DSGVO (Stand 7.5.2020b, rdb.at)): Für die Zweckerreichung, nämlich für die Eindämmung grenzüberschreitender Steuerhinterziehung und grenzüberschreitenden Steuerbetrugs durch einen automatischen Informationsaustausch über Geldwerte auf Konten außerhalb des Staates der Steueransässigkeit, ist die Übermittlung der gesetzlich vorgesehenen identifizierenden Daten wie Name, Adresse, Geburtsdatum und –ort, Steueridentifikationsnummer, sowie der Daten, die Hinweise auf die Geldwerte im Ausland beinhalten (Kontonummer und Saldo) jedenfalls angemessen und auch erheblich, um eine Prüfung einer allfälligen Steuerhinterziehung oder eines Steuerbetrugs auch vornehmen zu können. Die Erheblichkeit ist gegenständlich auch durch den Test gegeben, dass sich einzelne der übermittelten Daten nicht wegdenken lassen, und der Zweck trotzdem erreichbar wäre. Der Umfang der übermittelten Daten – nämlich soweit hier relevant Name, Adresse, Steueridentifikationsnummer, Geburtsdatum und –ort, Kontonummer, Kontowert oder –saldo und Gesamtbruttobetrag der Zinsen – ist deutlich abgegrenzt, auf den Zweck bezogen und nicht überschießend. In Bezug auf den Grundsatz der Datenminimierung besteht nach der DSGVO die Anforderung an die Verarbeitung, dass sie a) dem Zweck angemessen und b) erheblich sein muss vergleiche Hötzendorfer/Tschohl/Kastelitz in Knyrim,
, DSGVO (Stand 7.5.2020b, rdb.at)): Für die Zweckerreichung, nämlich für die Eindämmung grenzüberschreitender Steuerhinterziehung und grenzüberschreitenden Steuerbetrugs durch einen automatischen Informationsaustausch über Geldwerte auf Konten außerhalb des Staates der Steueransässigkeit, ist die Übermittlung der gesetzlich vorgesehenen identifizierenden Daten wie Name, Adresse, Geburtsdatum und –ort, Steueridentifikationsnummer, sowie der Daten, die Hinweise auf die Geldwerte im Ausland beinhalten (Kontonummer und Saldo) jedenfalls angemessen und auch erheblich, um eine Prüfung einer allfälligen Steuerhinterziehung oder eines Steuerbetrugs auch vornehmen zu können. Die Erheblichkeit ist gegenständlich auch durch den Test gegeben, dass sich einzelne der übermittelten Daten nicht wegdenken lassen, und der Zweck trotzdem erreichbar wäre. Der Umfang der übermittelten Daten – nämlich soweit hier relevant Name, Adresse, Steueridentifikationsnummer, Geburtsdatum und –ort, Kontonummer, Kontowert oder –saldo und Gesamtbruttobetrag der Zinsen – ist deutlich abgegrenzt, auf den Zweck bezogen und nicht überschießend. Die Datenverarbeitung durch den BMF erfolgt(e) automatisch und ohne Rücksicht auf einen Verdachtsfall einer möglichen grenzüberschreitenden Steuerhinterziehung, noch in Bezug auf die Höhe des Betrags auf dem deutschen Konto. Der Beschwerdeführer moniert daher in seinen Eingaben das Fehlen eines Anfangsverdachts und/oder einer de minimis-Regel in Bezug auf die Höhe der Beträge, um die es beim Informationsaustausch gehen kann. Zum zweiten Punkt beinhaltete Art. 8 Abs. 3 der Richtlinie 2011/16/EU noch die Regelung, dass eine zuständige Behörde bekannt geben konnte, in Bezug auf den automatischen Austausch von bestimmten Arten von Einkünften und Vermögen (Vergütungen aus unselbständiger Arbeit, Aufsichtsrats- oder Verwaltungsratsvergütungen, Lebensversicherungsprodukte, Ruhegehälter, Eigentum an unbeweglichem Vermögen und Einkünfte daraus) solche unterhalb eines bestimmten Betrags nicht bekommen zu wollen. Die Richtlinie 2014/107/EU sieht nun ausdrücklich vor, die Bestimmung des Art. 8 Abs. 3 der Richtlinie 2011/16/EU entfallen zu lassen, weil eine Mindestschwelle „in der Praxis nicht durchführbar“ sei (ErwG 15 der Richtlinie 2014/107/EU). ErwG 10 stellt ausdrücklich dar, dass Mindestbeträge nicht in die Richtlinie aufgenommen worden seien, weil diese leicht umgangen werden könnten, indem Konten auf verschiedene Finanzinstitute aufgeteilt würden. Zum zweiten Punkt beinhaltete Artikel 8, Absatz 3, der Richtlinie 2011/16/EU noch die Regelung, dass eine zuständige Behörde bekannt geben konnte, in Bezug auf den automatischen Austausch von bestimmten Arten von Einkünften und Vermögen (Vergütungen aus unselbständiger Arbeit, Aufsichtsrats- oder Verwaltungsratsvergütungen, Lebensversicherungsprodukte, Ruhegehälter, Eigentum an unbeweglichem Vermögen und Einkünfte daraus) solche unterhalb eines bestimmten Betrags nicht bekommen zu wollen. Die Richtlinie 2014/107/EU sieht nun ausdrücklich vor, die Bestimmung des Artikel 8, Absatz 3, der Richtlinie 2011/16/EU entfallen zu lassen, weil eine Mindestschwelle „in der Praxis nicht durchführbar“ sei (ErwG 15 der Richtlinie 2014/107/EU). ErwG 10 stellt ausdrücklich dar, dass Mindestbeträge nicht in die Richtlinie aufgenommen worden seien, weil diese leicht umgangen werden könnten, indem Konten auf verschiedene Finanzinstitute aufgeteilt würden. Das Fehlen einer „de- minimis“ – Schwelle für zu übermittelnde Kontodaten beruht daher auf dem ausdrücklichen Willen des EU-Gesetzgebers, wobei die Begründung dazu, dass eine solche Regelung eine einfache Umgehung der Ziele der Richtlinie, nämlich die Bekämpfung grenzüberschreitenden Steuerbetrugs und grenzüberschreitender Steuerhinterziehung, ermöglichen würde, jedenfalls nachvollziehbar ist. Im Lichte dieser Begründung kann davon ausgegangen werden, dass das öffentliche Interesse an der Zweckerreichung das Interesse der Inhaber_innen von betroffenen Konten mit nur kleinen Einlagen am Schutz ihrer personenbezogenen Daten bzw. auf Achtung ihres Privatlebens nach Art. 7 GRC und Art. 8 EMRK überwiegt. Das Fehlen einer „de- minimis“ – Schwelle für zu übermittelnde Kontodaten beruht daher auf dem ausdrücklichen Willen des EU-Gesetzgebers, wobei die Begründung dazu, dass eine solche Regelung eine einfache Umgehung der Ziele der Richtlinie, nämlich die Bekämpfung grenzüberschreitenden Steuerbetrugs und grenzüberschreitender Steuerhinterziehung, ermöglichen würde, jedenfalls nachvollziehbar ist. Im Lichte dieser Begründung kann davon ausgegangen werden, dass das öffentliche Interesse an der Zweckerreichung das Interesse der Inhaber_innen von betroffenen Konten mit nur kleinen Einlagen am Schutz ihrer personenbezogenen Daten bzw. auf Achtung ihres Privatlebens nach Artikel 7, GRC und Artikel 8, EMRK überwiegt. Dem Beschwerdeführer kann dahingehend gefolgt werden, dass der automatische Datenaustausch indiskriminierend vorgesehen ist, das heißt, dass es keines Anfangsverdachts auf einen geplanten Steuerbetrug bedarf, damit der Informationsaustausch zwischen den beteiligten Steuerbehörden vorgenommen wird. Der Beschwerdeführer verweist in diesem Zusammenhang auf die EuGH-Rechtsprechung zu C-293/12 und C-594/12, Digital Rights Ireland Ltd et al., ECLI:EU:C:2014:238 und C-203/15 und C-698/15, Tele2 Sverige AB et al., ECLI:EU:C:2016:970, wobei diese Verfahren die Vorratsdatenspeicherung zur Kriminalitätsbekämpfung betroffen haben: Es wurde in beiden Entscheidungen des EuGH durch diesen ausgesprochen, dass unter anderem das Faktum, dass die gesammelten Daten in keinem Zusammenhang mit einer geplanten Straftat oder einem Verdacht darauf oder einer Bedrohung der öffentlichen Sicherheit stehen würden, die (breit aufgestellte) Vorratsdatenspeicherung außer Verhältnis stellen würde. Der Beschwerdeführer verweist in diesem Zusammenhang auf die EuGH-Rechtsprechung zu C-293/12 und C-594/12, Digital Rights Ireland Ltd et al., ECLI:EU:C:2014:238 und C-203/15 und C-698/15, Tele2 Sverige Ausschussbericht et al., ECLI:EU:C:2016:970, wobei diese Verfahren die Vorratsdatenspeicherung zur Kriminalitätsbekämpfung betroffen haben: Es wurde in beiden Entscheidungen des EuGH durch diesen ausgesprochen, dass unter anderem das Faktum, dass die gesammelten Daten in keinem Zusammenhang mit einer geplanten Straftat oder einem Verdacht darauf oder einer Bedrohung der öffentlichen Sicherheit stehen würden, die (breit aufgestellte) Vorratsdatenspeicherung außer Verhältnis stellen würde. Diese Einschätzung des EuGH kann jedoch nicht ohne Weiteres auf die gegenständliche Situation übertragen werden: zum einen darf nicht übersehen werden, dass die monierte Vorratsdatenspeicherung und die gegenständlichen Regelungen betreffend einen automatisierten Informationsaustausch zu – vereinfacht – Bankdaten auf unterschiedlichen Rechtsgrundlagen beruhen. Darüber hinaus stellte sich der in den beiden zitierten Verfahren in Frage stehende Eingriff durch die Vorratsdatenspeicherung in die Rechte der Betroffenen (gesammelt wurden Name, Anschrift, Rufnummer von Quelle und Adressat_in oder IP-Adresse von allen Personen und allen elektronischen Kommunikationsmitteln sowie sämtliche Verkehrsdaten) nach Art. 7 GRC und Art. 8 EMRK bedeutend schwerer dar, als der gegenständlich zu prüfende: zum ersten wurden durch die flächendeckende Vorratsdatenspeicherung personenbezogene Daten von Betroffenen gesammelt, die Rückschlüsse auf wesentliche Bereiche des Privatlebens von Personen zuließen, zB Gesprächs- bzw. Kommunikationsdaten, Standortdaten, etc. Zum zweiten betraf die Regelung beinahe die gesamte europäische Bevölkerung. Auf den hier monierten Informationsaustausch trifft das nicht zu: hier sind nicht alle Personen betroffen, die elektronische Kommunikationsmittel verwenden oder deren Verkehrsdaten, sondern die kleinere betroffene Gruppe von Personen, die über Konten außerhalb ihres Steueransässigkeitsstaates verfügt. Und darüber hinaus geben die im Zuge des CRS übermittelten Daten nur Auskunft darüber, dass eine – identifizierbare – Person über ein solches Konto mit einem bestimmten Kontowert oder –saldo und Zinsbetrag verfügt. Hingegen werden keine weiteren Rückschlüsse in wesentliche Teile des Privatlebens einer Person dadurch ermöglicht, da die übermittelten Informationen Hinweise zB auf Aufenthalte einer Person an bestimmten Orten, auch auf Herkünfte der Geldbeträge auf dem betroffenen Konto, auf private Beziehungen, auf Gründe, wieso das Konto besteht, uä, prima facie nicht erlauben. Der Eingriff in das Privatleben der durch den CRS betroffenen Personen muss daher als wesentlich geringer angesehen werden, als jener durch die Vorratsdatenspeicherung. Die durch den EuGH gezogenen Schlüsse zur Vorratsdatenspeicherung können daher nicht entscheidend auf das gegenständlichen Verfahren übertragen werden. Diese Einschätzung des EuGH kann jedoch nicht ohne Weiteres auf die gegenständliche Situation übertragen werden: zum einen darf nicht übersehen werden, dass die monierte Vorratsdatenspeicherung und die gegenständlichen Regelungen betreffend einen automatisierten Informationsaustausch zu – vereinfacht – Bankdaten auf unterschiedlichen Rechtsgrundlagen beruhen. Darüber hinaus stellte sich der in den beiden zitierten Verfahren in Frage stehende Eingriff durch die Vorratsdatenspeicherung in die Rechte der Betroffenen (gesammelt wurden Name, Anschrift, Rufnummer von Quelle und Adressat_in oder IP-Adresse von allen Personen und allen elektronischen Kommunikationsmitteln sowie sämtliche Verkehrsdaten) nach Artikel 7, GRC und Artikel 8, EMRK bedeutend schwerer dar, als der gegenständlich zu prüfende: zum ersten wurden durch die flächendeckende Vorratsdatenspeicherung personenbezogene Daten von Betroffenen gesammelt, die Rückschlüsse auf wesentliche Bereiche des Privatlebens von Personen zuließen, zB Gesprächs- bzw. Kommunikationsdaten, Standortdaten, etc. Zum zweiten betraf die Regelung beinahe die gesamte europäische Bevölkerung. Auf den hier monierten Informationsaustausch trifft das nicht zu: hier sind nicht alle Personen betroffen, die elektronische Kommunikationsmittel verwenden oder deren Verkehrsdaten, sondern die kleinere betroffene Gruppe von Personen, die über Konten außerhalb ihres Steueransässigkeitsstaates verfügt. Und darüber hinaus geben die im Zuge des CRS übermittelten Daten nur Auskunft darüber, dass eine – identifizierbare – Person über ein solches Konto mit einem bestimmten Kontowert oder –saldo und Zinsbetrag verfügt. Hingegen werden keine weiteren Rückschlüsse in wesentliche Teile des Privatlebens einer Person dadurch ermöglicht, da die übermittelten Informationen Hinweise zB auf Aufenthalte einer Person an bestimmten Orten, auch auf Herkünfte der Geldbeträge auf dem betroffenen Konto, auf private Beziehungen, auf Gründe, wieso das Konto besteht, uä, prima facie nicht erlauben. Der Eingriff in das Privatleben der durch den CRS betroffenen Personen muss daher als wesentlich geringer angesehen werden, als jener durch die Vorratsdatenspeicherung. Die durch den EuGH gezogenen Schlüsse zur Vorratsdatenspeicherung können daher nicht entscheidend auf das gegenständlichen Verfahren übertragen werden. Auch aus der „safe haven“ - Entscheidung des EuGH ist gegenständlich nichts zu gewinnen (vgl. C-362/14, Schrems, ECLI:EU:C:2015:650), wobei es dabei um die Übermittlung von personenbezogenen Daten in ein Drittland und das dort vorhandene Schutzniveau für Betroffene ging: Dieser Sachverhalt ist mit dem gegenständlichen dahingehend nicht vergleichbar, als hier keine Daten des Beschwerdeführers an ein Drittland übermittelt wurden, und sich daher die Frage nach der Vergleichbarkeit des Schutzniveaus nicht stellt. Wie bereits weiter oben dargestellt erfüllt die gesetzliche Vorgabe der Übermittlung der im GMSG genannten Daten zur Zweckerreichung den Grundsatz der Erforderlichkeit und damit der Datenminimierung. Auch aus der „safe haven“ - Entscheidung des EuGH ist gegenständlich nichts zu gewinnen vergleiche C-362/14, Schrems, ECLI:EU:C:2015:650), wobei es dabei um die Übermittlung von personenbezogenen Daten in ein Drittland und das dort vorhandene Schutzniveau für Betroffene ging: Dieser Sachverhalt ist mit dem gegenständlichen dahingehend nicht vergleichbar, als hier keine Daten des Beschwerdeführers an ein Drittland übermittelt wurden, und sich daher die Frage nach der Vergleichbarkeit des Schutzniveaus nicht stellt. Wie bereits weiter oben dargestellt erfüllt die gesetzliche Vorgabe der Übermittlung der im GMSG genannten Daten zur Zweckerreichung den Grundsatz der Erforderlichkeit und damit der Datenminimierung. Zu den europäischen Regimen, die die Übermittlung von Fluggastdaten vorsehen (API-Richtlinie (= Advance Passenger Information) und PNR-Richtlinie (= Passenger Name Record)) sind zur Zeit Vorabentscheidungsverfahren beim EuGH anhängig, so zB eines vom Belgischen Verfassungsgericht unter der Zl C-817/193, wobei darin insbesondere der Umfang der angefragten Daten zur Zweckerreichung – Kriminalitätsbekämpfung – hinterfragt wurde, und es sich dabei sogar um sensible Daten, zB iZm dem Gesundheitszustand, handelt. Aus den im Rahmen des API- und/oder PNR-Regimes abgefragten Daten können außerdem Hinweise auf eine rassische Herkunft, auf religiöse oder politische Affiliationen oder auf die sexuelle Orientierung abgelesen werden, dies zB durch gebuchte Menüs im Transportmittel oder die Inanspruchnahme von Tarifen für bestimmte Personengruppen. Damit scheidet jedoch eine vergleichbare Übertragung der Bedenken des Belgischen Verfassungsgerichts auf das gegenständliche Verfahren aus, da es sich bei den hier automatisch übertragenen Daten, wie sie zB in § 112 GMSG vorgesehen sind, nicht um solcherart sensible und für den/die einzelne_n Betroffene_n ähnlich umfangreiche handelt, wie beim monierten PNR- und API-Regime. Die Möglichkeit einer entsprechenden Übertragbarkeit der Bedenken aus diesen Vorabentscheidungsverfahren ist daher nicht gegeben. Zu den europäischen Regimen, die die Übermittlung von Fluggastdaten vorsehen (API-Richtlinie (= Advance Passenger Information) und PNR-Richtlinie (= Passenger Name Record)) sind zur Zeit Vorabentscheidungsverfahren beim EuGH anhängig, so zB eines vom Belgischen Verfassungsgericht unter der Zl C-817/193, wobei darin insbesondere der Umfang der angefragten Daten zur Zweckerreichung – Kriminalitätsbekämpfung – hinterfragt wurde, und es sich dabei sogar um sensible Daten, zB iZm dem Gesundheitszustand, handelt. Aus den im Rahmen des API- und/oder PNR-Regimes abgefragten Daten können außerdem Hinweise auf eine rassische Herkunft, auf religiöse oder politische Affiliationen oder auf die sexuelle Orientierung abgelesen werden, dies zB durch gebuchte Menüs im Transportmittel oder die Inanspruchnahme von Tarifen für bestimmte Personengruppen. Damit scheidet jedoch eine vergleichbare Übertragung der Bedenken des Belgischen Verfassungsgerichts auf das gegenständliche Verfahren aus, da es sich bei den hier automatisch übertragenen Daten, wie sie zB in Paragraph 112, GMSG vorgesehen sind, nicht um solcherart sensible und für den/die einzelne_n Betroffene_n ähnlich umfangreiche handelt, wie beim monierten PNR- und API-Regime. Die Möglichkeit einer entsprechenden Übertragbarkeit der Bedenken aus diesen Vorabentscheidungsverfahren ist daher nicht gegeben. Damit wird vom erkennenden Senat jedenfalls anerkannt, dass der EuGH iZm der Vorratsdatenspeicherung und dem „safe haven“-Konzept in Bezug auf die USA wiederholt kritisierte, dass europäische und nationale Rechtsgrundlagen zwar einen Zweck von entsprechendem öffentlichen Interesse wahrnehmen, aber die damit verbundene Verarbeitung personenbezogener Daten indiskriminierend und anlasslos vorsehen würden, der damit einhergehende Eingriff in die Achtung des Privatlebens der Betroffenen schwerwiegend gewesen sei, und es an Schutzmaßnahmen in den Rechtsgrundlagen gefehlt habe. Diese mittlerweile gefestigten Bedenken des EuGH lassen sich jedoch nicht auf das gegenständliche Verfahren übertragen, da es in diesem um einen bedeutend kleineren Umfang betroffener personenbezogener Daten geht, die zudem keine Rückschlüsse auf besonders schutzwürdige Facetten des Privatlebens zulassen, einen weniger großen Personenkreis betreffen, als die Vorratsdatenspeicherung, deren Umfang nicht über das Ziel für die Zweckerreichung hinausschießt und die schließlich den Test der Erforderlichkeit für die Zweckerreichung erfüllen. Schließlich verweist der Beschwerdeführer noch unter anderem auf eine Stellungnahme des European Data Protection Supervisor (EDPS) vom Februar 2015 zum Abkommen zwischen der EU und der Schweiz über den automatischen Austausch von steuerlichen Informationen4 und das Schreiben der Article 29 Data Protection Working Party (WP 29) vom 18.09.20145 inkl. Annex6. Diese Stellungnahmen referenzieren wiederholt auf die EuGH-Entscheidung zu Digital Rights (siehe weiter oben). Zudem sind die in ihnen enthaltenen Argumente bereits vom Beschwerdeführer in seinen eigenen Eingaben aufgegriffen worden. In Bezug auf die fehlenden Anknüpfungspunkte von Kontoinformationen zu Verdachtsmomenten einer Steuerhinterziehung oder eines Steuerbetrugs, bzw. auf die fehlende Ausnahme für Konten, für die nur ein geringes Risiko besteht, sowie auf die ausreichend eindeutige Definition des Zwecks der Datenverarbeitung, die Sicherung der Betroffenenrechte und die technische Sicherheit wird auf die entsprechenden Anmerkungen in diesem Erkenntnis an anderer Stelle verwiesen (siehe dazu die vorstehenden und nachfolgenden Absätze in diesem Kapitel). Im Ergebnis kann der erkennende Senat keine Überschreitung des Art. 5 Abs.1 lit. b DSGVO und des Grundsatzes der Datenminimierung und der Erforderlichkeit, wie er in Art. 5 Abs. 1 lit. c DSGVO vorgesehen ist, ausmachen. Im Ergebnis kann der erkennende Senat keine Überschreitung des Artikel 5, Absatz eins, Litera b, DSGVO und des Grundsatzes der Datenminimierung und der Erforderlichkeit, wie er in Artikel 5, Absatz eins, Litera c, DSGVO vorgesehen ist, ausmachen. Datensicherheit: Wenn der Beschwerdeführer wiederholt in seinen Eingaben betont, dass seine Beschwerde auch fehlende Datensicherungsmaßnahmen betreffen würde, bzw. das CRS-System hacker-anfällig sei, so wird er zuerst auf die Bestimmung des Art. 5 Abs. 1 lit. f DSGVO und damit auf den Grundsatz der Integrität und Vertraulichkeit verwiesen: Datensicherheit: Wenn der Beschwerdeführer wiederholt in seinen Eingaben betont, dass seine Beschwerde auch fehlende Datensicherungsmaßnahmen betreffen würde, bzw. das CRS-System hacker-anfällig sei, so wird er zuerst auf die Bestimmung des Artikel 5, Absatz eins, Litera f, DSGVO und damit auf den Grundsatz der Integrität und Vertraulichkeit verwiesen: „Schon bisher wurde die Datensicherheit zu den Grundsätzen des Datenschutzrechts gezählt. Mit Art. 5 Abs. 1 lit. f wurde dies nunmehr ausdrücklich normiert. Wie bereits aus dem Wortlaut deutlich wird, geht dies über die Vertraulichkeit hinaus und umfasst den Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung. Eine Verarbeitung ist dann unrechtmäßig iSd Art. 5 Abs. 1 lit. f, wenn dafür keine Rechtsgrundlage vorliegt (vgl. insb. Art. 6 Abs. 1). Unbefugte können nicht nur sonstige Dritte, sondern auch Mitarbeiter_innen des/der Verantwortlichen sein. Abgestellt wird jedoch nicht nur auf – äußere oder interne – „Angreifer_innen“, sondern auch auf unbeabsichtigte Ereignisse. Ein unmittelbarer Zusammenhang besteht dabei mit den Grundsätzen des Art. 5 Abs. 1 lit. c („Datenminimierung“) und lit. e („Speicherbegrenzung“), weil die Einhaltung dieser Grundsätze die Risiken für eine Verletzung von Art. 5 Abs. 1 lit. f effektiv reduziert.„Schon bisher wurde die Datensicherheit zu den Grundsätzen des Datenschutzrechts gezählt. Mit Artikel 5, Absatz eins, Litera f, wurde dies nunmehr ausdrücklich normiert. Wie bereits aus dem Wortlaut deutlich wird, geht dies über die Vertraulichkeit hinaus und umfasst den Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung. Eine Verarbeitung ist dann unrechtmäßig iSd Artikel 5, Absatz eins, Litera f,, wenn dafür keine Rechtsgrundlage vorliegt vergleiche insb. Artikel 6, Absatz eins,). Unbefugte können nicht nur sonstige Dritte, sondern auch Mitarbeiter_innen des/der Verantwortlichen sein. Abgestellt wird jedoch nicht nur auf – äußere oder interne – „Angreifer_innen“, sondern auch auf unbeabsichtigte Ereignisse. Ein unmittelbarer Zusammenhang besteht dabei mit den Grundsätzen des Artikel 5, Absatz eins, Litera c, („Datenminimierung“) und Litera e, („Speicherbegrenzung“), weil die Einhaltung dieser Grundsätze die Risiken für eine Verletzung von Artikel 5, Absatz eins, Litera f, effektiv reduziert. Der Begriff Integrität kann mit Unverfälschtheit oder Unversehrtheit umschrieben werden und bedeutet, dass die Daten nicht von Unbefugten oder sonst unbeabsichtigt verändert oder gelöscht werden dürfen. Mit anderen Worten ist Integrität dann gegeben, wenn die Daten in dem Zustand sind, den der/die letzte zu ihrer Modifikation Berechtigte hergestellt hat. Vertraulichkeit bedeutet, dass Daten nicht von Unbefugten gelesen oder verarbeitet werden dürfen. Diese sog. Schutzziele sind durch geeignete technische und organisatorische Maßnahmen umzusetzen. In Art. 32 wird dies entsprechend konkretisiert. Dort sind neben der Integrität und der Vertraulichkeit auch die Schutzziele der Verfügbarkeit und der Belastbarkeit erwähnt (s. dazu Art. 32 Rz 40 f). Art. 5 Abs. 1 lit. f fordert einen angemessenen Schutz. Damit ist eine Abwägung angesprochen, die insb. die Risiken für die Betroffenen betrachtet und durch die in Art. 32 normierten Kriterien näher ausgestaltet ist (s. dazu Art. 32 Rz 20 ff). Der Einsatz angemessener Datensicherheitsmaßnahmen ist dabei eine Verpflichtung des/der Verantwortlichen sowie der Auftragsverarbeiter_innen, subjektive Rechtsansprüche einer betroffenen Person ergeben sich allein daraus nach der Rsp aber keine (klarstellend für die neue Rechtslage DSB 13. 9. 2018, DSB-D123.070/0005-DSB/2018, unter Verweis auf die bisherige stRsp zur gleichgelagerten alten Rechtslage nach dem DSG 2000 (DSK 2. 8. 2005, K121.038/0006-DSK/2005) und die Bestätigung durch das BVwG, dass die Geltendmachung spezifischer Datenschutzmaßnahmen einer bescheidmäßigen Absprache nicht zugänglich ist, BVwG 11. 7. 2017, W214 2117640-1 sowie 20. 4. 2017, W214 2007810-1), wenn nicht bereits ein bestimmtes Betroffenenrecht nach Art 15–22 verletzt wurde“ (Hötzendorfer/Tschohl/Kastelitz in Knyrim,
Diese sog. Schutzziele sind durch geeignete technische und organisatorische Maßnahmen umzusetzen. In Artikel 32, wird dies entsprechend konkretisiert. Dort sind neben der Integrität und der Vertraulichkeit auch die Schutzziele der Verfügbarkeit und der Belastbarkeit erwähnt (s. dazu Artikel 32, Rz 40 f). Artikel 5, Absatz eins, Litera f, fordert einen angemessenen Schutz. Damit ist eine Abwägung angesprochen, die insb. die Risiken für die Betroffenen betrachtet und durch die in Artikel 32, normierten Kriterien näher ausgestaltet ist (s. dazu Artikel 32, Rz 20 ff). Der Einsatz angemessener Datensicherheitsmaßnahmen ist dabei eine Verpflichtung des/der Verantwortlichen sowie der Auftragsverarbeiter_innen, subjektive Rechtsansprüche einer betroffenen Person ergeben sich allein daraus nach der Rsp aber keine (klarstellend für die neue Rechtslage DSB 13. 9. 2018, DSB-D123.070/0005-DSB/2018, unter Verweis auf die bisherige stRsp zur gleichgelagerten alten Rechtslage nach dem DSG 2000 (DSK 2. 8. 2005, K121.038/0006-DSK/2005) und die Bestätigung durch das BVwG, dass die Geltendmachung spezifischer Datenschutzmaßnahmen einer bescheidmäßigen Absprache nicht zugänglich ist, BVwG 11. 7. 2017, W214 2117640-1 sowie 20. 4. 2017, W214 2007810-1), wenn nicht bereits ein bestimmtes Betroffenenrecht nach Artikel 15 –, 22, verletzt wurde“ (Hötzendorfer/Tschohl/Kastelitz in Knyrim,
Demnach beinhaltet bereits eine Berücksichtigung des Grundsatzes der Datenminimierung den Aspekt der Datensicherheit und besteht darüber hinaus kein subjektives Recht auf die Vornahme bestimmter Datensicherheitsmaßnahmen, weshalb die diesbezüglichen Argumente des Beschwerdeführers als vom Erforderlichkeitsgrundsatz absorbiert angesehen werden. Im Zusammenhang damit, dass der Beschwerdeführer mit seiner Beschwerde deutschsprachige und englischsprachige Berichte einer britischen Anwaltskanzlei vorlegte, die auf Datensicherheitsprobleme und Hacking-Vorfälle iZm Steuerbehörden, Regierungsbehörden, Zentralbanken, Finanzinstituten und aus dem privaten Sektor hinweisen, ist anzumerken, dass sich aus dem Vorbringen des Beschwerdeführers allerdings keine Hinweise darauf ergeben, dass er selbst Opfer eines Hacker-Angriffs iZm mit dem CRS geworden ist. Während der erkennende Senat die Verweise des Beschwerdeführers auf Rechtsprechung des EuGH dazu, dass es für die Feststellung des Vorliegens eines Eingriffs in das Grundrecht auf Achtung des Privatlebens nicht darauf ankomme, ob die betreffenden Informationen über das Privatleben sensiblen Charakter haben oder die Betroffenen durch den Eingriff Nachteile erlitten haben könnten, zur Kenntnis nimmt (vgl. ua C-293/12 und C-594/12, Digital Rights Ireland Ltd et al., ECLI:EU:C:2014:238, RZ 33), so hat aber in Bezug auf die Möglichkeit eines Sicherheitsrisikos für die Daten des Beschwerdeführers gegenständlich kein Eingriff stattgefunden, weshalb der belangten Behörde in diesem Kontext gefolgt werden kann, wenn sie darauf hinweist, dass in Bezug auf dieses Beschwerdevorbringen das Vorliegen einer Rechtsverletzung nicht dargetan wurde. Im Zusammenhang damit, dass der Beschwerdeführer mit seiner Beschwerde deutschsprachige und englischsprachige Berichte einer britischen Anwaltskanzlei vorlegte, die auf Datensicherheitsprobleme und Hacking-Vorfälle iZm Steuerbehörden, Regierungsbehörden, Zentralbanken, Finanzinstituten und aus dem privaten Sektor hinweisen, ist anzumerken, dass sich aus dem Vorbringen des Beschwerdeführers allerdings keine Hinweise darauf ergeben, dass er selbst Opfer eines Hacker-Angriffs iZm mit dem CRS geworden ist. Während der erkennende Senat die Verweise des Beschwerdeführers auf Rechtsprechung des EuGH dazu, dass es für die Feststellung des Vorliegens eines Eingriffs in das Grundrecht auf Achtung des Privatlebens nicht darauf ankomme, ob die betreffenden Informationen über das Privatleben sensiblen Charakter haben oder die Betroffenen durch den Eingriff Nachteile erlitten haben könnten, zur Kenntnis nimmt vergleiche ua C-293/12 und C-594/12, Digital Rights Ireland Ltd et al., ECLI:EU:C:2014:238, RZ 33), so hat aber in Bezug auf die Möglichkeit eines Sicherheitsrisikos für die Daten des Beschwerdeführers gegenständlich kein Eingriff stattgefunden, weshalb der belangten Behörde in diesem Kontext gefolgt werden kann, wenn sie darauf hinweist, dass in Bezug auf dieses Beschwerdevorbringen das Vorliegen einer Rechtsverletzung nicht dargetan wurde. Rechtmäßigkeit Gemäß Art. 6 Abs. 1 lit. c DSGVO ist eine Verarbeitung ua dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der die/der Verantwortliche unterliegt. Da lit. c leg.cit. erfordert, dass die zugrundeliegende Rechtsgrundlage die gerade zu erfüllende Rechtspflicht begründet (vgl. Kastelitz/Hötzendorfer/ Tschohl in Knyrim,
DSGVO (Stand 7.5.2020, rdb.at)), ist der gegenständliche Sachverhalt, in dem der BMF nach dem GMSG zur entsprechenden Datenverarbeitung verpflichtet wird, unter dieser lit. einzuordnen. Die Rechtsgrundlage ist gemäß Abs. 3 leg. cit. durch Unions- oder nationales Recht festzulegen und hat den Verarbeitungszweck zu enthalten, der ein im öffentlichen Interesse liegendes Ziel verfolgen muss. Die Rechtsgrundlage hat außerdem in einem angemessenen Verhältnis zum verfolgten legitimen Zweck zu stehen. Gemäß Artikel 6, Absatz eins, Litera c, DSGVO ist eine Verarbeitung ua dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der die/der Verantwortliche unterliegt. Da Litera c, leg.cit. erfordert, dass die zugrundeliegende Rechtsgrundlage die gerade zu erfüllende Rechtspflicht begründet vergleiche Kastelitz/Hötzendorfer/ Tschohl in Knyrim,
, DSGVO (Stand 7.5.2020, rdb.at)), ist der gegenständliche Sachverhalt, in dem der BMF nach dem GMSG zur entsprechenden Datenverarbeitung verpflichtet wird, unter dieser lit. einzuordnen. Die Rechtsgrundlage ist gemäß Absatz 3, leg. cit. durch Unions- oder nationales Recht festzulegen und hat den Verarbeitungszweck zu enthalten, der ein im öffentlichen Interesse liegendes Ziel verfolgen muss. Die Rechtsgrundlage hat außerdem in einem angemessenen Verhältnis zum verfolgten legitimen Zweck zu stehen. Das GMSG setzt die Richtlinie 2011/16/EU um und wurde an die Richtlinie 2014/107/EU angepasst. Es definiert den Zweck der Datenverarbeitung, der, wie bereits beschrieben, im öffentlichen Interesse liegt. Die darin geregelten Verarbeitungen stehen in einem angemessenen Verhältnis zum verfolgten legitimen Zweck. Die Kooperation zwischen den Mitgliedstaaten mittels automatischem Datenaustausch über im Ausland befindliche Kontoinformationen zur Bekämpfung von grenzüberschreitendem Steuerbetrug und grenzüberschreitender Steuerhinterziehung stellt jedenfalls einen Zweck im öffentlichen Interesse dar, der demokratisch, durch den Gesetzgebungsprozess auf Unionsebene, legitimiert, darüber hinaus ausreichend präzise ist und sich schließlich im Umfang des Datenaustausches an den Grundsatz der Erforderlichkeit hält. Damit ist die durch den BMF vorgenommene Datenverarbeitung im Rahmen des Art. 6 Abs. 1 lit. c iVm Abs. 3 DSGVO auch rechtmäßig. Damit ist die durch den BMF vorgenommene Datenverarbeitung im Rahmen des Artikel 6, Absatz eins, Litera c, in Verbindung mit Absatz 3, DSGVO auch rechtmäßig. Zum DSG Im Zusammenhang mit dem in § 1 DSG normierten Recht auf Geheimhaltung personenbezogener Daten, soweit ein schutzwürdiges Interesse besteht, sind die gerade ausführlich dargestellten Argumente auch für die Rechtfertigung des Eingriffs nach dieser Bestimmung heranzuziehen: Die relevante Rechtsgrundlage, das GMSG, erfüllt die notwendigen Voraussetzungen eines Gesetzes als Grundlage für den Eingriff iSd § 1 Abs. 2 DSG. Der Eingriff geschieht auf Grundlage des berechtigten Interesses der Allgemeinheit an den festgelegten Zielen der Bekämpfung von grenzüberschreitender Steuerhinterziehung und grenzüberschreitendem Steuerbetrug. Um besonders schutzwürdige Daten handelt es sich gegenständlich nicht. Auch wird die Datenverarbeitung nur, wie dargestellt, in der gelindesten, zum Ziel führenden Art vorgenommen. Die auf dem GMSG basierende Datenverarbeitung durch den BMF verstößt daher auch nicht gegen § 1 DSG. Im Zusammenhang mit dem in Paragraph eins, DSG normierten Recht auf Geheimhaltung personenbezogener Daten, soweit ein schutzwürdiges Interesse besteht, sind die gerade ausführlich dargestellten Argumente auch für die Rechtfertigung des Eingriffs nach dieser Bestimmung heranzuziehen: Die relevante Rechtsgrundlage, das GMSG, erfüllt die notwendigen Voraussetzungen eines Gesetzes als Grundlage für den Eingriff iSd Paragraph eins, Absatz 2, DSG. Der Eingriff geschieht auf Grundlage des berechtigten Interesses der Allgemeinheit an den festgelegten Zielen der Bekämpfung von grenzüberschreitender Steuerhinterziehung und grenzüberschreitendem Steuerbetrug. Um besonders schutzwürdige Daten handelt es sich gegenständlich nicht. Auch wird die Datenverarbeitung nur, wie dargestellt, in der gelindesten, zum Ziel führenden Art vorgenommen. Die auf dem GMSG basierende Datenverarbeitung durch den BMF verstößt daher auch nicht gegen Paragraph eins, DSG. 3.2.
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.