2. bei Unternehmen: Firmennamen, Betriebsnamen, Firmensitz, Betriebssitz, Betriebsstätten, Firmenbuchnummer, Steuernummer, Umsatzsteuer-Identifikationsnummer, ZVR Zahl, Gewerberegisternummer, DG Nummer, Beitragskontonummer, Kennziffer des Unternehmensregisters nach § 25 Abs. 1 Z 7 des Bundesstatistikgesetzes, BGBl. I Nr. 163/1999, sonstige Geschäftszahl, Struktur des Betriebes (zB Konzern-, Stamm-, Filialbetrieb), Betriebsgegenstand, Branchenzugehörigkeit, sowie Personaldaten gemäß Z 1 der das Unternehmen vertretenden Person, bei der Anhaltspunkte für das Vorliegen von Sozialbetrug bestehen,

3. die Darlegung der Anhaltspunkte für das Vorliegen von Sozialbetrug oder Scheinunternehmen,

4. Schriftverkehr mit den Kooperationsstellen sowie weiteren Personen, Unternehmen und Behörden in Zusammenhang mit Ermittlungen und Nichtabwicklung von Geldtransaktionen sowie Zeitpunkt der Einleitung und der Zeitpunkt der Erledigung des Verfahrens durch das Amt für Betrugsbekämpfung und Zeitpunkt und die Art der Erledigung durch das Gericht oder die Staatsanwaltschaft,

5. sonstige erforderliche Beweismittel (Niederschriften mit Zeugen, Beschuldigten, Dokumente, Rechnungen),

6. Daten zu den einschlägigen Straftatbeständen sowie Höhe der nicht entrichteten Lohn- und Sozialabgaben, Zeitraum der Beschäftigung oder der sich aus der Sozialversicherungsanmeldung ergebende Beschäftigungszeitraum.

(3) Die Bundesrechenzentrum GmbH wird mit dem Betrieb der Datenbank gemäß Abs. 2 betraut. Diese gilt als Auftragsverarbeiter im Sinne von Art. 4 Z 8 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) sowie im Sinne des § 36 Abs. 2 Z 9 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999. Die Datenbank ist derart auszugestalten, dass eine Weitergabe von Daten gemäß Abs. 2 auf konkrete Kooperationsstellen und Staatsanwaltschaften beschränkt werden kann und den Anforderungen der Art. 24, 25 und 32 DSGVO sowie den §§ 50 und 54 DSG entspricht.

(4) Der Zeitpunkt der Aufnahme der Datenbank gemäß Abs. 2 sowie Näheres über die Vorgangsweise bei der in den Abs. 1, 2, 5 und 7 vorgesehenen Verarbeitung von Daten in Hinblick auf die für die jeweilige Verarbeitung notwendigen Protokollierungen und Datensicherheitsmaßnahmen sind vom Bundesminister für Finanzen durch Verordnung festzulegen. Für die Verarbeitung von Daten gemäß den Abs. 1, 2, 5 und 7 hat die Verordnung Regelungen im Sinne der Art. 24, 25 und 32 DSGVO und der §§ 50 und 54 DSG, insbesondere über Protokollierungen und Datensicherheitsmaßnahmen vorzusehen.

(5) Der Informations- und Datenaustausch erfolgt zwischen den Kooperationsstellen und den Staatsanwaltschaften über die Datenbank gemäß Abs. 2. Dabei haben die einzelnen Kooperationsstellen und die einzelnen Staatsanwaltschaften im Zusammenhang mit dem Erfassen der Daten und der dem Erfassen gleich zu haltenden Verarbeitung unter Berücksichtigung der Erforderlichkeit nach Abs. 1 die Entscheidung zu treffen, welche Daten an welche andere Kooperationsstelle oder Staatsanwaltschaft weitergegeben wird. Zum Zwecke der Durchführung von konkreten Ermittlungen, Amtshandlungen und Maßnahmen bei der Bekämpfung von gerichtlich strafbarem Sozialbetrug im Sinne des § 2 durch Unternehmen sind die Kooperationsstellen und die Staatsanwaltschaften berechtigt, in die Sozialbetrugsdatenbank auf automationsunterstütztem Weg Einsicht zu nehmen.

(6) Die Kooperationsstellen und die Staatsanwaltschaften sind für die Datenbank gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO und des § 47 DSG. Die Pflichten zur Wahrung der Betroffenenrechte treffen jene Einrichtung, die die Ermittlungen führt, werden solche nicht geführt diejenige, die den Fall in der Datenbank angelegt hat. Ab Anhängigkeit des Strafverfahrens (§ 1 Abs. 2 StPO) ist nach den Bestimmungen der StPO vorzugehen. Für die Datenbank nimmt das Bundesministerium für Finanzen die sonstigen Pflichten des Verantwortlichen unbeschadet der Haftungsbestimmungen des Art. 82 DSGVO und des § 29 DSG wahr.

(7) In der Datenbank gemäß Abs. 2 verarbeitete personenbezogene Daten eines konkreten Sozialbetrugsverdachts sowie eines Scheinunternehmensverdachts sind nach Ablauf von fünf Jahren nach der Verarbeitung des ersten Datums in der Sozialbetrugsdatenbank zu löschen. Personenbezogene Daten von durch Strafgerichte in Bezug auf Sozialbetrug im Sinne des § 2 Verurteilten sind nach Ablauf von zehn Jahren ab der Verurteilung zu löschen. Sofern ersichtlich ist, dass sich der Sozialbetrugsverdacht oder Scheinunternehmensverdacht nicht bestätigt, sind die entsprechenden Daten unverzüglich zu löschen. Diese Löschungsverpflichtungen gelten auch für die bei den Kooperationsstellen verarbeiteten Daten. Die den Kooperationsstellen in anderen Rechtsvorschriften eingeräumten datenschutzrechtlichen Ermächtigungen und auferlegten datenschutzrechtlichen Pflichten werden jedoch nicht berührt.