question: c) Warum und auf der Grundlage welchen Verwaltungsverfahrens hat sich die Bundesregierung im Zusammenhang mit dem Zensus 2022 für die Nutzung der Dienste des US-amerikanischen IT-Dienstleisters „Cloudflare“ und gegen die Nutzung von Diensten von IT-Dienstleistern aus der Europäischen Union entschieden, und wie bewertet die Bundesregierung diese Entscheidung im Hinblick auf das nationale und im Hinblick auf das europäische Datenschutzrecht?
answer: Auf Bundesebene gibt es derzeit keinen gültigen Rahmenvertrag für CDN-Dienstleistungen. Aufgrund der sich dramatisch erhöhenden Cyber-Angriffs-Lage war kurzfristiger Handlungsbedarf geboten, um die Infrastrukturen der Bundesverwaltung zu schützen. Insbesondere zur Absicherung des Zensus vor kalkulierten Lastspitzen und möglichen Angriffen waren die ITZBund-eigenen Schutzmechanismen (DDOS-Schutz) auf Grund technischer Anforderungen und zu erwartender Angriffsintensitäten durch CDN-Dienstleistungen zu ergänzen. Die gestiegene Cyber-Bedrohungslage begründet sich insbesondere aus Beobachtungen rund um den Sicherheitsvorfall „Log4J“, auf Informationen z. B. durch das BSI und der allgemein gestiegenen Bedrohungslage angesichts des sich abzeichnenden Ukraine-Konflikts.
  Da der geschätzte Auftragswert unter dem damals gültigen Schwellenwert lag, erfolgte die Vergabe der Leistung nach den nationalen Vergabevorschriften, hier der sog. Unterschwellenvergabeordnung, im Rahmen einer Verhandlungsvergabe ohne Teilnahmewettbewerb nach § 8 Absatz 4 Nummer 10 der Unterschwellenvergabeordnung (UVgO).
  Die Vergabe an den Anbieter Cloudflare erfolgte insbesondere anhand von technischen Kriterien für Möglichkeiten der Mitigation von Angriffen und Lastspitzen auf Webseiten. Darüber hinaus ist der Anbieter Cloudflare als DDOs-Mitigationsdienstleister durch das BSI empfohlen.
  Ergänzend sei darauf verwiesen, dass der BfDI nach einer Überprüfung der im Raum stehenden datenschutzrechtlichen Fragestellungen auf seiner Webseite festgestellt hat, dass „Die unmittelbar eingeleitete Überprüfung jedoch ergeben hat, dass zu keinem Zeitpunkt eine Gefahr für die in dem Fragebogen eingegebenen personenbezogenen Daten bestanden hat“, https://www.bfdi.bund.de/Sha redDocs/Kurzmeldungen/DE/2022/05_Zensus-2022-Cloudflare.html.