Sie sind Beschaffungsverantwortlicher in einem deutschen Kommunal-IT-Amt. Am 1. Juli 2026 wird Ihre nächste große Ausschreibung — der Ersatz eines Bürgerportals im Volumen von 2,3 Mio. Euro — die erste sein, die Ihr Amt unter der neuen §58 VgV Nummer 4 schreibt. Die Klausel ist Gesetz: Aspekte der digitalen Souveränität sind ein ausdrückliches Zuschlagskriterium im deutschen Vergaberecht. Die Vorlagenbibliothek Ihres Amts ist noch nicht aktualisiert. Die Rechtsabteilung erwartet bis Freitag einen Entwurf.

Was Sie in diese Ausschreibung schreiben, und wie Sie es in der Vergabeakte begründen, entscheidet darüber, ob die Klausel für Ihre Kommune Wirkung entfaltet — oder ob die erste Entscheidung der Vergabekammer gegen Sie zum Präzedenzfall wird, den jeder andere Beschaffungsverantwortliche in Deutschland danach lesen muss.

Dieser Artikel ist der operative Leitfaden. Was die Änderung tatsächlich verlangt, was die Gesetzgebungsgeschichte über ihre Bedeutung sagt, worauf die frühe Rechtsprechung achten wird und welche konkrete Ausschreibungssprache 2027 einer Nachprüfung standhält.

Was die Änderung tatsächlich sagt

Die Änderung ist ein Aufzählungspunkt. Eingefügt vom Wirtschaftsausschuss in §58 Absatz 2 Satz 2 der VgV als neue Nummer 4 lautet der Punkt vollständig: Aspekte der digitalen Souveränität. Das ist der Gesetzestext. Die eigentliche Arbeit leistet der Ausschussbericht.

In der Bundestags-Drucksache 21/5525 vom 22. April 2026 zählt der Ausschuss auf, was digitale Souveränität als Zuschlagskriterium umfasst: interoperable und offene IT-Systeme oder Software; die Nachvollziehbarkeit und Steuerung der Datenverarbeitung; besondere Anforderungen an datenverarbeitendes Personal; Sicherheitsmaßnahmen; die Lokalisierung der Daten; sowie „rechtliche, organisatorische und technische Immunität gegen unerwünschte Zugriffe oder Verfügbarkeitsbeschränkungen." Die Berichterstatter — Dr. Andreas Lenz (CSU) und Georg Schroeter (AfD) — unterzeichneten den Bericht am Tag vor der Plenarabstimmung.

Der Bundestag nahm ihn am folgenden Nachmittag an. Die Zustimmung des Bundesrats folgte am 8. Mai. Das Gesetz tritt am 1. Juli 2026 in Kraft. Innerhalb eines Verwaltungsvereinfachungsgesetzes hatte das deutsche Vergaberecht still sein erstes ausdrückliches Souveränitätskriterium erhalten.

Eine parallele Änderung im selben Gesetz ist für Vergabeakten mit Sicherheitsbezug erwähnenswert: Sie stellt klar, dass Beschaffungen mit Bezug zu Cybersicherheit oder digitaler Souveränität in die „wesentlichen Sicherheitsinteressen" nach Artikel 346 Absatz 1 AEUV fallen. Artikel 346 nimmt Beschaffungen zum Schutz wesentlicher Sicherheitsinteressen von den vollen EU-Ausschreibungsregeln aus. Liest man beide Änderungen zusammen: Souveränität wurde ein ausdrückliches Zuschlagskriterium in gewöhnlichen Ausschreibungen, und Souveränität wurde ein anerkannter Sicherheitsgrund, der bestimmte Beschaffungen ganz aus dem EU-weiten Wettbewerb herausschneiden kann.

Worauf die frühen Vergabekammer-Verfahren achten werden

Die Aufzählung des Ausschusses ist kein Gesetzestext. Sie ist der erläuternde Anhang. Eine Vergabekammer, die eine künftige Beschwerde prüft, liest §58 Absatz 2 Satz 2 Nummer 4 durch diese Erläuterung — die Erläuterung selbst bindet aber nicht unmittelbar. Genau diese Lücke zwischen Statut und Erläuterung muss die Vergabeakte Ihrer Ausschreibung schriftlich schließen.

Es gibt drei Fehlermuster, die die frühen Verfahren ordnen werden. Jedes verweist auf eine bestimmte Art, wie Ihre Vergabeakte aufgebaut sein kann — oder eben nicht.

Das Muster der vagen Zitation. Eine Ausschreibung, die „digitale Souveränität" als Kriterium nennt, ohne anzugeben, welche der vom Ausschuss gelisteten Unterkriterien angerufen werden, ist das leichte Ziel. Die Vergabekammer liest die Ausschreibung, stellt fest, dass der Bieter dem Text nicht entnehmen kann, welche Eigenschaft die Beschaffung honoriert, und befindet das Kriterium nach §127 GWB als unzureichend bestimmt. Die erste Entscheidung dieser Art wird nach vergaberechtlicher Konvention in jeder folgenden Beschwerde zitiert, bis ein höheres Gericht sie aufhebt.

Das Muster der unausgewogenen Gewichtung. Eine Ausschreibung, die mehrere Kriterien listet — Preis, Qualität, Umwelt, Souveränität —, ohne die Gewichtung offenzulegen, oder mit einer Souveränitätsgewichtung, die den Bieterkreis nachweislich auf einen einzigen politisch bevorzugten Anbieter verengt, wird auf Grundlage von §127 Absatz 4 GWB angegriffen. Eine zum Beschaffungszweck unverhältnismäßige Gewichtung ist der Standard-Angriffspunkt; das neue Souveränitätskriterium fügt eine Ebene hinzu, die die Vergabekammer sorgfältig prüfen wird.

Das Muster des vorgeschobenen Kriteriums. Eine Ausschreibung, deren Souveränitätskriterium so formuliert ist, dass es genau auf das Angebot eines bevorzugten deutschen Anbieters passt (Favoriten der Bundesnetzagentur, Schwarz Digits’ StackIT, KIPITZ des ITZBund), wird auf Grundlage verschleierter Diskriminierung nach GWB und den zugrunde liegenden EU-Richtlinien angegriffen. Die frühen Verfahren werden die Linie zwischen „Souveränität als architektonische Eigenschaft" und „Souveränität als Anbieterpräferenz" ziehen.

Die Vergabeakten, die diese drei Fehlermuster überstehen, haben etwas Bestimmtes schriftlich. Der nächste Abschnitt sagt, was dieses Etwas ist.

Die Ausschreibungssprache, die der Nachprüfung standhält

Eine Ausschreibung, die §58 Absatz 2 Satz 2 Nummer 4 VgV anruft und die erste Nachprüfungsrunde übersteht, hat strukturell die folgende vierteilige Bauform.

Erstens: ausdrückliche Aufzählung, welche Ausschuss-Unterkriterien angerufen werden. Nicht „digitale Souveränität", sondern „Interoperabilität und Offenheit des IT-Systems (BT-Drs 21/5525, S. X) sowie Nachvollziehbarkeit und Steuerung der Datenverarbeitung (ebenda, S. Y), unter Ausschluss der Kriterien Personal und Datenlokalisierung als für diese Beschaffung nicht einschlägig." Der Ausschluss ist so wichtig wie der Einschluss: Er signalisiert der Vergabekammer, dass der Beschaffungsverantwortliche die vollständige Kriterienliste erwogen und eine bewusste Auswahl getroffen hat.

Zweitens: messbare Eigenschaft je Kriterium. Für jedes angerufene Unterkriterium nennt die Ausschreibung die messbare Eigenschaft, die der Bieter nachweisen muss. Für Interoperabilität: Unterstützung von ODF- und CSV-Exporten aller gespeicherten Daten, maschinenlesbare APIs dokumentiert nach OpenAPI 3.x, keine Verwendung proprietärer Dateiformate für Bürgerportaldaten. Für Nachvollziehbarkeit: eine Audit-Log-Aufbewahrung von mindestens 36 Monaten für alle Datenverarbeitungsereignisse, kommunalen Prüfern auf Anforderung zugänglich. Für Sicherheit: BSI C5 oder gleichwertig — benannte Kriterien, kein vager Anspruch.

Drittens: angegebene Gewichtung mit Begründung. Die Gewichtung des Souveränitätskriteriums gegen Preis und Qualität wird in der Ausschreibung offengelegt, mit einer absatzlangen Begründung, die die Gewichtung an den konkreten Beschaffungszweck anbindet. Eine Gewichtung von 20 bis 30 Prozent bei einer Bürgerportal-Beschaffung, begründet mit Anforderungen zur Datenlokalisierung und der politischen Sensibilität der Verarbeitung von Bürgerdaten, liest sich als vertretbar. Eine Gewichtung von 60 Prozent, die effektiv alle Bieter bis auf eine bestimmte Alternative ausschließt, nicht.

Viertens: eine dokumentierte Begründung der Kriterienauswahl in der Vergabeakte. Hinter jeder Ausschreibung, die §58 Nr. 4 anruft, sollte in der Vergabeakte ein Vermerk liegen, der erklärt, warum die konkreten Unterkriterien gewählt wurden, warum sie zum Beschaffungszweck verhältnismäßig sind und wie alternative Ausschreibungen die Kriterien geprüft haben. Dieser Vermerk ist nicht Teil der für Bieter sichtbaren Ausschreibung. Er ist das Dokument, das die Vergabekammer anfordert, wenn das Kriterium angegriffen wird. Vergabestellen, die diesen Vermerk routinemäßig anlegen, werden besser abschneiden als jene, die ihn unter dem Druck einer Nachprüfung erstellen.

Die EVB-IT-Vertragsvorlagen, die Bitkom und das Bundesdigitalministerium BMDS am 20. März veröffentlicht haben, stützen diese Konstruktion. Die Open-Source-konformen EVB-IT-Vorlagen liefern die Vertragssprach-Ebene, die die in der Ausschreibung angerufenen Kriterien operationalisiert. Eine Ausschreibung, die §58 Nr. 4 unter Bezug auf die Open-Source-EVB-IT-Vertragsbedingungen anruft, liest sich als kohärentes Beschaffungsinstrument und nicht als Ad-hoc-Souveränitätsanspruch.

Was die Änderung nicht leistet

Die Kriterien sind permissiv. Sie sind nicht verpflichtend. Ein öffentlicher Käufer, der an Microsoft vergeben will, kann das weiterhin tun, solange das Vergabeverfahren prozedural sauber ist. Das Gesetz nimmt Beschwerdeführern eine rechtliche Waffe; es verpflichtet Käufer nicht, die neuen Kriterien zu nutzen. Die praktische Wirkung hängt daher davon ab, ob öffentliche Käufer das neue Ermessen tatsächlich ausüben. Die Variable sind die Tausenden kommunaler IT-Abteilungen, die unabhängig beschaffen und institutionelle Gründe haben, auf „das, was wir kennen, also Microsoft" zu defaulten.

Es gibt einen leiseren Einwand von außerhalb Deutschlands. Die Kriterien sind so geschrieben, dass deutsche Cloud-Anbieter sie leichter erfüllen als konkurrierende europäische Anbieter. „Lokalisierung der Daten" defaultet in der Praxis auf „deutsches Hosting". „Nachvollziehbarkeit und Steuerung der Datenverarbeitung" begünstigt Open-Source-Stacks, in die das deutsche Ökosystem stärker investiert hat als das französische oder niederländische. Ein französischer oder niederländischer Beschwerdeführer gegen eine deutsche kommunale Ausschreibung trifft jetzt auf ein Kriterienset, das deutsche Angebote subtil bevorzugt. Das Statut ist in der Rahmung europäisch. Es ist im Betrieb deutsch. Das ist ein Merkmal, kein Bug, wie Vergaberecht funktionieren soll — aber Beschaffungsverantwortliche, die keine Vergabekammer-Beschwerden von Nicht-Deutschen EU-Bietern wegen mittelbarer Diskriminierung kassieren wollen, sollten es anerkennen.

Was dieser Artikel nicht ist

Wer aus dieser Analyse herausliest, §58 Nr. 4 sei leer oder löse das Beschaffungs­problem allein, hat den Punkt verfehlt — die Textänderung ist klein, aber die rechtliche Folge ist real, und ein Bundesstatut bewegt für sich genommen keine kommunalen Beschaffungs­entscheidungen. Die Analyse arbeitet eine Ebene tiefer: an der operativen Sprache, die eine Vergabeakte enthalten muss, damit das Kriterium 2027 vor einer Vergabekammer hält. Prognosen über einzelne Nachprüfungs­entscheidungen gehören nicht zum Untersuchungs­gegenstand, ebenso wenig die Frage, ob das Kriterium protektionistisch wirkt — solche Wirkungen sind ein normales Merkmal des Vergaberechts. Für Beschaffungs­verantwortliche, die eine Ausschreibung unter dem neuen §58 schreiben, ersetzt die Analyse keine vergaberechtliche Beratung.

Der kommunale Fall, der das entscheidet

Die Geschichte wird durch eine bestimmte Art von Ereignis entschieden: eine kommunale Ausschreibung, die ausdrücklich auf §58 Absatz 2 Satz 2 Nummer 4 VgV verweist, um ein Microsoft- oder AWS-Angebot abzulehnen, die vom abgelehnten Bieter vor der regionalen Vergabekammer angegriffen wird und die die Nachprüfung übersteht. Geschieht das binnen zwölf Monaten nach Inkrafttreten des Gesetzes, werden Vergaberechtsspezialisten den Fall in jedem folgenden Memo zitieren. Die Kriterien wandern vom Text zum Instrument.

Für Ihre Bürgerportal-Ausschreibung im Volumen von 2,3 Mio. Euro: Bauen Sie die vierteilige Konstruktion auf, dokumentieren Sie den Vermerk zur Kriterienauswahl, gewichten Sie das Souveränitätskriterium verhältnismäßig. Wird Ihre Ausschreibung zur ersten Entscheidung in die eine oder andere Richtung, lesen die nächsten zwei Jahre der deutschen Kommunalvergabe die Akte, die Sie diesen Freitag schreiben.

Quellen

Themenübersicht: Digitale Souveränität in Europa Verwandte Artikel: Der Anbieter hat den Test geschrieben, Was das Veto ändert