§ 13 ZFdG

Das Zollkriminalamt kann, soweit es zur Erfüllung seiner Aufgaben nach § 3 Absatz 1, 2 und 13, jeweils auch in Verbindung mit § 3 Absatz 11, erforderlich ist, personenbezogene Daten von Personen, die am innerstaatlichen, grenzüberschreitenden und internationalen Waren-, Kapital- und Dienstleistungsverkehr teilnehmen, verarbeiten. Das Zollkriminalamt kann hierzu verarbeiten: Die Verarbeitung personenbezogener Daten, die in anderen Dateisystemen der Zollverwaltung gespeichert sind, ist, mit Ausnahme von personenbezogenen Daten zur Bekämpfung der Schwarzarbeit und der illegalen Beschäftigung, zulässig, soweit die Verarbeitung zur Erfüllung der Aufgaben des Zollkriminalamtes nach § 3 Absatz 1 und 2, jeweils auch in Verbindung mit § 3 Absatz 11, erforderlich ist; § 30 der Abgabenordnung steht einer Zweckänderung nicht entgegen. § 88a der Abgabenordnung und § 67b des Zehnten Buches Sozialgesetzbuch bleiben unberührt.

Das Zollkriminalamt darf bei der Verarbeitung personenbezogener Daten nach Absatz 1 zur Erfüllung seiner Aufgabe nach § 3 Absatz 2 automationsgestützte Systeme einsetzen

Eine Risikobewertung der beteiligten Personen über den zu bewertenden Einzelfall hinaus ist unzulässig. Folgende personenbezogene Daten dürfen in automationsgestützten Systemen nach Absatz 2 nicht verarbeitet werden: Personenbezogene Daten aus allgemein zugänglichen Quellen und geschützten Bereichen sozialer Netzwerke dürfen nicht automatisiert in die Verarbeitung einbezogen werden.

Folgende Datenarten von am Vorgang beteiligten natürlichen oder juristischen Personen dürfen mittels automationsgestützter Systeme nach Absatz 2 verarbeitet werden:

Durch den Einsatz automationsgestützter Systeme nach Absatz 2 können durch die Zollverwaltung im Einzelfall zu bearbeitende Verwaltungsvorgänge unter Verwendung der Datenarten nach Absatz 4 Nummer 2 hinsichtlich des Vorgangsrisikos bewertet werden. Zu diesem Zweck kann anlässlich eines Verwaltungsvorgangs für jeden Beteiligten das Risiko, dass die von ihm gemachten oder unterlassenen Angaben oder die ihm zuzurechnenden Informationen von den tatsächlichen Gegebenheiten abweichen (Beteiligtenrisiko), anhand der zu ihm vorliegenden Daten nach Absatz 4 Nummer 2 bewertet werden. Das Vorgangsrisiko wird für jeden angefragten Vorgang anhand des Beteiligtenrisikos aller Beteiligten ermittelt und nach § 3 Absatz 11 den Behörden der Zollverwaltung mitgeteilt. Liegt ein erhebliches Vorgangsrisiko vor, scheidet eine automatisierte Verarbeitung des Verwaltungsvorgangs im Zielsystem aus. Auf die automationsgestützten Systeme ist § 88 Absatz 5 Satz 3 der Abgabenordnung entsprechend anzuwenden.

Das Zollkriminalamt darf zur Unterstützung der automationsgestützten Systeme nach Absatz 2 selbstlernende Systeme einsetzen. Das Anlernen der in Satz 1 genannten Systeme erfolgt auf Grundlage der Daten nach Absatz 4. Dabei gewährleistet das Zollkriminalamt, dass diese Systeme ausschließlich Vorschläge zur Anpassung oder Berechnung von Risiken erstellen. Diese Vorschläge sind vom Zollkriminalamt auf ihre Eignung zu überprüfen. Geeignet sind die Vorschläge nur dann, wenn sie nicht auf diskriminierenden oder verzerrenden Algorithmen beruhen. Entscheidungen über die Festlegung von Parametern zur Risikobewertung sind zu begründen. Der Einsatz automatisierter Systeme, die eigenständig Gefährlichkeitsaussagen über Personen treffen können, ist unzulässig.

Die Daten in den automationsgestützten Systemen nach Absatz 2 sind spätestens ein Jahr nach Ablauf des Kalenderjahres, in dem der Verwaltungsvorgang im Sinne des § 13 Absatz 2 Nummer 2 abgeschlossen wurde, zu löschen. Daten, die zu keinem Vorgangsrisiko führen, sind unverzüglich nach der maschinellen Risikobewertung in dem automationsgestützten System zu löschen.

Das Zollkriminalamt stellt durch organisatorische und technische Maßnahmen sicher, dass Daten nur gemäß ihrer rechtlichen Verwendbarkeit verarbeitet werden. Hierbei sind auch Begrenzungen der Zugriffsmöglichkeiten auf die automationsgestützten Systeme vorzusehen. Insbesondere ist sicherzustellen, dass ein Zugriff nur von einzelnen, entsprechend qualifizierten Bediensteten zur Erstellung und Pflege des Systems erfolgen kann. § 76 des Bundesdatenschutzgesetzes ist entsprechend anzuwenden.

Das Bundesministerium der Finanzen legt die Kriterien und Kategorien für die zu verarbeitenden Datenarten nach Absatz 4 Nummer 2, die Datenarten und Datenquellen nach Absatz 6 sowie die Bewertungsmethoden nach Absatz 5 Satz 2 in einer Verwaltungsvorschrift fest. Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist vor Erlass einer Verwaltungsvorschrift anzuhören. Die Verwaltungsvorschrift ist in der jeweils aktuellen Fassung im Bundesanzeiger zu veröffentlichen. Einzelheiten der Risikomanagementsysteme dürfen nicht veröffentlicht werden, soweit dies die Gleichmäßigkeit und Gesetzmäßigkeit der Besteuerung gefährdet.