Es war doch nur ein kurzes Strohfeuer. Die Vergabekammer Baden-Württemberg (VK BW) hatte entschieden, dass der Auftrag für die Einrichtung einer Cloud-Lösung nicht an das luxemburgische Tochterunternehmen einer amerikanischen Firma gehen durfte. Obwohl die Server in Deutschland stünden, sei das Risiko einer Datenübermittlung in die USA zu hoch. Der Vergabesenat des Oberlandesgerichts (OLG) Karlsruhe hat diese Entscheidung aufgehoben.
Zwei kommunale Krankenhausgesellschaften wollten den Zuschlag für ein digitales Entlassmanagement der luxemburgischen Firma geben. Eine Mitbewerberin initiierte ein Nachprüfungsverfahren, weil der zu schließende Vertrag nicht DSGVO-konform sei. Die VK BW schloss sich diesem Argument an. Obwohl die Daten auf deutschen Servern verwaltet werden sollten, bestünde grundsätzlich die Gefahr einer Datenübertragung in die USA. Allein dieses latente Risiko stelle eine unzulässige Übermittlung im Sinne der Datenschutz-Grundverordnung (DSGVO) dar.
Juristisch nicht zu Ende gedacht
Kritik kam von allen Seiten. Der Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) Baden-Württemberg stellte fest, die von der Vergabekammer vorgenommene Gleichsetzung von Zugriffsrisiko und Übermittlung sei rechtlich zweifelhaft.
Die Entscheidung der VK sei juristisch nicht zu Ende gedacht, stimmt Dr. Dennis-Kenji Kipker dem LfDI zu. Der Professor für IT-Sicherheitsrecht an der Hochschule Bremen unterstreicht aber: „Die Entscheidung der Vergabekammer ist im Hinblick auf die Risiken – die real sind – konsequent und realistisch.“ Deswegen werde im EU Cybersecurity Act auch an einem neuen Cloud-Scheme gearbeitet, das unter anderem regeln soll, wie mit Unternehmen, die Server von US-Hyperscalern nutzen, umzugehen ist. Zugleich gehe die Entscheidung der Vergabekammer jedoch an den politisch-wirtschaftlichen Realitäten vorbei. Deutschland könne es sich nicht leisten, US-amerikanische Unternehmen aus der Errichtung von IT-Infrastruktur per se auszuschließen.
Entscheidung aufgehoben
Schon vor der Entscheidung des Vergabesenats prophezeite Kipker, dass die Entscheidung der VK BW aufgehoben werden würde. „Ich halte die Diskussion für ein Strohfeuer, denn die Erkenntnisse sind nicht neu.“
Der Vergabesenat des OLG Karlsruhe erklärte nun: „Die Antragsgegnerinnen mussten nicht davon ausgehen, dass es aufgrund der Konzernbindung zu rechts- und vertragswidrigen Weisungen an das Tochterunternehmen kommen wird bzw. das europäische Tochterunternehmen durch seine Geschäftsführer gesetzeswidrigen Anweisungen der US-amerikanischen Muttergesellschaft Folge leisten wird.“ Wenn die Firma sich vertraglich verpflichte, keine Daten zu übermitteln, dann könnten die Krankenhausgesellschaften davon ausgehen, dass sie sich daran halten werde. Die Entscheidung der VK sei aufgehoben.
