S. 1392DURCHFÜHRUNGSVERORDNUNG (EU) 2022/1504 DER KOMMISSION vom 6. April 2022 mit Durchführungsbestimmungen zur Verordnung (EU) Nr. 904/2010 des Rates hinsichtlich der Einrichtung eines zentralen elektronischen Zahlungsinformationssystems (CESOP) zur Bekämpfung von Mehrwertsteuerbetrug

DIE EUROPÄISCHE KOMMISSION -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) Nr. 904/2010 des Rates vom 7. Oktober 2010 über die Zusammenarbeit der Verwaltungsbehörden und die Betrugsbekämpfung auf dem Gebiet der Mehrwertsteuer, insbesondere auf Artikel 24e,

in Erwägung nachstehender Gründe:

(1) Mit der Richtlinie 2006/112/EG des Rates (2) in der durch die Richtlinie (EU) 2020/284 (3) geänderten Fassung werden für Zahlungsdienstleister mit Wirkung vom 1. Januar 2024 Meldepflichten eingeführt. Ab dem genannten Datum müssen Zahlungsdienstleister, die in der Europäischen Union niedergelassen sind oder dort Zahlungsdienste anbieten, bestimmte Aufzeichnungen über grenzüberschreitende Zahlungen von Zahlern in Mitgliedstaaten sowie über bestimmte Informationen zu den Zahlungsempfängern führen und diese Aufzeichnungen für die Zwecke der Bekämpfung von Mehrwertsteuerbetrug an die Mitgliedstaaten übermitteln.

(2) Die Verordnung (EU) Nr. 904/2010 in der durch die Verordnung (EU) 2020/283 (4) geänderten Fassung sieht vor, dass die Mitgliedstaaten diese Informationen an ein zentrales elektronisches Zahlungsinformationssystem („CESOP“) übermitteln, das von der Kommission zu entwickeln, zu pflegen, zu hosten und technisch zu verwalten ist.

(3) Zur Gewährleistung des reibungslosen Funktionierens des CESOP und gemäß Artikel 24e Buchstabe a der Verordnung (EU) Nr. 904/2010 sind die technischen Maßnahmen zur Einrichtung des CESOP festzulegen. Diese Maßnahmen sollten die erforderlichen CESOP-Funktionalitäten für die in Artikel 24c der Verordnung (EU) Nr. 904/2010 genannten Systemfunktionen vorsehen. Die Maßnahmen sollten außerdem ein hohes Maß an Nutzerfreundlichkeit sicherstellen, indem in CESOP Such- und Visualisierungstools angeboten werden. Des Weiteren sollte das CESOP den Informationsaustausch zwischen Eurofisc-Verbindungsbeamten dahingehend ermöglichen, dass diese direkt im CESOP rasch und sicher Informationen zu Mehrwertsteuerbetrug austauschen können. Ebenfalls festzulegen sind die Maßnahmen, welche die Kommission nach der Einführung des CESOP im Hinblick auf dessen Pflege durchführen sollte, um die operativen Qualitätsstandards der IT-Infrastruktur des CESOP und seiner Funktionalitäten zu gewährleisten und dafür Sorge zu tragen, dass im Fall von Problemen mit der Systemverbindung zwischen Kommission und Mitgliedstaaten die nötigen Updates gemacht werden.

(4) Während die Mitgliedstaaten als Verantwortliche für das CESOP für dessen Verwaltung zuständig sind, nimmt die Kommission gemäß Artikel 24e Buchstabe b der Verordnung (EU) Nr. 904/2010 eine Reihe von Aufgaben wahr, die sich auf die technische Verwaltung des CESOP als dessen Host und Auftragsverarbeiter beschränken. Diese sollten die für die tägliche Verwaltung des CESOP erforderlichen technischen Aufgaben umfassen, zum Beispiel das Führen von Aufzeichnungen zur Identifizierung der Eurofisc-Verbindungsbeamten, die Zugang zum CESOP haben, das Führen von Aufzeichnungen über die Zahlungsdienstleister, die Daten an Mitgliedstaaten übermittelt haben, die FestS. 1393legung geeigneter organisatorischer Sicherheitsmaßnahmen für das CESOP sowie die Ergreifung der nötigen Schulungs- und Unterstützungsmaßnahmen für die Eurofisc-Verbindungsbeamten im Hinblick auf die effektive Nutzung des CESOP.

(5) Gemäß Artikel 24b Absatz 1 Buchstabe b der Verordnung (EU) Nr. 904/2010 haben die Mitgliedstaaten die Daten mittels eines elektronischen Standardformulars an das CESOP zu übermitteln. Die von den Zahlungsdienstleistern im XML-Format zu meldenden Datenelemente sollten festgelegt werden. Um die Gesamtoperabilität zwischen den nationalen elektronischen Systemen und dem CESOP gemäß Artikel 24b Absatz 3 der Verordnung (EU) Nr. 904/2010 sicherzustellen, sollten die Mitgliedstaaten überprüfen, ob die von den Zahlungsdienstleistern übermittelten Daten die obligatorischen und syntaktisch korrekten Datenelemente gemäß Artikel 243d der Richtlinie 2006/112/EG enthalten, da CESOP nur dann funktionieren kann, wenn die obligatorischen Daten korrekt im CESOP erfasst sind.

(6) Die Mitgliedstaaten sollten die Eurofisc-Verbindungsbeamten, die Zugang zum CESOP haben werden, benennen und ihre Entscheidung der Kommission mitteilen. Die Kommission sollte diesen Beamten eine eindeutige Kennung für den Zugang zum CESOP zuteilen und, basierend auf den Informationen der Mitgliedstaaten, eine Liste aller Eurofisc-Verbindungsbeamten führen, die Zugang zum CESOP haben.

(7) Gemäß Artikel 24e Buchstabe g der Verordnung (EU) Nr. 904/2010 hat die Kommission Verfahren festzulegen, um die Anwendung geeigneter technischer und organisatorischer Sicherheitsmaßnahmen für die Entwicklung und den Betrieb des CESOP zu gewährleisten. Einige Sicherheitsaspekte zentraler Komponenten des CESOP hängen auch von der Durchführung nationaler Sicherheitsmaßnahmen ab, beispielsweise Maßnahmen zur Kontrolle der Sicherheit der übermittelten Daten sowie Maßnahmen, die gewährleisten, dass ausschließlich die Eurofisc-Verbindungsbeamten mit einer gültigen eindeutigen Kennung Zugang zum CESOP haben. Daher sollten die Mitgliedstaaten der Kommission Informationen über ihre eigenen Sicherheitsmaßnahmen zur Verfügung stellen. Die Mitgliedstaaten und die Kommission sollten einander über die ergriffenen Sicherheitsmaßnahmen und über die etwaige Notwendigkeit von Verbesserungen dieser Maßnahmen auf dem Laufenden halten.

(8) Die Verarbeitung personenbezogener Daten im Rahmen dieser Verordnung sowie die Zuständigkeiten der Mitgliedstaaten und der Kommission sind in der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates und in der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates geregelt. Gemäß Artikel 24e Buchstabe h der Verordnung (EU) Nr. 904/2010 sollten die Aufgaben und Zuständigkeiten der Mitgliedstaaten und der Kommission in Bezug auf die Funktionen des Verantwortlichen für das CESOP festgelegt werden. Die Mitgliedstaaten sollten gemeinsam als Verantwortliche für das CESOP betrachtet werden, da sie über die Mittel der Verarbeitung und Nutzung der Daten im CESOP entscheiden. Die Kommission sollte als Auftragsver­ arbeiter betrachtet werden, da sie bei der Wahrnehmung all ihrer Aufgaben im Namen der Mitgliedstaaten handelt.

(9) Diese Verordnung sollte erst ab dem 1. Januar 2024 gelten, damit ihr Geltungsbeginn an den Anwendungsbeginn der Verordnung (EU) 2020/283 und der Richtlinie (EU) 2020/284 angeglichen ist.

(10) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 konsultiert und hat am 2. Februar 2022 eine Stellungnahme abgegeben.

S. 1394(11) Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des Ständigen Ausschusses für die Zusammenarbeit der Verwaltungsbehörden -

HAT FOLGENDE VERORDNUNG ERLASSEN: