DIE EUROPÄISCHE KOMMISSION —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) Nr. 904/2010 des Rates vom 7. Oktober 2010 über die Zusammenarbeit der Verwaltungsbehörden und die Betrugsbekämpfung auf dem Gebiet der Mehrwertsteuer  , insbesondere auf Artikel 24e,

in Erwägung nachstehender Gründe:

1Mit der Richt­linie 2006/112/EG des Rates    in der durch die Richt­linie (EU) 2020/284   geänderten Fassung werden für Zahlungs­dienst­leister mit Wirkung vom 1. Januar 2024 Melde­pflichten einge­führt. Ab dem genannten Datum müssen Zahlungs­dienst­leister, die in der Europäi­schen Union nieder­ge­lassen sind oder dort Zahlungs­dienste anbieten, bestimmte Aufzeich­nungen über grenz­über­schrei­tende Zahlungen von Zahlern in Mitglied­staaten sowie über bestimmte Infor­ma­tionen zu den Zahlungs­emp­fängern führen und diese Aufzeich­nungen für die Zwecke der Bekämpfung von Mehrwert­steu­er­betrug an die Mitglied­staaten übermitteln.

2Die Verordnung (EU) Nr. 904/2010 in der durch die Verordnung (EU) 2020/283   geänderten Fassung sieht vor, dass die Mitglied­staaten diese Infor­ma­tionen an ein zentrales elektro­ni­sches Zahlungs­in­for­ma­ti­ons­system („CESOP“) übermitteln, das von der Kommission zu entwi­ckeln, zu pflegen, zu hosten und technisch zu verwalten ist.

3Zur Gewähr­leistung des reibungs­losen Funktio­nierens des CESOP und gemäß Artikel 24e Buchstabe a der Verordnung (EU) Nr. 904/2010 sind die techni­schen Maßnahmen zur Einrichtung des CESOP festzu­legen. Diese Maßnahmen sollten die erfor­der­lichen CESOP-Funktio­na­li­täten für die in Artikel 24c der Verordnung (EU) Nr. 904/2010 genannten System­funk­tionen vorsehen. Die Maßnahmen sollten außerdem ein hohes Maß an Nutzer­freund­lichkeit sicher­stellen, indem in CESOP Such- und Visua­li­sie­rungs­tools angeboten werden. Des Weiteren sollte das CESOP den Infor­ma­ti­ons­aus­tausch zwischen Eurofisc-Verbin­dungs­be­amten dahin­gehend ermög­lichen, dass diese direkt im CESOP rasch und sicher Infor­ma­tionen zu Mehrwert­steu­er­betrug austau­schen können. Ebenfalls festzu­legen sind die Maßnahmen, welche die Kommission nach der Einführung des CESOP im Hinblick auf dessen Pflege durch­führen sollte, um die opera­tiven Quali­täts­stan­dards der IT-Infra­struktur des CESOP und seiner Funktio­na­li­täten zu gewähr­leisten und dafür Sorge zu tragen, dass im Fall von Problemen mit der System­ver­bindung zwischen Kommission und Mitglied­staaten die nötigen Updates gemacht werden.

4Während die Mitglied­staaten als Verant­wort­liche für das CESOP für dessen Verwaltung zuständig sind, nimmt die Kommission gemäß Artikel 24e Buchstabe b der Verordnung (EU) Nr. 904/2010 eine Reihe von Aufgaben wahr, die sich auf die technische Verwaltung des CESOP als dessen Host und Auftrags­ver­ar­beiter beschränken. Diese sollten die für die tägliche Verwaltung des CESOP erfor­der­lichen techni­schen Aufgaben umfassen, zum Beispiel das Führen von Aufzeich­nungen zur Identi­fi­zierung der Eurofisc-Verbin­dungs­be­amten, die Zugang zum CESOP haben, das Führen von Aufzeich­nungen über die Zahlungs­dienst­leister, die Daten an Mitglied­staaten übermittelt haben, die Festlegung geeig­neter organi­sa­to­ri­scher Sicher­heits­maß­nahmen für das CESOP sowie die Ergreifung der nötigen Schulungs- und Unter­stüt­zungs­maß­nahmen für die Eurofisc-Verbin­dungs­be­amten im Hinblick auf die effektive Nutzung des CESOP.

5Gemäß Artikel 24b Absatz 1 Buchstabe b der Verordnung (EU) Nr. 904/2010 haben die Mitglied­staaten die Daten mittels eines elektro­ni­schen Standard­for­mulars an das CESOP zu übermitteln. Die von den Zahlungs­dienst­leistern im XML-Format zu meldenden Daten­ele­mente sollten festgelegt werden. Um die Gesam­t­ope­ra­bi­lität zwischen den natio­nalen elektro­ni­schen Systemen und dem CESOP gemäß Artikel 24b Absatz 3 der Verordnung (EU) Nr. 904/2010 sicher­zu­stellen, sollten die Mitglied­staaten überprüfen, ob die von den Zahlungs­dienst­leistern übermit­telten Daten die obliga­to­ri­schen und syntak­tisch korrekten Daten­ele­mente gemäß Artikel 243d der Richt­linie 2006/112/EG enthalten, da CESOP nur dann funktio­nieren kann, wenn die obliga­to­ri­schen Daten korrekt im CESOP erfasst sind.

6Die Mitglied­staaten sollten die Eurofisc-Verbin­dungs­be­amten, die Zugang zum CESOP haben werden, benennen und ihre Entscheidung der Kommission mitteilen. Die Kommission sollte diesen Beamten eine eindeutige Kennung für den Zugang zum CESOP zuteilen und, basierend auf den Infor­ma­tionen der Mitglied­staaten, eine Liste aller Eurofisc-Verbin­dungs­be­amten führen, die Zugang zum CESOP haben.

7Gemäß Artikel 24e Buchstabe g der Verordnung (EU) Nr. 904/2010 hat die Kommission Verfahren festzu­legen, um die Anwendung geeig­neter techni­scher und organi­sa­to­ri­scher Sicher­heits­maß­nahmen für die Entwicklung und den Betrieb des CESOP zu gewähr­leisten. Einige Sicher­heits­a­spekte zentraler Kompo­nenten des CESOP hängen auch von der Durch­führung natio­naler Sicher­heits­maß­nahmen ab, beispiels­weise Maßnahmen zur Kontrolle der Sicherheit der übermit­telten Daten sowie Maßnahmen, die gewähr­leisten, dass ausschließlich die Eurofisc-Verbin­dungs­be­amten mit einer gültigen eindeu­tigen Kennung Zugang zum CESOP haben. Daher sollten die Mitglied­staaten der Kommission Infor­ma­tionen über ihre eigenen Sicher­heits­maß­nahmen zur Verfügung stellen. Die Mitglied­staaten und die Kommission sollten einander über die ergrif­fenen Sicher­heits­maß­nahmen und über die etwaige Notwen­digkeit von Verbes­se­rungen dieser Maßnahmen auf dem Laufenden halten.

8Die Verar­beitung perso­nen­be­zo­gener Daten im Rahmen dieser Verordnung sowie die Zustän­dig­keiten der Mitglied­staaten und der Kommission sind in der Verordnung (EU) 2016/679 des Europäi­schen Parla­ments und des Rates   und in der Verordnung (EU) 2018/1725 des Europäi­schen Parla­ments und des Rates   geregelt. Gemäß Artikel 24e Buchstabe h der Verordnung (EU) Nr. 904/2010 sollten die Aufgaben und Zustän­dig­keiten der Mitglied­staaten und der Kommission in Bezug auf die Funktionen des Verant­wort­lichen für das CESOP festgelegt werden. Die Mitglied­staaten sollten gemeinsam als Verant­wort­liche für das CESOP betrachtet werden, da sie über die Mittel der Verar­beitung und Nutzung der Daten im CESOP entscheiden. Die Kommission sollte als Auftrags­ver­ar­beiter betrachtet werden, da sie bei der Wahrnehmung all ihrer Aufgaben im Namen der Mitglied­staaten handelt.

9Diese Verordnung sollte erst ab dem 1. Januar 2024 gelten, damit ihr Geltungs­beginn an den Anwen­dungs­beginn der Verordnung (EU) 2020/283 und der Richt­linie (EU) 2020/284 angeglichen ist.

10Der Europäische Daten­schutz­be­auf­tragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 konsul­tiert und hat am 2. Februar 2022 eine Stellung­nahme abgegeben.

11Die in dieser Verordnung vorge­se­henen Maßnahmen entsprechen der Stellung­nahme des Ständigen Ausschusses für die Zusam­men­arbeit der Verwal­tungs­be­hörden —

HAT FOLGENDE VERORDNUNG ERLASSEN:

Artikel 1
Technische Maßnahmen zur Einrichtung und Pflege des CESOP

1Die Kommission entwickelt technische Maßnahmen zur Einrichtung des CESOP mit folgenden Funktionalitäten:

1. Erfassung der von den Mitglied­staaten übermit­telten Zahlungs­daten;
2. sichere Speicherung der Zahlungs­daten für höchstens fünf Jahre nach Ende des Kalen­der­jahres, in dem die Mitglied­staaten die Infor­ma­tionen an das System übermittelt haben;
3. Berei­nigung der Zahlungs­daten in Bezug auf Anomalien und Fehler, einschließlich Doppe­ler­fas­sungen derselben Zahlung;
4. Aggre­gation der Zahlungs­daten für jeden einzelnen Zahlungs­emp­fänger;
5. Such- und Visua­li­sie­rungs­funk­tionen für die Zahlungs­daten im CESOP;
6. Analyse der Zahlungs­daten und deren Abgleich mit den gemäß Artikel 17 Absatz 1 Buchstaben a, b, d, e und f sowie Artikel 33 Absatz 2 Buchstabe b der Verordnung (EU) Nr. 904/2010 gespei­cherten und ausge­tauschten Daten;
7. automa­tische Analysen und Kennzeichnung verdäch­tiger Zahlungs­emp­fänger;
8. Möglichkeit für die Eurofisc-Verbin­dungs­be­amten, nicht automa­ti­sierte Kontrollen und Analysen vorzu­nehmen;
9. Generierung von Berichten über die Ergeb­nisse der vom CESOP und von den Eurofisc-Verbin­dungs­be­amten durch­ge­führten Analysen und Kontrollen;
10. Bereit­stellung einer Infra­struktur zur Zugangs­kon­troll­ver­waltung für die Eurofisc-Verbin­dungs­be­amten;
11. Möglichkeit für die Eurofisc-Verbin­dungs­be­amten, Infor­ma­tionen bezüglich Unter­su­chungen zu grenz­über­schrei­tendem Mehrwert­steu­er­betrug und der Aufde­ckung solcher Fälle direkt im CESOP auszut­au­schen;
12. Bereit­stellung der techni­schen Infra­struktur für die Mitglied­staaten zur Verwaltung der Zugangs­rechte ihrer Eurofisc-Verbin­dungs­be­amten.

2Die Kommission nimmt im Rahmen der Pflege des CESOP folgende Aufgaben wahr:

1. Gewähr­leistung des ordnungs­ge­mäßen Betriebs des CESOP und seiner Funktio­na­li­täten;
2. Sicher­stellen der Wartung außerhalb der Arbeits­zeiten;
3. Durch­führung erfor­der­licher techni­scher Updates für das reibungslose Funktio­nieren des CESOP und zu dessen Verbes­serung;
4. Behebung techni­scher Probleme.

Artikel 2
Aufgaben der Kommission im Rahmen der technischen Verwaltung des CESOP

Die Kommission nimmt im Rahmen der technischen Verwaltung des CESOP folgende Aufgaben wahr:

1. Verwahrung und Aktua­li­sierung der Liste der Eurofisc-Verbin­dungs­be­amten mit Zugang zum CESOP und deren eindeu­tiger persön­licher Nutzer­kennung gemäß Artikel 5;
2. Durch­führung der organi­sa­to­ri­schen und techni­schen Sicher­heits­maß­nahmen gemäß Artikel 6;
3. Erstellung, Verwahrung und Pflege einer Liste der Zahlungs­dienst­leister, die gemäß Artikel 24b Absatz 1 der Verordnung (EU) Nr. 904/2010 Daten übermittelt haben, basierend auf den von den Mitglied­staaten bereit­ge­stellten Daten;
4. Gewährung eines automa­ti­schen Zugangs für die Eurofisc-Verbin­dungs­be­amten mit Zugang zum CESOP zu der gemäß Buchstabe c gepflegten Liste;
5. technische Unter­stützung der Eurofisc-Verbin­dungs­be­amten bei der Nutzung des CESOP;
6. Bereit­stellung von Schulungen für die Eurofisc-Verbin­dungs­be­amten in Bezug auf die Nutzung des CESOP.

Artikel 3
Verbindung und Gesamtinteroperabilität zwischen dem CESOP und den nationalen elektronischen Systemen

1Die Mitgliedstaaten treffen alle erforderlichen Maßnahmen, um sicherzustellen, dass die gemäß Artikel 24b Absatz 2 der Verordnung (EU) Nr. 904/2010 eingerichteten nationalen elektronischen Systeme zur Erhebung von Zahlungsinformationen funktionsfähig und in der Lage sind, die Zahlungsinformationen gemäß Artikel 24b Absatz 1 der genannten Verordnung zu erheben.

2Die Mitgliedstaaten übermitteln an das CESOP ausschließlich vollständige Zahlungsinformationen, bei denen alle obligatorischen Felder gemäß Artikel 243d der Richtlinie 2006/112/EG ausgefüllt sind und die den Anforderungen im Anhang der vorliegenden Verordnung entsprechen.

3Die Kommission gewährleistet die Interoperabilität zwischen dem CESOP und den in Absatz 1 genannten nationalen elektronischen Systemen.

Artikel 4
Elektronisches Standardformular

Das in Artikel 24b Absatz 1 Buchstabe b der Verordnung (EU) Nr. 904/2010 genannte elektronische Standardformular ist in einem standardisierten XML-​Format gemäß der Datentabelle im Anhang der vorliegenden Verordnung zu übermitteln.

Artikel 5

Praktische Modalitäten hinsichtlich der Eurofisc-​Verbindungsbeamten, die Zugang zum CESOP haben werden

1Die Mitgliedstaaten benennen die Eurofisc-​Verbindungsbeamten, die Zugang zum CESOP haben werden, und teilen der Kommission deren Namen und E-​Mail-​Adressen mit.

2Die Mitgliedstaaten informieren die Kommission über etwaige Änderungen der in Absatz 1 genannten Angaben, einschließlich Änderungen bei den benannten Eurofisc-​Verbindungsbeamten, rechtzeitig und spätestens 30 Kalendertage nach der betreffenden Änderung.

3Die Kommission teilt den in Absatz 1 genannten Eurofisc-​Verbindungsbeamten unverzüglich eine eindeutige persönliche Nutzerkennung für den Zugang zum CESOP zu.

Artikel 6
Verfahren für die technischen und organisatorischen Sicherheitsmaßnahmen für die Entwicklung und den Betrieb des CESOP

1Die Mitgliedstaaten stellen der Kommission Informationen zur Anwendung und zu jeder Aktualisierung ihrer eigenen Sicherheitsmaßnahmen auf nationaler Ebene zur Verfügung.

Diese Informationen müssen Einzelheiten zu den Maßnahmen umfassen, die sicherstellen sollen, dass ausschließlich die in Artikel 5 genannten Eurofisc-​Verbindungsbeamten Zugang zum CESOP haben, sowie Einzelheiten zu den Maßnahmen, die die Verschlüsselung der von den Mitgliedstaaten übermittelten Daten sicherstellen sollen.

2Die Kommission informiert die Mitgliedstaaten bis zum 30. April jedes Jahres ab dem Jahr nach Geltungsbeginn dieser Verordnung über die Maßnahmen, die zur Gewährleistung der Sicherheit des CESOP ergriffen wurden.

Diese Informationen müssen mindestens Folgendes umfassen:

1. die im Vorjahr einge­tre­tenen Sicher­heits­vor­fälle und die Art und Weise, wie diese behoben wurden;
2. Einzel­heiten zu getrof­fenen Sicher­heits­maß­nahmen oder Änderungen beste­hender Sicher­heits­maß­nahmen;
3. eine Bewertung der beste­henden Sicher­heits­maß­nahmen und eine Beurteilung, ob nach Ansicht der Kommission Änderungen dieser Maßnahmen erfor­derlich sind.

Artikel 7
Aufgaben und Zuständigkeiten der Verantwortlichen und des Auftragsverarbeiters

1Die Mitgliedstaaten sind gemeinsam die für das CESOP Verantwortlichen im Sinne der Definition in Artikel 4 Nummer 7 der Verordnung (EU) 2016/679. Die Zuständigkeiten der für das CESOP Verantwortlichen legen Letztere in einer gemeinsamen Vereinbarung fest, die ihre Informationspflichten gemäß den Artikeln 13 und 14 der Verordnung (EU) 2016/679 sowie die Modalitäten der Wahrnehmung von Rechten durch die betroffenen Personen enthalten muss.

Die Mitgliedstaaten haben folgende Zuständigkeiten:

1. Erstellung der techni­schen Spezi­fi­ka­tionen des CESOP und bei Bedarf deren Anpassung, damit die Kommission folgende Aufgaben durch­führen kann:
   1. Einrichtung und Pflege des CESOP gemäß Artikel 1 der vorlie­genden Verordnung;
   2. technische Verwaltung des CESOP gemäß Artikel 2 der vorlie­genden Verordnung;
   3. Gewähr­leistung der Inter­ope­ra­bi­lität der in Artikel 24b der Verordnung (EU) Nr. 904/2010 genannten natio­nalen elektro­ni­schen Systeme und CESOP gemäß Artikel 3 Absatz 3 der vorlie­genden Verordnung;
   4. Ergreifung der Sicher­heits­maß­nahmen gemäß Artikel 6 Absatz 2 Unter­absatz 1 der vorlie­genden Verordnung;
2. Festlegung der Regeln und Verfahren für die Auswahl der Eurofisc-Verbin­dungs­be­amten, die Zugang zum CESOP haben werden;
3. Beant­wortung von Anfragen betrof­fener Personen bezüglich der Wahrnehmung der in Kapitel III der Verordnung (EU) 2016/679 genannten Rechte.

2Die Kommission ist in Bezug auf das CESOP Auftragsverarbeiter im Sinne der Definition in Artikel 3 Nummer 12 der Verordnung (EU) 2018/1725.

Die Kommission

1. verar­beitet die perso­nen­be­zo­genen Daten im Namen der Mitglied­staaten nach deren Anwei­sungen und verwahrt die Dokumen­tation zu diesen Anwei­sungen;
2. gewähr­leistet die Vertrau­lichkeit perso­nen­be­zo­gener Daten bei der Verar­beitung im Rahmen der vorlie­genden Verordnung;
3. stellt die notwendige technische Infra­struktur bereit, damit die Mitglied­staaten die in Absatz 1 Buchstabe c genannten Anfragen beant­worten können;
4. unter­stützt die Mitglied­staaten bei der Erfüllung ihrer Pflichten gemäß den Artikeln 33 bis 41 der Verordnung (EU) 2016/679;
5. gewähr­leistet die Löschung aller im CESOP gespei­cherten perso­nen­be­zo­genen Daten gemäß Artikel 24c Absatz 2 der Verordnung (EU) Nr. 904/2010;
6. stellt den Mitglied­staaten sämtliche Infor­ma­tionen zur Verfügung, die zum Nachweis der Erfüllung der in diesem Artikel genannten Pflichten erfor­derlich sind, und ermög­licht Prüfungen, einschließlich Kontrollen, durch die Mitglied­staaten oder durch einen anderen, von den Mitglied­staaten hiermit betrauten Prüfer und leistet einen Beitrag dazu, unter vollstän­diger Einhaltung des Proto­kolls (Nr. 7) zum Vertrag über die Arbeits­weise der Europäi­schen Union über die Vorrechte und Befrei­ungen der Europäi­schen Union.

Artikel 8
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Sie gilt ab dem 1. Januar 2024.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 6. April 2022

Für die Kommission

Die Präsidentin

Ursula VON DER LEYEN