Wie ordnen Sie Datenschutzunterlagen einer RFP-Frage zu?

Ausgangslage

Verankern Sie die Datenschutzfrage im konkreten Angebot

Lesen Sie die Frage gemeinsam mit Begriffsbestimmungen, Leistungsbeschreibung, Vertragsentwurf, Datenschutzanlage, Antwortanweisung und Zuschlagskriterien. Halten Sie fest, ob eine Aussage bei Angebotsabgabe, nach Konfiguration, vor Inbetriebnahme oder während der Vertragslaufzeit gelten soll. Ein späteres Löschversprechen ist kein Nachweis für den heutigen Produktzustand.

Beschreiben Sie die angebotene Variante. Erfassen Sie Bietergesellschaft, Dienst, Edition, freigeschaltete Module, Mandantenmodell, Schnittstellen, Identitätsquelle, Betriebsumgebungen, Regionen, Supportmodell, Wiederanlauf und externe Anbieter. Ein öffentliches Datenschutzdokument kann mehrere Varianten abdecken. Die Vergabeantwort darf daraus keine fiktive Kombination der günstigsten Eigenschaften bilden.

Prüfen Sie Register, Verträge und Produktunterlagen gegen die aktuelle Umsetzung. Die Datenschutzkonferenz stellt mit dem Standard-Datenschutzmodell eine Methode bereit, rechtliche Anforderungen und technische sowie organisatorische Maßnahmen systematisch zu verbinden. Auch dieses Modell ersetzt nicht die Feststellung, welche Verarbeitung in der konkreten Leistung tatsächlich stattfindet.

Verarbeitungsbild

Trennen Sie Zwecke, Datenwege und Lebenszyklen

Ein Produkt ist keine einzelne Verarbeitung. Terminvereinbarung, Benachrichtigung, Benutzerverwaltung, Support, Betrugsabwehr, Sicherheitsprotokollierung und Abrechnung können unterschiedliche Zwecke, Daten und Fristen haben. Erstellen Sie eine neue Zeile, sobald sich Zweck, betroffene Gruppe, Empfänger, Weisung, Aufbewahrung oder Entscheidungshoheit wesentlich unterscheidet.

Folgen Sie den Daten durch alle Zustände. Neben Formularfeldern gehören Anhänge, Freitexte, Terminnotizen, Nachrichteninhalte, technische Kennungen, Protokolle, Exporte, temporäre Dateien, Caches, Supportkopien, Sicherungen und wiederhergestellte Bestände in die Prüfung, soweit sie im Angebot vorkommen. Halten Sie auch fest, welche Daten bewusst nicht erhoben oder weitergegeben werden.

Das Verzeichnis von Verarbeitungstätigkeiten ist dabei Ausgangspunkt und Kontrollobjekt zugleich. Es muss die reale Tätigkeit widerspiegeln. Eine Abweichung zur Architektur oder Konfiguration wird nicht durch eine redaktionelle Anpassung geheilt. Zuerst ist zu klären, welche Quelle veraltet ist und welche Umsetzung freigegeben werden soll.

Rollenprüfung

Begründen Sie die Rollenannahme mit tatsächlichen Entscheidungen

Die Überschrift eines Vertrags entscheidet die Rolle nicht allein. Nach den endgültigen Leitlinien 07/2020 des Europäischen Datenschutzausschusses kommt es darauf an, wer Zweck und wesentliche Mittel der jeweiligen Verarbeitung bestimmt. Deshalb kann derselbe Anbieter für kundenbeauftragte Tätigkeiten als Auftragsverarbeiter auftreten und bei einem eigenen Zweck gesondert zu beurteilen sein.

Dokumentieren Sie je Zweck, wer über das Warum entscheidet, welche Personengruppen und Daten wesentlich sind, welche Empfänger vorgesehen werden, wie lange die Tätigkeit benötigt wird und welche Weisungen gelten. Trennen Sie davon betriebliche Entscheidungen, die der Bieter innerhalb des vereinbarten Dienstes treffen kann. Unklare Tatsachen erhalten einen Eigentümer und eine Frist statt eines vorschnellen Rollenetiketts.

Führen Sie Unterauftragnehmer auf Tätigkeitsebene. Nennen Sie nicht nur eine Marke, sondern Rechtsträger, konkrete Leistung, Produktfunktion, Datenarten, etwaige Orte, Vertragsbezug, Genehmigungsweg und Änderungsmitteilung. Die Stellungnahme 22/2024 des Europäischen Datenschutzausschusses befasst sich ausdrücklich mit Verantwortlichkeiten in Verarbeiterketten. Sie ist eine Prüfquelle, kein Ersatz für die konkrete Vertrags- und Sachverhaltsprüfung.

Zuordnung

Verknüpfen Sie jede Teilforderung mit einer konkreten Vorkehrung

Zerlegen Sie Sammelfragen. Zweckbindung, Datenminimierung, Transparenz, Richtigkeit, Aufbewahrung, Auskunft, Berichtigung, Löschung, Weisungsbindung, Unterauftragnehmer, Vorfallunterstützung, Audit und Folgenabschätzung sind unterschiedliche Prüfaussagen. Eine technische Schutzmaßnahme kann Vertraulichkeit unterstützen, beantwortet aber nicht automatisch Zweck oder Erforderlichkeit.

Bewerten Sie die Beziehung. Direkt belegt bedeutet, dass Umsetzung und Nachweis die gesamte Aussage für das Angebot tragen. Teilweise belegt nennt die fehlende Datenart, Kopie, Bedingung oder Zeit. Kundenabhängig zeigt eine notwendige Weisung oder Konfiguration der Hochschule. Vertragsabhängig verweist auf eine noch zu vereinbarende Pflicht. Rechtsprüfung erforderlich und nicht unterstützt sind zulässige, wichtige Ergebnisse.

Rahmenwerke helfen bei der Strukturierung. NIST Privacy Framework 1.1 verbindet Datenschutzanforderungen mit Ergebnissen und Maßnahmen über ein Verarbeitungssystem hinweg. ISO/IEC 27701:2025 beschreibt ein Managementsystem für Datenschutzinformationen. Beide Quellen können Kontrollen auffindbar machen, belegen jedoch weder eine konkrete Löschung noch die rechtliche Rolle im Vergabefall.

Nachweisgrenzen

Prüfen Sie Dokumentation, Konfiguration und Betrieb getrennt

Ein Register beschreibt den Vorgang. Eine Richtlinie legt Regeln fest. Der Vertrag verteilt Weisungen und Mitwirkung. Die Produktbeschreibung nennt Fähigkeiten. Eine Konfigurationsaufnahme zeigt die gewählte Einstellung. Betriebsaufzeichnungen belegen einzelne oder vollständige Populationen von Löschungen, Anfragen oder Meldungen. Eine Datenschutz-Folgenabschätzung dokumentiert eine abgegrenzte Risikoentscheidung. Keines dieser Objekte darf den Beweiswert eines anderen übernehmen.

Führen Sie risikorelevante Abläufe mit sicheren Testdaten durch. Verfolgen Sie eine Auskunfts- oder Berichtigungsanfrage von der Identitätsprüfung über Suche, Zusammenstellung und Freigabe bis zur Übergabe. Prüfen Sie eine Löschpopulation gegen erfolgreiche, ausgenommene und fehlgeschlagene Objekte. Berücksichtigen Sie Archive, Sicherungen, Wiederherstellung und vom Kunden erzeugte Exporte entsprechend dem Leistungsumfang.

Ob eine Folgenabschätzung erforderlich ist und welche rechtliche Bewertung gilt, entscheidet die befugte Stelle. Halten Sie Verarbeitung, Fassung, Ausgangsrisiken, Maßnahmen, Restrisiko, offene Aufgaben, Beratung, Genehmigung und Wiedervorlage fest. Der Schweizer EDÖB und europäische Aufsichtsquellen beschreiben die Folgenabschätzung als Instrument für konkrete risikoreiche Verarbeitungen, nicht als allgemeines Zertifikat für ein Produkt.

Praxisbeispiel

Ordnen Sie die Datenschutzfrage eines Hochschulportals zu

Eine fiktive staatliche Hochschule beschafft ein Portal zur Buchung von Beratungsterminen. Die Datenschutzanlage verlangt weisungsgebundene Verarbeitung, möglichst wenige Pflichtfelder, Berichtigung und Löschung auf Anweisung, eine Löschung der Termindaten 90 Tage nach Abschluss sowie vorherige Genehmigung von Unterauftragnehmern. Studierende können freiwillig einen Barrierefreiheitsbedarf angeben. SMS-Erinnerungen sind eine wählbare Funktion.

Die Zuordnung bildet Terminverwaltung, optionale SMS, Supportdiagnose, Sicherheitsprotokolle und aggregierte Nutzungsstatistik als getrennte Tätigkeiten ab. Für jede werden Zweck, Personengruppe, Daten, Aufbewahrung und Beteiligte festgehalten. Die Hochschule wählt Pflichtfelder, Nachrichtenvorlagen und Löschfrist. Der Bieter bestimmt technische Umsetzung innerhalb dieser Vorgaben. Ob seine Statistik einen eigenen Zweck und eine andere Rolle begründet, geht mit dem konkreten Ereignismodell in die Datenschutzprüfung.

Die aktuelle Konfiguration verlangt nur Hochschulkennung, Kontaktweg und Termin. Angaben zum Beratungsanliegen und Barrierefreiheitsbedarf bleiben optional und sind für Beratende sichtbar. Der Löschlauf entfernt abgeschlossene Termine nach 90 Tagen; ein Abgleich belegt den letzten vollständigen Lauf. SMS-Daten gehen nur bei aktivierter Funktion an einen benannten Anbieter. Supportkopien folgen einem eigenen, kürzeren Ticketzyklus. Eine wiederhergestellte Sicherung wurde in der letzten Löschprobe nicht untersucht.

Die Antwort kann Datenminimierung und die aktive Löschpopulation beschreiben, muss aber optionale Freitextdaten, SMS-Aktivierung, Kundeneinstellung und Sicherungszyklus ausdrücklich begrenzen. Die Rollenformulierung und Zulässigkeit der freiwilligen Angaben bleiben bei der Datenschutzprüfung. Die Matrix entscheidet weder Rechtsgrundlage noch Erforderlichkeit im Hochschulrecht.

Antworttext

Formulieren Sie nur die fachlich und rechtlich freigegebene Aussage

Beantworten Sie jede Prüfaussage mit dem konkreten Dienst, der betroffenen Verarbeitung, der umgesetzten Vorkehrung, dem passenden Nachweis und einer wesentlichen Abhängigkeit. Ein allgemeiner Satz wie „DS-GVO-konform“ erklärt weder den Datenweg noch die Verantwortlichkeit. Verwenden Sie die von Datenschutz oder Recht freigegebene Terminologie für das betreffende Land und Verfahren.

Trennen Sie tatsächliches Verhalten, Vertragspflicht und rechtliche Folgerung. „Der konfigurierte Lauf entfernt abgeschlossene Termine nach 90 Tagen“ ist eine technische und betriebliche Aussage. „Der Bieter unterstützt den Verantwortlichen“ beschreibt eine vereinbarte Mitwirkung. „Die Hochschule ist Verantwortliche“ ist eine rechtliche Einordnung. Verknüpfen Sie die drei Ebenen, ohne sie gleichzusetzen.

Geben Sie nur erforderliche Unterlagen heraus. Eine kontrollierte Datenflussübersicht, Dienstleisterliste, Löschbeschreibung, Testzusammenfassung oder ein freigegebener Auszug aus der Folgenabschätzung kann genügen. Personenbezogene Testdaten, interne Rechtsberatung, detaillierte Systempläne und offene Feststellungen benötigen einen geschützten Prüfweg oder bleiben intern.

• Benennen Sie Tätigkeit, Produktfassung und Datenpopulation.
• Kennzeichnen Sie die Rollenannahme als freigegeben oder noch offen.
• Beschreiben Sie die Vorkehrung anhand eines prüfbaren Ergebnisses.
• Verweisen Sie auf einen Nachweis mit passendem Umfang und Datum.
• Übernehmen Sie Kundenhandlungen, Dienstleisterbedingungen und Einschränkungen.
• Veröffentlichen Sie nur den für die Vergabe genehmigten Inhalt.

Wiedervorlage

Öffnen Sie abhängige Angaben nach einer Verarbeitungsänderung

Versehen Sie jede Zuordnung mit Prüfdatum und Änderungsregeln. Nachtrag, neue Weisung, Produktversion, Modul, Zweck, Datenfeld, Auswertung, Schnittstelle, Empfänger, Unterauftragnehmer, Staat, Supportweg, Frist, Betroffenenprozess, Vorfallverfahren, Prüfungsfeststellung oder geänderte Rechtsbewertung können bestehende Aussagen entwerten. Bewahren Sie den ersetzten Stand samt Grund auf.

Geeignete Zustände sind Frage erfasst, Tätigkeit abgebildet, Rollenprüfung erforderlich, Vorkehrung bestätigt, Kundenabhängigkeit offen, Vertragsregel ausstehend, Nachweis unvollständig, Offenlegungsfreigabe nötig, Antwort freigegeben und ersetzt. Sie beschreiben den Arbeitsstand und nehmen keine rechtliche Entscheidung vorweg.

Bewahren Sie die Zuordnung beim Vergabevorhaben. Für einen späteren Fragebogen dürfen Verarbeitungstatsachen nur übernommen werden, wenn Angebot, Zweck, Beteiligte, Daten, Orte, Fristen, Rechtsrahmen und Nachweisdatum noch passen. Wiederverwendet wird die geprüfte Grundlage, nicht die alte Ja-Antwort.