Software russischer Herkunft in EU-Videoüberwachungsprojekten (2026): Überprüfung der Einhaltung von Vorschriften, Sanktionen und des Beschaffungswesens

Warum diese Frage für das EU-Beschaffungswesen 2026 relevant ist

Seit 2022 hat die EU mehrere aufeinanderfolgende Sanktionspakete gegen Russland verabschiedet, parallel dazu wurden die Vergabevorschriften der Mitgliedstaaten angepasst. Die Auswirkungen auf die Softwarebeschaffung sind erheblich: Auftraggeber, die zuvor nicht nach der Herkunft von Software fragten, verlangen nun routinemäßig die Offenlegung der Herkunft bereits in der Qualifizierungsphase, und Angebote, die keine nicht sanktionierte Herkunft nachweisen können, werden üblicherweise vor der kommerziellen Prüfung aussortiert.

Software zur Planung von Videoüberwachungssystemen birgt ein besonderes Risiko, da die von ihr erzeugten Daten – Grundrisse, Kamerapositionen, Netzwerktopologie, BOM – sowohl sicherheits- als auch betriebsrelevant sind. Selbst wenn ein Sanktionsinstrument ein bestimmtes Planungstool für Videoüberwachungssysteme nicht explizit erwähnt, verfolgen Auftraggeber in der Regel einen vorsorglichen Ansatz, insbesondere in den Bereichen Verteidigung, öffentliche Verwaltung, kritische Infrastrukturen sowie bei großen Projekten im Gesundheitswesen oder im Verkehrssektor.

Dieser Artikel erklärt genau das, was wir uns gewünscht hätten, als unsere Integratoren-Kunden uns erstmals nach der Herkunft von Software in Ausschreibungsunterlagen fragten. Er ist beschreibend, nicht vorschreibend – sein Ziel ist es, den Rahmen in verständlicher Sprache darzulegen, damit ein CCTV-Planer seinem Einkaufsberater die richtigen Fragen stellen kann, anstatt dieses Gespräch zu ersetzen.

Der aktuelle EU-Sanktionsrahmen – Zusammenfassung auf hoher Ebene

Die restriktiven Maßnahmen der EU gegen Russland werden durch Verordnungen des Rates umgesetzt, die im Amtsblatt der Europäischen Union veröffentlicht und durch fortlaufende Änderungspakete aktualisiert werden. Der Rahmen basiert auf drei Säulen, die für die Softwarebeschaffung relevant sind.

Zusätzlich zum EU-weiten Rahmenwerk haben Mitgliedstaaten wie Deutschland, Frankreich, Polen, die nordischen und die baltischen Staaten eigene Vergabevorschriften mit strengeren Kriterien eingeführt. Dies führt dazu, dass ein und derselbe Anbieter in einem EU-Mitgliedstaat akzeptiert, in einem anderen jedoch ausgeschlossen werden kann, selbst wenn er in keinem Dokument explizit genannt wird. Beschaffungsteams orientieren sich daher in der Regel an den strengsten Vorgaben eines Mitgliedstaats als internem Maßstab.

US-Seite: NDAA §889 und ICTS-Präsidialverordnungen

Auf US-amerikanischer Seite werden zwei Instrumente regelmäßig, selbst von EU-Beschaffungsbeamten, als informelle Vergleichsmaßstäbe herangezogen. NDAA §889 (das John S. McCain National Defense Authorization Act für das Haushaltsjahr 2019) verbietet Bundesbehörden und Bundesauftragnehmern den Kauf oder die Nutzung bestimmter Telekommunikations- und Videoüberwachungsausrüstung von namentlich genannten chinesischen Herstellern. Die Executive Orders im Bereich Informations- und Kommunikationstechnologie und -dienste (ICTS), insbesondere Executive Order 13873 und ihre Nachfolgeverordnungen, geben dem US-Handelsministerium weitreichende Befugnisse zur Überprüfung von Transaktionen mit ausländischen Gegnern.

Keines der beiden Instrumente findet im Rahmen eines typischen EU-Beschaffungsverfahrens rechtlich Anwendung. Sie werden jedoch häufig als Vorlage für Vergabeformulierungen verwendet. Eine EU-Auftraggeberin, die eine Videoüberwachungs-Ausschreibung für 2026 erstellt, wird üblicherweise vom Anbieter eine Erklärung verlangen, dass seine Software, sein Hosting und sein Personal nicht unter die Bestimmungen des § 889 fallen, selbst wenn § 889 selbst für den Vertrag irrelevant ist. Anbieter, die diese Erklärung nicht abgeben können, sind unabhängig von der Rechtmäßigkeit ihres Angebots im Wettbewerb benachteiligt.

Direkte Auswirkungen der Beschaffung auf die CCTV-Designsoftware

Bei den folgenden vier Kategorien sehen wir am häufigsten Fragen zur Softwareherkunft in EU-Videoüberwachungsprojekten im Jahr 2026.

Wie Käufer die Softwareherkunft überprüfen

Ein Beschaffungsbeamter, der eine Herkunftsprüfung durchführt, verfügt über ein recht standardisiertes Instrumentarium. Keine dieser Prüfungen beweist die Herkunft allein – sie ergeben zusammen ein Gesamtbild aus öffentlich zugänglichen Informationen.

Bei risikoreicheren Beschaffungen (Verteidigung, kritische Infrastrukturen) kann die Bewertung die Herkunft des Quellcodes, Sicherheitstests durch Dritte und ein unabhängiges Rechtsgutachten umfassen. Die zusätzlichen Kosten dieser erweiterten Bewertung sind nicht unerheblich, und Auftraggeber beauftragen sie in der Regel nur dann, wenn der Wert oder die Sensibilität des Auftrags dies rechtfertigt.

GDPR -Drittlandtransferaspekt

Die Artikel 44 bis 49 GDPR regeln die Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums. Grundsätzlich ist eine solche Übermittlung verboten, es sei denn, eine der festgelegten Garantien greift: ein Angemessenheitsbeschluss der Europäischen Kommission, ein genehmigter Übermittlungsmechanismus wie Standardvertragsklauseln mit geeigneten ergänzenden Maßnahmen oder eine Ausnahmeregelung für bestimmte Situationen.

Der Europäische Gerichtshof hat im Fall Schrems II (Rechtssache C-311/18, 2020) klargestellt, dass Standardvertragsklauseln durch eine Folgenabschätzung ergänzt werden müssen, die die Gesetze des Ziellandes und deren im Wesentlichen gleichwertigen Schutz berücksichtigt. Russland steht nicht auf der Angemessenheitsliste der Europäischen Kommission, und die vorherrschende Auffassung ist, dass ein „im Wesentlichen gleichwertiger“ Schutz für Datenübermittlungen nach Russland angesichts der dortigen Rechtslage schwer zu erreichen ist. Dies hat zur Folge, dass jedes Tool zur Entwicklung von Videoüberwachungssystemen, das personenbezogene Daten an Server in Russland oder an Unternehmen unter russischer Gerichtsbarkeit übermittelt, einer erheblichen Folgenabschätzung unterliegt, die für in der EU gehostete Tools nicht gilt.

Bei Videoüberwachungsprojekten ist dies relevant, da Design-Tools häufiger auf personenbezogene Daten zugreifen, als man annimmt – Projektmetadaten, Informationen zu Kundenstandorten, E-Mail-Adressen von Kundenkonten, Inhalte von Support-Tickets. Ein Käufer, der GDPR ernst nimmt, möchte die Gewissheit haben, dass keine dieser Daten die EU/den EWR in einer Weise verlässt, die eine Prüfung nach Kapitel V auslöst.

Warum CCTVplanner existiert – EU-gehostet, EU-entwickelt

CCTVplanner wird von DEFENSAR betrieben, einem in Polen registrierten Unternehmen. Das Frontend wird in Polen gehostet, das Backend hingegen auf einer Cloud-Infrastruktur innerhalb der EU. Daher die Aussage „100 % entwickelt und gehostet in der EU“: Die Rechtsform, die Entwicklung und das Hosting befinden sich innerhalb der Europäischen Union, und die Standardarchitektur sieht keine Unterauftragnehmer in Drittländern vor.

Für Einkaufsteams bedeutet dies eine kurze, eindeutige Antwort auf die oben beschriebenen Fragen zur Herkunftskennzeichnung. Es gibt keine Unterauftragnehmer mit Sitz in Russland, China oder den USA entlang des Datenpfads. Da die Daten die EU nicht verlassen, fällt keine Folgenabschätzung gemäß Kapitel V GDPR an. Es gibt keine Ausschlussklausel in der Lieferkette, die § 889 entspricht. Die EU-Standardarchitektur, der Integratoren weltweit vertrauen, ist das Merkmal, das 2026 am häufigsten in Einkaufsgesprächen zur Sprache kommt.

Die Realität des "Wechsels von JVSG "

Eine häufige Frage von Systemintegratoren im Jahr 2026 lautet: „Wir sind mit unserem aktuellen CCTV-Planungstool zufrieden, aber das Einkaufsteam hat die Offenlegung der Softwareherkunft als Risiko eingestuft. Wie sieht ein Übergang aus?“ Die Antwort ist im Wesentlichen technisch: Grundriss als DXF exportieren, in CCTVplanner importieren, Kameras aus einem Katalog mit über 65.000 Modellen neu platzieren, DORI Schwellenwerte anpassen, Kabel neu verlegen und die mehrseitige PDF Datei exportieren. Eine detaillierte Schritt-für-Schritt-Anleitung finden Sie im unten verlinkten Migrationsleitfaden. Keiner der Schritte ist besonders schwierig. Die größte Herausforderung ist in der Regel die Entscheidung zum Wechsel, nicht der Wechsel selbst.

Insbesondere bei beschaffungsbedingten Systemwechseln empfehlen wir, den Übergang schriftlich zu dokumentieren – das auslösende Ereignis, die evaluierten Alternativen, das gewählte Ersatzprodukt und das Datum der Außerbetriebnahme des bisherigen Tools. Sowohl Beschaffungsberater als auch ESG-Prüfer schätzen dokumentierte Entscheidungen, und ein schriftliches Übergangsprotokoll ist ein üblicher Bestandteil von Due-Diligence-Unterlagen.

Schlusshinweis

Dieser Artikel stellt eine sachliche Übersicht auf Grundlage öffentlich zugänglicher Normen, Vorschriften und Rechtsprechung (Stand: Mai 2026) dar. Er ist keine Rechtsberatung und ersetzt nicht die Beratung durch einen qualifizierten Vergaberechtsexperten in Ihrem Zuständigkeitsbereich. Sanktionen, Exportkontrollen und Vergabevorschriften ändern sich häufig und werden in den EU-Mitgliedstaaten unterschiedlich ausgelegt. Jede konkrete Vergabeentscheidung sollte daher mit einem Rechtsberater abgestimmt werden, der mit dem jeweiligen Auftraggeber, dem Sektor und dem betreffenden Zuständigkeitsbereich vertraut ist.

Keine Aussage in diesem Artikel ist als Herabsetzung eines Landes, Unternehmens oder einer Anbieterkategorie gedacht. Ziel ist es, den Beschaffungsrahmen so zu beschreiben, wie er von Käufern im Jahr 2026 erlebt wird, damit Systemintegratoren Angebote erstellen und Arbeitsabläufe entwickeln können, die die Qualifizierungsphase erfolgreich durchlaufen.

Häufig gestellte Fragen