(1) Für die Entscheidung nach § 2 Absatz 5 Satz 4 werden in dem operativen Informations- und Datenanalysesystem die nach Absatz 2 gespeicherten Daten von der Zentralstelle anhand festgelegter Risikoindikatoren und Risikoparameter im Sinne des § 25 Absatz 2 hinsichtlich möglicher Risiken für das Auftreten von Schwarzarbeit und illegaler Beschäftigung unter Beachtung der nachfolgenden Absätze automationsgestützt analysiert und bewertet. Die Risikoindikatoren und die Risikoparameter werden von der Zentralstelle im Einvernehmen mit den betroffenen in Absatz 2 genannten Stellen für die von ihnen zum Abruf zur Verfügung gestellten oder übermittelten Daten sowie im Einvernehmen mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit festgelegt. Die automationsgestützte Analyse und Bewertung nach Satz 1 erfolgt in den Wirtschaftsbereichen oder Wirtschaftszweigen nach § 2a Absatz 1 dieses Gesetzes, nach § 4 des Arbeitnehmer-Entsendegesetzes sowie in den weiteren Wirtschaftsbereichen oder Wirtschaftszweigen nach Absatz 9 Satz 1 in Verbindung mit Absatz 9 Satz 2 Nummer 1.

(2) Zur Durchführung der automationsgestützten Analyse und Bewertung nach Absatz 1 darf die Zentralstelle folgende auf die Wirtschaftsbereiche oder Wirtschaftszweige nach Absatz 1 Satz 3 entfallende und mit den nachfolgenden Stellen abgestimmte Daten, soweit diese dort vorhanden und für eine Analyse und Bewertung nach Absatz 1 Satz 1 erforderlich sind, in der Regel einmal halbjährlich bei diesen Stellen automatisiert abrufen oder von diesen Stellen übermittelt bekommen und diese Daten in dem operativen Informations- und Datenanalysesystem speichern:

1. 1. von den Landesfinanzbehörden: die zu einem Arbeitgeber oder Unternehmer gespeicherten Grundinformationen aus dem Stammdatendienst, Daten aus Umsatzsteuer-Voranmeldungen nach § 18 des Umsatzsteuergesetzes, Lohnsteuer-Anmeldungen nach § 41a des Einkommensteuergesetzes sowie Gewinnermittlungsdaten nach § 4 Absatz 1 und 3 sowie § 5 des Einkommensteuergesetzes,
2. 2. von der Datenstelle der Rentenversicherung:
   1. a) Daten aus der Datenselektion nach § 28p Absatz 8 Satz 9 bis 13 des Vierten Buches Sozialgesetzbuch,
   2. b) Daten nach § 150 Absatz 3a des Sechsten Buches Sozialgesetzbuch,
3. 3. Meldedaten der Zollverwaltung: Daten der Meldungen nach § 16 des Mindestlohngesetzes, nach § 18 des Arbeitnehmer-Entsendegesetzes und nach § 17b des Arbeitnehmerüberlassungsgesetzes.

Zur Identifikation des Arbeitgebers oder des Unternehmers darf die Zentralstelle mit dem Datenabruf oder der Datenübermittlung nach Satz 1 bei den dort genannten Stellen und soweit bei diesen vorhanden, folgende Daten zu Arbeitgebern und Unternehmern von der Zentralstelle zusätzlich automatisiert abrufen oder übermittelt bekommen und speichern:

1. 1. Name,
2. 2. Sitz oder Ort der Geschäftsleitung,
3. 3. Rechtsform,
4. 4. Registernummer und -ort,
5. 5. Adressdaten,
6. 6. Name der vertretungsberechtigten Person,
7. 7. Betriebsnummer,
8. 8. Wirtschaftsidentifikationsnummer und
9. 9. Wirtschaftszweigklassifikation oder Gewerbekennzahl.

(3) Die Kosten für die Datenselektion nach § 28p Absatz 8 Satz 9 bis 13 des Vierten Buches Sozialgesetzbuch sind der Deutschen Rentenversicherung Bund zu erstatten. Die Daten aus der Datenselektion dürfen nur für die Aufgaben des zentralen Risikomanagements nach § 25 verwendet werden. Das Nähere zur Verwaltungskostenerstattung wird durch Verwaltungsvereinbarung zwischen der Generalzolldirektion und der Deutschen Rentenversicherung Bund einvernehmlich geregelt.

(4) Die Zentralstelle darf die nach Absatz 2 erhobenen Informationen einschließlich personenbezogener Daten sowie die aus deren Abgleich gewonnenen Informationen und personenbezogenen Daten in dem operativen Informations- und Datenanalysesystem verarbeiten, soweit dies für die Aufgaben des zentralen Risikomanagements nach § 25 erforderlich ist. Die in Satz 1 genannten personenbezogenen Daten dürfen nicht zu anderen als dem in Satz 1 genannten Zweck verarbeitet werden. Die Verarbeitung nach Satz 1 erfolgt in Form eines ersten automatisierten Datenabgleichs aus den Daten nach Absatz 2 anhand der nach Absatz 1 Satz 2 festgelegten Risikoindikatoren und Risikoparameter. Bei Über- oder Unterschreiten der Risikoparameter, abhängig vom Risikoindikator, werden die Abgleichergebnisse gespeichert (Risikofälle). Die von der Datenstelle der Rentenversicherung übermittelten Risikofälle nach § 28p Absatz 8 Satz 10 des Vierten Buches Sozialgesetzbuch sind den Risikofällen nach Satz 4 gleichgestellt. Abhängig vom Maß der Über- und Unterschreitung eines oder mehrerer Risikoparameter wird jedem Risikofall ein Punktwert zugeordnet (Risikobewertung). Die Risikobewertung erfolgt für jeden Risikoindikator unter Berücksichtigung des spezifischen Risikos für Schwarzarbeit und illegale Beschäftigung bezogen auf unterschiedliche Wirtschaftsbereiche oder Wirtschaftszweige nach Absatz 1 Satz 3 und der tatsächlichen Umstände in der jeweiligen Branche.

(5) Die Risikofälle können in einem zweiten automatisierten Datenabgleich mit den im zentralen Informationssystem für die Finanzkontrolle Schwarzarbeit nach § 16 dieses Gesetzes vorgehaltenen Daten abgeglichen werden. Wenn dieser Datenabgleich zu neuen Erkenntnissen führt, die Rückschlüsse auf die Wahrscheinlichkeit von Schwarzarbeit oder illegaler Beschäftigung zulassen, dann wird die Risikobewertung gemäß Absatz 4 Satz 6 angemessen erhöht oder vermindert. Hierbei wird berücksichtigt, ob bereits Prüfungen nach § 2 Absatz 1 durchgeführt werden oder wurden, ob eine Geldwäscheverdachtsmeldung nach § 43 des Geldwäschegesetzes im Informationssystem der Finanzkontrolle Schwarzarbeit vorliegt, oder ob Verstöße im Sinne von § 6 Absatz 4 oder Straftaten und Ordnungswidrigkeiten nach § 14 Absatz 1 festgestellt worden sind und welches Ausmaß diese Verstöße hatten. Sofern bei der Risikobewertung ein festgelegter Schwellenwert überschritten wird, kann das Gesamtergebnis aus dem operativen Informations- und Datenanalysesystem an das zentrale Informationssystem für die Finanzkontrolle Schwarzarbeit nach § 16 als Hinweis (Risikohinweis) übermittelt und für die Entscheidung nach § 2 Absatz 5 Satz 4 berücksichtigt werden. Bei der Übermittlung des Risikohinweises an das zentrale Informationssystem sind diejenigen Risikoindikatoren, die zu einem Risikohinweis führen, mit dem Datensatz des Risikohinweises zu verknüpfen und müssen einer datenschutzrechtlichen Überprüfung zugänglich sein.

(6) Die Zentralstelle darf zur Unterstützung bei der Anpassung von Risikoparametern nach Absatz 1 Satz 2 sowie bei der Ermittlung von Punktwerten nach Absatz 4 Satz 6 und Schwellenwerten nach Absatz 5 Satz 4 selbstlernende oder automatisierte Systeme einsetzen. Das Anlernen der in Satz 1 genannten Systeme erfolgt auf Grundlage der Daten aus der Risikobewertung, der erstellten Risikohinweise sowie der Ergebnisse aus Prüfungen. Dabei gewährleistet die Zentralstelle, dass diese Systeme ausschließlich Vorschläge zur Anpassung oder Berechnung von Risikoparametern oder Punkt- und Schwellenwerten erstellen. Diese Vorschläge sind von der Zentralstelle auf ihre Eignung zu überprüfen. Geeignet sind die Vorschläge nur dann, wenn sie nicht auf diskriminierenden oder verzerrenden Algorithmen beruhen. Entscheidungen über die Anpassung von Risikoparametern und von Punkt- und Schwellenwerten sind zu begründen. Sämtliche Verarbeitungsschritte der in Satz 1 genannten Systeme sind zu protokollieren. Automatisierte Systeme, die eigenständig Gefährlichkeitsaussagen über Personen treffen können, sind unzulässig.

(7) Personenbezogene Daten aus allgemein zugänglichen Quellen dürfen nicht automatisiert verarbeitet werden. Abweichend von § 15 Absatz 3 dürfen personenbezogene Daten, die durch den Einsatz verdeckter Überwachungsmaßnahmen nach Maßgabe der Strafprozessordnung oder der Polizeigesetze erhoben wurden, nicht für den Abgleich nach Absatz 5 Satz 1 weiterverarbeitet werden.

(8) Die Daten in dem operativen Informations- und Datenanalysesystem sind spätestens ein Jahr nach Ablauf des Kalenderjahres, in dem die nach § 26 Absatz 2 erhobenen Daten zugegangen sind, zu löschen. Daten, die zu keinem Risikohinweis führen, sind unverzüglich nach der maschinellen Risikobewertung im operativen Informations- und Datenanalysesystem zu löschen.

(9) Das Bundesministerium der Finanzen bestimmt im Einvernehmen mit dem Bundesministerium für Arbeit und Soziales die weiteren Einzelheiten zur Datenverarbeitung durch Rechtsverordnung mit Zustimmung des Bundesrates. Die Rechtsverordnung legt insbesondere fest:

1. 1. weitere Wirtschaftsbereiche oder Wirtschaftszweige neben Absatz 1 Satz 3, sofern dies erforderlich ist auf Grundlage der Bewertungen des zentralen Risikomanagements nach § 25,
2. 2. von § 26 Absatz 2 Satz 1 abweichende Zeiträume und
3. 3. weitere Einzelheiten zum Umfang der Daten nach § 26 Absatz 2 und der Verarbeitungsmethoden nach § 26 Absatz 4 bis 6.

(10) Die Zentralstelle stellt durch organisatorische und technische Maßnahmen sicher, dass Daten nur gemäß ihrer rechtlichen Verwendbarkeit verarbeitet werden. Hierbei sind auch Begrenzungen der Zugriffsmöglichkeiten auf die automationsgestützten Systeme vorzusehen. Die organisatorischen und technischen Einzelheiten des operativen Informations- und Datenanalysesystems werden von der Zentralstelle in einer Verwaltungsvorschrift festgelegt. Die Verwaltungsvorschrift ist in der jeweils aktuellen Fassung im Bundesanzeiger zu veröffentlichen. Die Risikoparameter und Einzelheiten zur Risikobewertung dürfen nicht veröffentlicht werden.