Datenschutz im Vergabeverfahren

Aus der ständigen Rechtsprechung des Europäischen Gerichtshofs geht hervor, dass auch Daten wie Arbeits- und Pausenzeiten zu personenbezogenen Daten gehören.

Die wichtigste Regel ist, dass Personen noch vor der Abgabe ihrer persönlichen Daten darüber aufgeklärt werden müssen, was mit diesen passiert. Dafür müssen sie vorher ihr schriftliches Einverständnis geben. Auch sind Unternehmen dazu verpflichtet, betroffenen Personen bei Anfrage jederzeit Auskunft über die gesammelten Daten und die Verarbeitung zu geben. Am besten regeltn Arbeitgeber:innen das Einverständnis direkt mit der Vertragsschließung und legt ein zu unterschreibendes DSGVO-Infoblatt hinzu. Ausführliche Erläuterungen zum Umgang mit den Daten und weitreichendere Beschlüsse der DSGVO finden Sie in unserem Ratgeber.

Auch im Vergabeverfahren sammeln Unternehmen und öffentliche Ausschreiber:innen viele personenbezogene Daten. Hier gilt ebenfalls, dass die betroffenen Personen darüber aufgeklärt werden, dem zugestimmt haben und jederzeit eine Auskunft über die Daten oder sogar die Löschung beantragen dürfen, sofern dem keine Gesetze aus dem Steuer-, dem Arbeitsrecht oder sonstiges im Weg stehen.

Eine wichtige Pflicht, die die verarbeitenden Unternehmen erfüllen müssen, ist die Gewährleistung der Sicherheit der Datenverarbeitung. Diese erreichen sie durch sogenannte technisch-organisatorische Maßnahmen. Da diese Anforderungen allerdings auch im Rahmen eines Vergabeverfahrens gelten, stellt dies meist keinen zusätzlichen Aufwand dar.

Auch in der Vergabe werden personenbezogene Daten weitergegeben, sodass Verantwortliche zur Einhaltung der datenschutzrechtlichen Bestimmungen verpflichtet sind. So müssen bietende Unternehmen laut Vergaberecht zum Beispiel Nachweise der Eignung vorlegen. Darunter zählen sowohl ausgeführte vergleichbare Leistungen (Referenzen), als auch Dokumente von Mitarbeiter:innen, um eine Eignung des Unternehmens und seiner Mitarbeiter:innen für die ausgeschriebene Leistung nachzuweisen.

Diese personenbezogenen Dokumente sind unter anderem:

• Zeugnisse
• Lebensläufe
• Nachweise über Studien- und Schulabschlüsse
• Angaben zur Berufsausbildung

Betroffene Mitarbeiter:innen müssen vor der Weiterleitung darüber aufgeklärt worden sein und ihre Unterschrift unter die Aufklärung gesetzt haben. Der Hinweis und eine entsprechende Einwilligung können bereits vorher im Rahmen der Vertragsvereinbarungen erfolgen, um für solche Zwecke vorbereitet zu sein. In einem solchen ersten Gespräch können diese Bedingungen zur Datenweitergabe allgemeingültig für alle weiteren Verfahren festgelegt und von den Mitarbeiter:innen unterschrieben werden. Auch können die Betroffenen hier darüber verhandeln, inwiefern sie den Umgang mit ihren personenbezogenen Daten eventuell einschränken wollen.

Eine Möglichkeit, wie öffentliche Auftraggeber:innen die Umsetzung von datenschutzrechtlichen Richtlinien für Bieter:innen und Auftraggeber:innen vereinfachen können, ist zum Beispiel die Einrichtung von Funktionspostfächern als zumindest erste Kontaktmöglichkeit. So werden sowohl vergaberechtliche als auch datenschutzrechtliche Forderungen erfüllt. Ohne eine solche anonymisierte Möglichkeit der (ersten) Kontaktaufnahme kommen Bewerber:innen beziehungsweise Bietende nicht drum herum, bei angegebenen Referenzen auch natürliche Personen als Ansprechpartner:innen anzugeben.

Auch sollten öffentliche Auftraggeber:innen der Fairness halber dazu bereit sein, im Falle eines erfolgreich abgeschlossenen Projekts den beteiligten Unternehmen dieses auch als Referenz auszustellen. Da Auftraggeber:innen im Vergabeverfahren oft Transparenz und den offenen Umgang mit personenbezogenen Daten im Rahmen von Referenzen wünschen, sollten sie auch dazu bereit sein, als Referenzgeber:innen über solche zu bescheinigen.

Diese Daten sind erforderlich, um auf entsprechenden Plattformen als Bieter:in beziehungsweise Auftraggeber:in teilnehmen zu können. Sie werden nur über den Zeitraum des Verfahrens gespeichert und sind lediglich durch Anbieter:innen der Vergabeplattform einsehbar. In Art. 6 Abs. 1 lit. b der DSGVO gilt diese Verarbeitung als rechtmäßig, weil sie zur Erfüllung eines Vertrags erforderlich ist.
Werden personenbezogene Daten von Mitarbeiter:innen, die für die Kommunikation auf der eVergabe-Plattform zuständig sind, verarbeitet, so wird dies durch Art. 6 Abs. 1 lit. f DSGVO geregelt. Dieser erlaubt bei berechtigtem Interesse die Datenverarbeitung des oder der Verantwortlichen im eVergabe-Prozess, sofern seine eigenen Interessen nicht überwiegen. Da die betroffene Person aber in Ausübung ihrer beruflichen Tätigkeit handelt, liegt diese Voraussetzung regelmäßig vor und bedarf keiner zusätzlichen Einverständniserklärung.

Werden Dokumente im Rahmen des Vergabeverfahrens hochgeladen, die personenbezogenen Daten von Mitarbeiter:innen des Unternehmens enthalten, bietet Art. 6 Abs. 1 lit. b DSGVO keine ausreichende rechtliche Grundlage mehr. Ob diese Weitergabe zulässig ist oder nicht, regelt der Beschäftigtendatenschutz, da es sich hier um ein Innenverhältnis zwischen Arbeitgeber:innen und Arbeitnehmer:innen handelt. Für die Weitergabe dieser Daten gelten also die gleichen Voraussetzungen, wie im „normalen“ Vergabewesen auch. Die betroffene Person muss der Weitergabe der Daten vorher zugestimmt haben und über diese aufgeklärt worden sein. Sie hat ein Recht auf Berichtigung beziehungsweise Einsicht der Daten, unter bestimmten Umständen auch auf die Löschung der eigenen Daten.
Die Daten dürfen dabei nicht an Dritte weitergegeben und nicht über ein mögliches Beschäftigungsverhältnis hinaus gespeichert werden.

Die nationalen Aufsichtsbehörden sind dazu verpflichtet, im Falle von schwerwiegenden datenschutzrechtlichen Vergehen Bußgelder an die Unternehmen zu verhängen. Im Falle eines Verstoßes werden meist nicht nur Bußgelder verhängt, sondern es wird auch zu Handlungen aufgefordert, die den Fehler beheben sollen. Dazu gehört zum Beispiel die Aufforderung zur Löschung von bestimmten Daten oder zur Beendigung bestimmter Vorgänge.

Die Höhe des Bußgeldes wird dabei in einem Verfahren diskutiert und unter anderem von Faktoren wie dem Ausmaß des verursachten Schadens oder der Anzahl an Personen, die an der Datenschutzverletzung beteiligt waren, abhängig gemacht. Besonders schlimme Verstöße können Geldstrafen von bis zu 20 Millionen Euro oder im Falle eines Unternehmens bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes des letzten Geschäftsjahres mit sich ziehen.

Noch schlimmere Vergehen können in seltenen Fällen sogar den Verlust der Eignung bedeuten. Das ist der Fall, wenn durch das Vergehen Zweifel an der Integrität des Unternehmens aufkommen.