(1) ¹Das Bundesministerium der Finanzen (Auftraggeber) kann sich zum Drucken und Kuvertieren von Schriftstücken der Bundesfinanzbehörden und zu der anschließenden Übergabe der verschlossenen Schriftstücke an einen Postdienstleister (Druckdienstleistung) nach Maßgabe der folgenden Absätze einer nicht öffentlichen Stelle (Auftragnehmer) bedienen, soweit dies weder von der Bundesverwaltung noch durch automatische Einrichtungen der Behörden eines Landes oder eines anderen Verwaltungsträgers in wirtschaftlich vertretbarer Weise geleistet werden kann. ²Schriftstücke im Sinne dieser Vorschrift sind schriftliche Verwaltungsakte im Sinne des § 118 der Abgabenordnung und sonstige Schreiben, die im Verwaltungsverfahren gedruckt und versandt werden.

(2) ¹Die Bundesfinanzbehörden bleiben für die Einhaltung der Vorschriften über das Steuergeheimnis und den Datenschutz verantwortlich. ²Die Tätigkeiten des Auftragnehmers oder eines etwaigen Unterauftragnehmers sind der jeweils sachlich und örtlich zuständigen Bundesfinanzbehörde zuzurechnen. ³Der Auftrag soll im Inland ausgeführt werden.

(3) ¹Eine Auftragserteilung ist nur zulässig, wenn die Datenverarbeitung im Rahmen der Druckdienstleistung nach Absatz 1 bei dem Auftragnehmer und einem etwaigen Unterauftragnehmer den Anforderungen genügt, die für den Auftraggeber gelten. ²Der Auftrag ist schriftlich zu erteilen, wobei insbesondere im Einzelnen festzulegen sind:

1. 1.

   der Gegenstand und die Dauer des Auftrags,

2. 2.

   der Umfang, die Art und der Zweck der vorgesehenen Verarbeitung von Daten, die Art der Daten und der Kreis der Betroffenen,

3. 3.

   die zum Schutz dem Steuergeheimnis unterliegender Daten und Informationen in entsprechender Anwendung des § 9 des Bundesdatenschutzgesetzes zu treffenden technischen und organisatorischen Maßnahmen,

4. 4.

   die Pflichten des Auftragnehmers und eines etwaigen Unterauftragnehmers, insbesondere die Löschung von Daten und die von ihm vorzunehmenden Kontrollen,

5. 5.

   die Voraussetzungen für die Begründung von Unterauftragsverhältnissen einschließlich eines Zustimmungsvorbehalts des Auftraggebers,

6. 6.

   die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers und etwaiger Unterauftragnehmer,

7. 7.

   mitzuteilende Verstöße des Auftragnehmers oder eines etwaigen Unterauftragnehmers oder der bei ihnen beschäftigten Personen

   1. a)

      gegen das Steuergeheimnis,

   2. b)

      gegen andere datenschutzrechtliche Bestimmungen oder

   3. c)

      gegen die im Auftrag getroffenen Festlegungen,

8. 8.

   der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer und etwaigen Unterauftragnehmern vorbehält,

9. 9.

   die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer oder einem etwaigen Unterauftragnehmer gespeicherter Daten nach Beendigung des Auftrags,

10. 10.

    die Erstellung eines durch den Auftraggeber freizugebenden IT-Sicherheitskonzeptes nach dem Standard des aktuellen IT-Grundschutzkatalogs des Bundesamtes für Sicherheit in der Informationstechnik.

(4) Die Auftragserteilung setzt außerdem voraus, dass der Auftragnehmer und ein etwaiger Unterauftragnehmer dem Auftraggeber schriftlich das Recht einräumt, hinsichtlich des Auftragsverhältnisses

1. 1.

   Auskünfte bei ihm einzuholen,

2. 2.

   während der Betriebs- oder Geschäftszeiten seine Grundstücke oder Geschäftsräume zu betreten und dort Besichtigungen und Prüfungen vorzunehmen,

3. 3.

   geschäftliche Unterlagen sowie die gespeicherten Daten einzusehen und

4. 4.

   Weisungen zu erteilen.

(5) ¹Der Auftraggeber hat sich vor Beginn der Datenverarbeitung im Rahmen der Druckdienstleistung nach Absatz 1 und sodann regelmäßig von der Einhaltung der beim Auftragnehmer oder bei einem etwaigen Unterauftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. ²Das Ergebnis ist zu dokumentieren. ³Der Auftraggeber ist verpflichtet, erforderlichenfalls Weisungen zur Ergänzung der beim Auftragnehmer oder bei einem etwaigen Unterauftragnehmer vorhandenen technischen und organisatorischen Maßnahmen zu erteilen.

(6) ¹Die dem Auftragnehmer oder einem etwaigen Unterauftragnehmer überlassenen Daten sind entsprechend der vertraglich festgelegten Frist nach Abschluss der Druckdienstleistung zu löschen. ²Das Ergebnis der Druckdienstleistung ist vom Auftragnehmer oder von einem etwaigen Unterauftragnehmer zu protokollieren; diese Protokolldaten sind entsprechend der vertraglich festgelegten Frist an die vom Auftraggeber benannte Stelle zu übermitteln.

(7) Der Auftragnehmer oder ein etwaiger Unterauftragnehmer darf die zur Erbringung der Druckdienstleistung überlassenen Daten sowie die Protokolldaten nicht für andere Zwecke verarbeiten oder nutzen.

(8) ¹Bei der Verarbeitung der Daten im Rahmen der Druckdienstleistung nach Absatz 1 dürfen nur solche Mitarbeiter des Auftragnehmers oder eines etwaigen Unterauftragnehmers tätig werden, die nach § 11 Absatz 1 Nummer 4 des Strafgesetzbuchs für den öffentlichen Dienst besonders verpflichtet sind. ²Es ist sicherzustellen, dass andere Mitarbeiter des Auftragnehmers oder eines etwaigen Unterauftragnehmers keine Kenntnis von den überlassenen Daten und den Protokolldaten erhalten können.

(9) Der Auftragnehmer oder ein etwaiger Unterauftragnehmer hat die zur Erbringung der Druckdienstleistung überlassenen Daten sowie die Protokolldaten logisch getrennt von anderen Daten des Unternehmens oder sonstiger Dritter zu speichern.