Verkauf von Software an den öffentlichen Sektor und das Gesundheitswesen der EU

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2014/24/EU on public procurement
• Regulation (EU) 2022/2554 — DORA for financial supervisors
• Regulation (EU) 2023/2841 on cybersecurity in Union entities

Wer muss benennen

Anbieter außerhalb der Union, die Software oder Dienstleistungen an öffentliche Stellen, Krankenhäuser oder Schulen in der EU verkaufen. Das rechtliche Minimum ist ein Vertreter gemäß Artikel 27; die praktischen Anforderungen, die durch die Beschaffung auferlegt werden, sind in der Regel viel höher, einschließlich EU-Datenresidenz, EU-basiertem Support und vertraglichen Garantien gegen den Zugriff von Drittländern.

Schwellen und Ausnahmen

Keine rechtliche Schwelle. Die Beschaffungsschwellen bestimmen, welches Ausschreibungsverfahren gilt, aber die Datenanforderungen gelten bei jeder Vertragsgröße.

Was auf das Etikett gehört

Nicht physisch. Der Vertreter in der Datenschutzerklärung und in den Ausschreibungsunterlagen, zusammen mit der Liste der Unterauftragsverarbeiter, der Erklärung zum Datenstandort und der Transferanalyse.

Marktplatz-Felder

Hier entscheidet die Compliance über den Umsatz: Mehrere Mitgliedstaaten haben US-basierte Cloud-Dienste im öffentlichen Gesundheitswesen und in der Bildung nach Transferbewertungen ausgeschlossen oder eingeschränkt, und Ausschreibungsfragebögen fragen jetzt direkt nach dem Zugriff von Drittländern auf Daten, einschließlich unter ausländischen Überwachungsgesetzen.

Unterlagen, die Sie vorhalten müssen

Artikel 30 Aufzeichnungen, Artikel 28 Bedingungen, die den Standardklauseln entsprechen, die viele öffentliche Käufer auferlegen, die Artikel 27 Bezeichnung, eine Transferfolgenabschätzung, die den Zugriff der Regierung im Heimatland des Anbieters behandelt, Liste der Unterauftragsverarbeiter mit Änderungsbenachrichtigung, Prüfungsrechte, Exit- und Datenrückgabepläne sowie Sicherheitszertifizierungen, die der Käufer verlangt.

Normen und Prüfungen

Sicherheitsaudits und Penetrationstests sind vertragliche Anforderungen in den meisten öffentlichen Ausschreibungen, und einige Mitgliedstaaten verlangen spezifische nationale Zertifizierungen.

Sprachanforderungen

Dokumentation und Support in der Sprache der ausschreibenden Stelle, was in den meisten öffentlichen Ausschreibungen eine harte Anforderung ist.

Ab wann es gilt

Vor der Reaktion auf eine Ausschreibung, da die Dokumentation als Teil des Angebots bewertet wird und nicht nach der Vergabe.

Aufbewahrungsfristen

Gemäß dem Vertrag und den Aufbewahrungsregeln der Behörde, mit nachgewiesener Löschung beim Exit, was Käufer zunehmend nachweisbar verlangen.

Was bei Verstößen passiert

Ausschluss von der Beschaffung, Vertragskündigung und DSGVO-Strafen. Reputationsmäßig wird eine Vertragskündigung durch eine öffentliche Stelle aufgrund von Datenschutz gemeldet und beeinflusst jedes nachfolgende Angebot.

Wer kontrolliert

Datenschutzbehörden, ausschreibende Stellen und nationale Aufsichtsbehörden sowie im Gesundheitswesen die sektoralen Regulierungsbehörden.

Wo die Grenze verläuft

Der Vertreter gemäß Artikel 27 ist notwendig, aber bei weitem nicht ausreichend für diesen Markt. Entscheidend für Ausschreibungen sind die Datenresidenz, die Transferfolgenabschätzung und ob der Anbieter den Gesetzen von Drittländern unterliegt, die zur Offenlegung zwingen. Anbieter, die dies als bürokratische Übung betrachten, verlieren die Aufträge.

Häufige Fragen

Ist ein EU-Vertreter ausreichend, um an öffentliche Käufer zu verkaufen?

Rechtlich erfüllt es Artikel 27. Kommerziell verlangen öffentliche Käufer in der Regel auch EU-Datenresidenz, EU-Support und eine verteidigbare Transferfolgenabschätzung.

Löst EU-Hosting das Transferproblem?

Es hilft, löst es aber nicht. Wenn das Mutterunternehmen den Gesetzen unterliegt, die zur Offenlegung von Daten zwingen, auf die es zugreifen kann, muss die Bewertung dies berücksichtigen, und mehrere Behörden haben festgestellt, dass allein EU-Hosting nicht ausreicht.