Читать книгу Festschrift für Jürgen Taeger - Группа авторов - Страница 60

Es empfiehlt sich, bereits frühzeitig im Prozess der Beschaffung datenverarbeitender Produkte (Hard- oder Software), IT-Systeme oder entsprechender Serviceleistungen (IT-Outsourcing oder Cloud-Services) auf die Einhaltung datenschutzrechtlicher Anforderungen gegenüber dem Hersteller zu bestehen. Dies kann durch eine ausdrückliche Regelung in den Leistungsbeschreibungen und im Anschluss insbesondere durch explizite vertragliche Vereinbarungen erfolgen.66 Um auf Bestellerseite dem Risiko ordnungsbehördlicher Verfahren zu entgehen (Art. 83 Abs. 4 und 5 DS-GVO), ist dies sogar unabdingbar. Problematisch ist jedoch, dass in der Praxis solche Anforderungen der Kunden gegenüber dem jeweiligen Vertragspartner schwer durchsetzbar sind, wenn dies nicht gar unmöglich ist.

Dabei empfiehlt es sich, nicht an dogmatischen vertragstypologischen Strukturen zu verhaften. Hier bleibt vieles unklar und oftmals handelt es sich ohnehin um typengemischte Verträge, bei denen es umstritten ist, ob sich das Vertragsregime nach dem Vertragstyp richtet, der das Regelungsgefüge wesentlich bestimmt, oder für jeden einzelnen Vertragsteil gesondert zu bestimmen ist. Unter diesen Umständen empfiehlt es sich, ein für die jeweilige Rechtsbeziehung spezifisches Gewährleistungsregime in das Entsprechende zu implementieren, um interessengerechte Ergebnisse zu erzielen und das (datenschutz-)rechtliche und wirtschaftliche Risiko nicht einseitig beim Kunden zu belassen.

Zudem ist den Problemstellungen im Hinblick auf Datenschutz-Compliance mit Blick auf Art. 25 DS-GVO bei der Vertragsgestaltung ggf. mittels Change Management beizukommen. In der Praxis enthalten Vertragswerke über nicht vollends standardisierte Leistungen regelmäßig Klauseln zum vertraglichen Änderungsverfahren. Schwierigkeiten bereitet allerdings der Umstand, dass es sich meist um konsensuale Verfahren handelt und der Kunde letztlich Leistungsänderungen gesondert vergüten muss.