Digitalisierung
Das Oberlandesgericht (OLG) Karlsruhe hat in einem rechtskräftigen Beschluss klargestellt, dass bei öffentlichen Vergabeverfahren im Gesundheitswesen Tochtergesellschaften von US-amerikanischen Cloud-Dienst-Anbietern genutzt werden dürfen. Damit wurde die Einschätzung der Vergabekammer Baden-Württemberg verworfen und das Entlassmanagement von Recare zugelassen.
Der Vergabesenat des Oberlandesgerichts Karlsruhe (OLG Karlsruhe) hat in seinem Beschluss vom 7. September 2022 (Aktenzeichen: 15 Verg 8/22) eine Entscheidung der Vergabekammer (VK) Baden-Württemberg (VK Baden-Württemberg; Aktenzeichen: 1 VK 23/22) vom 13. Juli 2022 aufgehoben und damit den Weg freigemacht für das digitale Entlassmanagement eines der größten Krankenhausträger in Süddeutschland durch die Recare Deutschland GmbH.
Datenverarbeitung durch europäische Töchter grundsätzlich möglich
Der OLG-Beschluss betont, dass die Datenverarbeitung bei öffentlichen Vergabeverfahren weiterhin durch eine europäische Tochtergesellschaft von US-amerikanischen Cloud-Dienst-Anbietern erfolgen darf, solange die Zusicherung erfolgt, dass die personenbezogenen Daten in Deutschland verarbeitet werden. Maximilian Greschke, Co-Founder und CEO von Recare, zum Beschluss: „Wir haben mit keinem anderen Urteil gerechnet. Mit dem Entlassmanagement agieren wir in einem datenschutzrechtlich hochsensiblen Umfeld — und sind uns dieser Verantwortung bewusst. Wir prüfen daher sowohl unser eigenes technisches Vorgehen als auch das unserer Dienstleister und Kooperationspartner in Bezug auf Datenschutz sehr genau.“
Umstrittene Entscheidung der Vergabekammer
Das Technologieunternehmen Recare hatte das Vergabeverfahren bereits gewonnen, als einer der direkten Wettbewerber, die Pflegeplatzmanager GmbH (PPM), erfolgreich einen Nachprüfungsantrag bei der VK Baden-Württemberg dagegen einreichte. Diese hatte dem Antrag aus datenschutzrechtlichen Bedenken mit der Begründung stattgegeben, dass allein das Hosting auf Servern von europäischen Töchtern US-amerikanischer Mütter in Europa bereits ein latentes Risiko für den Zugriff durch die US-Muttergesellschaften oder gar US-Behörden bedeuten würde. Dieser Beschluss sorgte in der Folge bundesweit für viel Furore, da er keine vollständige Einzelfallbetrachtung des Vergabeverfahrens konzentriert hatte. Auch der Landesdatenschutzbeauftragte Baden-Württemberg hatte deutliche Kritik am Vorgehen und der Entscheidung der VK Baden-Württemberg geübt.
Einhergehen von Datenschutz und Technologie
„Datenschutz ist ausnahmslos eine tragende Säule in unserem Vorgehen. Durch die Kombination von Ende-zu-Ende-Verschlüsselung und Pseudonymisierung kann weder unser Clouddienstleister noch wir eine Zuordnung der verarbeiteten Daten zu natürlichen Personen durchführen. Das bedeutet: Selbst wenn US-amerikanische Muttergesellschaften oder gar US-Behörden auf die Daten zugreifen wollen würden, hätten sie keine realistische Chance, einen Personenbezug herzustellen. So ergänzen sich Datenschutz und Technologie“, betont Greschke.
Positives Signal in Richtung Innovation und Planungssicherheit
Es dürfe nicht sein, dass der Digitalisierung unnötig Steine in den Weg gelegt werden, statt Innovation zuzulassen oder sie sogar zu forcieren. Mit dem Krankenhauszukunftsgesetz habe der Gesetzgeber allen Playern im deutschen Gesundheitswesen den klaren Auftrag gegeben, bis spätestens Ende 2024 stabile und tragfähige Lösungen zu implementieren, betonte Greschke. Das Urteil setze ein positives Signal in Richtung Innovation und Planungssicherheit für das deutsche Gesundheitswesen.