Cloud-Dienste von US-Tochterunternehmen widersprechen DSGVO

Nach einem aktuellen Urteil der Vergabekammer Baden-Württemberg gelten deutsche Daten selbst auf den europäischen Servern europäischer Töchter amerikanischer Unternehmen nicht mehr als geschützt. Wird das Urteil vom Oberlandesgericht bestätigt, hätte das enorme Auswirkungen auf die Beschaffung von Cloud-Leistungen.

Im von der Vergabekammer Baden-Württemberg (VK BW) geprüften Fall hat der öffentliche Auftraggeber die Beschaffung von Software, Lizenzen und Support ausgeschrieben. Die Entscheidung fiel auf eine in der EU sitzende Tochterfirma eines US-Unternehmens. Ein konkurrierender Anbieter im Vergabeverfahren initiierte mit dem Vorwurf, das Angebot des zu bezuschlagenden Unternehmens sei nicht DSGVO-konform, ein Nachprüfungsverfahren. Nach eingehender Prüfung des Falles gab die VK BW der Antragsstellerin, der Pflegeplatzmanager GmbH, recht.

Konkret führt die VK BW in ihrem Beschluss aus, dass das Unternehmen, welches den Zuschlag bekommen sollte, die Vertragsunterlagen derart verändert habe, dass es – anders als vom Auftraggeber gefordert – keine mit dem anwendbaren Datenschutzrecht zu vereinbarende Leistungserbringung anbiete. So verspreche das US-Tochterunternehmen in zwei Vertragsklauseln, keinen Dritten Zugriff auf die Daten zu geben und keine Daten von Europa in andere Regionen zu übermitteln – es sei denn das Unternehmen müsse dem Gesetz oder einer verbindlichen Anordnung einer staatlichen Stelle entsprechen. Diese Vertragszusätze seien der VK BW zufolge generalklauselartig gestaltet und eröffnen staatlichen sowie privaten Stellen außerhalb der EU eine Möglichkeit, in bestimmten Situationen auf die gespeicherten Daten zuzugreifen.

Wie Stephan Schuldt (Anwalt bei der Kanzlei Gruendelpartner, welche die Pflegepartnermanager GmbH vertritt) auf Twitter mitteilte, hat eine der beschwerten Parteien Sofortige Beschwerde eingelegt. Die Entscheidung der VK BW ist folglich noch nicht rechtskräftig, sondern die Angelegenheit geht an das Oberlandesgericht (OLG) Karlsruhe über. Sollte das OLG die Entscheidung der VK BW bestätigen, so hätte das enorme Auswirkungen auf die Beschaffung von Cloud-Leistungen. US-Unternehmen und deren Töchter in Europa wären dann per se von künftigen Vergabeverfahren auszuschließen.