§ 20a FVG

(1) Das Bundesministerium der Finanzen darf sich zum Drucken und Kuvertieren von schriftlichen Verwaltungsakten im Sinne des § 118 der Abgabenordnung und sonstigen Schreiben im Verwaltungsverfahren nach der Abgabenordnung der Bundesfinanzbehörden und zu deren anschließenden verschlossenen Übergabe an einen Postdienstleister (Druckdienstleistung) nur dann einer nicht öffentlichen Stelle als Auftragsverarbeiter im Sinne des Artikels 4 Nummer 8 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2; L 47 vom 4.3.2021, S. 35) in der jeweils geltenden Fassung im Rahmen eines Vertrages bedienen, wenn

1.

die Druckdienstleistung insoweit weder von der Bundesverwaltung noch durch automatische Einrichtungen der Behörden eines Landes oder eines anderen Verwaltungsträgers in wirtschaftlich vertretbarer Weise geleistet werden kann,

2.

geschützte Daten im Sinne des § 30 der Abgabenordnung ausschließlich durch Amtsträger oder nach § 11 Absatz 1 Nummer 4 des Strafgesetzbuchs für den öffentlichen Dienst besonders verpflichtete Personen verarbeitet werden,

3.

die zur Erbringung der Druckdienstleistung überlassenen Daten sowie die Protokolldaten nicht für andere Zwecke verarbeitet werden,

4.

die Druckdienstleistung im Inland stattfindet,

5.

der Auftragsverarbeiter im Rahmen der Artikel 25 und 32 der Verordnung (EU) 2016/679 ein vom Bundesministerium der Finanzen freizugebendes IT-Sicherheitskonzept nach dem Standard des aktuellen IT-Grundschutzkompendiums des Bundesamtes für Sicherheit in der Informationstechnik erstellt hat,

6.

der Auftragsverarbeiter die überlassenen Daten entsprechend der vertraglich festgelegten Frist nach Abschluss der Druckdienstleistung löscht und

7.

das Ergebnis der Druckdienstleistung vom Auftragsverarbeiter protokolliert und diese Protokolldaten entsprechend der vertraglich festgelegten Frist an die vom Auftraggeber benannte Stelle übermittelt werden.

(2) Absatz 1 gilt entsprechend, wenn der Auftragsverarbeiter sich eines weiteren Auftragsverarbeiters bedienen will.