(1) Hersteller und Importeure von Tabakerzeugnissen sind verpflichtet, einen von der Kommission zugelassenen unabhängigen Dritten mit der elektronischen Verarbeitung aller Informationen, die über das individuelle Erkennungsmerkmal erfasst werden (Daten), durch einen von der Kommission genehmigten schriftlichen Vertrag zu beauftragen.

(2) Der Standort des Datenspeichers muss sich im Gebiet der Europäischen Union befinden.

(3) Das Speichern, Verändern, Übermitteln, Sperren oder Löschen der Daten darf nur durch den unabhängigen Dritten erfolgen. Bei der Verarbeitung der Daten sind dem jeweiligen Stand der Technik entsprechende Maßnahmen zur Sicherstellung der Datensicherheit zu treffen. Die Vorschriften zum Schutz personenbezogener Daten und zum Schutz von Betriebs- und Geschäftsgeheimnissen bleiben unberührt.

(4) Der unabhängige Dritte ist verpflichtet, die Daten der Kommission, den zuständigen Behörden der Mitgliedstaaten, den Zollbehörden, der zuständigen deutschen Behörde und einem externen Prüfer nach § 22 auf Verlangen und, soweit dies zur Wahrnehmung ihrer Aufgaben erforderlich ist, am Standort des Datenspeichers bereitzustellen.

(5) In begründeten Fällen können die Kommission oder die zuständige Behörde auch Herstellern oder Importeuren Zugriff auf die gespeicherten Daten gewähren. Die Daten dürfen von keinem Wirtschaftsakteur geändert oder gelöscht werden.