TendiGo
Jetzt starten →
Ausschreibungen Hessen

Datenschutzmanagementsystem

ekom21 - Kommunales Gebietsrechenzentrum Hessen | Vergabekammer des Landes Hessen beim Regierungspräsidium Darmstadt | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Gießen, HessenVeröffentlicht:
Angebotsfrist:

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Kurzbeschreibung

Die ekom21 – Kommunales Gebietsrechenzentrum Hessen schreibt die Beschaffung eines cloudbasierten Datenschutz-Management-Systems (DSMS) als Software-as-a-Service (SaaS) aus. Das System soll hessische Kommunal- und Landeskunden bei der Umsetzung der DSGVO, des BDSG und des hessischen Datenschutzrechts unterstützen.

Was zu tun ist:

Bereitstellung einer DSMS-Cloud-Lösung mit Modulen für Verzeichnis der Verarbeitungstätigkeiten, Risikomanagement, Betroffenenrechte, Workflows und Mehr-Mandanten-Fähigkeit.Einführung, Konfiguration, Datenmigration und Schnittstellenanbindung beim Endkunden.Schulung von Administrator*innen/Key-User*innen.Laufender Support (1st-/2nd-/3rd-Level) mit definierten Reaktionszeiten.Softwarepflege, Updates und zeitnahe Anpassung bei Gesetzesänderungen.Vertragsform: Rahmenvereinbarung mit einem Wirtschaftsteilnehmer über 48 Monate, Höchstwert 1.000.000 € netto.Zuschlag erfolgt ausschließlich nach Qualitätskriterien.

Frist: Angebotsabgabe bis **01.10.2026

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert
Angebotsfrist: 06. Oktober 2026
Termin / FristSEP2026 MÄR SEP MÄR SEP MÄR SEP MÄR SEP
Veröffentlichung1. Sep. 2026
Einwendungsfrist Kommunikationca. 1. Sep. – 3. Sep. 2026
Angebotsfrist1. Okt. 2026
Bindefrist1. Okt. – 1. Dez. 2026
Wartepflicht § 134 GWBca. 1. Okt. – 11. Okt. 2026
Rahmenvertrag Laufzeitca. 1. Okt. 2026 – 1. Okt. 2030
Bereitstellung Systemca. 1. Okt. 2026
Update bei Gesetzesänderungenca. 1. Okt. 2026
Aufbewahrungsfrist Datenca. 1. Okt. 2026 – 1. Okt. 2036bis 2036
Nachweis Haftpflichtversicherungca. 1. Okt. – 12. Okt. 2026
Vertragsende Regelvertrag31. Dez. 2029
Verlängerung 1ca. 1. Okt. 2030 – 1. Okt. 2031bis 2031
Verlängerungsende31. Dez. 2030
vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen
Preis & Qualität4 Kriterien
Preis 30%Qualität 70%
  • Wertungspreis30%

    Angebotspreis auf Basis des Preisblatts; max. 30 Wertungspunkte. Niedrigster Wertungspreis erhält 30 Punkte.

  • Anforderungsliste50%

    Bewertung der beantworteten Anforderungsliste anhand der Bewertungskriterien (Prio-1-Muss- und Prio-2-Kann-Kriterien). Max. 290 Leistungspunkte, Umrechnungsfaktor ca. 0,1724, max. 50 Wertungspunkte.

  • Supportkonzept10%

    Bewertung des Supportkonzepts anhand der Notenstufen 0-5, Umrechnungsfaktor 2, max. 10 Wertungspunkte.

  • Grobkonzept zum Einführungsproject10%

    Bewertung des Grobkonzepts zum Einführungsprojekt anhand der Notenstufen 0-5, Umrechnungsfaktor 2, max. 10 Wertungspunkte.

Preis: Wertungspunktzahl = (Niedrigster Wertungspreis × 30) / Wertungspreis Bieter XY (max. 30 Punkte). Qualität: Bewertung mit Notenstufen 0-5; Leistungspunkte × Umrechnungsfaktor = Wertungspunkte. Anforderungsliste: bis zu 290 Leistungspunkte × Faktor ca. 0,1724 = max. 50 Wertungspunkte. Supportkonzept: Punkte × 2 = max. 10 Wertungspunkte. Grobkonzept: Punkte × 2 = max. 10 Wertungspunkte. Gesamtsumme max. 100 Wertungspunkte; höchste Punktzahl gewinnt.

KI-Hinweis: Kriterien und Gewichtungen sind in den Bewerbungsbedingungen (v3) vollständig angegeben; die Bekanntmachung enthielt abweichende Angaben (70% Anforderungsliste), die laut Bieterinformation Nr. 2 als Fehler bestätigt und durch Korrekturbekanntmachung berichtigt wurden – es gelten die Bewerbungsbedingungen.

Leistungsumfang

Aus den Vergabeunterlagen

Produkt und Bereitstellung

Bereitstellung eines cloudbasierten DSMS als SaaS-Lösung für die Kunden der ekom21.

Das System muss unterstützen:

Rollen- und Rechteverwaltung (Datenschutzteam, Mitarbeiter*innen, Management, externe Auditoren)Mehr-Mandanten-Fähigkeit (mehrere Gesellschaften als eigene Mandanten) mit mandantenübergreifendem Teilen von Aufgaben/DokumentenVerzeichnis der Verarbeitungstätigkeiten (VVT) inkl. revisionssicherer Echtzeitspeicherung und ExportWorkflow-Automatisierung, Genehmigungsworkflows und Self-Service-Erstellung von Workflows/Vorlagen (No-Code/Low-Code per Drag‑&‑Drop)Dokumentenmanagement mit Versionierung, Wiedervorlage, E-Mail-Ablage inkl. Anhänge, Scan-Upload und NotizzettelfunktionBereitstellung von Datenschutz-Dokumentvorlagen und Self-Service-Erstellung/-Anpassung/-Erweiterung von ModulenÖffentlich zugängliche Formulare für Betroffenenanfragen mit steuerbaren FristenRisikomanagement (Risikomatrix, Risikowerte, visuelle Hervorhebung, Nachverfolgung, Fristensteuerung)Aufgaben- und Erinnerungsfunktionen, Stellvertreterfunktion, E-Mail-Versand aus der AkteDashboard (rollenbasiert), Filter, Corporate-Design-Anpassung, VollbildansichtRepository-Einbindung (z. B. SharePoint)Browser-Kompatibilität (alle gängigen Browser)Ausschließlich deutsche Menüführung; sämtliche Verträge, Kommunikation und Unterlagen auf DeutschRegelmäßige Releases mit funktionalen Verbesserungen

Bereitstellung als SaaS durch den Auftragnehmer über die Rechenzentren der ekom21; Erfüllungsort Gießen.

Schnittstellen, Standards und Hosting

Technische Schnittstellen und Standards:

HTTPS-Pflicht (TLS 1.2+ nach BSI TR-02102-2)Skalierbarkeit und Test-/Staging-Umgebung für die EinführungBereitstellung aktueller unterstützter KomponentenversionenAnbindung an Active Directory (AD) zum technischen Go-Live

Hosting-Anforderungen:

SaaS-Bereitstellung durch den AuftragnehmerZugriffseinschränkungen (WAF, IP-Filter, Geo-IP, VPN)ISO 27001-Zertifizierung des Hosting-Anbieters oder BSI-C5-TestatStaging-Umgebung auch für Penetrationstests

Einführung und Implementierung

Der Auftragnehmer verantwortet Produkteinführung und Migration und stellt eine geeignete Projektorganisation bereit:

1. Projektleitung und -koordination über die Einführungsdauer beim Endkunden

2. Einrichtung des Systems und Anpassungen an Endkundenbedarfe

3. Implementierung bestehender Daten, Konfiguration der Schnittstellen (AD-Anbindung, technischer Go-Live)

4. Schulungen der DSMS-Administrator*innen/Key-User*innen (Dozenten sind angestellte Mitarbeiter*innen des Auftragnehmers)

5. Aktive Unterstützung bei internen datenschutzrechtlichen und Personalratsanforderungen (Eigenleistung Endkunde)

6. Befähigungskonzept für alle Mitarbeiter*innen (Anleitungen, Tutorials, Fragestunden) – Eigenleistung Endkunde, bei Bedarf Unterstützung durch Auftragnehmer

7. Konzeption und Begleitung der Pilotphase mit repräsentativer Nutzergruppe (aktive Unterstützung)

8. Anpassungen auf Grundlage des Pilot-Feedbacks (aktive Unterstützung)

9. Roll-out und Go-Live-Begleitung für alle Mitarbeiter*innen

Bereitstellung des Systems ab Zuschlagsdatum.

Schulungen

Ziel: Train the Trainer – Key-User sollen nach Schulung Anwender selbst schulen und supporten könnenDozenten: angestellte Mitarbeiter*innen des AuftragnehmersSprache: DeutschSchulungsunterlagen: Deutsch, online und optional ausgedrucktOrt: Geschäftsräume des Endkunden oder onlineSchulungs-/Onboarding-Tage als Einmalkosten im PreisblattNachbetreuung nach Produktivsetzung

Support und Wartung

Servicezeiten: Montag–Freitag 08:00–17:00 Uhr (Reaktions- und Wiederherstellungszeiten laufen ausschließlich innerhalb dieser Zeiten).

Support-Level:

First-Level: Zugriff/Navigation/Nutzung, Annahme/Dokumentation/Priorisierung von Störungen, einfache und komplexe Fragen (unbegrenztes Volumen) – durch AuftragnehmerSecond-Level: Benutzerbezogene Fehlersuche, Systemkonfigurations-/Parameter-Probleme, Bedienungsanleitungen, sämtliche Unterstützungsanfragen, Kundenberatung – durch AuftragnehmerThird-Level: Softwarefehler, die Funktionalität/Nutzbarkeit beeinträchtigen, Störungsbearbeitung/-beseitigung Standardsoftware, Fernwartung – durch Auftragnehmer

Ticketsystem des Auftragnehmers für Störungsmeldungen und Anfragen.

Mängelklassen (Reaktions- und Wiederherstellungszeiten innerhalb der Servicezeiten):

Betriebsverhindernder Mangel: Reaktion 24 Std., Wiederherstellung 8 Std.Betriebsbehindernder Mangel: Reaktion 4 Std., Wiederherstellung 24 Std.Leichter Mangel: Reaktion 24 Std., Wiederherstellung 80 Std.Vertragsstrafe bei Nichteinhaltung der Wiederherstellungszeit: 1/30 des monatlichen Softwarepflege-Entgelts pro angefangenem Tag (betriebsverhindernd) bzw. 50 % davon (betriebsbehindernd, leichter Mangel)

Softwarepflege: Sämtliche Patches/Updates/Upgrades/Releases unverzüglich nach Verfügbarkeit. Programmstände zur Umsetzung gesetzlicher/rechtlicher Änderungen mindestens 14 Tage vor Inkrafttreten; ansonsten Übergangslösung. Kundenindividuelle Anpassungen bleiben bei Updates vollständig erhalten. BSI-/technische Normänderungen sind kostenneutral umzusetzen. Vergütung in der Pflegepauschale enthalten.

Sicherheits-Patches: Definierte Reaktionszeiten bei CVSS > 9,0 (1 Tag) und CVSS > 8,0 (2 Tage); Patch-Bereitstellung spätestens 2 Monate nach Bekanntwerden.

IT-Sicherheit und Datenschutz

Informationssicherheit:

IT-Sicherheitskonzept nach BSI 200-1/200-2/200-3 oder ISO 27001ISO 27001-Zertifizierung des AuftragnehmersHärtung gegen OWASP Top 10Penetrationstest (max. 1 Jahr alt, keine offenen kritischen Mängel)Etabliertes Schwachstellenmanagementsecurity.txt und CVD-Prozess dokumentiertSBOM gemäß BSI TR-03183

Identitäts- und Zugriffsmanagement:

Passwortrichtlinien und Kontosperrung2-Faktor-Authentifizierung (Passkeys gemäß BSI TR-03188)Unterstützung OIDC/SAML 2.0Zentrale Authentifizierungskomponente

Datenschutz:

Einhaltung DSGVO, BDSG, HDSIGDatenschutzerklärung im SystemUnternehmenssitz in EU oder Land mit Angemessenheitsbeschluss gem. Art. 45 Abs. 3 DSGVOProtokollierung aller Änderungen an personenbezogenen DatenVollständige Löschbarkeit von BenutzerdatensätzenPrüfrecht des AuftraggebersAuftragsverarbeitungsvertrag gem. Art. 28 DSGVO (Anlage 4)

Barrierefreiheit: BITV HE, EN 301 549, WCAG 2.0, PDF/UA.

Vertragliche Struktur

Vertragsform: Rahmenvereinbarung mit einem Wirtschaftsteilnehmer (max. 1 Teilnehmer); Höchstwert 1.000.000 € netto.

Laufzeit: 48 Monate ab Vertragsbeginn.

Vertragsgrundlage: EVB-IT-Vertragsunterlagen/Mustervertragsunterlagen, ABB der ekom21, IT-Cloud-Vertrag Rahmenvereinbarung, Anlage 4 Auftragsverarbeitungsvertrag.

Bezugsberechtigte: ekom21 – KGRZ Hessen, ihre Mitglieder und Beteiligungen (z. B. govdigital eG, ProVitako eG, PSITA eG, KIV Thüringen GmbH) sowie weitere öffentliche Institutionen. Vertragswicklung erfolgt direkt zwischen Endkunde und Anbieter.

Einzelaufträge: Art, Umfang und Termine werden in Einzelaufträgen konkretisiert; auch funktional ähnliche, nicht ausdrücklich beschriebene Leistungen können beauftragt werden.

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Befähigung und Erlaubnis zur Berufsausübung

Nachweis der Eintragung im Berufs- oder Handelsregister (Kopie) bzw. Gewerbean- und -ummeldung, falls keine Eintragungspflicht besteht.

Wirtschaftliche und finanzielle Leistungsfähigkeit

Erklärung zum UnternehmenNachweis einer bestehenden Berufs- oder Betriebshaftpflichtversicherung für die gesamte Vertragslaufzeit (bei Zuschlagsabsicht Nachweis innerhalb 7 Werktagen); Nichteinhaltung führt zum AusschlussErklärung zum Gesamtumsatz der letzten 3 Geschäftsjahre

Technische und berufliche Leistungsfähigkeit

Personenkennzahlen (durchschnittliche jährliche Beschäftigtenzahl der letzten 3 Jahre in Vollzeitkräften)Mindestens 5 geeignete Referenzen aus den letzten 3 Jahren (Art, Umfang, Aufgabenstellung, Struktur, Schwierigkeitsgrad, Gesamtvolumen, vergleichbarer Auftraggeber müssen vergleichbar sein; termingerechter Abschluss; Verifizierung beim Referenzgeber vorbehalten); je Los einzeln einzureichenErklärung zu Datenschutz und IT-Sicherheit (inkl. Angaben zu Datenschutzbeauftragtem und IT-Sicherheitsbeauftragtem)Erklärung zum Partnerstatus inkl. Kopie der HerstellerzertifizierungErklärung zur QualitätssicherungErklärung zur NachhaltigkeitErklärung zum Informations-Sicherheits-ManagementsystemErklärung zur technischen Ausstattung

Sicherheits- und Datenschutzanforderungen

ISO 27001-Zertifikat (oder gleichwertig) für das angebotene ProduktISO 27001-Zertifikat oder BSI-C5-Testat für den Hosting-AnbieterSicherheitskonzept nach BSI-Standard 200-2 bzw. ISO/IEC 27001Penetrationstest (max. 1 Jahr alt, keine kritischen offenen Mängel)SBOM gemäß BSI TR-03183CVD-Prozess-Dokumentation oder security.txtEtabliertes Schwachstellenmanagement mit definierten ReaktionszeitenUnternehmenssitz in EU oder Land mit Angemessenheitsbeschluss gem. Art. 45 Abs. 3 DSGVODatenschutzerklärung im System, Protokollierung und Löschbarkeit personenbezogener Daten, Prüfrecht des AuftraggebersVerpflichtung der Beschäftigten auf Datenschutzvorschriften und regelmäßige SchulungenDokumentiertes Datenschutzkonzept; Verhaltensregeln gem. Art. 40 DSGVO (optional)Mandantenfähigkeit, Berechtigungskonzept, Passwortsicherheit, Verschlüsselung, Protokollierung

Ausschlussgründe

Keine Verurteilungen nach § 123 Abs. 1 Nr. 1–10 GWB (letzte 5 Jahre)Keine Ausschlussgründe nach § 124 Abs. 1 Nr. 1–9 GWB (letzte 3 Jahre)Erfüllung der Pflichten zu Steuern und SozialversicherungKeine Geldbuße ≥ 2.500 € wegen MiLoG-Verstoßes (letzte 3 Jahre)Keine schwere Verfehlung, kein laufendes Anhörungsverfahren, kein Ausschluss durch öffentliche StelleKein Ausschluss außerhalb des Landes HessenKeine falschen Erklärungen / Vorlage unzutreffender NachweiseBei Anwendung LkSG: Erfüllung der Sorgfaltspflichten gem. § 3 LkSG – oder: Unternehmen nicht vom LkSG erfasstEintragung im Berufs-/Handelsregister oder vergleichbare Zulassung gem. EU/EWR-Recht

Besondere Auftragsbedingungen

Verpflichtungserklärung zur Tariftreue und zum Mindestentgelt (HVTG) – mit dem Angebot in Textform gem. § 126 b BGB abzugeben; bei Nachunternehmern spätestens vor AusführungSprachanforderungen: Projektleitung und Personen mit unmittelbarem Kundenkontakt müssen ausreichende Deutschkenntnisse (Wort und Schrift) habenHubbard-Verbot: Verbot der Anwendung, Lehre oder Verbreitung der „Technologie von L. Ron Hubbard" bei Beratungs- und SchulungsleistungenErklärung gemäß Art. 5k EU-Verordnung 833/2014 (Russland-Sanktionen)Präqualifizierungssystem (HPQR, PQ-VOL) als optionaler Nachweis zulässig

Sprach- und Kommunikationsanforderungen

Ausschließlich deutsche Menüführung; sämtliche Verträge, Kommunikation und Unterlagen auf Deutsch.

Eignungsleihe, Unteraufträge und Bietergemeinschaften

Eignungsleihe gem. § 47 VgV möglich: Verfügbarkeitsnachweis mit Beschreibung der Mittel/Kapazitäten und Erklärung zur gemeinsamen Haftung (§ 47 Abs. 3 VgV)Unterauftragsvergabe gem. § 36 VgV möglich: gesonderte Erklärungen je Unterauftragnehmer erforderlichBietergemeinschaften: gesamtschuldnerische Haftung, Bevollmächtigung eines Vertreters; jedes Mitglied reicht separate Erklärungen einUnterauftragnehmer-Erklärungen zu Ausschlussgründen, besonderen Auftragsbedingungen und Tariftreue spätestens vor Auftragsausführung
Referenzprojekte
mindestens 5 ReferenzenZeitraum: innerhalb der letzten 3 Jahre (vor Angebotsabgabe); Abschluss darf nicht vor dem in der Bekanntmachung genannten Zeitraum endenVolumen: Rechnungswert (netto, EUR) ist anzugeben; Circa-Angaben kennzeichnen

Mindestens 5 geeignete, unabhängige Referenzleistungen aus den letzten 3 Jahren, vergleichbar mit dem ausgeschriebenen Auftrag (Implementierung/Betrieb DSMS oder vergleichbarer IT-Dienstleistungen)

Art, Umfang, Aufgabenstellung, Struktur, technisch-organisatorisches Umfeld, Schwierigkeitsgrad und Gesamtvolumen müssen vergleichbar sein; Auftraggeber öffentlich (§ 99 GWB) oder Sektorenauftraggeber (§ 100 GWB); ordnungsgemäßer, termingerechter Abschluss; Verifizierung beim Referenzgeber vorbehalten; Eigenerklärung mittels Formular 'Erklärung zu geeigneten Referenzen'

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben
1–3Angebote erwartet
Median vergleichbarer Vergaben: rund 2 Angebote
Geringe Konkurrenz
Wahrscheinliche Bieterzahl
1–3 · 67%4–10 · 29%11+ · 4%
Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 43 erledigt
Formulare und Pflichtunterlagen (immer einzureichen)
Eignungsnachweise (technisch / fachlich)
Angebotsinhalt und Preis
Besonderheiten bei Bietergemeinschaft / Unterauftragnehmer / Eignungsleihe
Kommunikation und Plattform

Verlauf dieser Vergabe

4 Bekanntmachungen
  1. 30.09.2026Ausschreibungauf dieser Seite
    • Abgabefrist: 01.10.2026 → 06.10.2026
    • Frist für Fragen: 18.09.2026 → ohne Angabe
  2. 23.09.2026Ausschreibung
    • Frist für Fragen: ohne Angabe → 18.09.2026
  3. 15.09.2026Ausschreibung
  4. 01.09.2026Ausschreibung
Mit TendiGo
Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.
Diese Ausschreibung mit KI prüfen
Zur Original-Ausschreibung ↗

Auf einen Blick

Auftraggeber
ekom21 - Kommunales Gebietsrechenzentrum Hessen | Vergabekammer des Landes Hessen beim Regierungspräsidium Darmstadt | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Anschrift
35398 Gießen
Ort
35398 Gießen
Kategorie
Hessen
Veröffentlicht
Angebotsfrist
Auftraggeber-Website
www.ekom21.de ↗
Auftraggeber-Profil ansehen

Erfüllungsort

Ort der Leistung
35398 Gießen
Hessen

Weitere Ausschreibungen Hessen

Alle anzeigen →
Hessen

Ausführung von Bauleistungen

Magistrat der Stadt Bebra · 36179 BebraFrist: Hessen

ELEKTRO-Ausschreibung für die 3 Häuser

Landesbetrieb Bau und Immobilien Hessen, Niederlassung Mitte Zentrale Vergabe · Straßenmeisterei Groß-Gerau, Schlesische Str. 7, 64521 Groß-GerauFrist: Hessen

GaLaBau / Modulbau

Zentrale Auftragsvergabestelle des Landkreises Darmstadt-Dieburg für den Eigenbetrieb Da-Di-Werk Gebäudemanagement · 00000 DieburgFrist: Hessen

Elektroarbeiten BMA

Landesbetrieb Bau und Immobilien Hessen, Niederlassung Mitte Zentrale Vergabe · Polizeipräsidium Osthessen Serveringstraße 1-7 36043 FuldaFrist: Hessen

Spielplatzerweiterung Goetheanlage - Landschaftsgärtnerische Leistungen

Stadt Kassel, Umwelt- und Gartenamt · 34119 KasselFrist: Hessen

Ausführung von Bauleistungen

Stadt Kronberg im Taunus · 61476 Kronberg im TaunusFrist:

Bereit für die Zukunft der Vergabe?

Setzen Sie auf den neuen technologischen Standard und verschaffen Sie sich den entscheidenden Vorsprung in der Auftragsakquise.

806+ VergabequellenMit Experten entwickeltSofort einsatzbereit