OLG Karlsruhe weist Entscheidung der VK Baden-Württemberg zurück

In unserer News vom 01.08.2022 informierten wir Sie über die Entscheidung der Vergabekammer Baden-Württemberg vom 13.07.2022 (Az. 1 VK 23/22). Zu entscheiden hatte diese über die Frage, ob schon mit dem Einsatz eines Unternehmens mit Verbindungen zu einer Konzernmutter in die USA ein zu legitimierender Datentransfer in Drittstaaten einhergeht. Die Vergabekammer bejahte dies und schloss daher ein Unternehmen aus dem Vergabefahren für ein digitales Patientenmanagement aus. Das ausgeschlossene Unternehmen legte gegen diese Entscheidung Beschwerde ein, über die nun das Oberlandesgericht Karlsruhe zu entscheiden hatte.

Die Entscheidung des OLG

Das Oberlandesgericht Karlsruhe hob die Entscheidung der Vergabekammer nun durch Beschluss vom 07.09.2022 (Az. 15 Verg 8/22) auf. Nach Ansicht des OLG sei im Rahmen einer Vergabeentscheidung grundsätzlich davon auszugehen, dass ein Bieter seine vertraglichen Zusagen erfüllen werde. Es müssten konkrete Anhaltspunkte für einen Zweifel bestehen, müsste eine Prüfung des Leistungsversprechens erfolgen, nicht aber schon – wie von der Vergabekammer vertreten – bei jedem möglichen, latenten Risiko eines Versstoßes.

Im vorliegenden Fall habe das beauftragte Dienstleistungsunternehmen (hier die Amazon Web Services EMEA SARL mit Sitz in Luxemburg) nach Ansicht des Gerichts eindeutige vertragliche Zusicherungen gegeben, wonach die Daten ausschließlich von der AWS EMEA SARL und darüber hinaus nur in Deutschland verarbeitet werden dürfen. Auf diese Aussage sei zu vertrauen, denn es könne nicht damit gerechnet werden, dass der Dienstleister vertragswidrige und rechtsverletzende Weisungen befolgen und personenbezogene Daten in die USA übermitteln würde.

Fazit – Entwarnung!

Die Entscheidung des OLG Karlsruhe ist bereits rechtskräftig und lässt viele Unternehmen nun wieder aufatmen. Hätte die restriktive Ansicht der Vergabekammer der Beschwerde standgehalten, hätte dies zu weitreichenden Konsequenzen geführt. Es ist daher aus Sicht der Praxis zu begrüßen, dass die Entscheidung des OLG Karlsruhe so schnell und so deutlich ergangen ist.

Wichtig ist allerdings weiterhin die Absicherung von Datentransfers in die USA. Zwar ist nun klar, dass nicht durch den Einsatz europäischer Tochtergesellschaften allein ein unmittelbarer Datentransfer zustande kommt. Zu beachten ist dabei allerdings, dass im Normalfall einer solchen Konstellation standardmäßig Daten in den USA (oder anderen Drittländern) verarbeitet werden, wie z.B. Analysedaten bei Microsoft. Es ist daher immens wichtig, die eingesetzten Tools weiterhin sorgfältig zu prüfen (wenn nicht schon geschehen) und die Entwicklungen zu beobachten. Durch die Nutzung geeigneter Transferinstrumente, z.B. die Standardvertragsklauseln, und die Implementierung zusätzlicher technischer und organisatorischer Maßnahmen sowie die Durchführung eines Transfer Impact Assessments kann ein Drittstaatentransfer legitimiert werden. Allerdings bedarf es dazu weiterhin viel Arbeit.

Quelle: OLG Karlsruhe (Az. 15 Verg 8/22)

Unsere aktuellen News gibt es auf unserer Startseite und alle News in unserem Newsarchiv