Richtungsweisende Entscheidung aus Baden-Württemberg Server in Deutschland gewährleistet nicht den Datenschutz

Aktualisiert am 17.10.2022 Von Elke Witmer-Goßner

Anbieter zum Thema

Sind digitale Server- und Cloud-Leistungen, die US-Anbieter über ihre europäischen Tochtergesellschaften erbringen, trotzdem als unzulässige Übermittlung personenbezogener Daten zu werten? Eine Entscheidung im Zusammenhang des Vergaberechts gibt jetzt eine Richtung zur Klärung dieser strittigen Frage vor.

Die Weitergabe persönlicher Daten ist nach Ansicht der Vergabekammer nach Wegfall des US-Privacy-Shields unzulässig und kann auch nicht durch SCCs legitimiert werden.
Die Weitergabe persönlicher Daten ist nach Ansicht der Vergabekammer nach Wegfall des US-Privacy-Shields unzulässig und kann auch nicht durch SCCs legitimiert werden.
(Bild: greenbutterfly - stock.adobe.com)

Nach dem Wegfall des Privacy Shields (EuGH, Urteil vom 16. Juli 2020 - Az. C-311/18; „Schrems-II“) haben US-Anbieter sich auf sogenannte Standarddatenschutzklauseln berufen, um ihre Dienstleistungen über ihre europäischen Töchter auch weiterhin DSGVO-konform für europäische Kunden anbieten zu können.

Die Vergabekammer Baden-Württemberg hat am 13. Juli 2022 (Az. 1 VK 23/22) eine richtungsweisende Entscheidung getroffen. Nach ihrer Ansicht liegt eine datenschutzrechtlich unzulässige Übermittlung personenbezogener Daten in ein Drittland (außerhalb der EU) auch dann vor, wenn der entsprechende Server von einer in der EU ansässigen Gesellschaft betrieben wird, die ihrerseits Teil eines US-Konzerns ist.

Allein die Möglichkeit, dass auf personenbezogene Daten durch die nichteuropäische Muttergesellschaft zugegriffen werden könne, führe zu einer sogenannten „Weitergabe“ im Sinne der DSGVO – unabhängig davon, ob ein solcher Zugriff durch die US-Muttergesellschaft tatsächlich erfolgt. Diese Weitergabe ist nach Ansicht der Vergabekammer nach Wegfall des US-Privacy-Shields unzulässig, sie konnte in dem Verfahren insbesondere nicht durch den Abschluss von Standardvertragsklauseln (sog. SCC's) legitimiert werden.

Hinter der noch nicht bestandskräftigen Entscheidung stand das Vergabeverfahren für ein digitales Entlass-Management. Die in Thüringen ansässige Pflegeplatzmanager GmbH (PPM), ein deutscher Anbieter digitaler Plattformtechnologien und Dienstleistungen im Bereich des Aufnahme-, Entlass- und Überleitungsmanagements im Pflegebereich, wurde diesbezüglich vor der Vergabekammer durch die Wirtschaftskanzlei Gruendelpartner vertreten.

Losgelöst von diesem konkreten Einzelfall hat die Entscheidung potenziell erhebliche Auswirkungen auf die Zusammenarbeit deutscher Unternehmen mit US-Tech-Anbietern bzw. deren europäischen Konzerngesellschaften, wie Gruendelpartner mitteilt. Dass in einem komplexen Vergabeverfahren ein Ausschluss eines Bieters erfolge, weil dieser eine Tochtergesellschaft eines US-Anbieters einsetze, könnte erheblichen Einfluss auf die künftige Gestaltung und Durchführung von Vergabeverfahren haben, so die Anwälte.

Update: Inzwischen hat das Oberlandesgericht Karlsruhe die Entscheidung der Vergabekammer Baden-Württemberg wieder „einkassiert“ (Beschluss vom 7.9.2022, Aktenzeichen: 15 Verg 8/22). Die Begründung des Karlsruher Gerichts ist hier nachzulesen.

(ID:48498775)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Cloud Computing

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung