Was wird bei einer Ausschreibung zum Datenschutz gefragt?

Ausschreibungen fordern vor allem nachweisbare DSGVO-Compliance

Eine Ausschreibung verlangt selten ein umfassendes Rechtsdokument, aber sehr wohl einen Nachweis, dass ein Anbieter seine Angelegenheiten in Ordnung hat. In der Praxis geht es um einige wiederkehrende Themen: ob eine Verarbeitungsvereinbarung zustande kommt, wenn die Aufgabe mit personenbezogenen Daten arbeitet, welche Sicherheitsmaßnahmen getroffen werden, ob Unterauftragnehmer eingesetzt werden und wo diese ansässig sind, und ob der Anbieter nachweisen kann, dass er seine eigenen Verarbeitungen kennt und dokumentiert.

Viele Auftraggeber fragen außerdem ausdrücklich, ob ein Anbieter einen Datenschutzbeauftragten benannt hat, und manchmal, ob Erfahrung mit einer Datenschutz-Folgenabschätzung besteht. Ob ein solcher Beauftragter verpflichtend ist, hängt von der Situation des Anbieters selbst und von dem Land ab, in dem dieser ansässig ist: In den Niederlanden ergibt sich die Verpflichtung aus Artikel 37 der DSGVO ohne Personalbestandsschwelle, während in Deutschland eine Schwelle von zwanzig Mitarbeitern gemäß nationalem Recht gilt. Was überall gleich bleibt, ist, dass ein Anbieter nachweisen muss, was er tut und warum dies den Anforderungen entspricht — nicht, dass er ein bestimmtes Dokument vorlegt.

Dies ergibt sich aus dem Rechenschaftsprinzip und den Regeln für Auftragsverarbeiter

Dass eine Ausschreibung Nachweisbarkeit statt ein Gütesiegel verlangt, entspricht Artikel 5 der DSGVO: Das Rechenschaftsprinzip bedeutet, dass eine Organisation nachweisen muss, dass sie den Grundsätzen der Verordnung entspricht, ohne dass die Verordnung vorschreibt, über welches genaue Dokument dies geschieht. Wenn die Aufgabe mit sich bringt, dass der Anbieter personenbezogene Daten im Namen des Auftraggebers verarbeitet, ist Artikel 28 der DSGVO die Grundlage für die Anforderung einer Verarbeitungsvereinbarung, die unter anderem Vereinbarungen über Unterauftragsverarbeiter und Sicherheitsmaßnahmen enthält. Für die Frage, wann ein Datenschutzbeauftragter verpflichtend ist, und bei wem eine Datenschutzverletzung gemeldet wird, gilt für einen Anbieter in den Niederlanden die Autoriteit Persoonsgegevens und das Uitvoeringswet AVG; für einen Anbieter in einem anderen Land gelten die eigene nationale Aufsichtsbehörde und Gesetze, auch wenn der Kern der DSGVO überall gleich ist.