Wann dürfen öffentliche Auftraggeber elektronische Signaturen für Angebote überhaupt verlangen? Norbert Dippel erklärt, was unter erhöhten Anforderungen an die Sicherheit zu verstehen ist und welche rechtlichen Voraussetzungen für die Forderung nach fortgeschrittenen Signaturen gelten.
Einige öffentliche Auftraggeber schreiben für die Abgabe der Teilnahmeanträge, Angebote, Interessenbekundungen und Interessenbestätigungen regelmäßig die Verwendung elektronischer Signaturen oder elektronischer Siegel vor.
Die vergaberechtlichen Bestimmungen sehen hierfür ein Regel-Ausnahme-Verhältnis vor, wonach grundsätzlich die Textform nach § 126b BGB ausreichend ist. Nur, wenn eine Prüfung des Auftraggebers ergibt, dass erhöhte Anforderungen an die Sicherheit der zu übermittelten Daten gestellt werden müssen, können elektronische Signaturen oder elektronische Siegel gefordert werden.
In diesem Beitrag wird erläutert, was unter „erhöhten Anforderungen an die Sicherheit“ zu verstehen ist und welche rechtlichen Voraussetzungen dafür vorliegen müssen.
Der Autor
Norbert Dippel ist Syndikus der cosinex sowie Rechtsanwalt für Vergaberecht und öffentliches Wirtschaftsrecht. Der Autor und Mitherausgeber diverser vergaberechtlicher Kommentare und Publikationen war viele Jahre als Leiter Recht und Vergabe sowie Prokurist eines Bundesunternehmens tätig.
I. Rechtlicher Rahmen
Gem. § 53 Abs. 3 VgV prüft der öffentliche Auftraggeber, ob zu übermittelnde Daten erhöhte Anforderungen an die Sicherheit stellen. Soweit erforderlich, kann der öffentliche Auftraggeber verlangen, dass Interessensbekundungen, Interessensbestätigungen, Teilnahmeanträge und Angebote zu versehen sind mit
- einer fortgeschrittenen elektronischen Signatur,
- einer qualifizierten elektronischen Signatur,
- einem fortgeschrittenen elektronischen Siegel oder
- einem qualifizierten elektronischen Siegel.
1. Prüfpflicht
Zunächst ist aus der Verwendung des Wortes „prüft“ zu folgern, dass der Auftraggeber verpflichtet ist zu prüfen, ob die zu übermittelnden Daten erhöhte Anforderungen an die Sicherheit stellen. Nach dem Wortlaut gilt diese Pflicht ausnahmslos für jedes Vergabeverfahren und nicht nur für solche, in denen die Prüfung aufgrund besonderer Umstände geboten erscheint.
2. Abgrenzung
Der Begriff der „Sicherheit“ bezieht sich auf die sogenannte Authentizität der Daten. Dies betrifft die Frage, wie sicher es ist, dass sie tatsächlich von dem angegebenen Sender stammen und nach der Versendung nicht durch Dritte verändert wurden.
Demgegenüber ist die Frage, ob die Daten ausgespäht werden können, von Abs. 4 der Vorschrift geregelt. Liegen die Voraussetzungen vor, kann der klassische Postweg genutzt werden.
3. Inhalt der Prüfung
Die Vorschrift selbst gibt keine Antwort darauf, wann von erhöhten Sicherheitsanforderungen auszugehen ist, die „normalen“ Sicherheitsanforderungen also nicht mehr ausreichen würden.
Laut dem Referentenentwurf zur VgV ist bei der vorzunehmenden Abwägung auf der einen Seite die Möglichkeit zur richtigen und zutreffenden Authentifizierung der Datenquelle sowie die Integrität der übermittelten Daten zu betrachten und sodann auf der anderen Seite mit den von unberechtigten Datenquellen oder fehlerhaften Daten ausgehenden Gefahren ins Verhältnis zu setzen.
Es wird auf folgendes Beispiel verwiesen: Das Sicherheitserfordernis bei einer E-Mail, mit der sich ein Unternehmen nach der Postanschrift des öffentlichen Auftraggebers erkundigt, sei deutlich niedriger einzuschätzen, als bei der Einreichung eines Angebotes durch dieses Unternehmen.
Auf einer ähnlichen Ebene wird zum Teil in der Literatur danach differenziert, ob
- Anfragen an den öffentlichen Auftraggeber zur Ermittlung weiterer Informationen,
- Bieterfragen zu den Ausschreibungsunterlagen,
- Nacheichung von angeforderten Unterlagen, die nach ihrem Inhalt eine Zuordnung zu dem betreffenden Bieter erlauben,
betroffen sind. In solchen Fällen sollen grundsätzlich „Sicherheitsanforderungen“ gelten. Weitergehende Anforderungen sollen nur bei sehr außergewöhnlichen Besonderheiten zu fordern sein.
Dementsprechend würden grundsätzlich erhöhte Sicherheitsanforderungen gelten bei
- fristgebundener Übermittlung von Daten,
- der Einreichung von Teilnahmeanträgen und
- der Einreichung von Angeboten.
Letztlich vermag weder das Beispiel in der Begründung der Verordnung (BT-Drs. 18/7318, 181) noch die geschilderte Ansicht aus der Kommentarliteratur (R/K/M/P/P, 2. Aufl. 2022, § 53 Rz. 29 ff.) zu überzeugen. Denn bei § 53 Abs. 3 VgV handelt sich um eine Norm, die sich auf Interessensbekundungen, Interessensbestätigungen, Angebote und Teilnahmeanträgen bezieht. Insoweit sind Abgrenzungen zu anderen Informationsinhalten, wie zum Beispiel Bieterfragen unbehilflich.
Letztlich muss davon ausgegangen werden, dass der gesetzgeberisch gewünschte „Normalfall“ die Übermittlung der Angebote etc. in Textform ist. Nur, wenn es konkrete Anhaltspunkte dafür gibt, dass in die Kommunikation eingegriffen wird, oder die Besonderheit des Auftragsgegenstandes einen solchen Eingriff besorgen lässt, können die in Rede stehenden erhöhten Sicherheitsanforderungen verlangt werden.
Teilweise wird angeführt, dass zum Beispiel der Wert eines Auftrages ein Indikator für ein erhöhtes Sicherheitsbedürfnis sei. Auch soll danach differenziert werden, ob eine Manipulation leicht auffallen könne. Demnach sei das Sicherheitsbedürfnis in einem Verhandlungsverfahren geringer, da über die Angebote noch gesprochen wird und deshalb eine Manipulation leichter auffallen könne. (Leinemann/Otting/Kirch/Homann, VgV/UVgo, 1. Aufl. 2024, § 53 Rz. 45).
II. Sonderregelung in der VSVgV
Bei Auftragsvergaben im Anwendungsbereich der VSVgV (Vergabeverordnung für die Bereiche Verteidigung und Sicherheit) gibt es hinsichtlich der Formvorschriften wesentliche Abweichungen.
Gemäß § 31 Abs. 2 Nr. 2 VSVgV müssen Angebote unterschrieben sein oder mindestens mit einer fortgeschrittenen elektronischen Signatur oder mit einem fortgeschrittenen elektronischen Siegel versehen sein. Diese gegenüber dem „normalen“ Vergabeverfahren gem. VgV gesteigerten Anforderungen tragen dem gesteigerten Sicherheitsbedürfnis bei Vergaben im Bereich der Verteidigung und Sicherheit Rechnung.
Zu beachten ist auch, dass gemäß § 34 Abs. 1 VSVgV der Zuschlag in Schriftform oder elektronisch mindestens mittels einer fortgeschrittenen elektronischen Signatur oder eines fortgeschrittenen elektronischen Siegels erteilt werden muss. Demnach ist eine Zuschlagserteilung in Textform nach § 126b BGB unzulässig.
Noch mehr Vergabewissen von Praktikern für Praktiker erhalten Sie in der cosinex Akademie. Dies sind die anstehenden Seminare von Norbert Dippel:
- 9. September: Neu in der Vergabestelle »
- 25. November: Einführung in das Vergaberecht »
- 26. November: Ausschluss im Vergaberecht »
III. Hinweise für die Praxis
Betrachtet man die üblichen Datenbanken zu Beschlüssen von Nachprüfungsinstanzen, so scheint § 53 Abs. 3 VgV in der Praxis kein Problem darzustellen.
Man kann es aber auch anders sehen: Die Anzahl der Bekanntmachungen, in denen weitergehende Sicherheitsanforderungen geltend gemacht werden, steht in einem krassen Missverhältnis zu dem Umstand, dass die Manipulation von Angeboten und Teilnahmeanträgen etc. in der Praxis bislang keine Rolle zu spielen scheint. Zumindest sind – soweit ersichtlich – keine Fälle aufgetreten, in denen der Absender eines Angebotes manipuliert oder ausgetauscht wurde.
Damit stellt sich grundlegend die Frage, ob es diese vielen Fälle von erhöhtem Sicherheitsbedürfnis überhaupt geben kann, wenn es keine relevante Bedrohungslage hinsichtlich der Authentizität der Daten gibt.
Verwandte Beiträge
Titelbild: Jaydeep Joshi – Pixabay