Durchführungsverordnung (EU) 2022/1504 der Kommission vom 6. April 2022 mit Durchführungsbestimmungen zur Verordnung (EU) Nr. 904/2010 des Rates hinsichtlich der Einrichtung eines zentralen elektronischen Zahlungsinformationssystems (CESOP) zur Bekämpfung von Mehrwertsteuerbetrug

1 Die Kommission entwickelt technische Maßnahmen zur Einrichtung des CESOP mit folgenden Funktionalitäten: a) Erfassung der von den Mitgliedstaaten übermittelten Zahlungsdaten; b) sichere Speicherung der Zahlungsdaten für höchstens fünf Jahre nach Ende des Kalenderjahres, in dem die Mitgliedstaaten die Informationen an das System übermittelt haben; c) Bereinigung der Zahlungsdaten in Bezug auf Anomalien und Fehler, einschließlich Doppelerfassungen derselben Zahlung; d) Aggregation der Zahlungsdaten für jeden einzelnen Zahlungsempfänger; e) Such- und Visualisierungsfunktionen für die Zahlungsdaten im CESOP; f) Analyse der Zahlungsdaten und deren Abgleich mit den gemäß Artikel 17 Absatz 1 Buchstaben a, b, d, e und f sowie Artikel 33 Absatz 2 Buchstabe b der Verordnung (EU) Nr. 904/2010 gespeicherten und ausgetauschten Daten; g) automatische Analysen und Kennzeichnung verdächtiger Zahlungsempfänger; h) Möglichkeit für die Eurofisc-Verbindungsbeamten, nicht automatisierte Kontrollen und Analysen vorzunehmen; i) Generierung von Berichten über die Ergebnisse der vom CESOP und von den Eurofisc-Verbindungsbeamten durchgeführten Analysen und Kontrollen; j) Bereitstellung einer Infrastruktur zur Zugangskontrollverwaltung für die Eurofisc-Verbindungsbeamten; k) Möglichkeit für die Eurofisc-Verbindungsbeamten, Informationen bezüglich Untersuchungen zu grenzüberschreitendem Mehrwertsteuerbetrug und der Aufdeckung solcher Fälle direkt im CESOP auszutauschen; l) Bereitstellung der technischen Infrastruktur für die Mitgliedstaaten zur Verwaltung der Zugangsrechte ihrer Eurofisc-Verbindungsbeamten.

2 Die Kommission nimmt im Rahmen der Pflege des CESOP folgende Aufgaben wahr: a) Gewährleistung des ordnungsgemäßen Betriebs des CESOP und seiner Funktionalitäten; b) Sicherstellen der Wartung außerhalb der Arbeitszeiten; c) Durchführung erforderlicher technischer Updates für das reibungslose Funktionieren des CESOP und zu dessen Verbesserung; d) Behebung technischer Probleme.

Die Kommission nimmt im Rahmen der technischen Verwaltung des CESOP folgende Aufgaben wahr: a) Verwahrung und Aktualisierung der Liste der Eurofisc-Verbindungsbeamten mit Zugang zum CESOP und deren eindeutiger persönlicher Nutzerkennung gemäß Artikel 5; b) Durchführung der organisatorischen und technischen Sicherheitsmaßnahmen gemäß Artikel 6; c) Erstellung, Verwahrung und Pflege einer Liste der Zahlungsdienstleister, die gemäß Artikel 24b Absatz 1 der Verordnung (EU) Nr. 904/2010 Daten übermittelt haben, basierend auf den von den Mitgliedstaaten bereitgestellten Daten; d) Gewährung eines automatischen Zugangs für die Eurofisc-Verbindungsbeamten mit Zugang zum CESOP zu der gemäß Buchstabe c gepflegten Liste; e) technische Unterstützung der Eurofisc-Verbindungsbeamten bei der Nutzung des CESOP; f) Bereitstellung von Schulungen für die Eurofisc-Verbindungsbeamten in Bezug auf die Nutzung des CESOP.

1 Die Mitgliedstaaten treffen alle erforderlichen Maßnahmen, um sicherzustellen, dass die gemäß Artikel 24b Absatz 2 der Verordnung (EU) Nr. 904/2010 eingerichteten nationalen elektronischen Systeme zur Erhebung von Zahlungsinformationen funktionsfähig und in der Lage sind, die Zahlungsinformationen gemäß Artikel 24b Absatz 1 der genannten Verordnung zu erheben.

2 Die Mitgliedstaaten übermitteln an das CESOP ausschließlich vollständige Zahlungsinformationen, bei denen alle obligatorischen Felder gemäß Artikel 243d der Richtlinie 2006/112/EG ausgefüllt sind und die den Anforderungen im Anhang der vorliegenden Verordnung entsprechen.

3 Die Kommission gewährleistet die Interoperabilität zwischen dem CESOP und den in Absatz 1 genannten nationalen elektronischen Systemen.

Das in Artikel 24b Absatz 1 Buchstabe b der Verordnung (EU) Nr. 904/2010 genannte elektronische Standardformular ist in einem standardisierten XML-Format gemäß der Datentabelle im Anhang der vorliegenden Verordnung zu übermitteln.

1 Die Mitgliedstaaten benennen die Eurofisc-Verbindungsbeamten, die Zugang zum CESOP haben werden, und teilen der Kommission deren Namen und E-Mail-Adressen mit.

2 Die Mitgliedstaaten informieren die Kommission über etwaige Änderungen der in Absatz 1 genannten Angaben, einschließlich Änderungen bei den benannten Eurofisc-Verbindungsbeamten, rechtzeitig und spätestens 30 Kalendertage nach der betreffenden Änderung.

3 Die Kommission teilt den in Absatz 1 genannten Eurofisc-Verbindungsbeamten unverzüglich eine eindeutige persönliche Nutzerkennung für den Zugang zum CESOP zu.

1 Die Mitgliedstaaten stellen der Kommission Informationen zur Anwendung und zu jeder Aktualisierung ihrer eigenen Sicherheitsmaßnahmen auf nationaler Ebene zur Verfügung. Diese Informationen müssen Einzelheiten zu den Maßnahmen umfassen, die sicherstellen sollen, dass ausschließlich die in Artikel 5 genannten Eurofisc-Verbindungsbeamten Zugang zum CESOP haben, sowie Einzelheiten zu den Maßnahmen, die die Verschlüsselung der von den Mitgliedstaaten übermittelten Daten sicherstellen sollen.

2 Die Kommission informiert die Mitgliedstaaten bis zum 30. April jedes Jahres ab dem Jahr nach Geltungsbeginn dieser Verordnung über die Maßnahmen, die zur Gewährleistung der Sicherheit des CESOP ergriffen wurden. Diese Informationen müssen mindestens Folgendes umfassen: a) die im Vorjahr eingetretenen Sicherheitsvorfälle und die Art und Weise, wie diese behoben wurden; b) Einzelheiten zu getroffenen Sicherheitsmaßnahmen oder Änderungen bestehender Sicherheitsmaßnahmen; c) eine Bewertung der bestehenden Sicherheitsmaßnahmen und eine Beurteilung, ob nach Ansicht der Kommission Änderungen dieser Maßnahmen erforderlich sind.

1 Die Mitgliedstaaten sind gemeinsam die für das CESOP Verantwortlichen im Sinne der Definition in Artikel 4 Nummer 7 der Verordnung (EU) 2016/679. Die Zuständigkeiten der für das CESOP Verantwortlichen legen Letztere in einer gemeinsamen Vereinbarung fest, die ihre Informationspflichten gemäß den Artikeln 13 und 14 der Verordnung (EU) 2016/679 sowie die Modalitäten der Wahrnehmung von Rechten durch die betroffenen Personen enthalten muss. Die Mitgliedstaaten haben folgende Zuständigkeiten: a) Erstellung der technischen Spezifikationen des CESOP und bei Bedarf deren Anpassung, damit die Kommission folgende Aufgaben durchführen kann: a) Einrichtung und Pflege des CESOP gemäß Artikel 1 der vorliegenden Verordnung; b) technische Verwaltung des CESOP gemäß Artikel 2 der vorliegenden Verordnung; c) Gewährleistung der Interoperabilität der in Artikel 24b der Verordnung (EU) Nr. 904/2010 genannten nationalen elektronischen Systeme und CESOP gemäß Artikel 3 Absatz 3 der vorliegenden Verordnung; d) Ergreifung der Sicherheitsmaßnahmen gemäß Artikel 6 Absatz 2 Unterabsatz 1 der vorliegenden Verordnung; b) Festlegung der Regeln und Verfahren für die Auswahl der Eurofisc-Verbindungsbeamten, die Zugang zum CESOP haben werden; c) Beantwortung von Anfragen betroffener Personen bezüglich der Wahrnehmung der in Kapitel III der Verordnung (EU) 2016/679 genannten Rechte.

2 Die Kommission ist in Bezug auf das CESOP Auftragsverarbeiter im Sinne der Definition in Artikel 3 Nummer 12 der Verordnung (EU) 2018/1725. Die Kommission a) verarbeitet die personenbezogenen Daten im Namen der Mitgliedstaaten nach deren Anweisungen und verwahrt die Dokumentation zu diesen Anweisungen; b) gewährleistet die Vertraulichkeit personenbezogener Daten bei der Verarbeitung im Rahmen der vorliegenden Verordnung; c) stellt die notwendige technische Infrastruktur bereit, damit die Mitgliedstaaten die in Absatz 1 Buchstabe c genannten Anfragen beantworten können; d) unterstützt die Mitgliedstaaten bei der Erfüllung ihrer Pflichten gemäß den Artikeln 33 bis 41 der Verordnung (EU) 2016/679; e) gewährleistet die Löschung aller im CESOP gespeicherten personenbezogenen Daten gemäß Artikel 24c Absatz 2 der Verordnung (EU) Nr. 904/2010; f) stellt den Mitgliedstaaten sämtliche Informationen zur Verfügung, die zum Nachweis der Erfüllung der in diesem Artikel genannten Pflichten erforderlich sind, und ermöglicht Prüfungen, einschließlich Kontrollen, durch die Mitgliedstaaten oder durch einen anderen, von den Mitgliedstaaten hiermit betrauten Prüfer und leistet einen Beitrag dazu, unter vollständiger Einhaltung des Protokolls (Nr. 7) zum Vertrag über die Arbeitsweise der Europäischen Union über die Vorrechte und Befreiungen der Europäischen Union.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Sie gilt ab dem 1. Januar 2024.