerspruch gegen die Verarbeitung personenbezogener Daten gemäß Art. 21 Abs. 1 DSGVO wertete, zurück. Die Datenverarbeitung sei nach Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 3 Satz 1 Buchst. b DSGVO i.V.m. § 29b Abs. 1 AO rechtmäßig. Die Verarbeitung der Daten diene der Ermittlung der Besteuerungsgrundlagen im Rahmen einer Außenprüfung.

Die Klage zum Finanzgericht (FG), mit der der Kläger ein Recht auf Löschung seiner personenbezogenen Daten gemäß Art. 17 Abs. 1 Buchst. d DSGVO beanspruchte und hilfsweise seinen Widerspruch gemäß Art. 21 Abs. 1 DSGVO weiterverfolgte, hatte keinen Erfolg. Das FG wies die Klage mit in Entscheidungen der Finanzgerichte (EFG) 2022, 1 veröffentlichtem Urteil im Haupt- und Hilfsantrag ab.

Der Kläger hält mit seiner Revision daran fest, dass die Vorschrift des § 97 Abs. 1 Satz 1 AO, auf die das FA sein Vorlageersuchen an G gestützt habe, nicht den Anforderungen des Art. 6 Abs. 3 Satz 1 Buchst. b DSGVO genüge und somit nicht die Verarbeitung von personenbezogenen Daten gestatte. Auch § 29b AO sei keine mit den Vorgaben der Datenschutz-Grundverordnung vereinbare Rechtsgrundlage. Im Gegensatz zu § 97 Abs. 1 Satz 1 AO nenne § 29b AO noch nicht einmal diejenigen Unterlagen, die der Finanzbehörde auf Verlangen vorzulegen seien. Darüber hinaus gebe § 29b AO lediglich den Inhalt des Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO wieder.

Schließlich rügt der Kläger Verfahrensfehler.

Das FA beantragt,

die Revision zurückzuweisen.

Es sieht die Verarbeitung der den Kläger betreffenden personenbezogenen Daten im Zuge des an G gerichteten und erfüllten Vorlageersuchens von § 29b AO gedeckt.

II.

Die Revision ist unbegründet und daher gemäß § 126 Abs. 2 der Finanzgerichtsordnung (FGO) zurückzuweisen.

Das FG hat die Klage, für die der Finanzrechtsweg eröffnet ist (dazu unten 1.), zu Recht abgewiesen. Der Kläger hat keinen Anspruch auf Löschung seiner personenbezogenen Daten (unten 2.). Ihm steht auch kein Widerspruchsrecht gegen die Datenverarbeitung zu (unten 3.). Die geltend gemachten Verfahrensmängel des vorinstanzlichen Verfahrens liegen nicht vor (unten 4.). Von einer Aussetzung des Revisionsverfahrens zum Zweck eines Vorabentscheidungsersuchens an den Gerichtshof der Europäischen Union (EuGH) konnte der Senat absehen (unten 5.).

1. Das FG hat die Klage zutreffend dahin ausgelegt, dass der Kläger im Hauptantrag eine Löschung der ihn betreffenden personenbezogenen Daten gemäß Art. 17 Abs. 1 DSGVO und hilfsweise ein Recht auf Widerspruch gemäß Art. 21 Abs. 1 DSGVO verfolgt. Das Auskunftsersuchen gemäß § 97 Abs. 1 Satz 1 AO, dessen Regelungsgehalt sich mit der Übersendung der Kontoauszüge durch G im Übrigen erledigt hat, hat der Kläger nach Lage der Akten nicht angefochten.

Das FA hat sowohl die beanspruchte Löschung der Daten als auch den Widerspruch gegen die Datenverarbeitung zurückgewiesen. Für die gerichtliche Überprüfung dieser Entscheidungen ist --ohne dass dies der Senat im Revisionsverfahren in Frage stellen könnte (§ 17a Abs. 5 des Gerichtsverfassungsgesetzes)-- der Finanzrechtsweg eröffnet (§ 33 Abs. 1 Nr. 4 FGO i.V.m. § 32i Abs. 2 Satz 1 AO). Eines außergerichtlichen Vorverfahrens bedurfte es gemäß § 32i Abs. 9 Satz 1 AO nicht.

2. Das FG hat frei von Rechtsfehlern entschieden, dass der Kläger keinen Anspruch auf Löschung der vom FA verarbeiteten personenbezogenen Daten hat.

Die Voraussetzungen der insoweit einzig in Betracht kommenden Rechtsgrundlage des Art. 17 Abs. 1 Buchst. d DSGVO, die nach Art. 288 Abs. 2 Satz 2 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) ohne Umsetzungsakt in jedem Mitgliedstaat der Europäischen Union (EU) gilt, sind nicht erfüllt.

a) Nach Art. 17 Abs. 1 Buchst. d DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, sofern jene Daten unrechtmäßig verarbeitet wurden.

aa) Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 Halbsatz 1 DSGVO). Unter einer "Verarbeitung" im datenschutzrechtlichen Sinne wird jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung verstanden (Art. 4 Nr. 2 DSGVO). Die Norm ist von einem weiten Verständnis des Begriffs "Verarbeitung" geprägt (EuGH-Urteil "SS" SIA gegen Valsts ieņēmumu dienests vom 24.02.2022 - C-175/20, EU:C:2022:124, Rz 35). Als Verantwortlicher im Sinne von Art. 17 Abs. 1 DSGVO gilt unter anderem die Behörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Art. 4 Nr. 7 Halbsatz 1 DSGVO).

bb) Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt ist (Verbot mit Erlaubnisvorbehalt; statt vieler Wackerbeck in Hübschmann/Hepp/Spitaler --HHSp--, § 29b AO Rz 9, m.w.N.). Dies ist unter anderem nach Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO der Fall, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Hierfür bedarf es gemäß Art. 6 Abs. 3 Satz 1 DSGVO einer Rechtsgrundlage, die entweder durch das Unionsrecht (Buchst. a) oder durch das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt (Buchst. b), festgelegt wird. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ferner ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen (Art. 6 Abs. 3 Satz 4 DSGVO).

Ergänzend zu den Regelungen in Art. 6 DSGVO bestimmt Art. 9 Abs. 1 DSGVO, dass unter anderem die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, grundsätzlich untersagt ist. Hiervon lässt die Verordnung unter anderem dann eine Ausnahme zu, wenn die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist (Art. 9 Abs. 2 Buchst. g DSGVO).

cc) Der deutsche Gesetzgeber hat für das Verwaltungsverfahren in Steuersachen durch das Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom 17.07.2017 (BGBl I 2017, 2541) mit § 29b AO eine bereichspezifische Rechtsgrundlage sowohl zur Verarbeitung personenbezogener Daten im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO als auch solcher gemäß Art. 9 Abs. 2 Buchst. g DSGVO geschaffen.

Nach § 29b Abs. 1 AO ist die Verarbeitung personenbezogener Daten durch eine Finanzbehörde zulässig, wenn sie zur Erfüllung der ihr obliegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die ihr übertragen wurde, erforderlich ist. Abs. 2 Satz 1 der Vorschrift regelt, dass die Verarbeitung der in Art. 9 Abs. 1 DSGVO genannten --besonderen (sensiblen)-- personenbezogenen Daten durch eine Finanzbehörde zulässig ist, soweit die Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist und soweit die Interessen des Verantwortlichen an der Datenverarbeitung die Interessen der betroffenen Person überwiegen. In diesem Fall hat die Finanzbehörde angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen, wobei § 22 Abs. 2 Satz 2 des Bundesdatenschutzgesetzes (BDSG) entsprechend anzuwenden ist (§ 29b Abs. 2 Satz 2 AO).

Die Vorschrift des § 29b AO legitimiert die Finanzbehörden unter den dort genannten Voraussetzungen für sämtliche das Steuerverfahrensrecht betreffende Maßnahmen zur Verarbeitung personenbezogener Daten. Es handelt sich um die "Kopfnorm" des Vierten Abschnitts des Ersten Teils der Abgabenordnung (vgl. Drüen in Tipke/Kruse, § 29b AO Rz 1), durch die die Finanzbehörde berechtigt wird, zum Zweck der Erfüllung ihrer Aufgaben personenbezogene Daten zu verarbeiten (Krumm, Der Betrieb --DB-- 2017, 2182, 2189). Die Norm ist damit getragen von den verfassungsrechtlichen Geboten der Gleichmäßigkeit der Besteuerung (Art. 3 Abs. 1 des Grundgesetzes --GG--) und der Gesetzmäßigkeit der Verwaltung (Art. 20 Abs. 3 GG) sowie der diese Gebote im Steuerverfahrensrecht umsetzenden Vorschrift des § 85 AO (BTDrucks 18/12611, S. 76 f.). Allerdings beschränkt sich der Anwendungsbereich des § 29b AO auf solche Datenverarbeitungen, die bereits bei ihrer Einführung Gegenstand steuerverfahrensrechtlicher Verwaltungs- und Eingriffsbefugnisse waren. Die Vorschrift bietet keine Grundlage für die Schaffung neuer Formen der Datenerhebung (Ehrke-Rabel, Finanz-Rundschau --FR-- 2019, 45, 49).

b) Nach diesen Rechtsgrundlagen hat das FA als Verantwortlicher im Sinne von § 2a Abs. 3 AO i.V.m. Art. 4 Nr. 7 DSGVO zwar den Kläger betreffende personenbezogene Daten verarbeitet (dazu unten aa). Diese Verarbeitung war aber rechtmäßig, da das an G gerichtete und auch erfüllte Vorlageersuchen von § 29b AO gedeckt war (unten bb) und jene Norm den Vorgaben der Datenschutz-Grundverordnung genügt (unten cc). Die einfachrechtlichen und verfassungsrechtlichen Einwendungen des Klägers greifen nicht durch (unten dd und ee).

aa) Das FA hat den Kläger betreffende Daten verarbeitet, indem es die von G auf Anforderung übersandten Kontoauszüge zu den Akten genommen hat. Hiermit hat es Daten im Sinne von Art. 4 Nr. 2 DSGVO erhoben, abgefragt und geordnet. Hierüber besteht zwischen den Beteiligten zu Recht ebenso wenig Streit wie über den Umstand, dass die auf den Kontoauszügen enthaltenen Daten personenbezogenen Charakter gemäß Art. 4 Nr. 1 DSGVO haben.

Sollte sich aus den verakteten Kontoauszügen --was das FG nicht festgestellt hat-- ergeben, dass der Kläger Beiträge an den Verein "… e.V." überwiesen hat und wäre dieser Verein politisch aktiv, hätte das FA insoweit zudem besondere personenbezogene Daten im Sinne von Art. 9 Abs. 1 DSGVO ("politische Meinungen") verarbeitet.

bb) Diese Datenverarbeitung war durch § 29b AO gedeckt.

aaa) Die mit dem Vorlageersuchen an G einhergehende Verarbeitung personenbezogener Daten durch das FA, einer Finanzbehörde gemäß § 6 Abs. 2 Nr. 5 AO, war zur Erfüllung einer ihr obliegenden Aufgabe erforderlich (§ 29b Abs. 1 Alternative 1 AO).

(1) Kernaufgabe der Finanzbehörden ist die gleichmäßige Festsetzung und Erhebung der Steuern nach Maßgabe der Gesetze (§ 85 Satz 1 AO). Die Behörden haben nach Satz 2 der Vorschrift insbesondere sicherzustellen, dass Steuern nicht verkürzt, zu Unrecht erhoben oder Steuererstattungen und Steuervergütungen nicht zu Unrecht gewährt oder versagt werden. Den Besteuerungssachverhalt ermittelt die Finanzbehörde von Amts wegen, wobei sie Art und Umfang der Ermittlungen nach den Umständen des Einzelfalls sowie nach den Grundsätzen der Gleichmäßigkeit, Gesetzmäßigkeit und Verhältnismäßigkeit bestimmt (§ 88 Abs. 1 Satz 1 und Abs. 2 Satz 1 Halbsatz 1 AO). Zuständig hierfür sind die Finanzämter als örtliche Landesbehörden (§ 2 Abs. 1 Nr. 4 i.V.m. § 17 Abs. 2 Satz 1 des Finanzverwaltungsgesetzes --FVG--).

Die Beteiligten --und hierbei insbesondere die Steuerpflichtigen-- sind zur Mitwirkung bei der Ermittlung des Sachverhalts verpflichtet (§ 90 Abs. 1 Satz 1 AO). Sie kommen nach Satz 2 der Vorschrift der Mitwirkungspflicht insbesondere dadurch nach, dass sie die für die Besteuerung erheblichen Tatsachen vollständig und wahrheitsgemäß offenlegen und die ihnen bekannten Beweismittel angeben. Mitwirkungspflichten im Speziellen bestehen im Rahmen einer beim Steuerpflichtigen durchzuführenden Außenprüfung (§ 193 AO). § 200 Abs. 1 Satz 2 AO regelt in diesem Zusammenhang, dass der Steuerpflichtige insbesondere Auskünfte zu erteilen, Aufzeichnungen, Bücher, Geschäftspapiere und andere Urkunden zur Einsicht und Prüfung vorzulegen, die zum Verständnis der Aufzeichnungen erforderlichen Erläuterungen zu geben und die Finanzbehörde bei Ausübung ihrer Befugnisse nach § 147 Abs. 6 AO zu unterstützen hat.

Die Beteiligten und andere Personen haben der Finanzbehörde die zur Feststellung eines für die Besteuerung erheblichen Sachverhalts erforderlichen Auskünfte zu erteilen (§ 93 Abs. 1 Satz 1 AO). Auf Verlangen der Finanzbehörde haben die Beteiligten und andere Personen gemäß § 97 Abs. 1 Satz 1 AO Bücher, Aufzeichnungen, Geschäftspapiere und andere Urkunden zur Einsicht und Prüfung vorzulegen. § 93 Abs. 1 Satz 3 und § 97 Abs. 1 Satz 3 AO regeln, dass andere Personen als die Beteiligten erst dann zur Auskunft beziehungsweise zur Vorlage von Urkunden angehalten werden sollen, wenn die Sachverhaltsaufklärung durch die Beteiligten nicht zum Ziel führt oder keinen Erfolg verspricht.

(2) Im Streitfall war das FA zur Erfüllung seiner Aufgabe gehalten, die Auszüge des für betriebliche Zwecke genutzten Kontos bei G anzufordern. Der Kläger ist seiner insofern gegenüber der Inanspruchnahme von G vorrangigen Pflicht, die Auszüge zu Beginn der Außenprüfung vorzulegen, nicht nachgekommen. Zur Überprüfung der Richtigkeit und Vollständigkeit der vom Kläger erklärten Betriebseinnahmen und -ausgaben war es erforderlich, die Kontoauszüge von G anzufordern und zu sichten. Das FA konnte seine Aufgabe, den besteuerungsrelevanten Sachverhalt zu ermitteln und zu überprüfen, ohne die Verarbeitung personenbezogener Daten nicht erfüllen. Dies stellt auch der Kläger nicht in Abrede.

bbb) Sollten die angeforderten und vorgelegten Kontoauszüge besondere personenbezogene Daten im Sinne von Art. 9 Abs. 1 DSGVO beinhalten (siehe oben), wäre deren Verarbeitung nach § 29b Abs. 2 AO rechtmäßig.

(1) Das hierfür nach § 29b Abs. 2 Satz 1 AO zum einen erforderliche erhebliche öffentliche Interesse liegt vor.

Ausreichend ist nicht irgendein --der Allgemeinheit dienendes-- öffentliches Interesse; vielmehr muss die Erheblichkeitsschwelle überschritten werden, das heißt, das öffentliche Interesse muss besonders bedeutend sein. Mit Blick auf die verfassungsrechtlich verbürgten Grundsätze der Gesetzmäßigkeit und Gleichmäßigkeit der Besteuerung ist diese Qualifikation bei der Verarbeitung von Daten im steuerlichen Verfahrensrecht nach allgemeiner Ansicht erreicht (Drüen in Tipke/Kruse, § 29b AO Rz 15; Mues in Gosch, AO § 29b Rz 30 ff., 47; Klein/Rüsken, AO, 16. Aufl., § 29b Rz 29; Tormöhlen, AO-Steuerberater --AOStB-- 2019, 248, 249).

(2) Zum anderen überwiegen die Interessen des FA an der Datenverarbeitung die Interessen des Klägers an einer Untersagung der Verarbeitung. Dies ergibt sich bereits daraus, dass das Vorlageersuchen des FA nicht gezielt zum Gegenstand hatte, besondere personenbezogene Daten im Sinne von Art. 9 Abs. 1 DSGVO zu verarbeiten. Die Prüfungsanordnung verdeutlicht vielmehr, dass diejenigen Vorgänge, die betriebliche Veranlassung hatten beziehungsweise hätten haben können und über das angefragte Konto abgewickelt wurden (insbesondere der Zufluss von Honoraren aus rechtsanwaltlicher Tätigkeit), überprüft werden sollten. Die Verarbeitung nicht-betrieblicher Daten im Sinne von Art. 9 Abs. 1 DSGVO hatte lediglich unvermeidbare begleitende Relevanz.

(3) Wegen der fehlenden Trennbarkeit der besonderen personenbezogenen Daten war deren Verarbeitung im Sinne des Zwecks des Vorlageersuchens des FA auch erforderlich.

cc) § 29b AO genügt den Anforderungen, die die Datenschutz-Grundverordnung an die Gestattung für die Verarbeitung von einfachen personenbezogenen Daten gemäß Art. 6 Abs. 3 DSGVO (dazu unten aaa) sowie an die Verarbeitung von besonderen personenbezogenen Daten im Sinne von Art. 9 Abs. 2 DSGVO (unten bbb) stellt.

aaa) (1) Art. 6 Abs. 3 Satz 2 DSGVO gibt vor, dass in der für Verarbeitungen gemäß Abs. 1 Buchst. e der Vorschrift erforderlichen Rechtsgrundlage entweder der Zweck der Verarbeitung festgelegt sein muss (Alternative 1) oder der Zweck für die Erfüllung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Alternative 2). Der Verarbeitungszweck muss somit nicht ausdrücklich gesetzlich bestimmt werden, sondern kann sich ebenso aus dem Kontext einer zu erfüllenden bestimmten Aufgabe ergeben (Frenzel in Paal/Pauly, DS-GVO BDSG, 3. Aufl., Art. 6 DSGVO Rz 41; Drüen in Tipke/Kruse, § 29b AO Rz 10). Dies korrespondiert mit der Erwägung des Verordnungsgebers, dass nicht für jede Verarbeitung ein spezifisches Gesetz verlangt wird (Datenschutz-Grundverordnung, dort vorangestellter Erwägungsgrund Nummer 45 Satz 2; vgl. auch BeckOK Datenschutzrecht/Albers/Veit, 45. Ed. [01.08.2023], DSGVO Art. 6 Rz 80). Vorausgesetzt wird allerdings, dass eine solche Aufgabe durch das Recht hinreichend klar und bestimmt beschrieben wird (Buchner/Petri in Kühling/Buchner, DS-GVO BDSG, 3. Aufl., Art. 6 DSGVO Rz 121).

(2) Dementsprechend wird § 29b Abs. 1 AO bereits der Alternative 2 des Art. 6 Abs. 3 Satz 2 DSGVO gerecht.

Die Verarbeitung personenbezogener Daten ist für die Erfüllung der den Finanzbehörden obliegenden (Kern-)Aufgabe, nämlich der gleichmäßigen Festsetzung und Erhebung von Steuern nach Maßgabe der Gesetze (Art. 3 Abs. 1 GG i.V.m. § 85 Satz 1 AO), erforderlich. Mit Blick auf die jeweils weit gefassten Begriffe der Personenbezogenheit von Daten sowie des Verarbeitens von Daten (Art. 4 Nr. 1 und 2 DSGVO) erscheint es unvorstellbar, dass das Steuerfestsetzungs- und -erhebungsverfahren --insbesondere vor dem Hintergrund des Amtsermittlungsgrundsatzes (§ 88 Abs. 1 Satz 1 AO)-- ohne die Verarbeitung personenbezogener Daten gesetzmäßig und effektiv umzusetzen wäre (in diesem Sinne auch Fischbach, EFG 2022, 4, 5). Die Erfüllung dieser in § 85 Satz 1 AO festgelegten Aufgabe liegt evident im öffentlichen Interesse, was sich bereits darin zeigt, dass der europäische Verordnungsgeber unter anderem den "Steuerbereich" als schützenswertes wichtiges Ziel des allgemeinen öffentlichen Interesses erklärt hat (Art. 23 Abs. 1 Buchst. e DSGVO). Dies entspricht auch der Rechtsprechung des EuGH, der zufolge sowohl die Steuererhebung als auch die Bekämpfung von Steuerbetrug als im öffentlichen Interesse liegende Aufgaben im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO anzusehen sind (EuGH-Urteil "SS" SIA gegen Valsts ieņēmumu dienests vom 24.02.2022 - C-175/20, EU:C:2022:124, Rz 70, m.w.N.).

(3) Unabhängig von Vorgenanntem hat der Gesetzgeber in § 29b Abs. 1 AO den Zweck der Verarbeitung personenbezogener Daten im steuerlichen Verfahrensrecht festgelegt und damit auch die Anforderungen des Art. 6 Abs. 3 Satz 2 Alternative 1 DSGVO erfüllt.

§ 29b Abs. 1 AO benennt zwar nicht konkret einen Verarbeitungszweck, knüpft aber an die den Finanzbehörden obliegenden Aufgaben an und rechtfertigt für deren Erfüllung die Verarbeitung personenbezogener Daten. Der insoweit zumindest konkludent gefasste Verweis auf die Aufgaben und Zuständigkeiten der Finanzbehörden sowohl in der Abgabenordnung (hier insbesondere § 85 Satz 1 AO) als auch im Finanzverwaltungsgesetz (hier insbesondere § 17 Abs. 2 FVG) genügt, um anzunehmen, dass auch der Zweck der Verarbeitung personenbezogener Daten im Sinne von Art. 6 Abs. 3 Satz 2 Alternative 1 DSGVO gesetzlich festgelegt ist (in diesem Sinne ebenso Wackerbeck in HHSp, § 29b AO Rz 12: "minimalistische Umsetzung"; Mues in Gosch, AO § 29b Rz 29; Drüen in Tipke/Kruse, § 29b AO Rz 1, 10: "nur … sehr moderate Konkretisierungspflicht"; BeckOK AO/Steinke, 25. Ed. [01.07.2023], AO § 29b Rz 20; Tormöhlen, AOStB 2019, 248, 249; Krumm, DB 2017, 2182, 2190; Ehrke-Rabel, FR 2019, 45, 52; zweifelnd dagegen Klein/Rüsken, AO, 16. Aufl., § 29b Rz 21).

Ein darüber hinausgehendes Konkretisierungs- beziehungsweise Präzisierungsgebot ergibt sich weder aus Art. 6 Abs. 2 und Abs. 3 Satz 4 DSGVO (beide Normen sind als "Kann"-Bestimmungen verfasst) noch aus dem der Datenschutz-Grundverordnung vorangestellten Erwägungsgrund Nummer 45 (der dortige Satz 5 ist ebenfalls als "Kann"-Bestimmung ausgestaltet). Die Fassung abstrakter Erlaubnistatbestände gewährleistet zudem ein hinreichendes Maß an Verwaltungsflexibilität und -ermessen (vgl. insoweit zu § 88 Abs. 2 Satz 1 AO Volquardsen in Schwarz/Pahlke/Keß, AO/FGO, § 29b AO Rz 6); ferner wird der Gefahr einer "Verrechtlichungsfalle" im Datenschutzrecht entgegengewirkt (BeckOK Datenschutzrecht/Albers/Veit, 45. Ed. [01.08.2023], DSGVO Art. 6 Rz 80, m.w.N.).

(4) § 29b Abs. 1 AO verletzt auch nicht das unionsrechtliche Normwiederholungsverbot.

Dieses Verbot soll sicherstellen, dass die Wirkung einer unmittelbaren Geltung von Verordnungen der EU (Art. 288 Abs. 2 AEUV) nicht vereitelt wird (vgl. EuGH-Urteile Kommission der Europäischen Gemeinschaften gegen Italienische Republik vom 07.02.1973 - C-39/72, EU:C:1973:13, Rz 17; Fratelli Variola S.p.A. gegen Amministrazione italiana delle Finanze vom 10.10.1973 - C-34/73, EU:C:1973:101, Rz 9 ff. sowie Kommission der Europäischen Gemeinschaften gegen Italienische Republik vom 28.03.1985 - C-272/83, EU:C:1985:147, Rz 26; Schaumburg in Schaumburg, Internationales Steuerrecht --IStR--, 5. Aufl., Rz 3.47; Myßen/Kraus, FR 2019, 58, 59). Folge dessen ist, dass die Regelungen der Datenschutz-Grundverordnung in einer nationalen Rechtsgrundlage grundsätzlich nicht schlicht wiederholt werden dürfen (Frenzel in Paal/Pauly, DS-GVO BDSG, 3. Aufl., Art. 6 DSGVO Rz 33; Taeger in Taeger/Gabel, DSGVO BDSG TTDSG, 4. Aufl., Art. 6 DSGVO Rz 155; vgl. auch Schreiben des Bundesministeriums der Finanzen vom 13.01.2020, BStBl I 2020, 143, Rz 1).

Diesen Anforderungen wird § 29b Abs. 1 AO gerecht. Der Wortlaut der Norm ist zwar eng an die Formulierung des Erlaubnistatbestands des Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO angelehnt, beschränkt sich allerdings nicht auf dessen schlichte Wiederholung. § 29b Abs. 1 AO konkretisiert zum einen den Berechtigten einer Verarbeitung personenbezogener Daten, nämlich die Finanzbehörde, und knüpft zum anderen an die ihr obliegenden und von ihr zu erfüllenden Aufgaben an (vgl. auch Wackerbeck in HHSp, § 29b AO Rz 12).

Soweit § 29b Abs. 1 AO die Begrifflichkeiten von Art. 6 Abs. 3 Satz 1 Buchst. e DSGVO wörtlich beziehungsweise im Kontext übernimmt (insbesondere "Verarbeitung", "Erfüllung einer Aufgabe", "Ausübung öffentlicher Gewalt"), wird das Normwiederholungsverbot nicht verletzt. Der Verordnungsgeber lässt es zu, jedenfalls "Textpassagen" der Datenschutz-Grundverordnung im nationalen Recht zu wiederholen, wenn --wie hier-- die Datenschutz-Grundverordnung eine Präzisierung durch mitgliedstaatliches Recht zulässt und die Wiederholung als erforderlich gilt, um die Kohärenz sicherzustellen und um die nationalen Vorschriften verständlicher zu formulieren (Datenschutz-Grundverordnung, dort vorangestellter Erwägungsgrund Nummer 8; vgl. zur Ausnahme vom Normwiederholungsverbot bereits EuGH-Urteil Kommission der Europäischen Gemeinschaften gegen Italienische Republik vom 28.03.1985 - C-272/83, EU:C:1985:147, Rz 27 sowie BeckOK Datenschutzrecht/Albers/Veit, 45. Ed. [01.08.2023], DSGVO Art. 6 Rz 87).

Soweit im Schrifttum vereinzelt vertreten wird, dass die § 29b Abs. 1 AO weitgehend gleichlautende Ermächtigungsnorm des § 3 BDSG das Normwiederholungsverbot verletze (Frenzel in Paal/Pauly, DS-GVO BDSG, 3. Aufl., § 3 BDSG Rz 1 f.), rechtfertigt dies kein anderes Ergebnis. Weder setzt sich diese Auffassung mit dem der Datenschutz-Grundverordnung vorangestellten Erwägungsgrund Nummer 8 auseinander noch berücksichtigt sie, dass Art. 6 Abs. 3 Satz 3 DSGVO --wie oben dargelegt-- nur dazu berechtigt, nicht aber verpflichtet, spezifischere Bestimmungen in die nationale Rechtsgrundlage aufzunehmen (vgl. auch Starnecker in Gola/Heckmann, DS-GVO BDSG, 3. Aufl., § 3 BDSG Rz 8 sowie BeckOK Datenschutzrecht/Wolff, 45. Ed. [01.11.2021], BDSG § 3 Rz 31).

(5) Der Senat hat auch keine Zweifel, dass § 29b Abs. 1 AO ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck steht (vgl. Art. 6 Abs. 3 Satz 4 DSGVO). Die Verarbeitung personenbezogener Daten dient der Durchführung des Besteuerungsverfahrens (§ 85 AO). Die Vorschrift schließt eine unbeschränkte Datenbevorratung aus; sie macht die Verarbeitung davon abhängig, dass diese final im Zusammenhang mit den Aufgaben der Verwaltung steht ("zur Erfüllung") und darüber hinaus insoweit auch erforderlich ist, das heißt auf das für den Zweck der Verarbeitung notwendige Maß beschränkt wird ("Datenminimierung", vgl. Art. 5 Abs. 1 Buchst. c DSGVO).

bbb) Schließlich sind auch die speziellen Regelungen in § 29b Abs. 2 AO zur Gestattung der Verarbeitung besonderer personenbezogener Daten mit den Vorgaben in Art. 9 Abs. 2 Buchst. g DSGVO vereinbar.

§ 29b Abs. 2 Satz 1 AO berücksichtigt das erhöhte Schutzniveau der in Art. 9 Abs. 1 DSGVO genannten Daten, die nicht bereits zum Zweck eines allgemeinen, sondern nur eines erheblichen öffentlichen Interesses verarbeitet werden dürfen. Darüber hinaus fordert die Norm eine strenge Prüfung der Verhältnismäßigkeit und wahrt damit die Grundrechte und Interessen der betroffenen Person. Ferner gewährleistet § 29b Abs. 2 Satz 1 AO keine schrankenlose Verarbeitung von Daten im Sinne von Art. 9 Abs. 1 DSGVO, sondern gestattet dies nur, "soweit" dies aus Gründen eines erheblichen öffentlichen Interesses "erforderlich" ist.

Mit den in § 29b Abs. 2 Satz 2 AO gesetzlich verbürgten Maßnahmen zur Wahrung der Interessen der betroffenen Person und hierbei insbesondere mit dem Verweis auf den Katalog des § 22 Abs. 2 Satz 2 BDSG trägt die Gestattungsnorm zudem den weiteren Vorgaben des Art. 9 Abs. 2 Buchst. g DSGVO Rechnung.

dd) Die mit der Revision vorgebrachten Einwendungen des Klägers gegen die Verarbeitung seiner personenbezogenen Daten sind unbegründet.

aaa) Der wesentliche Einwand, § 97 Abs. 1 Satz 1 AO enthalte keine Rechtfertigung für die Verarbeitung personenbezogener Daten, ist bereits im Ansatz verfehlt. Die Befugnis der Finanzbehörden, mit Vorlageersuchen entweder bei den Beteiligten (§ 97 Abs. 1 Satz 1 AO) oder bei Dritten (Satz 3 der Vorschrift) personenbezogene Daten zu erheben und zu verarbeiten, ergibt sich abschließend aus der für das gesamte steuerliche Verfahrensrecht geltenden --vorgeschalteten-- Norm des § 29b AO (zutreffend Fischbach, EFG 2022, 4, 5). Aus diesem Grund sind auch die weiteren gegen § 97 AO gerichteten Einwendungen im vorliegenden Verfahren ohne Bedeutung.

bbb) Soweit der Kläger beanstandet, dass § 29b AO nicht diejenigen Unterlagen benenne, die der Finanzbehörde auf Verlangen vorzulegen seien, überstrapaziert er den erforderlichen Regelungsgehalt jener Norm. Wie bereits dargelegt, reicht es aus, dass der Gesetzgeber mit § 29b AO einen abstrakten Erlaubnistatbestand geschaffen hat, nach dem unter den dort genannten Voraussetzungen personenbezogene Daten verarbeitet werden dürfen.

ee) Die vom Kläger gerügten materiellen Verfassungsverstöße liegen nicht vor.

aaa) Dies gilt zunächst für das aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG abgeleitete Grundrecht auf informationelle Selbstbestimmung.

(1) Dieses Grundrecht gewährleistet die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Es umfasst den Schutz gegen die unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe persönlicher Daten. Die Gewährleistung greift insbesondere, wenn die Entfaltung der Persönlichkeit dadurch gefährdet wird, dass personenbezogene Informationen von staatlichen Behörden in einer Art und Weise genutzt und verknüpft werden, die Betroffene weder überschauen noch beherrschen können (Beschluss des Bundesverfassungsgerichts --BVerfG-- vom 27.05.2020 - 1 BvR 1873/13, 1 BvR 2618/13, BVerfGE 155, 119, Rz 92, m.w.N.).

Das Recht auf informationelle Selbstbestimmung wird aber nicht schrankenlos gewährleistet. Eingriffe in dieses Grundrecht bedürfen --wie jede Grundrechtsbeschränkung-- einer gesetzlichen Ermächtigung, die einen legitimen Gemeinwohlzweck verfolgt und im Übrigen den Grundsatz der Verhältnismäßigkeit wahrt (statt vieler BVerfG-Beschluss vom 10.11.2020- 1 BvR 3214/15, BVerfGE 156, 11, Rz 84). Sie müssen daher zur Erreichung des legitimen Zwecks geeignet, erforderlich und verhältnismäßig im engeren Sinne sein. Dabei bedürfen sie einer gesetzlichen Grundlage, welche die Datenverarbeitung auf spezifische Zwecke hinreichend begrenzt. Alle angegriffenen Befugnisse sind zudem am Grundsatz der Normenklarheit und Bestimmtheit zu messen, der der Vorhersehbarkeit von Eingriffen für die Bürgerinnen und Bürger, einer wirksamen Begrenzung der Befugnisse gegenüber der Verwaltung sowie der Ermöglichung einer effektiven Kontrolle durch die Gerichte dient (vgl. Urteil des Bundessozialgerichts --BSG-- vom 20.01.2021 - B 1 KR 7/20 R, BSGE 131, 169, Rz 93, m.w.N.).

(2) Diesen Anforderungen wird die das Grundrecht auf informationelle Selbstbestimmung einschränkende Norm des § 29b AO gerecht. Sie dient den Finanzbehörden bei der Erfüllung ihrer Aufgabe einer gesetzesgemäßen, gleichmäßigen Festsetzung und Erhebung von Steuern und verfolgt demnach ein legitimes Gemeinwohlziel. Zweifel an einer dem Verhältnismäßigkeitsgrundsatz entsprechenden Ausgestaltung der Norm bestehen nicht, zumal § 29b Abs. 1 AO die Verarbeitung personenbezogener Daten nur soweit gestattet, als sie zur Erfüllung der der Finanzbehörde obliegenden Aufgabe erforderlich ist; eine Datenbevorratung ist somit --wie oben dargelegt-- ausgeschlossen. Darüber hinaus sieht § 29b Abs. 2 Satz 2 Halbsatz 1 AO bei der Verarbeitung besonderer persönlicher Daten im Sinne von Art. 9 Abs. 1 DSGVO spezifische Maßnahmen zur Wahrung der Datenschutzrechte des Betroffenen vor. Infolge der in § 29b Abs. 1 AO geregelten Verbindung zwischen der Aufgabe einer Finanzbehörde und der (nur) hierzu zulässigen Verarbeitung personenbezogener Daten ist diese Gestattungsnorm --im Übrigen ebenso wie Absatz 2 der Vorschrift-- hinreichend klar ausgestaltet.

bbb) Auch eine Verletzung von Art. 8 Abs. 1 und Abs. 2 Satz 1 der Charta der Grundrechte der Europäischen Union (EUGrdRCh) ist ausgeschlossen.

Unbeschadet der Frage, ob der sachliche Anwendungsbereich der Charta der Grundrechte der Europäischen Union im Hinblick auf deren Art. 51 Abs. 1 Satz 1 überhaupt eröffnet ist (vgl. hierzu Urteil des Bundesfinanzhofs --BFH-- vom 30.08.2022 - X R 17/21, BFHE 278, 327, BStBl II 2023, 396, Rz 50 sowie BSG-Urteil vom 20.01.2021 - B 1 KR 7/20 R, BSGE 131, 169, Rz 91), wäre ein Eingriff in Art. 8 Abs. 1 und 2 Satz 1 EUGrdRCh gerechtfertigt.

Nach Art. 8 Abs. 1 EUGrdRCh hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten. Absatz 2 Satz 1 der Vorschrift legt fest, dass diese Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen.

Eine Regelung, die unter anderem einen Eingriff in das durch Art. 8 EUGrdRCh garantierte Grundrecht auf Schutz der personenbezogenen Daten enthält, muss dem Erfordernis der Verhältnismäßigkeit genügen. Dies verlangt, dass die Handlungen der Unionsorgane (beziehungsweise der Mitgliedstaaten) geeignet sind, die mit der fraglichen Regelung zulässigerweise verfolgten Ziele zu erreichen, und nicht die Grenzen dessen überschreiten, was zur Erreichung dieser Ziele geeignet und erforderlich ist (vgl. EuGH-Urteil Digital Rights Ireland Ltd gegen Minister for Communications, Marine and Natural Resources u.a. und Kärntner Landesregierung u.a. vom 08.04.2014 - C-293/12, C-594/12, EU:C:2014:238, Rz 46, m.w.N.). Die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten müssen sich auf das absolut Notwendige beschränken. Die den Eingriff enthaltende Regelung muss zudem klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen, so dass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen (EuGH-Urteil Digital Rights Ireland Ltd gegen Minister for Communications, Marine and Natural Resources u.a. und Kärntner Landesregierung u.a. vom 08.04.2014 - C-293/12, C-594/12, EU:C:2014:238, Rz 54; BSG-Urteil vom 20.01.2021 - B 1 KR 7/20 R, BSGE 131, 169, Rz 109, jeweils m.w.N.).

Zweifel daran, dass § 29b AO diesen Anforderungen, die im Wesentlichen denen für die Rechtfertigung eines Eingriffs in das Grundrecht auf informationelle Selbstbestimmung entsprechen, genügt, bestehen aus den oben dargelegten Erwägungen nicht.

c) Es bedarf keiner Entscheidung des Senats, ob das FA als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO seinen Transparenz- und Informationspflichten gegenüber dem Kläger (Art. 12, Art. 14 DSGVO) hinreichend nachgekommen ist. Selbst wenn dies --abweichend von der Auffassung des FG-- nicht der Fall gewesen sein sollte, könnte der Kläger allein deshalb keine Löschung der ihn betreffenden personenbezogenen Daten gemäß Art. 17 Abs. 1 Buchst. d DSGVO verlangen. Etwaige Verstöße gegen Transparenzpflichten führen für sich betrachtet nicht dazu, dass die Datenverarbeitung --wie von Art. 17 Abs. 1 Buchst. d DSGVO verlangt-- "unrechtmäßig" war. Dies ergibt sich aus Art. 5 Abs. 1 Buchst. a DSGVO, der klar zwischen Rechtmäßigkeit, Treu und Glauben sowie Transparenz differenziert (vgl. auch Herbst in Kühling/Buchner, DS-GVO BDSG, 3. Aufl., Art. 5 DSGVO Rz 10 f.: "enges Verständnis" des Begriffs der Rechtmäßigkeit).

d) Aus alledem ergibt sich, dass der Kläger keinen Anspruch auf Löschung seiner verarbeiteten personenbezogenen Daten gemäß Art. 17 Abs. 1 Buchst. d DSGVO hat.

e) Dasselbe Ergebnis bestimmt Art. 17 Abs. 3 Buchst. b Variante 2 DSGVO.

Hiernach besteht kein Löschungsanspruch, soweit die Verarbeitung personenbezogener Daten erforderlich ist zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt. Auch insofern bedarf es allerdings einer rechtlichen Grundlage im Unions- oder nationalen Recht (vgl. Nolte/Werkmeister in Gola/Heckmann, DS-GVO BDSG, 3. Aufl., Art. 17 DSGVO Rz 46), die der nationale Gesetzgeber mit § 29b AO geschaffen hat.

3. Das im Hilfsantrag vom Kläger weiterverfolgte Widerspruchsrecht gemäß Art. 21 Abs. 1 Satz 1 Halbsatz 1 DSGVO besteht nicht.

a) Nach dieser Vorschrift hat die betroffene Person das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 Satz 1 Buchst. e oder f DSGVO erfolgt, Widerspruch einzulegen.

Art. 23 Abs. 1 DSGVO gestattet den Mitgliedstaaten der EU allerdings, unter anderem das vorgenannte Widerspruchsrecht im Wege von Gesetzgebungsmaßnahmen zu beschränken, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die die in Buchstaben a bis j geregelten Schutzgüter sicherstellt. Als Schutzgut im Sinne von Art. 23 Abs. 1 Buchst. e DSGVO benennt der Verordnungsgeber sonstige wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, wobei er beispielhaft den Währungs-, Haushalts- und Steuerbereich der Union oder eines Mitgliedstaats anführt.

Von einer solchen Beschränkungsmöglichkeit hat der nationale Gesetzgeber mit § 32f Abs. 5 AO Gebrauch gemacht. Hiernach besteht das Recht auf Widerspruch gemäß Art. 21 Abs. 1 DSGVO gegenüber einer Finanzbehörde nicht, soweit an der Verarbeitung ein zwingendes öffentliches Interesse besteht, das die Interessen der betroffenen Person überwiegt (Alternative 1), oder eine Rechtsvorschrift zur Verarbeitung verpflichtet (Alternative 2).

b) Jedenfalls die Voraussetzungen der Alternative 1 liegen vor.

Der Kläger ist seinen Mitwirkungspflichten im Rahmen der bei ihm angeordneten Außenprüfung (§ 193, § 200 AO) nicht nachgekommen. Zum Zweck der Überprüfung der Einkünfte und Umsätze des Klägers aus selbständiger Arbeit auf Richtigkeit und Vollständigkeit war es dem FA gestattet, von G die Vorlage der Kontoauszüge zu verlangen. Die hiermit unweigerlich einhergehende Verarbeitung personenbezogener Daten war mit Blick auf die in einem zwingenden öffentlichen Interesse liegende Aufgabe des FA, Steuern nach Maßgabe der Gesetze gleichmäßig festzusetzen (§ 85 Satz 1 AO) und hierbei den Besteuerungssachverhalt von Amts wegen zu ermitteln (§ 88 Abs. 1 Satz 1 AO), vom Kläger hinzunehmen.

4. Die vom Kläger gerügten Verfahrensmängel greifen nicht durch.

a) Weder liegt ein Begründungsausfall im Sinne von § 119 Nr. 6 FGO vor noch kann der Kläger mit Erfolg eine Verletzung seines Anspruchs auf Gewährung rechtlichen Gehörs gemäß Art. 103 Abs. 1 GG, § 96 Abs. 2 FGO geltend machen.

Der Gehörsanspruch verpflichtet das Gericht nur, die Ausführungen der Beteiligten zur Kenntnis zu nehmen, in Erwägung zu ziehen und sich mit dem entscheidungserheblichen Kern des Vorbringens auseinanderzusetzen (sogenannte Beachtenspflicht). Jener Anspruch verpflichtet aber nicht, sich mit Ausführungen der Beteiligten auseinanderzusetzen, auf die es für die Entscheidung nicht ankommt (statt vieler BFH-Beschluss vom 11.11.2022 - VIII B 97/21, Rz 9, m.w.N.). Ebenso wenig besteht die Pflicht, sich mit jedem Vorbringen in den Entscheidungsgründen ausdrücklich zu befassen. Der Gehörsanspruch ist erst verletzt, wenn das Gericht Vorbringen, auf das es ankommen kann, nicht nur nicht ausdrücklich bescheidet, sondern bei seiner Entscheidung überhaupt nicht berücksichtigt (BFH-Beschlüsse vom 26.02.2019 - VIII B 133/18, Rz 4; vom 13.03.2015 - X B 138/14, Rz 24).

Nach diesen Maßstäben ist dem FG keine Gehörsverletzung vorzuhalten. Das wesentliche Vorbringen des Klägers, § 97 Abs. 1 AO genüge nicht den Anforderungen von Art. 6 Abs. 1 Satz 1 Buchst. e, Abs. 3 Satz 1 Buchst. b sowie Satz 2 ff. DSGVO, war aus den oben genannten Gründen nicht entscheidungserheblich. Mit dem Kern seiner Rüge wendet sich der Kläger insoweit gegen die materielle Rechtmäßigkeit der angefochtenen Entscheidung und macht keinen Verfahrensfehler geltend. Er beanstandet letztlich, vom FG nicht "erhört" worden zu sein, da sich dieses nicht seinen rechtlichen Ansichten angeschlossen hat; dies wird vom Gehörsanspruch nicht umfasst (BFH-Beschluss vom 14.11.2022 - XI B 106/21, Rz 16, m.w.N.).

b) Die Entscheidung der Vorinstanz, das Klageverfahren nicht nach § 74 FGO auszusetzen und keine Vorabentscheidung des EuGH zu den vom Kläger aufgeworfenen Rechtsfragen einzuholen, verletzt ihn nicht in seinem Anspruch auf den gesetzlichen Richter gemäß Art. 101 Abs. 1 Satz 2 GG. Das FG ist als erstinstanzliches Gericht nach Art. 267 Abs. 2 AEUV nur berechtigt, nicht aber verpflichtet, den EuGH um eine Vorabentscheidung zu ersuchen (BFH-Beschluss vom 26.06.2021 - VIII B 46/20, Rz 29, m.w.N.).

5. Ein Vorabentscheidungsersuchen des erkennenden Senats an den EuGH gemäß Art. 267 Abs. 3 AEUV ist nicht geboten.

a) Entgegen der Auffassung der Vorinstanz enthält der Streitfall zwar entscheidungserhebliche Fragen zur Auslegung des Unionsrechts. Dieser Umstand verpflichtet den Senat aber nicht, eine Vorabentscheidung des EuGH einzuholen. Denn eine Vorlagepflicht nach Art. 267 Abs. 3 AEUV besteht nicht, wenn zu der entscheidungserheblichen Frage nach der Auslegung oder Gültigkeit des Unionsrechts bereits eine gesicherte Rechtsprechung des EuGH existiert ("acte éclairé") oder die richtige Anwendung des Unionsrechts derart offenkundig ist, dass keinerlei Raum für einen vernünftigen Zweifel an der Entscheidung der gestellten Frage bleibt, sogenannte "acte clair" (EuGH-Urteil Srl CILFIT und Lanificio di Gavardo SpA gegen Ministero della Sanità vom 06.10.1982 - C-283/81, EU:C:1982:335, Rz 13 ff.; vgl. auch BVerfG-Beschluss vom 04.03.2021 - 2 BvR 1161/19, Rz 55; Wegener in Calliess/Ruffert, EUV/AEUV, 6. Aufl., Art. 267 AEUV Rz 33; Schönfeld, IStR 2022, 617, 623).

b) Nach diesen Maßstäben bedarf es im Streitfall keines Vorabentscheidungsersuchens.

Durch die Rechtsprechung des EuGH ist bereits geklärt, dass die Steuererhebung --neben der Bekämpfung des Steuerbetrugs-- als eine im öffentlichen Interesse liegende Aufgabe im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO ist (EuGH-Urteil "SS" SIA gegen Valsts ieņēmumu dienests vom 24.02.2022 - C-175/20, EU:C:2022:124, Rz 70). Hieran anknüpfend kann es keinem vernünftigen Zweifel unterliegen, dass § 29b AO den besonderen unionsrechtlichen Anforderungen, die Art. 6 Abs. 3 Satz 2 und Abs. 3 Satz 4 DSGVO für die Legitimation der Verarbeitung personenbezogener Daten vorgibt, genügt. Beide Normen knüpfen an ein im "öffentlichen Interesse" liegendes Ziel an.

Ebenso geklärt sind der unionsrechtliche Grundsatz des Normwiederholungsverbots und die hiervon bestehenden Ausnahmen (EuGH-Urteile Kommission der Europäischen Gemeinschaften gegen Italienische Republik vom 07.02.1973 - C-39/72, EU:C:1973:13, Rz 17; Fratelli Variola S.p.A. gegen Amministrazione italiana delle Finanze vom 10.10.1973 - C-34/73, EU:C:1973:101, Rz 9 ff. sowie Kommission der Europäischen Gemeinschaften gegen Italienische Republik vom 28.03.1985 - C-272/83, EU:C:1985:147, Rz 26 f.). Da der der Datenschutz-Grundverordnung vorangestellte Erwägungsgrund Nummer 8 es ausdrücklich zulässt, dass die Mitgliedstaaten unter den dort genannten Voraussetzungen Teile der Verordnung wörtlich in ihr nationales Recht aufnehmen, besteht nach Ansicht des erkennenden Senats auch keinerlei Raum für vernünftige Zweifel, dass § 29b AO insoweit unionsrechtskonform ist.

Schließlich bieten sowohl die sprachlichen Fassungen von Art. 6 Abs. 2 und Abs. 3 Satz 3 DSGVO als auch der der Datenschutz-Grundverordnung vorangestellte und insoweit maßgebliche Erwägungsgrund Nummer 45 für den Senat hinreichend Anlass, zweifelsfrei annehmen zu können, dass der nationale Gesetzgeber unionsrechtlich befugt war, § 29b AO als abstrakten Erlaubnistatbestand für die Verarbeitung personenbezogener Daten auszugestalten. Präzisierungen zu den unionsrechtlichen Erlaubnistatbeständen sind hiernach ausdrücklich ins Ermessen der nationalen Gesetzgeber gestellt. Zudem gestattet Satz 3 des der Datenschutz-Grundverordnung vorangestellten Erwägungsgrunds Nummer 45 ausdrücklich, dass ein (nationales) Gesetz --vorliegend § 29b AO-- "Grundlage für mehrere Verarbeitungsvorgänge" sein kann, wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse erforderlich ist.

6. Die Kostenentscheidung beruht auf § 135 Abs. 2 FGO.