Arbeiten Ouhuds Entwickler in Deutschland, oder wird ausgelagert?

Warum die Frage berechtigt ist

Nicht wegen der Qualität. Gute und schlechte Entwicklerinnen und Entwickler gibt es in jedem Land, und die Herkunft sagt darüber nichts. Berechtigt ist die Frage aus vier anderen Gründen:

Was die DSGVO konkret verlangt

• Art. 28 Abs. 2 DSGVO: Ein Auftragsverarbeiter darf keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen hinzuziehen. Bei allgemeiner Genehmigung muss er beabsichtigte Änderungen mitteilen und Ihnen die Möglichkeit zum Einspruch geben.
• Art. 28 Abs. 4 DSGVO: Dem Unterauftragsverarbeiter sind dieselben Pflichten aufzuerlegen; der erste Auftragsverarbeiter haftet weiter.
• Art. 30 DSGVO: Drittlandsübermittlungen gehören ins Verzeichnis der Verarbeitungstätigkeiten.
• Art. 32 DSGVO: Zugriffsrechte, Rollen und Protokollierung müssen dem Risiko angemessen sein – das gilt für externe Entwickler genauso wie für interne.

Der wirksamste Hebel wird meistens übersehen

Entwicklung auf anonymisierten oder synthetischen Daten. Wenn in der Entwicklungs- und Testumgebung keine echten Personendaten liegen, entschärft das die Standortfrage weitgehend: Es findet keine Übermittlung personenbezogener Daten statt, und der Kreis der Personen mit Produktivzugriff bleibt klein und benennbar.

Das kostet einmalig Aufwand für einen brauchbaren Anonymisierungslauf – und spart danach dauerhaft Diskussionen. Es hat außerdem einen Nebeneffekt, den keine Vertragsklausel bietet: Ein versehentlicher Testlauf schickt dann keine E-Mails an echte Kunden.

Auslagerung ehrlich betrachtet

Wofür sie funktioniert: klar abgegrenzte, gut spezifizierte Pakete – Schnittstellenanbindungen nach dokumentierter Vorgabe, Oberflächen nach vorliegendem Entwurf, Testautomatisierung, Datenmigrationen mit klarem Zielschema.

Wofür sie schlecht funktioniert: Aufgaben, deren Anforderungen sich erst beim Bauen klären. Genau das ist bei Individualsoftware der Normalfall. Wenn jede zweite Entscheidung eine Rückfrage auslöst und jede Rückfrage einen Tag kostet, ist der günstigere Stundensatz nach wenigen Wochen aufgezehrt.

Ein weiterer Punkt, der selten im Angebot steht: Fluktuation. Wechselt in einem ausgelagerten Team die Besetzung, geht Projektwissen verloren, das niemand abgerechnet hat.

Wenn öffentliche Auftraggeber beteiligt sind

Ausschreibungen der öffentlichen Hand enthalten häufig Vorgaben zum Ort der Leistungserbringung, zur Sprache der Dokumentation und teils zu Sicherheitsüberprüfungen des eingesetzten Personals. Prüfen Sie das vor der Angebotsabgabe. Eine Lieferkette lässt sich nachträglich nur schwer umbauen, und eine falsche Angabe im Angebot ist ein Ausschlussgrund.

Vier Fragen, die Klarheit schaffen

1. Wer hat Zugriff auf das Produktivsystem – namentlich, mit Sitz und Vertragsverhältnis?
2. Arbeiten externe Beteiligte auf echten oder auf anonymisierten Daten?
3. Wer ist mein Vertragspartner, und wer haftet für Dritte in der Kette?
4. Wie schnell wird ein Zugang entzogen, wenn jemand ausscheidet – und wer prüft das?

Was wir nicht versprechen

Ein kleines Softwarehaus hat begrenzte Kapazität. Wer Ihnen jederzeit unbegrenzte Verfügbarkeit und vollständigen Verzicht auf jede Unterbeauftragung zusagt, verspricht mindestens eines davon zu viel. Die belastbare Zusage ist nicht „niemals extern", sondern: Sie erfahren vorher, wer beteiligt ist, und Sie können widersprechen.