Nach den Festlegungen der DS-GVO dürfen personenbezogene Daten nur in ein Drittland (außerhalb der EU) übermittelt werden, wenn der Verantwortliche geeignete Garantien vereinbart hat oder die EU-Kommission festgestellt hat, dass in dem Drittland ein angemessenes Datenschutzniveau besteht.

Im Fall der USA gab es mit dem „Safe Habour“ und dem „Privacy-Shield-Abkommen“ bereits zweimal entsprechende Abkommen, die ein geeignetes Datenschutzniveau regeln sollten. Beide Abkommen wurden jedoch vom Europäischen Gerichtshof (EuGH) als unzureichend eingestuft. In der Folge gingen US-amerikanische Unternehmen dazu über, Tochtergesellschaften in Europa zu gründen, die die Datenverarbeitung ausschließlich über Server abwickeln, die ihren Standort auf dem Gebiet der EU haben. Eine Datenübertragung in einen Drittstaat findet danach zunächst nicht statt.

Mit Beschluss vom 13. Juli 2022 hat die Vergabekammer Baden-Württemberg (Az. 1 VK 23/22) entschieden, dass Aufträge an solche europäischen Tochtergesellschaften von US-Anbietern, die digitale Server- und Cloudleistungen erbringen, unzulässig seien auch wenn die Server in Europa betrieben werden.

Die Vergabekammer Baden-Württemberg sieht in der Möglichkeit, dass auf personenbezogene Daten durch die nichteuropäische Muttergesellschaft zugegriffen werden kann, eine datenschutzrechtlich unzulässige Übermittlung von personenbezogenen Daten in ein Drittland. Allein die Möglichkeit stelle eine „Weitergabe“ im Sinne der DS-GVO dar, unabhängig davon, ob ein solcher Zugriff durch die US-Muttergesellschaft tatsächlich erfolgt.

Diese weite Auslegung ist rechtlich nicht unumstritten. Hintergrund dürfte hier auch das Bestehen des sog. „Cloud Act“ sein. Nach dieser Vorschrift dürfen US-Geheimdienste Zugriff auf die bei US-Unternehmen gespeicherten Daten erhalten. Nach dem „Cloud Act“ gilt ein solches Zugriffsrecht immer, sobald sich der Hauptsitz des Anbieters in den USA befindet, unabhängig davon wo sich die Tochtergesellschaften und deren Server befinden, auf denen die Daten gehostet werden.

Die Entscheidung der Vergabekammer Baden-Württemberg ist noch nicht bestandskräftig. Sie dürfte jedoch potentiell erhebliche Auswirkungen auf die Zusammenarbeit deutscher Unternehmen mit US-Tech-Anbietern bzw. deren europäischen Konzerngesellschaften haben.

Dass in einem Vergabeverfahren ein Ausschluss eines Bieters erfolgt, allein weil dieser eine Tochtergesellschaft eines US-Anbieters einsetzt, könnte erheblichen Einfluss künftige Gestaltungen und Durchführungen von Vergabeverfahren haben.