DSGVO in der Markterkundung öffentlicher Auftraggeber

Warum auch die frühe Phase vor der Vergabe datenschutzrechtlich relevant ist

Die Durchführung einer Markterkundung ist für viele öffentliche Auftraggeber ein wichtiges Instrument zur Vorbereitung eines späteren Vergabeverfahrens. Häufig unbeachtet bleibt dabei jedoch die Frage: Welche datenschutzrechtlichen Anforderungen sind bereits in dieser frühen Phase zu beachten?

Denn auch ohne förmliches Vergabeverfahren kann es zu einer Verarbeitung personenbezogener Daten kommen, mit entsprechenden rechtlichen Implikationen, einschließlich der Einhaltung rechtlicher Vorgaben und eines klaren Bezugs zum späteren Vergabeverfahren und dem konkret vorbereiteten Auftrag durch den Auftraggeber und die Vergabestelle sowie der typischen Konstellationen mit beteiligten Unternehmen im Umfeld von Ausschreibungen.

Markterkundung ist kein Vergabeverfahren – aber trotzdem rechtlich relevant

Zunächst ist zu betonen: Die Markterkundung ist kein Teil des förmlichen Vergabeverfahrens. Die Zulässigkeit und der rechtliche Rahmen der Markterkundung sind inzwischen ausdrücklich geregelt – im Unterschwellenbereich in § 20 UVgO und im Oberschwellenbereich in § 28 VgV. Beide Vorschriften betonen, dass Auftraggeber den Markt sondieren dürfen, um ein Vergabeverfahren sachgerecht vorzubereiten, dabei aber die Grundsätze der Transparenz, Gleichbehandlung und Wettbewerbsneutralität zu wahren haben. Sie dient der Vorfeldklärung, etwa zur Prüfung der Markttiefe, technischen Umsetzbarkeit oder zur Vorbereitung einer sachgerechten Leistungsbeschreibung, die Grundlage des späteren Auftrags wird. Dennoch kann sie vergaberechtlich relevante Wirkungen entfalten, etwa im Hinblick auf Dokumentationspflichten, Transparenz und Gleichbehandlung. Sie muss von Beginn an in einen rechtssicheren Rahmen der Regelungen und Anforderungen für die Vergabe eingebettet sein.

Vor allem datenschutzrechtlich ist entscheidend: Auch wenn die Markterkundung informell und unverbindlich erfolgt, werden unter Umständen personenbezogene Daten verarbeitet, und zwar mit denselben Maßstäben wie im förmlichen Verfahren, insbesondere nach der DSGVO.

Personenbezogene Daten auch im Vorfeld möglich

Markterkundungen richten sich oft an Unternehmen, die ihrerseits durch natürliche Personen vertreten werden. Ob es sich um einen Geschäftsführer, eine Projektleiterin oder technische Ansprechpartner handelt, Daten dieser Repräsentanten sind personenbezogen im Sinne von Art. 4 Nr. 1 DSGVO. Auch Informationen über externe Experten, Referenzkunden oder Geschäftspartner, die im Rahmen der Rückmeldungen genannt werden, können betroffen sein. Damit liegt regelmäßig eine Datenverarbeitung im Kontext des späteren Verfahrens vor, die bereits in der Markterkundung auf die Grundlage des öffentlichen Auftragswesens und die einschlägigen Vorgaben ausgerichtet werden muss.

Daher ist es unerlässlich, bereits im Rahmen der Markterkundung die Informationspflichten nach Art. 13 DSGVO zu erfüllen, und zwar auch dann, wenn keine personenbezogenen Daten oder Kontaktdaten aktiv „abgefragt“ werden, sondern sie im Zuge der Kommunikation beiläufig übermittelt werden könnten. Diese Pflichten bestehen unabhängig von der späteren Vergabe und sollten künftig im Lichte der erweiterten gesetzlichen Regelungen zu § 20 UVgO und § 28 VgV bereits in der Markterkundungsdokumentation berücksichtigt werden, idealerweise in Abstimmung mit dem Datenschutzbeauftragten des Auftraggebers. Das gilt grundsätzlich für öffentliche Auftraggeber und die koordinierende Vergabestelle, insbesondere wenn personenbezogener Datenbezug im Rahmen vorgelagerter Ausschreibungen faktisch unvermeidbar ist.

Werden personenbezogene Daten nicht unmittelbar bei der betroffenen Person erhoben, etwa wenn Unternehmen Ansprechpartner Dritter oder Referenzkunden benennen, gelten ergänzend die Informationspflichten nach Art. 14 DSGVO. In diesen Konstellationen sind die internen Prozesse der Fachabteilung so auszurichten, dass Datenminimierung, Zweckfestlegung und transparente Durchführung der Kommunikation dokumentiert werden; dies erleichtert spätere Entscheidungen im Vergabeverfahren und reduziert Risiken gegenüber Behörden und dem Datenschutzbeauftragten.

Die verantwortliche Stelle klar benennen

Als Verantwortlicher im datenschutzrechtlichen Sinne kommt regelmäßig der öffentliche Auftraggeber in Betracht. Auch wenn eine Vergabestelle operativ mit der Markterkundung betraut ist, bleibt der Auftraggeber regelmäßig derjenige, der über Mittel und Zwecke der Datenverarbeitung entscheidet. Die organisatorische Stelle und die Zuständigkeiten der Fachabteilung sollten daher eindeutig beschrieben werden; dies entspricht dem Prinzip der Rechenschaftspflicht und schafft Klarheit für beteiligte Unternehmen.

Die Datenschutzhinweise müssen daher explizit benennen, wer für die Verarbeitung verantwortlich ist und unter welchen Voraussetzungen ggf. eine andere Stelle (z.B. ein externer Dienstleister) datenschutzrechtlich als Verantwortlicher infrage kommt. In der Praxis hat es sich bewährt, bereits an dieser Stelle die Grundlage der Datenverarbeitung und den Zweck der Verarbeitung zu präzisieren und somit klarzustellen, wer für die Verarbeitung verantwortlich ist und ob einzelne Tätigkeiten als Auftragsverarbeitung im Sinne von Art. 28 DSGVO einzuordnen sind, um späteren Diskussionen in Ausschreibungen vorzubeugen.

Rechtsgrundlage: Kein Vertrag – aber gesetzlich normierte Aufgabe

Ein häufiger Fehler in Datenschutzhinweisen zu Markterkundungen ist die Berufung auf Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Diese Rechtsgrundlage scheidet regelmäßig aus, da es im Rahmen der Markterkundung nicht um die Anbahnung eines Vertragsverhältnisses geht. Rechtlich trägt vielmehr die Grundlage der Wahrnehmung öffentlicher Aufgaben; maßgeblich sind die einschlägigen Regelungen und Vorgaben für die Vergabe.

Stattdessen bietet sich eine Kombination aus Art. 6 Abs. 1 lit. c und lit. e DSGVO an, also die Erfüllung einer rechtlichen Verpflichtung bzw. die Wahrnehmung einer Aufgabe im öffentlichen Interesse. Grundlage hierfür können u.a. folgende Vorschriften sein:

• § 6 UVgO (Dokumentationspflicht)
• § 2 Abs. 1 UVgO (Transparenzgebot)
• Landesrechtliche Normen wie z. B.  Art. 4 BayDSG (für bayerische Auftraggeber)

Auch die Regelungen in § 20 UVgO und § 28 VgV unterstreichen, dass die Markterkundung Teil der gesetzlich normierten Aufgaben öffentlicher Auftraggeber ist. Damit kann sie zugleich die rechtliche Grundlage für die Datenverarbeitung nach Art. 6 Abs. 1 lit. e DSGVO bilden. In den internen Unterlagen kann ergänzend auf die Datenschutzgrundverordnung und auf flankierende Bestimmungen, etwa das BDSG, verwiesen werden; Verweise auf Absätze und Normbezeichnungen sollten konsistent sein.

Dabei ist zu beachten, dass gemäß Art. 6 Abs. 3 Satz 1 DSGVO sowohl die rechtliche Verpflichtung (lit. c) als auch die öffentliche Aufgabe (lit. e) in einer konkreten Rechtsvorschrift festgelegt sein müssen. Allgemeine Aufgabenbeschreibungen genügen nicht. Erforderlich ist eine hinreichend bestimmte gesetzliche Grundlage, die Zweck und Rahmen der Datenverarbeitung vorgibt. Das ist ein Prinzip, das im Beschaffungswesen seit Langem anerkannt ist und in der Durchführung von Verfahren und nachgelagerten Eignungsprüfung spürbar wird.

Die Markterkundung dient dabei der sorgfältigen Vorbereitung des Vergabeverfahrens, insbesondere der sachgerechten Leistungsbeschreibung, und ist integraler Bestandteil einer sparsamen Haushaltsführung. Hierzu gehören die saubere Erfassung des Bedarfs, die Definition der Leistungen und eine verantwortungsvolle Umsetzung in die späteren Phasen des Vergabeverfahrens.

Zweckbindung und Transparenz

In den Datenschutzhinweisen ist der konkrete Zweck der Datenverarbeitung darzulegen: Kommunikation mit Teilnehmern, Vorbereitung des Vergabeverfahrens, Wahrung von Transparenz und Gleichbehandlung. Die klare Benennung von Zweck und Grundlage ist nicht nur grundsätzlich geboten, sondern praktischer Bestandteil einer rechtssicheren Datenverarbeitung, von der Markterkundung bis zur Vergabe.

Dabei ist auch dem Transparenzgebot nach § 2 Abs. 1 UVgO Rechnung zu tragen. Dieses verpflichtet den Auftraggeber, Vergabeverfahren fair und nachvollziehbar zu gestalten, was auch bedeutet, dass die Herkunft und Verwendung der im Rahmen der Markterkundung gewonnenen Informationen offengelegt werden sollte. Das betrifft insbesondere Informationsasymmetrien zwischen Bietern und die Dokumentation für Behörden oder Aufsichtsstellen; einschlägig sind etwa Register wie das Gewerbezentralregister oder Hinweise einzelner Aufsichten

Ebenso ist in den Datenschutzhinweisen darzustellen, wie lange die Daten gespeichert werden und ob bzw. an wen sie weitergegeben werden, etwa im Rahmen des späteren Vergabeverfahrens. Eine strikte Datenminimierung und die konsistente Durchführung der Löschkonzepte gehören zum guten Standard – auch im Hinblick auf spätere Entscheidungen der Vergabestelle.

Ein Blick nach vorn: Mit dem geplanten Vergabebeschleunigungsgesetz 2025 soll die Rolle der Markterkundung weiter gestärkt werden. Nach dem aktuellen Entwurf wird § 28 VgV um Vorgaben erweitert, wonach Auftraggeber bereits in der Markterkundung umweltbezogene, soziale und innovative Aspekte berücksichtigen sollen. Datenschutzrechtlich ändert das nichts an den bestehenden Anforderungen. Im Gegenteil, der strukturierte Umgang mit Daten gewinnt dadurch noch an Bedeutung. Für die Praxis der öffentlichen Auftraggeber erhöht sich der Druck, die Umsetzung der datenschutzrechtlichen Anforderungen frühzeitig zu planen und dokumentierte Entscheidungen im Vergabeverfahren nachvollziehbar zu treffen.

Einverständniserklärung für die Weiternutzung – aber nicht für die Verarbeitung selbst

Datenschutzrechtlich ist zwischen der Einwilligung und der Einverständniserklärung zu unterscheiden. Die Verarbeitung personenbezogener Daten im Rahmen der Markterkundung stützt sich, wie oben erläutert, auf gesetzliche Grundlagen, nicht auf eine Einwilligung im Sinne von Art. 6 Abs. 1 lit. a DSGVO. Soweit Begriffe wie Einwilligung verwendet werden, sollte klar sein, dass sie sich nicht auf die Grundlage der Datenverarbeitung beziehen, sondern auf die einvernehmliche Nutzung bestimmter Inhalte im weiteren Verfahren.

Gleichwohl empfiehlt es sich, eine Einverständniserklärung einzuholen, um:

• die spätere Verwendung der übermittelten Informationen in anonymisierter Form zu ermöglichen,
• Wettbewerbsverzerrungen durch einseitige Informationsvorteile zu vermeiden,
• und die Offenlegung gegenüber späteren Bietern transparenter zu gestalten.

Dies schafft faire Bedingungen für alle Bieter und stärkt das Vertrauen der Unternehmen in die Vergabe, insbesondere da Transparenzfragen oftmals Gegenstand von Entscheidungen der Vergabekammer sein können.

Diese Einverständniserklärung kann bis zum Ende der Markterkundung eingereicht werden und sollte einen Hinweis enthalten, dass vertrauliche Informationen, etwa personenbezogene Kontaktdaten, durch die Unternehmen entsprechend zu kennzeichnen sind. Die Verantwortlichen stellen so sicher, dass die Verarbeitung und die nachgelagerte Eignungsprüfung auf belastbaren Informationen beruhen.

Vertraulichkeit beachten – auch ohne Kennzeichnung

• § 3 UVgO verpflichtet Auftraggeber, bei der Durchführung des Vergabeverfahrens die Vertraulichkeit zu wahren. Diese Maßstäbe sollten bereits bei der Markterkundung berücksichtigt werden, um spätere Vergabefehler zu vermeiden.

In vielen Geschäftsbereichen ist dies etabliert und wird durch klare interne Regelungen zum Umgang mit Dokumenten des Beschaffungswesens unterlegt.

Wichtig dabei: Auch wenn ein Unternehmen vertrauliche Informationen nicht gesondert kennzeichnet, bedeutet das nicht automatisch, dass der Auftraggeber diese unbeschränkt offenlegen darf. Es ist eine eigenständige Prüfung der Schutzbedürftigkeit geboten. Die Umsetzung dieser Vorgaben ist Teil der gelebten Praxis und zahlt unmittelbar auf Rechtssicherheit im späteren Vergabeverfahren ein, bis hin zur sauberen Erstellung der Vergabeunterlagen und der internen Verfahrenssteuerung insbesonder durch Vergabestellen der öffentlichen Auftraggeber.

Ein Verstoß gegen diese Pflicht kann als vergaberechtlich relevanter Fehler gewertet werden und nachteilige Folgen für die Auftragsvergabe nach sich ziehen, wie zum Beispiel eine mögliche Beanstandung vor der Vergabekammer, aber im Hinblick auf sonstige Ansprüche wie Zuschlagsverbote und Schadensersatzforderungen sowie deshalb bei Ausschreibungen damit einhergehenden Zeitverzögerungen. Das kann insbesondere bei bei geförderten Projekten problematisch sein, insbesondere aufgrund des Risikos von Regressansprüchen oder Rückforderungansprüchen durch den jeweiligen Fördermittelgeber Auch deshalb lohnt es sich, Prozesse, Zuständigkeiten der Vergabestelle und die Zusammenarbeit mit beteiligten Behörden frühzeitig zu klären.

Fazit: Datenschutz als Bestandteil einer rechtssicheren Markterkundung

Die Markterkundung ist kein informeller Vorlauf, sondern Teil eines rechtsverbindlichen Gesamtprozesses.

Öffentliche Auftraggeber verarbeiten dabei regelmäßig personenbezogene Daten und müssen regelmäßig auch die Informationspflichten nach Art. 13 und 14 DSGVO wahren.

Verantwortlich bleibt der Auftraggeber selbst, auch wenn er Dritte im Wege der Auftragsverarbeitung oder als sonstige Dienstleister einbindet.

Zur guten Praxis gehören die klare Beschreibung von Zweck, die zutreffende Grundlage der Datenverarbeitung, die Durchführung der Dokumentation und die Planung der weiteren Schritte im Vergabeverfahren.

Die Datenverarbeitung stützt sich auf gesetzlich normierte Aufgaben im öffentlichen Interesse (Art. 6 Abs. 1 lit. c und e DSGVO i. V. m. § 20 UVgO, § 28 VgV). Ebenso wichtig sind Zweckbindung, Transparenz und Vertraulichkeit, unabhängig vom Beginn eines formalen Vergabeverfahrens. Dies entspricht den Anforderungen der datenschutzrechtlichen Rahmenordnung und stärkt die Position aller beteiligten Unternehmen im Wettbewerb.

Mit der gesetzlichen Verankerung der Markterkundung und den anstehenden Änderungen durch das Vergabebeschleunigungsgesetz 2025 steigen die Anforderungen an eine rechtssichere, dokumentierte und datenschutzkonforme Beschaffung. Datenschutz ist damit ein Kernelement der Vergabevorbereitung, nicht deren Nachsorge. Für öffentliche Auftraggeber und Vergabestellen bedeutet das: Die Umsetzung jetzt angehen, Verfahren konsistent steuern und Informationsvorsprünge in Ausschreibungen vermeiden.

Öffentliche Auftraggeber sollten ihre internen Verfahren, Vorlagen und Datenschutzhinweise frühzeitig anpassen, entweder gemeinsam mit dem jeweiligen Datenschutzbeauftragten oder unter Inaspruchnahme von externer datenschutzrechtlicher Beratung.

Eine präventive datenschutzrechtliche Prüfung. insbesondere durch einen im Vergabe- und datenschutzrecht spezialisierten Rechtsanwalt, stärkt die Rechtssicherheit und beugt Beanstandungen vor, die andernfalls, je nach Einzelfall, in Nachprüfungsverfahren im Oberschwellenbereich vor der Vergabekammer oder auch im Unerschwellenbereich im Rahmen von Gerichtsverfahren, wie einstweiligen Verfügungsverfahren aufgegriffen werden können.

Unsere Kanzlei unterstützt Sie bei der datenschutzkonformen Gestaltung von Markterkundungen und Vergabeverfahren, von der Analyse bestehender Prozesse bis zur Umsetzung rechtssicherer Dokumentationen. Unsere Kanzlei unterstützt Sie von der Markterkundung bis zum Beschaffungswesen und Ausschreibungsprozess insgesamt– strukturiert, effizient und im Einklang mit Vorgaben der Datenschutzgrundverordnung (DSGVO).