Jusletter IT

Der öffentliche Auftraggeber (in der Folge kurz: AG) ist seit Inkrafttreten des Bundesvergabegesetzes 2018 (in der Folge kurz: BVergG 2018) ¹ auf Grundlage der Vergaberichtlinie 2014/24 verpflichtet die Kommunikation bei Vergabeverfahren einschließlich der Angebotslegung im Oberschwellenbereich elektronisch durchzuführen². Die Informationen können elektronisch übermittelt oder bereitgestellt werden³. Dabei kann sich der AG elektronischer Vergabeplattformen bedienen. Für die Bieter ist es erforderlich, sich auf den entsprechenden Vergabeplattformen mit ihren Kontaktdaten zu registrieren. Das Inkrafttreten der Datenschutz-Grundverordnung (in der Folge kurz: DSVGO) ⁴ mit 25. Mai 2018 stellt den AG bei Verwendung und Verwaltung registrierter Bieterdaten auf verwendeten Vergabeplattformen vor neue Herausforderungen.

Dieser Beitrag soll den Umgang mit personenbezogenen Daten⁵ auf Vergabeplattformen, welche vom jeweiligen Bieter bzw. dessen Mitarbeiterinnen und Mitarbeitern zur Verfügung gestellt werden, unter Einbeziehung von Vorgaben des BVergG 2018 und der Datenschutz-Grundverordnung im Hinblick auf die Datenverwaltung diskutieren. Wer für die Datenwartung und/oder Verwaltung von personenbezogenen Daten auf Vergabeplattformen zuständig sein kann, welche geeigneten Maßnahmen oder Hilfsmittel zur Anwendung kommen könnten und welchen Beitrag der AG leisten kann, soll nachfolgend diskutiert werden.

Regelungen zur Verwaltung und Verwendung von personenbezogenen Daten auf, vom AG, verwendeten Vergabeplattformen werden sowohl im Bundesvergabesetz als auch in der Datenschutz-Grundverordnung verbindlich geregelt.

Für den AG ist es seit Inkrafttreten des Bundesvergabegesetzes mit 21. August 2018 verpflichtend, Vergabeverfahren im Oberschwellenbereich in elektronischer Form durchzuführen. Damit wird den Vorgaben der Vergabe RL 2014/24 entsprochen, die die zwingende elektronische Vergabe im OSB per 18. Oktober 2018 vorsehen. Bereits mit der Anwendung des BVergG 2006, RL 2014/24 war für den AG verpflichtend, Bekanntmachungen elektronisch zu veröffentlichen und die Kommunikation im Vergabeverfahren elektronisch durchzuführen. Zum Einsatz kommen dabei elektronische Vergabeplattformen über welche die Ausschreibungsunterlagen elektronisch zur Verfügung gestellt werden, die Kommunikation abgewickelt wird und die Teilnahmeanträge sowie die Angebote elektronisch abgegeben werden und das gesamte Vergabeverfahren dokumentiert und archiviert wird. Die gesamte Kommunikation, wie z.B. Verständigungen an die Bieter über etwaige Änderungen im Verfahren selbst oder der zur Verfügung-Stellung weiterer Unterlagen, Anfragen und Fragebeantwortungen während der Fragefrist oder Bieterverständigungen über Zuschlagsentscheidungen und Zuschlagserteilungen im Vergabeverfahren, werden dabei ausschließlich über die Vergabeplattform durchgeführt um eine lückenlose Dokumentation zu gewährleisten.

Verpflichtend einzuhalten ist nunmehr die elektronische Abgabe von Teilnahmeanträgen und Angeboten bei Vergabeverfahren AG im Oberschwellenbereich. Dabei hat der AG nähere Festlegungen hinsichtlich zu beachtender Anforderungen zu treffen⁶. Grundsätzlich ist darauf zu achten, dass das Vergabeverfahren anonym abgewickelt wird und auch die Kommunikation anonymisiert stattfindet. Mit Inkrafttreten des BVergG 2018 ist für den ausschreibenden AG, je nach Art des Vergabeverfahrens, auf der Vergabeplattform nicht mehr ersichtlich, welche Bieter sich für ein Vergabeverfahren interessieren oder ein Angebot abgegeben haben. Der Bieter lädt dabei seinen Teilnahmeantrag oder sein Angebot auf der Vergabeplattform hoch und mit seiner elektronischen Signatur gibt er seinen Teilnahmeantrag oder sein Angebot ab. Erst nach Ablauf der Angebotsfrist, zum Öffnen der Angebote wird für den Ausschreibenden ersichtlich, welche Bieter ein Angebot gelegt haben.

Das Datenschutzgesetz⁷ findet Anwendung wenn personenbezogene Daten verwendet werden. Jeder hat Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht⁸. Im Weiteren wird ausgeführt, dass das Recht auf Auskunft über eine Datenverarbeitung⁹ bzw. Datenweiterverarbeitung und auf Richtigstellung unrichtiger Daten sowie das Recht auf Löschung unzulässig verarbeiteter Daten anzuwenden ist. Geregelt wird auch die Geheimhaltung¹⁰ von personenbezogenen Daten durch Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter.

Das Inkrafttreten der Datenschutz-Grundverordnung am 25. Mai 2018 stellt den AG mit der Anwendung der DSGVO vor weitere Herausforderungen, wie z.B. die Verwendung bekanntgegebener Kontaktdaten. Die Verwendung von Bieterdaten, personenbezogenen Daten, und deren weitere Verarbeitung, z.B. Nachfragen an Referenzauftraggeber oder Abfrage der Verwaltungsstrafevidenz, haben nach den Richtlinien der DSGVO zu erfolgen. Ausgehend von einem Vorrang des DSG/DSGVO vor dem allgemeinen Persönlichkeitsrechts liege dann keine Lücke im Schutzumfang vor¹¹.

Die Verknüpfung der Anwendungsbereiche der Datenschutz-Grundverordnung und des Bundesvergabegesetzes erfolgen hier im Bereich der Datenregistrierung und Datenverwaltung von Bieterkontaktdaten auf Vergabeplattformen sowie der elektronischen Kommunikation als auch bei Abfragen in der Verwaltungsstrafevidenz oder Nachfragen bei Referenzauftraggeber. Nun stellt sich die Frage wer für die Datenwartung und die Datenverwaltung in welchem Umfang zuständig sein könnte. Ist es der Bieter, der seine Daten bei der Registrierung auf der Plattform bekannt gibt oder ist es dem AG zuzumuten, ständig bei den Bietern nachzufragen ob die jeweiligen Daten aktuell sind. Die Frage der Zulässigkeit einer Verwendung der Bieterdaten von Abfragen bei entsprechenden Auskunftsstellen, z.B. Verwaltungsstrafevidenz, Referenzauftraggeber wird dabei im Weiteren aufgeworfen. Jedenfalls hat der Bieter der Nachweispflicht der wirtschaftlichen und finanziellen Leistungsfähigkeit¹² gemäß Anforderungen des AG im Vergabeverfahren nachzukommen.

Nicht im Einflussbereich eines AG liegt die Verwendung von Daten durch den Plattformbetreiber einer vom AG verwendeten Vergabeplattform. Jedenfalls unterliegt auch der Plattformbetreiber den Bestimmungen des DSG 2018 und der DSGVO in Bezug auf die Verwendung personenbezogener Daten. Ein Bewusstsein für Risiken mit Online-Plattformen¹³ soll dabei geschaffen werden. Erläutert wird, dass der Plattformanbieter als Vermittler¹⁴ angesehen werden kann. Wird diese Auslegung auf Vergabeplattformen übertragen, so kann in diesem Zusammenhang eher von einer Dienstleistungsplattformen¹⁵ ausgegangen werden, für welche der AG dem Betreiber für die Wartung, Weiterentwicklung und Hotline eine Vergütung entrichtet.

Sichtet der AG die vorhandenen Daten auf der Vergabeplattform¹⁶ (Datenbank¹⁷), welche die Bieter bei der Registrierung angegeben haben, so kann festgestellt werden, dass die Betreuung einer Angebotsakquise in einer Firmen durch mehrere Mitarbeiter eines potentiellen Bieters erfolgt. Augenscheinlich melden sich mehrere Mitarbeiter eines Unternehmens mit persönlichen Firmenkontaktdaten an, um die Ausschreibungsunterlagen von der Vergabeplattform down zu loaden. Das bedeutet, es werden die persönlichen Firmen-E-Mail-Adressen und Telefonnummer mit der jeweiligen Durchwahlnummer bekanntgegeben. Für den AG wird nicht ersichtlich inwieweit die bekanntgegebenen Bieterdaten von den Bietern selbst aktuell gehalten werden. Hinsichtlich der Qualität der bekanntgegebenen Daten sind die Aktualität sowie der Wahrheitsgehalt zu beachten¹⁸.

Die Kommunikation im Vergabeverfahren erfolgt ausschließlich über jenen Kontakt, welcher beim Download der Ausschreibungsunterlagen vom Bieter selbst angelegt und bekanntgegeben wurde. Eine wesentliche Einschränkung bei Bekanntgabe einer personenbezogenen E-Mail-Adresse eines Bieters kann sein, dass bei Abwesenheit, diese kann urlaubsbedingt, krankheitsbedingt etc. sein, Mitteilungen nicht entsprechend weitergeleitet werden und somit vom Bieter nicht weiterbearbeitet werden können. Dies kann dazu führen, dass relevante Informationen oder Ausschreibungsänderungen erst verspätet bearbeitet werden können und im Weiteren die verbleibende Bearbeitungszeit knapp bemessen sein kann. Eine Möglichkeit wäre in diesem Zusammenhang, dass der Bieter im eigenen Haus eine eigene E-Mail-Adresse für Ausschreibungen einrichtet um sicher zu stellen, dass alle relevanten Mitteilungen eines Vergabeverfahrens zu den jeweiligen Sachbearbeitern weitergeleitet werden. Dies liegt jedoch ausschließlich im Einflussbereich eines potentiellen Bieters wie der Umgang mit der Vergabeplattform in der Organisation geregelt wird.

Der AG verwaltet auf seiner Vergabeplattform eine größere Anzahl Kontaktdaten von Bietern aus allen Vergabeverfahren. Festgestellt werden konnte, dass nicht alle personenbezogenen E-Mail-Adressen aktuell sind. Dies kann aufgrund des Ausscheidens von Mitarbeitern aus dem Unternehmen oder des Wechsels in andere Aufgabengebiete der Fall sein. In solchen Fällen häufen sich die Registrierungen von Kontaktdaten eines Unternehmens auf der Vergabeplattform, da die betroffenen Mitarbeiter ihre personenbezogene E-Mail-Adresse nicht immer löschen. Viele dieser Adressen füllen damit den Datenfriedhof¹⁹ auf Vergabeplattformen und Datenbanken.

Eine wichtige Fragestellung ergibt sich nun aus der Feststellung, dass Bieterdaten nicht aktuell gehalten werden, wie der potenzielle Bieter motiviert werden kann seine Daten zu aktualisieren.

Der Begriff Motivation ist abgeleitet aus dem lateinischen «movere» was mit «bewegen» übersetzt werden kann²⁰. Motivation ist ein Sammelbegriff für vielerlei psychische Prozesse und Effekte²¹. Demnach ist Motivation das Produkt aus individuellen Merkmalen von Menschen, ihren Motiven, und den Merkmalen einer aktuell wirksamen Situation, in der Anreize auf die Motive einwirken und sie aktivieren²² und gibt nach Nerdinger Antworten auf die Frage nach dem «Warum» bzw. dem «Wozu» menschlichen Verhaltens, d.h. es werden damit Ursachen und Ziele des Verhaltens erklärt. Für Mayerhofer/Pernkopf²³ bezieht sich Motivation auf Form, Richtung, Intensität und Dauer des Verhaltens. Dabei sind Motive angenommene Ursachen zur Erklärung individuellen Verhaltens. Motive sind dabei situations- und personenabhängig zu betrachten. Unterschiedliche Personen können im gleichen Umfeld, in der gleichen Situation andere persönliche Motive zur Motivierung haben. Dies lässt sich auch auf die genannten anderen Variablen – Umfeld und Situation anwenden.

Unterschieden wird in intrinsische und extrinsische Motivation. Das Verhalten von Menschen wird dabei nach auf innere oder äußere Gründe zurückgeführt²⁴. Bei extrinsischer Motivation kommen die angenommenen Verhaltensmusterprimär aus der Umwelt, hierbei ist nicht das Verhalten selbst, das motiviert, sondern äußere Umstände. Die intrinsische Motivation umfasst dabei Spaß an der Tätigkeit, Freude an der Leistung, starke persönliche Werthaltung oder klare eigene Ziele. Weiters wird ausgeführt, dass die Kraft für das Verhalten aus dem Tun selbst kommt, aus dessen Beitrag zur Herstellung eines persönlich als «befriedigend» gesehen Zustands. Intrinsische Verhalten erfolgt um seiner selbst willen oder aufgrund eng damit zusammenhängender Zielzustände und ist damit nicht bloßes Mittel zu einem andersartigen Zweck²⁵.

Seitens des AG sind die Möglichkeiten einer Motivation der registrierten Datenbanknutzer zur Aktualisierung der Daten bzw. zur dauerhaften Wartung der eigenen Daten beschränkt. Gelingt es dem AG Wege zu beschreiten und Ziele zu erreichen, den Datenfriedhof einzudämmen und dabei Anreiz für den Datenbanknutzer zu geben und die eigenen Erwartungen zu erfüllen? Eine extrinsische Motivation kann der AG nicht anbieten. Für eine intrinsische Motivation sind die Nutzer nicht persönlich bekannt. Somit kann der AG nur motiviertes Handeln auf Seite des Datenbanknutzers anregen, was wiederum bedeutet, auf zielorientierte Prozesse der Motivation eines Menschen, unter Berücksichtigung seiner momentanen Lage, Einfluss zu nehmen²⁶. Eine Motivation für einen potentiellen Bieter und Nutzer der Datenbank ist sein eigener sorgfältiger Umgang mit seinen bekanntgegebenen Daten im Sinne des DSGVO. Einen weiteren Gesichtspunkt von Motivation stellen personifizierte E-Mail-Adressen dar. Angeführt werden kann im Sinne der DSGVO und auch des BVergG, dass die Verwendung solcher Adressen zu Behinderungen in der Informationsübermittlung, z.B. durch Nicht-Erreichbarkeit über persönliche E-Mail-Adressen, beitragen können. Der Bieter soll in diesem Fall sensibilisiert werden, um in der eigenen Organisation für diesen Bereich Lösungen anzustreben.

Der Datenbanknutzer kann zur Einhaltung der Bestimmungen der DSGVO und somit zum Schutz seiner eigenen Daten und Aktualisierung angehalten werden. Es erweist sich als sinnvoll, die registrierten Kontaktdaten von den jeweiligen Bietern überprüfen und gegebenenfalls nicht mehr aktuelle, veraltete Daten löschen zu lassen. Mit dieser Unterstützung ist es dem AG besser möglich den Bestimmungen der DSGVO²⁷ zu entsprechen. Erfährt der AG durch den Nutzer keine solche Unterstützung, erscheint eine sinnvolle Handhabung dieses Vorganges insofern überlegenswert, da ein Aussortieren nicht mehr aktueller Kontakte einen vorhandenen Datenfriedhof verkleinert kann. Eine schriftliche Aufforderung an die Bieter sollte jedenfalls über die Plattform nachweislich versendet werden, um dem Bieter die Gelegenheit zu geben, seine Daten zu aktualisieren und gegebenenfalls selbst zu löschen.

Kommt der Bieter dieser Aufforderung nicht nach, könnte eine automatisierte Löschung von Bieterkontakten, welche selbstständig durch eine Routine des Systems der Vergabeplattform ausgeführt wird, ein Lösungsansatz sein. Vorgegebene Spielregeln für eine automatisierte Löschung müssten natürlich vorweg den Bietern mitgeteilt werden oder an vorhandene Kontakte eine Mitteilung versendet werden, dass neue Spielregeln zum Einsatz kommen werden, um registrierte Bieter die Möglichkeit zu geben, seine Kontakte selbst zu verwalten. Ein Ansatz könnte dabei sein, dass während einer bestimmten Zeitspanne, beispielsweise eines Jahres, eine systemautomatisierte Verständigung an registrierte Bieter versandt wird, in der die Löschung des Kontaktes angekündigt wird. Bei Nichtreaktion könnte eine ein- oder zweimaliger Erinnerung folgen und danach der Kontakt aus der Datenbank gelöscht werden. Dem Bieter entstünde dadurch kein Schaden, da er sich jederzeit wieder registrieren kann. Dem AG würde eine solche Vorgehensweise jedoch helfen, keinen allzu großen Datenfriedhof verwalten zu müssen.

Angeführt werden kann in diesem Zusammenhang auch, dass die Anonymität von Bietern besser gewährleistet werden kann, da nicht aktuelle Bieterregistrierungen gelöscht werden könnten. Im Weiteren kann auch eine versehentliche Verwendung eventuell nicht aktueller Bieterdaten noch besser vermieden werden. Da während der gesamten Dauer eines Vergabeverfahrens für den AG die Sorgfaltspflicht zur Wahrung der Bieter-Anonymität²⁸ besteht.

Der AG hat jedoch dem Bieter jederzeit Auskunft darüber zu erteilen, wie bekanntgegebene Daten verarbeitet und weiterverwendet werden. Kommt der AG dem Auskunftsersuchen nicht nach, enthält die DSGVO entsprechende Regelungen zu deren Durchsetzung²⁹. Bei Verstoß gegen das DSG / die DSGVO kann jede betroffene Person bei der Datenschutzbehörde Beschwerde³⁰ einlegen, wenn sie der Ansicht ist, dass die personenbezogenen Daten nicht im Sinne der DSGVO verarbeitet wurden. Nach österreichischer Rechtlage des DSG entsprechend besteht ein Widerspruchsrecht nach § 28 Abs DSG, welches auch ohne Begründung des Betroffenen einen Löschungsanspruch vorsieht³¹. Die Frage, inwieweit hierbei der Bieter selbst, durch die vernachlässigte Wartung seiner Daten, in die Verantwortung genommen werden kann, wird in dieser Diskussion nicht beantwortet und kann in einer weiteren Analyse mit entsprechenden Fragestellungen aufgearbeitet werden.

Überlegung, aufgrund der Motivationslosigkeit von Datenbanknutzern und Bietern ein Anreizsystem zu entwickeln erscheint im ersten Anlauf als zu weit gegriffen. Im Sinne der beschriebenen Anwendungsbereiche von BVergG 2018 und neuer DSGVO sowie der geführten Diskussion über Motive und Motivation erscheint es sinnvoll Datenfriedhöfe auf Vergabeplattformen mit entsprechenden Maßnahmen einzudämmen. Angesprochen werden soll hier der Datenbanknutzer und Bieter, seine sensiblen Daten³² im Sinne der DSVGO selber aktuell zu halten und veraltete Daten zu löschen. Ist der Bieter nicht zu motivieren seine Datensätze selbst zu verwalten, kann als weiterer Lösungsansatz eine technische Lösung angedacht werden.

Der vorgestellte Lösungsansatz einer automatisierten Löschung von Kontaktdaten registrierter Bieter, welche über einen bestimmten Zeitraum nicht mehr verwendet wurden, erscheint als einfach umsetzbar und sinnvoll anwendbar. Dabei sollten die Bieter selbst eine entsprechende Verwaltung und Aktualisierung ihrer bekanntgegeben Kontaktdaten bewerkstelligen. Wird eine solche vom AG vorzugebende Vorgehensweise von den registrierten Bietern nicht entsprechend umgesetzt, könnte eine automatisierte Löschung von nicht mehr verwendeten Bieterkontaktdaten eine Lösung zur Vermeidung von Datenfriedhöfen bei Vergabeplattformen eines AG sein.