Vergabekammer Karlsruhe

Aktenzeichen: 1 VK 23/22

Entscheidungsdatum: 13.07.2022

Normen: § 168 Abs 1 S 1 GWB, § 57 Abs 1 Nr 4 VgV

 

Tenor

1. Die Antragsgegnerinnen zu 1) und zu 2) werden verpflichtet, das Vergabeverfahren bei fortbestehender Beschaffungsabsicht in den Stand vor Angebotswertung zurückzuversetzen und diese unter Beachtung der Rechtsauffassung der Vergabekammer zu wiederholen.

2. Die Antragsgegnerinnen zu 1) und zu 2) sowie die Beigeladene tragen die Kosten des Verfahrens als Gesamtschuldner sowie die zur zweckentsprechenden Rechtsverfolgung notwendigen Aufwendungen der Antragstellerin zu je einem Drittel.

3. Die Hinzuziehung eines Verfahrensbevollmächtigten durch die Antragstellerin wird für notwendig erklärt.

4. Die bei der Vergabekammer entstandenen Verfahrenskosten werden auf 2.850,00 € festgesetzt.

Gründe

I.
Die Antragsgegnerinnen haben mit Auftragsbekanntmachung vom 03.11.2021 ein Vergabeverfahren zur Beschaffung einer Software für Digitales Entlassmanagement im offenen Verfahren europaweit ausgeschrieben. Unter anderem die Antragstellerin und die Beigeladene haben zu den ursprünglichen Vergabeunterlagen jeweils ein Angebot eingereicht. Gegen die Entscheidung der Antragsgegnerinnen, den Zuschlag auf das Angebot der Antragstellerin zu erteilen, wehrte sich die Beigeladene durch die Erhebung einer Rüge. Mit E-Mails vom 12.01.2022 teilten die Antragsgegnerinnen den Bietern die Rückversetzung des Vergabeverfahrens auf den Stand vor Versand der Vergabeunterlagen mit und kündigten gleichzeitig die Bereitstellung angepasster Vergabeunterlagen an. Mit Nachricht vom 23.02.2022 über die Vergabeplattform informierten die Antragsgegnerinnen die Bieter darüber, dass nun der Zugriff auf die neuen Ausschreibungsunterlagen freigeschaltet sei und die Ausschreibung in der Form eines offenen Verfahren durchgeführt werde.

In dem Dokument „Vergabeunterlagen“ bestimmten die Antragsgegnerinnen unter Ziffer 2.13 die Zuschlagskriterien und deren Gewichtung:

„(…)

a) Gesamtpreis (netto): 65%
– Preis für Lizenzen und Softwarepflege (netto)
– Preis für Dienstleistungen (netto)
– Preis für Schulden (netto)
b) Qualität der angebotenen Leistungen 35%
– Softwaredesign
– SLA
– Anforderung Datenschutz und IT-Sicherheit
(…)“

Im Lastenheft bestimmten die Antragsgegnerinnen unter Ziffer 2.8 unter anderem folgende „Anforderungen an IT-Sicherheit und Datenschutz“:

„(…)
• Erfüllung der Anforderungen aus der DS-GVO und dem BDSG (…)
• Daten werden ausschließlich in einem EU-EWR Rechenzentrum verarbeitet bei dem keine Subdienstleister / Konzernunternehmen in Drittstaaten ansässig sind
(…)“

Im Preisblatt verlangten die Antragsgegnerinnen Angaben zur Kostenkalkulation. Die Bieter sollten die Netto-Preise für die „Einmalkosten für die Implementierung der Software Digitales Entlassmanagement“, die „[l]aufenden Kosten über 5 Jahre“, die „Gesamtkosten Schnittstelle zur Digitalen Akte (…)“ sowie die „Bedarfspositionen“ angeben. Zu den Einmalkosten für die Implementierung findet sich der Zusatz: „(die Kosten fließen nicht in die Wertung ein)“.

Sowohl die Antragstellerin als auch die Beigeladene gaben jeweils erneut ein Angebot ab.

Die Beigeladene gab in ihrem Angebot die in … (EU-Mitgliedstaat) ansässige A (…) als Unterauftragnehmer für die Erbringung der Server- und Hostingleistung an. A ist eine Tochtergesellschaft der in den USA ansässigen B; der physische Standort ihrer Server ist in Deutschland. Im Zusammenhang mit der Beauftragung von A schließt die Beigeladene mit A ein „(…) GDPR Data Processing Addendum“ und das „Supplementary Addendum (…)“ ab.

Im „(…) GDPR Data Processing Addendum“ finden sich unter anderem folgende Klauseln:

“(…)”
Im “Supplementary Addendum (…)” findet sich unter Ziffer (…) folgende Klausel:
“(…)”

Mit Schreiben vom 04.05.2022 informierten die Antragsgegnerinnen die Antragstellerin darüber, dass beabsichtigt sei, den Zuschlag auf das Angebot der Beigeladenen zu erteilen. Als Begründung führten die Antragsgegnerinnen Folgendes an:

„Bei der Wirtschaftlichkeitsbetrachtung nach den Wertungskriterien der Ausschreibungsunterlagen war Ihr Angebot in der Wertung des Preises nicht das wirtschaftlichste.

In der Gesamtbewertung Preis und Leistung lag Ihr Angebot auf Rang 2.“

Mit Schreiben vom 04.05.2022 wendete sich die Antragstellerin gegen die Entscheidung der Antragsgegnerinnen. Die Antragstellerin rügte, die Beigeladene sei von der Angebotswertung auszuschließen, weil sie Änderungen an den Vergabeunterlagen vorgenommen habe. Sie habe mit ihrem Angebot gegen zwingende gesetzliche Vorgaben der DS-GVO verstoßen, die Bestandteil der Vergabeunterlagen seien. Außerdem bearbeite die Beigeladene personenbezogene Daten auf Servern, auf die Drittstaaten Zugriff hätten, was nicht den Anforderungen der Vergabeunterlagen entspreche. Die Beigeladene sei auch auszuschließen, weil sie in ihrem Angebot das Unternehmen C als Unterauftragnehmer angegeben habe, obwohl sie tatsächlich das Unternehmen D als Unterauftragnehmer einsetze. Die Beigeladene sei überdies auszuschließen, da sie ein unzulässiges Unterkostenangebot abgegeben habe. Eine ordnungsgemäße Preisprüfung durch die Antragsgegnerinnen habe nicht stattgefunden. Schließlich sei die Preiswertung diskriminierend und intransparent, weil die Einmalkosten für die Implementierung der Software nicht berücksichtigt werden.

Daraufhin wiesen die Antragsgegnerinnen die Rügen mit Schreiben vom 09.05.2020 zurück.

Mit anwaltlichem Schreiben vom 12.05.2022 stellte die Antragstellerin fest, dass die Antragsgegnerinnen in ihrer Rügezurückweisung nicht auf ihre Rügen eingegangen seien, und teilte mit, dass sie ihre Rügen daher weiterhin aufrechterhalte. Zudem rügte sie, dass die Begründung des Vorabinformationsschreibens unzureichend gewesen sei, die Angebotswertung fehlerhaft und die Dokumentation des Vergabeverfahrens unzureichend sei.

In ihrer Antragsschrift vom 13.05.2022 trägt die Antragstellerin vor, der Nachprüfungsantrag sei zulässig und begründet. Hinsichtlich der Zulässigkeit vertritt die Antragstellerin, sie sei antragsbefugt, denn sie habe ihr Interesse am Auftrag durch Angebotsabgabe bekundet und ihr Angebot hätte bei korrekter Prüfung und Wertung der Angebote den Zuschlag erhalten. Im Hinblick auf die Begründetheit des Nachprüfungsantrags meint die Antragstellerin, die Beigeladene sei aus dem Vergabeverfahren auszuschließen, da das Angebot der Beigeladenen aufgrund des Einsatzes von A sowie von C als Unterauftragnehmer gegen zentrale gesetzliche Bestimmungen zum Datenschutz verstoße und daher nicht den Anforderungen aus den Vergabeunterlagen entspreche. Konkret ist die Antragstellerin der Auffassung, dass das Angebot der Beigeladenen die datenschutzrechtlichen Anforderungen aus den Vergabeunterlagen bereits deshalb nicht erfülle, da die Beigeladene entgegen der unter Ziffer 2.8 des Lastenhefts definierten Anforderungen mit A einen Rechenzentrumsbetreiber einsetze, dessen Konzernunternehmen in Drittstaaten ansässig sei. Der Einsatz von A erfülle die Anforderungen aus den Vergabeunterlagen davon unabhängig auch deshalb nicht, da dadurch gegen die Art. 44 ff. DS-GVO verstoßen werde und damit die Vorgaben der DS-GVO entgegen den Anforderungen der Vergabeunterlagen nicht erfüllt werden. Denn es finde bereits eine unzulässige Übermittlung personenbezogener Daten in die USA und damit in ein Drittland statt. Unabhängig von der geografischen Speicherung der Daten liege eine Zugänglichmachung oder Abrufbarkeit von personenbezogenen Daten aus einem Drittland vor. Durch die auf der Grundlage des „US-Überwachungsrechts“ eingeräumten Zugriffsrechte bestehe zumindest ein latentes Risiko dahingehend, dass eine im Sinne der DS-GVO unzulässige Übermittlung personenbezogener Daten in die USA stattfinde.

Dies falle bereits unter den Übermittlungsbegriff der Art. 44 ff. DS-GVO. Darüber hinaus liege schon deshalb eine Übermittlung im Sinne der Art. 44 ff. DS-GVO vor, weil die Vertragsbedingungen von A eine unmittelbare Grundlage für eine aktive Weitergabe von Daten an die USA seien. Die grundsätzliche unzulässige Übermittlung von personenbezogenen Daten in das Drittland USA sei insbesondere nicht durch einen Angemessenheitsbeschluss, eine geeignete Garantie oder durch das Vorliegen eines sonstigen Ausnahmetatbestandes legitimiert. Ferner trägt die Antragstellerin vor, sie gehe davon aus, dass die Beigeladene die C als Unterauftragnehmer angegeben und damit fehlerhafte Angaben im Angebot gemacht habe. Die Antragstellerin meint, bei dem Angebot der Beigeladenen handele es sich um ein rechtswidriges Unterpreisangebot. Sie gehe davon aus, dass eine ordnungsgemäße Preisaufklärung bezüglich des Angebots der Beigeladenen nicht oder jedenfalls nicht ordnungsgemäß durchgeführt worden sei. Die Antragstellerin meint, die Nichtberücksichtigung der Einmalkosten für die Softwareimplementierung sei vergaberechtlich unzulässig. Des Weiteren trägt die Antragstellerin vor, das von den Antragsgegnerinnen an die Antragstellerin übersandte Vorabinformationsschreiben vom 04.05.2022 sei insbesondere mangels Ausführungen zum Zuschlagskriterium Qualität der angebotenen Leistungen und mangels Angaben zu den jeweils erzielten Punktzahlen unzureichend. Vor diesem Hintergrund vertritt die Antragstellerin auch, dass die Angebotswertung fehlerhaft erfolgt sei. Schließlich trägt die Antragstellerin vor, dass das Vergabeverfahren unzureichend dokumentiert worden sei.

In Ergänzung zu ihrem Nachprüfungsantrag führt die Antragstellerin in ihrem Schriftsatz vom 17.06.2022 aus, ihre Rechtsmeinung, dass die Beigeladene zwingend vom Vergabeverfahren auszuschließen sei, werde durch den Ausschluss in einem anderen Vergabeverfahren einer überregional tätigen Krankenkasse belegt. Gegen diesen Ausschluss sei die Beigeladene im Rahmen eines Nachprüfungsverfahrens vorgegangen. Mangels Erfolgsaussichten habe die Beigeladene ihren Nachprüfungsantrag zurückgenommen. Der Ausschluss der Beigeladenen aus dem dortigen Vergabeverfahren wegen datenschutzrechtlichen Verstößen sei somit bestandskräftig. Ihr Vortrag erfolge nicht ins Blaue hinein, denn aufgrund der Konstruktion der Software der Beigeladenen sei „zwingend davon auszugehen“, dass die gleichen Fehler auch im vorliegenden Angebot der Beigeladenen enthalten seien. Zusätzlich trägt die Antragstellerin vor, dass „offenbar“ regelmäßig im Zusammenhang mit der Einbeziehung der C in die Leistungserbringung ein sogenanntes „transfer impact assessment“ genutzt werde und dieses Dokument „offenbar“ in englischer Sprache verfasst sei. Dies verstoße gegen die Vorgaben der Vergabeunterlagen, das Angebot ausschließlich in deutscher Sprache abzufassen. Hinsichtlich des streitigen Übermittlungsbegriffs trägt die Antragstellerin vor, dass bereits die bloße Zugriffsmöglichkeit eine Datenverarbeitung, mithin eine Übermittlung im Sinne der Art. 44 ff. DS-GVO darstelle. Hinsichtlich ihres Vorwurfs der fehlerhaften Angaben zu Unterauftragnehmern behauptet die Antragstellerin, dass davon auszugehen sei, dass die Beigeladene das Unternehmen E in ihrem Angebot nicht angegeben habe, obwohl sie dieses in die Leistungserbringung einbeziehen werde. Zu ihrer Rüge einer fehlerhaften Angebotswertung trägt die Antragstellerin vor, aus der gewährten Akteneinsicht ergebe sich, dass die Angebote nicht anhand des Kriteriums Qualität und seiner Unterkriterien gewertet worden seien.

Mit nicht nachgelassenen Schriftsätzen vom 05.07.2022 und vom 11.07.2022 hat die Antragstellerin in rechtlicher Hinsicht ergänzend zum Übermittlungsbegriff vorgetragen. Zwischen dem Begriff „Übermittlung“ im Sinne von Art. 4 Nr. 2 DS-GVO und dem Begriff der „Übermittlung“ im Sinne des Art. 44 ff. DS-GVO sei zu differenzieren. Aufgrund der verschiedenen Regelungszwecke könne der Übermittlungsbegriff nicht einheitlich ausgelegt werden. Der Übermittlungsbegriff im Rahmen der Art. 44 ff. DS-GVO müsse weit ausgelegt werden, um einen möglichst effektiven Umgehungsschutz zu gewährleisten. Daher sei bereits in einer – wenn auch hypothetischen – Zugriffsmöglichkeit auf personenbezogene Daten aus einem Drittland eine Übermittlung im Sinne der Art. 44 ff. DS-GVO zu sehen.

Mit Nachprüfungsantrag vom 13.05.2022 hat die Antragstellerin beantragt:

1. Es wird festgestellt, dass die Antragstellerin in ihren Rechten verletzt ist.

2. Die Antragsgegnerinnen werden verpflichtet, den Zuschlag nur nach Wiederholung der Prüfung und Wertung der Angebote sowie nach Erteilung eines vollständigen Vorabinformationsschreibens gemäß § 134 Abs. 1 GWB unter Beachtung der Rechtsauffassung der Vergabekammer und unter Berücksichtigung des Angebots der Antragstellerin zu erteilen.

Hilfsweise: Die Antragsgegnerinnen werden verpflichtet, andere geeignete Maßnahmen zur Verhinderung von Rechtsverletzungen der Antragstellerin zu treffen.

3. Der Antragstellerin ist Einsicht in die Vergabeakte zu gewähren.

4. Die Hinzuziehung der Verfahrensbevollmächtigten der Antragstellerin wird gemäß § 182 Abs. 4 GWB für notwendig erklärt.

5. Den Antragsgegnerinnen werden die Kosten des Verfahrens einschließlich der Kosten der zweckentsprechenden Rechtsverfolgung der Antragstellerin auferlegt.

Mit der Antragserwiderung vom 20.05.2022 haben die Antragsgegnerinnen beantragt:

Der Nachprüfungsantrag wird zurückgewiesen.

2. Die Einsicht in die Vergabeakte wird untersagt.

3. Die Hinzuziehung der Verfahrensbevollmächtigten der Antragsgegnerinnen wird durch die Vergabekammer für notwendig erklärt.

4. Die Antragstellerin trägt die Kosten des Verfahrens und die verfahrensnotwendigen Aufwendungen der Antragsgegnerinnen.

In ihrer Antragserwiderung vom 20.05.2022 tragen die Antragsgegnerinnen vor, der Nachprüfungsantrag sei vollumfänglich zurückzuweisen. Im Hinblick auf die Zulässigkeit tragen die Antragsgegnerinnen vor, der Vorwurf einer unzulässigen Preiswertung sowie der Vorwurf einer fehlerhaften Angebotswertung sei präkludiert und damit unzulässig. Hinsichtlich der Begründetheit tragen die Antragsgegnerinnen vor, die Beigeladene sei nicht auszuschließen. Ein Verstoß der Beigeladenen durch ihr Angebot aufgrund des Einsatzes von A gegen zentrale Bestimmungen zum Datenschutz sei nicht anzunehmen. Die Leistungserbringung durch A erfolge ausschließlich in Deutschland, eine Datenverarbeitung in einem Drittland finde nicht statt. Vielmehr entspreche das Angebot der Beigeladenen den Vorgaben der Vergabeunterlagen und insbesondere den datenschutzrechtlichen Anforderungen der DS-GVO. Zu dem Vorwurf der Antragstellerin, die Beigeladene habe fehlerhafte Angaben zu den eingesetzten Unterauftragnehmern gemacht, tragen die Antragsgegnerinnen vor, dass es sich hierbei um eine Rüge ins Blaue hinein handele. Dem Vorwurf einer unzureichenden Preisaufklärung entgegnen die Antragsgegnerinnen, sie seien ihrer Aufklärungspflicht als Auftraggeberinnen vollumfassend nachgekommen und habe diese auch hinlänglich dokumentiert. Hinsichtlich des Vorwurfs eines unzureichenden Vorabinformationsschreibens tragen die Antragsgegnerinnen vor, die Antragstellerin sei über die Gründe der vorgesehenen Nichtberücksichtigung informiert worden. Der Antragstellerin sei mitgeteilt worden, dass ihr Angebot in der Kategorie des Preises nicht das wirtschaftlichste gewesen sei und in der Gesamtbewertung von Preis und Leistung auf dem zweiten Platz gelandet sei. Dies konstituiere eine praktikable Begründung hinreichend.

In ihrem Schriftsatz vom 27.06.2022 tragen die Antragsgegnerinnen ergänzend vor, dass der Vorwurf der Antragstellerin, die Beigeladene habe fehlerhafte Angaben hinsichtlich des Einsatzes von C gemacht und nicht angegeben, dass sie E als Unterauftragnehmer einsetze, zurückzuweisen sei. Denn die Angaben seien nicht fehlerhaft und der Vorwurf könne schon keinen Ausschluss rechtfertigen. Die Leistungserbringung von C beziehungsweise die etwaige Leistungserbringung von E sei nicht Teil des im Rahmen des Vergabeverfahrens nachgefragten Beschaffungsumfangs. Es gebe daher keine diesbezüglichen Vorgaben in den Vergabeunterlagen, mithin könnten die gemachten Angaben ohnehin keine Abweichung begründen.

Die Beigeladene hat mit Schriftsatz vom 25.05.2022 beantragt:

1. den Nachprüfungsantrag zurückzuweisen,

2. der Beigeladenen Einsicht in die Vergabeakte gemäß § 165 Abs. 1 GWB zu gewähren,

3. der Antragstellerin die Kosten des Nachprüfungsverfahrens einschließlich der zur zweckentsprechenden Rechtsverfolgung notwendigen Aufwendungen der Beigeladenen aufzuerlegen,

4. die Hinzuziehung eines Verfahrensbevollmächtigten durch die Beigeladene für notwendig zu erklären.

In ihrem Schriftsatz vom 25.05.2022 trägt die Beigeladene vor, der Nachprüfungsantrag sei bereits teilweise unzulässig und in Bezug auf sämtliche behauptete Vergaberechtsverstöße unbegründet. Sie stimme den Antragsgegnerinnen in Bezug auf eine teilweise Unzulässigkeit des Nachprüfungsantrags zu und führt zusätzlich aus, dass es hinsichtlich des beanstandeten Vorabinformationsschreibens und der beanstandeten Dokumentation bereits an einer Antragsbefugnis fehle. Es sei nicht ersichtlich, wie hierdurch die Chance der Antragstellerin auf eine Zuschlagserteilung beeinträchtigt werde. Im Hinblick auf die Begründetheit des Nachprüfungsantrags trägt die Beigeladene vor, dass sowohl die Einbindung von A in die Leistungserbringung als auch in Bezug auf die Zusammenarbeit mit C bei Transaktionsmails vollumfänglich gewährleistet werde, dass die Beigeladene alle Ausführungsbedingungen zum Datenschutz einhalte. Durch die Nutzung von Dienstleistungen von A liege bereits keine Datenübermittlung in ein Drittland vor, mithin sei kein Verstoß gegen die Art. 44 ff. DS-GVO gegeben. Die Antragstellerin verkenne, dass eine Übermittlung auch immer eine Datenverarbeitung voraussetze und darstelle. Eine theoretische Zugriffsmöglichkeit stelle keine Verarbeitung dar; insbesondere genüge ein rein hypothetisches latentes Risiko einer Übermittlung gerade nicht. Mangels Verarbeitung personenbezogener Daten liege hier keine Übermittlung vor. Unabhängig davon sei eine Übermittlung von personenbezogenen Daten in ein Drittland wegen des Einsatzes von Standardvertragsklauseln zulässig. Über das „(…) GDPR Data Processing Addendum“ schließe A Standardvertragsklauseln mit seinen Kunden ab. Das „Supplementary Addendum (…)“, das ergänzende Regelungen enthalte, setze die vom EuGH geforderten „weiteren Maßnahmen“ um. Der Vorwurf einer datenschutzrechtlich unzulässigen Datenverarbeitung durch den Einsatz von C stelle eine Rüge ins Blaue hinein dar. Gleiches gelte für den Vorwurf der fehlenden Angaben zu Unterauftragnehmern.

In ihrem Schriftsatz vom 27.06.2022 trägt die Beigeladene ergänzend vor, dass das Angebot der Beigeladenen nicht etwa deshalb auszuschließen sei, weil die von der Beigeladenen angebotene Form der Leistungserbringung gegen die in Ziffer 21 des Leistungsverzeichnisses enthaltene Vorgabe verstößt, die sich so auch in Ziffer 2.8 des Lastenhefts befinde. Denn diese Vorgabe sei keine zwingend zu erfüllende Anforderung der Antragsgegnerinnen. Der Zusatz „B“ gebe zu erkennen, dass es sich bei dem Kriterium ausschließlich um ein Bewertungskriterium handele.

Mit nicht nachgelassenen Schriftsätzen vom 01.07.2022, vom 06.07.2022 und vom 12.07.2022 hat die Beigeladene in rechtlicher Hinsicht ergänzend zum Übermittlungsbegriff vorgetragen. Unter diesen falle nicht schon eine theoretische gesetzliche Befugnis von staatlichen Stellen in einem Drittland. Das Speichern von Daten auf den in Europa gelegenen Servern einer europäischen Gesellschaft könne keine Offenlegung beziehungsweise Zugänglichmachung gegenüber einem Empfänger in einem Drittland darstellen, da es an dem erforderlichen unmittelbaren Drittlandsbezug fehle. Die bloß theoretische Möglichkeit, von Eingriffsbefugnissen gegebenenfalls Gebrauch zu machen, erfülle keinen der in Art. 4 Nr. 2 DS-GVO genannten Tatbestände.

Mit Beschluss vom 18.05.2022 wurde die … zum Verfahren beigeladen. Am 13.06.2022 hat die Vergabekammer der Antragstellerin und der Beigeladenen jeweils antragsgemäß – beschränkt auf den Verfahrensgegenstand – Einsicht in die Vergabeakten gewährt, soweit keine geheimhaltungsbedürftigen Aktenbestandteile betroffen waren. In der mündlichen Verhandlung am 29.06.2022 hatten die Beteiligten die Gelegenheit, ihre Standpunkte darzulegen und mit der Vergabekammer umfassend zu erörtern. Die 5-Wochenfrist des § 167 Abs. 1 S. 1 GWB wurde durch Verfügung der Vorsitzenden bis zum 15.07.2022 verlängert. Wegen der weiteren Einzelheiten wird auf die eingereichten Schriftsätze samt Anlagen und die Dokumentation der Antragsgegnerinnen, die der Vergabekammer vorlag, verwiesen.

II.

Der Nachprüfungsantrag ist im Hinblick auf die Rüge, der Einsatz von A verstoße gegen die Art. 44 ff. DSGVO, weshalb das Angebot der Beigeladenen auszuschließen sei, zulässig und begründet.

1. Der Nachprüfungsantrag ist teilweise zulässig.

a. Das Vergabenachprüfungsverfahren ist statthaft. Gemäß §§ 155, 156 Abs. 2 GWB unterliegt die Vergabe öffentlicher Aufträge der Nachprüfung durch die Vergabekammern. Die Antragsgegnerinnen sind öffentlicher Auftraggeber nach §§ 98, 99 Nr. 2 a) GWB.

b. Der Schwellenwert nach §§ 106 Abs. 1, 2 Nr. 1 GWB ist erreicht. Die örtliche und sachliche Zuständigkeit der Vergabekammer Baden-Württemberg ergibt sich aus § 159 Abs. 3 GWB, § 1 VNPVO.

c. Die Antragstellerin ist ihrer Rügeobliegenheit nach § 160 Abs. 3 S. 1 GWB teilweise nachgekommen.

aa. Die Rüge betreffend die Nichtberücksichtigung der Kosten für die Implementierung der Software im Rahmen der Preiswertung ist nach § 160 Abs. 3 S. 1 Nr. 3 GWB präkludiert. Die Antragstellerin hätte die Rüge bis zum Ablauf der Angebotsfrist am 25.03.2022 gegenüber den Antragsgegnerinnen erheben müssen. Nach § 160 Abs. 3 S. 1 Nr. 3 GWB ist der Nachprüfungsantrag unzulässig, soweit aufgrund der Vergabeunterlagen erkennbare Vergaberechtsverstöße nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden. Erkennbar ist ein Vergaberechtsverstoß, wenn sich die zugrundeliegenden Tatsachen aus den Vergabeunterlagen ergeben und sie ein durchschnittlich fachkundiger, die übliche Sorgfalt anwendender Bieter bei Durchsicht und Bearbeitung der Vergabeunterlagen als Vergaberechtsverstoß erkennen konnte. Die Erkennbarkeit bezieht sich dabei sowohl auf die den Vergaberechtsverstoß begründenden tatsächlichen Umstände als auch auf die Vergaberechtswidrigkeit als solche. Der durchschnittlich fachkundige, die übliche Sorgfalt anwendende Bieter muss den Vergaberechtsverstoß ohne besonderen Rechtsrat erkennen können (OLG Karlsruhe, Beschluss vom 15.01.2022, 15 Verg 12/20, nicht veröffentlicht). Hierbei kann erwartet werden, dass der Bieter die einschlägigen Vergabevorschriften kennt, die Vergabeunterlagen sorgfältig durchliest und Ungereimtheiten und Widersprüchlichkeiten nachgeht (OLG Karlsruhe, Beschluss vom 05.05.2021, 15 Verg 4/21, nicht veröffentlicht). Lediglich eine umfassende Kenntnis der dem Verfahren zugrunde liegenden Vergabeordnung, insbesondere der Literatur oder vergaberechtlichen Rechtsprechung zu den rechtlichen Vorschriften, ist von den Teilnehmern eines Vergabeverfahrens nicht zu erwarten (OLG Karlsruhe, Beschluss vom 15.01.2022, 15 Verg 12/20, nicht veröffentlicht; OLG Düsseldorf, Beschluss vom 01.06.2016, Verg 6/16, juris, Rn. 36).

Soweit die Antragstellerin beanstandet, dass die Angaben zur Preiswertung in den Vergabeunterlagen (Stand 23.02.2022), S. 12 f., 19, und in dem Preisblatt (Stand 23.02.2022) widersprüchlich seien und eine Nichtberücksichtigung der einmaligen Implementierungskosten vergaberechtlich unzulässig sei, war der behauptete Vergaberechtsverstoß unmittelbar aus den Vergabeunterlagen zu ersehen. Ein durchschnittlicher Bieter will und muss erkennen können, welche Kriterien zur Bestimmung des wirtschaftlichsten Angebots herangezogen werden. Etwaige Ungereimtheiten und Widersprüchlichkeiten in den Angaben zur Bewertung des Zuschlagskriteriums Preis erschließen sich einem Durchschnittsbieter bereits durch die Lektüre der Vergabeunterlagen. Aus den Vergabeunterlagen (S. 19) und dem „Preisblatt“, ergibt sich unmittelbar, dass die Einmalkosten für die Implementierung der Software nicht in die Wertung miteinfließt und welche Einzelpreise beziehungsweise Preisbestandteile wertungsrelevant sind. Dass sich die Antragstellerin im Rahmen der Angebotsphase eingehend mit der Wertungsmatrix befasst hatte, zeigt ihre Bieterfrage vom 03.03.2022, die zwei Fragen zu einzelnen wertungsrelevanten Preisbestandteilen beinhaltet. Dennoch hat die Antragstellerin die Rüge betreffend die Nichtberücksichtigung der Kosten für die Implementierung der Software im Rahmen Preiswertung erst mit Schreiben vom 09.05.2022 erhoben, mithin nach Ablauf der Angebotsfrist am 25.03.2022.

bb. Die Rüge, die Angebotswertung sei fehlerhaft erfolgt, erhob die Antragstellerin ins Blaue hinein.

Das Vorbringen der Antragstellerin genügt nicht den an eine ordnungsgemäße Rüge im Sinne von § 160 Abs. 3 S. 1 GWB zu stellenden Anforderungen.

Da ein Bieter naturgemäß nur begrenzten Einblick in den Ablauf des Vergabeverfahrens hat, darf er im Vergabenachprüfungsverfahren behaupten, was er auf der Grundlage seines – oft nur beschränkten – Informationsstands redlicherweise für wahrscheinlich oder möglich halten darf, etwa wenn es um Vergabeverstöße geht, die sich ausschließlich in der Sphäre der Vergabestelle abspielen oder das Angebot eines Mitbewerbers betreffen (OLG Karlsruhe, Beschluss v. 21.05.2021, 15 Verg 4/21, juris, Rn. 28; OLG Düsseldorf, Beschluss vom 13.04.2011, VII-Verg 58/10, juris, Rn. 53; OLG Frankfurt, Beschluss vom 09.07.2010, 11 Verg 5/10, juris, Rn. 51; OLG Dresden, Beschluss vom 6. Juni 2002, WVerg 4/02, juris, Rn. 18 f.). Der Antragsteller muss aber – wenn sich der Vergaberechtsverstoß nicht vollständig seiner Einsichtsmöglichkeit entzieht – zumindest tatsächliche Anknüpfungstatsachen oder Indizien vortragen, die einen hinreichenden Verdacht auf einen bestimmten Vergaberechtsverstoß begründen (OLG Karlsruhe, Beschluss v. 21.05.2021, 15 Verg 4/21, juris, Rn. 28; OLG Düsseldorf, Beschluss vom 16.08.2019, VII-Verg 56/18, juris; OLG München, Beschluss vom 11.06.2007, Verg 6/07, juris, Rn. 31). Ein Mindestmaß an Substantiierung ist einzuhalten; reine Vermutungen zu eventuellen Vergabeverstößen reichen nicht aus (OLG Karlsruhe, Beschluss v. 21.05.2021, 15 Verg 4/21, juris, Rn. 28; OLG Brandenburg, Beschluss vom 29. 05.2012, Verg W 5/12, juris, Rn. 4; OLG München, Beschluss vom 02.08.2007, Verg 7/07, juris, Rn. 15 f.).

Der Vorwurf der Antragstellerin lautet, dass die Antragstellerin in sämtlichen Zuschlagskriterien die höchste Punktzahl hätte erhalten müssen. Die Antragsgegnerinnen hätten allein auf den Preis abgestellt. Aus dem Vorabinformationsschreiben ergebe sich, dass das andere Zuschlagskriterium Qualität und dessen Unterkriterien nicht in die Bewertung eingeflossen sind. Es sei davon auszugehen, dass die Angebotswertung fehlerhaft erfolgt sei und damit ein Verstoß gegen § 58 VgV vorliege.

In dem Vorabinformationsschreiben vom 04.05.2022 begründen die Antragsgegnerinnen die Nichtberücksichtigung des Angebots der Antragstellerin damit, dass dieses „in der Wertung des Preises nicht das wirtschaftlichste“ Angebot war. Dass die Antragsgegnerinnen nicht allein auf das Zuschlagskriterium abgestellt haben, ergibt sich daraus, dass die Bewertung mittels einer „Wirtschaftlichkeitsbetrachtung nach den Wertungskriterien der Ausschreibungsunterlagen“ erfolgt ist und dass das Angebot der Antragstellerin „in der Gesamtbewertung Preis und Leistung“ auf Rang 2 lag. Folglich ist der Vorwurf, die Bewertung sei nur anhand des Zuschlagskriteriums Preis erfolgt, nicht belegt. Es handelt sich um reine Mutmaßungen.

Jedenfalls wäre diese Rüge unbegründet, denn es liegt kein Verstoß gegen § 58 VgV vor. Die Antragsgegnerinnen haben mit 65 % den Netto-Gesamtpreis und mit 35 % die Qualität der angebotenen Leistungen in ihrer Angebotswertung berücksichtigt. Die verifizierende Teststellung wurde – entgegen der Annahme der Antragstellerin – nicht als Zuschlagskriterium berücksichtigt, sondern diente dem Zweck, die Erfüllung des Zuschlagskriteriums „Qualität“ nachzuweisen (vgl. Burgi, Vergaberecht, 3. Aufl. 2021, § 17, Rn. 4a). Im Zuge der Gesamtbewertung sind die Antragsgegnerinnen zu dem Ergebnis gelangt, dass die Beigeladene auf Rang 1 liegt und damit das wirtschaftlichste Angebot abgegeben hat.

cc. Die Rügen, die Beigeladene habe in ihrem Angebot C als Unterauftragnehmer angegeben und damit habe sie fehlerhafte Angaben gemacht und gegen zwingend gesetzliche Vorgaben der DS-GVO verstoßen, erhob die Antragstellerin ebenfalls ins Blaue hinein.

Soweit die Antragstellerin in ihrer Rüge vom 09.05.2022 vorträgt, ihr sei aus einem von der Beigeladenen angestrengten Vergabenachprüfungsverfahren bekannt geworden, dass die Beigeladene in dem dort streitgegenständlichen Vergabeverfahren in ihrem Angebot die Firma C als Unterauftragnehmer angegeben habe, obwohl sie die Firma D eingesetzt habe, mutmaßt sie nur. Nichts anderes ergibt sich aus den Formulierungen im Nachprüfungsantrag der Antragstellerin vom 13.05.2022. Wenn sie darin unter Verweis auf ein Nachprüfungsverfahren vor der Vergabekammer Bund vorbringt, es sei davon auszugehen, dass die Beigeladene im Rahmen des streitgegenständlichen Vergabeverfahrens C als Unterauftragnehmer angegeben habe. Denn auch darin ist kein hinreichend substantiierter Vortrag zu erblicken. Einerseits legt die Antragstellerin nicht dar, woher sie die Kenntnis haben will, dass die Beigeladene in dem Vergabeverfahren, das Gegenstand des Nachprüfungsverfahrens vor der Vergabekammer Bund war, ein Angebot abgegeben haben soll, das C als Unterauftragnehmer beinhalte beziehungsweise, dass die Beigeladene tatsächlich mit D zusammenarbeite. Denn mündliche Verhandlungen vor den Vergabekammern sind nichtöffentlich (vgl. § 68 VwVfG) und eine Endentscheidung ist in diesem Nachprüfungsverfahren nicht ergangen, selbst der Kostenbeschluss ist zum Zeitpunkt des Nachprüfungsantrags und des Schriftsatzes der Antragstellerin vom 17.06.2022 noch nicht zugestellt gewesen. Andererseits legt die Antragstellerin nicht hinreichend substantiiert dar, warum der Einsatz der D ständige Praxis der Beigeladenen sein soll. Der pauschale Vortrag der Antragstellerin im Nachprüfungsantrag, die Ausgestaltung der Software der Beigeladenen sehe für alle Aufträge den Einsatz gleicher Unterauftragnehmer vor, enthält ebenso keine tatsächlichen Anknüpfungspunkte oder Indizien, die einen hinreichenden Verdacht auf einen bestimmten Vergaberechtsverstoß begründen.

dd. Die erstmals im Rahmen des Nachprüfungsverfahrens mit Schriftsatz vom 17.06.2022 erhobene Rüge der Nichteinhaltung der Vorgaben zur Sprache des Angebots stellt auch eine Rüge ins Blaue hinein dar. Die Rüge enthält keine tatsächlichen Anknüpfungstatsachen oder Indizien, die einen hinreichenden Verdacht auf einen bestimmten Vergaberechtsverstoß begründen. Dass es sich bei dem Vortrag, die Beigeladene habe gegen die Vorgabe, das Angebot ausschließlich in deutscher Sprache abzufassen, verstoßen, lediglich um eine Vermutung handelt, ergibt sich schließlich aus den Formulierungen des Schriftsatzes vom 17.06.2022. Wenn die Antragstellerin vorbringt, im Zusammenhang mit einem Einsatz von C sei dem Angebot ein „transfer impact assessment“ beigelegt worden, das „offenbar“ in englischer Sprache abgefasst sei, bringt sie damit zum Ausdruck, dass sie die Rüge ins Blaue hinein erhebt.

Gleiches gilt für die in diesem Zusammenhang ebenfalls erhobene Rüge, die Beigeladene habe in ihrem Angebot nicht E als Unterauftragnehmer angegeben, obwohl sie in dem Dokument „transfer impact assessment“ E einsetze.

ee. Im Übrigen ist die Antragstellerin ihrer Rügeobliegenheit ordnungsgemäß nachgekommen.

d. Die Antragstellerin ist nur im Hinblick auf die Rügen betreffend den Einsatz von A und die Rüge einer unzureichenden Preisaufklärung nach § 160 Abs. 2 GWB antragsbefugt.

Gemäß § 160 Abs. 2 GWB ist jedes Unternehmen antragsbefugt, das ein Interesse an dem öffentlichen Auftrag hat und eine Verletzung in seinen Rechten nach § 97 Abs. 6 GWB durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.

69
aa. Die Beanstandung der Antragstellerin, sie sei unzureichend über die Gründe unterrichtet worden, aus denen ihr Angebot nicht berücksichtigt werden soll, ist unzulässig. Denn der Antragstellerin hat durch eine eventuelle Verletzung der Pflicht der Antragsgegnerinnen gemäß § 134 Abs. 1 GWB, die Antragstellerin über die Gründe der vorgesehenen Nichtberücksichtigung ihres Angebots zu informieren, kein Schaden entstehen können (vgl. OLG Karlsruhe, Beschluss v. 06.06.2019, 15 Verg 8/19, juris, Rn. 31). Folge eines Verstoßes gegen die Informationspflicht ist nämlich gemäß § 135 Abs. 1 Nr. 1, Abs. 2 GWB die Nichtigkeit des Vertrags, den der öffentliche Auftraggeber mit dem Unternehmer, der nach der vorgenommenen Wertung das wirtschaftlichste Angebot abgegeben hat, geschlossen hat. Die Antragsgegnerinnen haben aber noch keinen Vertrag mit der Beigeladenen geschlossen, weil die Antragstellerin teilweise rechtzeitig angebliche Vergaberechtsverstöße gerügt und nach Zurückweisung der Rüge das Nachprüfungsverfahren eingeleitet hat (vgl. OLG Karlsruhe, a.a.O.). Damit ist der Zweck des § 134 Abs. 1 GWB, einen effektiven Primärrechtsschutz zu gewährleisten (vgl. Dreher/Hoffmann, in: Beck VergabeR, 4. Aufl. 2022, GWB § 134, Rn. 12 f.), mit der Einreichung des Nachprüfungsantrags durch die Antragstellerin erfüllt.

bb. Soweit die Antragstellerin Verstöße gegen Dokumentationspflichten nach § 8 VgV beanstandet, fehlt es – mit Ausnahme der Rüge der unzureichenden Dokumentation einer Preisaufklärung – mangels Darlegung eines Schadens an der Antragsbefugnis nach § 160 Abs. 2 GWB. Die Antragstellerin hat nicht dargetan, wie sich etwaige Dokumentationsmängel konkret auf ihre Rechtsstellung im Vergabeverfahren negativ ausgewirkt haben (vgl. Müller, in: MüKoEuWettbR, 4. Aufl. 2022, VgV § 8, Rn. 49).

cc. Im Hinblick auf die Rügen betreffend den Einsatz von A und die Rüge einer unzureichenden Preisaufklärung ist die Antragstellerin antragsbefugt. Sie hat ihr Interesse am Auftrag durch Angebotsabgabe kund- und ihren Schaden in Gestalt einer Verschlechterung der Zuschlagschancen hinreichend dargetan (vgl. Horn/Hofmann, in: Beck VergabeR, 4. Aufl. 2022, GWB § 160 Rn. 26, 33).

e. Die Antragstellerin hat den Nachprüfungsantrag innerhalb der Frist nach § 160 Abs. 3 Nr. 4 GWB eingereicht. Sie hat den Antrag am 13.05.2022, mithin innerhalb von 15 Kalendertagen nach der Mitteilung der Antragsgegnerinnen am 10.05.2022, der Rüge nicht abhelfen zu wollen, bei der Vergabekammer eingereicht.

2. Der Nachprüfungsantrag ist begründet. Die Antragstellerin ist durch die Entscheidung der Antragsgegnerinnen, der Beigeladenen den Zuschlag zu erteilen, in ihren Rechten verletzt, § 168 Abs. 1 S. 1 GWB. Die Beigeladene ist gemäß § 57 Abs. 1 Nr. 4 VgV aus dem Vergabeverfahren auszuschließen, da das Angebot der Beigeladenen aufgrund des Einsatzes von A gegen die Art. 44 ff. DSGVO verstößt und damit nicht den Anforderungen aus den Vergabeunterlagen entspricht.

a. Es kann nicht festgestellt werden, dass die Entscheidung der Antragsgegnerinnen, den Zuschlag auf das Angebot der Beigeladenen nicht wegen ungewöhnlich niedrigen Preises abzulehnen, fehlerhaft war.

Gemäß § 60 Abs. 3 S. 1 VgV darf der öffentliche Auftraggeber den Zuschlag auf ein Angebot ablehnen, wenn er nach der Prüfung gemäß den Absätzen 1 und 2 die geringe Höhe des angebotenen Preises oder der angebotenen Kosten nicht zufriedenstellend aufklären kann. Ein Anspruch eines Bieters auf den Ausschluss eines ungewöhnlich niedrig erscheinenden Angebots eines Konkurrenten kann nur in Fällen der Ermessensreduzierung auf null in Betracht kommen (Steck, in: Ziekow/Völlink, 4. Aufl. 2020, VgV § 60 Rn. 30 f.).

Die Angebote der Beigeladenen und der Antragstellerin liegen so nah beieinander, dass die Aufgreifschwelle von 20 % nicht überschritten ist (vgl. Lausen, in: Beck VergabeR, 3. Aufl. 2019, VgV § 60 Rn. 11). Dennoch haben die Antragsgegnerinnen eine Prüfung des Angebots der Beigeladenen gemäß § 60 Abs. 2 VgV vorgenommen. Sie forderten die Beigeladene mit Schreiben vom 06.04.2022 zur Offenlegung der Kostenkalkulation und zur Aufklärung des Unterschieds zwischen dem aktuellen Angebotspreis vom 25.03.2022 und dem (Erst-)Angebot vom 01.12.2021 auf sowie zur Erläuterung der Sicherstellung einer vertragsgerechten Leistungsausführung ohne nachträgliche Preisanpassung. Daraufhin nahm die Beigeladene mit Schreiben vom 08.04.2022 Stellung und legte die Angemessenheit der eigenen Preisbildung dar, insbesondere nahm sie Stellung zur Sicherstellung der Finanzierung und der Durchführung der vertraglichen Leistungen über die gesamte Vertragslaufzeit. Zudem begründete sie den Preisunterschied ihres jetzigen Angebots zum Angebot, das sie vor Rückversetzung des Vergabeverfahrens eingereicht hatte. Die Erklärungen der Beigeladenen stellten die Antragsgegnerinnen zufrieden.

Aufgrund der Prüfung der vorgelegten Unterlagen und der Erklärungen der Beigeladenen mit dem Ergebnis, dass der Preis nach Überzeugung der Antragsgegnerinnen einer ordnungsgemäßen Vertragserfüllung nicht entgegensteht, kann offenbleiben, ob die Beigeladene durch den angebotenen Preis ihre Kosten decken kann oder aus welchen – akzeptablen – Gründen sie eventuell ihre Leistungen zu einem nicht die Kosten deckenden Preis angeboten hat, was nicht per se zu einem unangemessenen Preis-Leistungs-Verhältnis führen würde (vgl. OLG Karlsruhe, Beschluss v. 09.07.2021, 15 Verg 5/21, nicht veröffentlicht). Denn es ist nicht ersichtlich, dass das gemäß § 60 Abs. 3 S. 1 VgV den Antragsgegnerinnen eingeräumte Ermessen so eingeengt war, dass sie das Angebot der Beigeladenen hätte ausschließen müssen (ebd.). Darauf, dass das Angebot der Beigeladenen angeblich nicht auskömmlich ist, kommt es nicht an. Ein Bieter ist in seiner Kalkulation grundsätzlich frei; ein öffentlicher Auftraggeber ist nicht verpflichtet, lediglich auskömmliche oder kostendeckende Preise zu akzeptieren und Bieter vor Verlustgeschäften zu bewahren (ebd.). Entscheidend hat zu sein, ob der öffentliche Auftraggeber Zweifel an einer ordnungsgemäßen Durchführung der Leistung hat (ebd.) Die Antragstellerin hat auch nicht konkret dargelegt beziehungsweise darlegen können, aus welchen Gründen der Preiskalkulation die Beigeladene nicht in der Lage sein kann, einen Vertrag mit den Antragsgegnerinnen auszuführen.

b. Das Angebot der Beigeladenen ist gemäß § 57 Abs. 1 Nr. 4 VgV aus dem Vergabeverfahren auszuschließen, da es aufgrund des Einsatzes der A gegen die Art. 44 ff. DSGVO verstößt und damit nicht den Anforderungen aus den Vergabeunterlagen entspricht.

Gemäß § 57 Abs. 1 Nr. 4 VgV werden Angebote ausgeschlossen, bei denen Änderungen oder Ergänzungen an den Vergabeunterlagen vorgenommen worden sind. Eine Änderung der Vergabeunterlagen liegt vor, wenn das Unternehmen von den Vorgaben der Vergabeunterlagen inhaltlich abweicht und im Ergebnis ein Aliud, also eine andere als die ausgeschriebene Leistung anbietet (Pauka/Krüger, in: MüKoEuWettbR, 4. Aufl. 2022, VgV § 57, Rn. 23). Der Begriff der Änderung setzt hierbei nicht voraus, dass das Unternehmen formell den Wortlaut der Vergabeunterlagen abändert, etwa durch Ergänzungen oder Streichungen (ebd.).

Die Beigeladene hat die Vergabeunterlagen im Sinne des § 57 Abs. 1 Nr. 4 GWB dergestalt abgeändert, dass sie – anders als in der Ausschreibung gefordert – keine mit dem anwendbaren Datenschutzrecht zu vereinbarende Leistungserbringung anbietet.

Die Nutzung von Diensten der A verstößt gegen anwendbares Datenschutzrecht, da sie nach den Art. 44 ff. DSGVO als unzulässige Datenübermittlung in ein Drittland zu qualifizieren ist.

Gemäß Art. 44 S. 1 DS-GVO ist jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, nur zulässig, wenn einer der besonderen Erlaubnisgründe der Art. 44 ff. DS-GVO vorliegt (vgl. Paal/Kumkar, MMR 2020, 733, 734). Zulässig ist eine Datenübermittlung in ein Drittland und an ausländische Organisationen hiernach insbesondere dann, wenn die Kommission in einem Beschluss das angemessene Schutzniveau des Drittlands festgestellt hat (sog. Angemessenheitsbeschluss, vgl. Art. 45 Abs. 1 DS-GVO), wenn der Verantwortliche oder Auftragsverarbeiter geeignete Garantien zum Schutz personenbezogener Daten vorgesehen hat (Art. 46 Abs. 1 DS-GVO) oder wenn ein Ausnahmetatbestand des Art. 49 DS-GVO vorliegt (Paal/Kumkar, MMR 2020, 733, 734).

In dem Einsetzen von A als Hosting-Dienstleister ist eine Übermittlung im Sinne der Art. 44 ff. DS-GVO zu sehen.

Der Begriff der Übermittlung ist als solcher in der DS-GVO nicht definiert (Beck, in: BeckOK DatenschutzR, 40. Ed. 01.11.2021, DS-GVO Art. 44, Rn. 14). Zwar findet er in den in Art. 4 Abs. 2 DSGVO aufgezählten Beispielen von Verarbeitungen Erwähnung. Danach umfasst die „Verarbeitung“ unter anderem die „Offenlegung durch Übermittlung“. Allerdings geht die DS-GVO nicht von einer Gleichsetzung der „Offenlegung durch Übermittlung“ im Sinne des Art. 4 Abs. 2 DS-GVO und der „Übermittlung“ im Sinne der Art. 44 ff. DS-GVO aus (Pauly, in: Paal/Pauly, DS-GVO, 3. Aufl. 2021, DS-GVO Art. 44, Rn. 3).

An einen Auftragsverarbeiter, der „Empfänger“ im Sinne des Art. 4 Nr. 9 DS-GVO, nicht aber Dritter im Sinne des Art. 4 Nr. 10 DS-GVO ist, werden Daten nicht „übermittelt“; sie werden ihm gegenüber stattdessen „offengelegt“ (Pauly, in: Paal/Pauly, DS-GVO, a.a.O.). Da die Art. 44 ff. DS-GVO aber ausschließlich von einer „Übermittlung“ und nicht etwa von einer „Übermittlung an einen Dritten“ sprechen, sind die Art. 44 ff. DS-GVO auch bei einer Offenlegung von personenbezogenen Daten an einen Auftragsverarbeiter in einem Drittland anwendbar (Pauly, in: Paal/Pauly, DS-GVO, a.a.O.).

Der Übermittlungsbegriff ist im Lichte des weit gefassten Wortlauts des Art. 44 S. 1 DS-GVO sowie der in Art. 44 S. 2 DS-GVO niedergelegten Anweisung in Bezug auf die Normanwendung auszulegen und damit umfassend zu verstehen: Übermittlung ist jede Offenlegung personenbezogener Daten gegenüber einem Empfänger in einem Drittland oder einer internationalen Organisation, wobei es weder auf die Art der Offenlegung, noch auf die Offenlegung gegenüber einem Dritten ankommt (Pauly, in: Paal/Pauly, DS-GVO, 3. Aufl. 2021, DS-GVO Art. 44, Rn. 4; Wissenschaftlicher Dienst des Deutschen Bundestags, DSGVO und Nutzung US-amerikanischer Cloud-Dienste, WD 3 – 3000 – 102/21, S. 8 f.).

Eine in diesem Zusammenhang berücksichtigungsfähige Offenlegung ist auch dann anzunehmen, wenn eine Einstellung personenbezogener Daten auf eine Plattform erfolgt, auf die von einem Drittland aus zugegriffen werden kann, und zwar unabhängig davon, ob der Zugriff tatsächlich erfolgt (Pauly, in: Paal/Pauly, DS-GVO, 3. Aufl. 2021, DS-GVO Art. 44, Rn. 5; Schröder, in: Kühling/Buchner, DS-GVO BDSG, 3. Aufl. 2020, DS-GVO Art. 44, Rn. 16). Dabei ist unerheblich, ob der Server, über den die Daten zugänglich gemacht werden, innerhalb der EU gelegen ist (ebd.; ähnlich auch VG Wiesbaden, Beschluss vom 01.12.2021 – 6 L 738/21.WI, BeckRS 2021, 37288, Rn. 40, das in dem von ihm entschiedenen Fall schlicht auf den Standort der Unternehmenszentrale in den USA abstellte). Für ein derartiges Verständnis streitet Art. 44 S. 2 DS-GVO: Eine Zugriffsmöglichkeit – etwa durch Einräumung von Zugriffsrechten – konstituiert ein latentes Risiko, dass eine unzulässige Übermittlung personenbezogener Daten stattfinden kann, ohne dass hierfür die in der DS-GVO normierten rechtlichen Grundlagen gegeben sind (Beck, in: BeckOK DatenschutzR, 40. Ed. 01.11.2021, DS-GVO Art. 44, Rn. 15).

Gemessen an diesen Maßstäben führt der von der Beigeladenen beabsichtigte Einsatz der A, eine europäische Gesellschaft, deren Muttergesellschaft die in dem USA ansässige B ist, zu einer unzulässigen Datenübermittlung in ein Drittland.

Die Beauftragung der A durch die Beigeladene basiert unter anderem auf dem „(…) GDPR Data Processing Addendum“. Diese Vereinbarung enthält unter Ziffer (…) eine Klausel, die die Vertraulichkeit von Kundendaten zum Gegenstand hat („…“). Nach dieser Klausel darf auf die Kundendaten seitens A weder zugegriffen noch dürfen diese verwendet oder an Dritte weitergegeben werden, es sei denn, dies ist zur Aufrechterhaltung oder Bereitstellung der Dienste oder zur Einhaltung von Gesetzen oder wirksamen und rechtskräftigen Anordnungen staatlicher Stellen erforderlich. Unter Ziffer (…) findet sich eine Klausel, in der es um die Übermittlung personenbezogener Daten geht und nach welcher Kundendaten nicht aus der gewählten Region heraus übermittelt werden, es sei denn, dies ist erforderlich, um die Dienstleistung zu erbringen oder um einer gesetzlichen oder rechtskräftigen Anordnung einer staatlichen Behörde nachzukommen. Das das Vertragswerk „(…) GDPR Data Processing Addendum“ ergänzende „Supplementary Addendum (…)“ enthält in Ziffer (…). eine Klausel, wonach A sich verpflichtet, jede zu weit gehende oder unangemessene Anfrage einer staatlichen Stellen einschließlich solcher Anfragen, die im Widerspruch zum Recht der EU oder zum geltenden Recht der Mitgliedsstaaten stehen, anzufechten.

Ziffer (…) und (…) des „(…) GDPR Data Processing Addendum“ sind generalklauselartig gestaltet und eröffnen sowohl staatlichen als auch privaten Stellen außerhalb der EU und insbesondere in den USA im Rahmen der im konkreten Fall jeweils anwendbaren vertraglichen oder gesetzlichen Ermächtigungen eine Möglichkeit, in bestimmten Situationen auf bei der A gespeicherte Daten zuzugreifen. Das durch die Implementierung dieser Klauseln in das „GDPR Data Processing Addendum“ bewirkte latente Risiko eines Zugriffs reicht nach den geltenden datenschutzrechtlichen Grundsätzen aus, um eine datenschutzrechtlich unzulässige Übermittlung zu bejahen. Es kommt insofern nicht darauf an, ob und wie naheliegend der Eintritt der in den beiden Klauseln niedergelegten Umstände, die für einen Zugriff im Einzelfall erforderlich sind, ist. Schließlich kann sich das latente Risiko jederzeit realisieren. Die Beigeladene gibt durch die Eingehung der Vereinbarung mit A die Einflussmöglichkeiten im Hinblick auf die der A anvertrauten Daten jedenfalls partiell aus der Hand.

Es kann hierbei dahinstehen, wo die Server von A ihren physischen Standort haben. Auch die Klausel in Ziffer (…) des „Supplementary Addendum (…)“ lässt die datenschutzrechtliche Unzulässigkeit der Vereinbarung – und insbesondere der Regelungen in Ziffer (…) und (…) des „(…) GDPR Data Processing Addendum“ nicht entfallen. Die Übernahme einer Verpflichtung durch A, zu weit gehende oder unangemessene Anfragen staatlicher Stellen einschließlich solcher Anfragen, die im Widerspruch zum Recht der EU oder zum geltenden Recht der Mitgliedsstaaten stehen, anzufechten, beseitigt das latente Risiko eines Zugriffs durch ebendiese Stellen nicht. Gleiches gilt für die von der Beigeladenen eingesetzte Verschlüsselungstechnik, wobei die Ausführungen der Beigeladenen und Antragsgegnerinnen zu der konkreten Ausgestaltung der Verschlüsselungstechnik ohnehin im Nachprüfungsverfahren unberücksichtigt bleiben müssen. Denn Schriftsätze, die Beteiligte im Vergabenachprüfungsverfahren mit der Maßgabe zu den Akten reichen, dass sie ganz oder teilweise den übrigen Beteiligten nicht zur Kenntnis gelangen sollen (sog. „geschwärzte“ Unterlagen), werden insoweit nicht Gegenstand der Akten der Vergabekammer. Im Hinblick auf das Grundrecht auf rechtliches Gehör (Art. 103 Abs. 1 GG) der übrigen Beteiligten bleiben diese Unterlagen bei der Verhandlung und Entscheidung der Vergabekammer unberücksichtigt (vgl. KG, Beschluss v. 18.05.2022, Verg 7/21, IBRRS 2022, 1906).

Hier liegt kein besonderer Erlaubnisgrund nach Art. 44 ff. DS-GVO vor. So fehlt es hier an einem Angemessenheitsbeschluss im Sinne des Art. 45 Abs. 1 DS-GVO. Auch Art. 46 Abs. 2 c), d) DS-GVO greift hier nicht ein. Standarddatenschutzklauseln im Sinne dieser Vorschrift sind nicht geeignet, Übermittlungen per se zu legitimieren; vielmehr bedarf es insofern einer Einzelfallprüfung (Jungkind/Raspé/Schramm, NZG 2020, 1056, 1057; Pauly, in: Paal/Pauly, DS-GVO, 3. Aufl. 2021, DS-GVO Art. 46, Rn. 12a ff.). Diese führt – wie dargelegt – zur Annahme der datenschutzrechtlichen Unzulässigkeit. Ein Ausnahmetatbestand nach Art. 49 DS-GVO ist hier ebenfalls nicht gegeben.

c. Im Übrigen ist das Angebot der Beigeladenen nicht schon deshalb nach § 57 Abs. 1 Nr. 4 VgV auszuschließen, weil die von der Beigeladenen angebotene Form der Leistungserbringung gegen Ziffer 21 des Leistungsverzeichnisses verstößt. Ziffer 21 des Leistungsverzeichnisses stellt eine Anforderung an Datenschutz und IT-Sicherheit dar und gibt vor, dass Daten ausschließlich in einem EU- beziehungsweise EWR-Rechenzentrum, bei dem keine Subdienstleister oder Konzernunternehmen in Drittstaaten ansässig sind, verarbeitet werden. Diese Vorgabe ist ausweislich des Leistungsverzeichnisses lediglich ein Bewertungskriterium und kein Ausschlusskriterium. Zwar nutzt die Beigeladene für die Erbringung der Dienstleistung die Server von A, eine Tochtergesellschaft der B, die ihren Sitz in den USA hat; allerdings begründet die Nichterfüllung keinen Ausschlussgrund nach § 57 Abs. 1 Nr. 4 VgV. Denn es handelt sich bei der Ziffer 21 des Leistungsverzeichnisses um keine Vorgabe, von der abgewichen werden kann. Folglich ist eine Änderung der Vergabeunterlagen mangels diesbezüglicher Vorgaben von vornherein ausgeschlossen. Die Nichterfüllung der Ziffer 21 schlägt sich lediglich nachteilig in der Bewertung nieder.

III.

Die Entscheidung über die Verfahrensgebühren beruht auf § 182 Abs. 1, 2 und 3 GWB. Bei der Verfahrenskostenfestsetzung nach § 182 Abs. 1 GWB i. V. m. §§ 3, 9 VwKostG wird ausgehend von dem Gebührenrahmen des § 182 Abs. 2 GWB unter Berücksichtigung des personellen und sachlichen Aufwands der Kammer sowie der wirtschaftlichen Bedeutung des Auftrags der Gebührentabelle des Bundes folgend eine Gebühr in Höhe von 2.850,00 € als angemessen festgesetzt. Die Antragsgegnerinnen zu 1) und zu 2) sowie die Beigeladene haben die Kosten des Verfahrens als Gesamtschuldner zu tragen. Nach § 182 Abs. 3 S. 1 GWB hat ein Beteiligter die Kosten zu tragen, soweit er im Verfahren unterliegt. Nach § 182 Abs. 3 S. 2 GWB haften mehrere Kostenschuldner als Gesamtschuldner. Die Antragsgegnerinnen zu 1) und zu 2) sowie die Beigeladene unterliegen in gleichem Umfang, weil sie alle die Zurückweisung des Nachprüfungsantrags beantragt haben. Dies hat gemäß § 182 Abs. 3 S. 1 und 2 GWB zur Folge, dass die Antragsgegnerinnen und die Beigeladene als Gesamtschuldner die Gebühren und Auslagen der Vergabekammer zu tragen haben.

Für die Erstattung der zur zweckentsprechenden Rechtsverfolgung notwendigen Aufwendungen der Antragstellerin im Verfahren vor der Vergabekammer ordnet § 182 Abs. 4 GWB, der insoweit heranzuziehen ist, dagegen eine gesamtschuldnerische Haftung nicht an (vgl. BGH, Beschluss v. 26.09.2006, X ZB 14/06, NVwZ 2007, 240, 246). Hinsichtlich der notwendigen Auslagen kommt eine Kostentragung nur in Betracht, „soweit“ ein Beteiligter unterliegt (§ 182 Abs. 4 S. 1 GWB). Dies führt dazu, dass der öffentliche Auftraggeber und der ihn im Nachprüfungsverfahren vor der Vergabekammer unterstützende Beigeladene für die Kosten des obsiegenden Bieters nur als Teilschuldner haften (vgl. BGH a.a.O.). Da die Antragsgegnerinnen und die Beigeladene sich mit identischem Rechtsschutzziel und weitgehend gleicher Begründung gegen den Nachprüfungsantrag gewandt haben, haben sie deshalb die zur zweckentsprechenden Rechtsverfolgung im Verfahren vor der Vergabekammer notwendigen Aufwendungen der Antragstellerin zu gleichen Kopfteilen zu tragen (vgl. BGH a.a.O.), also zu je einem Drittel.

Entsprechend § 80 Abs. 3 S. 2 VwVfG ist außerdem zu bestimmen (vgl. § 182 Abs. 4 S. 4 GWB), dass die Hinzuziehung des von der Antragstellerin mit der Vertretung im Nachprüfungsverfahren vor der Vergabekammer betrauten Verfahrensbevollmächtigten notwendig war. Die Hinzuziehung eines Bevollmächtigten durch die Antragstellerin war für notwendig zu erklären, da ein Antragsteller sich regelmäßig eines Verfahrensbevollmächtigten für das Nachprüfungsverfahren bedienen darf (Krohn, in: Beck VergabeR, 4. Aufl. 2022, GWB § 182, Rn. 63; VK Baden-Württemberg, Beschluss vom 05.08.2021, 1 VK 37/21, juris, Rn. 123). Eine Ausnahme von diesem Grundsatz ist vorliegend nicht ersichtlich.

Gem. § 182 Abs. 4 Satz 5 GWB findet ein gesondertes Kostenfestsetzungsverfahren nicht statt.