© 2018 Deutscher Bundestag WD 3 - 3000 - 293/18 Zur Vereinbarkeit des FACTA-Abkommens mit der DSGVO Sachstand Wissenschaftliche Dienste Die Wissenschaftlichen Dienste des Deutschen Bundestages unterstützen die Mitglieder des Deutschen Bundestages bei ihrer mandatsbezogenen Tätigkeit. Ihre Arbeiten geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Arbeiten der Wissenschaftlichen Dienste geben nur den zum Zeitpunkt der Erstellung des Textes aktuellen Stand wieder und stellen eine individuelle Auftragsarbeit für einen Abgeordneten des Bundestages dar. Die Arbeiten können der Geheimschutzordnung des Bundestages unterliegende, geschützte oder andere nicht zur Veröffentlichung geeignete Informationen enthalten. Eine beabsichtigte Weitergabe oder Veröffentlichung ist vorab dem jeweiligen Fachbereich anzuzeigen und nur mit Angabe der Quelle zulässig. Der Fachbereich berät über die dabei zu berücksichtigenden Fragen. Wissenschaftliche Dienste Sachstand WD 3 - 3000 - 293/18 Seite 2 Zur Vereinbarkeit des FACTA-Abkommens mit der DSGVO Aktenzeichen: WD 3 - 3000 - 293/18 Abschluss der Arbeit: 22.08.2018 Fachbereich: WD 3: Verfassung und Verwaltung Wissenschaftliche Dienste Sachstand WD 3 - 3000 - 293/18 Seite 3 1. Fragestellung Der Sachstand thematisiert, inwieweit das „Abkommen vom 31. Mai 2013 zwischen der Bundesrepublik Deutschland und den Vereinigten Staaten von Amerika zur Förderung der Steuerehrlichkeit bei internationalen Sachverhalten und hinsichtlich der als Gesetz über die Steuerehrlichkeit bezüglich Auslandskonten bekannten US-amerikanischen Informations- und Meldebestimmungen “ (sog. FACTA-Abkommen)1 mit den Vorgaben der Datenschutz-Grundverordnung (DSGVO) in Einklang steht. 2. Regelungsgegenstand des FACTA-Abkommens Das am 11. Dezember 2013 in Kraft getretene FACTA-Abkommen ist ein völkerrechtlicher Vertrag zwischen der Bundesrepublik Deutschland und den Vereinigten Staaten von Amerika. Das Abkommen hat einen regelmäßigen Informationsaustausch zwischen deutschen und US-amerikanischen Steuerbehörden zum Gegenstand. Ausgetauscht werden dabei insbesondere Bankdaten zur Bekämpfung von Steuerdelikten. Im Rahmen dieses Informationsaustausches werden auch personenbezogene Daten übermittelt. Nach § 8 der FATCA-USA-Umsetzungsverordnung (FATCA-USA-UmsV) werden unter anderem der Name und die Anschrift sowie der Kontostand bzw. der Kontowert von meldepflichtigen US-amerikanischen Konten von den deutschen Finanzinstituten erhoben. Diese haben die Daten dann an das Bundeszentralamt für Steuern zu übermitteln . Dieses ist nach § 9 der FATCA-USA-UmsV verpflichtet, die Daten bis zum 30. September des Kalenderjahres, das auf das Kalenderjahr folgt, für das die Daten ermittelt wurden, an die Bundessteuerbehörde der Vereinigten Staaten von Amerika (Internal Revenue Service) zu übermitteln . Im Ergebnis werden damit personenbezogene Daten aus der Europäischen Union in die USA und damit datenschutzrechtlich in ein Drittland übermittelt. 3. Vorgaben der DSGVO für sog. Altverträge Rechtliche Vorgaben für eine Übermittlung von personenbezogenen Daten in ein Drittland enthalten die Art. 44 bis 50 der DSGVO. Art. 96 DSGVO enthält jedoch eine Sondervorschrift für die bereits vor Inkrafttreten der DSGVO bestehenden internationalen Übereinkünfte der Mitgliedstaaten . Demnach bleiben solche Übereinkünfte, die die Übermittlung personenbezogener Daten an Drittländer mit sich bringen und die die Mitgliedstaaten vor dem 24. Mai 2016 abgeschlossen haben , in Kraft, wenn sie mit dem bis dahin geltenden Unionrecht in Einklang standen. Bei diesen sog. Altverträgen dürfte es daher insbesondere auf deren Vereinbarkeit mit der Richtlinie 95/46/EG ankommen.2 Das FACTA-Abkommen stellt einen solchen Altvertrag dar. Es wurde bereits im Jahr 2013 abgeschlossen und liegt zeitlich damit vor dem 24. Mai 2016. Anhaltspunkte für eine bis dahin bestehende Unvereinbarkeit mit dem Unionsrecht sind nicht ersichtlich. Vorgaben für die Übertragung personenbezogener Daten in Drittländer enthielten die damaligen Art. 25 ff. der Richtlinie 1 BGBl II Nr. 29 vom 15.10.2013 S. 1362 ff. 2 Vgl. Gundel, in: Wolff/Brink, 24. Edition Stand: 01.05.2018, Art. 96 DSGVO Rn. 4. Wissenschaftliche Dienste Sachstand WD 3 - 3000 - 293/18 Seite 4 95/46/EG (Datenschutzrichtlinie). Der damalige wie auch die heutige Bundesdatenschutzbeauftragte begleiteten sowohl die Entstehung als auch die Anwendung des FACTA-Abkommens. Zwar wurden bei dessen Aushandlung durchaus datenschutzrechtliche Bedenken geltend gemacht .3 Von einer Unvereinbarkeit des Abkommens mit den Vorgaben der Richtlinie 95/46/EG wurde und wird jedoch vonseiten der Bundesdatenschutzbeauftragten offenbar nicht ausgegangen .4 Damit spricht viel dafür, dass das FACTA-Abkommen mit dem damaligen Unionsrecht in Einklang stand und damit nach Art. 96 DSGVO auch nicht mit den nunmehr geltenden datenschutzrechtlichen Vorgaben in Konflikt stehen kann. *** 3 Vgl. hierzu den 24. Tätigkeitsbericht des BfDI 2011 bis 2012 S. 44, abrufbar unter: https://www.bfdi.bund.de/SharedDocs/Publikationen/Taetigkeitsberichte/TB_BfDI/24TB_11_12.html?nn=5217 212 (Stand 22.08.2018). 4 Vgl. hierzu den 25. Tätigkeitsbericht der BfDI 2013 bis 2014 S. 132 f., abrufbar unter: https://www.bfdi.bund.de/SharedDocs/Publikationen/Taetigkeitsberichte/TB_BfDI/25TB_13_14.html?nn=5217 212 sowie den 26. Tätigkeitsbericht der BfDI 2015 bis 2016, S. 191, abrufbar unter: https://www.bfdi.bund.de/SharedDocs/Publikationen/Taetigkeitsberichte/TB_BfDI/26TB_15_16.html?nn=5217 212 (jeweils Stand 22.08.2018).