Empfehlenswert zum Einstieg: In dem Beitrag „Datenschutz gilt auch im Vergaberecht“ von Dr. Silvia Hartmann Eric N. Schneider wurden die Grundlagen des Vergaberechts dargestellt und die Frage geklärt, wieso Bieter dieses auch in Vergabeverfahren beachten müssen.
Obwohl das neue Datenschutzrecht seit 2018 von allen Vergabestellen zu beachten ist, blieb es zunächst sehr ruhig. Die befürchteten Vergabeverfahrensabbrüche blieben aus und auch Bußgelder wurden nicht massenweise verteilt.
Nun sorgt ganze 5 Jahre später – 2022 – das Spannungsverhältnis zwischen datenschutzrechtlich zwingenden Anforderungen an den Beschaffungsgegenstand und nicht mehr gerechtfertigter Marktverengung zum ersten Mal für Schlagzeilen. Dabei überrascht es wenig, dass es sich um eine Vergabe aus dem Gesundheitssektor handelt, da Gesundheitsdaten besonders durch die DSGVO geschützt werden (vgl. Art. 4 Nr. 15, Art. 9 DSGVO).
Anforderungen in Vergabeverfahren müssen immer:
Unternehmen, die aus Drittländern kommen, müssen die DSGVO nicht umsetzen und sind durch die darin enthaltenen Anforderungen häufig überfordert. Dadurch wird eine Bewerbung unattraktiv bis unmöglich und der Markt folglich verengt.
Die Vergabekammer Baden-Württemberg (Beschluss vom 13.07.2022 – 1VK 21/22) vertrat die Meinung, dass der Einsatz europäischer Cloud-Dienstleister mit U.S.-amerikanischer Konzernmutter bei personenbezogenen Daten generell gegen die DSGVO verstößt und schloss den Bieter deshalb wegen unzulässiger Änderung der Vergabeunterlagen i.S.v. § 57 Abs. 1 Nr. 4 VgV aus. Sie argumentierte, dass bereits der Einsatz solcher Hosting-Leistungen aufgrund des damit verbundenen latenten Risikos eines Zugriffs durch U.S.-Stellen eine nach Artikel 44 ff. DSGVO unzulässige Datenübermittlung in ein Drittland darstellten würde, unabhängig davon, ob der Cloud-Anbieter die Daten ausschließlich auf Servern in Deutschland speichert oder woanders.
Das Oberlandesgericht Karlsruhe hat durch Beschluss vom 7. September 2022 – 1 VK 23/22 die kaum rechtliche oder technisch vertretbare Entscheidung der Vergabekammer Baden-Württemberg aufgehoben. Hauptargument ist, dass die öffentlichen Auftraggeber sich auf die bindenden Zusagen der Anbieterin, dass die Daten ausschließlich in Deutschland verarbeitet und in kein Drittland übermittelt werden, verlassen dürfen.
Zudem dürfen Vergabestellen davon ausgehen, dass Bieter ihre vertraglichen Zusagen erfüllen werden. Erst wenn sich aufgrund konkreter Anhaltspunkte Zweifel daran ergeben, muss der öffentliche Auftraggeber ergänzende Informationen einholen und die Erfüllbarkeit des Leistungsversprechens prüfen.
Vorliegend wurde aber eine Verarbeitung der Daten ausdrücklich ausschließlich in Deutschland zugesichert. Zweifel daran bestanden hier auch nicht.
Datenschutz bremst Vergabeverfahren nicht zwingend aus. Achten Sie als Bieter und als Vergabestelle immer auf die Einhaltung der DSGVO. Lassen Sie sich im Zweifel von Experten beraten, was rechtlich und technisch möglich und sinnvoll ist.
Vergabestellen sollten den marktverengenden Charakter der DSGVO-Anforderungen berücksichtigen und prüfen, wie weit die Einhaltung der DSGVO überhaupt zur Leistungserbringung notwendig ist. Ausgangspunkt wird immer die Frage sein, ob und wie weit die DSGVO überhaupt zu beachten ist.
Bieter sind gut beraten, nur vertragliche Zusagen zu treffen, die sie auch einhalten werden. Ansonsten drohen empfindliche Bußgelder, Schadensersatzforderungen oder auch Ausschluss am Vergabeverfahren. Die weitverbreitete Annahme, dass man alles in der Auftragserfüllungsphase zurechtbiegen kann, ist falsch (vgl. § 132 GWB).
