News: Planung, Ausschreibung, Vergabe

Die Verarbeitung personenbezogener Daten bedarf auch im Vergabeverfahren einer gesetzlich normierten Erlaubnis. Liegt eine solche nicht vor und werden personenbezogene Daten dennoch verarbeitet, droht eine Geldbuße auf Grund unrechtmäßiger Verarbeitung der Daten.

Zu unterscheiden ist zwischen „einfachen“ und „besonderen“ personenbezogenen Daten. Einfache personenbezogene Daten sind alle Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Dies sind beispielsweise Name, Adresse, Geburtsort oder -datum und E-Mail-Adresse oder auch Telefon- oder Ausweisnummer und Autokennzeichen.

Die DSGVO findet demnach keine Anwendung bei Daten über juristische Personen. Auch rein unternehmensbezogene Daten wie Betriebs- oder Geschäftsgeheimnisse unterliegen nicht dem Schutz der DSGVO, sind jedoch selbstverständlich im Rahmen des Vergabeverfahrens mit Vertraulichkeit zu behandeln.

Im Rahmen von Eignungsprüfungen sind vom Bieter regelmäßig auch Daten über seine technische und berufliche Leistungsfähigkeit anhand von Referenzen darzulegen. Der Inhalt einer solchen Referenz kann auch die Nennung von natürlichen Personen sein. Hierdurch können möglicherweise sogar personenbezogene Daten Dritter vom Bieter übermittelt werden. Hier ist auch strikt auf die Einhaltung der Bestimmungen der DSGVO zu achten.

Unter besonderen personenbezogenen Daten sind beispielsweise genetische oder biometrische Daten zu verstehen. Diese bedürfen einem stärkeren Schutz als die einfachen Daten. Für Vergabeverfahren sind beispielsweise Gesundheitsdaten (körperliche und geistige Gesundheit einer natürlichen Person) bzw. Daten über strafrechtliche Verurteilungen und Straftaten denkbar. An Letztere kann beispielsweise die Vorgabe geknüpft sein, dass diese nur unter behördlicher Aufsicht vorgenommen werden dürfen.

Damit die DSGVO ihren Schutz entfalten kann, müssen Daten erst einmal verarbeitet werden. Hierunter versteht man mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgänge, beispielsweise das Erfassen, die Organisation, das Ordnen, die Speicherung, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder jegliche andere Formen der Bereitstellung sowie das Löschen bzw. Vernichten von Daten.

Nach den in der DSGVO geregelten Vorgaben dürfen im Vergabeverfahren die Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und verarbeitet werden. Dies bedeutet, dass die übermittelten Daten nur für ein bestimmtes Vergabeverfahren wiederverwendet werden dürfen. Sobald dieser Zweck entfällt, sind die personenbezogenen Daten zu löschen. Eine Ausnahme bildet die Speicherung dieser Daten auf Grund steuerlicher Vorgaben oder vergaberechtlicher Dokumentationspflichten. Diese Dokumentationspflichten verdrängen die datenschutzrechtlichen Bestimmungen, womit die eingereichten Angebote samt Anlagen wenigstens bis zu drei Jahre ab Zuschlagserteilung aufzubewahren sind.