Kein pauschaler Ausschluss von US-Cloud-Anbietern

Das Oberlandesgericht Karlsruhe hat entschieden, dass Tochterunternehmen von US-Konzernen nicht pauschal aus Vergabeverfahren ausgeschlossen werden dürfen. Eine vielkritisierte Entscheidung der Vergabekammer Baden-Württemberg vom 13. Juli 2022 wurde somit aufgehoben.

Eine Entscheidung der Vergabekammer Baden-Württemberg (VK BW) vom 13. Juli 2022, Az. 1 VK 23/22, sorgte für viel Aufregung (centron berichtete). Damals wurde in einem Vergabeverfahren entschieden, dass in der EU ansässige Tochterunternehmen US-amerikanischer Konzerne nicht an öffentlichen Vergaben teilnehmen dürfen, wenn es um die Verarbeitung von personenbezogenen Daten gehe. Damit gehe dem Urteil zufolge eine unzulässige Datenübermittlung in die USA einher, was gegen die Datenschutz-Grundverordnung (DS-GVO) verstoße.

Kein pauschaler Ausschluss von US-Tochterunternehmen

Die umstrittene Entscheidung der VK BW wurde nun vom Oberlandesgericht Karlsruhe rechtskräftig aufgehoben (Az. 15 Verg 8/22). Einen Freibrief hat das OLG Karlsruhe Vergaben an Tochtergesellschaften von nicht in der EU ansässigen Unternehmen damit jedoch nicht ausgestellt: Es komme – wie so häufig – auf die Umstände des Einzelfalles an.

„Erst wenn sich aufgrund konkreter Anhaltspunkte Zweifel daran ergeben, muss der öffentliche Auftraggeber ergänzende Informationen einholen und die Erfüllbarkeit des Leistungsversprechens prüfen“, heißt es in der Pressemitteilung des OLG Karlsruhe. Ferner müssen öffentliche Auftraggeber dem Urteil zufolge „nicht damit rechnen, dass die luxemburgische Gesellschaft vertragswidrige und gegen europäisches Recht verstoßende Weisungen befolgen und personenbezogene Daten in die USA übermitteln wird.“ Die Tatsache, ein (in diesem Fall luxemburgisches) Tochterunternehmen eines US-amerikanischen Konzerns zu sein, reicht für einen Vergabeausschluss folglich noch lange nicht aus.

Unsicherheit besteht weiter

Hätte das OLG Karlsruhe die Entscheidung der VK BW bestätigt, hätte der pauschale Ausschluss von Tochterunternehmen US-amerikanischer Konzerne aus zahlreichen Vergabeverfahren gedroht. Stattdessen rückt das Urteil nun eine weiterhin bestehende Unsicherheit in den Fokus: Die datenschutzrechtlich fragliche Verarbeitung personenbezogener Daten, wenn dabei ein Bezug zu einem Nicht-EU-Staat oder einem Staat ohne durch die EU-Kommission anerkanntem „angemessenen Datenschutzniveau“ besteht. Insbesondere im Verhältnis zu den USA, mit welchen die EU seit Juli 2022 um ein Nachfolgeabkommen für den „EU-US-Privacy Shield“ ringt. Ein entsprechendes Abkommen ist derzeit in Arbeit – ob nach dessen Inkrafttreten wirklich Ruhe einkehren wird, ist jedoch fraglich.

Quelle: OLG Karlsruhe