Jusletter IT

Risikomanagementsysteme sind keine völlig neue Form des Gesetzesvollzugs, sondern stellen eine erst aufgrund der gesteigerten Leistungsfähigkeit der automatisierten Datenverarbeitung möglich gewordene Weiterentwicklung der bisherigen Steuervollzugstechniken dar.¹ Ohne intensive und zielgerichtete EDV-Nutzung sind moderne Risikomanagementsysteme nicht umzusetzen.² So forciert die Finanzverwaltung zur Erfüllung ihrer Steuervollzugsziele eine gewichtete Arbeitsweise. Intensität der Bearbeitung und Kontrolle orientierten sich in der Vergangenheit an der steuerlichen Bedeutung bzw. Auswirkung, d. h. an einer rein finanziellen und quantitativen Größe.³

Später wurde das Auswahlsystem an Einkunftskennzahlen ausgerichtet, wobei eine Differenzierung zwischen intensiv zu bearbeitenden Steuerfällen und sonstigen Fällen erfolgte. Ergänzt wurde das System um die Prüfungsmaßnahme des Prüffelds, das unabhängig von den Einkunftskennzahlen von dem örtlich zuständigen Finanzamt als besonders prüfungsbedürftig festgelegt wurde.⁴ Eine intensive Fallprüfung blieb den beiden in Rede stehenden Fallgestaltungen vorbehalten.⁵

Die Ausgestaltung des Fallauswahlsystems führte zu umfassenden Diskussionen über Möglichkeiten und Grenzen dieser Ausrichtung des Steuervollzugs und damit einhergehend zu erheblicher Kritik.⁶ Zur Verbesserung der Kontrollsysteme initiierte die Finanzverwaltung verschiedene Vorhaben,⁷ wobei insbesondere das am 01.01.2007 in Kraft getretene Verwaltungsabkommen KONSENS⁸ hervorzuheben ist. Dieses hatte zum Ziel, in einem bundesweit abgestimmten Verfahren eine einheitliche Software zu entwickeln, zu beschaffen und einzusetzen sowie papierbasierte Verfahrensabläufe durch elektronische Verfahren abzulösen.⁹ In diese Software wurde ein elektronisches Risikomanagementsystem implementiert, das sich nicht mehr ausschließlich an den o. g. Parametern, sondern vielmehr am Kontrollbedürfnis orientierte.¹⁰ Der Finanzverwaltung stand eine zunehmend breitere Datenbasis zur Verfügung, sodass das im Rahmen von KONSENS konzipierte Risikomanagement stetig weiterentwickelt wurde.

Mit dem Steuerbürokratieabbaugesetz¹¹ wurde das BMF u. a. ermächtigt, Risikoparameter durch Rechtsverordnung festzulegen (§ 88 Abs. 3 Satz 1 AO a.F.). Jedoch hat es letztendlich hiervon nie Gebrauch gemacht, sodass in einer Ex-post-Betrachtung dahinstehen kann, ob die Ermächtigung inhaltlich hinreichend bestimmt oder überhaupt notwendig war.¹² Zur Umsetzung wurde allerdings im August 2011 als Teil eines umfassenden Referentenentwurfs eine Verordnung über Art und Umfang der steuerlichen Ermittlungen der Landesfinanzbehörden bei Einsatz automationsgestützter Risikomanagementsysteme (Steuer-Ermittlungs-Verordnung – StErmV) vom BMF vorgelegt.¹³ Mittels drei Paragraphen sollten erstmals Vorgaben für diese Systeme kodifiziert werden. Während § 1 deren grundsätzlichen Einsatz normierte, wurden in § 2 die Ziele aufgeführt und abschließend in § 3 die Ausgestaltung der Risikomanagementsysteme festgelegt.¹⁴

Der Entwurf zur Steuer-Ermittlungs-Verordnung stieß bereits kurz nach Veröffentlichung auf teils erhebliche Kritik.¹⁵ In der vom BMF später im Jahr 2011 schließlich initiierten Verordnung¹⁶ ist dieses Entwurfselement jedenfalls in vollem Umfang nicht übernommen worden. Da eine Begründung für die ersatzlose Streichung in dem parlamentarischen Material¹⁷ fehlt, wird in dem Vorgehen des BMF mitunter eine entsprechende Reaktion auf die kritische Einschätzung gesehen.¹⁸

Ungeachtet dessen, dass die Steuer-Ermittlungs-Verordnung nie verabschiedet wurde, haben einige der darin enthaltenen Regelungen – wenn auch zum Teil nur sinngemäß – Eingang in das Gesetz zur Modernisierung des Besteuerungsverfahrens¹⁹ und damit letztendlich in die aktuelle Fassung des § 88 Abs. 5 AO gefunden. Neben der ausdrücklichen Ermöglichung automationsgestützter elektronischer Risikomanagementsysteme (§ 1 Abs. 1 StErmV), den Grundsätzen der Verhältnismäßigkeit und der Wirtschaftlichkeit (§ 2 Abs. 1 StErmV) gilt dies auch für die Zufallsauswahl und die personelle Fallauswahl (§ 3 Abs. 1 StErmV) sowie für die regelmäßige Zweckmäßigkeitsprüfung (§ 3 Abs. 3 StErmV). Darüber hinaus finden sich die Regelungen zum bundeseinheitlichen Vollzug der Steuergesetze (§ 3 Abs. 4 StErmV) und zur Nichtveröffentlichung von Einzelheiten der Ausgestaltung der Risikomanagementsysteme (§ 3 Abs. 5 StErmV) in ähnlicher Weise wieder.²⁰

Die gesetzliche Implementierung der Risikomanagementsysteme ist grundsätzlich zu begrüßen.²¹ Mit der Kodifizierung von Mindestanforderungen wird den diesbezüglichen Empfehlungen des Bundesrechnungshofs²² gefolgt und damit zugleich verfassungsrechtlichen Bedenken begegnet, die aus der mangelnden gesetzlichen Mindeststeuerung resultierten.²³

Das Risikomanagement stellt neben der kooperativen, serviceorientierten Ausrichtung die zweite Säule der Tax-Compliance-Vollzugsstrategie dar. In § 88 Abs. 5 Satz 1 AO sind die Risikomanagementsysteme legaldefiniert. Demnach können diese als automationsgestützte Systeme zur Beurteilung der Notwendigkeit weiterer Ermittlungen und Prüfungen zum Zwecke einer gleichmäßigen und gesetzmäßigen Steuerfestsetzung einschließlich Steuervergütungen sowie der Anrechnung von Steuerabzugsbeträgen und Vorauszahlungen eingesetzt werden.²⁴ Gleichwohl ist ihr Einsatz nicht auf die Einkommensteuerveranlagung beschränkt. Sie können beispielsweise ebenso für Außenprüfungen oder bei der Auswertung von Kontrollmaterial Verwendung finden.²⁵ In Abhängigkeit vom jeweiligen Arbeitsbereich verfolgt das Risikomanagement der Finanzverwaltung unterschiedliche Zielsetzungen. Während im Rahmen der Veranlagung die Optimierung der Sachbearbeitung im Fokus steht, ist für die Außenprüfung eine effizientere Fallauswahl²⁶ das primäre Ziel.²⁷ Um diese Arbeitsabläufe zu effektuieren und Redundanzen zu beseitigen, strebt die Finanzverwaltung die Implementierung eines Gesamtsystems an. In der Folge könnten beispielsweise Abgleiche der Steuererklärungsdaten vorgenommen und potenzielle Außenprüfungsfälle automatisch unter einem Vorbehalt der Nachprüfung (§ 164 AO) ergehen.²⁸

Elementare Voraussetzung für die Identifikation und Analyse der Steuerrisiken sind Informationen.²⁹ Bestenfalls werden diese bereits im Zuge der Sammlung in elektronischer Form zur Verfügung gestellt und liegen in strukturierter Form vor. So können Medienbrüche sowie die damit einhergehende zeitintensive und fehleranfällige personelle Datenerfassung vermieden werden.³⁰ Ansonsten sind die Informationen entsprechend zu digitalisieren, da zum einen nicht formalisierte Strukturen gegenwärtig³¹ noch nicht adäquat maschinell analysiert und verarbeitet werden können.³² Zum anderen gilt es unbedingt zu vermeiden, dass verfügbare Informationen, beispielsweise aus Akten in Papierform, ungenutzt bleiben.³³ In diesem Kontext ist die bisherige und stetig weiter zu forcierende Fortentwicklung des E-Governments von entscheidender Bedeutung. Ziel ist der Aufbau einer maschinell auswertbaren Datenbasis, sodass diese Informationen dem elektronischen Risikomanagementsystem zugänglich sind.³⁴

Dabei kommt der Datenqualität eine hervorgehobene Bedeutung zu. Die Verarbeitungsprozesse und Entscheidungen, die auf den Daten beruhen, können nur optimal unterstützt werden, wenn die maßgeblichen Qualitätskriterien erfüllt sind.³⁵ Letztere umfassen u. a.

• die Datengenauigkeit,
• die Datenvollständigkeit,
• die Datenkonsistenz und
• die Glaubwürdigkeit der Daten.³⁶

Herausforderungen resultieren aus den nachfolgend näher erläuterten unterschiedlichen Datenquellen, da diese naturgemäß nicht alle relevanten Qualitätskriterien erfüllen oder erfüllen können.³⁷

Die Finanzverwaltung kann auf eine umfangreiche Datenbasis zurückgreifen. Diese resultiert vordergründig aus den mannigfaltigen Mitwirkungs- und Erklärungspflichten des Steuerpflichtigen. Für zeitnahe, geeignete und verlässliche Informationen kann dieser als die beste aller Informationsquellen angesehen werden.³⁸ Gleichwohl ist zu beachten, dass aufgrund der einem Laien schwer verständlichen Rechtslage und des Interessengegensatzes zwischen den Beteiligten die Informationen ggf. nicht (vollumfänglich) zutreffend oder vollständig sind. Daher werden diese beispielsweise um Ergebnisse bisheriger Kontrollhandlungen oder Prüfungen ergänzt.³⁹ Die so insgesamt gewonnenen Daten können als interne Quelldaten bezeichnet werden.⁴⁰

Externe Quelldaten resultieren insbesondere aus den Datenübermittlungen durch Dritte.⁴¹ Aufgrund der mannigfaltigen Datenquellen⁴² und der zahlreichen elektronisch übermittelten Daten kommt es zu einer zunehmenden Verdichtung der elektronischen Finanzverwaltung. Im Ergebnis stehen umfassende quantitative und qualitative Daten für Analysezwecke zur Verfügung, die betriebs-, größen-, branchen- oder steuerartbezogen sein können. Mitunter wird in der Literatur gefordert, dass die Datenbestände den Steuerpflichtigen in anonymisierter Form zur Verfügung gestellt werden, damit diese ihr, ggf. vorhandenes, innerbetriebliches Kontrollsystem, das der Erfüllung steuerlicher Pflichten dient, verbessern können.⁴³ In eine ähnliche Richtung zielt das Anliegen, die auf Grundlage der Datenbasis gewonnenen Erkenntnisse offenzulegen, um so dem Transparenzbedürfnis der Steuerpflichtigen nachzukommen und diesen eine Fehlervermeidung und/oder -entdeckung zu erleichtern.⁴⁴

Aufgrund des vereinfachten Zugriffs auf elektronische Daten besteht für die Finanzverwaltung leistungsfähige Kontrollmöglichkeiten. Um die Risikomanagementsysteme zu effektuieren und Datenabgleiche vorzunehmen, können die Informationsbestände für eine Vielzahl von Zwecken genutzt oder miteinander verknüpft werden. Das steuerliche Datenschutzrecht unter Berücksichtigung der Datenschutz-Grundverordnung ist ein weitläufiger Regelungskomplex. Daher soll an dieser Stelle lediglich auf Grundsatzfragen der Datenverarbeitung und der Datenweiterverarbeitung bei Anwendung von Risikomanagementsystemen eingegangen werden.

Die Verordnung wird von verschiedenen Grundprinzipien getragen (Art. 5 DSGVO).⁴⁵ Im Kontext der Risikomanagementsysteme sind insbesondere die Rechtmäßigkeit der Datenverarbeitung (Art. 6 DSGVO) und die klare Zweckbindung bei der Verarbeitung personenbezogener Daten (Art. 5 Abs. 1 Buchst. b und c DSGVO) von besonderer Bedeutung. Nach Art. 6 Abs. 1 Satz 1 Buchst. e DSGVO ist die Verarbeitung personenbezogener Daten durch eine Finanzbehörde zulässig, wenn sie zur Erfüllung der ihr obliegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die ihr übertragen wurde, erforderlich ist. Bei der Zweckbindung handelt es sich um eines der zentralen Prinzipien des europäischen Datenschutzrechts. Personenbezogene Daten dürfen hiernach nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden.⁴⁶ Eine Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, sog. Weiterverarbeitung, ist daher nur dann zulässig, wenn die Einwilligung der betroffenen Person oder eine Rechtsvorschrift der Union oder der Mitgliedstaaten dies gestattet.⁴⁷ Für diese (Weiter-)Verarbeitung bedarf es daher eindeutiger Rechtsgrundlagen.⁴⁸

Die Rechtsgrundlagen des steuerlichen Datenschutzes ergeben sich nunmehr aus der Datenschutz-Grundverordnung und der Abgabenordnung (§ 2a Abs. 3 AO).⁴⁹ Dem Bundesdatenschutzgesetz kommt entsprechend § 2a Abs. 1 AO nur eine ganz untergeordnete Rolle zu.⁵⁰ Im Ergebnis gilt für die Steuerpflichtigen bezüglich der Verwaltung von bundesgesetzlich geregelten Steuern ein einheitliches Datenschutzrecht.⁵¹ Die Anzahl der Rechtsgrundlagen und deren Ausgestaltung ist komplex und wird mitunter scharf kritisiert.⁵²

§ 29b Abs. 1 AO ist die nationale Rechtsgrundlage für die Verarbeitung personenbezogener Daten und gestattet die Verarbeitung der Daten lediglich zu dem Zweck, zu dem sie erhoben worden sind.⁵³ Die Zulässigkeit der Weiterverarbeitung richtet sich nach § 29c AO.⁵⁴ Ist eine der Voraussetzungen von § 29c Abs. 1 AO erfüllt, kann die Weiterverarbeitung personenbezogener Daten durch die Finanzverwaltung auf diese Norm gestützt werden.⁵⁵ Von entscheidender Bedeutung ist daher, wie der Zweck der Erhebung von einer möglichen Zweckänderung durch Weiterverarbeitung abzugrenzen ist.⁵⁶ Nach Ansicht des BMF ist Zweck der Verarbeitung die Durchführung des jeweiligen Verwaltungsverfahrens in Steuersachen, differenziert u. a. nach Steuerart, Besteuerungszeitraum und Steuerschuldner.⁵⁷ Im Schrifttum wird diese Auffassung mitunter als zu eng kritisiert.⁵⁸

Für den Aufbau einer Datenbasis der Risikomanagementsysteme ist daher aufgrund der Weiterverarbeitung § 29c AO auf Erlaubnistatbestände hin zu untersuchen. Dabei kommt insbesondere Abs. 1 Satz 1 Nr. 1 in Betracht,⁵⁹ da die Weiterverarbeitung einem Verwaltungsverfahren in Steuersachen, nämlich dem des jeweils anderen Steuerpflichtigen, dient. Der Gesetzgeber geht davon aus, dass die Nr. 1 die in praxi bedeutsamste Regelung darstellt⁶⁰ und es gemäß den §§ 88 ff. AO möglich sein muss, die Angaben der Steuerpflichtigen unter Verifikationsaspekten im Einzelfall auch stichprobenweise zu überprüfen.⁶¹

Zudem soll eine Weiterverarbeitung gemäß Abs. 1 Satz 1 Nr. 4 zulässig sein. Die dort angeführte Entwicklung, Überprüfung oder Änderung automatisierter Verfahren beziehe sich auf das Risikomanagement und die Pflege der entsprechenden Systeme.⁶² Darüber hinaus wird in der Nr. 4 eine Ermächtigungsgrundlage für die Verarbeitung personenbezogener Daten für Zwecke automatisierter Verfahren der Finanzverwaltung gesehen.⁶³ Diese beinhaltet zugleich einen grundsätzlichen Vorrang anonymisierter oder pseudonymisierter Daten vor Klardaten,⁶⁴ d. h. unveränderter, nicht anonymisierter oder -pseudonymisierter Daten, bei der Weiterverarbeitung.⁶⁵ Mithin soll kein Fall der Nr. 4 vorliegen, wenn anonymisierte Erkenntnisse aus personenbezogenen Daten anderer Verfahren abgeleitet sind.⁶⁶ Werden Klardaten ausnahmsweise weiterverarbeitet, ist die Einschränkung des § 29c Abs. 1 Satz 2 AO zu beachten, wonach diese innerhalb eines Jahres nach Beendigung der Maßnahmen gelöscht werden müssen.

Eine weitere gesetzliche Ermächtigungsgrundlage für die Sammlung von geschützten Daten außerhalb eines konkreten Besteuerungsverfahrens ist nach wie vor mit § 88a AO gegeben. Aufgrund dieser ausdrücklichen Regelung liegt eine rechtmäßige zweckändernde Weiterverarbeitung i. S. d. § 29c Abs. 1 Satz 1 Nr. 1 AO vor.⁶⁷ Nach § 88a Satz 1 AO dürfen die Finanzbehörden nach § 30 AO geschützte Daten auch für Zwecke künftiger Verfahren, insbesondere zur Gewinnung von Vergleichswerten, in Dateisystemen verarbeiten, soweit es zur Sicherstellung einer gleichmäßigen Festsetzung und Erhebung der Steuern erforderlich ist. Die Daten müssen nicht anonymisiert werden.⁶⁸

Hinsichtlich der erfassten und gespeicherten Daten wird die Zweckbestimmung durch § 88a Satz 2 AO dadurch eingegrenzt, dass diese nur in bestimmten behördlichen Verfahren genutzt werden dürfen.⁶⁹ Von § 88a AO sind ebenso elektronisch einzureichende Daten erfasst,⁷⁰ sodass die gesammelten Daten die Grundlage für ein automationsgestütztes Risikomanagementsystem (§ 88 Abs. 5 AO) darstellen können. Dies gilt für denselben Steuerpflichtigen und für Vergleichsfälle.⁷¹ Mithin ist die Vorschrift für das Risikomanagement von elementarer Bedeutung.⁷² So können beispielsweise durch die Gewinnung von Vergleichswerten und den schnellen Zugriff auf diese entsprechende Abweichungen umgehend, ggf. automatisch, erkannt werden, sodass etwaigen fehlerhaften Angaben eines Steuerpflichtigen schneller und gezielter nachgegangen werden kann.⁷³

Die strukturierte Datenweiterverarbeitung und der damit einhergehende elektronische Datenaustausch berühren das Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG).⁷⁴ Die Befugnisse des § 88a AO stießen bisher im Schrifttum nicht auf gravierende verfassungsrechtliche Bedenken. Vielmehr genügt die Vorschrift insbesondere dem verfassungsrechtlichen Gebot der Normenbestimmtheit und Normenklarheit sowie der Zweckbindung als Fundamentalprinzip des Datenschutzrechts.⁷⁵

Im Kontext der geteilten Finanzverwaltung ist der im Zuge der Modernisierung des Besteuerungsverfahrens neu eingefügte⁷⁶ § 88b AO zu sehen. Die Norm ist die Rechtsgrundlage für den Austausch von (Klar-)Daten⁷⁷ zwischen den Finanzbehörden der einzelnen Bundesländer und den Bundesfinanzbehörden. Diese datenschutzrechtliche Absicherung⁷⁸ ist notwendig, da die Zuständigkeiten auf mehrere Gebietskörperschaften verteilt sind. Im Ergebnis stellt § 88b AO mit dem automationsgestützten Abgleich der bereits gespeicherten Daten eine i. S. d. § 88a Satz 2 AO mögliche Verwendung von gesammelten Daten dar,⁷⁹ die der Steuervollzugssicherung im Rahmen des elektronischen Risikomanagements dient.⁸⁰ So umfasst die Befugnis insbesondere maschinelle Auswertungsberechtigungen unter Verwendung des in den zahlreichen Datenbanken vorhandenen Datenbestands.⁸¹ Der Gesetzeswortlaut kodifiziert keine Einschränkungen, sodass grundsätzlich sämtliche von der Finanzverwaltung gespeicherten, nach § 30 AO geschützten Daten für Zwecke des § 88b AO zur Verfügung stehen.⁸²

Die Frage der Grundrechtsrelevanz der Vorschrift wird im Schrifttum unterschiedlich bewertet. Nach einer Ansicht führt § 88b AO zu erheblichen Eingriffen in die informationelle Selbstbestimmung (Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG), da sämtliche personenbezogenen Daten, die der ersuchten Finanzbehörde vorliegen, erfasst sind. Dieser intensive Eingriff fordere in solchen Fällen unter Berücksichtigung der Rechtsprechung das Vorhandensein konkreter Verdachtsmomente.⁸³ Mangels Anknüpfung an ein subjektives Kriterium basiere der Verdachtsmoment lediglich auf dem grundsätzlich wertungsfreien Umstand einer Steuerminderzahlung.⁸⁴ Im Ergebnis ermögliche dies der Finanzverwaltung eine anlasslose Rasterfahndung zur Prävention von Steuerausfällen, sodass der § 88b AO den verfassungsrechtlichen Anforderungen des Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG nicht mehr genüge.⁸⁵

Dagegen wird an anderer Stelle eingewendet, der Wortlaut der Vorschrift erfasse weitreichende Zwecke, d. h. auch das reguläre Besteuerungsverfahren.⁸⁶ Dies stelle einen konkreten und ausreichenden Steuervollzugszweck dar, sodass es sich gerade nicht um eine unbestimmte Vorratsdatenspeicherung handle.⁸⁷

Eine restriktive Auslegung der Vorschrift könnte den vorgebrachten Bedenken begegnen.⁸⁸ Denkbar ist eine verfassungskonforme Auslegung mittels teleologischer Reduktion, bei der die Tatbestandsvoraussetzungen des § 88b AO um das Erfordernis konkreter Anhaltspunkte erweitert würden.⁸⁹ Mithin wäre sichergestellt, dass der Föderalismus für das elektronische Risikomanagement kein strukturelles Vollzugshemmnis darstellt.

Die Neuregelungen, insbesondere die Verarbeitungs- und Weiterverarbeitungsbefugnisse, genügen weiterhin den Bedürfnissen eines effektiven Steuervollzugs und einer effektiven Verifikationsverwaltung.⁹⁰

Im Zuge der vorstehenden Untersuchung wurde deutlich, dass die Finanzverwaltung seit jeher bestrebt ist, sich den stetig ändernden politischen, wirtschaftlichen und rechtlichen Rahmenbedingungen anzupassen, um ihren durch die Rechtsordnung vorgegebenen Steuervollzugsauftrag bestmöglich zu erfüllen. Es wurden mannigfaltige Maßnahmen initiiert und stets kritisch durch das Schrifttum begleitet, sodass wichtige Impulse zeitnah berücksichtigt werden konnten. Gleichwohl verlief die Entwicklung nicht immer linear. Rückschläge und Misserfolge mussten hingenommen und bewältigt werden. Ungeachtet dessen ist jeweils eine Entwicklung erkennbar, die zunehmend die elektronischen Risikomanagementsysteme in den Fokus rückt. Diese stellen keine völlig neue Form des Gesetzesvollzugs dar. Sie sind vielmehr als eine erst aufgrund der gesteigerten Leistungsfähigkeit der automatisierten Datenverarbeitung möglich gewordene Weiterentwicklung der bisherigen Steuervollzugstechniken zu qualifizieren. Die intensive und zielgerichtete EDV-Nutzung ist daher für die Umsetzung solch moderner Risikomanagementsysteme essenziell.

Das Risikomanagement stellt neben der kooperativen, serviceorientierten Ausrichtung die zweite Säule der Tax-Compliance-Vollzugsstrategie dar. Eine gesetzliche Legaldefinition der Risikomanagementsysteme findet sich in § 88 Abs. 5 Satz 1 AO, wonach diese als automationsgestützte Systeme zur Beurteilung der Notwendigkeit weiterer Ermittlungen und Prüfungen, insbesondere zum Zwecke einer gleichmäßigen und gesetzmäßigen Steuerfestsetzung, eingesetzt werden können.

Als ein weiteres Ergebnis der vorangegangenen Untersuchung bleibt festzuhalten, dass der Aufbau einer maschinell auswertbaren Datenbasis für die Funktionsweise elektronischer Risikomanagementsysteme von essenzieller Bedeutung ist. Gleiches gilt für die Datenqualität, da auf Daten basierende Verarbeitungsprozesse und Entscheidungen nur optimal unterstützt werden können, wenn die maßgeblichen Qualitätskriterien erfüllt sind. Informationen aus diversen internen und externen Quelldaten, die möglichst in digitaler Form zur Verfügung stehen sollten, werden zusammengefügt und so dem elektronischen Risikomanagementsystem zugänglich gemacht. Für die Vorgänge des Sammelns und Verwendens von Daten sind eindeutige Rechtsgrundlagen unter Berücksichtigung des datenschutzrechtlichen Grundsatzes der Zweckbindung notwendig.

Aus der geteilten Bundes- und Landesfinanzverwaltung resultieren bei der strukturierten Datenweiterverarbeitung und dem damit einhergehenden elektronischen Datenaustausch föderalismusbedingte Herausforderungen. Während die allgemeinen Befugnisse des § 88a AO zur Sammlung und Verwendung von geschützten Daten im Schrifttum nicht auf gravierende verfassungsrechtliche Bedenken stoßen, wird hinsichtlich des in § 88b AO geregelten automationsgestützten Austauschs von Daten zwischen den Finanzbehörden der einzelnen Bundesländer und den Bundesfinanzbehörden teils ein Verstoß gegen das Recht auf informationelle Selbstbestimmung gesehen. Diesen Bedenken kann jedoch durch eine restriktive Auslegung mittels teleologischer Reduktion begegnet werden, sodass der Föderalismus für das elektronische Risikomanagement kein strukturelles Vollzugshemmnis darstellt. Mit diesem Aspekt ist ein Problemkomplex angesprochen, der eine bedeutsame Zukunftsfrage der (Steuer-)Rechtsprechung darstellen kann. Die Entwicklungen auf diesem Gebiet und die künftige Bewältigung durch die Finanzverwaltung in praxi sind daher aufmerksam und kritisch zu verfolgen.