(1) Die Zentralstelle für Sanktionsdurchsetzung darf, soweit dies zur Erfüllung ihrer Aufgaben nach diesem Gesetz erforderlich ist, personenbezogene Daten verarbeiten. Sie erhält die zur Erfüllung ihrer Aufgaben erforderlichen Informationen von anderen Behörden, sofern gesetzliche Verschwiegenheitspflichten dem nicht entgegenstehen. Für die Übermittlung personenbezogener Daten gilt § 25 des Bundesdatenschutzgesetzes.

(2) Die Deutsche Bundesbank, das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA), die Zentralstelle für Finanztransaktionsuntersuchungen, das Bundeskriminalamt, die Bundespolizei, die Bundesanstalt für Finanzdienstleistungsaufsicht, das Bundesamt für Güterverkehr, das Luftfahrt-Bundesamt, das Bundeszentralamt für Steuern, die Landesfinanzbehörden und die Behörden der Zollverwaltung dürfen für Zwecke der Durchsetzung der vom Rat der Europäischen Union im Bereich der Gemeinsamen Außen- und Sicherheitspolitik beschlossenen wirtschaftlichen Sanktionsmaßnahmen personenbezogene Daten unter entsprechender Beachtung von § 12 Absatz 2 und 3 des Bundeskriminalamtgesetzes an die Zentralstelle für Sanktionsdurchsetzung übermitteln; gesetzliche Verschwiegenheitspflichten, soweit sie nicht auf Vorschriften der Europäischen Union beruhen, stehen insoweit nicht entgegen. Satz 1 gilt entsprechend für das Bundesamt für Verfassungsschutz und den Bundesnachrichtendienst, soweit tatsächliche Anhaltspunkte dafür bestehen, dass die Übermittlung erforderlich ist zur Verhütung von besonders schweren Straftaten nach § 100b Absatz 2 Nummer 4 der Strafprozessordnung sowie von Straftaten nach § 18 Absatz 1 Nummer 1 Buchstabe a und c des Außenwirtschaftsgesetzes.

(3) Die Zentralstelle für Sanktionsdurchsetzung kann für die Dauer einer befristeten projektbezogenen Zusammenarbeit mit den in Absatz 2 genannten Behörden gemeinsame Dateien errichten und den Informationsaustausch nach Absatz 1 Satz 2 automatisieren. Die projektbezogene Zusammenarbeit bezweckt nach Maßgabe der Aufgaben und Befugnisse der beteiligten Behörden den Austausch und die gemeinsame Auswertung von Erkenntnissen, um bereichsspezifisch für einen konkreten Sanktionssachverhalt Risikoprofile erstellen und auf diese Weise gezielt und risikobasiert eine drohende Verschleierung der wirtschaftlichen Berechtigung an Geldern oder wirtschaftlichen Ressourcen durch Maßnahmen nach den §§ 2 und 3 ermitteln zu können, insbesondere, um bei komplexen Unternehmenskonstruktionen, die der Verschleierung von Vermögen dienen könnten, den wirtschaftlich Berechtigten ermitteln zu können. Eine Teilnahme des Bundesamtes für Verfassungsschutz und des Bundesnachrichtendienstes ist auf die in Absatz 2 Satz 2 genannten Zwecke beschränkt. In der gemeinsamen Datei enthaltene personenbezogene Daten dürfen von den an der projektbezogenen Zusammenarbeit beteiligten Behörden ausschließlich zu den in Satz 2 genannten Zwecken und nur im Rahmen ihrer jeweiligen Befugnisse weiterverarbeitet werden, soweit dies in diesem Zusammenhang zur Erfüllung ihrer Aufgaben erforderlich ist. Bei der Weiterverarbeitung der personenbezogenen Daten finden für die beteiligten Behörden die jeweils für sie geltenden Vorschriften über die Weiterverarbeitung von Daten Anwendung. Für die Eingabe personenbezogener Daten in die gemeinsame Datei gelten die jeweiligen Übermittlungsvorschriften zugunsten der an der Zusammenarbeit beteiligten Behörden entsprechend mit der Maßgabe, dass die Eingabe nur zulässig ist, wenn die Daten allen an der projektbezogenen Zusammenarbeit teilnehmenden Behörden übermittelt werden dürfen. Eine Eingabe ist ferner nur zulässig, wenn die Behörde, die die Daten eingegeben hat, die Daten auch in eigenen Dateien weiterverarbeiten darf. Die Daten sind zu kennzeichnen. Für die Führung einer projektbezogenen gemeinsamen Datei durch die Zentralstelle für Sanktionsdurchsetzung gelten § 29 Absatz 5, die §§ 31 und 86 des Bundeskriminalamtgesetzes entsprechend und mit der Maßgabe, dass die Datei von der Zentralstelle für Sanktionsdurchsetzung geführt wird. Hinsichtlich der Protokollierung der Datenabrufe gilt § 76 des Bundesdatenschutzgesetzes entsprechend. Die gemeinsamen Dateien sind auf höchstens zwei Jahre zu befristen. Die Frist kann um zwei Jahre und danach um ein weiteres Jahr verlängert werden, wenn das Ziel der projektbezogenen Zusammenarbeit bei Projektende noch nicht erreicht worden ist und die Datei weiterhin für die Erreichung des Ziels erforderlich ist. Nach Ablauf der Frist sind die gemeinsamen Dateien durch die Zentralstelle für Sanktionsdurchsetzung zu löschen. Für die Berichtigung und Verarbeitungseinschränkung personenbezogener Daten durch die Behörde, die die Daten eingegeben hat, gelten die jeweiligen für sie anwendbaren Vorschriften über die Berichtigung und Verarbeitungseinschränkung von Daten entsprechend. Für Daten, die die Zentralstelle für Sanktionsdurchsetzung eingegeben hat, findet § 75 Absatz 1 und 2 des Bundesdatenschutzgesetzes Anwendung. Die Zentralstelle für Sanktionsdurchsetzung hat mit Zustimmung des Bundesministeriums der Finanzen sowie der für die Fachaufsicht der zusammenarbeitenden Behörden jeweils zuständigen obersten Bundes- und Landesbehörden für die projektbezogenen gemeinsamen Dateien folgende Festlegungen zu treffen: