Der überraschende Einfluss des Vergaberechts auf den Datenschutz

Obwohl das neue Datenschutzrecht seit 2018 von allen Vergabestellen zu beachten ist, blieb es zunächst sehr ruhig. Die befürchteten Vergabeverfahrensabbrüche blieben aus und auch Bußgelder wurden nicht massenweise verteilt.

Nun sorgt ganze 5 Jahre später – 2022 – das Spannungsverhältnis zwischen datenschutzrechtlich zwingenden Anforderungen an den Beschaffungsgegenstand und nicht mehr gerechtfertigter Marktverengung zum ersten Mal für Schlagzeilen. Dabei überrascht es wenig, dass es sich um eine Vergabe aus dem Gesundheitssektor handelt, da Gesundheitsdaten besonders durch die DSGVO geschützt werden (vgl. Art. 4 Nr. 15, Art. 9 DSGVO).

Anforderungen in Vergabeverfahren müssen immer:

• durch den Auftragsgegenstand sachlich gerechtfertigt sein,
• potenzielle Bieter nicht diskriminieren und
• auf nachvollziehbaren objektiven und auftragsbezogenen Gründen basieren.

Unternehmen, die aus Drittländern kommen, müssen die DSGVO nicht umsetzen und sind durch die darin enthaltenen Anforderungen häufig überfordert. Dadurch wird eine Bewerbung unattraktiv bis unmöglich und der Markt folglich verengt.

Das Oberlandesgericht Karlsruhe hat durch Beschluss vom 7. September 2022 – 1 VK 23/22 die kaum rechtliche oder technisch vertretbare Entscheidung der Vergabekammer Baden-Württemberg aufgehoben. Hauptargument ist, dass die öffentlichen Auftraggeber sich auf die bindenden Zusagen der Anbieterin, dass die Daten ausschließlich in Deutschland verarbeitet und in kein Drittland übermittelt werden, verlassen dürfen.

Zudem dürfen Vergabestellen davon ausgehen, dass Bieter ihre vertraglichen Zusagen erfüllen werden. Erst wenn sich aufgrund konkreter Anhaltspunkte Zweifel daran ergeben, muss der öffentliche Auftraggeber ergänzende Informationen einholen und die Erfüllbarkeit des Leistungsversprechens prüfen.

Vorliegend wurde aber eine Verarbeitung der Daten ausdrücklich ausschließlich in Deutschland zugesichert. Zweifel daran bestanden hier auch nicht.

Unser Praxistipp

Datenschutz bremst Vergabeverfahren nicht zwingend aus. Achten Sie als Bieter und als Vergabestelle immer auf die Einhaltung der DSGVO. Lassen Sie sich im Zweifel von Experten beraten, was rechtlich und technisch möglich und sinnvoll ist.

Vergabestellen sollten den marktverengenden Charakter der DSGVO-Anforderungen berücksichtigen und prüfen, wie weit die Einhaltung der DSGVO überhaupt zur Leistungserbringung notwendig ist. Ausgangspunkt wird immer die Frage sein, ob und wie weit die DSGVO überhaupt zu beachten ist.

Bieter sind gut beraten, nur vertragliche Zusagen zu treffen, die sie auch einhalten werden. Ansonsten drohen empfindliche Bußgelder, Schadensersatzforderungen oder auch Ausschluss am Vergabeverfahren. Die weitverbreitete Annahme, dass man alles in der Auftragserfüllungsphase zurechtbiegen kann, ist falsch (vgl. § 132 GWB).