Nachhaltigkeit, Datenschutz und IT-Sicherheit in der Vergabe

Dieselbe fachliche Anforderung wirkt je nach Stelle in den Vergabeunterlagen unterschiedlich: als Mindestanforderung, Eignungs- oder Zuschlagskriterium oder als Pflicht für die Vertragslaufzeit. Diese Seite ordnet Nachhaltigkeit, Datenschutz und IT-Sicherheit diesen vier Ebenen samt Nachweisen und Rechtsfolgen zu.

Kurz gesagt

Nachhaltigkeits-, Datenschutz- und Sicherheitsanforderungen können in der Leistungsbeschreibung, in den Eignungs- oder Zuschlagskriterien oder in den Ausführungsbedingungen stehen. Die Wahl entscheidet über die Rechtsfolge: Ein Angebot, das eine Mindestanforderung der Leistungsbeschreibung nicht erfüllt, wird nach § 57 Absatz 1 VgV von der Wertung ausgeschlossen, ein Zuschlagskriterium wird dagegen nur bewertet. Eine Verbindung zum Auftragsgegenstand verlangt das Gesetz für Eignungskriterien (§ 122 Absatz 4 Satz 1 GWB), Zuschlagskriterien (§ 127 Absatz 3 GWB), Ausführungsbedingungen (§ 128 Absatz 2 Satz 1 GWB) und — für Prozess- und Lebenszyklusmerkmale — auch in der Leistungsbeschreibung (§ 31 Absatz 3 Satz 2 VgV). Auch der Nachweis folgt der Stelle: §§ 33 und 34 VgV für Merkmale der Leistung, § 46 Absatz 3 und § 49 VgV für Merkmale des Unternehmens. Die Vereinbarung zur Auftragsverarbeitung ist eine Vertragsbedingung (§ 29 Absatz 1 Satz 2 Nummer 3 VgV).

Rechtsgrundlage

Für die Leistungsbeschreibung erlaubt § 31 Absatz 3 VgV Merkmale, die Aspekte der Qualität und der Innovation sowie soziale und umweltbezogene Aspekte betreffen, nach Satz 2 auch den Prozess oder die Methode zur Herstellung oder Erbringung der Leistung und andere Stadien im Lebenszyklus einschließlich der Produktions- und Lieferkette — allerdings nur, „sofern diese Merkmale in Verbindung mit dem Auftragsgegenstand stehen und zu dessen Wert und Beschaffungszielen verhältnismäßig sind“ (Leistungsbeschreibung).

Für die Eignung begrenzt § 122 Absatz 2 GWB die zulässigen Kriterien auf Befähigung und Erlaubnis zur Berufsausübung, wirtschaftliche und finanzielle sowie technische und berufliche Leistungsfähigkeit. Absatz 4 Satz 1 verlangt die Verbindung zum Auftragsgegenstand und ein angemessenes Verhältnis zu diesem und zum Auftragswert; Absatz 3 gibt Eigenerklärungen den Vorrang (Eignungskriterien).

Für die Zuschlagskriterien nennt § 127 Absatz 1 GWB neben Preis und Kosten qualitative, umweltbezogene und soziale Aspekte; § 58 Absatz 2 Satz 2 VgV führt sie mit „insbesondere“ beispielhaft aus, darunter Zugänglichkeit und „Design für Alle“ (Nummer 1) sowie seit dem 1. Juli 2026 Aspekte der digitalen Souveränität (Nummer 4). Den Maßstab setzt § 127 Absatz 3 GWB: Die Verbindung zum Auftragsgegenstand ist auch anzunehmen, wenn ein Kriterium Prozesse der Herstellung, Bereitstellung oder Entsorgung, den Handel mit der Leistung oder ein anderes Stadium im Lebenszyklus betrifft (Zuschlagskriterien).

Für die Ausführungsbedingungen verweist § 128 Absatz 2 GWB auf denselben Maßstab: Sie müssen entsprechend § 127 Absatz 3 GWB mit dem Auftragsgegenstand in Verbindung stehen und sich aus der Auftragsbekanntmachung oder den Vergabeunterlagen ergeben. Satz 3 nennt beispielhaft unter anderem umweltbezogene und soziale Belange, den Schutz der Vertraulichkeit von Informationen und — erst seit dem 1. Juli 2026 — Belange der Versorgungssicherheit oder der digitalen Souveränität. Dieselbe Novelle hat § 122 Absätze 3 und 4 GWB neu gefasst und § 58 Absatz 2 Satz 2 VgV um Nummer 4 ergänzt (Gesetz vom 12. Mai 2026, BGBl. 2026 I Nr. 137, Artikel 1 Nummern 14 und 16, Artikel 9 Nummer 20, Artikel 15). Vorher begonnene Verfahren werden nach § 187 Absatz 2 GWB nach dem bei ihrer Einleitung geltenden Recht zu Ende geführt.

Praxis: die vier Stellen und ihre Rechtsfolgen

Eine fehlende Unterlage führt nicht zwingend zum Ausschluss: Nach § 56 Absatz 2 VgV kann der Auftraggeber sie nachfordern, sofern er das nicht in der Auftragsbekanntmachung oder den Vergabeunterlagen ausgeschlossen hat. Für leistungsbezogene Unterlagen, die die Wirtschaftlichkeitsbewertung anhand der Zuschlagskriterien betreffen, ist die Nachforderung nach Absatz 3 Satz 1 ausgeschlossen. Satz 2 nimmt davon Preisangaben zu unwesentlichen Einzelpositionen nur aus, wenn deren Einzelpreise den Gesamtpreis nicht verändern oder die Wertungsreihenfolge und den Wettbewerb nicht beeinträchtigen.

Dieselbe Anforderung kann je nach Ziel an verschiedenen Stellen stehen: Ein Datenstandort in der Europäischen Union schließt als Mindestanforderung abweichende Angebote aus, als Zuschlagskriterium bewertet er den Unterschied nur. Beide Wege stehen offen, soweit die Anforderung mit dem Auftragsgegenstand in Verbindung steht und verhältnismäßig ist; die Gründe dokumentiert der Auftraggeber nach § 8 Absatz 1 VgV (Vergabevermerk).

Auch der Nachweis richtet sich nach der Stelle. Für geforderte Merkmale der Leistung kann der Auftraggeber nach § 33 Absatz 1 VgV Bescheinigungen einer Konformitätsbewertungsstelle verlangen; verlangt er die einer bestimmten Stelle, muss er nach Satz 2 auch gleichwertige anderer Stellen akzeptieren, nach Absatz 2 zudem andere geeignete Unterlagen, wenn das Unternehmen ohne eigenes Vertretenmüssen keinen Zugang zur Bescheinigung hatte oder sie nicht fristgerecht einholen konnte. Für Merkmale des Unternehmens lässt § 46 Absatz 3 VgV „ausschließlich die Vorlage von einer oder mehreren der folgenden Unterlagen“ zu; der Katalog ist abschließend und nennt unter anderem Referenzen, Maßnahmen zur Qualitätssicherung (Nummer 3) und Umweltmanagementmaßnahmen (Nummer 7).

Nachhaltigkeit: Pflicht und Möglichkeit auseinanderhalten

Bei energieverbrauchsrelevanten Waren, technischen Geräten oder Ausrüstungen unterscheidet § 67 VgV zwischen Soll und Muss: Absatz 2 ist eine Soll-Vorschrift für das höchste Leistungsniveau an Energieeffizienz, Absatz 3 verpflichtet dazu, konkrete Angaben zum Energieverbrauch zu fordern, und nach Absatz 5 ist die ermittelte Energieeffizienz als Zuschlagskriterium angemessen zu berücksichtigen — Einzelheiten samt der Ausnahme in Absatz 3 auf der Seite Arbeitsplatz-Hardware ausschreiben. Ebenso trennt § 59 VgV beides: Lebenszykluskosten sind eine Möglichkeit (Absatz 1), wer sie wählt, muss die Berechnungsmethode vorgeben (Absatz 2, Zuschlagskriterien); Kosten externer Umwelteffekte darf sie nur einbeziehen, sofern ihr Geldwert nach Absatz 3 bestimmt und geprüft werden kann, und eine unionsrechtlich vorgeschriebene Methode ist nach Absatz 4 vorzugeben.

Gütezeichen sind nach § 34 Absatz 1 VgV kein eigenes Kriterium, sondern ein Beleg für geforderte Merkmale der Leistung. Nach Absatz 2 Nummer 3 muss das Zeichen „im Rahmen eines offenen und transparenten Verfahrens“ entwickelt worden sein, „an dem alle interessierten Kreise teilnehmen können“ — gemeint ist die Entstehung des Zeichens, nicht die Verfahrensart. Absatz 4 verlangt die Anerkennung anderer Gütezeichen mit gleichwertigen Anforderungen, Absatz 5 die Anerkennung anderer geeigneter Belege, wenn ein Unternehmen das Zeichen aus nicht zurechenbaren Gründen nachweislich nicht fristgerecht erlangen konnte und die Anforderungen erfüllt. Für Umweltmanagementsysteme — EMAS und gleichwertig anerkannte Systeme — ordnet § 49 Absatz 2 VgV dieselbe Anerkennungspflicht an.

Barrierefreiheit ist bei Leistungen zur Nutzung durch natürliche Personen keine freie Entscheidung: Nach § 121 Absatz 2 GWB sind Zugänglichkeitskriterien für Menschen mit Behinderungen oder die Konzeption für alle Nutzer außer in ordnungsgemäß begründeten Fällen zu berücksichtigen, und bei unionsrechtlich verpflichtenden Zugänglichkeitserfordernissen muss die Leistungsbeschreibung nach § 31 Absatz 5 VgV darauf Bezug nehmen. Weitergehende Zugänglichkeit lässt sich zusätzlich als Zuschlagskriterium abstufen (§ 58 Absatz 2 Satz 2 Nummer 1 VgV).

IT-Sicherheit: Anforderung und Nachweis trennen

Sicherheitsanforderungen gehören inhaltlich in die Leistungsbeschreibung, etwa als Schutzbedarf, Verschlüsselung, Protokollierung oder Verfügbarkeit; der Nachweis ist davon zu trennen. Verlangt der Auftraggeber Bescheinigungen unabhängiger Stellen über Normen der Qualitätssicherung, muss er sich nach § 49 Absatz 1 VgV auf Systeme beziehen, die den einschlägigen europäischen Normen genügen und von akkreditierten Stellen zertifiziert sind — und er muss gleichwertige Bescheinigungen aus anderen Staaten anerkennen, ebenso andere Unterlagen über gleichwertige Systeme, wenn ein Unternehmen die Bescheinigung ohne eigenes Vertretenmüssen nicht rechtzeitig einholen konnte.

Die Kataloge des Bundesamts für Sicherheit in der Informationstechnik sind fachlicher Maßstab, nicht selbst Rechtsgrundlage; ob sie eine Stelle binden, richtet sich nach dem für sie geltenden Bundes- oder Landesrecht. Das IT-Grundschutz-Kompendium — seit dem 1. Februar 2023 in der Edition 2023 — teilt seine Bausteine in zehn Schichten und enthält für Bereiche mit normalem Schutzbedarf bereits eine Risikobewertung. Beim Kriterienkatalog C5 erfolgt der Nachweis nach Abschnitt 3.4.1 grundsätzlich nach ISAE 3000 (Revised) mit hinreichender Sicherheit, nach Abschnitt 3.2 auch nach IDW PS 860 oder einem anderen nationalen Äquivalent; Abschnitt 3.1 hält fest: „Das BSI ist an keinem Teil der Prüfung oder Berichterstattung beteiligt.“ Wer C5 fordert, benennt deshalb Prüfungsgegenstand und Prüfungsart — Typ 1 zu einem Zeitpunkt oder Typ 2 über einen Zeitraum (Abschnitt 3.4.3) (Cloud-Leistungen ausschreiben).

Datenschutz: die Auftragsverarbeitung ist Vertragsbestandteil

Verarbeitet ein Auftragnehmer personenbezogene Daten im Auftrag, darf der Verantwortliche nach Artikel 28 Absatz 1 DSGVO nur mit Auftragsverarbeitern arbeiten, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Absatz 3 verlangt für die Verarbeitung einen Vertrag oder ein anderes Rechtsinstrument nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das den Auftragsverarbeiter bindet und Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt; nach Absatz 9 ist es schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.

Einen Zeitpunkt vor dem Zuschlag nennt Artikel 28 DSGVO nicht; die Vorschrift knüpft an die Verarbeitung an. Der frühere Zeitpunkt folgt aus dem Vergaberecht: Die Vereinbarung ist eine Vertragsbedingung und damit Teil der Vertragsunterlagen, die nach § 29 Absatz 1 Satz 2 Nummer 3 VgV in der Regel zu den Vergabeunterlagen gehören; liegt sie dort, können die Bieter den Aufwand kalkulieren. Bei den EVB-IT ist der Regelungsort über AGB und Anlagentabelle gelöst (EVB-IT Cloud, EVB-IT). Diese Seite gibt den Regelungsort wieder und beurteilt keinen konkreten Vertrag; für eine Rechtsberatung wenden Sie sich an eine qualifizierte Rechtsanwaltskanzlei.

Häufige Fehler

Nachhaltigkeit als Zuschlagskriterium ohne Auftragsbezug. Eine Klimastrategie ohne Bezug zur ausgeschriebenen Leistung erfüllt § 127 Absatz 3 GWB nicht: Der Lebenszyklusbezug der Vorschrift ist weit, ersetzt aber die Verbindung zum Auftragsgegenstand nicht.

Zertifikat ohne Gleichwertigkeitsklausel. Wer die Bescheinigung einer bestimmten Stelle oder ein bestimmtes Gütezeichen ohne Hinweis auf gleichwertige Nachweise fordert, übergeht § 33 Absätze 1 und 2, § 34 Absätze 4 und 5 oder § 49 VgV.

Zuordnung verwechselt — oder die Grenze zu starr gezogen. Die Sicherheitsarchitektur der angebotenen Lösung ist ein Merkmal der Leistung, die Zertifizierung des Unternehmens ein Eignungsmerkmal. Starr ist die Grenze nicht: § 58 Absatz 2 Satz 2 Nummer 2 VgV erlaubt Organisation, Qualifikation und Erfahrung des betrauten Personals als Zuschlagskriterium, wenn dessen Qualität erheblichen Einfluss auf das Niveau der Auftragsausführung haben kann. Beides zugleich sieht die VgV aber nicht vor: § 46 Absatz 3 Nummer 6 VgV lässt Studien- und Ausbildungsnachweise als Eignungsbeleg nur zu, „sofern diese Nachweise nicht als Zuschlagskriterium bewertet werden“.

Auftragsverarbeitung erst nach dem Zuschlag geregelt. Ist die Vereinbarung nicht Teil der Vergabeunterlagen, konnten die Bieter den Aufwand nicht einkalkulieren, und ihr Inhalt wird erst nach dem Ende des Wettbewerbs bestimmt.

Häufige Fragen

Wie kommt der Auftragsverarbeitungsvertrag in die Ausschreibung?

Gemeinsam mit den übrigen Vertragsbedingungen: Die Vergabeunterlagen bestehen nach § 29 Absatz 1 Satz 2 VgV in der Regel aus Anschreiben, Bewerbungsbedingungen und den Vertragsunterlagen, diese wiederum aus Leistungsbeschreibung und Vertragsbedingungen (Nummer 3). Artikel 28 Absatz 3 DSGVO verlangt einen Vertrag oder ein anderes Rechtsinstrument, Absatz 9 die schriftliche Abfassung, die auch elektronisch erfolgen kann.

Darf Datenschutz Zuschlagskriterium sein?

Ja, soweit die Anforderung nach § 127 Absatz 3 GWB mit dem Auftragsgegenstand in Verbindung steht und abgestuft bewertbar ist, etwa die Qualität eines Löschkonzepts. Nach § 127 Absatz 4 GWB muss überprüfbar sein, ob und inwieweit die Angebote das Kriterium erfüllen. Die Gewichtung gibt der Auftraggeber nach § 58 Absatz 3 VgV in der Auftragsbekanntmachung oder den Vergabeunterlagen an; ist sie aus objektiven Gründen nicht möglich, nennt er die Kriterien in absteigender Rangfolge.

Welche IT-Sicherheitszertifikate darf man verlangen?

Das hängt davon ab, was belegt werden soll: Für Merkmale der angebotenen Leistung erlaubt § 33 Absatz 1 VgV Bescheinigungen von Konformitätsbewertungsstellen, über § 58 Absatz 4 VgV auch für Zuschlagskriterien, für Merkmale des Unternehmens greift § 49 Absatz 1 VgV. Beide verpflichten dazu, gleichwertige Nachweise und unter den dort genannten Voraussetzungen andere geeignete Unterlagen anzuerkennen. Daneben begrenzt § 122 Absatz 4 Satz 1 GWB die Anforderungen auf das dem Auftragsgegenstand und dem Auftragswert Angemessene, und § 122 Absatz 3 GWB ordnet den Zeitpunkt: zunächst Eigenerklärungen, weitergehende Unterlagen erst von aussichtsreichen Bewerbern oder Bietern.