Datenschutz in der Leistungsbeschreibung: Eventsoftware ausschreiben

Kurzantwort: Der Satz „Der Anbieter muss DSGVO-konform sein“ ist in einer Leistungsbeschreibung nicht nur schwach, er verfehlt die gesetzliche Anforderung. Paragraf 121 Absatz 1 GWB verlangt eine Beschreibung, die für alle Unternehmen im gleichen Sinne verständlich ist und Angebote vergleichbar macht. Paragraf 127 Absatz 4 GWB verlangt Zuschlagskriterien, deren Erfüllung sich wirksam überprüfen lässt. Ein Kreuz bei „DSGVO-konform“ erfüllt beides nicht.

Warum „DSGVO-konform“ in einer Ausschreibung wertlos ist

Die Formulierung steht in fast jeder Leistungsbeschreibung, und fast jeder Anbieter kreuzt sie an. Das liegt nicht an Unehrlichkeit, sondern daran, dass der Begriff nichts Prüfbares bezeichnet. Konformität ist keine Eigenschaft einer Software, sondern das Ergebnis einer Verarbeitung, die von Ihren eigenen Prozessen mit abhängt. Zwei Träger können dasselbe System einsetzen und zu unterschiedlichen Ergebnissen kommen.

Was Sie für die Vergabeakte brauchen, ist etwas anderes: Aussagen, die sich mit Ja oder Nein beantworten lassen und die ein Anbieter nicht guten Gewissens bejahen kann, wenn sie nicht zutreffen. Wie das Verfahren drum herum abläuft, vom Auftragswert über die Fristen bis zum Zuschlag, steht im Leitfaden Eventsoftware beschaffen.

Was das Vergaberecht von einer Leistungsbeschreibung verlangt

Der Maßstab steht nicht im Datenschutzrecht, sondern im Vergaberecht, und er ist deutlicher formuliert, als viele erwarten. Nach Paragraf 121 Absatz 1 GWB ist der Auftragsgegenstand so eindeutig wie möglich zu beschreiben, sodass die Beschreibung für alle Unternehmen im gleichen Sinne verständlich ist und die Angebote miteinander verglichen werden können.

Genau daran scheitert der pauschale Konformitätssatz. Er ist nicht für alle Unternehmen im gleichen Sinne verständlich, weil jeder Anbieter etwas anderes darunter versteht, und er macht Angebote nicht vergleichbar, weil alle dieselbe Antwort geben.

Paragraf 31 Absatz 2 VgV setzt das fort: Die Merkmale des Auftragsgegenstands sind so genau wie möglich zu fassen, dass sie ein klares Bild vermitteln und hinreichend vergleichbare Angebote erwarten lassen. Auf der Seite der Wertung verlangt Paragraf 127 Absatz 4 GWB, dass die Zuschlagskriterien so bestimmt sind, dass der Zuschlag nicht willkürlich erteilt werden kann und eine wirksame Überprüfung möglich ist, ob und inwieweit die Angebote sie erfüllen.

Eine praktische Nebenwirkung dieser Vorschriften wird häufig übersehen. Nach Paragraf 31 Absatz 6 VgV darf die Leistungsbeschreibung nicht auf ein bestimmtes Erzeugnis verweisen, wenn dadurch Unternehmen begünstigt oder ausgeschlossen werden. Ist ein Verweis ausnahmsweise nötig, weil sich der Gegenstand anders nicht hinreichend genau beschreiben lässt, ist er mit dem Zusatz „oder gleichwertig“ zu versehen. Dasselbe gilt für Normbezüge. Wenn Sie also einen Standard zur Barrierefreiheit nennen, gehört dieser Zusatz dazu.

Von der Anforderung zum Kriterium

Der Übersetzungsschritt ist immer derselbe. Nehmen Sie die Anforderung, fragen Sie sich, woran Sie merken würden, dass sie nicht stimmt, und schreiben Sie die Antwort hin.

Aus „Daten werden sicher gespeichert“ wird so „Die Verarbeitung erfolgt ausschließlich auf Servern innerhalb der Bundesrepublik Deutschland, einschließlich Mailversand, Fehler-Tracking und Sicherungskopien“. Der Nachsatz ist der eigentliche Inhalt: Er schließt genau die Lücke, durch die in der Praxis Daten die EU verlassen, denn der Anwendungsserver steht oft in Frankfurt, während der Versanddienst für Bestätigungsmails und der Dienst für Fehlerprotokolle anderswo laufen.

Ein zweites Beispiel zeigt dieselbe Mechanik. Aus „Das System unterstützt die Betroffenenrechte“ wird „Der Auftraggeber kann den vollständigen Datenbestand zu einer namentlich benannten Person ohne Mitwirkung des Anbieters in einem maschinenlesbaren Format ausgeben und einzelne Datensätze selbst löschen“. Die erste Fassung bejaht jeder Anbieter. Die zweite trennt.

Die Kriterien im Einzelnen

Die folgenden Formulierungen sind für die Übernahme in eine Leistungsbeschreibung gedacht. Passen Sie sie an Ihre Verhältnisse an, statt sie unverändert zu übernehmen, denn ein Kriterium, das Sie selbst nicht begründen können, wird Ihnen in der Aufklärung vorgehalten.

Datenverarbeitung und Vertrag

• Verarbeitung ausschließlich auf Servern in Deutschland oder der EU, einschließlich aller Nebendienste
• Vorlage des Auftragsverarbeitungsvertrags mit dem Angebot, nicht nach Zuschlag, mit allen Pflichtangaben nach Artikel 28 DSGVO
• Namentliche Auflistung aller Unterauftragnehmer mit Sitz und Leistung
• Vorankündigung neuer Unterauftragnehmer mit Widerspruchsrecht und Frist
• Meldung von Datenschutzverletzungen an den Auftraggeber innerhalb von 24 Stunden nach Kenntnis

Der vierte Punkt hat eine unmittelbare Grundlage. Artikel 28 Absatz 2 DSGVO erlaubt dem Auftragsverarbeiter, weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung hinzuzuziehen; im Fall der allgemeinen Genehmigung muss er über jede beabsichtigte Änderung informieren, damit der Verantwortliche Einspruch erheben kann. Die Verordnung nennt dafür allerdings keine Frist. Die Frist entsteht erst durch Ihren Vertrag, und deshalb gehört sie in die Ausschreibung.

Technische Maßnahmen

• TOM-Anlage mit prüfbaren Angaben, mindestens zu Transportverschlüsselung, Zugriffsprotokollierung und Aufbewahrungsdauer der Sicherungskopien
• Rollenbasierte Rechtevergabe: Aussteller sehen ausschließlich die eigenen Kontakte, nicht die Gesamtliste
• Protokollierung von Exporten mit Zeitstempel und ausführendem Konto

Die Exportprotokollierung wirkt kleinlich und ist der Punkt, an dem sich im Ernstfall entscheidet, ob Sie einen Vorfall aufklären können. Ohne sie lässt sich nach einem Datenabfluss nicht feststellen, welche Liste wann das Haus verlassen hat.

Umsetzung der Betroffenenrechte

• Ausgabe des vollständigen Datenbestands zu einer Person in einem gängigen Format ohne Zutun des Anbieters
• Löschung eines einzelnen Datensatzes durch den Auftraggeber selbst
• Automatisierte Löschung nach konfigurierbarer Frist, mit Angabe, wann der Datensatz auch aus den Sicherungskopien verschwindet

Der erste Punkt sortiert die meisten Angebote aus. Artikel 12 Absatz 3 DSGVO verlangt, dass Sie über die auf einen Antrag ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang informieren. Verlängern lässt sich diese Frist um zwei weitere Monate, aber nur, wenn Komplexität oder Zahl der Anträge es erfordern und Sie die betroffene Person innerhalb des ersten Monats über die Verlängerung unterrichten. Wer eine Auskunft nur über ein Support-Ticket beim Anbieter beantworten kann, hängt für diese Frist an einer fremden Bearbeitungszeit.

Barrierefreiheit

Hier wird häufig die falsche Vorschrift zitiert. Das Barrierefreiheitsstärkungsgesetz richtet sich nach seinem Paragrafen 1 an Wirtschaftsakteure und betrifft Produkte und Dienstleistungen für Verbraucher. Für Sie als öffentlichen Auftraggeber ist es nicht die einschlägige Pflicht.

Die einschlägige Pflicht steht im Vergaberecht selbst. Nach Paragraf 121 Absatz 2 GWB sind bei der Beschaffung von Leistungen, die zur Nutzung durch natürliche Personen vorgesehen sind, außer in ordnungsgemäß begründeten Fällen die Zugänglichkeitskriterien für Menschen mit Behinderungen oder die Konzeption für alle Nutzer zu berücksichtigen. Eine Anmeldestrecke wird von natürlichen Personen genutzt, also greift die Vorschrift.

Welcher technische Standard gilt, hängt vom Träger ab. Für öffentliche Stellen des Bundes bestimmt Paragraf 12a BGG die Barrierefreiheit und verlangt in Absatz 3 ausdrücklich, sie bereits bei Planung, Ausschreibung und Beschaffung zu berücksichtigen; die Einzelheiten regelt die BITV 2.0, die in ihrem Paragrafen 3 die Erfüllung vermutet, wenn harmonisierte Normen eingehalten werden, und für Formulare sowie Authentifizierungs- und Zahlungsprozesse ein höchstmögliches Maß an Barrierefreiheit verlangt. Hochschulen und Kommunen unterliegen dagegen dem jeweiligen Landesrecht. Prüfbar formuliert:

• Anmeldestrecke nach WCAG 2.1 Stufe AA oder gleichwertig, ohne Pflicht zur Installation einer App
• Bedienbarkeit vollständig per Tastatur
• Vorlage eines Prüfberichts oder einer Erklärung zur Barrierefreiheit

Betrieb

• Bedienung durch Fachpersonal ohne IT-Kenntnisse, nachzuweisen in einer Teststellung
• Deutschsprachiger Support mit definierter Reaktionszeit am Veranstaltungstag
• Vollständiger Datenexport bei Vertragsende in einem offenen Format

Der letzte Punkt ist zugleich eine Vertragspflicht. Artikel 28 Absatz 3 DSGVO verlangt, dass der Auftragsverarbeiter nach Abschluss der Leistung alle personenbezogenen Daten nach Wahl des Verantwortlichen löscht oder zurückgibt und vorhandene Kopien löscht. Was die Verordnung nicht regelt, ist das Format. Ohne eine Festlegung in der Ausschreibung bekommen Sie Ihre Daten in einer Form zurück, die Sie nicht weiterverwenden können.

Die Meldefrist, die im Gesetz nicht steht

Zur Meldung von Datenschutzverletzungen kursiert eine Zahl, die an der falschen Stelle steht. Die 72 Stunden aus Artikel 33 Absatz 1 DSGVO betreffen Ihre eigene Meldung an die Aufsichtsbehörde, nicht die Meldung des Anbieters an Sie. Für den Auftragsverarbeiter sagt Absatz 2 nur, dass er unverzüglich meldet.

Daraus folgt die eigentliche Aufgabe der Ausschreibung. Sie müssen die 72 Stunden einhalten, aber Ihre Uhr beginnt erst zu laufen, wenn Sie Kenntnis haben. Wenn der Anbieter sich zwei Tage Zeit nimmt, bleibt Ihnen nichts. Eine vertragliche Frist von 24 Stunden ist deshalb keine Verschärfung der Verordnung, sondern die Übersetzung des Wortes „unverzüglich“ in eine Zahl, mit der Ihr eigener Prozess funktioniert. Verlangen Sie zusätzlich, dass die Meldung die Angaben nach Artikel 33 Absatz 3 bereits enthält, also Art der Verletzung, ungefähre Zahl der betroffenen Personen und Datensätze sowie die ergriffenen Maßnahmen. Sonst folgt auf die Meldung eine Woche Rückfragen.

Muss und Kann trennen

Ein häufiger Fehler ist, alle Kriterien gleich zu gewichten. Trennen Sie sauber: Ausschlusskriterien sind die, ohne die Sie das Angebot nicht annehmen dürfen, typischerweise Serverstandort, Auftragsverarbeitungsvertrag und Barrierefreiheit. Alles andere gehört in die Bewertung mit Punkten.

Beides muss offengelegt werden. Nach Paragraf 127 Absatz 5 GWB sind die Zuschlagskriterien und ihre Gewichtung in der Auftragsbekanntmachung oder den Vergabeunterlagen aufzuführen. Eine Gewichtung, die erst bei der Wertung entsteht, ist angreifbar.

Wer zu viele Ausschlusskriterien setzt, bekommt am Ende ein einziges Angebot oder keines. Wer zu wenige setzt, muss ein Angebot annehmen, das er nicht einsetzen kann. Eine brauchbare Faustregel: Ausschlusskriterium wird nur, was Sie im Zweifel als unverzichtbar begründen könnten.

Was Sie mit dem Angebot verlangen sollten

Drei Dokumente, und zwar zusammen mit dem Angebot: den Auftragsverarbeitungsvertrag im Entwurf, die TOM-Anlage und die Liste der Unterauftragnehmer. Wer sie erst nach Zuschlag herausgibt, verschiebt eine Prüfung, die zur Entscheidung gehört, in eine Phase, in der Sie nicht mehr wechseln können. Wie Sie den Vertrag dann durchgehen, steht in der AVV-Checkliste.

Ein vierter Punkt lohnt sich, kostet aber Vorbereitung: eine Teststellung mit einer echten kleinen Veranstaltung. Sie beantwortet die Frage nach der Bedienbarkeit besser als jede Selbstauskunft.

Wie Sie die Antworten prüfen

Ein Kriterienkatalog nützt wenig, wenn am Ende doch nur Häkchen verglichen werden. Drei Prüfungen kosten wenig Zeit und trennen zuverlässig.

Gleichen Sie zuerst die Unterauftragnehmerliste gegen die Behauptung zum Serverstandort ab. Findet sich dort ein Analyse-, Mail- oder Supportdienst mit Sitz außerhalb der EU, ist die pauschale Zusage widerlegt, ohne dass Sie tiefer prüfen müssen.

Lesen Sie zweitens die TOM-Anlage auf Konkretheit statt auf Vollständigkeit. Formulierungen wie „Stand der Technik“ oder „branchenübliche Verschlüsselung“ sind keine Angaben. Prüfbar sind benannte Verfahren, benannte Aufbewahrungsdauern und benannte Rollen.

Fragen Sie drittens in der Teststellung nach einem konkreten Vorgang: Bitten Sie darum, dass Ihre eigene Testperson eine Auskunft nach Artikel 15 erhält und anschließend gelöscht wird, und lassen Sie sich zeigen, wo dieser Vorgang protokolliert ist. Eine Software, die das nicht in wenigen Minuten kann, wird es im laufenden Betrieb auch nicht können. Die inhaltliche Systematik dahinter beschreiben die zwölf Prüfkriterien für Eventsoftware.

Der Zeitplan

Rechnen Sie rückwärts vom Veranstaltungstermin. Die Vergabe selbst braucht je nach Schwellenwert und Verfahren mehrere Wochen. Davor liegt die Abstimmung der Leistungsbeschreibung mit der Datenschutzbeauftragung, und die dauert erfahrungsgemäß länger als geplant. Danach folgt die Einrichtung, die bei Messeformaten mit Ausstellerstruktur und Hallenplan nicht an einem Nachmittag erledigt ist.

Wer die Software acht Wochen vor der Messe ausschreibt, plant zu knapp. Sechs Monate sind bei öffentlichen Trägern nach unserer Einschätzung eine realistische Größenordnung, wobei der Schwellenwert und die gewählte Verfahrensart den Ausschlag geben.

Welche inhaltlichen Anforderungen hinter den Kriterien stehen, beschreibt der Leitfaden Datenschutz bei Veranstaltungen.

Häufige Fragen

Darf ich einen deutschen Serverstandort zur Bedingung machen?

Sie können den Ort der Verarbeitung als Anforderung festlegen, sollten ihn aber aus dem Auftragsgegenstand begründen und nicht als Selbstzweck setzen. Die DSGVO verbietet Drittlandtransfers nicht generell, sondern knüpft sie an die Voraussetzungen ihres Kapitels V. Eine Beschränkung, die faktisch nur einen Anbieter übriglässt, gerät in Konflikt mit dem Gebot, allen Unternehmen den gleichen Zugang zu gewähren.

Reicht eine Zertifizierung als Nachweis?

Sie hilft, ersetzt die Prüfung aber nicht. Entscheidend ist, welchen Geltungsbereich das Zertifikat hat. Ein Zertifikat für das Rechenzentrum sagt nichts über die Anwendung, und eines für das Unternehmen nichts über das konkrete Produkt. Verlangen Sie deshalb den Geltungsbereich mit.

Muss ich die Barrierefreiheit wirklich aufnehmen?

Bei Leistungen, die von natürlichen Personen genutzt werden, sind die Zugänglichkeitskriterien nach Paragraf 121 Absatz 2 GWB außer in ordnungsgemäß begründeten Fällen zu berücksichtigen. Eine Anmeldestrecke fällt darunter. Das Weglassen wäre begründungsbedürftig, nicht die Aufnahme.

Was, wenn kein Anbieter alle Ausschlusskriterien erfüllt?

Dann waren die Kriterien zu eng oder der Markt gibt sie nicht her. Beides merken Sie besser vor der Bekanntmachung als danach. Eine Markterkundung im Vorfeld ist dafür der übliche Weg; sie ersetzt das Verfahren nicht, verhindert aber eine Ausschreibung ohne wertbare Angebote.

Wie detailliert darf ich Funktionen beschreiben?

So detailliert, wie es der Auftragsgegenstand trägt, aber ohne auf ein bestimmtes Erzeugnis zu verweisen, wenn dadurch Unternehmen begünstigt oder ausgeschlossen werden. Wo ein Verweis unvermeidlich ist, verlangt Paragraf 31 Absatz 6 VgV den Zusatz „oder gleichwertig“. Beschreiben Sie deshalb die Funktion und nicht die Umsetzung eines bestimmten Systems.

Gilt das alles auch unterhalb der EU-Schwellenwerte?

Die genannten Vorschriften des GWB und der VgV gelten oberhalb der Schwellenwerte. Darunter richtet sich das Verfahren nach der Unterschwellenvergabeordnung oder dem jeweiligen Landesrecht. Die Anforderungen an Eindeutigkeit und Vergleichbarkeit sind dort der Sache nach dieselben, die Fundstelle ist eine andere. Welche Regeln für Sie gelten, klären Sie mit Ihrer Vergabestelle.

Kurz zusammengefasst

Eine Leistungsbeschreibung wird nicht dadurch datenschutzfreundlich, dass das Wort DSGVO darin vorkommt. Sie wird es dadurch, dass jede Anforderung eine Antwort erzwingt, die falsch sein kann. Der Serverstandort einschließlich aller Nebendienste, die Vorlage der drei Dokumente mit dem Angebot, die eigenständige Auskunft und Löschung sowie eine benannte Meldefrist sind die vier Punkte, die den größten Unterschied machen.

Alles übrige folgt aus der Trennung von Muss und Kann und aus der Bereitschaft, die Antworten tatsächlich zu prüfen statt nur einzusammeln.

Dieser Text gibt einen Überblick und ersetzt weder Rechts- noch Vergabeberatung. Die Schwellenwerte und Verfahrensarten richten sich nach dem jeweils geltenden Vergaberecht.

Verwandte Artikel

• Datenschutz bei Veranstaltungen: der Leitfaden
• AVV für Eventsoftware: die Checkliste
• Eventmanagement-Software für Universitäten
• Was Eventsoftware wirklich kostet