Skip to content

OLG Karlsruhe: US-Cloud-Anbieter bzw. deren europäische Tochterunternehmen sind nicht generell wegen fehlender DSGVO-Konformität von Vergabeverfahren auszuschließen

OLG Karlsruhe
Beschluss vom 07.09.2022
15 Verg 8/22


Das OLG Karlsruhe hat entschieden, dass US-Cloud-Anbieter bzw. deren europäische Tochterunternehmen nicht generell wegen fehlender DSGVO-Konformität von Vergabeverfahren auszuschließen sind.

Aus den Entscheidungsgründen:
b) Das Angebot der Beigeladenen ist auch nicht auszuschließen, weil ihr Angebot von den Anforderungen der Antragsgegnerinnen an Datenschutz und IT-Sicherheit abweicht.

aa) Der öffentliche Auftraggeber darf ohne Widerspruch zu § 127 Abs. 4 Satz 1 GWB grundsätzlich davon ausgehen, dass ein Bieter seine vertraglichen Zusagen erfüllen wird (OLG Düsseldorf, Beschluss vom 26.08.2018, Verg 23/18, juris Rn. 71; KG, Beschluss vom 21.11.2014, Verg 22/13, juris, Rn. 36). Erst wenn sich konkrete Anhaltspunkte dafür ergeben, dass dies zweifelhaft ist, ist der öffentliche Auftraggeber gehalten, durch Einholung ergänzender Informationen die Erfüllbarkeit des Leistungsversprechens beziehungsweise die hinreichende Leistungsfähigkeit des Bieters zu prüfen (OLG Düsseldorf, a.a.O.; KG, a.a.O.; OLG Frankfurt a.M., Beschluss vom 16.06.201, 11 Verg 3/15, juris, Rn. 82; OLG Brandenburg, Beschluss vom 20.11.2012, Verg W 10/12, juris Rn. 21).

bb) Die Vergabeunterlagen verlangten die softwaretechnische Einhaltung des beigefügten DS-GVO-Vertragsentwurfs (4.1.1. lit. c der Vergabeunterlagen). Weiter heißt es, „die Einzelheiten ergeben sich aus dem Leistungsverzeichnis und dem Lastenheft der Vergabeunterlagen.“ Im Lastenheft heißt es unter 2.8 „Erfüllung der Anforderungen aus der DS-GVO und dem BDSG, insbesondere

- Erfüllung der datenschutzrechtlichen Grundsätze, Art. 5, 25 DS-GVO (insbesondere Datenminimierung, Datenschutz durch Technikgestaltung, Datenschutz durch datenschutzfreundliche Voreinstellungen)

- Umsetzung ausreichender technischer und organisatorischer Maßnahmen (Art. 32 DS-GVO) oder anderer geeigneter Garantien (z.B. Zertifizierung nach Art. 42 DS-GVO); Möglichkeit zur Vorortprüfung des Auftragnehmers muss gegeben sein.“

Im Lastenheft weisen die Antragsgegnerinnen darauf hin, dass die Anforderungen an die Leistungen als zum Ausschluss führende A-Kriterien und bewertungsrelevante B-Kriterien ausgestaltet sind. Danach ist allein die softwaretechnische Einhaltung des DS-GVO-Vertragsentwurfs Ausschlusskriterium (Lastenheft lfd. Nr. 19), während die DS-GVO konformen softwaretechnischen Möglichkeiten zur Berechtigungssteuerung (Lastenheft lfd. Nr. 20) und die Vorgabe, wonach die Daten ausschließlich in einem EU-/EWR-Rechenzentrum verarbeitet werden, bei dem kein Subdienstleister / Konzernunternehmen in Drittstaaten ansässig ist (Lastenheft lfd. Nr. 21), als B-Kriterien ausgestaltet.

Durch die Unterzeichnung der von den Antragsgegnerinnen vorgegebenen DS-GVO-Verträgen hat die Beigeladene erklärt, die gemachten Vorgaben einzuhalten. Sie hat zudem ihre Leistungen beim Einsatz von Dienstleistern und im Bereich von Datenschutz und IT-Sicherheit im Angebot im Einzelnen näher beschrieben und hierbei ein klares und eindeutiges Leistungsversprechen abgegeben. Sie hat in diesem Zuge zugesichert, dass personenbezogene Gesundheitsdaten ausschließlich an die A. S.à.r.l., L., übermittelt werden und auch zu ihrer Verarbeitung die EU nicht verlassen, sondern nur in Deutschland verarbeitet werden. Zudem hat die Beigeladene erklärt, dass die A. S.à.r.l., L. ihr gegenüber zugesichert habe, dass alle Daten der Beigeladenen in Deutschland verarbeitet werden und in der mündlichen Verhandlung vor dem Senat zudem bestätigt, dass sie bis zur Angebotsverwirklichung sämtliche intern notwendigen Verträge mit A. schließen wird, die ihre Zusagen, wie sie im Angebot gemacht werden, umsetzen. Im Sinne einer solchen bindenden Zusicherung haben die Antragsgegnerinnen die Erklärungen der Beigeladenen in den Vergabeunterlagen auch verstanden. Auf dieses Leistungsversprechen dürfen die Antragsgegnerinnen vertrauen.

(1) Zweifel mussten die Antragsgegnerinnen nicht deshalb haben, weil A. Verträge im Allgemeinen unter Einbeziehung der A. DPA abschließt. Die A. DPA waren nicht Gegenstand des Angebots der Beigeladenen. Die Verträge mit A. waren nach den Vergabeunterlagen nicht vorzulegen und lagen dem Angebot auch nicht bei. Folglich bestand für die Antragsgegnerinnen keine Veranlassung, an den im Leistungsversprechen gemachten Zusicherungen zu zweifeln, weil die A. DPA möglicherweise datenschutzrechtliche Defizite aufweisen könnten, wie dies die Vergabekammer aufgezeigt hat oder weil deren Formulierung als dreiseitige Vereinbarung, in die auch die A. Inc., USA, einbezogen ist, Zweifel an der Einhaltung der DS-GVO begründen könnten. Aufgrund des im Angebot beschriebenen Leistungsversprechens und den abgegebenen Garantien in Bezug auf die konkrete Auftragsdurchführung können die Antragsgegnerinnen davon ausgehen, dass die Beigeladene sich hieran hält und ihre Verträge mit A. entsprechend gestaltet, ungeachtet etwaiger Bestimmungen in den als AGB ausgestalteten A. DPA. Die Beigeladene hat folglich dafür Sorge zu tragen, dass sie ihre Leistung entsprechend der abgegebenen Garantien umsetzt und durchführt.

(2) Anders als die Antragstellerin meint, musste nicht allein die Tatsache, dass die A. S.à.r.l ein Tochterunternehmen eines US-amerikanischen Konzerns ist, die Antragsgegnerinnen an der Erfüllbarkeit des Leistungsversprechens zweifeln lassen. Die Antragsgegnerinnen mussten nicht davon ausgehen, dass es aufgrund der Konzernbindung zu rechts- und vertragswidrigen Weisungen an das Tochterunternehmen kommen wird bzw. das europäische Tochterunternehmen durch seine Geschäftsführer gesetzeswidrigen Anweisungen der US-amerikanischen Muttergesellschaft Folge leisten wird.

(3) Die erstmals am Schluss der mündlichen Verhandlung vor dem Vergabesenat von der Antragstellerin erhobene Rüge, die Beigeladene setze C. ein, wobei von A. Daten in die USA übertragen würden, auch werde die IP-Adresse in die USA übertragen, was die Beigeladene bestritten hat, ist wegen des im Vergabenachprüfungsverfahren im Interesse der Auftraggeber und der Allgemeinheit an einer raschen Auftragsvergabe geltenden Beschleunigungsgrundsatzes unbeachtlich. Weshalb die Antragstellerin dies nicht hätte früher rügen können, hat sie nicht nachvollziehbar erklärt. Es ist nicht davon auszugehen, dass die Recherche besonders aufwendig war, denn es genügte eine Eingabe in die R.-APP, um diese Informationen zu erhalten, wie die Antragstellerin erklärt hat. Der behauptete Verstoß gegen die DS-GVO wegen einer Datenübermittlung in die USA war bereits Kernargument des Rügeschreibens der Antragstellerin vom 09.05.2022.

Selbst wenn man den Vortrag als zulässig erachten würde, wird das Leistungsversprechen der Beigeladenen damit nicht in Zweifel gezogen. Denn daraus lässt sich nicht schließen, dass die Verwendung von C. und die Übermittlung der IP-Adresse in die USA Teil der den Antragsgegnerinnen angebotenen Leistung ist.

(4) Da die Antragsgegnerinnen folglich nicht davon ausgehen mussten, dass die personenbezogenen Gesundheitsdaten von der Beigeladenen im Rahmen der Vertragserfüllung in ein Drittland übermittelt werden, bedurfte es der Durchführung eines Transfer Impact Assessments nicht. Dessen Fehlen stellt keine Abweichung von den Ausschreibungsbedingungen dar.

(5) Im Hinblick auf das Versprechen der Beigeladenen, dass die Daten ausschließlich in Deutschland verarbeitet werden, kommt es nicht darauf an, ob die Beigeladene begleitende organisatorische und technische Maßnahmen, insbesondere auch im Hinblick auf eine sichere Verschlüsselung, zusagte, die erforderlich sind, damit die Übermittlung von Daten in die USA im Einklang mit den Bestimmungen der DS-GVO steht.

Allerdings weist der Senat darauf hin, dass die Vergabekammer, die einen anderen rechtlichen Ansatz wählte und für die es daher für die Einhaltung der DS-GVO unter anderem auf eine effiziente Verschlüsselungstechnik ankam, die von der Beigeladenen als geheimhaltungsbedürftig gekennzeichneten Angaben nicht hätte unberücksichtigt lassen dürfen. In Fällen, in denen eine Weitergabe von Informationen zum Schutz von Geschäftsgeheimnissen eines der Beteiligten unterbleiben muss, ist dem vielmehr durch eine entsprechende Verfahrensgestaltung (wegen der Einzelheiten: BGH, Beschluss vom 31.01.2017, X ZB 10/16, juris) Rechnung zu tragen.

c) Die Antragsgegnerinnen haben nicht gegen ihre Aufklärungspflicht nach § 60 Abs. 1 VgV verstoßen. Sie haben, weil die Beigeladene im zurückversetzten Verfahren teilweise erheblich günstigere Preise anbot als im ursprünglichen Vergabeverfahren, die Preise aufgeklärt. Die Preisprüfung erstreckt sich darauf, ob der angebotene Gesamtpreis im Verhältnis zur Leistung ungewöhnlich oder unangemessen niedrig ist und zur Leistung in einem Missverhältnis steht (vgl. OLG Düsseldorf, Beschluss vom 08.06. 2016, VII-Verg 57/15, juris). Eine darauf gerichtete Preisprüfung haben die Antragsgegnerinnen vorgenommen. Die Erklärungen der Beigeladenen und die hierzu vorgelegten Unterlagen haben die Antragsgegnerinnen als zufriedenstellend bewertet und dies in den Vergabeunterlagen nachvollziehbar dargestellt und dokumentiert. Ergänzend wird zur Vermeidung von Wiederholungen auf die zutreffenden Ausführungen der Vergabekammer Bezug genommen. Folglich ist das Angebot der Beigeladenen nicht nach § 60 Abs. 3 VgV von der Wertung auszuschließen.


Den Volltext der Entscheidung finden Sie hier:


OLG Rostock: Direktvergabe der Luca-App durch das Land Mecklenburg-Vorpommern vergaberechtswidrig und Vertrag unwirksam

OLG Rostock
Urteil vom 11.11.2021
17 Verg 4/21


Das OLG Rostock hat entschieden, dass die Direktvergabe der Luca-App durch das Land Mecklenburg-Vorpommern vergaberechtswidrig war und der Vertrag somit unwirksam ist.

Die Pressemitteilung des Gerichts:

Direktvergabe der Luca-App durch das Land MV ist vergaberechtswidrig und damit unwirksam erfolgt

Der Vergabesenat des Oberlandesgerichts hat heute auf Antrag einer deutschen Softwarefirma entschieden, dass der am 08. März 2021 zwischen dem Land MV und der Firma Culture4life geschlossene Vertrag über die Beschaffung der sogenannten Luca-App unwirksam sei. In der Direktvergabe liege ein Wettbewerbsverstoß, der die Unwirksamkeit des Vertrages zur Folge habe. Ein Antrag auf Gestattung der Fortführung des Vertrages wurde zurückgewiesen.

Gründe:

Aufgrund der infolge der Corona-Pandemie bestehenden nicht vorhersehbaren1 Dringlichkeit der Beschaffung der Kontaktnachverfolgungs-App im März 2021 sei zwar eine Vergabe ohne vorherige europaweite Ausschreibung zulässig gewesen (gemäß § 14 Abs. 4 Nr. 3 VGV), dennoch dürfe der Wettbewerb nicht gänzlich ausgeschlossen werden. Auch im Falle bestehender unvorhersehbarer Dringlichkeit und daraus folgender Nichteinhaltung der Mindestfristen müsse immer so viel Wettbewerb wie möglich geboten werden. Vorliegend sei es zumutbar gewesen, zumindest mehrere Angebote einzuholen. Jedenfalls hätten die eigeninitiativ durch die Antragstellerin im Oktober 2020 an den zentralen Eingang der Staatskanzlei und erneut am 04.03.2021 per E-Mail an die Adresse der Ministerpräsidentin des Landes MV eingereichten Angebote über die VIDA-App in die Auswahlentscheidung mit einbezogen werden müssen. Dem Land habe es oblegen, diese selbst eingerichteten elektronischen Eingangspostfächer so zu verwalten, dass die E-Mails dem entsprechenden Verwaltungsvorgang zugeordnet werden und bei der Auswahlentscheidung Berücksichtigung
finden können.
Die VIDA-App sei auch grundsätzlich konkurrenzfähig und erfülle die Mindestanforderungen der Antragsgegnerin. Insbesondere verfüge die App über eine Schnittstelle zur Fachanwendung SORMAS. Diese diene der elektronischen Datenerfassung durch die Gesundheitsämter, um aufwändige analoge Übermittlungen abzukürzen und zu vereinfachen.

Die Entscheidung ist rechtskräftig. Ein Rechtsmittel ist nicht eröffnet.

1 Zwar war bereits lange vor Februar/März 2021 abzusehen, dass Bedarf für eine effizientere Kontaktnachverfolgung bestand, das Land durfte aber berechtigt bis Ende Februar 2021 darauf vertrauen, dass der Bund eine einheitliche Lösung bereitstellen würde. Erst infolge der Absage des Bundes (Schreiben des Bundesgesundheitsministeriums vom 26.02.2021) musste das Land selbst kurzfristig tätig werden.



BGH: Kalkulationsirrtum bei Abgabe eines Angebots gegenüber öffentlichem Auftraggeber

BGH
Urteil vom 11.11.2014
X ZR 32/14


Die Pressemitteilung des BGH:


"Kalkulationsirrtum bei Abgabe eines Angebots gegenüber öffentlichem Auftraggeber

Der für Rechtsstreitigkeiten über Vergabeverfahren zuständige X. Zivilsenat hat heute entschieden, unter welchen Voraussetzungen es einem öffentlichen Auftraggeber verwehrt ist, auf ein Angebot den Zuschlag zu erteilen, das nur infolge eines Kalkulationsirrtums des Anbieters außerordentlich günstig ausgefallen war.

Der betreffende Bieter hatte bestimmte Straßenbauarbeiten zu einem Preis von rd. 455.000 € angeboten. Das nächstgünstigste Angebot belief sich auf rd. 621.000 €. Vor Zuschlagserteilung erklärte er gegenüber der Vergabestelle, in einer Angebotsposition einen falschen Mengenansatz gewählt zu haben, und bat um Ausschluss seines Angebots von der Wertung. Dieser Bitte kam das beklagte Land nicht nach, sondern erteilte dem Bieter den Zuschlag. Da dieser den Auftrag auf Basis seines abgegebenen Angebots nicht ausführen wollte, trat das Land vom Vertrag zurück und beauftragte ein anderes Unternehmen, das die Leistung zu einem höheren Preis erbrachte. Die Mehrkosten verlangt das Land vom ursprünglich beauftragten Bieter als Schadensersatz.

Das Landgericht hat einen Schadensersatzanspruch des Landes verneint. Die Berufung des Landes ist ohne Erfolg geblieben.

Der Bundesgerichtshof hat entschieden, dass der öffentliche Auftraggeber gegen die ihm durch § 241 Abs. 2 BGB*) auferlegten Rücksichtnahmepflichten verstößt, wenn er den Bieter an der Ausführung des Auftrags zu einem Preis festhalten will, der auf einem erheblichen Kalkulationsirrtum beruht. Der Bundesgerichtshof hat dabei klargestellt, dass nicht jeder noch so geringe diesbezügliche Irrtum ausreicht und dass auch sichergestellt sein muss, dass sich ein Bieter nicht unter dem Vorwand des Kalkulationsirrtums von einem bewusst sehr günstig kalkulierten Angebot loslöst, weil er es im Nachhinein als für ihn selbst zu nachteilig empfindet. Die Schwelle zum Pflichtenverstoß durch Erteilung des Zuschlags zu einem kalkulationsirrtumsbehafteten Preis ist im Bereich der Vergabe öffentlicher Aufträge aber ausnahmsweise dann überschritten, wenn vom Bieter aus Sicht eines verständigen öffentlichen Auftraggebers bei wirtschaftlicher Betrachtung schlechterdings nicht mehr erwartet werden kann, sich mit dem irrig kalkulierten Preis als einer noch annähernd äquivalenten Gegenleistung für die zu erbringende Bau-, Liefer- oder Dienstleistung zu begnügen. Verhält es sich so und führt der Auftraggeber gleichwohl den Vertragsschluss herbei, kann er vom Bieter weder Erfüllung des Vertrages noch Schadensersatz verlangen, wenn die fraglichen Arbeiten im Ergebnis nur zu einem höheren Preis als dem vom Bieter irrig kalkulierten ausgeführt werden konnten. Die Voraussetzungen für einen nach diesen Maßstäben erheblichen Kalkulationsirrtum hat das Berufungsgericht zu Recht bejaht, wobei dem besonders großen Abstand zwischen dem irrtumsbehafteten Angebot und dem zweitgünstigsten Angebot besondere Bedeutung zukommt.

* § 241 Pflichten aus dem Schuldverhältnis

(1) Kraft des Schuldverhältnisses ist der Gläubiger berechtigt, von dem Schuldner eine Leistung zu fordern. Die Leistung kann auch in einem Unterlassen bestehen.

(2) Das Schuldverhältnis kann nach seinem Inhalt jeden Teil zur Rücksicht auf die Rechte, Rechtsgüter und Interessen des anderen Teils verpflichten.

Urteil vom 11. November 2014 - X ZR 32/14

LG Hannover – Urteil vom 24. Juni 2013 – 19 O 90/12

OLG Celle – Urteil vom 20. Februar 2014 – 5 U 109/13"