Das Oberlandesgericht Karlsruhe hat in einem rechtskräftigen Beschluss klargestellt, dass bei öffentlichen Vergabeverfahren im Gesundheitswesen weiter Tochtergesellschaften von US-amerikanischen Cloud-Dienst-Anbietern genutzt werden dürfen. Damit hat das OLG die vorausgegangene und vielfach kritisierte Einschätzung der Vergabekammer Baden-Württemberg vollständig verworfen. Durch den Beschluss hat Recare einen der größten Krankenhausträger in Süddeutschland gewonnen.
Der Vergabesenat des Oberlandesgerichts Karlsruhe (OLG Karlsruhe) hat in seinem Beschluss vom 7. September 2022 (Aktenzeichen: 15 Verg 8/22) eine Entscheidung der Vergabekammer Baden-Württemberg (VK Baden-Württemberg; Aktenzeichen: 1 VK 23/22) vom 13. Juli 2022 aufgehoben und damit den Weg freigemacht für das digitale Entlassmanagement eines der größten Krankenhausträger in Süddeutschland durch die Recare Deutschland GmbH (Recare).
Datenverarbeitung durch europäische Töchter grundsätzlich möglich
Der OLG-Beschluss betont, dass die Datenverarbeitung bei öffentlichen Vergabeverfahren weiterhin durch eine europäische Tochtergesellschaft von US-amerikanischen Cloud-Dienst-Anbietern erfolgen darf, solange die Zusicherung erfolgt, dass die personenbezogenen Daten in Deutschland verarbeitet werden. Maximilian Greschke, Co-Founder und CEO von Recare, zum Beschluss: „Wir haben mit keinem anderen Urteil gerechnet, weil es nur richtig ist, sich so zu entscheiden. Mit dem Entlassmanagement agieren wir in einem datenschutzrechtlich hochsensiblen Umfeld — und sind uns dieser Verantwortung bewusst. Wir prüfen daher sowohl unser eigenes technisches Vorgehen als auch das unserer Dienstleister und Kooperationspartner in Bezug auf Datenschutz sehr genau”.
Umstrittene Entscheidung der Vergabekammer
Recare hatte das Vergabeverfahren bereits gewonnen, als einer der direkten Wettbewerber, die Pflegeplatzmanager GmbH (PPM), erfolgreich einen Nachprüfungsantrag bei der VK Baden-Württemberg dagegen einreichte. Die Vergabekammer hatte dem Antrag aus datenschutzrechtlichen Bedenken mit der Begründung stattgegeben, dass allein das Hosting auf Servern von europäischen Töchtern US-amerikanischer Mütter in Europa bereits ein latentes Risiko für den Zugriff durch die US-Muttergesellschaften oder gar US-Behörden bedeuten würde. Dieser Beschluss sorgte in der Folge bundesweit sowohl in Tagesmedien als auch der Datenschutz-Community für viel Furore, da er keine vollständige Einzelfallbetrachtung des Vergabeverfahrens konzentriert hatte. Auch der Landesdatenschutzbeauftragte Baden-Württemberg hatte deutliche Kritik am Vorgehen und der Entscheidung der VK Baden-Württemberg geübt.
Einhergehen von Datenschutz und Technologie
„Seit wir 2017 unsere Reise angetreten haben, war Datenschutz ausnahmslos eine tragende Säule in unserem Vorgehen. Durch die Kombination von Ende-zu-Ende-Verschlüsselung und Pseudonymisierung kann weder unser Clouddienstleister noch wir eine Zuordnung der verarbeiteten Daten zu natürlichen Personen durchführen. Mit einfachen Worten und generell ausgedrückt bedeutet das: Selbst wenn US-amerikanische Muttergesellschaften oder gar US-Behörden auf die Daten zugreifen wollen würden, hätten sie keine realistische Chance, einen Personenbezug herzustellen. So ergänzen sich Datenschutz und Technologie. Statt regelmäßigen emotionalen Diskussionen brauchen wir eine tiefere, sachliche Betrachtung der inzwischen ausgereiften und zuverlässigen technischen Möglichkeiten des Betreiberausschlusses”, betont Greschke.
Hoffnung für ein positives Signal in Richtung Innovation
Es dürfe nicht sein, dass der Digitalisierung unnötig Steine in den Weg gelegt werden, statt Innovation zuzulassen oder sie sogar zu forcieren. „Mit dem Krankenhauszukunftsgesetz hat der Gesetzgeber allen Playern im deutschen Gesundheitswesen den klaren Auftrag gegeben, bis spätestens Ende 2024 stabile und tragfähige Lösungen zu implementieren. Das schaffen wir nicht, wenn wir uns überwiegend auf theoretische Bedrohungsszenarien konzentrieren”, so Greschke. Daher freue er sich in doppelter Hinsicht über das Urteil: Für Recare wegen des gewonnenen Vergabeverfahrens, aber gleichzeitig auch darüber, dass mit dem Ergebnis hoffentlich ein positives Signal in Richtung Innovation und Planungssicherheit für das deutsche Gesundheitswesen gesetzt wurde.
