BMEnet Guide Beratung 2010

IT-Outsourcing und Compliance
im Bereich des Beschaffungsmanagements
1. Strategische Bedeutung des Beschaffungsmanage-
ments für das Unternehmen und Outsourcing
Es gibt eine Vielzahl von Gründen, aus denen Unterneh-
men IT-gestützte Prozesse im Bereich des Beschaffungs-
managements auf Outsourcingprovider übertragen. Re-
gelmäßig soll das Outsourcing der Effizienzsteigerung des
Beschaffungsmanagements dienen, um die notwendigen
Güter in der gewünschten Qualität, am richtigen Ort, zur
gewünschten Zeit und zu wettbewerbsfähigen Preisen
bereitzustellen. Wie dieser Prozess abläuft, wird wesent-
lich vom Einkauf bestimmt. Diesem Bereich kommt die
Entscheidung über die Beschaffungsbedingungen zu und
der Erfolg des Projekts hängt wesentlich von der (recht-
lichen) Berücksichtigung dieser strategischen Funktion
ab. Die aus der Perspektive des IT-Outsourcing besonders
relevanten Funktionen des Beschaffungsmanagements
sind: Aktives Supply Chain Management / Analyse und
Darstellung der Einkaufsvolumen- und Preisentwicklung
/ E-Procurement / Optimierte Bedarfsplanung und rollie-
rende Absatzplanung.
2. Normen und Standards
Im Zusammenhang mit IT-Outsourcingprojekten wird
eine Vielzahl von Anforderungen gestellt, die sich aus
gesetzlichen Regelungen, Richtlinien und relevanten
Standards im Beschaffungswesen ergeben. Diesbezüg-
lich ist zu beachten, dass die Grundsätze ordnungsge-
mäßer Buchführung bei IT-gestützter Rechnungslegung
im Unternehmen (GoBS) nur dann erfüllt sind, wenn das
Rechnungslegungssystem die Compliance im Hinblick auf
Erfassung, Verarbeitung und Aufbewahrung der rele-
vanten Daten für den jeweiligen Geschäftsvorfall sicher-
stellt, d.h. die Vollständigkeit, Zeitgerechtigkeit, Ord-
nung, Nachvollziehbarkeit und Unveränderlichkeit der
Rechnungslegung gewährleistet ist.
Weiterhin ist der Datenschutz zu berücksichtigen, da mit
dem Outsourcing die Verarbeitung personenbezogener
Daten verbunden ist. Regelmäßig sind zwei Unterneh-
men an der Datenverarbeitung beteiligt: Auftraggeber
und Provider. Die datenschutzrechtliche Haftung richtet
sich danach, ob eine Auftragsdatenverarbeitung oder
eine Funktionsübertragung vorliegt. Hierzu ist zu prüfen,
ob der Provider zusätzlich zum Datenverarbeitungsvor-
gang auch die diesem zugrundeliegenden Funktionen
übernimmt. Dann liegt eine sog. Funktionsübertragung
90 BMEnet Guide Beratung 2010
vor, und die Datenschutzverpflichtungen gehen auf den
Provider über. Hingegen ist bei der Auftragsdatenverar-
beitung der Auftraggeber verantwortlich für den Daten-
schutz, selbst wenn die Datenerhebung durch den Provi-
der erfolgt.
3. Sanktionen und Haftungsrisiken
Kommt der Vorstand oder der Geschäftsführer eines Un-
ternehmens im Rahmen des Outsourcings seinen Über-
wachungspflichten nicht nach, sorgt er z.B. nicht für die
Einhaltung des im Bereich des Beschaffungswesens an-
wendbaren Rechtsrahmens kann ihn wegen Verletzung
von Sorgfaltspflichten eine persönliche Haftung auf
Schadenersatz treffen.
4. Vertragsbeendigung und Re-Transition
Schließlich sind die Folgen der Vertragsbeendigung zu
berücksichtigen. In Anbetracht der hohen Relevanz der
IT für das Beschaffungsmanagement sollte bereits im
Outsourcingvertrag geregelt werden, wie im Fall einer
Vertragsbeendigung die Verfügbarkeit der IT-Leistungen
unterbrechungsfrei sichergestellt wird. Bei Vertragsbeen-
digung erfolgt regelmäßig ein Re-Transitionsprojekt, in
dem die Leistungen vom Provider auf den Auftraggeber
zurück bzw. einen dritten Provider überführt werden. Die
Verantwortlichkeiten des Providers in der Re-Transition
sollten bereits im Vertrag festgelegt und bei Vertragsbe-
endigung konkretisiert werden.
5. Fazit
Nur wenn die Compliance im Outsourcingprojekt berück-
sichtigt wird, trägt dieses zur Steigerung des Unterneh-
menswertes bei.
Autor: Marco Rau, Mag. iur.
Rechtsanwalt und Maître en droit
BUSE HEBERER FROMM Rechtsanwälte
Neue Mainzer Str. 28
60311 Frankfurt am Main
Telefon: +49 (0)69 97 10 97-1 00
E-Mail rau@buse.de