Prüffragen zu BöB, IVöB, revDSG und KI-Einsatz. Allgemeine Information, keine Rechtsberatung.
Rechts- und Compliance-Fragen hängen von Auftraggeberin, Verfahren, Daten, Rollen, Vertrag und Branche ab. Dieser Leitfaden bietet Prüffragen und ersetzt keine Rechtsberatung. Lassen Sie die Einordnung für die konkrete Ausschreibung durch Legal, Datenschutzfachpersonen oder externe Rechtsberatung bestätigen.
Für die aktuelle Fassung und den Anwendungsbereich sind insbesondere diese offiziellen Rechts- und Behördenquellen relevant:
Prüfen Sie zusätzlich die Ausschreibungsunterlagen, kantonale Erlasse, branchenspezifische Regeln und Verträge. Eine Library-Antwort sollte den Stand der letzten juristischen Prüfung und die verwendete Quelle nennen.
Der Geltungsbereich des BöB ergibt sich aus dem Gesetz, insbesondere aus der erfassten Auftraggeberin und Beschaffung. Für kantonale und kommunale Verfahren sind der Beitrittsstand zur IVöB, das kantonale Umsetzungsrecht und die konkrete Ausschreibung zu prüfen. Der Name oder die öffentliche Nähe einer Organisation genügt für die Einordnung nicht.
Auch ein Schwellenwert allein bestimmt das Verfahren nicht. Relevant können unter anderem Auftraggeberkategorie, Auftragsart, geschätzter Wert, Staatsvertragsbereich, Ausnahmen und kantonale Regeln sein. Prüfen Sie beim Bund den aktuellen Anhang 4 BöB. Für kantonale Verfahren verweist die BPUK auf die aktuellen Unterlagen und den jeweiligen Rechtsstand.
Für das Bid-Team sind drei Dokumentarten besonders wichtig:
Übernehmen Sie keine bundesrechtliche Prozessannahme ungeprüft auf ein kantonales Verfahren. Rechtsmittel, Zuständigkeit und Frist ergeben sich aus der konkreten Verfügung und dem anwendbaren Recht. Bei einer möglichen Anfechtung sollte spezialisierte Rechtsberatung umgehend beigezogen werden.
Enthalten Tender-Unterlagen Personendaten, muss das Team die konkrete Bearbeitung unter dem DSG prüfen. Mitarbeitendenprofile, benannte Referenzpersonen oder Angaben zu Unterauftragnehmern können solche Daten enthalten. Daraus folgt jedoch nicht automatisch derselbe Pflichtenkatalog für jedes Unternehmen und jeden Prozess.
Mögliche Prüffelder sind:
Eine Datenflussübersicht kann diese Prüfung unterstützen, ist aber nicht für sich allein die rechtliche Lösung. Lassen Sie besonders schützenswerte Daten, risikoreiche Bearbeitungen und Auslandbekanntgaben durch Datenschutzfachpersonen oder Rechtsberatung beurteilen.
Die territoriale Anwendbarkeit der DSGVO richtet sich nach Artikel 3 der Verordnung. Massgeblich können eine Niederlassung in der EU sowie das Anbieten von Waren oder Dienstleistungen an Personen in der EU oder deren Beobachtung sein. Die blosse Verarbeitung von Daten einer Person aus der EU oder ein Vertrag mit einem EU-Unternehmen beantwortet die Prüfung nicht allein.
Zusätzlich können Ausschreibung oder Vertrag Anforderungen enthalten, die unabhängig von der gesetzlichen territorialen Anwendbarkeit erfüllt werden müssen. Legal sollte beide Ebenen getrennt prüfen.
Ob und welche Pflichten aus dem EU AI Act folgen, hängt unter anderem vom territorialen Bezug, der Rolle des Unternehmens, dem konkreten System, seinem Verwendungszweck, dem jeweiligen Anwendungszeitpunkt und dem Übergangsrecht ab. Ein interner Tender-Workflow lässt sich nicht allein anhand der Bezeichnung "Text-KI" einer Risikokategorie zuordnen.
Auch die Transparenzpflichten des AI Act gelten für bestimmte Systeme und Inhalte unter bestimmten Voraussetzungen. Daraus folgt keine allgemeine Kennzeichnungspflicht für jeden internen Entwurf. Prüfen Sie zusätzlich Anforderungen der Ausschreibung, Vertraulichkeitsregeln, Nutzungsbedingungen des Dienstes und interne Freigaben. Legal sollte die konkrete Nutzung einordnen.
Der Zeitpunkt und Umfang der Prüfung richten sich nach Frist, Komplexität und interner Governance. Die folgende Liste ist ein Arbeitsmuster und keine Garantie gegen einen Ausschluss.
**Formal:**
**Inhaltlich:**
**Compliance:**
**Audit-Trail:**
Die Checkliste kann vermeidbare Fehler reduzieren. Ob ein Fehler zum Ausschluss führt, richtet sich nach Ausschreibung und anwendbarem Recht.
Je nach Auftraggeberin und Leistungsgegenstand können zusätzliche Regeln gelten. Mögliche Ausgangspunkte für die Prüfung sind:
Benennen Sie für jeden relevanten Block eine Fachperson und die aktuelle Primärquelle. Lassen Sie die Anwendbarkeit durch zuständige Spezialisten bestätigen.
Statt allgemeine Markttrends als Pflicht darzustellen, sollte das Team pro Ausschreibung fragen:
Prüfen Sie die konkrete Ausschreibung, die aktuelle Primärquelle und alle geforderten Nachweise. Lassen Sie rechtliche Aussagen durch Legal oder externe Rechtsberatung bestätigen und übernehmen Sie keine pauschale Einordnung aus diesem Leitfaden ungeprüft.
Es gibt keine einzelne Tabelle für jedes Verfahren. Prüfen Sie beim Bund den aktuellen Anhang 4 BöB. Für kantonale und kommunale Beschaffungen sind die aktuelle IVöB-Unterlage, der Beitrittsstand, das kantonale Recht und die Ausschreibung massgeblich. Lassen Sie die Einordnung bei Zweifeln vergaberechtlich prüfen.
Das hängt von den verarbeiteten Personendaten, Rollen, Zwecken, Risiken, Auftragsbearbeitern und Auslandbekanntgaben ab. Ein Verzeichnis ist beispielsweise nicht für jedes private Unternehmen in jedem Fall vorgeschrieben. Prüfen Sie den konkreten Prozess anhand der EDÖB-Hinweise und mit Datenschutzfachpersonen oder Rechtsberatung.
Die Anwendbarkeit hängt unter anderem von territorialem Bezug, Rolle, System und Verwendungszweck ab. Ein EU-Auftraggeber oder ein interner Textentwurf beantwortet diese Prüfung nicht allein. Lassen Sie die konkrete Nutzung und mögliche Transparenz- oder Dokumentationspflichten rechtlich einordnen.
Mögliche Prüffelder sind Hosting- und Verarbeitungsorte, Auftragsbearbeiter, Unterauftragsbearbeiter, Zugriffe, Löschung, Sicherheitsmassnahmen und Auslandbekanntgaben. Antworten müssen zur konkreten Verarbeitung und zu aktuellen Verträgen passen und fachlich freigegeben sein.
Prüfen Sie für jedes Verfahren die aktuelle Fassung der offiziellen Quellen, die Ausschreibungsunterlagen und allfällige kantonale oder branchenspezifische Vorgaben. Verlassen Sie sich nicht auf einen festen Revisionsrhythmus oder eine ältere Library-Antwort.
Die interne Governance kann Aufgaben an Bid Management, Legal, Datenschutz, Security und Fachverantwortliche verteilen. Gesetzliche oder vertragliche Verantwortung lässt sich daraus nicht pauschal ableiten. Dokumentieren Sie Prüfung und Freigabe und holen Sie bei Bedarf externe Beratung ein.
Das BöB regelt den bundesrechtlichen Anwendungsbereich gemäss seinem Geltungsbereich. Die IVöB bildet den interkantonalen Rahmen für beigetretene Kantone und wird durch kantonales Recht ergänzt. Welche Regel gilt, muss für Auftraggeberin und Verfahren konkret geprüft werden.