Hosting und Standort
VeRA.KOMM wird in der Europäischen Union betrieben. Der eingesetzte Hosting-Betreiber ist nach ISO 27001 zertifiziert - dem internationalen Standard für Informationssicherheits-Managementsysteme. Die Zertifizierung bezieht sich auf den Betrieb der Infrastruktur.
Ein Datentransfer in Drittstaaten findet im Rahmen des Betriebs nicht statt.
Auftragsverarbeitung
Mit jedem Kunden wird ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Er regelt Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Kategorien betroffener Personen, die technisch-organisatorischen Maßnahmen und den Umgang mit Unterauftragsverhältnissen.
Verantwortlich im Sinne der Datenschutz-Grundverordnung bleibt die auftraggebende Stelle. Weisungsrechte, Auskunfts- und Löschungsansprüche richten sich nach dem Vertrag.
Zugriffskontrolle
Der Schutzbedarf ergibt sich hier weniger aus personenbezogenen Daten - das sind im Wesentlichen die Kontakt- und Bearbeitungsdaten der beteiligten Personen - als aus den Betriebs- und Geschäftsgeheimnissen der Bieter. Sie sind selbst im Nachprüfungsverfahren gegen Akteneinsicht geschützt (§ 165 Abs. 2 GWB); intern muss dieser Schutz über die Rechtevergabe abgebildet werden.
Der Zugriff ist durchgehend rollenbasiert und wird je Verfahren vergeben. Eine Person sieht nur die Verfahren, für die sie freigeschaltet wurde, und kann darin nur die Aktionen ausführen, die ihre Rolle vorsieht.
Die Prüfung erfolgt serverseitig bei jeder Aktion, nicht nur in der Darstellung der Oberfläche. Was eine Rolle nicht darf, wird nicht nur ausgeblendet, sondern abgelehnt. Die Rechtematrix im Einzelnen steht auf der Seite Abstimmung, Freigabe und Rollen.
Trennung von intern und extern
Konten tragen ein Merkmal, das sie als intern oder extern ausweist. Externe Beteiligte - Kanzleien, Berater, Planungsbüros - sehen ausschließlich die Verfahren, für die sie freigeschaltet sind, und sind in jeder Ansicht als extern erkennbar.
Die Freigabe von Antworten bleibt internen Rollen vorbehalten. Damit lässt sich externe Fachkunde einbeziehen, ohne dass Entscheidungsbefugnis nach außen gelangt.
Nachvollziehbarkeit
Statuswechsel, Zuweisungen, Voten, Freigaben und erzeugte Exporte werden mit Person und Zeitpunkt festgehalten. Beiträge im Verlauf werden nicht gelöscht; Korrekturen erfolgen durch neue Beiträge, damit die Chronologie belastbar bleibt.
Diese Nachvollziehbarkeit dient zwei Zwecken: der Dokumentationspflicht im Vergabeverfahren und der Frage, wer im eigenen Haus welche Information abgerufen oder exportiert hat.
- Statusangaben werden nie allein über Farbe vermittelt, sondern zusätzlich beschriftet.
- Die Anwendung ist mit der Tastatur bedienbar, der Fokus ist sichtbar.
- Kontraste sind auf Lesbarkeit ausgelegt.
- Bedienelemente sind ausreichend groß und beschriftet.
Häufige Fragen
Wo werden die Daten gespeichert?
In der Europäischen Union, bei einem nach ISO 27001 zertifizierten Hosting-Betreiber. Eine Verarbeitung in Drittstaaten findet im Rahmen des Betriebs nicht statt.
Wird ein Auftragsverarbeitungsvertrag geschlossen?
Ja. Mit jedem Kunden wird ein Vertrag nach Art. 28 DSGVO geschlossen.
Können externe Beteiligte alle Verfahren sehen?
Nein. Rechte werden je Verfahren vergeben; externe Konten sehen ausschließlich die für sie freigeschalteten Verfahren.