---
title: "Datenschutzrollen im RFP trotz offenem Design beantworten"
description: "Ein bedingter Rollenplan zeigt, wie offene Designentscheide Zwecke, Verantwortlichkeiten, Pflichten und Angebotswortlaut verändern."
canonical: "https://zephior.com/de/insights/answer-an-rfp-privacy-question"
last-updated: 2026-09-05
---

# Datenschutzrollen im RFP trotz offenem Design beantworten

> Ein bedingter Rollenplan zeigt, wie offene Designentscheide Zwecke, Verantwortlichkeiten, Pflichten und Angebotswortlaut verändern.

Von [Tony Kim](https://zephior.com/de/authors/tony-kim). Veröffentlicht 2026-09-05; aktualisiert 2026-09-05. 16 Min. Lesezeit.

## Definition

Ein bedingter Datenschutzrollen-Entscheidungsplan beschreibt ein Angebot, dessen Verarbeitung noch von offenen Fach- oder Produktentscheiden abhängt. Für jeden Verarbeitungsvorgang stellt er die lieferbaren Designvarianten getrennt dar. Jede Zeile hält Zweck, entscheidende Mittel, Weisungen, Arbeitshypothese zur Rolle, rechtliche und operative Folge, Belegstatus, offenen Entscheid, zuständige Person und freigegebenen Angebotswortlaut fest. Der Plan ersetzt keine rechtliche Einordnung. Er bereitet eine nachvollziehbare Entscheidung der dafür befugten Datenschutz- oder Rechtsfunktion vor.

## Problem

Das fiktive Stadtwerk Lindenhafen beschafft ein Portal für Anträge auf kommunale Energiesparförderung. Noch offen ist, ob das Stadtwerk alle Prüfregeln vorgibt, ob der Anbieter Auffälligkeitsmerkmale für eine Betrugsprüfung entwickelt, ob antragsbezogene Daten für einen Vergleich mehrerer Programme verwendet werden und wer die Empfänger eines Wirkungsberichts bestimmt. Im Fragebogen steht trotzdem nur: „Erfolgt jede Verarbeitung durch den Auftragnehmer als Auftragsverarbeiter?“ Ein pauschales Ja kann bei einer anbietereigenen Zwecksetzung falsch sein. Ein pauschales Nein beschreibt die weisungsgebundene Antragsbearbeitung nicht. „Wird später geklärt“ lässt Bewertungsgrundlage, Schutzmassnahmen und Verantwortung offen.

## Perspektive

Ordnen Sie nicht zuerst die Vertragsparteien, sondern jeden relevanten Verarbeitungsvorgang ein. Halten Sie fest, wer den Zweck und die wesentlichen Mittel tatsächlich bestimmt und welche praktischen Ausführungsentscheide innerhalb dokumentierter Weisungen liegen. Formulieren Sie Rollen zunächst als begründete Arbeitshypothesen. Zeigen Sie dann je Designvariante, was sich an Auftragsverarbeitungsvertrag, Transparenz, Betroffenenrechten, Verzeichnis, Datenschutz-Folgenabschätzung, Unterauftragnehmern und Nachweisen ändert. Die befugte Datenschutz- oder Rechtsprüfung trifft die endgültige Einordnung für das anwendbare Recht.

## Die Rollenfrage braucht zuerst einen festen Gegenstand

Beginnen Sie mit der aktuellen Frage, nicht mit dem Mustervertrag. Dokumentieren Sie Vergabestelle, Verfahren, Los, Version, Fundstelle, Definitionen, Antworten der Vergabestelle, verlangtes Format und Bewertungsart. Halten Sie auch fest, wann die Aussage stimmen muss: bei Abgabe, Zuschlag, Designfreigabe oder Aufnahme der Verarbeitung. Diese Zeitpunkte dürfen nicht ineinanderfallen. Ein künftig konfigurierbares Merkmal ist bei Abgabe ein Angebot und kein Nachweis des gegenwärtigen Betriebs.

Grenzen Sie danach die konkrete Leistung ab. Lindenhafen ist eine erfundene Kommune. Das Beispiel enthält keine Aussage über ein bestehendes Portal oder einen wirklichen Anbieter. Zum fiktiven Angebot gehören Antragserfassung, Dokumentenprüfung, Förderentscheidung durch Beschäftigte des Stadtwerks, Benachrichtigung, Benutzerverwaltung, Support sowie wählbare Auffälligkeits- und Auswertungsfunktionen. Name und Datenschutzerklärung einer Produktsuite reichen nicht, um diese Variante zu beschreiben.

Im deutschen Oberschwellenbereich wird das wirtschaftlichste Angebot nach dem besten Preis-Leistungs-Verhältnis ermittelt. § 58 VgV erlaubt qualitative Kriterien und verlangt ihre Gewichtung oder Rangfolge. Eine Datenschutzantwort muss daher genau das veröffentlichte Kriterium und den verlangten Nachweis treffen. Eine lange Rechtsdarstellung ohne Angebotsentscheidung hilft der Wertung ebenso wenig wie ein unbelegtes Ja.

**Fester Rahmen für die fiktive Lindenhafen-Antwort**

| Feld | Dokumentierter Stand | Schutzwirkung |
| --- | --- | --- |
| Aussage | Jede Verarbeitung des Auftragnehmers erfolgt als Auftragsverarbeitung | Der absolute Satz wird in einzelne Vorgänge zerlegt |
| Geltungszeit | Angebotsmodell bei Abgabe, endgültige Prüfung vor Designfreigabe | Ein späteres Deliverable wird nicht als Ist-Zustand ausgegeben |
| Offene Wahl | Prüfregeln, Vergleichsauswertung, Merkmalsentwicklung und Empfänger | Jede Wahl kann Zweck oder wesentliche Mittel verschieben |
| Belegstichtag | Aktuelle Produkt- und Prozessstände zur redaktionellen Freigabe | Spätere Änderungen sind nicht still mitgemeint |
| Befugnis | Fachverantwortliche bestätigen Tatsachen; Datenschutz oder Recht ordnet ein | Das Proposal-Team entscheidet keine Rechtsfrage |

## Der Produktname verrät weder Zweck noch Entscheidungsmacht

Modellieren Sie tatsächliche Verarbeitungsvorgänge. Bei Lindenhafen kann die Antragsbearbeitung dem gesetzlichen oder öffentlichen Förderauftrag des Stadtwerks dienen. Ein Supportfall dient der Wiederherstellung einer Funktion. Die Verwaltung von Anbieterkonten und die Erkennung eines Angriffs können einem abgegrenzten Sicherheitszweck folgen. Eine vergleichende Produktanalyse kann wiederum einen anderen Zweck und andere Empfänger besitzen. Gleiche Infrastruktur macht diese Ziele nicht zu einem Vorgang.

Jede Zeile beschreibt betroffene Personen, Datenarten, Herkunft, Operationen, Empfänger, Aufbewahrung und Löschung. Danach folgt die Entscheidungsmacht. Wer bestimmt den Zweck? Wer legt die wesentlichen Mittel fest, etwa Datenarten, Personenkreis, Empfänger und Dauer? Welche Detailentscheide zur technischen Umsetzung bleiben beim Dienstleister? Die endgültigen Leitlinien 07/2020 des Europäischen Datenschutzausschusses trennen wesentliche von nicht wesentlichen Mitteln und stellen auf die tatsächlichen Funktionen ab.

Eine Organisation kann für verschiedene Vorgänge verschiedene Rollen haben. Der Anbieter kann Förderanträge auf Weisung verarbeiten und für abgegrenzte eigene Kontosicherheitsdaten anders einzuordnen sein. Das ist keine fertige juristische Aussage. Es ist der Prüfauftrag, den eine pauschale Rollenbezeichnung sonst verdecken würde.

**Kernfelder eines Verarbeitungsvorgangs**

| Prüffeld | Zu dokumentierende Frage | Grund für eine neue Zeile |
| --- | --- | --- |
| Zweck | Warum findet die Verarbeitung statt? | Ein anderes Ziel wird verfolgt |
| Personen und Daten | Wessen Daten welcher Art sind erforderlich? | Eine optionale Gruppe oder sensible Daten kommen hinzu |
| Operation und Empfänger | Was geschieht und wer erhält ein Ergebnis? | Eine neue Offenlegung oder wesentliche Operation entsteht |
| Entscheidung | Wer bestimmt Zweck und wesentliche Mittel? | Die Tatsachen ändern sich, nicht bloss der Vertragstext |
| Weisung | Welche dokumentierte Vorgabe bindet den Dienstleister? | Der Dienstleister verfolgt einen Zweck ausserhalb der Weisung |
| Lebenszyklus | Wann beginnt, ändert und endet die Nutzung? | Dauer, Archiv, Export oder Wiederherstellung unterscheiden sich |

## Eine gute Rollenhypothese nennt ihre Widerlegung

„Der Anbieter ist Auftragsverarbeiter“ enthält noch keine prüfbare Begründung. Schreiben Sie stattdessen: Das Stadtwerk bestimmt Förderzweck, berechtigte Personengruppen, Pflichtfelder, Prüfkriterien, zugelassene Empfänger und Aufbewahrungszeit. Der Anbieter führt bezeichnete Operationen auf dokumentierte Weisung aus und wählt technische Details innerhalb dieses Rahmens. Als Gegenanzeichen notieren Sie beispielsweise eine eigene anbieterseitige Zielsetzung für identifizierbare Antragsdaten.

Prüfen Sie eine gemeinsame Verantwortlichkeit gesondert. Gemeinsame Beschaffung, technische Zusammenarbeit oder Zugriff auf dasselbe System reichen nicht automatisch. Massgeblich können gemeinsame Entscheide oder getrennte, aber konvergente Entscheide sein, ohne die die Verarbeitung in dieser Form nicht stattfinden würde. Ein bestätigtes Ergebnis führt zu einer transparenten Vereinbarung über Zuständigkeiten und funktionsfähigen Wegen für Betroffenenrechte. Die Verantwortung muss nicht in jedem Punkt gleich verteilt sein.

Der Vertrag folgt der Sachprüfung. Art. 28 DSGVO verlangt bei einer Verarbeitung im Auftrag einen Vertrag oder anderen Rechtsakt mit konkretem Gegenstand, Dauer, Art, Zweck, Daten, Personengruppen, Rechten und Pflichten. Art. 28 Abs. 10 behandelt einen Auftragsverarbeiter, der entgegen der DSGVO Zwecke und Mittel bestimmt, für diese Verarbeitung als Verantwortlichen. Eine Vertragsüberschrift kann ein abweichendes tatsächliches Produktverhalten daher nicht heilen.

**Variantenplan für ausgewählte Lindenhafen-Funktionen**

| Vorgang und Variante | Entscheidende Tatsachen | Arbeitshypothese | Folge vor Freigabe |
| --- | --- | --- | --- |
| Förderprüfung A: Stadtwerk gibt alle Kriterien vor | Stadtwerk bestimmt Ziel, Daten, Regeln, Empfänger und Dauer; Anbieter führt aus | Stadtwerk verantwortlich, Anbieter Auftragsverarbeiter | Weisungen und Unterstützung präzisieren; Konfiguration belegen |
| Auffälligkeit B: Anbieter entwickelt eigenes Risikoziel | Anbieter wählt Zielgrösse und wesentliche Eingaben für eine wiederverwendbare Bewertung | Eigene oder gemeinsame Verantwortlichkeit fachrechtlich prüfen | Kein pauschales AV-Versprechen; Rechtsgrundlage, Transparenz, Rechte und Risiko prüfen |
| Wirkungsbericht A: auftragsbezogene Auswertung | Stadtwerk bestimmt Fragen und Empfänger; Anbieter berechnet innerhalb der Weisung | Auftragsverarbeitung als Hypothese, solange Personenbezug besteht | Daten, Aggregation, Zugriff, Dauer und Löschung festlegen |
| Wirkungsbericht B: eigener Programmvergleich | Anbieter will Kundendaten für einen eigenen Vergleichszweck weiterverwenden | Gesonderte Verantwortlichenprüfung erforderlich | Weisung reicht nicht; Zweck, Erlaubnis, Information und Minimierung prüfen |
| Kontoschutz | Anbieter bestimmt abgegrenzten Sicherheitszweck und erforderliche Kontotelemetrie | Eigene Rollenprüfung für diesen Vorgang | Daten, Dauer, Zugriff, Information und Rechteweg dokumentieren |

## Die Designwahl verändert Pflichten und Lieferumfang

Führen Sie jede Variante bis zu ihren Folgen. Auftragsverarbeitung verlangt dokumentierte Weisungen, eine passende Vereinbarung, Vertraulichkeit, Sicherheit, Unterstützung, Rückgabe oder Löschung, Kontrollmöglichkeiten und eine geregelte Einbindung weiterer Auftragsverarbeiter. Eine Hypothese gemeinsamer Verantwortlichkeit führt zur Prüfung einer Vereinbarung nach Art. 26 sowie einer transparenten Darstellung der Zuständigkeiten. Für einen eigenen Verantwortlichenzweck sind Zweck, Rechtsgrundlage, Information, Rechte, Aufbewahrung und Rechenschaft gesondert zu bearbeiten.

Datenschutz durch Technikgestaltung gehört vor die Variantenwahl. Die Leitlinien zu Art. 25 DSGVO verlangen, geeignete Massnahmen bei der Festlegung der Verarbeitungsmittel und bei der Verarbeitung zu berücksichtigen. Dokumentieren Sie ausgeschlossene Daten, datenschutzfreundliche Voreinstellungen, Zugriffe, Trennung, Dauer und Prüfbelege. Bei voraussichtlich hohem Risiko entscheidet die zuständige verantwortliche Stelle über Notwendigkeit und Inhalt einer Datenschutz-Folgenabschätzung. Der Bieter liefert dafür Tatsachen, ersetzt aber nicht die gesetzliche Entscheidung der Stelle.

Ordnen Sie auch die Verarbeitungskette je Variante zu. In Stellungnahme 22/2024 behandelt der EDSA Pflichten von Verantwortlichen bei Auftragsverarbeitern und weiteren Auftragsverarbeitern. Identität, konkrete Leistung, Daten, Garantien und Risikobezug der Kette müssen prüfbar sein. Speicherorte und Drittlandübermittlungen bleiben Gegenstand einer eigenen Prüfung, werden aber über dieselben Vorgangs- und Variantenkennungen verknüpft.

- Benennen Sie die Stelle, die Weisungen erteilt und ändert.
- Ordnen Sie Datenschutzinformation und Rechtewege dem betroffenen Vorgang zu.
- Aktualisieren Sie Verzeichnis und Vertragsanlage mit Zweck, Daten, Dauer und Parteien.
- Geben Sie der Prüfung einer Datenschutz-Folgenabschätzung einen Eigentümer und Termin.
- Verknüpfen Sie jeden Unterauftragnehmer mit der auslösenden Funktion.
- Führen Sie Ort und Übermittlung in der dafür bestimmten Analyse weiter.

## Ein Beleg stützt die entscheidende Tatsache, nicht das Rollenwort

Die Einordnung stützt sich auf mehrere Unterlagen. Vergabe- und Leistungsbeschreibung zeigen Ziele. Produktentscheide erklären optionale Zwecke. Konfigurationen zeigen, wer Felder, Regeln und Empfänger setzen kann. Datenfluss und Betrieb beschreiben Operationen. Verzeichnis, Hinweise und Vertragsentwurf dokumentieren eine Position. Kein einzelnes Dokument entscheidet automatisch. Erfassen Sie Quelle, Version, Datum, fachlichen Eigentümer, Geltungsbereich und widersprechende Information.

Benutzen Sie verschiedene Zustände. Eine bestätigte Tatsache besitzt einen aktuellen Beleg für die angebotene Variante. Ein Angebotsdesign ist eine genehmigte künftige Lieferzusage. Eine Annahme benennt eine noch zu bestätigende Bedingung. Eine Rollenhypothese wartet auf befugte fachliche Prüfung. Ein unbekannter Wert erlaubt keine positive Aussage. Bei der redaktionellen Bearbeitung dürfen diese Unterschiede nicht verschwinden.

Geben Sie der Vergabestelle die Antwort, den Variantenplan und freigegebene Nachweisverweise. Personenbezogene Daten, interne Rechtsberatung, vertrauliche Kundenunterlagen, Sicherheitsbefunde und unnötige Konfigurationsdetails gehören nicht in eine breit zugängliche Anlage. Ein geschützter Nachweisweg ist nur zulässig, wenn Verfahren und Eigentümer ihn erlauben.

**Nachweisstatus und zulässiger Angebotswortlaut**

| Status | Erforderliche Grundlage | Zulässige Aussage | Freigabe |
| --- | --- | --- | --- |
| Bestätigte Tatsache | Aktueller Produkt- oder Betriebsbeleg für den genannten Umfang | Begrenzte Tatsache mit Referenz nennen | Fachlicher Eigentümer bestätigt Aktualität |
| Angebotsdesign | Freigegebenes Zielbild, Lieferverantwortung und Abnahmekriterium | Wird unter der genannten Abhängigkeit eingerichtet | Liefer- und kommerzielle Freigabe |
| Rollenhypothese | Zweck, wesentliche Mittel und Gegenanzeichen dokumentiert | Für diesen Vorgang schlagen wir folgende Rolle vor | Datenschutz oder Recht entscheidet |
| Annahme | Quelle, Auswirkung, Verantwortlicher und Bestätigungsdatum | Falls die Vergabestelle Variante A wählt, gilt folgende Position | Bestätigung oder verbindliche Klarstellung |
| Unbekannt | Frage, Eigentümer, Frist und sicherer Rückfall | Keine positive Behauptung; offenen Entscheid nennen | Freigabestelle akzeptiert Einschränkung oder stoppt |

## Die erste Zeile beantwortet die Frage der Vergabestelle

Eröffnen Sie nicht mit einer Zusammenfassung der DSGVO. Eine nach Prüfung mögliche Lindenhafen-Antwort lautet: „Für Antragsannahme, Förderfallbearbeitung und die vom Stadtwerk vollständig vorgegebene Regelprüfung schlagen wir das Stadtwerk als Verantwortlichen und den Anbieter als Auftragsverarbeiter vor. Dies setzt voraus, dass das Stadtwerk Zwecke, Antragstellergruppen, Pflichtdaten, materielle Regeln, Empfänger und Fristen gemäss Plan DS-04 bestimmt. Eine anbietereigene Vergleichsauswertung ist nicht Bestandteil des Angebots. Die Verarbeitung zur Kontosicherheit wird getrennt eingeordnet und ist von der pauschalen Aussage nicht umfasst.“ Der wirkliche Wortlaut braucht die fachliche Rechtsfreigabe.

Bei einem erzwungenen Ja-Nein-Feld nutzen Sie nur die vorgesehene Möglichkeit zur Erläuterung. Möglicherweise ist „Nein“ mit einer eng beschriebenen Ausnahme richtig. Vielleicht legt eine verbindliche Antwort der Vergabestelle die Eingabelogik fest. Ändern Sie das Formular nicht still. Wenn keine Einschränkung zugelassen und die absolute Aussage sachlich falsch ist, muss die Rechts- und Bid-Entscheidung vor Abgabe eskalieren.

Gleichen Sie die Kurzantwort mit Leistungsbeschreibung, Vertrag, Verzeichnis der Unterauftragnehmer, Sicherheitsantwort, Einführung, Preis und Präsentation ab. Eine ausgeschlossene Analysefunktion darf nicht in einer Demo oder einem Arbeitspaket wiederkehren. Der interne Entscheidungsplan steuert die Konsistenz; die Vergabestelle erhält den für Bewertung und Verständnis erforderlichen Ausschnitt.

## Ohne Entscheid führt die Variante in einen sicheren Zustand

Jede offene Variante braucht einen Auslöser, einen spätesten verantwortbaren Termin und eine Folge bei Schweigen. Lindenhafen kann die fachlichen Prüfkriterien in einer Verhandlungsstufe festlegen. Der Plan nennt befugte Entscheider, benötigte Daten und den Zeitpunkt vor dem finalen Angebot. Fehlt die Wahl, wird die Funktion ausgeschlossen oder es gilt nur eine freigegebene, vollständig vom Stadtwerk bestimmte Regel. Die Variante mit grösserer Datenschutzwirkung darf nicht durch Zeitablauf aktiv werden.

Einzelne Festlegungen dürfen nach Zuschlag, aber nur vor Aufnahme der Verarbeitung erfolgen, wenn Vergabeunterlagen und Vertrag dies zulassen. Kennzeichnen Sie sie als Lieferbedingung. Verknüpfen Sie Designfreigabe, Test, Vertragsanlage, Datenschutzinformation, Folgenabschätzung und Betriebsbereitschaft. Der Anbieter bestätigt Lieferbarkeit; die jeweils verantwortliche Stelle behält ihre gesetzliche Entscheidung.

Vollständige Tabellen sind noch keine Freigabe. Aktuelle Quellen, der genaue Angebotsumfang, gelöste oder offen benannte Widersprüche, die richtige Befugnis und ein deckungsgleicher Wortlaut bilden gemeinsam das Tor. Abweichende fachliche Auffassungen bleiben samt Entscheidung sichtbar.

## Ein neuer Zweck öffnet die Einordnung erneut

Verknüpfen Sie jede veröffentlichte Aussage mit Vorgangs- und Variantenkennung. Öffnen Sie sie bei geändertem Zweck, Datenumfang, Personenkreis, Empfänger, Dauer, Weisungsrecht, Dienstleister, Funktionsstandard oder Entscheider erneut. Dasselbe gilt für neue gesetzliche Vorgaben, aufsichtsbehördliche Leitlinien und verbindliche Vergabeklarstellungen. Die neue Einordnung erhält Version und Wirksamkeitsdatum. Der Stand bei Angebotsabgabe bleibt als Nachweis bestehen.

Das Standard-Datenschutzmodell 3.1 der Datenschutzkonferenz verbindet rechtliche Anforderungen mit technischen und organisatorischen Massnahmen und unterstützt eine fortlaufende Prüfung. Für den Rollenplan bedeutet das: Die gewählte Variante muss in Verarbeitung, Schutzmassnahmen und Nachweisen wiederzufinden sein. Das Modell entscheidet nicht die Rolle, hilft aber beim Prüfen der daraus folgenden Gestaltung.

Nach Zuschlag gleichen die Parteien gewählte Variante, unterzeichnete Regelung und eingerichteten Dienst ab, bevor personenbezogene Daten verarbeitet werden. Neue Analysezwecke, Produktänderungen oder weitere Dienstleister kehren später in dieselbe Zweck- und Mittelprüfung zurück. So bleibt die Angebotsaussage kontrollierbar, ohne eine Rollenfestlegung für unveränderlich zu erklären.

## Nützliche Ergebnisse

- Jede Aussage nennt Vergabeunterlage, Fundstelle, Rechtsraum, angebotene Variante und den Zeitpunkt, zu dem sie gelten muss.
- Antragsbearbeitung, Kontoverwaltung, Support, Auffälligkeitsprüfung und Programmauswertung besitzen getrennte Verarbeitungszeilen.
- Offene Gestaltungsentscheide haben nur lieferbare Varianten, einen Entscheider, eine Frist und einen sicheren Rückfall.
- Jede Rollenhypothese zeigt ihre tragenden Tatsachen sowie den Umstand, der sie widerlegen würde.
- Die Folgen für Vertrag, Information, Rechte, Verzeichnis, Risikoprüfung und Unterauftragnehmer sind vor der Auswahl sichtbar.
- Gegenwärtiger Stand, angebotenes Design, Annahme, ungeklärte Tatsache und rechtliche Prüfung bleiben unterscheidbar.
- Der Angebotstext beantwortet das Wertungskriterium, ohne einer Vertragsbezeichnung Gesetzeskraft zuzuschreiben.
- Ein späterer Designwechsel öffnet gezielt die betroffenen Vorgänge und Aussagen erneut.

## Ablauf

1. **Vergabe- und Rechtsrahmen fixieren.** Erfassen Sie Frage, Definitionen, Wertungslogik, Nachweisform, relevante Rechtsräume, Bieterunternehmen und den Geltungszeitpunkt der Antwort.
2. **Angebotene Lösung abgrenzen.** Benennen Sie Edition, Funktionen, Konfiguration, Schnittstellen, Nutzergruppen, Datenarten, Supportpfad und alle einbezogenen Stellen.
3. **Verarbeitungsvorgänge trennen.** Legen Sie eine neue Zeile an, sobald Zweck, Personengruppe, Daten, Empfänger, Dauer, Weisung oder Entscheidungsmacht wechselt.
4. **Lieferbare Designvarianten bilden.** Beschreiben Sie nur Varianten innerhalb des Angebots. Dokumentieren Sie Auslöser, Abhängigkeit, ausgeschlossene Wahl und spätesten Entscheidtermin.
5. **Entscheidende Tatsachen erheben.** Halten Sie je Vorgang fest, wer das Warum, die wesentlichen Mittel, praktische Ausführung und zulässige Weisungen bestimmt.
6. **Folgen je Variante ableiten.** Verknüpfen Sie die Hypothese mit Vertrag, Information, Rechten, Verzeichnis, Folgenabschätzung, Dienstleistern und Lieferarbeit.
7. **Tatsachen und Rolle freigeben.** Produkt und Betrieb bestätigen das Design. Die befugte Datenschutz- oder Rechtsfunktion genehmigt Einordnung, Einschränkung und Wortlaut.
8. **Antwort versionieren und überwachen.** Veröffentlichen Sie die gewählte oder bedingte Aussage und öffnen Sie verknüpfte Zeilen bei Auswahl, Änderung oder neuer Rechtsquelle erneut.

## Wichtige Entscheidungen

- Welche Fassung der Vergabeunterlage, Definition und Bieterfrage steuert die Antwort?
- Wird die Aussage als Mindestanforderung, Zuschlagskriterium, Vertragsangabe oder reine Information bewertet?
- Welche Rechtsordnungen und spezialgesetzlichen Pflichten müssen befugte Fachleute prüfen?
- Welche juristische Person bietet welche Edition, Funktion und Betriebsleistung an?
- Welchem konkreten Zweck dient jeder Verarbeitungsvorgang?
- Wer bestimmt Personengruppen, Datenarten, wesentliche Operationen, Empfänger und Dauer?
- Welche technischen Ausführungsentscheide darf der Anbieter innerhalb der Weisung treffen?
- Setzen mehrere Stellen gemeinsam oder konvergent entscheidende Vorgaben?
- Nutzt der Anbieter Daten für einen eigenen Sicherheits-, Abrechnungs-, Analyse- oder Verbesserungszweck?
- Welche Vertrags-, Informations-, Rechte- und Dokumentationsfolge löst jede Variante aus?
- Wer wählt die Variante, wer prüft die Rolle und wer darf die Verpflichtung im Angebot eingehen?
- Welcher Auslöser macht die Aussage ungültig oder erfordert eine neue Prüfung?

## Risiken

- Der Rahmenvertrag nennt Auftragsverarbeitung, und das Team überträgt die Bezeichnung ungeprüft auf alle Zwecke.
- Ein Systemeintrag vermischt Förderantrag, Kontoschutz, Supportkopie, Betrugsprüfung und Wirkungsanalyse.
- Eine nur angebotene Konfiguration erscheint im Text als bereits eingerichtet.
- Der Anbieter bestimmt Ziel und wesentliche Eingaben eines Analysemerkmals, das trotzdem als reine Ausführung bezeichnet wird.
- Gemeinsame Verantwortlichkeit wird allein aus Zusammenarbeit gefolgert oder trotz konvergenter Entscheide gar nicht geprüft.
- Die Wahl von Software und Sicherheitsdetails wird mit der Befugnis zu einem neuen Verarbeitungszweck verwechselt.
- Eine anbietereigene Weiterverwendung bleibt in Produktbedingungen verborgen und fehlt in Zweck- und Rollenprüfung.
- Die Anlage zur Auftragsverarbeitung entsteht vor dem Tätigkeitsmodell und beschreibt Gegenstand, Daten und Dauer zu grob.
- Eine risikoreiche Variante wird versprochen, obwohl die zuständige verantwortliche Stelle ihre Folgenabschätzung noch nicht beurteilt hat.
- Ein offener Punkt erhält beschwichtigenden Text, aber keinen Verantwortlichen, Termin oder sicheren Rückfall.
- Nach Designänderung bleiben Fragebogen, Vertragsanlage, Datenschutzinformation und Umsetzung auf verschiedenen Varianten.

## Kennzahlen

- Datenschutzaussagen mit genauer Fundstelle, Rechtsraum, Angebotsgrenze und Geltungsdatum
- materielle Zwecke mit eigenem Verarbeitungsvorgang statt eines gemeinsamen Systemlabels
- offene Designfragen mit vollständigen Angebotsvarianten, Entscheidern und Terminen
- Rollenhypothesen mit belegten Tatsachen zu Zweck und wesentlichen Mitteln
- Varianten mit verknüpften Folgen für Vertrag, Transparenz, Rechte, Register, Risiko und Dienstleister
- positive Angebotsaussagen mit aktueller Tatsachen- und Rollenfreigabe
- rollenabhängige Aussagen ohne befugten Prüfer oder Schliesskriterium; Zielwert null
- Designänderungen, die vor Freigabe alle abhängigen Aussagen öffnen
- Verarbeitungsvorgänge unter einer pauschalen Parteibezeichnung; Zielwert null

## Häufige Fragen

### Kann der Vertrag den Anbieter einfach zum Auftragsverarbeiter erklären?

Der Vertrag dokumentiert die geprüfte Position und ihre Pflichten. Er ersetzt nicht die tatsächliche Prüfung von Zweck und wesentlichen Mitteln je Verarbeitungsvorgang.

### Kann dasselbe Unternehmen Verantwortlicher und Auftragsverarbeiter sein?

Für verschiedene Verarbeitungsvorgänge sind unterschiedliche Rollen möglich. Zwecke und Dokumentation müssen getrennt bleiben; befugte Fachleute bestätigen die Einordnung.

### Macht die Wahl der Cloudtechnik den Anbieter zum Verantwortlichen?

Nicht für sich allein. Technische Detailentscheide können nicht wesentliche Mittel sein. Entscheidend sind Zweck und die für die Verarbeitung wesentlichen Mittel.

### Wann muss gemeinsame Verantwortlichkeit geprüft werden?

Wenn Parteien gemeinsame oder konvergente Entscheide für denselben Vorgang treffen. Zusammenarbeit oder ein gemeinsames System allein genügen nicht.

### Wie wird eine noch nicht gewählte Option beantwortet?

Zeigen Sie nur lieferbare Varianten, ihre Tatsachen und Folgen, den befugten Entscheider, die Frist und den sicheren Rückfall. Nennen Sie keine Variante als eingerichtet.

### Darf eine Weiterverwendung zur Produktverbesserung unter der AV-Aussage bleiben?

Nicht automatisch. Ein eigener Zweck des Anbieters braucht eine gesonderte Prüfung von Rolle, Erlaubnis, Rechtsgrundlage, Information, Rechten und Schutzmassnahmen.

### Kann der Bieter zusagen, dass keine Datenschutz-Folgenabschätzung nötig ist?

Die zuständige verantwortliche Stelle bewertet dies anhand des endgültigen Vorgangs. Der Bieter stellt genaue Design- und Risikoinformation bereit und nennt offene Entscheide.

### Wer genehmigt die endgültige Rollenbeschreibung?

Produkt und Lieferung bestätigen die Tatsachen. Befugte Datenschutz- oder Rechtsprüfer entscheiden Rolle und Einschränkung. Die kommerzielle Stelle genehmigt die Verpflichtung.


## Primärquellen

- [Datenschutz-Grundverordnung](https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu), EUR-Lex
- [Bundesdatenschutzgesetz](https://www.gesetze-im-internet.de/bdsg_2018/BJNR209710017.html), Bundesministerium der Justiz und Bundesamt für Justiz
- [Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern](https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DokumenteEDSA_Art29Gruppe/Guidelines/EDPB_20210701.pdf?__blob=publicationFile&v=3), Europäischer Datenschutzausschuss
- [Stellungnahme 22/2024 zu Auftragsverarbeitern und weiteren Auftragsverarbeitern](https://www.edpb.europa.eu/system/files/2024-10/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf), Europäischer Datenschutzausschuss
- [Leitlinien 4/2019 zu Datenschutz durch Technikgestaltung](https://www.edpb.europa.eu/documents/guideline/guidelines-42019-on-article-25-data-protection-by-design-and-by-default_de), Europäischer Datenschutzausschuss
- [Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern](https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj/deu), EUR-Lex
- [Standard-Datenschutzmodell, Version 3.1](https://www.datenschutzkonferenz-online.de/media/ah/SDM-Methode-V31.pdf), Datenschutzkonferenz
- [Anwendungshinweise der Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/anwendungshinweise.html), Datenschutzkonferenz
- [Kurzpapier 13 zur Auftragsverarbeitung, Orientierung von 2018](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf), Datenschutzkonferenz
- [Kurzpapier 16 zur gemeinsamen Verantwortlichkeit, Orientierung von 2018](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_16.pdf), Datenschutzkonferenz
- [Info 1, Datenschutz-Grundverordnung](https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile&v=27), Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
- [Info 6, Datenschutz-Folgenabschätzung](https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO6.pdf?__blob=publicationFile&v=9), Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
- [Kurzpapier 5 zur Datenschutz-Folgenabschätzung, Stand 2018](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_5.pdf), Datenschutzkonferenz
- [Muster für das Verzeichnis von Verarbeitungstätigkeiten](https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Muster/Muster_Hinweise_Verfahrensverzeichnis.pdf?__blob=publicationFile&v=7), Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
- [Vergabeverordnung, § 58 Zuschlag und Zuschlagskriterien](https://www.gesetze-im-internet.de/vgv_2016/__58.html), Bundesministerium der Justiz und Bundesamt für Justiz
- [Gesetz gegen Wettbewerbsbeschränkungen, § 127 Zuschlag](https://www.gesetze-im-internet.de/gwb/__127.html), Bundesministerium der Justiz und Bundesamt für Justiz
- [Richtlinie 2014/24/EU über die öffentliche Auftragsvergabe](https://eur-lex.europa.eu/eli/dir/2014/24/oj/deu), EUR-Lex
- [Urteil C-210/16, Wirtschaftsakademie Schleswig-Holstein](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62016CJ0210), Gerichtshof der Europäischen Union
- [Urteil C-40/17, Fashion ID](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62017CJ0040), Gerichtshof der Europäischen Union
- [Urteil C-25/17, Jehovan todistajat](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62017CJ0025), Gerichtshof der Europäischen Union


## Weiterführende Artikel

- [Wie ordnen Sie Datenschutzunterlagen einer RFP-Frage zu?](https://zephior.com/de/insights/map-privacy-controls-to-rfp-questions)
- [Schulung und Nutzung im RFP mit Ergebnissen belegen](https://zephior.com/de/insights/answer-an-rfp-training-and-adoption-question)
- [Healthcare-RFPs mit Patientendaten fundiert beantworten](https://zephior.com/de/industries/answer-healthcare-rfps-involving-patient-data)
- [Risikobasierte Prüfpunkte im Angebotsprozess festlegen](https://zephior.com/de/insights/design-risk-based-proposal-review-gates)