Änderung § 20a FVG vom 25.05.2018

§ 20a FVG a.F. (alte Fassung)
in der vor dem 25.05.2018 geltenden Fassung

§ 20a FVG n.F. (neue Fassung)
in der am 25.05.2018 geltenden Fassung
durch Artikel 16 G. v. 17.07.2017 BGBl. I S. 2541

(Textabschnitt unverändert)

§ 20a Druckdienstleistungen für Bundesfinanzbehörden

(Text alte Fassung)

(1) ¹ Das Bundesministerium der Finanzen (Auftraggeber) kann sich zum Drucken und Kuvertieren von Schriftstücken der Bundesfinanzbehörden und zu der anschließenden Übergabe der verschlossenen Schriftstücke an einen Postdienstleister (Druckdienstleistung) nach Maßgabe der folgenden Absätze einer nicht öffentlichen Stelle (Auftragnehmer) bedienen, soweit dies weder von der Bundesverwaltung noch durch automatische Einrichtungen der Behörden eines Landes oder eines anderen Verwaltungsträgers in wirtschaftlich vertretbarer Weise geleistet werden kann. ² Schriftstücke im Sinne dieser Vorschrift sind schriftliche Verwaltungsakte im Sinne des § 118 der Abgabenordnung und sonstige Schreiben, die im Verwaltungsverfahren gedruckt und versandt werden.

(2) ¹ Die Bundesfinanzbehörden bleiben für die Einhaltung der Vorschriften über das Steuergeheimnis und den Datenschutz verantwortlich. ² Die Tätigkeiten des Auftragnehmers oder eines etwaigen Unterauftragnehmers sind der jeweils sachlich und örtlich zuständigen Bundesfinanzbehörde zuzurechnen. ³ Der Auftrag soll im Inland ausgeführt werden.

(3) ¹ Eine Auftragserteilung ist nur zulässig, wenn die Datenverarbeitung im Rahmen der Druckdienstleistung nach Absatz 1 bei dem Auftragnehmer und einem etwaigen Unterauftragnehmer den Anforderungen genügt, die für den Auftraggeber gelten. ² Der Auftrag ist schriftlich zu erteilen, wobei insbesondere im Einzelnen festzulegen sind:

1. der Gegenstand und die Dauer des Auftrags,

2. der Umfang, die Art und der Zweck der vorgesehenen Verarbeitung von Daten, die Art der Daten und der Kreis der Betroffenen,

3. die zum Schutz dem Steuergeheimnis unterliegender Daten und Informationen in entsprechender Anwendung des § 9 des Bundesdatenschutzgesetzes zu treffenden technischen und organisatorischen Maßnahmen,

4. die Pflichten des Auftragnehmers und eines etwaigen Unterauftragnehmers, insbesondere die Löschung von Daten und die von ihm vorzunehmenden Kontrollen,

5. die Voraussetzungen für die Begründung von Unterauftragsverhältnissen einschließlich eines Zustimmungsvorbehalts des Auftraggebers,

6. die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers und etwaiger Unterauftragnehmer,

7. mitzuteilende Verstöße des Auftragnehmers oder eines etwaigen Unterauftragnehmers oder der bei ihnen beschäftigten Personen

a) gegen das Steuergeheimnis,

b) gegen andere datenschutzrechtliche Bestimmungen oder

c) gegen die im Auftrag getroffenen Festlegungen,

8. der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer und etwaigen Unterauftragnehmern vorbehält,

9. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer oder einem etwaigen Unterauftragnehmer gespeicherter Daten nach Beendigung des Auftrags,

10. die Erstellung eines durch den Auftraggeber freizugebenden IT-Sicherheitskonzeptes nach dem Standard des aktuellen IT-Grundschutzkatalogs des Bundesamtes für Sicherheit in der Informationstechnik.

(4) Die Auftragserteilung setzt außerdem voraus, dass der Auftragnehmer und ein etwaiger Unterauftragnehmer dem Auftraggeber schriftlich das Recht einräumt, hinsichtlich des Auftragsverhältnisses

1. Auskünfte bei ihm einzuholen,

2. während der Betriebs- oder Geschäftszeiten seine Grundstücke oder Geschäftsräume zu betreten und dort Besichtigungen und Prüfungen vorzunehmen,

3. geschäftliche Unterlagen sowie die gespeicherten Daten einzusehen und

4. Weisungen zu erteilen.

(5) ¹ Der Auftraggeber hat sich vor Beginn der Datenverarbeitung im Rahmen der Druckdienstleistung nach Absatz 1 und sodann regelmäßig von der Einhaltung der beim Auftragnehmer oder bei einem etwaigen Unterauftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. ² Das Ergebnis ist zu dokumentieren. ³ Der Auftraggeber ist verpflichtet, erforderlichenfalls Weisungen zur Ergänzung der beim Auftragnehmer oder bei einem etwaigen Unterauftragnehmer vorhandenen technischen und organisatorischen Maßnahmen zu erteilen.

(6) ¹ Die dem Auftragnehmer oder einem etwaigen Unterauftragnehmer überlassenen Daten sind entsprechend der vertraglich festgelegten Frist nach Abschluss der Druckdienstleistung zu löschen. ² Das Ergebnis der Druckdienstleistung ist vom Auftragnehmer oder von einem etwaigen Unterauftragnehmer zu protokollieren; diese Protokolldaten sind entsprechend der vertraglich festgelegten Frist an die vom Auftraggeber benannte Stelle zu übermitteln.

(7) Der Auftragnehmer oder ein etwaiger Unterauftragnehmer darf die zur Erbringung der Druckdienstleistung überlassenen Daten sowie die Protokolldaten nicht für andere Zwecke verarbeiten oder nutzen.

(8) ¹ Bei der Verarbeitung der Daten im Rahmen der Druckdienstleistung nach Absatz 1 dürfen nur solche Mitarbeiter des Auftragnehmers oder eines etwaigen Unterauftragnehmers tätig werden, die nach § 11 Absatz 1 Nummer 4 des Strafgesetzbuchs für den öffentlichen Dienst besonders verpflichtet sind. ² Es ist sicherzustellen, dass andere Mitarbeiter des Auftragnehmers oder eines etwaigen Unterauftragnehmers keine Kenntnis von den überlassenen Daten und den Protokolldaten erhalten können.

(9) Der Auftragnehmer oder ein etwaiger Unterauftragnehmer hat die zur Erbringung der Druckdienstleistung überlassenen Daten sowie die Protokolldaten logisch getrennt von anderen Daten des Unternehmens oder sonstiger Dritter zu speichern.

(Text neue Fassung)

(1) Das Bundesministerium der Finanzen darf sich zum Drucken und Kuvertieren von schriftlichen Verwaltungsakten im Sinne des § 118 der Abgabenordnung und sonstigen Schreiben im Verwaltungsverfahren nach der Abgabenordnung der Bundesfinanzbehörden und zu deren anschließenden verschlossenen Übergabe an einen Postdienstleister (Druckdienstleistung) nur dann einer nicht öffentlichen Stelle als Auftragsverarbeiter im Sinne des Artikels 4 Nummer 8 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72) in der jeweils geltenden Fassung im Rahmen eines Vertrages bedienen, wenn

1. die Druckdienstleistung insoweit weder von der Bundesverwaltung noch durch automatische Einrichtungen der Behörden eines Landes oder eines anderen Verwaltungsträgers in wirtschaftlich vertretbarer Weise geleistet werden kann,

2. geschützte Daten im Sinne des § 30 der Abgabenordnung ausschließlich durch Amtsträger oder nach § 11 Absatz 1 Nummer 4 des Strafgesetzbuchs für den öffentlichen Dienst besonders verpflichtete Personen verarbeitet werden,

3. die zur Erbringung der Druckdienstleistung überlassenen Daten sowie die Protokolldaten nicht für andere Zwecke verarbeitet werden,

4. die Druckdienstleistung im Inland stattfindet,

5. der Auftragsverarbeiter im Rahmen der Artikel 25 und 32 der Verordnung (EU) 2016/679 ein vom Bundesministerium der Finanzen freizugebendes IT-Sicherheitskonzept nach dem Standard des aktuellen IT-Grundschutzkatalogs des Bundesamtes für Sicherheit in der Informationstechnik erstellt hat,

6. der Auftragsverarbeiter die überlassenen Daten entsprechend der vertraglich festgelegten Frist nach Abschluss der Druckdienstleistung löscht und

7. das Ergebnis der Druckdienstleistung vom Auftragsverarbeiter protokolliert und diese Protokolldaten entsprechend der vertraglich festgelegten Frist an die vom Auftraggeber benannte Stelle übermittelt werden.

(2) Absatz 1 gilt entsprechend, wenn der Auftragsverarbeiter sich eines weiteren Auftragsverarbeiters bedienen will.