Mit dem zum 1. Juli 2026 in Kraft getretenen Vergabebeschleunigungsgesetz hat der Gesetzgeber einen wichtigen Impuls für die Beschaffung informationstechnischer Leistungen gesetzt. Durch die Ergänzung des § 58 Abs. 2 Nr. 4 VgV wird ausdrücklich klargestellt, dass Zuschlagskriterien auch Aspekte der digitalen Souveränität umfassen können. Damit reagiert der Gesetzgeber auf die zunehmende Bedeutung sicherer, transparenter und resilienter IT-Infrastrukturen, insbesondere auch auf die in den vergangenen Jahren intensiv geführte Diskussion über den Einsatz cloudbasierter Lösungen durch die öffentliche Hand, die auch bereits Gegenstand der vergaberechtlichen Rechtsprechung war.

Die Neuregelung schafft eine ausdrückliche gesetzliche Grundlage für die Berücksichtigung digitaler Souveränität als qualitatives Zuschlagskriterium. Sie stärkt damit die Handlungsmöglichkeiten öffentlicher Auftraggeber, ohne die vergaberechtlichen Grundprinzipien der Transparenz, Gleichbehandlung und Verhältnismäßigkeit in Frage zu stellen.

Digitale Souveränität als Qualitätsmerkmal

Nach der Neufassung des § 58 VgV können Zuschlagskriterien ausdrücklich auch Aspekte der digitalen Souveränität berücksichtigen. In ihrer Beschlussempfehlung zum Vergabebeschleunigungsgesetz führt der Ausschuss für Wirtschaft und Energie beispielhaft aus, dass hierzu insbesondere folgende Qualitätsmerkmale zählen können:

  • die Nutzung interoperabler und offener IT-Systeme oder Software,
  • die Nachvollziehbarkeit und Kontrolle von Datenverarbeitungsvorgängen,
  • besondere Anforderungen an das im Rahmen der Datenverarbeitung eingesetzte Personal,
  • Anforderungen an Sicherheitsvorkehrungen,
  • die Lokalisierung von Daten sowie
  • die rechtliche, organisatorische und technische Immunität gegen unerwünschte Zugriffe oder Verfügbarkeitseinschränkungen.

Der Gesetzgeber verdeutlicht damit, dass diese Gesichtspunkte einen unmittelbaren Einfluss auf die Qualität einer IT-Leistung haben können und daher im Rahmen der Angebotswertung berücksichtigt werden dürfen.

Besondere Aufmerksamkeit verdient dabei die ausdrückliche Erwähnung der „rechtlichen, organisatorischen und technischen Immunität gegen unerwünschte Zugriffe oder Verfügbarkeitseinschränkungen“. Dieser Begriff geht deutlich über klassische datenschutzrechtliche Fragestellungen hinaus. Er umfasst unter anderem Risiken internationaler Konzernstrukturen, behördlicher Zugriffsmöglichkeiten aus Drittstaaten, technische Abhängigkeiten von einzelnen Herstellern, Aspekte der Ausfallsicherheit sowie organisatorische Maßnahmen zur Sicherstellung einer dauerhaft beherrschbaren und resilienten IT-Infrastruktur.

Entwicklung der Rechtsprechung

Die Neuregelung knüpft nicht zuletzt auch an eine Entwicklung an, die bereits durch die vergaberechtliche Rechtsprechung vorbereitet wurde. Hervorzuheben ist insbesondere der Beschluss des OLG Karlsruhe vom 7. September 2022 (Az. 15 Verg 8/22, Landesrecht BW - 15 Verg 8/22 | OLG Karlsruhe Vergabesenat | 07.09.2022 | Beschluss), mit dem eine viel beachtete Entscheidung der Vergabekammer Baden-Württemberg aufgehoben wurde.

Ausgangspunkt des damaligen Nachprüfungsverfahrens war die Ausschreibung einer Cloud-Lösung zur Verarbeitung sensibler Gesundheitsdaten. Die Vergabekammer hatte den Einsatz einer europäischen Tochtergesellschaft eines US-amerikanischen Cloud-Anbieters bereits deshalb als datenschutzrechtlich unzulässig angesehen, weil eine lediglich theoretische Zugriffsmöglichkeit der US-amerikanischen Konzernmutter auf personenbezogene Daten nicht ausgeschlossen werden könne.

Das OLG Karlsruhe widersprach dieser Sichtweise. Es stellte klar, dass öffentliche Auftraggeber grundsätzlich darauf vertrauen dürfen, dass ein Bieter seine vertraglichen Verpflichtungen erfüllt. Hatte der Bieter zugesichert, personenbezogene Daten ausschließlich innerhalb Deutschlands beziehungsweise des Europäischen Wirtschaftsraums zu verarbeiten und geeignete technische sowie organisatorische Maßnahmen zum Schutz der Daten umzusetzen, bestand nach Auffassung des Gerichts keine Grundlage für die Annahme, konzerninterne Gesellschaften würden vertragswidrig personenbezogene Daten in Drittländer übermitteln.

Die Entscheidung erteilte pauschalen Ausschlüssen internationaler Cloud-Anbieter eine klare Absage und stellte stattdessen die Bedeutung einer einzelfallbezogenen und risikoorientierten Betrachtung in den Vordergrund.

Die Neuregelung geht über den Datenschutz hinaus

Während die Entscheidung des OLG Karlsruhe maßgeblich durch datenschutzrechtliche Fragestellungen geprägt war, verfolgt der Gesetzgeber mit der Ergänzung des § 58 VgV einen deutlich weitergehenden Ansatz.

Digitale Souveränität beschränkt sich nicht auf die Einhaltung der Datenschutz-Grundverordnung. Vielmehr umfasst sie unter anderem die technische und organisatorische Beherrschbarkeit digitaler Infrastrukturen, Interoperabilität, Datenportabilität, IT-Sicherheit, Resilienz sowie die langfristige Vermeidung wirtschaftlicher und technischer Abhängigkeiten.

Gerade bei Cloud-Beschaffungen gewinnen daher Fragestellungen wie Lock-in-Effekte, offene Standards und Schnittstellen, Exit-Strategien, Schlüsselmanagement, Auditierbarkeit sowie die Transparenz administrativer Zugriffe zunehmend an Bedeutung. Die ausdrückliche gesetzliche Erwähnung dieser Aspekte trägt der tatsächlichen Beschaffungspraxis öffentlicher Auftraggeber Rechnung.

Neue Gestaltungsmöglichkeiten für öffentliche Auftraggeber

Die Neuregelung eröffnet öffentlichen Auftraggebern eine ausdrückliche gesetzliche Grundlage, Aspekte der digitalen Souveränität systematisch in ihre Zuschlagswertung einzubeziehen. Voraussetzung bleibt allerdings, dass sämtliche Zuschlagskriterien einen hinreichenden Bezug zum Auftragsgegenstand aufweisen, transparent ausgestaltet und objektiv überprüfbar sind. Die Festlegung der digitalen Souveränität als Ausschlusskriterium ist demgegenüber nicht von § 58 Abs. 2 Nr. 4 VgV umfasst.

Je nach Beschaffungsgegenstand können beispielsweise folgende qualitative Zuschlagskriterien in Betracht kommen:

  • Grad der Interoperabilität sowie Nutzung offener Standards und dokumentierter Schnittstellen,
  • Nachvollziehbarkeit und Auditierbarkeit von Datenverarbeitungsvorgängen,
  • Qualität von Verschlüsselungs- und Schlüsselmanagementkonzepten,
  • Konzepte zur Datenlokalisierung innerhalb des Europäischen Wirtschaftsraums,
  • technische und organisatorische Maßnahmen zur Vermeidung unberechtigter Zu­griffe,
  • Maßnahmen zur Sicherstellung der technischen Resilienz und Verfügbarkeit der Cloud-Lösung,
  • Konzepte zur Datenportabilität und zur Vermeidung eines Lock-in-Effekten.

In Bezug auf den letzten Punkt sollten öffentliche Auftraggeber auch die neuen Möglichkeiten des EU Data Act (VO/EU/2023/2854) für sich nutzen. Dieser erleichtert den Wechsel von Cloud-Diensten und verpflichtet Cloud-Anbieter zu Datenportabilität durch zwingende gesetzliche Vorschriften. 

Handreichungen bei der Ausgestaltung

Bei der Ausgestaltung der Vergabe- und Vertragsunterlagen können sich öffentlichen Auftraggeber an aktuellen Handreichungen orientieren: 

Ein Blick in die Zukunft

Das Thema der digitalen Souveränität ist gekommen, um zu bleiben: Auftraggeber und Unternehmen sollten dabei dringend auch die aktuelle politischen Diskussion verfolgen. Derzeit bittet beispielsweise die EU-Kommission in ihrer „Targeted consultation on safeguarding the EU’s data sovereignty“ um den Input der Marktbeteiligten. Mit Artikel 16 ff. des Vorschlags für das Cloud and AI Development Act (CADA) sollen sogar gesetzlich normierte Assurance Level für ein Cloud Computing Sovereignty Framework geschaffen werden. 

BDO arbeitet dabei gemeinsam mit dem deutschen Cloud-Dienstleister Stackit mit ES3 an einem praxisorientierten Industriestandard für die Bewertung der digitalen Souveränität von Cloud-Lösungen und IT-Services. 

Fazit

Mit § 58 Abs. 2 Nr. 4 VgV trägt der Gesetzgeber der fortschreitenden Digitalisierung der öffentlichen Verwaltung und der wachsenden Bedeutung souveräner IT-Infrastrukturen Rechnung. Öffentliche Auftraggeber erhalten eine ausdrückliche gesetzliche Grundlage, qualitative Aspekte der digitalen Souveränität bei der Zuschlagsentscheidung zu berücksichtigen. An die Stelle nicht gerichtsfester, pauschaler datenschutzrechtlicher „Sorgen“ (vgl. die o.g. Entscheidung des OLG Karlsruhe) kann nunmehr eine risikobasierte Betrachtung anhand eines transparenten Bewertungssystems digitaler Souveränität treten.

Für öffentliche Auftraggeber empfiehlt es sich, bestehende Vergabeunterlagen und Bewertungsmatrizen an die neue Rechtslage anzupassen und digitale Souveränitätsaspekte entsprechend der sich entwickelnden Kriterien aus der EU und Deutschland anzupassen. 

Unternehmen, die Cloud-Lösungen anbieten, müssen ihre technischen, organisatorischen und rechtlichen Maßnahmen an die Vorgaben des EU Data Act anpassen. Die transparent dokumentierte und nachvollziehbar dargestellte Gewährleistung digitaler Souveränität stärkt die Wettbewerbsfähigkeit in künftigen Vergabeverfahren. 


Beratung durch BDO

Im Rahmen unserer Beratung begleitet BDO Legal alle Aspekte des Cloud-Einsatzes: 

  • Datenschutzrechtlichen Fragestellungen insbesondere in Form von Datenschutzfolgeabschätzungen und – in Fällen in denen eine Datenübermittlung in Drittstaaten erfolgt – auch Transferfolgeabschätzungen. 
  • Gestaltung von Cloud-Verträgen insbesondere zur Anpassung an die Vorgaben des EU Data Act. 
  • Sektorspezifische Fragestellungen z.B. beim Cloud-Einsatz im Gesundheitsbereich (§ 393 SGB V).
  • Vorbereitung und Begleitung im nationalen und europäischen Vergaberecht sowohl auf Auftraggeber- als auch Bieterseite. Unser Beratungsspektrum erstreckt sich von der Strukturierung und Durchführung des Vergabeverfahrens bis hin zur gerichtlichen Vertretung vor den zuständigen Nachprüfungsinstanzen auf nationaler und europäischer Ebene. Zum Beratungsangebot gehören damit auch die Strukturierung von Ausschreibungen, die Prüfung von Teilnahmeanträgen und Angeboten, die rechtliche Begleitung bei den Verhandlungen sowie - im Bedarfsfall - Risikoeinschätzungen und Handlungsalternativen.

Wir stehen hierzu im engen Austausch mit den Expertinnen und Experten unseres Kooperationspartners BDO AG Wirtschaftsprüfungsgesellschaft, die Leistungen im Bereich der Assurance anbieten (vgl. auch die Aktivitäten im Zusammenhang mit dem erwähnten ES3 Standard oder mit dem C5 Kriterienkatalog).

Gemeinsam mit unseren Kooperationspartnern der BDO DIGITAL GmbH und der BDO Cyber Security GmbH bieten wir auch integrierte Beratungspakete zu Fragen der technischen und organisatorischen Umsetzung und der Cybersicherheit an.

Sie haben Fragen zu unserer Beratung? Wir sind gerne für Sie da.

Dieser Artikel wurde verfasst von