2 June 20268 Min. Lesezeit
Irgendwo zwischen Shortlist und Vertrag trifft eine Outsourcing-Entscheidung meist auf eine Juristin, und die erste Frage lautet, ob der Anbieter in der EU sitzt. Das ist eine sinnvolle Frage mit einer echten Antwort, und sie wird als Entweder-oder behandelt, obwohl sie eher ein Kostenposten ist.
Nichts hiervon ist Rechtsberatung, und die Auffassung Ihres Datenschutzbeauftragten schlägt alles, was auf der Website eines Anbieters steht. Im Folgenden steht, was sich strukturell ändert, wenn Sie die Grenze überschreiten, damit das Gespräch mit ihm kürzer ausfällt.
Was der Verbleib im EWR wirklich bringt
Drei Dinge, und sie sind real.
- Personenbezogene Daten, die zum Anbieter fließen, sind keine internationale Übermittlung, Kapitel V der DSGVO greift also nicht, und es ist kein Übermittlungsmechanismus einzurichten
- Vertrag, Rechnungsstellung und Umsatzsteuer liegen in einem Rahmen, den Ihre Finanz- und Rechtsabteilung bereits beherrscht, meist in Ihrer eigenen Währung
- Der Lieferant unterliegt derselben Aufsicht, sodass Ihre Kundschaft und Ihre eigene Compliance-Abteilung weniger überzeugt werden müssen
Für eine Organisation, die in den öffentlichen Sektor, das Gesundheitswesen, die Finanzbranche oder irgendwohin verkauft, wo eigene Kundenverträge Zusagen zum Datenstandort enthalten, kann das das Ende der Analyse sein, und das sollte es auch. Wenn Sie einem Kunden zugesagt haben, dass seine Daten im EWR bleiben, hebt kein Kostenvergleich diese Zusage auf.
Was tatsächlich passiert, wenn Sie die Grenze überschreiten
Für einen Anbieter außerhalb des EWR in einem Land ohne Angemessenheitsbeschluss, und die meisten Outsourcing-Ziele fallen darunter, stützen sich Übermittlungen auf die Standardvertragsklauseln. In der Praxis ist das ein Paket: die Klauseln selbst, eine Folgenabschätzung der Übermittlung mit Blick auf das Rechtsumfeld im Zielland und ein AV-Vertrag, der festlegt, was von wem, wo und wie lange verarbeitet wird, dazu die technischen und organisatorischen Maßnahmen.
Das ist nichts Exotisches. Es ist derselbe Papierkram, den tausende europäische Unternehmen für Lieferanten in Indien, in den Nachbarländern Großbritanniens, auf dem Balkan, in Nordafrika und im Nahen Osten erledigen. Es ist ein Arbeitspaket mit Anfang und Ende, typischerweise in Wochen statt Monaten gemessen, und es fällt einmal pro Lieferant an, nicht einmal pro Projekt.
Der Fehler ist, spät damit anzufangen. Wenn das Übergabepaket noch im Entwurf steckt, während die Zusammenarbeit beginnen soll, beginnt sie trotzdem, nur informell, und genau das wollen Sie vermeiden.
Machen Sie die Datenfrage kleiner, bevor Sie sie schwerer machen
Der wirksamste Schritt ist kein besserer Vertrag, sondern die Arbeit so zu organisieren, dass von vornherein weniger personenbezogene Daten das Haus verlassen. Die meiste Entwicklungsarbeit braucht keine personenbezogenen Produktivdaten, und ein großer Teil der Compliance-Mühe stammt aus Konstellationen, in denen sie es aus Gewohnheit tut.
- Synthetische oder pseudonymisierte Daten in Entwicklungs- und Testumgebungen als Standard, mit einem dokumentierten Ausnahmeverfahren
- Zugriff auf Produktivsysteme über Ihre eigene, in der EU gehostete Umgebung statt Kopien auf den Rechnern des Anbieters
- Benannte Personen mit protokolliertem, zeitlich begrenztem Zugriff statt einer dauerhaften Freigabe für ein ganzes Team
- Support-Werkzeuge so konfiguriert, dass Felder ausgeblendet sind, die die Support-Kraft nicht sehen muss
Richtig gemacht verwandelt das eine große Übermittlungsdiskussion in eine kleine, und es verbessert Ihre Position auch gegenüber EU-Anbietern. Es ist die seltene Compliance-Maßnahme, die sich schon aus technischen Gründen lohnt.
Das Arbeitsrecht schneidet in die andere Richtung
Die EU-Grenze hilft Ihnen beim Datenschutz und schadet Ihnen bei der Flexibilität, und beides gehört gesagt. Jemanden in einem EU-Mitgliedstaat anzustellen bedeutet, das Arbeitsrecht dieses Landes zu übernehmen: Kündigungsfristen, Abfindungen, in manchen Rechtsordnungen Betriebsräte und ein ernsthaftes Verfahren, falls sich die Rolle als falsch erweist. Dieser Schutz ist gewollt und überwiegend gut, und er ist zugleich der Grund, warum eine Festanstellung eine schwerere Verpflichtung ist als eine Zusammenarbeit auf Projektbasis.
Es gibt eine Zwischenlösung, die gern vergessen wird: Eine Anstellung über einen Employer of Record innerhalb der EU verschafft Ihnen die EWR-Position bei Daten und Vertragsgestaltung und lagert zugleich die Mechanik der Anstellung aus. Pro Kopf ist das teurer als ein Lieferant außerhalb der EU, und es ist häufiger die richtige Antwort, als sein Anteil an der Diskussion vermuten lässt.
Der Vergleich, dem meist ausgewichen wird
Die eigentliche Frage ist selten EU gegen Nicht-EU. Sie lautet, ob der Compliance-Aufwand plus der Satz des Lieferanten unter den Kosten der EU-Option liegt, wobei die EU-Option etwas real Kaufbares ist.
Rechnen Sie es als Total Cost of Ownership statt als Satzvergleich. Auf der Nicht-EU-Seite kommen das Übermittlungspaket, eine etwaige externe Rechtsprüfung und die interne Zeit hinzu, um es durch Ihre eigene Governance zu bringen. Auf der EU-Seite kommt der höhere Satz hinzu, dazu die Rekrutierungszeit, falls die Alternative eine feste Einstellung statt eines Anbieters ist. Vergleichen Sie dann die Summen über die Laufzeit der Zusammenarbeit, denn die Compliance-Kosten sind weitgehend fix und die Satzdifferenz ist es nicht, das heißt, die Antwort ändert sich mit der Dauer.
Eine einmalige Ausgabe und eine wiederkehrende Ersparnis gehören nicht in dieselbe Spalte einer Tabelle.
Was Sie damit anfangen
Klären Sie die Datenfrage zuerst und für sich, bevor Sie einen einzigen Satz ansehen. Ist ein EWR-Speicherort zwingend, besteht Ihre Shortlist aus EU-Anbietern oder einem Employer of Record, und alles andere ist Rauschen. Ist er es nicht, behandeln Sie das Übermittlungspaket als Posten mit echten Kosten und echtem Zeitplan, bringen Sie es früh in Gang und entscheiden Sie dann nach dem, was sich im Alltag unterscheidet: Überschneidungsstunden, Tiefe in der Disziplin, die Sie brauchen, und ob der Anbieter eine schwierige Frage konkret beantwortet.