In jedem Vergabeverfahren werden personenbezogene Daten verarbeitet – von der Bekanntmachung über Eignungsnachweise bis zur Zuschlagserteilung. Für öffentliche Auftraggeber, Bieter und Vergabeplattformen folgen daraus konkrete DSGVO-Pflichten, die in der Praxis oft unterschätzt werden. Dieser Beitrag bündelt den Stand: rechtlicher Rahmen, datenschutzrechtliche Rollen, die häufigsten Fallstricke und die wichtigste Rechtsprechung.

1. Rechtlicher Rahmen

1.1 DSGVO, BDSG und das Verhältnis zum Vergaberecht

Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018 unmittelbar in allen EU-Mitgliedstaaten. Ergänzend gilt das Bundesdatenschutzgesetz (BDSG), soweit die DSGVO nationale Spielräume eröffnet. Beide greifen auch im Vergabeverfahren, das Vergaberecht und Datenschutzrecht in der Praxis eng verzahnt.

Als Rechtsgrundlage für die Datenverarbeitung durch öffentliche Auftraggeber kommt in aller Regel Art. 6 Abs. 1 lit. e DSGVO in Betracht – die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse. Je nach Konstellation treten Art. 6 Abs. 1 lit. b DSGVO (Anbahnung des Auftragsvertrags als vorvertragliche Maßnahme) und lit. f (berechtigtes Interesse, etwa bei Daten von Mitarbeitenden der Bieter) hinzu.

Ob daneben auch Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung) trägt, ist nicht abschließend geklärt: Eine solche Rechtsgrundlage müsste den Zweck der Verarbeitung hinreichend bestimmt festlegen. Ob die vergaberechtlichen Vorschriften – etwa §§ 46, 58 VgV oder §§ 123 ff. GWB – diesen Anforderungen genügen, ist in der Literatur umstritten und höchstrichterlich nicht entschieden.

Ein grundsätzlicher Widerspruch zwischen Datenschutz- und Vergaberecht besteht nicht. Im Gegenteil: Das Vergaberecht verlangt ohnehin, nur die für den konkreten Beschaffungsgegenstand relevanten Daten abzufragen. Effizienz und Datenschutz weisen damit in dieselbe Richtung. Wo es im Einzelfall zu Spannungen kommt – etwa zwischen der Löschpflicht und der Pflicht zur Verfahrensdokumentation –, ist eine Abwägung im Lichte beider Regelungsziele erforderlich (dazu Abschnitt 6 und 7).

Newsletter-Anmeldung

1.2 Die Grundsätze nach Art. 5 DSGVO

Drei Grundsätze des Art. 5 DSGVO prägen das Vergabeverfahren besonders:

  • Zweckbindung: Personenbezogene Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden. Endet der Zweck – etwa weil ein Bieter sein Angebot zurückzieht –, sind die Daten grundsätzlich zu löschen, soweit keine Aufbewahrungspflicht entgegensteht.
  • Datenminimierung: Es dürfen nur Daten verlangt werden, die für den Beschaffungsgegenstand erforderlich sind. In der Praxis übermitteln Bieter häufig mehr Daten als gefordert, um ihre Chancen zu verbessern – das entbindet den Auftraggeber nicht davon, die Abfrage von vornherein eng zu fassen.
  • Transparenz: Betroffene sind verständlich über die Verarbeitung ihrer Daten zu informieren (dazu die Informationspflichten in Abschnitt 4).

Ein anschauliches Beispiel für gelebte Datenminimierung liefert Berlin: Auskünfte aus Gewerbezentralregister und Korruptionsregister werden dort nur noch für den Bieter eingeholt, dessen Angebot bezuschlagt werden soll – nicht mehr für alle Bieter. Die Details beschreibt unser Beitrag Datenschutzrechtliches Prinzip der Datenminimierung auch bei Vergabevordrucken.

2. Akteure und ihre datenschutzrechtlichen Rollen

Im Vergabeverfahren treffen mehrere Akteure mit unterschiedlichen datenschutzrechtlichen Rollen aufeinander:

  • Öffentlicher Auftraggeber: Verantwortlicher nach Art. 4 Nr. 7 DSGVO für die in seinem Verfahren verarbeiteten Daten. Ihn treffen die Informationspflichten und die Pflicht, Betroffenenrechte zu erfüllen.
  • Bieter und Bewerber: Ebenfalls Verantwortliche – für die Daten, die sie ihrerseits verarbeiten, etwa Daten ihrer Mitarbeitenden in Referenzen oder Lebensläufen. Im Innenverhältnis zwischen Arbeitgeber und Beschäftigten gilt § 26 BDSG; im Außenverhältnis zum Auftraggeber stützt sich die Verarbeitung regelmäßig auf das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO).
  • Vergabeplattform: Tritt typischerweise als Auftragsverarbeiter nach Art. 28 DSGVO auf, soweit sie im Auftrag des Auftraggebers handelt. Erforderlich ist ein Auftragsverarbeitungsvertrag (AVV), der Rechte und Pflichten festlegt.

Einen vertieften Überblick zu Rollen und Pflichten bietet der Beitrag von Astrid Luedtke: Aspekte des Datenschutzes für die E-Vergabe.

Gemeinsame Verantwortlichkeit (Art. 26 DSGVO) ist die Ausnahme, nicht die Regel. Sie setzt voraus, dass zwei Stellen gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden. Im typischen Verfahren ist das nicht der Fall: Auftraggeber und Plattformbetreiber stehen im Verhältnis Verantwortlicher–Auftragsverarbeiter, nicht in gemeinsamer Verantwortlichkeit. Relevanz kann Art. 26 DSGVO aber gewinnen, wenn mehrere öffentliche Stellen ein Verfahren gemeinsam führen – etwa bei zentralen Beschaffungsstellen, die im eigenen Namen und für mehrere Bedarfsträger zugleich entscheiden, oder bei interkommunaler Zusammenarbeit. In solchen Konstellationen sollte die Rollenverteilung ausdrücklich vereinbart werden.

3. Personenbezogene Daten im Vergabeverfahren

3.1 Zwei Datenbereiche

Datenschutzrechtlich sind zwei Bereiche zu trennen:

  • Bereich 1 – Plattformdaten: Anmelde- und Nutzungsdaten der Vergabeplattform (Name, E-Mail, berufliche Position, IP-Adresse, Verhalten auf der Plattform). Diese Daten sind nur im Verhältnis Plattform–Nutzer relevant; sie dienen der Abwicklung des Nutzungsvertrags und gelangen nicht an die jeweils andere Verfahrensseite.
  • Bereich 2 – Verfahrensdaten: Dokumente, die im Vergabeprozess hochgeladen werden und personenbezogene Daten enthalten – Eignungsnachweise, Referenzen mit Ansprechpartnern, Qualifikations- und Ausbildungsnachweise (§ 46 Abs. 3 VgV).

3.2 Besondere Kategorien (Art. 9 DSGVO) und strafrechtliche Daten

In Verfahrensdaten können auch besonders geschützte Daten stecken. Gesundheitsdaten zählen zu den besonderen Kategorien nach Art. 9 DSGVO und dürfen nur unter engen Voraussetzungen verarbeitet werden. Praktisch relevanter ist der Sonderfall der Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO): Sie fallen an, wenn das Vorliegen zwingender Ausschlussgründe nach § 123 GWB oder fakultativer Ausschlussgründe nach § 124 GWB geprüft wird.

Für solche Daten gilt erhöhte Sorgfalt: enge Zweckbindung, strikte Zugriffsbeschränkung innerhalb der Vergabestelle und – im Sinne der Datenminimierung – die Abfrage erst beim Bestbieter statt bei allen Bietern (siehe das Berliner Beispiel in Abschnitt 1.2).

4. Informationspflichten gegenüber Bietern (Art. 13/14 DSGVO)

Wenn ein öffentlicher Auftraggeber personenbezogene Daten erhebt, muss er die Betroffenen über die Verarbeitung informieren – über Zweck und Rechtsgrundlage, Speicherdauer, Empfänger und die bestehenden Betroffenenrechte. Erhebt er die Daten direkt beim Bieter, gilt Art. 13 DSGVO; erhält er sie von Dritten (etwa Daten von Mitarbeitenden des Bieters), greift Art. 14 DSGVO.

In der Vergabepraxis wird diese Pflicht häufig vernachlässigt. Dabei lässt sie sich unkompliziert erfüllen: durch eine Datenschutzinformation als fester Bestandteil der Vergabeunterlagen. Sinnvoll ist die Aufnahme in die Bewerbungsbedingungen oder als eigenes Dokument im Begleitschreiben zur Aufforderung zur Angebotsabgabe – nicht in die EU-weite Bekanntmachung, die dauerhaft öffentlich bleibt (dazu Abschnitt 5.3). Eine knappe, standardisierte Datenschutzinformation, die Verarbeitungszweck, Rechtsgrundlage (in der Regel Art. 6 Abs. 1 lit. e DSGVO), Speicher- und Löschfristen sowie die Betroffenenrechte benennt, deckt den Pflichtenkern ab und lässt sich über Verfahren hinweg wiederverwenden.

5. Datenschutz in der Vergabepraxis: Häufige Fallstricke

5.1 Eignungskriterien und personenbezogene Daten

Eignungskriterien werden meist unternehmensbezogen formuliert, sind aber häufig auch personenbezogen: Qualifikationsnachweise, Lebensläufe von Schlüsselpersonal und Referenzen enthalten regelmäßig personenbezogene Daten. Auftraggeber sollten in den Vergabeunterlagen darauf hinweisen, dass für die Übermittlung von Daten Dritter – etwa benannter Mitarbeitender – die Erforderlichkeit einer Einwilligung zu prüfen ist.

5.2 Referenzen und Ansprechpartner

Die Forderung nach namentlichen Ansprechpartnern bei Referenzen ist mit der DSGVO vereinbar: § 46 Abs. 3 VgV bietet eine ausreichende Rechtsgrundlage. Ausführlich dazu unser Beitrag Forderung der Benennung eines Ansprechpartners bei Referenzen.

5.3 Bekanntmachungen: keine personenbezogenen E-Mail-Adressen

EU-weite Bekanntmachungen sind dauerhaft und öffentlich abrufbar. Personenbezogene E-Mail-Adressen wie max.mustermann@behoerde.de sind deshalb zu vermeiden; empfehlenswert ist ein Funktionspostfach wie vergabestelle@behoerde.de.

5.4 § 41 VgV: Registrierung als datenschutzrechtliche Ausnahme

Grundsätzlich sind Vergabeunterlagen nach § 41 Abs. 1 VgV ohne Registrierung bereitzustellen. Eine Ausnahme gilt, wenn die Unterlagen aus Datenschutz- oder Wettbewerbsschutzgründen nicht frei zugänglich sein dürfen; dann ist eine Registrierung zulässig und die Frist zur Anforderung verlängert sich entsprechend.

5.5 Vergabevordrucke und Datenminimierung

Es dürfen nur Daten abgefragt werden, die für den konkreten Beschaffungsgegenstand relevant sind. Das Berliner Beispiel – Abfrage aus Gewerbezentral- und Korruptionsregister nur noch beim Bestbieter – zeigt, wie sich die Pflicht zur Datenminimierung mit der Pflicht zur Eignungsprüfung verbinden lässt.

6. Rechte der Betroffenen im Vergabeverfahren

Die DSGVO gewährt Betroffenen Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20). Diese Rechte richten sich gegen den Verantwortlichen; der Auftragsverarbeiter unterstützt ihn dabei mit geeigneten technischen und organisatorischen Maßnahmen.

Im Vergabeverfahren entstehen dabei zwei Spannungsfelder, die gesetzlich nicht ausdrücklich geregelt und – soweit ersichtlich – höchstrichterlich nicht geklärt sind:

  • Betroffenenrechte vs. laufendes Verfahren: Verlangt eine betroffene Person während eines laufenden Verfahrens Auskunft oder Löschung, muss der Auftraggeber dem nachkommen, ohne die Grundsätze von Gleichbehandlung und Geheimwettbewerb zu verletzen. Ein Löschverlangen kann zudem mit der Pflicht kollidieren, das Angebot bis zum Verfahrensabschluss vollständig vorzuhalten. Hier ist im Einzelfall abzuwägen; eine Löschung während des laufenden Verfahrens wird regelmäßig an der fortbestehenden Erforderlichkeit der Daten scheitern.
  • Löschung vs. Akteneinsicht: Unterlegene Bieter haben im Nachprüfungsverfahren Akteneinsichtsrechte. Diese können der Löschpflicht nach Art. 17 DSGVO entgegenstehen, solange Rechtsschutzfristen laufen oder ein Nachprüfungsverfahren anhängig ist. Auch hier überlagert das berechtigte Interesse an einem überprüfbaren Verfahren die Löschpflicht vorübergehend.

7. Speicherfristen und Aufbewahrungspflichten

Der Grundsatz der Speicherbegrenzung verlangt, Daten nur so lange aufzubewahren, wie es für den Verarbeitungszweck nötig ist. Im Vergabeverfahren überlagern jedoch gesetzliche Aufbewahrungspflichten die datenschutzrechtliche Löschpflicht:

  • Vergabeakten: Nach § 8 Abs. 4 VgV sind Dokumentation, Vergabevermerk, Angebote und Teilnahmeanträge bis zum Ende der Vertragslaufzeit aufzubewahren, mindestens jedoch drei Jahre ab dem Tag des Zuschlags. Für die Unterschwelle gelten die jeweiligen landesrechtlichen Vorgaben und § 6 UVgO.
  • Längere Fristen können sich aus dem Steuerrecht (Abgabenordnung) oder aus Vorgaben bei EU-Fördermitteln ergeben; diese gehen vor.
  • Plattform- und Anmeldedaten sind dagegen mit Ende des Nutzungsvertrags zu löschen, soweit keine eigene Aufbewahrungspflicht greift.

Nach Ablauf der jeweiligen Aufbewahrungsfrist muss endgültig gelöscht werden. Empfehlenswert ist ein dokumentiertes Löschkonzept, das je Datenkategorie Fristbeginn, Fristdauer und Löschnachweis festhält.

8. Cloud-Beschaffung und Drittstaatentransfer

Bei der Beschaffung von Cloud- oder SaaS-Leistungen stellt sich regelmäßig die Frage, ob und unter welchen Bedingungen Daten in Drittstaaten übermittelt werden dürfen. Nach dem EuGH-Urteil „Schrems II“ (2020) ist ein ausreichendes Schutzniveau durch Standardvertragsklauseln und ergänzende Maßnahmen sicherzustellen.

Für die Vergabepraxis hat das OLG Karlsruhe (2022) Orientierung gegeben: Allein die Konzernzugehörigkeit zu einem US-Unternehmen rechtfertigt keinen Angebotsausschluss, wenn der Bieter verbindlich zusichert, dass Daten ausschließlich in Deutschland verarbeitet werden. Bei konkreten Anhaltspunkten für Zweifel muss der Auftraggeber jedoch ergänzende Informationen einholen und die Erfüllbarkeit prüfen. Den Fall beschreibt unser Beitrag OLG Karlsruhe: Kein Ausschluss allein aus Datenschutzgründen.

Die jüngeren Entwicklungen – EU Cloud Sovereignty Framework, der BSI-Kriterienkatalog C3A und die Verankerung der digitalen Souveränität als Zuschlags- und Ausführungskriterium im Vergabebeschleunigungsgesetz – verschieben den Rahmen für die Cloud-Beschaffung über die reine Datenschutzfrage hinaus. Wie sich Souveränitätsanforderungen rechtssicher in Leistungsbeschreibung, Eignungs- und Zuschlagskriterien verankern lassen, behandelt ausführlich unser Beitrag Was die Debatte um digitale Souveränität für Vergabe und Beschaffung bedeutet.

9. Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Eine Datenschutz-Folgenabschätzung (DSFA) ist erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Für die Beschaffung ist das vor allem in zwei Konstellationen relevant:

  • bei der Einführung großer Vergabe- oder Beschaffungsplattformen, die umfangreiche personenbezogene Daten verarbeiten, und
  • bei der Beschaffung von IT-Systemen, mit denen der Auftraggeber anschließend selbst risikoreiche Verarbeitungen durchführt (etwa Systeme mit umfangreichem Profiling oder mit besonderen Datenkategorien).

Ob eine DSFA nötig ist, richtet sich auch nach den „Muss-Listen“ der Aufsichtsbehörden, die typische DSFA-pflichtige Verarbeitungen benennen. Praktisch sollte die Frage der DSFA-Pflicht früh in der Bedarfsanalyse geklärt werden – nicht erst nach Zuschlag, da ihr Ergebnis Anforderungen an das zu beschaffende System beeinflussen kann.

10. DSGVO-Verstöße und vergaberechtliche Konsequenzen

Kann ein schwerwiegender Datenschutzverstoß eines Bieters – etwa ein bestandskräftiges Bußgeld einer Aufsichtsbehörde – zum Ausschluss führen? In Betracht kommt der fakultative Ausschlussgrund der schweren beruflichen Verfehlung nach § 124 Abs. 1 Nr. 3 GWB, der die Integrität des Unternehmens in Frage stellt. Ein automatischer Ausschluss folgt daraus aber nicht: Der Auftraggeber muss den Verstoß im Einzelfall bewerten, die Verhältnismäßigkeit prüfen und dem Unternehmen die Möglichkeit zur Selbstreinigung nach § 125 GWB einräumen.

Eine gefestigte Vergaberechtsprechung speziell zu DSGVO-Verstößen als Ausschlussgrund ist bislang nicht ersichtlich. Auftraggeber sollten einen solchen Ausschluss daher sorgfältig begründen und dokumentieren. Für Bieter folgt daraus umgekehrt, dass Datenschutz-Compliance auch ein vergaberechtliches Risiko adressiert.

11. Orientierungshilfen und Leitfäden

Eine praxisnahe Orientierung bietet die Handreichung des Bayerischen Landesbeauftragten für den Datenschutz „Datenschutz als Kriterium im Vergabeverfahren“: Sie geht jede Phase des Verfahrens durch und widmet der Cloud-Beschaffung ein eigenes Kapitel. Die Einordnung dazu in unserem Beitrag Leitfaden unterstützt bei datenschutzkonformer Beschaffung.

12. Datenschutz bei cosinex

Datensparsamkeit ist bei cosinex seit jeher Grundsatz – weit vor den DSGVO-Fristen 2018. Personenbezogene Daten werden ausschließlich an deutschen Standorten mit ISO-27001-zertifizierten und datenschutzauditierten Partnern verarbeitet. Das Deutsche Vergabeportal (DTVP) und die cosinex-basierten Vergabeplattformen sind als Auftragsverarbeiter nach Art. 28 DSGVO eingebunden; entsprechende Auftragsverarbeitungsverträge werden mit allen Vergabestellen abgeschlossen. cosinex ist seit 2017 Mitglied der Allianz für Cyber-Sicherheit des BSI.

Titelbild: geralt – Pixabay