Fundstelle GVBl. 2019 S. 150

601-2-F

Verordnung zur Änderung der Steuer-Zuständigkeitsverordnung

Vom 29. März 2019

Auf Grund des § 17 Abs. 2 Satz 3 und 4 und Abs. 3 Satz 1 des Finanzverwaltungsgesetzes (FVG) in der Fassung der Bekanntmachung vom 4. April 2006 (BGBl. I S. 846, 1202), das zuletzt durch Art. 10 des Gesetzes vom 17. Dezember 2018 (BGBl. I S. 2522) geändert worden ist, in Verbindung mit § 3 Nr. 3 der Delegationsverordnung (DelV) vom 28. Januar 2014 (GVBl. S. 22, BayRS 103-2-V), die zuletzt durch § 2 der Verordnung vom 2. Oktober 2018 (GVBl. S. 745) geändert worden ist, verordnet das Bayerische Staatsministerium der Finanzen und für Heimat:

§ 1

Die Steuer-Zuständigkeitsverordnung (ZustVSt) vom 1. Dezember 2005 (GVBl. S. 596, BayRS 601-2-F), die zuletzt durch Verordnung vom 15. Dezember 2017 (GVBl. 2018 S. 17) geändert worden ist, wird wie folgt geändert:

1.Dem § 3 wird folgender Abs. 4 angefügt:

„(4) Soweit das Rechenzentrum Nord im Rahmen seiner Tätigkeit nach den Abs. 2 und 3 selbst über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet – insbesondere durch Entwicklung und Einsatz von IT-Programmen – , ist es Verantwortlicher im Sinne des Art. 4 Nr. 7 der Verordnung (EU) 2016/679 (DSGVO).“

2.Nach § 3 wird folgender § 3a eingefügt:

㤠3a

Auftragsverarbeitung durch staatliche Rechenzentren

(1) ¹Die Abs. 2 bis 12 gelten,

1.wenn kein Fall des § 3 Abs. 4 vorliegt und das Rechenzentrum Nord personenbezogene Daten für die Behörden der Finanzverwaltung als Auftragsverarbeiter im Sinne des Art. 28 DSGVO verarbeitet, oder

2.wenn Steuerverwaltungstätigkeiten, soweit sie mit Hilfe von Informations- und Kommunikationstechnik erledigt werden, auf ein anderes staatliches Rechenzentrum übertragen werden und dieses personenbezogene Daten für die Behörden der Finanzverwaltung als Auftragsverarbeiter im Sinne des Art. 28 DSGVO verarbeitet.

²Mittels individualvertraglicher Vereinbarung kann von den Abs. 2 bis 12 abgewichen werden. ³Bereits bestehende Auftragsverarbeitungsverhältnisse werden zum 1. Mai 2019 für ungültig erklärt.

(2) Verantwortlicher und Auftragsverarbeiter der Auftragsverarbeitung nach Art. 28 DSGVO haben auf die Interessen des jeweils anderen und möglicher weiterer Betroffener angemessen Rücksicht zu nehmen und sich gegebenenfalls abzustimmen.

(3) ¹Zur Begründung eines Auftragsverarbeitungsverhältnisses teilt der Verantwortliche dem Auftragsverarbeiter in Textform mit

1.Gegenstand und Dauer der Verarbeitung,

2.Art und Zweck der Verarbeitung,

3.die Art der personenbezogenen Daten und

4.die Kategorien betroffener Personen.

²Satz 1 gilt auch, wenn sich die mitzuteilenden Angaben wesentlich ändern. ³Der Auftragsverarbeiter führt ein Verzeichnis sämtlicher Verarbeitungstätigkeiten, die er als Auftragsverarbeiter ausführt und aus dem sich die Angaben aus Satz 1 ergeben.

(4) ¹Der Auftragsverarbeiter verarbeitet personenbezogene Daten nach den gesetzlichen Vorgaben – insbesondere unter Wahrung der datenschutzrechtlichen Bestimmungen und des Steuergeheimnisses – und auf Weisung des Verantwortlichen. ²Er hat die Weisungen zu dokumentieren. ³Er informiert den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen Datenschutzbestimmungen verstößt.

(5) Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen Maßnahmen.

(6) Der Auftragsverarbeiter gewährleistet die Verschwiegenheit der zur Verarbeitung personenbezogener Daten befugten Personen, indem diese Amtsträger nach § 11 Abs. 1 Nr. 2 des Strafgesetzbuches (StGB) oder für den öffentlichen Dienst besonders Verpflichtete nach § 11 Abs. 1 Nr. 4 StGB sind.

(7) ¹Der Auftragsverarbeiter ist allgemein berechtigt, weitere Auftragsverarbeiter in Anspruch zu nehmen. ²Er informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter. ³Der Verantwortliche kann gegen derartige Änderungen innerhalb eines Monats Einspruch beim Auftragsverarbeiter erheben. ⁴Wird dem Einspruch nicht abgeholfen, kann sich der Verantwortliche an die für den Auftragsverarbeiter zuständige oberste Landesbehörde wenden oder das Auftragsverarbeitungsverhältnis beenden, soweit keine Vorschriften entgegenstehen.

(8) ¹Der Auftragsverarbeiter hat einem weiteren Auftragsverarbeiter die gleichen Datenschutzpflichten aufzuerlegen, die ihm aufgrund des Auftragsverarbeitungsverhältnisses zwischen ihm und dem Verantwortlichen obliegen. ²Für Verletzungen der Datenschutzpflicht des weiteren Auftragsverarbeiters ist der Auftragsverarbeiter verantwortlich.

(9) Der Auftragsverarbeiter unterstützt den Verantwortlichen

1.angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person und

2.unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten.

(10) Der Auftragsverarbeiter hat nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, sofern keine entgegenstehenden Regelungen zur Speicherung der personenbezogenen Daten bestehen.

(11) ¹Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung. ²Er ermöglicht Überprüfungen – einschließlich Inspektionen –, die von dem Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden.

(12) ¹Verarbeitet ein Auftragsverarbeiter personenbezogene Daten mehrerer Verantwortlicher, so bestimmen diese aus ihrem Kreis einen oder mehrere Prüfer oder beauftragen einen oder mehrere externe Prüfer zur Durchführung der möglichen Überprüfungen nach Abs. 11 Satz 2. ²Das Ergebnis der Überprüfung ist allen Verantwortlichen dieses Kreises zur Verfügung zu stellen. ³Das Recht eines Verantwortlichen, eigene Überprüfungen durchzuführen, bleibt unberührt.“

3.Anlage 1 wird wie folgt geändert:

a)In Nr.1 Spalte 2 werden die Wörter „Finanzamt Berchtesgaden“ durch die Wörter „Finanzamt Berchtesgaden-Laufen“ ersetzt.

b)In Nr. 21 Spalte 2 werden die Wörter „Finanzamt Wolfratshausen“ durch die Wörter „Finanzamt Wolfratshausen-Bad Tölz“ ersetzt.

c)In Nr. 72 Spalte 2 werden die Wörter „Finanzamt Kempten (Allgäu)“ durch die Wörter „Finanzamt Kempten-Immenstadt“ ersetzt.

d)In Nr. 74 Spalte 2 werden die Wörter „Finanzamt Memmingen“ durch die Wörter „Finanzamt Memmingen-Mindelheim“ ersetzt.

4.Anlage 3 Nr. 14 wird wie folgt geändert:

a)In den Spalten 3 und 4 werden die Buchst. e und f durch die nachfolgenden Buchst. e bis h ersetzt:

b)Die bisherigen Buchst. g bis p werden die Buchst. i bis r.

§ 2

Diese Verordnung tritt am 1. Mai 2019 in Kraft.

München, den 29. März 2019

Bayerisches Staatsministerium der Finanzen und für Heimat

Albert Füracker, Staatsminister