Rechtmäßig ist die Verarbeitung personenbezogener Daten, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Grundsätzlich bezieht sich die Ermächtigung nicht nur auf private Verantwortliche, sondern auch öffentliche Stellen können rechtlich verpflichtet sein1Paal/ Pauly DS-GVO BDS, 2. Auflage 2018, Artikel 6 Rn. 18..
Gemäß Art. 6 Abs. 3 DSGVO muss sich die Rechtsgrundlage für die rechtliche Verpflichtung aus Unionsrecht oder dem Recht des Mitgliedsstaats ergeben, dem der Verantwortliche unterliegt.
Dass einzelne vergaberechtliche Vorschriften eine rechtliche Verpflichtung öffentlicher Auftraggeber zur Verarbeitung personenbezogener Daten im Sinne des Art. 6 Abs. 1 lit. c DSGVO begründen können, erscheint nicht ausgeschlossen2Hattig, Ost, Datenschutz im Vergabeverfahren, Vergabenavigator 4 2018, Seite 5, 8.. Besondere Anforderungen an die Rangstufe des der Verpflichtung zugrunde liegenden mitgliedstaatlichen Rechts bestehen nicht, so dass sich die rechtliche Verpflichtung aus Gesetz, aber ebenso aus Verordnungs- oder Satzungsrecht ergeben kann3Schwartmann/Jaspers/Thüsing/Kugelmann-Pabst, DS-GVO/BDSG, Art. 6 Rn. 60.. Die vergaberechtlichen Vorschriften können damit grundsätzlich als entsprechende Rechtsgrundlage in Betracht kommen.