DSGVO für Auftraggeber:innen
Seit Mai 2018 gilt mit der Datenschutzgrundverordnung (DSGVO) für Unternehmen besondere Vorsicht im Umgang mit personenbezogenen Daten. Das Ziel ist, wie der Name schon sagt, der Schutz persönlicher Daten von Kund:innen und Nutzer:innen. Aber welche Regeln und Gesetze gelten dabei eigentlich für Auftraggeber:innen im Vergabeverfahren und wobei müssen sie dabei besonders aufpassen?
Das Wichtigste zur DSGVO für Auftraggeber:innen in Kürze
- Zweckbindung & Minimierung: Personenbezogene Daten (z. B. Namen, Kontaktdaten) dürfen nur mit Rechtsgrundlage/Zweck gespeichert, nicht ungerechtfertigt weitergegeben und nicht länger als nötig aufbewahrt werden
- Betroffenenrechte & Einwilligung: Auskunftsrechte gelten stets; Weitergaben/Extras (z. B. Marketing, Cookies/ePrivacy) erfordern transparente Info und ggf. Einwilligung
- Vergabepraxis: Bei Eignungs-/Leistungsprüfungen (u. a. § 46 VgV) fallen viele Mitarbeiter:innendaten an—Zugriff nur befugte Personen, Datengeheimnis beachten
- Pflichtinfos in Unterlagen: Datenschutz-Infoblatt beilegen (Zweck, Datenarten, Verarbeitung, Empfänger, Speicherdauer, Rechte) und Unternehmen verpflichten, ihre Mitarbeitenden zu informieren; Einwilligung für Datenweiterleitungen einholen
- Folgen bei Verstößen: Öffentliche Auftraggeber:innen zahlen i. d. R. keine Bußgelder, können aber per Rüge und Meldung an die Aufsicht zu Prüfungen, Verwarnungen oder Verarbeitungsverboten verpflichtet werden
- Rechtsweggrenze: Laut OLG München (13.03.2017) sind DSGVO-Verstöße im Vergabeverfahren kein Gegenstand des Nachprüfungsverfahrens nach GWB; sie sind separat datenschutzrechtlich zu verfolgen
Grundlegende Regelungen für alle
Mit der DSGVO wurden zunächst – unabhängig von Vergabeverfahren - viele datenschutzrechtliche Grundregeln geschaffen, an die sich jeder, der mit personenbezogenen Daten arbeitet, halten muss. Hier finden Sie zunächst eine Übersicht dieser allgemeinen Regelungen:
- Speicherung von Kundendaten nur mit Begründung: In einer Datenbank dürfen Kundendaten wie zum Beispiel Geburtstage und Nachnamen nur gespeichert werden, wenn sie für das Kundenverhältnis notwendig sind oder weil gesetzliche Vorgaben eine Speicherung vorschreiben. Sie dürfen außerdem nicht an Dritte weitergegeben und in der Regel nicht über die Dauer des Kundenverhältnisses hinaus gespeichert werden.
- Auskunftsrechte: Betroffene Personen haben das Recht, bei Unternehmen anzufragen, welche eigenen personenbezogenen Daten im Unternehmen hinterlegt sind und verarbeitet werden.
- Einverständniserklärungen: Werden personenbezogene Daten weitergegeben, muss dafür eine Einverständniserklärung der betroffenen Person, der die Daten angehören, eingeholt werden.
- ePrivacy-Verordnung: Diese Erweiterung der DSGVO ergänzt um weitere Regelungen rund um die elektronische Kommunikation. Das Versenden von Werbemails und auch die Sammlung der sogenannten Cookies auf Webseiten unterliegt somit strengeren Richtlinien als vorher.
In unserem Artikel „DSGVO Ratgeber: Datenschutz sicher umsetzen" können Sie die Regelungen im Detail nachlesen.
Bitte beachten Sie, dass Sie für die Umsetzung der Verordnung selbst verantwortlich sind. Dieser Artikel stellt keine Rechtsberatung dar und kann auch keine Rechtsberatung ersetzen.
Was bedeutet das für Auftraggeber:innen?
Als Auftraggeber:in arbeitet man im Rahmen von Vergabeverfahren viel mit personenbezogenen Daten. Vor allem bei einer Prüfung der technischen und beruflichen Leistungsfähigkeit der Bieter:innen nach § 46 der Vergabeverordnung (VgV) werden viele Nachweise und somit auch Daten der Mitarbeiter:innen von sich bewerbenden Unternehmen aus Lübeck, Köln und Deutschland gesammelt. Diese Daten dürfen unter keinen Umständen an Dritte weitergegeben werden und unterliegen bei den Mitarbeiter:innen, die Einsicht auf diese Daten haben, einem Datengeheimnis. Diese Regelung gilt für ganz Deutschland, egal ob sie in Augsburg, Oldenburg oder Hannover tätig sind.
Betroffene Personen müssen vor Erhebung ihrer personenbezogenen Daten immer darüber aufgeklärt werden, dass ihre Daten in einer Datenbank gespeichert werden. Öffentliche Auftraggeber:innen sollten die Datenschutzhinweise daher bereits in die Vergabeunterlagen aufnehmen und die Unternehmen dazu auffordern, ihre Mitarbeiter:innen darüber in Kenntnis zu setzen, um rechtlich abgesichert zu sein.
Umsetzen lässt sich das zum Beispiel mit einem Informationsblatt zum Umgang mit personenbezogenen Daten innerhalb der Vergabe. Auf diesem Informationsblatt sollten Auftraggeber:innen genau angeben,
- zu welchem Zweck die personenbezogenen Daten verarbeitet werden,
- welche personenbezogenen Daten genau verarbeitet werden (zum Beispiel Vor- und Nachname, Adresse, E-Mail-Adresse-Telefonnummer etc.),
- wie die Daten verarbeitet werden,
- ob die Daten an Dritte weitergegeben werden und wenn ja, an welche,
- wie lange die personenbezogenen Daten zur Verarbeitung behalten werden,
- welche Rechte die betroffenen Personen haben.
Dieses Informationsblatt sollte sich entweder direkt an die Mitarbeiter:innen der sich bewerbenden Unternehmen aus Neuss, Hamburg oder Rostock richten, oder am Ende des Dokuments eine klare Aufforderung dazu enthalten, dass diese Informationen vom Unternehmen an die einzelnen Mitarbeiter:innen weitergegeben werden sollen.
Auch müssen Auftraggeber:innen für die Weiterleitung der Daten im Rahmen des Vergabeverfahrens die betroffenen Personen darüber informieren und eine Erlaubnis beziehungsweise Einwilligung dieser einholen.
Welche Folgen haben Verstöße?
Bei Verstößen gegen diese Regelungen drohen öffentlichen Auftraggeber:innen wie zum Beispiel Behörden zwar erheblich mildere Strafen als privaten Unternehmen, trotzdem haben Bieter:innen die Möglichkeit, rechtlich gegen sie vorzugehen. So können gegenüber Behörden zwar keine Geldstrafen verhängt werden, Bieter:innen können öffentliche Auftraggeber:innen jedoch mithilfe einer vergaberechtlichen Rüge dazu bringen, den Datenschutzverstoß einzustellen. Außerdem können sie den Verstoß gegenüber der Datenschutzbehörde anzeigen.
Die daraus folgenden Anordnungen, die zur Beendigung des Datenschutzverstoßes führen sollen, sind zum Beispiel die Verordnung von Untersuchungen in Form von Datenschutzüberprüfungen. Verwarnungen bis hin zu zeitlich begrenzten oder sogar endgültigen Verboten der Datenverarbeitung sind ebenfalls eine Form von Anordnungen im Falle eines Verstoßes gegen die DSGVO.
Beschluss OLG München vom 13.03.2017
Seit einem Beschluss des Oberlandesgerichts München am 13. März 2017 können Bieter:innen datenschutzrechtliche Verstöße von öffentlichen Auftraggeber:innen im Vergabeverfahren nicht in einem Nachprüfungsverfahren angreifen. Dies liegt darin begründet, dass datenschutzrechtliche Normen nicht zu den Bestimmungen gehören, die vom vergaberechtlichen Anspruch auf Einhaltung des Verfahrens nach dem Gesetz gegen Wettbewerbsbeschränkungen (GWB) erfasst sind.
Abonnieren Sie jetzt den ibau Newsletter!
Ähnliche Artikel
