§ 10 Tätigkeit der Bundesanstalt im Steuerbereich, Auftragsverarbeitung

(1) Soweit die Bundesanstalt für andere Bundesfinanzbehörden

1.: automatisierte Verfahren zur Verarbeitung von Daten, die nach § 30 der Abgabenordnung dem Steuergeheimnis unterliegen, entwickelt oder
2.: technische Hilfstätigkeiten im Sinne des § 20 Absatz 3 Satz 3 bis 5 des Finanzverwaltungsgesetzes erbringt,

unterliegt sie als Bundesfinanzbehörde allein den Weisungen des Bundesministeriums der Finanzen. § 8 Absatz 2 ist insoweit nicht anzuwenden.

(2) Geschützte Daten im Sinne des § 30 der Abgabenordnung dürfen in der Bundesanstalt ausschließlich durch Amtsträger im Sinne des § 7 der Abgabenordnung oder durch solche Personen verarbeitet werden, die nach § 11 Absatz 1 Nummer 4 des Strafgesetzbuchs für den öffentlichen Dienst besonders verpflichtet sind.

(3) Zur Erbringung von Leistungen im Sinne des Absatzes 1 für andere Bundesfinanzbehörden darf sich die Bundesanstalt nur unter folgenden Voraussetzungen eines Auftragsverarbeiters im Sinne des Artikels 4 Nummer 8 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72) in der jeweils geltenden Fassung bedienen:

1.: das Bundesministerium der Finanzen oder die von ihm bestimmte Stelle der Bundesfinanzverwaltung muss der Beauftragung eines Auftragsverarbeiters zugestimmt haben,
2.: die technische Hilfstätigkeit kann weder von der Bundesverwaltung noch durch automatische Einrichtungen der Behörden eines Landes oder eines anderen Verwaltungsträgers in wirtschaftlich vertretbarer Weise geleistet werden,
3.: nach § 30 der Abgabenordnung dem Steuergeheimnis unterliegende Daten dürfen beim Auftragsverarbeiter ausschließlich durch Amtsträger im Sinne des § 7 der Abgabenordnung oder durch solche Personen verarbeitet werden, die nach § 11 Absatz 1 Nummer 4 des Strafgesetzbuchs für den öffentlichen Dienst besonders verpflichtet sind,
4.: die dem Auftragsverarbeiter überlassenen Daten, die von ihm für eine Bundesfinanzbehörde verarbeiteten Daten sowie die Protokolldaten dürfen nicht für andere Zwecke verarbeitet werden,
5.: die Verarbeitung nach § 30 der Abgabenordnung dem Steuergeheimnis unterliegender Daten durch den Auftragsverarbeiter muss im Inland stattfinden,
6.: der Auftragsverarbeiter muss im Rahmen der Artikel 25 und 32 der Verordnung (EU) 2016/679 ein vom Bundesministerium der Finanzen freizugebendes IT-Sicherheitskonzept nach dem Standard des aktuellen IT-Grundschutzkatalogs des Bundesamtes für Sicherheit in der Informationstechnik erstellt haben,
7.: der Auftragsverarbeiter muss die ihm überlassenen Daten entsprechend der vertraglich festgelegten Frist nach Abschluss der Leistung löschen und
8.: das Ergebnis der Datenverarbeitung muss vom Auftragsverarbeiter protokolliert werden und diese Protokolldaten müssen entsprechend der vertraglich festgelegten Frist an die Bundesanstalt oder die von ihr benannte Stelle übermittelt werden.