Für vier Bundesländer – Bremen, Hamburg, Schleswig-Holstein und Sachsen-Anhalt – wird CSC Deutschland derzeit keine neuen Dienstleistungen übernehmen. Das berichten SZ und NDR unter Berufung auf Dataport, der gemeinsamen IT-Plattform der vier Länder, zum aktuellen Vergabefahren für IT-Projekte. Das Unternehmen habe keinen Zuschlag für eine Ausschreibung bekommen, als möglicher Grund wird über verschärfte Bedingungen im Zuge eines No-Spy-Erlasses spekuliert.
CSC Deutschland ist ein alter Bekannter, wenn es um Regierungssoftware geht. So trat man als Sponsor des Europäischen Polizeikongresses in Erscheinung, arbeitet am Staatstrojaner mit sowie an De-Mail, dem elektronischen Personalausweis und vielen anderen wichtigen IT-Vorhaben der Bundesregierung.
Besonders kritisch ist die Beziehung von CSC Deutschland und seiner amerikanischen Mutter, da deren enge Zusammenarbeit und Partnerschaft mit NSA und CIA in der Vergangenheit immer wieder sichtbar wurde. Besonders im Licht der NSA-Affäre wurde deshalb in Deutschland die Diskussion um eine No-Spy-Klausel angestoßen, die IT-Dienstleister nur dann zulassen würde, wenn diese sich der Geheimhaltung von Informationen gegenüber Dritten und damit auch ausländischen Geheimdiensten gegenüber verwehrten.
Da dies amerikanischer Rechtspraxis widerspricht, sollte es für Unternehmen wie CSC quasi unmöglich sein, deutsche IT-Vergabeverfahren zu gewinnen. Auch wenn von deren Seite immer wieder einer Datenweitergabe in die USA widersprochen wird. In der Realität sah dies jedoch anders aus und CSC gewann neue Verträge mit deutschen Behörden dazu.
Bremen, Hamburg, Schleswig-Holstein und Sachsen-Anhalt haben eigene Richtlinien erlassen, die festlegen, dass ein Auftragnehmer sensible Daten nicht an ausländische Sicherheitsbehörden oder an verbundene Unternehmensteile weitergeben darf. Ausgeschlossen ist auch eine Zusammenarbeit mit Dritten, bei denen der Verdacht naheliegt, sie würden die Vertraulichkeit und Sicherheit von Daten gefährden. Ob wirklich dieser Faktor, wie von SZ und NDR lanciert, ausschlaggebend für die Entscheidung gegen CSC und für ein französisches Unternehmen namens Capgemini war, ist nicht bekannt, auch Dataport äußerte sich nicht. Aber in der Vergangenheit ist das Unternehmen auch trotz bundesweiter No-Spy-Klausel problemlos an eine Vielzahl anderer Aufträge gekommen.
[Update netzpolitik.org gegenüber kommentierte CSC:
Da sich die CSC Deutschland GmbH strikt an deutsches Recht und Gesetz hält, können wir Ihnen aufgrund der uns vertraglich obliegenden Vertraulichkeitsverpflichtungen keine Informationen darüber zukommen lassen, in welchen Bereichen wir andere öffentliche Aufträge in Deutschland erhalten haben. Wir können Ihnen allerdings bestätigen, dass uns in den vergangenen 12 Monaten eine Vielzahl an anderen öffentlichen Aufträgen in Deutschland erteilt wurde.
Warum könnte der Auftrag dann an eine andere Firma gegangen sein? Der erste Gedanke: Wirtschaftlichkeit. So behauptet auch CSC, dass es keine Beanstandungen hinsichtlich Datenweitergabe gegeben haben könne:
Dataport hat in der Ausschreibung ein Umsetzungskonzept bzgl. Datenschutz und Vertraulichkeit gefordert. Diesen Teil der Ausschreibung war ein Muss-Kriterium im Angebot und wäre im Zuschlagsfall Vertragsbestandteil geworden. Offene Fragen wurden in einem eigens für diesen Punkt anberaumten Verhandlungstermin geklärt.
Der Zuschlag ging an einen anderen Bieter, weil wir nicht das wirtschaftlichste Angebot abgegeben haben. Details werden durch die ausschreibende Stelle nicht veröffentlicht und auch den Bietern nicht.]
Dennoch scheint es Erleichterung, besonders unter den Datenschutzbeauftragten der Länder, zu geben. Ob die nicht nur auf einen einmaligen Zufall gestützt ist, wird sich aber erst noch zeigen müssen.