§ 29c AO. Verarbeitung personenbezogener Daten durch Finanzbehörden zu anderen Zwecken

(1) [1] Die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten von einer Finanzbehörde erhoben oder erfasst wurden (Weiterverarbeitung), durch Finanzbehörden im Rahmen ihrer Aufgabenerfüllung ist zulässig, wenn

• 1. sie einem Verwaltungsverfahren, einem Rechnungsprüfungsverfahren oder einem gerichtlichen Verfahren in Steuersachen, einem Strafverfahren wegen einer Steuerstraftat oder einem Bußgeldverfahren wegen einer Steuerordnungswidrigkeit dient,
• 2. die gesetzlichen Voraussetzungen vorliegen, die nach § 30 Absatz 4 oder 5 eine Offenbarung der Daten zulassen würden, oder zu prüfen ist, ob diese Voraussetzungen vorliegen,
• 3. offensichtlich ist, dass die Weiterverarbeitung im Interesse der betroffenen Person liegt und kein Grund zu der Annahme besteht, dass sie in Kenntnis des anderen Zwecks ihre Einwilligung verweigern würde,
• 4. sie für die Entwicklung, Überprüfung oder Änderung automatisierter Verfahren der Finanzbehörden erforderlich ist, weil
  • a) unveränderte Daten benötigt werden oder
  • b) eine Anonymisierung oder Pseudonymisierung der Daten nicht oder nur mit unverhältnismäßigem Aufwand möglich ist.
  Die Nutzung personenbezogener Daten ist dabei insbesondere erforderlich, wenn personenbezogene Daten aus mehreren verschiedenen Dateisystemen eindeutig miteinander verknüpft werden sollen und die Schaffung geeigneter Testfälle nicht oder nur mit unverhältnismäßigem Aufwand möglich ist,
• 5. sie für die Gesetzesfolgenabschätzung erforderlich ist, weil
  • a) unveränderte Daten benötigt werden oder
  • b) eine Anonymisierung oder Pseudonymisierung der Daten nicht oder nur mit unverhältnismäßigem Aufwand möglich ist,
  oder
• 6. sie für die Wahrnehmung von Aufsichts-, Steuerungs- und Disziplinarbefugnissen der Finanzbehörde erforderlich ist. Das gilt auch für die Veränderung oder Nutzung personenbezogener Daten zu Ausbildungs- und Prüfungszwecken durch die Finanzbehörde, soweit nicht überwiegende schutzwürdige Interessen der betroffenen Person entgegenstehen.

[2] In den Fällen von Satz 1 Nummer 4 dürfen die Daten ausschließlich für Zwecke der Entwicklung, Überprüfung oder Änderung automatisierter Verfahren verarbeitet werden und müssen innerhalb eines Jahres nach Beendigung dieser Maßnahmen gelöscht werden. [3] In den Fällen von Satz 1 Nummer 6 dürfen die Daten nur durch Personen verarbeitet werden, die nach § 30 zur Wahrung des Steuergeheimnisses verpflichtet sind.

(2) Die Weiterverarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 ist zulässig, wenn die Voraussetzungen des Absatzes 1 und ein Ausnahmetatbestand nach Artikel 9 Absatz 2 der Verordnung (EU) 2016/679 oder nach § 29b Absatz 2 vorliegen.