Datenschutz in der Leistungsbeschreibung: Eventsoftware ausschreiben
Öffentliche Träger scheitern bei der Beschaffung von Eventsoftware selten an der DSGVO selbst. Sie scheitern daran, ihre Anforderungen so zu formulieren, dass Angebote vergleichbar werden. Dieser Text zeigt, wie aus „DSGVO-konform“ prüfbare Kriterien werden, die eine Vergabeentscheidung tragen.
Warum „DSGVO-konform“ in einer Ausschreibung wertlos ist
Die Formulierung steht in fast jeder Leistungsbeschreibung, und fast jeder Anbieter kreuzt sie an. Das liegt nicht an Unehrlichkeit, sondern daran, dass der Begriff nichts Prüfbares bezeichnet. Konformität ist keine Eigenschaft einer Software, sondern das Ergebnis einer Verarbeitung, die von Ihren eigenen Prozessen mit abhängt.
Was Sie für die Vergabeakte brauchen, ist etwas anderes: Aussagen, die sich mit Ja oder Nein beantworten lassen und die ein Anbieter nicht guten Gewissens bejahen kann, wenn sie nicht zutreffen.
Von der Anforderung zum Kriterium
Der Übersetzungsschritt ist immer derselbe. Nehmen Sie die Anforderung, fragen Sie „Woran würde ich merken, dass das nicht stimmt?“, und schreiben Sie die Antwort hin.
Aus „Daten werden sicher gespeichert“ wird so „Die Verarbeitung erfolgt ausschließlich auf Servern innerhalb der Bundesrepublik Deutschland, einschließlich Mailversand, Fehler-Tracking und Sicherungskopien“. Der Nachsatz ist der eigentliche Inhalt: Er schließt genau die Lücke, durch die in der Praxis Daten die EU verlassen.
Die Kriterien im Einzelnen
Datenverarbeitung und Vertrag
- Verarbeitung ausschließlich auf Servern in Deutschland oder der EU, einschließlich aller Nebendienste
- Vorlage des Auftragsverarbeitungsvertrags mit dem Angebot, nicht nach Zuschlag, mit allen Pflichtangaben nach Artikel 28 DSGVO
- Namentliche Auflistung aller Unterauftragnehmer mit Sitz und Leistung
- Vorankündigung neuer Unterauftragnehmer mit Widerspruchsrecht und Frist
- Meldung von Datenschutzverletzungen an den Auftraggeber innerhalb von 24 Stunden nach Kenntnis
Technische Maßnahmen
- TOM-Anlage mit prüfbaren Angaben, mindestens zu Transportverschlüsselung, Zugriffsprotokollierung und Aufbewahrungsdauer der Sicherungskopien
- Rollenbasierte Rechtevergabe: Aussteller sehen ausschließlich die eigenen Kontakte, nicht die Gesamtliste
- Protokollierung von Exporten mit Zeitstempel und ausführendem Konto
Umsetzung der Betroffenenrechte
- Ausgabe des vollständigen Datenbestands zu einer Person in einem gängigen Format ohne Zutun des Anbieters
- Löschung eines einzelnen Datensatzes durch den Auftraggeber selbst
- Automatisierte Löschung nach konfigurierbarer Frist, mit Angabe, wann der Datensatz auch aus den Sicherungskopien verschwindet
Der erste Punkt ist der, der die meisten Angebote aussortiert. Wer eine Auskunft nur über ein Support-Ticket beim Anbieter beantworten kann, wird die Monatsfrist regelmäßig reißen.
Barrierefreiheit
Seit dem Barrierefreiheitsstärkungsgesetz ist das kein Wunschkriterium mehr. Prüfbar formuliert:
- Anmeldestrecke nach WCAG 2.1 Stufe AA, ohne Pflicht zur Installation einer App
- Bedienbarkeit vollständig per Tastatur
- Vorlage eines Prüfberichts oder einer Erklärung zur Barrierefreiheit
Betrieb
- Bedienung durch Fachpersonal ohne IT-Kenntnisse, nachzuweisen in einer Teststellung
- Deutschsprachiger Support mit definierter Reaktionszeit am Veranstaltungstag
- Vollständiger Datenexport bei Vertragsende in einem offenen Format
Muss und Kann trennen
Ein häufiger Fehler ist, alle Kriterien gleich zu gewichten. Trennen Sie sauber: Ausschlusskriterien sind die, ohne die Sie das Angebot nicht annehmen dürfen, typischerweise Serverstandort, Auftragsverarbeitungsvertrag und Barrierefreiheit. Alles andere gehört in die Bewertung mit Punkten.
Wer zu viele Ausschlusskriterien setzt, bekommt am Ende ein einziges Angebot oder keines. Wer zu wenige setzt, muss ein Angebot annehmen, das er nicht einsetzen kann.
Was Sie mit dem Angebot verlangen sollten
Drei Dokumente, und zwar zusammen mit dem Angebot: den Auftragsverarbeitungsvertrag im Entwurf, die TOM-Anlage und die Liste der Unterauftragnehmer. Wer sie erst nach Zuschlag herausgibt, verschiebt eine Prüfung, die zur Entscheidung gehört, in eine Phase, in der Sie nicht mehr wechseln können. Wie Sie den Vertrag dann durchgehen, steht in der AVV-Checkliste.
Ein vierter Punkt lohnt sich, kostet aber Vorbereitung: eine Teststellung mit einer echten kleinen Veranstaltung. Sie beantwortet die Frage nach der Bedienbarkeit besser als jede Selbstauskunft.
Der Zeitplan
Rechnen Sie rückwärts vom Veranstaltungstermin. Die Vergabe selbst braucht je nach Schwellenwert und Verfahren mehrere Wochen. Davor liegt die Abstimmung der Leistungsbeschreibung mit der Datenschutzbeauftragung, und die dauert erfahrungsgemäß länger als geplant. Danach folgt die Einrichtung, die bei Messeformaten mit Ausstellerstruktur und Hallenplan nicht an einem Nachmittag erledigt ist.
Wer die Software acht Wochen vor der Messe ausschreibt, plant zu knapp. Sechs Monate sind bei öffentlichen Trägern eine realistische Größenordnung.
Welche inhaltlichen Anforderungen hinter den Kriterien stehen, beschreibt der Leitfaden Datenschutz bei Veranstaltungen.
Dieser Text gibt einen Überblick und ersetzt weder Rechts- noch Vergabeberatung. Die Schwellenwerte und Verfahrensarten richten sich nach dem jeweils geltenden Vergaberecht.
