Welche Richtlinien der EU-DSGVO muss ich bei Ausschreibungen als Vergabestelle beachten?
Büttner: Dabei sind zwei Aspekte zu betrachten. Da wäre erstens die Informationspflicht der Vergabestellen entsprechend Artikel 13 bzw. Artikel 14 der DSGVO.
Diese umfassen, dass den Bietern vermittelt wird, wenn personenbezogene Daten verarbeitet werden, wer die Empfänger sind, wie und wie langedie Daten aufbewahrt werden, wer Datenschutzbeauftragter ist usw. Es ist zu gewährleisten, dass personenbezogene Daten rechtmäßig zu be- und verarbeiten sind.
Datenschutz kann als Wettbewerbsvorteil der öffentlichen Verwaltung betrachtet werden.
Des Weiteren hat die DSGVO Auswirkungen auf die Ausschreibung. Nach Artikel 5 der DSGVO können Vergabestellen innerhalb der Eignung eine "transparente, zweckgebundene Verarbeitung" verlangen.
Was bedeutet die „transparente, zweckgebundene Verarbeitung“ für die Vergabe konkret?
Büttner: Im Medienecho wurde die DSGVO oft als „Cookieangriff“ oder „Bürokratieangriff“ dargestellt, dabei kann Datenschutz als Wettbewerbsvorteil der öffentlichen Verwaltung betrachtet werden. Die DSGVO hat das alte Bundesdatenschutzgesetz weiter verstärkt. Der Staat kann der Wirtschaft so eine Rechtfertigung zum Datenschutz abverlangen.
Für die Rechtsanwendung wäre die flächendeckende UVgO-Pflicht in den Ländern ein Gewinn.
Welche Auswirkungen hätte die UVgO-Pflicht in den Ländern?
Bode: Als Anwalt wäre das natürlich absolut wünschenswert! Es gäbe ein einheitliches Vergaberecht in den Ländern, was die Arbeit enorm erleichtern würde. Die UVgO-Pflicht in den Ländern einzuführen, wäre allerdings ein scharfes Schwert im Länderrecht. Die Länder haben im Vergaberecht erhebliche Unterschiede und wollen sich ihre Kompetenzen nicht nehmen lassen. Für die Rechtsanwendung wäre es aber ein Gewinn.
Darf ich zu einem Bieter als Vergabestelle im Verfahren sagen "dein Angebot ist nicht das günstigste"?
Bode: Sobald Sie den Bieter führen, haben Sie vergaberechtlich ein Problem, da Sie das Verfahren steuern. Eine Aussage wie „Sehen Sie zu, dass Sie preislich attraktiv sind.“, die den Bieter über die aktuelle preisliche Reihenfolge der Konkurrenz-Angebote im unklaren lässt, ist jedoch zulässig.
Wie muss ein Angebot auf der Vergabe-Plattform aussehen? Kann ich als Ausschreibender Dateiformate vorgeben?
Kirch: Durch die Plattform ist ein Einreichen per E-Mail ausgeschlossen. Durch Eingabe-Masken können Sie bereits das gewünschte Format vorgeben. Sie können innerhalb der Ausschreibung jedoch auf ein Format bspw. PDF einfordern. In jedem Fall sollte das Angebot maschinenlesbar sein. Scans oder sonstige Angebote, die nicht ohne Aufwand weiterverarbeitet werden können, können zum Ausschluss des Bieters führen. Sie sollten die gewünschte Form bestenfalls in der Ausschreibung angeben.
Wie kann ich Vorgehen, wenn Bieter innerhalb ihrer Referenzen keine Unternehmen benennen möchten? Wie sind diese Referenzen zu werten?
Kirch: Eine Referenz ohne die Nennung des Unternehmens gilt als formal unvollständige Referenz. Sollte das Verfahren unter VGO-A laufen, sind Sie als Ausschreibender verpflichtet, hinsichtlich der Referenz beim Bieter nachzufragen. Sie haben im jeden Fall die Möglichkeit diese Information nachzufordern. Erhalten Sie keine Referenzauftraggeber, ist die Referenz nicht im Verfahren zu berücksichtigen.
Sollten Auftragsbedingungen für den Markt nicht erfüllbar sein, sollte man die Möglichkeit der Rüge nutzen.
Kann ich als Bieter die Anerkennung meiner AGBs zur Vertragsgrundlage machen?
Bode: Jedes Angebot unterliegt den gleichen Konditionen. Die Anerkennung der eigenen AGBs als Vertragsgrundlage festlegen, kann schnell zum Ausschlussgrund werden.
Der Bieter kann seine AGBs nicht zum Vertragsgegenstand machen!
Kirch: Im konkreten Fall der Datenlizensierung gibt es die Marktsituation jedoch nicht anders her. Dies muss dem Auftraggeber auch so verständigt werden.
Bode: Sollten die Auftragsbedingungen daher gehend für den Markt nicht erfüllbar sein, sollte man die Möglichkeit der Rüge nutzen.
Welche Kriterien kann ich zur Einhaltung von DSGVO ausschreiben bzw. verlangen?
Büttner: Bisher gibt es noch keine allgemein gültigen Datenschutzzertifikate, um das Datenschutzniveau eines Unternehmens zu bestimmen und auszuzeichnen. Individualzertifikate gibt es aktuell ausschließlich im Cloud-Bereich. Bei Drittländern müssen diese ein gleiches Datenschutz-Niveau nachweisen. Das der USA oder Aserbaidschan ist beispielsweise deutlich schlechter. Bei der Weitergabe von personenbezogenen Daten haftet auch die Vergabestelle. Daher sind eine rechtmäßige Verarbeitung und die Nachweispflicht innerhalb eines Monats innerhalb der Ausschreibung festzuhalten. Der Auftrag kann Vertraulichkeitsverpflichtungen enthalten, wie das beispielsweise bei einem Arzt-Patienten-Verhältnis üblich ist.
Es gibt kein Eignungskriterium „Einhaltung der DSGVO“ im Kriterien-Katalog. Innerhalb der technischen Leistungsfähigkeit kann dieser Vermerk allerdings erfolgen. Im Zweifelsfall kann die Einhaltung auch als Maßnahme der Qualitätssicherung innerhalb der Leistungsbeschreibung gefordert werden. So werden den Auftragnehmern neue Vorgaben gesetzt und proaktive Maßnahmen in der Herstellung sind gefordert. Bereits in der Entwicklung von Produkten soll auf Datenschutz Rücksicht genommen werden.
Innerhalb der technischen Leistungsfähigkeit kann "Einhaltung der DSGVO" als Anforderung vermerkt werden.
Ist es zulässig personenbezogene Daten frei zugeben, um Transparenz im Vergabeverfahren zu schaffen?
Büttner: Die Weitergabe personenbezogener Daten von Bietern an Konkurrenzunternehmen entspricht nicht mehr dem Ursprungszweck. Hier müsste eine Einwilligung eingeholt holen. Die generelle Kopplung der Freigabe personenbezogener Daten innerhalb einer Ausschreibung ist schwierig, organisationsbezogene Daten finden allerdings in der DSGVO keine Anwendung.
Die Vertraulichkeitsklausel des Vergaberechts greift jedoch, sodass keine Betriebsgeheimnisse etc. nach außen getragen werden. Ein Sonderfall wäre der Einzelkaufmann. Die Freigabe seiner Daten ist jedoch mit verhältnismäßigen Aufwand zu erzielen, anders als bei einem Unternehmen an dessen Auftrag über hundert Mitarbeiter beteiligt sind.
