Vergabe-Ausschluss von Bietern die US-Unternehmen einsetzen

Die Angebote von US-Clouddienste-Anbietern, ausschließlich Serverstandorte innerhalb der EU nutzen zu können, erfreuen sich bei vielen europäischen Unternehmen großer Beliebtheit. Dass sich durch den Serverstandort allein ein Drittstaatentransfer nicht ausschließen lässt, bekräftigte nunmehr die Vergabekammer Baden-Württemberg in einer aktuellen Entscheidung (1 VK 23/22) und schloss die EU-Tochter eines US-Cloud-Diensts von einem Vergabeverfahren aus.
 
Die Speicherung von personenbezogenen Daten auf Servern in der EU reicht nach Ansicht des Gerichts für sich genommen nicht aus. Bereits die Möglichkeit, dass auf die Daten durch eine nichteuropäische Muttergesellschaft der Serverbetreiber zugegriffen werden kann, führt zu einer „Weitergabe“ im Sinne der DSGVO. Diese Weitergabe erklärte die Vergabekammer im konkreten Fall für unzulässig – trotz Verwendung der Standarddatenschutzklauseln (SCC).
 
Betroffene Unternehmen sollten daher zwingend prüfen, welche Maßnahmen sie zusätzlich zur Verwendung der SCC ergreifen können bzw. müssen, um einen Datentransfer in die USA rechtmäßig zu gestalten.