Was bedeutet die Entscheidung der Vergabekammer Baden-Württemberg für die Vergabe-Praxis?
Von Till Spurny
In ihrem noch nicht rechtskräftigen Beschluss vom 13. Juli 2022 folgt die Vergabekammer Baden-Württemberg der Argumentation des unterlegenen Bieterunternehmens, welches eine Rüge einreichte. Der Beschluss im Wortlaut kann hier
abgerufen werden.
In dem Vergabeverfahren ging es um eine Software-Lösung im Pflegebereich, bei welchem ein Unternehmen den Zuschlag erhielt, welches die Server- und Hosting-Leistungen durch einen Unterauftragnehmer mit Sitz in der EU bedienen wollte. Bei dem Unterauftragnehmer handelte es sich um eine Tochtergesellschaft eines US-Konzerns. Das unterlegene Bieterunternehmen rügte den Zuschlag unter Verweis darauf, dass ein Verstoß gegen Artikel 44 der DSGVO vorläge. Insbesondere strittig sei die Möglichkeit der Datenübermittlung an die US-Konzernmutter.
Wenn man der Argumentation der Vergabekammer folgt, so würde der Einsatz europäischer Cloud-Dienstleister und Rechenzentren innerhalb der EU grundsätzlich gegen die DSGVO verstoßen, sofern diese Unternehmen Töchter von amerikanischen Konzernmüttern sind. Diese Argumentation stellt allein auf die wirtschaftsrechtliche Eigentümerschaft von Töchterunternehmen ab. Sie wird ausdrücklich nicht damit begründet, ob rein technisch die Möglichkeit eines Datenzugriffs bestehe, ob ein solcher erfolgt ist oder erfolgen kann und welche Maßnahmen zur Verhinderung eines Datenzugriffs durch Dritte getroffen werden.
Die Entscheidung der Vergabekammer Baden-Württemberg ist insbesondere deswegen bemerkenswert, weil damit weitreichende Konsequenzen für die Cloud-Vergabe verbunden wären, sollte sie rechtskräftig werden. In der Fachwelt wird der Beschluss daher kontrovers diskutiert. Nicht nur äußerten sich in den vergangenen Wochen zahlreiche Fachanwälte und Kanzleien, sondern auch der Landesbeauftragte für Datenschutz und Informationssicherheit Baden-Württemberg veröffentlichte eine Stellungnahme zu der Entscheidung. Diese ist hier
einsehbar.
Die technische und rechtliche Argumentation gegen den Beschluss ist reichlich komplex und die Details dazu würden den Rahmen dieses Kommentars sprengen. Grundsätzlich scheint sich jedoch der Standpunkt durchzusetzen, dass die Begründung der Vergabekammer Baden-Württemberg nicht haltbar sein wird. Daher wird nun die Überprüfung der Entscheidung durch das Oberlandesgericht Karlsruhe mit Spannung erwartet. Sollte die Entscheidung durch das OLG Karlsruhe bestätigt werden, so hätte dies weitreichende Auswirkungen auf die Vergabe-Praxis.
Die Cloud-Vergabe in Deutschland hat grundsätzlich mit dem Spannungsfeld zwischen Komplexität und technischen Möglichkeiten auf der einen Seite und vergabe- sowie datenschutzrechtlichen Anforderungen auf der anderen Seite zu kämpfen. Die im März diesen Jahres erfolgte Veröffentlichung der ergänzenden Vertragsbedingungen für die Beschaffung von Cloud-Leistungen, welche federführend von der Arbeitsgruppe EVB-IT aus dem BMI verhandelt wurden, stellt einen Meilenstein für die IT-Vergabe dar. Der Beschluss der Vergabekammer Baden-Württemberg macht deutlich, dass die Herausforderungen bei der Vergabe von Cloud-Leistungen und die damit verbundenen datenschutzrechtlichen Anforderungen in der Praxis noch nicht ausreichend gelöst wurden. In der Praxis existieren zahlreiche potenzielle Problemfälle, die im Zusammenhang mit dieser Diskussion ins Licht der Aufmerksamkeit rücken könnten.
Diese weitreichende Kontroverse ist unter anderem Bestandteil der Praktiker-Diskussionen im Seminar der Fortbildungskampagne am 15. und 16. September mit dem Titel „Sichere Cloud-Verträge und -Services in Institutionen und Unternehmen der öffentlichen Hand“. Hier werden sowohl die die technischen und datenschutzrechtlichen Anforderungen an Cloud-Leistungen umfassend besprochen als auch die vergaberechtlichen Implikationen aufgezeigt. An den beiden Veranstaltungstagen geht es nicht um theoretisch-juristische Einschätzungen, sondern um praxisbezogene Hilfestellungen und Anregungen für Vergabestellen und Einrichtungen der öffentlichen Hand, welche Verträge im Zusammenhang mit Cloud-Leistungen abschließen werden.
Agenda der Veranstaltung:
Für weitere Informationen und Fragen wenden Sie sich bitte an:
Constanze Korb
Fortbildungskampagne öffentliches Recht
Presse und Kommunikation
Tel.: +49 (0) 30 89 56 27 13
E-Mail: presse@fortbildungskampagne.de
Über Fortbildungskampagne öffentliches Recht:
Die Fortbildungskampagne öffentliches Recht wurde 2019 in Berlin gegründet und erweitert das Weiterbildungsangebot im öffentlichen Sektor durch effiziente Veranstaltungen im Hybrid-Format. ExpertInnen aus der Praxis, aus Forschung und Lehre und dem Rechtsbereich vermitteln ihr fundiertes Wissen im Rahmen von Seminaren und Inhouse-Schulungen. Die Veranstaltungen bieten einen direkten Austausch mit den ReferentInnen vor Ort und online.
Die Fortbildungskampagne eruiert über fortlaufende Recherchen und den ständigen Austausch mit ExpertInnen und Institutionen den tatsächlichen Fortbildungsbedarf an aktuellen und praxisrelevanten Themen. Sie versteht sich als eine innovative Plattform für Wissenstransfer, deren Angebot die öffentliche Hand aktiv mitgestalten kann.