Datenschutzverletzung bei Übermittlung des Umsatzsteuerbetrags
der Fraktion der CDU/CSU
Vorbemerkung
Der Deutsche Bundestag hat das Verfahren One-Stop-Shop, Nicht-EU-Regelung (OSS Nicht-EU) zum 1. Juli 2021 eingeführt, um die Erhebung der Umsatzsteuer für alle am Ort des Verbrauchs ausgeführten Dienstleistungen, die an private Leistungsempfänger in der EU erbracht werden, einfacher zu gestalten.
Im Rahmen dieser Sonderregelung kann sich der nicht im Binnenmarkt ansässige Unternehmer für eine Steueridentifizierung in einem einzigen Mitgliedstaat entscheiden. Es handelt sich um ein Optionsrecht. Macht er hiervon Gebrauch, muss er sich nicht mehr in jedem EU-Mitgliedstaat umsatzsteuerlich erfassen lassen, in dem er unter die Sonderregelung fallende Leistungen an in der EU ansässige Nichtunternehmer (insbesondere Privatpersonen) erbringt. Der nicht im Binnenmarkt ansässige Unternehmer kann vielmehr einen Mitgliedstaat auswählen, in dem er sich für die Teilnahme an der Sonderregelung anmeldet.
In Deutschland ist das Bundeszentralamt für Steuern (BZSt) für die Sonderregelung zuständig. Es nimmt die Umsatzsteuererklärungen der am OSS Nicht-EU-Verfahren teilnehmenden Steuerpflichtigen entgegen und übermittelt sie an die anderen Mitgliedstaaten.
Ende Januar 2022 informierte das Bundeszentralamt für Steuern betroffene Steuerpflichtige darüber, dass bei der Datenübermittlung zu diesem Verfahren an die EU eine Datenschutzverletzung erfolgt sei. So heißt es, dass „im Verfahren One-Stop-Shop, Nicht-EU-Regelung (OSS Nicht-EU), … am 15. Oktober 2021 erstmalig Steuererklärungen vom Registrierungsstaat Deutschland an andere EU-Mitgliedstaaten versendet (wurden). Durch einen technischen Fehler wurde im oben genannten Zeitraum statt des gemeldeten Umsatzsteuerbetrags für das jeweilige Land die Summe der insgesamt in Deutschland gemeldeten Umsatzsteuer an die Mitgliedstaaten übermittelt. Die gemeldeten Einzelumsätze wurden korrekt weitergeleitet. Der Fehler in der weitergeleiteten Steuererklärung bestand darin, dass die Summe der gemeldeten Umsatzsteuer nicht mit dem Gesamtbetrag der Umsatzsteuerbeträge für den jeweiligen Mitgliedstaat angegeben wurde, sondern mit dem Gesamtbetrag der in Deutschland für alle Mitgliedstaaten gemeldeten Umsatzsteuer“.
Weiter schreibt das BZSt, dass auch die jeweilige Steuererklärung der Adressaten betroffen war und dass die Adressaten des Schreibens eventuell Mahnungen in fehlerhafter Höhe von anderen Mitgliedstaaten erhalten hätten.
Wir fragen die Bundesregierung:
Fragen14
Worin besteht der technische Fehler, der zur Datenschutzverletzung führte?
Wie kam es zu diesem technischen Fehler?
a) Falls die Bundesregierung hierzu keine Informationen hat, was unternimmt die Bundesregierung, um die Fehlerursache zu ermitteln?
b) Was hat die Bundesregierung unternommen, um in Zukunft diesen oder einen ähnlichen erneuten, technischen Fehler zu vermeiden?
c) Hat das Bundesministerium der Finanzen (BMF) den technischen Fehler verschuldet, und falls nein, warum nicht?
Wann wurde der Bundesminister der Finanzen über den technischen Fehler, die Datenschutzverletzung und die Falschübermittlung informiert (genaues Datum), und was hat die Bundesregierung im unmittelbaren Anschluss daran unternommen (bitte ebenfalls mit genauer Datumsangabe)?
Wann hat das Bundeszentralamt für Steuern die Bundesregierung über den technischen Fehler, die Datenschutzverletzung und die Falschübermittlung informiert (bitte jeweils mit genauem Datum)? Hat die Bundesregierung die EU-Kommission und die anderen Mitgliedstaaten über die Falschübermittlung in Kenntnis gesetzt, und wenn ja, wann, und falls nein, warum nicht?
Wie haben die anderen Mitgliedstaaten auf die Falschübermittlung reagiert (bitte nach EU-Mitgliedstaat aufschlüsseln)?
Wurde die Datenschutzverletzung dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit gemeldet, und wenn ja, mit welchem Inhalt (genauer Wortlaut der Meldung), und wann?
Wie haben die betroffenen Steuerpflichtigen auf diese Nachricht gegenüber der Bundesregierung reagiert? Wie viele Steuerpflichtige sind von der Datenschutzverletzung betroffen?
Wie viele Steuerpflichtige sind nach Kenntnis der Bundesregierung bereits von anderen EU-Mitgliedstaaten hinsichtlich der aufgrund der Falschübermittlung unberechtigten Nachforderungen gemahnt worden?
Wann hat die Bundesregierung erstmalig die betroffenen Steuerpflichtigen über die Datenschutzverletzung und die damit zusammenhängende Falschübermittlung informiert, und falls keine Information stattfand, warum nicht?
Was hat die Bundesregierung bisher unternommen, um die betroffenen Steuerpflichtigen vor den unberechtigten Nachforderungen zu schützen?
Beabsichtigt die Bundesregierung, den betroffenen Steuerpflichtigen in etwaigen gerichtlichen Verfahren gegen Letztere, diesen beizustehen, und wenn ja, wie?
Haben Steuerpflichtige bereits Schadensersatz von der Bundesregierung oder ihren nachgeordneten Behörden gefordert oder geltend gemacht, und falls ja, wie viele, und in welcher Höhe?
Wie oft sind seit dem 1. November 2021 bis heute weitere Daten im Verfahren OSS Nicht-EU an die EU übermittelt worden?
Kann die Bundesregierung ausschließen, dass es dabei zu weiteren Datenschutzverletzungen gekommen ist?