Gewährleistung von Datensicherheit und Datenschutz im eVergabe-Verfahren

Robert Schippel

Fachmedien Recht und Wirtschaft | dfv Mediengruppe | Frankfurt am Main

Gewährleistung von Datensicherheit und Datenschutz im eVergabe-Verfahren

Von der Carl von Ossietzky Universität Oldenburg – Fakultät II – Informatik,

Wirtschafts- und Rechtswissenschaften – zur Erlangung des Grades eines Doktors

der Rechtswissenschaften (Dr. iur.)

genehmigte Dissertation

von Herrn Robert Schippel

geboren am 5. November 1981 in Sonneberg (Thüringen)

Bibliografische Information der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

ISBN: 978-3-8005-1792-3

© 2021 Deutscher Fachverlag GmbH, Fachmedien Recht und Wirtschaft, Frankfurt am Main

Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen.

Druck: WIRmachenDRUCK GmbH, Backnang

Printed in Germany

Vorwort

Die vorliegende Arbeit wurde im Wintersemester 2019/2020 an der Fakultät II – Informatik, Wirtschafts- und Rechtswissenschaften der Carl von Ossietzky Universität Oldenburg eingereicht und im Juli 2020 als Dissertation angenommen.

Mein besonderer Dank gilt meinem Doktorvater, Herrn Prof. Dr. Prof.h.c. Jürgen Taeger, der das Thema angeregt, die Arbeit betreut und durch zahlreiche Hinweise zu ihrem Gelingen beigetragen hat. Herrn Prof. Dr. Dr. Volker Boehme-Neßler danke ich an dieser Stelle für seine Bereitschaft, als Zweitgutachter zur Verfügung zu stehen.

Dank gebührt auch der Prüfungskommission, die sich trotz aller Einschränkungen durch die Corona-Pandemie bereitgefunden hat, die Disputation durchzuführen.

Mein ausdrücklicher Dank gilt den vielen Helfern im Hintergrund, die mir trotz meiner laufenden Berufstätigkeit den Abschluss dieser Dissertation ermöglich haben. Herausgehoben werden soll Frau Ulrike Erlebach, deren Korrekturen und Anregungen in die Arbeit eingeflossen sind.

Zu guter Letzt möchte ich meinen wichtigsten und herzlichsten Dank aussprechen: Dieser gilt meiner geliebten Ehefrau und meiner Familie, die mir den Abschluss dieses Lebenstraums ermöglicht haben, indem sie mir mit ihrem Verständnis und Einsatz den Rücken freigehalten haben.

A. Gegenstand der Untersuchung

„Künftig wird durch die Einführung der E-Vergabe das gesamte Vergabeverfahren digital abgewickelt. Damit verringert sich der Aufwand der Unternehmen bei der Auftragsrecherche und Bewerbung und die Vergabeverfahren werden beschleunigt.“1 Mit dieser positiven Darstellung wurde eine umfassende Reform des Vergaberechts eingeleitet, deren Wechselwirkungen zum gleichfalls aktualisierten Datenschutzrecht in Gestalt der Datenschutz-Grundverordnung (DSGVO) sowie den Vorgaben zum Datensicherheits- und IT-Sicherheitsrecht weitgehend im Dunkeln liegen und daher Gegenstand dieser Dissertation sind.

Vergaberecht umfasst sämtliche Rechtsnormen – sowohl das Gesetz gegen Wettbewerbsbeschränkungen (GWB) als auch die auf Basis dieser gesetzlichen Grundlage erlassenen Rechtsverordnungen –, die die Beschaffungstätigkeit nicht nur der öffentlichen Hand,2 sondern auch der semi-öffentlichen juristischen Personen regeln, die aufgrund Beteiligungen oder Subventionen zur Anwendung des Vergaberechts verpflichtet sind. D.h. im Umkehrschluss, dass sich die öffentliche Auftragsvergabe an eine unbestimmte, größere Zielgruppe wendet, die nicht lokal eingegrenzt werden kann, die aber entsprechend des Diskriminierungsverbots gleich zu behandeln ist.3 Insgesamt wird das Einkaufsvolumen dieser Normadressaten auf ca. 300 Mrd. Euro geschätzt.4

Die 2014 seitens der Europäischen Union, in Gestalt des Rates und der Kommission, erlassenen Richtlinien RL 2014/24/EU, RL 2014/25/EU sowie RL 2014/23/EU beinhalten eine ganze Reihe von neuen Vorgaben: ein neues Verfahren (in Gestalt der Innovationspartnerschaft),5 Auflockerungen in den bestehenden Verfahrensarten,6 aber auch eine Erweiterung der elektronischen Kommunikation bzw. neue elektronische Kommunikationsverfahren.7 Damit stellt diese Reform die umfangreichste Modernisierung seit Bestehen des Vergaberechts dar.8 Die elektronische Kommunikation zwischen den Beteiligten an einem Vergabeverfahren sollte an die modernen Kommunikationsgegebenheiten des 21. Jahrhunderts angepasst werden.9 Die drei Richtlinien regulieren erstmals die gesamte Kommunikation,10 die die Bekanntmachung des Auftrages, die elektronische Bereitstellung der Vergabeunterlagen, die Einreichung der Angebotsunterlagen sowie die abschließende Kommunikation mit Bietern und Teilnehmern rund um den Zuschlag, aber auch die endgültige Bekanntmachung, umfasst.11

Die wissenschaftliche Auseinandersetzung soll sich exemplarisch an den Vorgaben des 4. Teils des GWB sowie der Vergabeverordnung (VgV) orientieren. Diese Vergabeverordnung, welche seit dem 1.Januar 2020 ab dem europäischen Schwellenwert von 214.000 Euro zzgl. USt. für öffentliche Auftraggeber gemäß § 106 Abs. 1 und 2 GWB sowie § 1 VgV Anwendung findet, umfasst die Mehrheit der öffentlichen Auftraggeber, die einen nicht unerheblichen Anteil am jährlichen Beschaffungsvolumen von geschätzt mindestens 300 Mrd. Euro öffentlicher Auftraggeber darstellen.

Nicht unüblich ist es, dass bei öffentlichen Beschaffungsvorgängen personenbezogene Daten Teil der beizubringenden Unterlagen sind. In der gängigen vergaberechtlichen Kommentarliteratur finden sich dahingehend aber kaum Anhaltspunkte oder Hinweise zur Beachtung komplexer datenschutzrechtlicher Probleme. Die Umsetzung der DSGVO im Mai 2018 hat das bis dahin angewendete Datenschutzrecht umgestaltet. Da bis dato kaum gemeinsame Ausführungen zwischen Datenschutz- und Vergaberecht existierten, ist der Forschungsstand an dieser Stelle bislang überschaubar.

Jedoch ergibt sich im gegenwärtigen Schrifttum zur eVergabe eine Unschärfe zu den datensicherheits- und datenschutzrechtlichen Fragestellungen. Kern dieser Auseinandersetzung muss daher auch die Frage nach der Datensicherheit und dem Datenschutz in Zeiten der DSGVO und des IT-Sicherheitsgesetzes bei der eVergabe sein.

Somit sind drei wesentliche Gesichtspunkte zu erörtern:

 • Die spätestens seit dem 18. Oktober 2018 uneingeschränkt geltende Pflicht zur elektronischen Kommunikation ist insbesondere in Fällen, in denen personenbezogene Daten von Bietern eines Vergabeverfahrens durch den öffentlichen Auftraggeber (etwa Berufserfahrung, Eignungsnachweise, etc.) abgefordert werden, datenschutzrechtrechtlich besonders relevant.

 • Mit der DSGVO, die seit dem 25. Mai 2018 anzuwenden ist, stellt sich die Frage, wie die Verarbeitung personenbezogener Daten in mittels elektronischer Kommunikation geführten Vergabeverfahren datenschutzkonform ausgestaltet werden kann. Zudem ist die Frage zu beantworten, inwieweit Push-Nachrichten oder andere Formen elektronischer Kommunikation zulässig sind, wenn Vergabeunterlagen ergänzt werden oder schon erstellte Unterlagen unter Verwendung personenbezogener Daten überarbeitet wurden.

 • Die Masse der am Markt gängigen eVergabe-Lösungen sind digitale Angebote oder Telemedienangebote. Mit der NIS-Richtlinie und § 8c BSIG sowie dem IT-Sicherheitsgesetz und dem neu eingeführten § 13 Abs. 7 TMG könnten Anbieter von eVergabe-Lösungen verpflichtet sein, diese entsprechend der gesetzlichen Vorgaben und dem Stand der IT-Technik abzusichern. Diese Verpflichtung muss dann aber auch die weiteren Vorgaben aus der DSGVO sowie der VgV berücksichtigen.

Die Bezüge zur Datensicherheit sind durch die Bezüge zum BDSG a.F., das IT-Sicherheitsgesetz und die DSGVO im Rechtsgebiet der Informationstechnologien fest verankert – jedoch sind die Bezüge vergaberechtlich wenig ausgearbeitet. Mit den Vorgaben zur elektronischen Kommunikation und der Gestaltung der eVergabe-Lösungen als Telemedienangebote ergeben sich Überschneidungen zwischen Vergaberecht und Datensicherheit, die das Rechtsgebiet vorher nicht gekannt hat. Ergänzt wird dieses Sicherheitsgefüge durch das Geschäftsgeheimnisgesetz.

Insgesamt umfasst das Thema daher drei von der Forschung und Literatur beleuchtete Themengebiete (Vergaberecht, Datenschutz- und Datensicherheitsrecht sowie das Recht der IT-Sicherheit), die allerdings in ihrem Zusammenwirken bislang kaum im Fokus der Forschung lagen. Insoweit greift diese Arbeit ein bislang wenig betrachtetes Feld auf.

Nach einer erläuternden Einleitung in die Thematik widmet sich der erste Teil der eVergabe, d.h. es wird der Entstehungsweg der vom europäischen Gesetzgeber gewünschten Pflicht zur Nutzung elektronischer Kommunikationswege aufgezeigt, der mit einer notwendigen Analyse der Vorgaben der EU-Richtlinien einhergeht. Dies ist nur in Zusammenhang mit der Darstellung eines typischen, ideal-verlaufenden und erfolgreich endenden Vergabeverfahrens sinnvoll; eine solche wiederum erfasst die vorhergehende Darstellung aller Bezüge zur eVergabe in den drei relevanten EU-Richtlinien. In Wechselwirkung zu den Vorschriften betreffend den Ablauf eines Verfahrens zur Vergabe eines öffentlichen Auftrags kann daher klar evaluiert werden, inwieweit z.B. anhand der Regelungen der §§ 9ff. VgV die Verpflichtung zur Nutzung elektronischer Kommunikationspflichten ausgestaltet wurde.12 Sicher ist auf jeden Fall, dass die eVergabe zu einer weitgehenden Digitalisierung des Beschaffungsprozesses führt.13

Darauffolgend soll dann im zweiten und dritten Teil dieser Arbeit – unter Berücksichtigung aller Vorgaben der eVergabe in seinen wesentlichen Verfahrensschritten aus dem ersten Teil der Arbeit – dargestellt werden, in welchen Verfahrensschritten

 • personenbezogene Daten verarbeitet werden,

 • ob diese Verarbeitung konform mit geltendem Recht ist,

 • Bezüge zum Datensicherheitsrecht relevant sind und

 • der Datenschutz bzw. die Datensicherheit nach dem musterhaft behandelten Vergabeverfahren Berücksichtigung finden sollen.

1 Pressemitteilung des Bundeswirtschaftsministeriums vom 19. April 2016. 2 Oberndörfer/Lehmann, BB 2015, S. 1027. 3 Heckmann, K&R 2003, S. 97 (100). 4 Probst/Winters, JuS 2015, S. 121. 5 Allekotte, WPg 2015, S. 1146 (1147); Schaller, LKV 2016, S. 529 (532); Stoye/Thomas, in: von Beust/Stoye/Thomas/Zielke, eVergabe, 2018, S. 31. 6 Schaller, LKV 2016, S. 529 (532). 7 Schippel, VergabeR 2016, S. 434. 8 Stoye, NZBau 2016, S. 457; Zimmermann, E-Vergabe, 2016, S. 1. 9 Zeiss, VPR 2014, S. 53. 10 Oberndörfer/Lehmann, BB 2015, S. 1027 (1029). 11 Braun, VergabeR 2016, S. 179 (181); Schippel, VergabeR 2016, S. 434 (435). 12 Müller, in: Kulartz/Kus/Portz/Prieß, GWB, 2016, Einführung Rn. 36. 13 Zielke, VergabeR 2015, S. 273 (275).

B. E-Vergabe und ihre historische Entwicklung

Zum Einstieg in das Thema sind zwei vom vergabe- und informationstechnologierechtlichen Standpunkt wichtige Einstiegspunkte zu erörtern: An erster Stelle ist der Begriff der eVergabe teleologisch zu erschließen sowie zu definieren und zweitens die historische Entwicklung bis hin zur heutigen eVergabe darzustellen.

II. Historische Entwicklung der E-Vergabe

Die Freigabe der Nutzung elektronischer Kommunikationswege ist nicht etwa eine Entwicklung der umfangreichen Vergabereform, angestoßen durch die RL 2014/24/EU, RL 2014/25/EU sowie RL 2014/23/EU und deren zwingende Umsetzung in die nationale Gesetzgebung. Sondern dieses Ergebnis ist letztlich die Folge einer fortwährenden Weiterentwicklung der Informations- und Kommunikationstechnologie, die insbesondere eine Hinwendung zu webbasierten Kommunikationswegen umfasst.

Die ursprünglichen Fassungen der nationalen Vergabeverordnungen stammen noch aus der Zeit der Weimarer Republik,29 in der moderne Kommunikationsmittel noch Illusion und Träumereien waren.

Europäisiert wurde das Vergaberecht erstmals durch die Vergaberichtlinie RL 71/305 für Bauaufträge und die RL 77/62 für Lieferaufträge.30 Ausgangspunkt des modernen Vergaberechts waren die RL 93/36/EWG, RL 93/37/EWG, RL 92/50/EWG und RL 93/38/EWG sowie die RL 97/52/EG, die als Begründungsversuch einer einheitlichen europäischen Auftragsvergabe verstanden werden können.31

Die Hinwendung zu elektronischen Mitteln begann mit der RL 97/52/EG32 sowie der RL 98/4/EG.33 Der Ursprung dieser Initiative liegt im damaligen Modernisierungsbedarf des Vergaberechts im Rahmen der notwendigen Umsetzung der Vorgaben des WTO-Beschaffungsübereinkommens.34 Um die neuen Kommunikationsmöglichkeiten nutzbar zu machen, wurde im Beschaffungsübereinkommen lediglich festgelegt, dass mittels moderner Technik übersendete Angebote genauso verbindlich sind wie Angebote in Schriftform.35

Die RL 97/52/EG zählt – neben der durch das WTO-Übereinkommen zugelassenen Fernkopie – auch die webbasierte Kommunikation als zugelassenen Kommunikationsweg auf.36 Konkret regeln die Richtlinien, dass die Mitgliedstaaten auch die elektronische Einsendung von Angeboten zulassen können, soweit gewährleistet ist, dass jedes Angebot die notwendigen Inhalte enthält und die Vertraulichkeit des Angebots gewahrt wird. Soweit notwendig, kann eine umgehende schriftliche Bestätigung der auf anderem Wege eingereichten Angebote vorgenommen bzw. verlangt werden. Abschließend verlangt die Richtlinie, dass die Öffnung der Angebote erst nach Ablauf der Frist erfolgt.37

Die RL 98/4/EG ist an dieser Stelle über die Regelung der RL 97/52/EG hinausgegangen, da erstmals explizit sonstige elektronische Übertragungswege in einer RL niedergelegt worden sind.38

Die nationale Umsetzung dieser europäischen Vorgaben erfolgt mit der Neufassung der Vergabeverordnung im Verkündungsstand 2001. In § 15 VgV wird es öffentlichen Auftraggebern ermöglicht, digitale Angebote – soweit weitere Vorgaben bzgl. elektronischer Signaturen und Verschlüsselung eingehalten worden sind – zuzulassen. Parallel dazu werden in die (damals noch Verdingungsordnungen genannten) Verordnungen Regelungen zur elektronischen Vergabe eingeführt.39 Teil dieser Reform ist u.a. auch die Einführung der elektronischen Vergabebekanntmachung gewesen.40

Die nächsten Schritte, welche die eVergabe in ihrer Ausbreitung unterstützt haben, sind die Richtlinien der Europäischen Union 2004/17/EG und 2004/18/EG. Die Ausrichtung beider Richtlinien zielt von vorneherein auf eine Gleichstellung des Verfahrens mit elektronischen Kommunikationsschritten mit den althergebrachten schriftlichen Verfahren.41 Mit Fug und Recht haben diese europäischen Richtlinien länger als eine Dekade (bis zu den Richtlinien 2014) das Herz des europäischen Vergaberechts gebildet.42 Beide Richtlinien erlauben die optionale Nutzung elektronischer Kommunikation im Rahmen eines Vergabeverfahrens.43 Dabei definiert die RL 2004/18/EG, dass ein elektronisches Verfahren dann gegeben ist, wenn elektronische Geräte für die Verarbeitung (ggf. auch Kompression) und Speicherung von Daten zum Einsatz kommen und dabei Informationen mittels verschiedener technischer Möglichkeiten übertragen, weitergeleitet und empfangen werden können.44

Mit beiden Richtlinien RL 2004/17/EG bzw. RL 2004/18/EG wird es erstmals auch zur Vorgabe gemacht, dass Vergabebekanntmachungen elektronisch vorzunehmen sind. Auch das Internet wird zur Bereitstellung der Vergabeunterlagen zugelassen.45 Elektronische Kommunikation ist durch die Freigabe in den Richtlinien in allen Phasen der Beschaffung gestattet. Rückblickend war dies die Geburtsstunde der echten eVergabe.46

Gleichfalls sind mit den beiden vorgenannten Richtlinien dynamische Beschaffungssysteme sowie elektronische Auktionen eingeführt worden. Dynamische Beschaffungssysteme sind nach Vorstellung der Richtlinie vollelektronische Verfahren, in denen marktübliche Leistungen zeitlich befristet eingekauft werden können.47 Elektronische Auktionen hingegen werden lediglich in einer besonderen Verfahrensform (einem europaweiten Verhandlungsverfahren mit vorgelagerten öffentlichen Teilnahmewettbewerb) zugelassen,48 wobei Preise direkt nach unten korrigiert werden können.49 Dies führt dazu, dass dieses Verfahren angesichts eines ständigen nach unten gerichteten Preisdrucks gegenüber potentiellen Teilnehmern dieses Verfahrens schon vor der Einführung kritisch bewertet worden ist.50

Im Rahmen dieser Anpassungen sind 2009 sowohl das GWB51 als auch die Vergabeverordnungen, die als grundlegende Prozessanweisungen für die Verfahren zur Vergabe von Liefer- und Dienstleistungen (im Fall der VOL/A), die Vergabe von Bauleistungen (im Fall der VOB/A) sowie von freiberuflichen Leistungen (nach der VOF) zu verstehen sind, überarbeitet worden. In die Überarbeitung einschlossen wurde die Informationsübermittlung auf elektronischem Wege (u.a. nach § 11 VOL/A oder § 13 EG VOL/A), soweit ein ungehinderter Zugriff auf die Vergabeunterlagen gewährt wurde.52 Auch die Bekanntmachungen müssen im Fall von Liefer- und Dienstleistungen, soweit elektronisch vorgenommen, entweder an das EU-Amtsblatt oder über die Veröffentlichungsplattform des Bundes vorgenommen werden.53 Mittlerweile finden die Bekanntmachungen ausschließlich elektronisch mittels des EU-Ausschreibungsdienstes Tenders Electronic Daily (TED) statt,54 zumal sich damit als maßgeblicher Vorteil eine Fristverkürzung im Vergabeverfahren einstellt,55 die dann zu einer Verfahrensbeschleunigung führt. Soweit im jeweiligen Vergabeverfahren bzgl. Liefer- oder Dienstleistungen eine elektronische Übermittlung zugelassen ist, ist im Regelfall dafür eine elektronische Signatur zu verwenden.56 Die Öffnung der Angebote muss nach der Reform die elektronische Übermittlung berücksichtigen. Dies wird dadurch realisiert, dass gemäß § 14 VOL/A bzw. § 17 EG VOL/A solche Angebote bei Eingang mit einem elektronischen Zeitstempel zu versehen sind und ein vorzeitiges Öffnen des Angebots ausgeschlossen werden soll.57 Die Öffnung der elektronisch eingereichten Angebote umfasst die Prüfung der Rechtsgültigkeit der Signatur sowie das Aufheben einer Verschlüsselung, welche den vorfristigen Zugriff auf das Angebot verhindern soll.58 Auch der Zuschlag kann (gemäß § 18 VOL/A bzw. § 21 EG VOL/A) bereits im Rahmen einer zulässigen elektronischen Kommunikation erteilt werden, soweit eine entsprechende elektronische Signatur durch den öffentlichen Auftraggeber verwendet worden ist.59