BFH: Anwendung der DSGVO im Bereich der Steuerverwaltung; Voraussetzungen und Reichweite des Auskunftsanspruchs nach Art. 15 DSGVO

1. Die Verarbeitung personenbezogener Daten durch die Finanzverwaltung un­terfällt dem Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO). Auf eine Differenzierung nach der Art der Aktenführung, der Art der Dokumen­te oder der Form der Bearbeitung kommt es nicht an.
2. § 2 Abs. 2 Buchst. a DSGVO beschränkt die Anwendung der Datenschutz-Grundverordnung nicht auf den Bereich der harmonisierten Steuern.
3. § 15 Abs. 3 Satz 1 DSGVO gewährt keinen gegenüber Art. 15 Abs. 1 DSGVO eigenständigen Anspruch gegenüber dem Verantwortlichen auf Zurver­fügungstellung von Dokumenten mit personenbezogenen Daten.
4. Nur wenn eine Kopie von Dokumenten unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die Datenschutz-Grundverord­nung verliehenen Rechte zu ermöglichen, besteht nach Art. 15 Abs. 3 Satz 1 DSGVO ein Anspruch darauf, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die unter anderem diese Daten enthalten, zur Verfügung gestellt zu bekommen.
5. Ein Ausschluss des Auskunftsrechts nach Art. 12 Abs. 5 Satz 2 DSGVO kommt nur in Betracht, wenn sich der Verantwortliche hierauf beruft und darlegt, dass ein offenkundig unbegründeter oder exzessiver Antrag vorliegt.

DSGVO Art. 15 Abs. 1, Art. 15 Abs. 3 Satz 1, Art. 12 Abs. 5 Satz 2

BFH-Urteil vom 12.3.2024, IX R 35/21 (veröffentlicht am 20.6.2024)

Vorinstanz: FG Berlin-Brandenburg vom 27.10.2021, 16 K 5148/20 = SIS 22 03 99

I. Streitig ist, inwiefern aus Art. 15 Abs. 3 der Datenschutz-Grundverordnung (DSGVO) ein Anspruch auf Zurverfügungstellung von (elektronischen) Kopien von Steuerakten mit personenbezogenen Daten besteht.

Mit E‑Mail vom 14.10.2020 beantragte der Kläger und Revisionskläger (Kläger) im Zusammenhang mit dem beim Finanzgericht Berlin-Brandenburg (FG) un­ter dem Aktenzeichen 5 K 5093/20 geführten ‑‑inzwischen rechtskräftig abge­schlossenen‑‑ Klageverfahren wegen der Festsetzung der Gewerbesteuermess­beträge 2013 bis 2015 gegenüber dem Beklagten und Revisionsbeklagten (Fi­nanzamt ‑‑FA‑‑) unter Berufung auf Art. 15 Abs. 3 DSGVO die elektronische Zurverfügungstellung der folgenden Verwaltungsvorgänge: Verwaltungsakten, Betriebsprüfungsakten, Rechtsbehelfsakten, etwaige Handakten, hilfsweise die Überlassung von Kopien personenbezogener Daten, die Gegenstand der Verar­beitung der Gewerbesteuermessbescheide 2013 bis 2015 sind. Das FA lehnte dieses Begehren mit Schreiben vom 21.10.2020 ab. Die hiergegen erhobene Klage blieb aus den in Entscheidungen der Finanzgerichte 2022, 586 abge­druckten Gründen ohne Erfolg.

Hiergegen wendet sich der Kläger mit seiner Revision, mit der er insbesondere die Verletzung materiellen Rechts rügt. Aus Art. 15 Abs. 3 DSGVO erwachse ein gegenüber dem Auskunftsrecht nach Art. 15 Abs. 1 DSGVO eigenständiger Anspruch auf Zurverfügungstellung von Kopien der Verwaltungsakten des FA, soweit darin personenbezogene Daten enthalten seien. Auch sei das Begehren auf Zurverfügungstellung der Kopien nicht exzessiv. Wegen der elektronischen Beantragung seien die Kopien in einem gängigen elektronischen Format zu übermitteln.

Der Kläger beantragt,
das Urteil des FG Berlin-Brandenburg vom 27.10.2021 ‑ 16 K 5148/20 aufzuheben und das FA zu verurteilen, elektronische Kopien der Verwaltungsvorgänge zu den Gewerbe­steuermessbeträgen 2013 bis 2015 (Verwaltungsakten, Betriebsprüfungsak­ten, Rechtsbehelfsakten als auch etwaige Handakten, alle inklusive sämtlicher Gesprächsnotizen und Telefonvermerke über die Person des Klägers), hilfswei­se als unentgeltliche physische Kopie, zur Verfügung zu stellen.

Das FA beantragt,
die Revision zurückzuweisen.

Infolge der Beendigung des Verfahrens wegen der Festsetzung der Gewerbe­steuermessbeträge 2013 bis 2015 sei das Rechtsschutzbedürfnis in Hinblick auf den Erhalt der begehrten Auskunft entfallen. Dem Auskunftsbegehren ste­he außerdem entgegen, dass dessen Erfüllung mit einem unverhältnismäßi­gen Aufwand verbunden sei. Jedenfalls könne anstatt Kopien zur Verfügung zu stellen, Akteneinsicht gewährt werden, um das Auskunftsbegehren zu erfül­len.

Das FA hat dem Kläger die elektronische Übersendung einer Aufstellung mit seinen personenbezogenen Daten angeboten. Auf dieses Angebot ist der Klä­ger nicht eingegangen.

II. Die Revision ist zulässig.

Anders als das FA meint, ist für das Begehren des Klägers auf Auskunftsertei­lung nach Art. 15 DSGVO wegen der Beendigung des unter dem Aktenzeichen 5 K 5093/20 geführten Klageverfahrens betreffend die Festsetzung der Gewer­besteuermessbeträge 2013 bis 2015 nicht das Rechtsschutzbedürfnis entfal­len. Der Auskunftsanspruch nach Art. 15 DSGVO ist eigenständig und nicht von einem anderweitigen Verwaltungs- oder Rechtsbehelfsverfahren abhängig. Nach Erwägungsgrund 63 Satz 1 DSGVO ist Zweck des Auskunftsanspruchs, dass sich die betroffene Person der Verarbeitung ihrer personenbezogenen Da­ten bewusst sei und die Rechtmäßigkeit der Verarbeitung ihrer personenbezo­genen Daten überprüfen kann.

III. Die Revision ist begründet. Sie führt zur Aufhebung der Vorentscheidung und zur Zurückverweisung der Sache zur anderweitigen Verhandlung und Entschei­dung (§ 126 Abs. 3 Satz 1 Nr. 2 der Finanzgerichtsordnung ‑‑FGO‑‑).

Zwar hat das FG die Zulässigkeit der Klage im Ergebnis zu Recht bejaht (dazu unter 1.). Zudem ist dem FG zuzustimmen, dass die Datenschutz-Grundver­ordnung auch im Bereich der direkten Steuern zur Anwendung kommt (dazu unter 2.). Das FG hat jedoch Art. 15 Abs. 3 DSGVO (dazu unter 3.) sowie Art. 12 Abs. 5 Satz 2 und Satz 3 DSGVO (dazu unter 4.) rechtsfehlerhaft an­gewendet. Aufgrund der vorgenannten Rechtsfehler ist das Urteil aufzuheben. Die angefochtene Entscheidung erweist sich auch nicht aus anderen Gründen als rechtmäßig (dazu unter 5.). Die Sache ist nicht spruchreif, da das FG nicht sämtliche für eine abschließende Prüfung erforderlichen Feststellungen ge­troffen hat (dazu unter 6.).

1. Die Klage ist zulässig. Ob die Klage auf Zurverfügungstellung von Kopien personenbezogener Daten nach Art. 15 Abs. 3 DSGVO als Verpflichtungsklage nach § 40 Abs. 1 Variante 2 FGO, als allgemeine Leistungsklage nach § 40 Abs. 1 Variante 3 FGO oder als allgemeine Leistungsklage kombiniert mit einer Anfechtungs- beziehungsweise Verpflichtungsklage gegen die Ablehnung des Begehrens durch das FA statthaft ist, kann im vorliegenden Verfahren dahin­stehen (für Verpflichtungsklage: Urteil des Bundesverwaltungsgerichts ‑‑BVerwG‑‑ vom 30.11.2022 ‑ 6 C 10.21, BVerwGE 177, 211, Rz 14; vgl. zur Geltendmachung eines Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO BVerwG-Urteil vom 16.09.2020 ‑ 6 C 10.19, Rz 12; Krumm in Tipke/Kruse, § 40 FGO Rz 23; zur Ablehnung des Antrags auf Erörterung des Sach- und Rechtsstands gemäß § 364a der Abgabenordnung ‑‑AO‑‑ Urteil des Bundesfi­nanzhofs ‑‑BFH‑‑ vom 11.04.2012 ‑ I R 63/11, BFHE 237, 29, BStBl II 2012, 539, Rz 13 mit Verweis auf BFH-Urteil vom 16.12.1987 ‑ I R 66/84, BFH/NV 1988, 319, unter 3.a zur Ablehnung eines Antrags auf Überlassung von Foto­kopien der schriftlichen Erklärungen von Zeugen; für allgemeine Leistungskla­ge vgl. BFH-Urteil vom 05.10.2006 ‑ VII R 24/03, BFHE 215, 32, BStBl II 2007, 243, unter II.1.; BVerwG-Urteil vom 20.08.2003 ‑ 8 C 13.02, m.w.N.; zur Kombination von allgemeiner Leistungsklage und Anfechtungs- bezie­hungsweise Verpflichtungsklage vgl. von Beckerath in Gosch, FGO § 40 Rz 123; Braun in Hübschmann/Hepp/Spitaler, § 40 FGO Rz 134; Gräber/Teller, Finanzgerichtsordnung, 9. Aufl., § 40 Rz 34). Denn die jeweiligen Zulässig­keitsvoraussetzungen der unterschiedlichen Klagearten liegen vor. Insbeson­dere ist ein nach § 44 FGO für die Verpflichtungsklage vorausgesetztes Vorver­fahren nach § 32i Abs. 9 Satz 1 AO entbehrlich. Zudem hat der Kläger auch bereits vor Erhebung der Klage sein Begehren auf Zurverfügungstellung von Kopien personenbezogener Daten an das FA gerichtet, welches dieses abge­lehnt hat, sodass auch das für eine allgemeine Leistungsklage erforderliche allgemeine Rechtsschutzbedürfnis vorliegt.

2. Die Verarbeitung personenbezogener Daten natürlicher Personen (als be­troffene Person im Sinne von Art. 4 Nr. 1 DSGVO) durch das FA (als Verant­wortlicher im Sinne von Art. 4 Nr. 7 Halbsatz 1 DSGVO) im Rahmen eines Be­steuerungsverfahrens unterliegt unabhängig von der Steuerart den Vorgaben der Datenschutz-Grundverordnung.

a) Als Verordnung der Europäischen Union (EU) ist die Datenschutz-Grundver­ordnung nach Art. 288 Abs. 2 des Vertrags über die Arbeitsweise der Europäi­schen Union (AEUV) in allen ihren Teilen verbindlich und gilt unmittelbar in je­dem Mitgliedstaat.

b) Sachlich gilt die Datenschutz-Grundverordnung nach Art. 2 Abs. 1 DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Da­ten, die in einem Dateisystem gespeichert sind oder gespeichert werden sol­len.

aa) Die zu den Steuerpflichtigen von der Finanzverwaltung verarbeiteten Da­ten enthalten auch personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO. Denn die von der Finanzverwaltung verarbeiteten Daten enthalten In­formationen, die sich auf eine jedenfalls identifizierbare natürliche Person be­ziehen. Dies gilt insbesondere, wenn es sich ‑‑wie vorliegend‑‑ um die Steuer­akten einer natürlichen Person handelt.

bb) Der Anwendung der Datenschutz-Grundverordnung steht nicht entgegen, dass personenbezogene Daten in Akten enthalten sind, die von der Finanzver­waltung (noch) in Papierform geführt werden.

Eine teilweise automatisierte Verarbeitung liegt vor, wenn die personenbezo­genen Daten teilweise manuell und teilweise automatisiert verarbeitet werden. Der Schutz der personenbezogenen Daten soll nach Erwägungsgrund 15 Satz 1 DSGVO technologieneutral erfolgen. Insbesondere soll der Schutz nach Erwägungsgrund 15 Satz 2 DSGVO auch für die manuelle Verarbeitung perso­nenbezogener Daten gelten. Dem entsprechend hat der Gerichtshof der Euro­päischen Union (EuGH) zur Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Ver­arbeitung personenbezogener Daten und zum freien Datenverkehr (Amtsblatt der Europäischen Gemeinschaften L 281 vom 23.11.1995, S. 31 ‑‑Datenschutz-Richtlinie oder Datenschutz-RL‑‑) entschieden, dass diese ge­nauso für die automatisierte wie für die manuelle Verarbeitung personenbezo­gener Daten gilt, damit der Schutz, den sie den von der Datenverarbeitung betroffenen Personen verleiht, nicht von den verwendeten Techniken abhängt und keine Risiken der Umgehung dieses Schutzes entstehen (EuGH-Urteil Jehovan todistajat vom 10.07.2018 ‑ C‑25/17, EU:C:2018:551, Rz 53). Zwar wurde die Datenschutz-Richtlinie durch die Datenschutz-Grundverordnung ab­gelöst. Da Art. 2 Abs. 1 DSGVO jedoch Art. 3 Abs. 1 Datenschutz-RL bis auf den Bezug auf die Datenschutz-Grundverordnung beziehungsweise auf die Da­tenschutz-Richtlinie wortgleich entspricht, gelten die vom EuGH bereits aufge­stellten Rechtsgrundsätze fort (vgl. EuGH-Urteil Latvijas Republikas Saeima (Points de pénalité) vom 22.06.2021 ‑ C‑439/19, EU:C:2021:504, Rz 64 ff.). Lediglich bei einer rein manuellen Datenverarbeitung ist es für die Eröffnung des Schutzbereichs der Datenschutz-Grundverordnung nach Art. 2 Abs. 1 DSGVO erforderlich, dass die personenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Unter einem Dateisystem ist nach Art. 4 Nr. 6 DSGVO jede strukturierte Sammlung personenbezogener Daten zu verstehen, die nach bestimmten Kri­terien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezen­tral oder nach funktionalen oder geografischen Gesichtspunkten geordnet ge­führt wird. Zwar ist nicht näher konkretisiert, nach welchen Kriterien die Datei strukturiert sein muss. Nach der zu Art. 3 Abs. 1 Datenschutz-RL ergangenen und auf die hier streitige Rechtslage übertragbaren Rechtsprechung ist damit jedoch nur gemeint, dass die Daten über eine bestimmte Person leicht wieder­auffindbar sein müssen (EuGH-Urteil Jehovan todistajat vom 10.07.2018 ‑ C‑25/17, EU:C:2018:551, Rz 57). Lediglich Akten oder Aktensammlungen so­wie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, fallen nach Erwägungsgrund 15 Satz 3 DSGVO nicht in den Anwendungsbereich der Datenschutz-Grundverordnung.

Ungeachtet dessen, ob die Papierakten diesen Anforderungen aufgrund der je­weiligen verwaltungsinternen Vorgaben zur Aktenführung genügen, dienen die in den Papierakten enthaltenen personenbezogenen Daten der Durchführung des Besteuerungsverfahrens. Dieses erfolgte in den Jahren 2013 bis 2015 teil­weise digitalisiert. Mithin erfolgt die Datenverarbeitung zumindest teilautoma­tisiert. Die Verarbeitung personenbezogener Daten durch die Finanzverwaltung unterfällt damit dem Anwendungsbereich der Datenschutz-Grundverordnung. Auf eine Differenzierung nach der Art der Aktenführung (Papier, elektronisch, hybrid), der Art der Dokumente (interne Vermerke, Gutachten, interne E‑Mails et cetera) oder der Form der Bearbeitung durch den zuständigen Sachbearbei­ter (anhand von Ausdrucken oder digital) kommt es nicht an.

c) Der Anwendungsbereich der Datenschutz-Grundverordnung ist auch nicht nach Art. 2 Abs. 2 Buchst. a DSGVO auf den Bereich der harmonisierten Steu­ern beschränkt.

aa) Die Ausnahmen vom sachlichen Anwendungsbereich der Datenschutz-Grundverordnung sind in Art. 2 Abs. 2 und Abs. 3 DSGVO erschöpfend festge­legt (vgl. EuGH-Urteil Koalitsia "Demokratichna Bulgaria ‑ Obedinenie" vom 20.10.2022 ‑ C‑306/21, EU:C:2022:813, Rz 33). Nach Erwägungsgrund 2 Satz 1 DSGVO sollen die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten gewährleisten, dass sowohl ihre Grundrechte und Grundfreiheiten als auch insbesondere ihr Recht auf Schutz personenbezogener Daten ungeachtet ihrer Staatsangehörig­keit oder ihres Aufenthaltsorts gewahrt bleiben. Die Datenschutz-Grundverord­nung soll in Anbetracht dessen nach ihrem Erwägungsgrund 2 Satz 2 DSGVO zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts und einer Wirtschaftsunion, zum wirtschaftlichen und sozialen Fortschritt, zur Stär­kung und zum Zusammenwachsen der Volkswirtschaften innerhalb des Bin­nenmarkts sowie zum Wohlergehen natürlicher Personen beitragen. Vor die­sem Hintergrund sind die Ausnahmen vom Anwendungsbereich der Daten­schutz-Grundverordnung nach Art. 2 Abs. 2 Buchst. a DSGVO, wie die anderen in Art. 2 Abs. 2 vorgesehenen Ausnahmen, eng auszulegen (so im Ergebnis auch EuGH-Urteile Kommission/Polen (Indépendance et vie privée des juges) vom 05.06.2023 ‑ C‑204/21, EU:C:2023:442, Rz 316; Koalitsia "Demokratichna Bulgaria ‑ Obedinenie" vom 20.10.2022 ‑ C‑306/21, EU:C:2022:813, Rz 35 sowie Latvijas Republikas Saeima (Points de pénalité) vom 22.06.2021 ‑ C‑439/19, EU:C:2021:504, Rz 62, m.w.N.).

Gemäß Art. 2 Abs. 2 Buchst. a DSGVO findet die Datenschutz-Grundverord­nung keine Anwendung auf die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt. Dies bringt auch Erwägungsgrund 16 Satz 1 DSGVO so zum Ausdruck. Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen, sind nach der Rechtsprechung des EuGH etwa die nationale Sicherheit betreffende Tätigkeiten sowie Tätigkeiten im Rahmen der Gemeinsamen Außen- und Si­cherheitspolitik der Union (vgl. EuGH-Urteile Koalitsia "Demokratichna Bulgaria ‑ Obedinenie" vom 20.10.2022 ‑ C‑306/21, EU:C:2022:813, Rz 36; sowie Latvijas Republikas Saeima (Points de pénalité) vom 22.06.2021 ‑ C‑439/19, EU:C:2021:504, Rz 63). Daraus folgt, dass Art. 2 Abs. 2 Buchst. a DSGVO im Licht von Erwägungsgrund 16 DSGVO so zu verstehen ist, dass da­mit vom Anwendungsbereich dieser Verordnung allein Verarbeitungen perso­nenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit vorgenommen werden, die der Wahrung der natio­nalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeord­net werden kann. Der bloße Umstand, dass eine Tätigkeit eine spezifische Tä­tigkeit eines Staates oder einer Behörde ist, reicht nicht aus (vgl. EuGH-Urteile Kommission/Polen (Indépendance et vie privée des juges) vom 05.06.2023 ‑ C‑204/21, EU:C:2023:442, Rz 317; Koalitsia "Demokratichna Bulgaria ‑ Obedinenie" vom 20.10.2022 ‑ C‑306/21, EU:C:2022:813, Rz 39; Latvijas Republikas Saeima (Points de pénalité) vom 22.06.2021 ‑ C‑439/19, EU:C:2021:504, Rz 66 sowie Land Hessen vom 09.07.2020 ‑ C‑272/19, EU:C:2020:535, Rz 70).

bb) Der Ausnahmetatbestand des Art. 2 Abs. 2 Buchst. a DSGVO gilt daher nicht für die Durchführung des Besteuerungsverfahrens durch die Finanzver­waltung (vgl. EuGH-Urteil Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) vom 24.02.2022 ‑ C‑175/20, EU:C:2022:124, Rz 47, wonach die Erhebung von Informationen, die große Mengen personen­bezogener Daten enthalten, durch die Steuerverwaltung eines Mitgliedstaats bei einem Wirtschaftsteilnehmer den Anforderungen der Datenschutz-Grund­verordnung genügen muss). Das Besteuerungsverfahren dient nicht einer Tä­tigkeit der gleichen Kategorie wie die nationale Sicherheit. Wie in § 3 Abs. 1 AO zum Ausdruck kommt, dienen Steuern im Wesentlichen der Staatsfinanzie­rung. Hingegen dienen sie nicht unmittelbar, wie die nationale Sicherheit, der Wahrung der staatlichen Integrität. Dies gilt auch für die Verwaltung direkter Steuern. Auch in diesem Bereich findet die Datenschutz-Grundverordnung un­mittelbare Anwendung (so auch BTDrucks 18/12611, S. 75; BTDrucks 18/7457, S. 47; Schreiben des Bundesministeriums der Finanzen vom 13.01.2020, BStBl I 2020, 143, Rz 1 f.; van Armansperg, Deutsches Steuer­recht 2021, 453, 457; Wargowske in Gosch, AO § 2a Rz 13; vgl. auch EuGH-Urteil Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) vom 24.02.2022 ‑ C‑175/20, EU:C:2022:124, Rz 47, wobei der EuGH jedoch nicht darauf eingeht, inwieweit die Entscheidung auch nicht har­monisiertes Recht betrifft; a.A. Drüen in Tipke/Kruse, § 2a AO Rz 6; Krumm, Der Betrieb 2017, 2182, 2186). Zwar steht den Organen der EU keine Rege­lungskompetenz für den Bereich der Verwaltung der direkten Steuern ‑‑wie vorliegend betroffen‑‑ zu. Der Schutz der personenbezogenen Daten wird je­doch ohne entsprechende Einschränkung für den Bereich des nicht harmoni­sierten Rechts in Art. 8 der Charta der Grundrechte der Europäischen Union (EUGrdRCh) sowie durch Art. 16 Abs. 1 AEUV sichergestellt. Im Übrigen gebietet auch der Effektivitätsgrundsatz ("effet utile") die unmittelbare Anwendung der Daten­schutz-Grundverordnung im Bereich der Verwaltung direkter Steuern, um ein möglichst hohes und einheitliches Datenschutzniveau gemäß dem Erwägungs­grund 10 DSGVO innerhalb der gesamten EU zu gewährleisten. Nach diesem Erwägungsgrund soll durch die Harmonisierung des Datenschutzes ein gleich­mäßiges und hohes Datenschutzniveau gewährleistet werden. Der Effektivi­tätsgrundsatz wiederum besagt, dass die Ausübung der durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich gemacht oder übermäßig er­schwert werden darf (vgl. EuGH-Urteil La Quadrature du Net u.a. vom 06.10.2020 ‑ C‑511/18, EU:C:2020:791, Rz 223, m.w.N.). Dem stünde es entgegen, wenn die Datenschutz-Grundverordnung wegen einer Bereichsaus­nahme nach Art. 2 Abs. 2 Buchst. a DSGVO im Bereich der Verwaltung direk­ter Steuern nicht anwendbar und damit weite Teile des Besteuerungsverfah­rens nicht unmittelbar der Datenschutz-Grundverordnung unterworfen wären. Zwar wird der Datenschutz im Bereich des Steuerrechts auch durch eine Viel­zahl nationaler Vorschriften, beispielsweise durch die §§ 29b bis 32j AO, ge­währleistet. Ein Berufen auf diese Vorschriften zum Schutz des unter anderem durch Art. 8 EUGrdRCh gewährleisteten Rechts auf Schutz der personenbezo­genen Daten liefe jedoch dem aus Erwägungsgrund 3 DSGVO sowie Erwä­gungsgrund 10 Satz 1 DSGVO als auch Erwägungsgrund 53 Satz 2 DSGVO zum Ausdruck kommenden Harmonisierungsgedanken der Datenschutz-Grundverordnung zuwider. Nach Erwägungsgrund 3 DSGVO diente die Vorgän­gerrichtlinie zur Datenschutz-Grundverordnung, die Datenschutz-Richtlinie, der Harmonisierung der Vorschriften zum Schutz der Grundrechte und Grund­freiheiten natürlicher Personen bei der Datenverarbeitung sowie der Gewähr­leistung des freien Verkehrs personenbezogener Daten zwischen den Mitglied­staaten. Nichts anderes kann für die Datenschutz-Grundverordnung gelten. Denn nach Erwägungsgrund 53 Satz 2 DSGVO sollte die Datenschutz-Grund­verordnung Bedingungen für die Verarbeitung besonderer Kategorien perso­nenbezogener Gesundheitsdaten im Hinblick auf bestimmte Erfordernisse har­monisieren, insbesondere wenn die Verarbeitung dieser Daten für gesund­heitsbezogene Zwecke von Personen durchgeführt wird, die gemäß einer rechtlichen Verpflichtung dem Berufsgeheimnis unterliegen.

3. Das FG hat jedoch Art. 15 Abs. 3 DSGVO rechtsfehlerhaft angewendet.

a) Anders als der Kläger meint, gewährt Art. 15 Abs. 3 Satz 1 DSGVO keinen gegenüber Art. 15 Abs. 1 DSGVO eigenständigen Anspruch gegen den Verant­wortlichen auf Zurverfügungstellung von Dokumenten mit personenbezogenen Daten.

aa) Art. 15 Abs. 1 DSGVO gewährt der betroffenen Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die näher in Art. 15 Abs. 1 Buchst. a bis h DSGVO bezeichneten Informationen. Nach Art. 15 Abs. 3 Satz 1 DSGVO stellt der Verantwortliche der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Durch die Rechtsprechung des EuGH ist geklärt, dass Art. 15 DSGVO nicht dahin auszulegen ist, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt. Im Übrigen be­zieht sich der Begriff "Kopie" nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegen­stand der Verarbeitung sind (EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 ‑ C‑307/22, EU:C:2023:811, Rz 72 und Österreichische Daten­schutzbehörde vom 04.05.2023 ‑ C‑487/21, EU:C:2023:369, Rz 32). Der An­spruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten setzt keine Begründung voraus, weshalb es auch nicht entgegensteht, wenn er mit anderen als den in Erwägungsgrund 63 Satz 1 DSGVO genannten Zwecken begründet wird (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 ‑ C‑307/22, EU:C:2023:811, Rz 50 und Rz 52).

bb) Nur wenn die Zurverfügungstellung einer Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind, besteht nach Art. 15 Abs. 3 Satz 1 DSGVO ein Anspruch darauf, eine Kopie von Auszügen aus Do­kumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Da­tenbanken zu erhalten (vgl. EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 ‑ C‑307/22, EU:C:2023:811, Rz 75 und Österreichische Daten­schutzbehörde vom 04.05.2023 ‑ C‑487/21, EU:C:2023:369, Rz 41 und Rz 45). Anders als der Kläger meint, besteht hierfür jedoch keine generelle Vermutung. Vielmehr obliegt es der betroffenen Person, darzulegen, dass die Kopie der personenbezogenen Daten sowie die Mitteilung der Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO für die Wahrnehmung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte nicht genügt. Begehrt die betroffene Person die Zurverfügungstellung von Kopien von Dokumenten mit ihren personenbezogenen Daten, ist es vielmehr an ihr zu benennen, wel­che ihr durch die Datenschutz-Grundverordnung verliehenen Rechte sie auszu­üben gedenkt und darzulegen, aus welchen Gründen die Zurverfügungstellung von Kopien von Akten mit personenbezogenen Daten hierfür unerlässlich ist. Andernfalls liefe das durch den EuGH aufgestellte Regel-Ausnahme-Prinzip ins Leere. Denn nach der Rechtsprechung des EuGH ist der Anspruch nach Art. 15 Abs. 1 und Abs. 3 DSGVO grundsätzlich auf die Zurverfügungstellung einer Kopie der verarbeiteten personenbezogenen Daten der betroffenen Person ge­richtet (EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 ‑ C‑307/22, EU:C:2023:811, Rz 72 und Österreichische Datenschutzbehörde vom 04.05.2023 ‑ C‑487/21, EU:C:2023:369, Rz 32). Wenn dies für die Wahr­nehmung der Rechte aus der Datenschutz-Grundverordnung nicht genügt, kann ausnahmsweise ein Anspruch auf eine (auszugsweise) Kopie der Quelle, in der die personenbezogenen Daten verarbeitet sind, bestehen (vgl. EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 ‑ C‑307/22, EU:C:2023:811, Rz 75 und Österreichische Datenschutzbehörde vom 04.05.2023 ‑ C‑487/21, EU:C:2023:369, Rz 41 und Rz 45). Einer entspre­chenden Vermutung der Unerlässlichkeit bedarf es im Übrigen auch nicht, um einen effektiven Datenschutz zu gewährleisten. Regelmäßig genügt es für die Wahrnehmung der durch die Datenschutz-Grundverordnung verliehenen Rech­te, wenn die betroffene Person Kenntnis von den über sie verarbeiteten perso­nenbezogenen Daten erlangt und ihr die Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO mitgeteilt werden. Insbesondere durch die Mitteilung, welche personenbezogenen Daten verarbeitet werden und zu welchem Zweck diese Verarbeitung erfolgt, ist die betroffene Person bereits regelmäßig in der Lage, die Richtigkeit der personenbezogenen Daten und die Rechtmäßigkeit deren Verarbeitung zu überprüfen.

b) Ausgehend von anderen Rechtsgrundsätzen, hat es das FG unterlassen, die erforderlichen Feststellungen für eine abschließende Beurteilung zu treffen. Es fehlt an Feststellungen, ob beziehungsweise inwiefern der Kläger geltend ge­macht hat, dass die begehrten Kopien für ihn unerlässlich sind, um ihm die wirksame Ausübung der ihm durch die Datenschutz-Grundverordnung verlie­henen Rechte zu ermöglichen. Ferner fehlt es an Feststellungen, welche Rech­te der Datenschutz-Grundverordnung der Kläger überhaupt beabsichtigt gel­tend zu machen.

4. Das FG ist zudem rechtsfehlerhaft davon ausgegangen, dass der durch den Kläger geltend gemachte Anspruch aufgrund eines exzessiven Antrags im Sin­ne von Art. 12 Abs. 5 Satz 2 und Satz 3 DSGVO ausgeschlossen ist.

a) Nach Art. 12 Abs. 5 Satz 2 DSGVO kann der Verantwortliche bei offenkun­dig unbegründeten oder ‑‑insbesondere im Fall von häufiger Wiederholung‑‑ exzessiven Anträgen einer betroffenen Person entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksich­tigt werden (Art. 12 Abs. 5 Satz 2 Buchst. a DSGVO), oder sich weigern, auf­grund des Antrags tätig zu werden (Art. 12 Abs. 5 Satz 2 Buchst. b DSGVO). Mangels Erfordernis der Begründung des Auskunftsbegehrens besteht die Ver­pflichtung des Verantwortlichen, der betroffenen Person unentgeltlich eine ers­te Kopie ihrer personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zur Verfügung zu stellen, auch dann, wenn der betreffende Antrag mit ei­nem anderen als den in Erwägungsgrund 63 Satz 1 DSGVO genannten Zwe­cken begründet wird (vgl. EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 ‑ C‑307/22, EU:C:2023:811, Rz 50 und Rz 52). Der Verantwortli­che hat gemäß Art. 12 Abs. 5 Satz 3 DSGVO den Nachweis für den offenkun­dig unbegründeten oder exzessiven Charakter des Antrags zu erbringen. Hie­raus folgt, dass ein Ausschluss des Auskunftsrechts nach Art. 12 Abs. 5 Satz 2 DSGVO nur in Betracht kommt, wenn sich der Verantwortliche hierauf beruft und darlegt, dass ein offenkundig unbegründeter oder exzessiver Antrag vor­liegt (vgl. Gola/Heckmann/Frank, DS-GVO, 3. Aufl., Art. 12 Rz 41 und Art. 15 DSGVO Rz 50; Paal in Paal/Pauly, DS‑GVO, 3. Aufl., Art. 15 Rz 9; Schneider/Schwartmann in Schwartmann/Jaspers/Thüsing/Kugelmann, DS‑GVO/BDSG, 2. Aufl., Art. 12 DSGVO Rz 69; BeckOK DatenschutzR/Quaas, 46. Ed. [01.11.2023], DS‑GVO Art. 12 Rz 48; Heckmann/Paschke in Ehmann/Selmayr, DS‑GVO, 2. Aufl., Art. 12 Rz 49; vgl. Kühling/Buchner/Bäcker, 4. Aufl., DS‑GVO Art. 15 Rz 42b; Taeger/Gabel/Mester, 4. Aufl. [2022], DS‑GVO, Art. 15 Rz 21).

Ist der Antrag nach diesen Grundsätzen exzessiv, kann in diesem ‑‑entgegen der Ansicht des Klägers‑‑ nicht zugleich als Weniger ein statthafter Antrag auf Zurverfügungstellung von Kopien personenbezogener Daten erblickt werden. Dies ergibt sich eindeutig aus Art. 12 Abs. 5 Satz 2 Buchst. b DSGVO. Verlangt der Verantwortliche nicht ein angemessenes Entgelt, braucht er bei einer Ver­weigerung aufgrund eines exzessiven Antrags nicht tätig zu werden. Im Übri­gen erweist sich eine Reduktion des exzessiven Antrags auf ein zulässiges Maß nicht als ein Minus, sondern als unzulässiges Aliud zum ursprünglichen Begeh­ren (vgl. BFH-Beschluss vom 05.05.2017 ‑ X B 36/17, Rz 20 zur Überlassung von Kopien bestimmter Aktenteile bei einem auf die Überlassung des vollstän­digen Akteninhalts gerichteten Begehrens).

b) Diesen Maßstäben genügen die Ausführungen der Vorinstanz zu Art. 12 Abs. 5 Satz 2 und Satz 3 DSGVO nicht. Es fehlt bereits an der Feststellung ei­nes rechtsmissbräuchlichen Verhaltens beziehungsweise an Feststellungen zu dem Vorbringen des FA vor dem Hintergrund der ihm obliegenden Nachweis­pflicht eines offenkundig unbegründeten oder exzessiven Antrags. Zudem ver­mag der Senat der Würdigung des FG nicht zu folgen, dass der Antrag des Klägers auf Zurverfügungstellung von Kopien nach Art. 15 Abs. 3 Satz 1 DSGVO offensichtlich unbegründet sei, da er lediglich pauschal gestellt und damit offensichtlich überschießend sei. Wie die obigen Ausführungen zeigen, steht dem Kläger ein Anspruch nach Art. 15 Abs. 3 Satz 1 DSGVO dem Grunde nach zu, sodass die Geltendmachung eines entsprechenden Begehrens jeden­falls nicht offenkundig unbegründet sein kann. Inwiefern dem Kläger Informa­tionen zu seinen personenbezogenen Daten und auch die Kopie von Steuerbe­scheiden angeboten worden sind, ist hierfür nicht von Bedeutung, da der Klä­ger mit seinem Begehren die Zurverfügungstellung von Kopien der näher be­zeichneten Verwaltungsakten mit seinen personenbezogenen Daten begehrt. Auch soweit das Begehren des Klägers nach dem FG nicht den Zielen der Da­tenschutz-Grundverordnung diene, ist der Antrag auf Zurverfügungstellung von Kopien nach Art. 15 Abs. 3 Satz 1 DSGVO nach den genannten Grundsät­zen weder offenkundig unbegründet noch exzessiv.

5. Die angefochtene Entscheidung erweist sich auch nicht aus anderen Grün­den als rechtmäßig (§ 126 Abs. 4 FGO).

a) Das FA kann dem Begehren des Klägers nicht entgegenhalten, dass die Er­füllung des Auskunftsanspruchs mit unverhältnismäßigem Aufwand verbunden sei. Der Senat braucht nicht zu entscheiden, inwiefern ein solcher Einwand dem Grunde nach durchgreifen kann. Denn es fehlt bereits an entsprechenden Feststellungen der Vorinstanz, dass die Auskunftserteilung mit einem unver­hältnismäßigen Aufwand verbunden ist. Entsprechende Anhaltspunkte liefert auch nicht das entsprechende pauschale Vorbringen des FA im Revisionsver­fahren.

b) Es steht nicht im Belieben des FA, das Begehren des Klägers durch die Ge­währung von Akteneinsicht zu erfüllen.

aa) Zwar steht es nach § 32d Abs. 1 AO im pflichtgemäßen Ermessen des FA, die Form der Auskunftserteilung zu bestimmen. Dies gilt jedoch nur, soweit in Art. 12 bis 15 DSGVO keine diesbezüglichen Regelungen enthalten sind. Dies ist mit Art. 15 Abs. 3 Satz 1 und Satz 3 DSGVO jedoch der Fall. Hiernach hat der Verantwortliche eine (elektronische) Kopie der personenbezogenen Daten und unter gewissen Umständen auch der Quellen, in denen solche Daten verarbei­tet wurden, zur Verfügung zu stellen.

bb) Inwiefern die Gewährung der Akteneinsicht anstelle der Zurverfügungstel­lung von Kopien nach § 11 Abs. 2 des Brandenburgischen Datenschutzgeset­zes genügt, unterliegt nicht der Beurteilung durch den BFH. Revisibel ist nach § 118 Abs. 1 Satz 1 FGO nur die Verletzung von Bundesrecht. Auch erklärt das Brandenburgische Datenschutzgesetz nicht den Finanzrechtsweg für eröffnet (§ 33 Abs. 1 Nr. 4, § 118 Abs. 1 Satz 2 FGO). Ein Ausnahmefall, wonach im Revisionsverfahren ausnahmsweise auch eine an sich irreversible Vorschrift des Landesrechts zu prüfen ist (vgl. Krumm in Tipke/Kruse, § 118 FGO Rz 30, m.w.N.), liegt nicht vor.

c) Das FA kann sich nicht mit Erfolg auf § 34 Abs. 1 des Bundesdatenschutz­gesetzes berufen. Die Regelung ist durch die speziellere Regelung des § 32c AO ("lex specialis") verdrängt.

aa) Soweit nach § 32c Abs. 1 AO das Recht auf Auskunft der betroffenen Per­son gegenüber einer Finanzbehörde gemäß Art. 15 DSGVO nicht besteht, fehlt es an den erforderlichen Feststellungen, die eine Subsumtion unter die hierfür erforderlichen Voraussetzungen zulassen. Entsprechende Anhaltspunkte wur­den auch nicht vorgetragen.

bb) Zwar wird die Auskunft ferner nach § 32c Abs. 3 FGO nur erteilt, soweit die betroffene Person Angaben macht, die das Auffinden der Daten ermögli­chen und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informa­tionsinteresse steht. Dies gilt jedoch nur, sofern die personenbezogenen Daten weder automatisiert noch in nicht automatisierten Dateisystemen gespeichert sind. Dies ist jedoch ‑‑wie bereits dargelegt‑‑ nicht der Fall. Im Übrigen fehlt es auch an der Feststellung eines außer Verhältnis stehenden Aufwandes.

6. Die Sache ist nicht spruchreif und daher an das FG zurückzuverweisen.

a) Das FG wird zu prüfen haben, inwiefern der Kläger der ihm obliegenden Darlegungslast nachgekommen ist und die Zurverfügungstellung von (elektro­nischen) Kopien der Akten des FA zur wirksamen Ausübung seiner ihm nach der Datenschutz-Grundverordnung zustehenden Rechte unerlässlich ist. Hier­bei wird das FG die Rechtsprechung des EuGH zu berücksichtigen haben, dass sich die Wiedergabe von Auszügen aus Dokumenten oder von ganzen Doku­menten als unerlässlich erweisen kann, wenn diese in ihrem Zusammenhang dargestellt werden müssen, um ihre Verständlichkeit zu gewährleisten (EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 ‑ C‑307/22, EU:C:2023:811, Rz 74 sowie Österreichische Datenschutzbehörde vom 04.05.2023 ‑ C‑487/21, EU:C:2023:369, Rz 41). Insbesondere wenn perso­nenbezogene Daten aus anderen Daten generiert werden oder wenn sie auf freien Feldern beruhen, das heißt einer fehlenden Angabe, aus der eine Infor­mation über die betroffene Person hervorgeht, ist der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann (EuGH-Urteil Österreichische Datenschutzbehörde vom 04.05.2023 ‑ C‑487/21, EU:C:2023:369, Rz 42).

b) Das FG wird zudem im zweiten Rechtsgang Feststellungen nachholen müs­sen, inwiefern das FA der ihm nach Art. 12 Abs. 5 Satz 3 DSGVO obliegenden Nachweispflicht nachgekommen ist und ein offenkundig unbegründeter oder exzessiver Antrag vorliegt. Hierbei ist die Rechtsprechung des EuGH zu be­rücksichtigen, wonach sich die beiden Gründe, bei denen der Verantwortliche dem Begehren des Betroffenen nach Art. 12 Abs. 5 Satz 2 DSGVO nicht nach­kommen muss, auf Fälle des Rechtsmissbrauchs beziehen (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 ‑ C‑307/22, EU:C:2023:811, Rz 31).

c) Sollte das FG unter Anwendung der vorgenannten Rechtssätze zu dem Er­gebnis kommen, dass dem Kläger ein Anspruch aus Art. 15 Abs. 3 Satz 1 DSGVO auf Zurverfügungstellung von Kopien zusteht, sind die Informationen dem Kläger nach Art. 15 Abs. 3 Satz 3 DSGVO in einem gängigen elektroni­schen Format zur Verfügung zu stellen. Dass die E‑Mail an das FA vom 14.10.2020 die Voraussetzungen einer elektronischen Antragstellung in die­sem Sinne erfüllt, ist zwischen den Beteiligten unstreitig, weshalb der Senat auf weitere Erläuterungen verzichtet.

7. Inwieweit die vom Kläger gerügten Verfahrensfehler vorliegen, kann dahin­stehen bleiben, da das Verfahren bereits aus materiellen Gründen an das FG zur anderweitigen Verhandlung und Entscheidung zurückzuweisen ist.

8. Einer Vorlage an den EuGH nach Art. 267 Abs. 3 AEUV bedarf es im vorlie­genden Verfahren nicht. Die Rechtslage ist aus den jeweils genannten Grün­den eindeutig ("acte clair"; Beschluss des Bundesverfassungsgerichts ‑‑BVerfG‑‑ vom 04.03.2021 ‑ 2 BvR 1161/19, Rz 55; EuGH-Urteil CILFIT / Ministero della Sanità vom 06.10.1982 ‑ 283/81, EU:C:1982:335, Rz 16) be­ziehungsweise bereits durch die aufgezeigte Rechtsprechung des EuGH in ei­ner Weise geklärt, die keinen vernünftigen Zweifel offenlässt ("acte éclairé"; BVerfG-Beschlüsse vom 04.03.2021 ‑ 2 BvR 1161/19, Rz 55 sowie vom 19.07.2011 ‑ 1 BvR 1916/09, BVerfGE 129, 78, Rz 80; EuGH-Urteil CILFIT / Ministero della Sanità vom 06.10.1982 ‑ 283/81, EU:C:1982:335, Rz 16). Ins­besondere hat der Senat vor dem Hintergrund des Art. 2 Abs. 1 DSGVO und Art. 4 Nr. 6 DSGVO sowie Erwägungsgrund 15 Satz 1 und Satz 2 DSGVO als auch der Rechtsprechung des EuGH (EuGH-Urteil Jehovan todistajat vom 10.07.2018 ‑ C‑25/17, EU:C:2018:551) keine Zweifel an den Voraussetzungen des sachlichen Anwendungsbereichs der Datenschutz-Grundverordnung und dass dieser insbesondere auch die in den vom FA geführten Papierakten ent­haltenen personenbezogenen Daten umfasst. Vor dem Hintergrund des Art. 8 EUGrdRCh sowie Art. 16 Abs. 1 AEUV als auch dem Erwägungsgrund 2 Satz 1 DSGVO und der Rechtsprechung des EuGH (EuGH-Urteile Kommission/Polen (Indépendance et vie privée des juges) vom 05.06.2023 ‑ C‑204/21, EU:C:2023:442; Koalitsia "Demokratichna Bulgaria ‑ Obedinenie" vom 20.10.2022 ‑ C‑306/21, EU:C:2022:813; Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) vom 24.02.2022 ‑ C‑175/20, EU:C:2022:124; Latvijas Republikas Saeima (Points de pénalité) vom 22.06.2021 ‑ C‑439/19, EU:C:2021:504, Rz 62, m.w.N.; Land Hessen vom 09.07.2020 ‑ C‑272/19, EU:C:2020:535) sowie dem effet utile-Grundsatz hat der Senat keine Zweifel, dass der Bereich der Verwaltung der nicht har­monisierten Steuern nicht vom Anwendungsbereich der Datenschutz-Grund­verordnung nach Art. 2 Abs. 2 Buchst. a DSGVO ausgenommen ist. Ferner ist durch die Rechtsprechung des EuGH geklärt, dass Art. 15 Abs. 1 i.V.m. Abs. 3 DSGVO grundsätzlich nur einen Anspruch auf die Zurverfügungstellung der personenbezogenen Daten enthalten und nur bei Unerlässlichkeit für die Wahr­nehmung der Rechte der Datenschutz-Grundverordnung ein Anspruch auf Ko­pie der Quelle, in der die personenbezogenen Daten verarbeitet wurden, besteht (EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 ‑ C‑307/22, EU:C:2023:811; Österreichische Datenschutzbehörde vom 04.05.2023 ‑ C‑487/21, EU:C:2023:369). Auch sieht der Senat aufgrund der Rechtsprechung des EuGH die Voraussetzungen für einen offenkundig unbe­gründeten oder exzessiven Antrag im Sinne von Art. 12 Abs. 5 Satz 2 DSGVO als geklärt an (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 ‑ C‑307/22, EU:C:2023:811).

9. Die Kostenentscheidung beruht auf § 143 Abs. 2 FGO.