TendiGo
Ausschreibungen Hessen

Datenschutzmanagementsystem

ekom21 - Kommunales Gebietsrechenzentrum Hessen | Vergabekammer des Landes Hessen beim Regierungspräsidium Darmstadt | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Gießen, HessenVeröffentlicht:
Angebotsfrist: noch 22 Tage

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Kurzbeschreibung

Die ekom21 – Kommunales Gebietsrechenzentrum Hessen schreibt die Beschaffung eines cloudbasierten Datenschutz-Management-Systems (DSMS) als Software-as-a-Service (SaaS) aus. Das System soll hessische Kommunal- und Landeskunden bei der Umsetzung der DSGVO, des BDSG und des hessischen Datenschutzrechts unterstützen.

Was zu tun ist:

Bereitstellung einer DSMS-Cloud-Lösung mit Modulen für Verzeichnis der Verarbeitungstätigkeiten, Risikomanagement, Betroffenenrechte, Workflows und Mehr-Mandanten-Fähigkeit.Einführung, Konfiguration, Datenmigration und Schnittstellenanbindung beim Endkunden.Schulung von Administrator*innen/Key-User*innen.Laufender Support (1st-/2nd-/3rd-Level) mit definierten Reaktionszeiten.Softwarepflege, Updates und zeitnahe Anpassung bei Gesetzesänderungen.Vertragsform: Rahmenvereinbarung mit einem Wirtschaftsteilnehmer über 48 Monate, Höchstwert 1.000.000 € netto.Zuschlag erfolgt ausschließlich nach Qualitätskriterien.

Frist: Angebotsabgabe bis **01.10.2026

Ausschreibung ansehen

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert
Noch 22 Tage bis zur Angebotsfrist — 01. Oktober 2026
HEUTE
Termin / FristSEP2026 MÄR SEP MÄR SEP MÄR SEP MÄR SEP
Veröffentlichung1. Sep. 2026
Einwendungsfrist Kommunikationca. 1. Sep. – 3. Sep. 2026
Angebotsfrist1. Okt. 2026
Bindefrist1. Okt. – 1. Dez. 2026
Wartepflicht § 134 GWBca. 1. Okt. – 11. Okt. 2026
Rahmenvertrag Laufzeitca. 1. Okt. 2026 – 1. Okt. 2030
Bereitstellung Systemca. 1. Okt. 2026
Update bei Gesetzesänderungenca. 1. Okt. 2026
Aufbewahrungsfrist Datenca. 1. Okt. 2026 – 1. Okt. 2036bis 2036
Nachweis Haftpflichtversicherungca. 1. Okt. – 12. Okt. 2026
Vertragsende Regelvertrag31. Dez. 2029
Verlängerung 1ca. 1. Okt. 2030 – 1. Okt. 2031bis 2031
Verlängerungsende31. Dez. 2030
vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen
Unbekannt0 Kriterien
KI-Hinweis: Aus den vorliegenden Dokumenten (Erfassungsformulare Personenkennzahlen, Supportkonzept und Preisblatt) lassen sich keine konkreten Zuschlagskriterien mit Gewichtungen ableiten. Das Supportkonzept verweist auf ein Wertungskriterium 'Bieterkonzept', jedoch ohne Gewichtung oder Bewertungsmaßstab, und die übrigen Dokumente enthalten Eignungs- bzw. Preisangaben.

Leistungsumfang

Aus den Vergabeunterlagen

Produkt und Bereitstellung

Bereitstellung eines cloudbasierten DSMS als SaaS-Lösung für die Kunden der ekom21.

Das System muss unterstützen:

Rollen- und Rechteverwaltung (Datenschutzteam, Mitarbeiter*innen, Management, externe Auditoren)Mehr-Mandanten-Fähigkeit (mehrere Gesellschaften als eigene Mandanten) mit mandantenübergreifendem Teilen von Aufgaben/DokumentenVerzeichnis der Verarbeitungstätigkeiten (VVT) inkl. revisionssicherer Echtzeitspeicherung und ExportWorkflow-Automatisierung, Genehmigungsworkflows und Self-Service-Erstellung von Workflows/Vorlagen (No-Code/Low-Code per Drag‑&‑Drop)Dokumentenmanagement mit Versionierung, Wiedervorlage, E-Mail-Ablage inkl. Anhänge, Scan-Upload und NotizzettelfunktionBereitstellung von Datenschutz-Dokumentvorlagen und Self-Service-Erstellung/-Anpassung/-Erweiterung von ModulenÖffentlich zugängliche Formulare für Betroffenenanfragen mit steuerbaren FristenRisikomanagement (Risikomatrix, Risikowerte, visuelle Hervorhebung, Nachverfolgung, Fristensteuerung)Aufgaben- und Erinnerungsfunktionen, Stellvertreterfunktion, E-Mail-Versand aus der AkteDashboard (rollenbasiert), Filter, Corporate-Design-Anpassung, VollbildansichtRepository-Einbindung (z. B. SharePoint)Browser-Kompatibilität (alle gängigen Browser)Ausschließlich deutsche Menüführung; sämtliche Verträge, Kommunikation und Unterlagen auf DeutschRegelmäßige Releases mit funktionalen Verbesserungen

Bereitstellung als SaaS durch den Auftragnehmer über die Rechenzentren der ekom21; Erfüllungsort Gießen.

Schnittstellen, Standards und Hosting

Technische Schnittstellen und Standards:

HTTPS-Pflicht (TLS 1.2+ nach BSI TR-02102-2)Skalierbarkeit und Test-/Staging-Umgebung für die EinführungBereitstellung aktueller unterstützter KomponentenversionenAnbindung an Active Directory (AD) zum technischen Go-Live

Hosting-Anforderungen:

SaaS-Bereitstellung durch den AuftragnehmerZugriffseinschränkungen (WAF, IP-Filter, Geo-IP, VPN)ISO 27001-Zertifizierung des Hosting-Anbieters oder BSI-C5-TestatStaging-Umgebung auch für Penetrationstests

Einführung und Implementierung

Der Auftragnehmer verantwortet Produkteinführung und Migration und stellt eine geeignete Projektorganisation bereit:

1. Projektleitung und -koordination über die Einführungsdauer beim Endkunden

2. Einrichtung des Systems und Anpassungen an Endkundenbedarfe

3. Implementierung bestehender Daten, Konfiguration der Schnittstellen (AD-Anbindung, technischer Go-Live)

4. Schulungen der DSMS-Administrator*innen/Key-User*innen (Dozenten sind angestellte Mitarbeiter*innen des Auftragnehmers)

5. Aktive Unterstützung bei internen datenschutzrechtlichen und Personalratsanforderungen (Eigenleistung Endkunde)

6. Befähigungskonzept für alle Mitarbeiter*innen (Anleitungen, Tutorials, Fragestunden) – Eigenleistung Endkunde, bei Bedarf Unterstützung durch Auftragnehmer

7. Konzeption und Begleitung der Pilotphase mit repräsentativer Nutzergruppe (aktive Unterstützung)

8. Anpassungen auf Grundlage des Pilot-Feedbacks (aktive Unterstützung)

9. Roll-out und Go-Live-Begleitung für alle Mitarbeiter*innen

Bereitstellung des Systems ab Zuschlagsdatum.

Schulungen

Ziel: Train the Trainer – Key-User sollen nach Schulung Anwender selbst schulen und supporten könnenDozenten: angestellte Mitarbeiter*innen des AuftragnehmersSprache: DeutschSchulungsunterlagen: Deutsch, online und optional ausgedrucktOrt: Geschäftsräume des Endkunden oder onlineSchulungs-/Onboarding-Tage als Einmalkosten im PreisblattNachbetreuung nach Produktivsetzung

Support und Wartung

Servicezeiten: Montag–Freitag 08:00–17:00 Uhr (Reaktions- und Wiederherstellungszeiten laufen ausschließlich innerhalb dieser Zeiten).

Support-Level:

First-Level: Zugriff/Navigation/Nutzung, Annahme/Dokumentation/Priorisierung von Störungen, einfache und komplexe Fragen (unbegrenztes Volumen) – durch AuftragnehmerSecond-Level: Benutzerbezogene Fehlersuche, Systemkonfigurations-/Parameter-Probleme, Bedienungsanleitungen, sämtliche Unterstützungsanfragen, Kundenberatung – durch AuftragnehmerThird-Level: Softwarefehler, die Funktionalität/Nutzbarkeit beeinträchtigen, Störungsbearbeitung/-beseitigung Standardsoftware, Fernwartung – durch Auftragnehmer

Ticketsystem des Auftragnehmers für Störungsmeldungen und Anfragen.

Mängelklassen (Reaktions- und Wiederherstellungszeiten innerhalb der Servicezeiten):

Betriebsverhindernder Mangel: Reaktion 24 Std., Wiederherstellung 8 Std.Betriebsbehindernder Mangel: Reaktion 4 Std., Wiederherstellung 24 Std.Leichter Mangel: Reaktion 24 Std., Wiederherstellung 80 Std.Vertragsstrafe bei Nichteinhaltung der Wiederherstellungszeit: 1/30 des monatlichen Softwarepflege-Entgelts pro angefangenem Tag (betriebsverhindernd) bzw. 50 % davon (betriebsbehindernd, leichter Mangel)

Softwarepflege: Sämtliche Patches/Updates/Upgrades/Releases unverzüglich nach Verfügbarkeit. Programmstände zur Umsetzung gesetzlicher/rechtlicher Änderungen mindestens 14 Tage vor Inkrafttreten; ansonsten Übergangslösung. Kundenindividuelle Anpassungen bleiben bei Updates vollständig erhalten. BSI-/technische Normänderungen sind kostenneutral umzusetzen. Vergütung in der Pflegepauschale enthalten.

Sicherheits-Patches: Definierte Reaktionszeiten bei CVSS > 9,0 (1 Tag) und CVSS > 8,0 (2 Tage); Patch-Bereitstellung spätestens 2 Monate nach Bekanntwerden.

IT-Sicherheit und Datenschutz

Informationssicherheit:

IT-Sicherheitskonzept nach BSI 200-1/200-2/200-3 oder ISO 27001ISO 27001-Zertifizierung des AuftragnehmersHärtung gegen OWASP Top 10Penetrationstest (max. 1 Jahr alt, keine offenen kritischen Mängel)Etabliertes Schwachstellenmanagementsecurity.txt und CVD-Prozess dokumentiertSBOM gemäß BSI TR-03183

Identitäts- und Zugriffsmanagement:

Passwortrichtlinien und Kontosperrung2-Faktor-Authentifizierung (Passkeys gemäß BSI TR-03188)Unterstützung OIDC/SAML 2.0Zentrale Authentifizierungskomponente

Datenschutz:

Einhaltung DSGVO, BDSG, HDSIGDatenschutzerklärung im SystemUnternehmenssitz in EU oder Land mit Angemessenheitsbeschluss gem. Art. 45 Abs. 3 DSGVOProtokollierung aller Änderungen an personenbezogenen DatenVollständige Löschbarkeit von BenutzerdatensätzenPrüfrecht des AuftraggebersAuftragsverarbeitungsvertrag gem. Art. 28 DSGVO (Anlage 4)

Barrierefreiheit: BITV HE, EN 301 549, WCAG 2.0, PDF/UA.

Vertragliche Struktur

Vertragsform: Rahmenvereinbarung mit einem Wirtschaftsteilnehmer (max. 1 Teilnehmer); Höchstwert 1.000.000 € netto.

Laufzeit: 48 Monate ab Vertragsbeginn.

Vertragsgrundlage: EVB-IT-Vertragsunterlagen/Mustervertragsunterlagen, ABB der ekom21, IT-Cloud-Vertrag Rahmenvereinbarung, Anlage 4 Auftragsverarbeitungsvertrag.

Bezugsberechtigte: ekom21 – KGRZ Hessen, ihre Mitglieder und Beteiligungen (z. B. govdigital eG, ProVitako eG, PSITA eG, KIV Thüringen GmbH) sowie weitere öffentliche Institutionen. Vertragswicklung erfolgt direkt zwischen Endkunde und Anbieter.

Einzelaufträge: Art, Umfang und Termine werden in Einzelaufträgen konkretisiert; auch funktional ähnliche, nicht ausdrücklich beschriebene Leistungen können beauftragt werden.

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Befähigung und Erlaubnis zur Berufsausübung

Nachweis der Eintragung im Berufs- oder Handelsregister (Kopie) bzw. Gewerbean- und -ummeldung, falls keine Eintragungspflicht besteht.

Wirtschaftliche und finanzielle Leistungsfähigkeit

Erklärung zum UnternehmenNachweis einer bestehenden Berufs- oder Betriebshaftpflichtversicherung für die gesamte Vertragslaufzeit (bei Zuschlagsabsicht Nachweis innerhalb 7 Werktagen); Nichteinhaltung führt zum AusschlussErklärung zum Gesamtumsatz der letzten 3 Geschäftsjahre

Technische und berufliche Leistungsfähigkeit

Personenkennzahlen (durchschnittliche jährliche Beschäftigtenzahl der letzten 3 Jahre in Vollzeitkräften)Mindestens 5 geeignete Referenzen aus den letzten 3 Jahren (Art, Umfang, Aufgabenstellung, Struktur, Schwierigkeitsgrad, Gesamtvolumen, vergleichbarer Auftraggeber müssen vergleichbar sein; termingerechter Abschluss; Verifizierung beim Referenzgeber vorbehalten); je Los einzeln einzureichenErklärung zu Datenschutz und IT-Sicherheit (inkl. Angaben zu Datenschutzbeauftragtem und IT-Sicherheitsbeauftragtem)Erklärung zum Partnerstatus inkl. Kopie der HerstellerzertifizierungErklärung zur QualitätssicherungErklärung zur NachhaltigkeitErklärung zum Informations-Sicherheits-ManagementsystemErklärung zur technischen Ausstattung

Sicherheits- und Datenschutzanforderungen

ISO 27001-Zertifikat (oder gleichwertig) für das angebotene ProduktISO 27001-Zertifikat oder BSI-C5-Testat für den Hosting-AnbieterSicherheitskonzept nach BSI-Standard 200-2 bzw. ISO/IEC 27001Penetrationstest (max. 1 Jahr alt, keine kritischen offenen Mängel)SBOM gemäß BSI TR-03183CVD-Prozess-Dokumentation oder security.txtEtabliertes Schwachstellenmanagement mit definierten ReaktionszeitenUnternehmenssitz in EU oder Land mit Angemessenheitsbeschluss gem. Art. 45 Abs. 3 DSGVODatenschutzerklärung im System, Protokollierung und Löschbarkeit personenbezogener Daten, Prüfrecht des AuftraggebersVerpflichtung der Beschäftigten auf Datenschutzvorschriften und regelmäßige SchulungenDokumentiertes Datenschutzkonzept; Verhaltensregeln gem. Art. 40 DSGVO (optional)Mandantenfähigkeit, Berechtigungskonzept, Passwortsicherheit, Verschlüsselung, Protokollierung

Ausschlussgründe

Keine Verurteilungen nach § 123 Abs. 1 Nr. 1–10 GWB (letzte 5 Jahre)Keine Ausschlussgründe nach § 124 Abs. 1 Nr. 1–9 GWB (letzte 3 Jahre)Erfüllung der Pflichten zu Steuern und SozialversicherungKeine Geldbuße ≥ 2.500 € wegen MiLoG-Verstoßes (letzte 3 Jahre)Keine schwere Verfehlung, kein laufendes Anhörungsverfahren, kein Ausschluss durch öffentliche StelleKein Ausschluss außerhalb des Landes HessenKeine falschen Erklärungen / Vorlage unzutreffender NachweiseBei Anwendung LkSG: Erfüllung der Sorgfaltspflichten gem. § 3 LkSG – oder: Unternehmen nicht vom LkSG erfasstEintragung im Berufs-/Handelsregister oder vergleichbare Zulassung gem. EU/EWR-Recht

Besondere Auftragsbedingungen

Verpflichtungserklärung zur Tariftreue und zum Mindestentgelt (HVTG) – mit dem Angebot in Textform gem. § 126 b BGB abzugeben; bei Nachunternehmern spätestens vor AusführungSprachanforderungen: Projektleitung und Personen mit unmittelbarem Kundenkontakt müssen ausreichende Deutschkenntnisse (Wort und Schrift) habenHubbard-Verbot: Verbot der Anwendung, Lehre oder Verbreitung der „Technologie von L. Ron Hubbard" bei Beratungs- und SchulungsleistungenErklärung gemäß Art. 5k EU-Verordnung 833/2014 (Russland-Sanktionen)Präqualifizierungssystem (HPQR, PQ-VOL) als optionaler Nachweis zulässig

Sprach- und Kommunikationsanforderungen

Ausschließlich deutsche Menüführung; sämtliche Verträge, Kommunikation und Unterlagen auf Deutsch.

Eignungsleihe, Unteraufträge und Bietergemeinschaften

Eignungsleihe gem. § 47 VgV möglich: Verfügbarkeitsnachweis mit Beschreibung der Mittel/Kapazitäten und Erklärung zur gemeinsamen Haftung (§ 47 Abs. 3 VgV)Unterauftragsvergabe gem. § 36 VgV möglich: gesonderte Erklärungen je Unterauftragnehmer erforderlichBietergemeinschaften: gesamtschuldnerische Haftung, Bevollmächtigung eines Vertreters; jedes Mitglied reicht separate Erklärungen einUnterauftragnehmer-Erklärungen zu Ausschlussgründen, besonderen Auftragsbedingungen und Tariftreue spätestens vor Auftragsausführung
Referenzprojekte
mindestens 5 ReferenzenZeitraum: innerhalb der letzten 3 Jahre (vor Angebotsabgabe); Abschluss darf nicht vor dem in der Bekanntmachung genannten Zeitraum endenVolumen: Rechnungswert (netto, EUR) ist anzugeben; Circa-Angaben kennzeichnen

Mindestens 5 geeignete, unabhängige Referenzleistungen aus den letzten 3 Jahren, vergleichbar mit dem ausgeschriebenen Auftrag (Implementierung/Betrieb DSMS oder vergleichbarer IT-Dienstleistungen)

Art, Umfang, Aufgabenstellung, Struktur, technisch-organisatorisches Umfeld, Schwierigkeitsgrad und Gesamtvolumen müssen vergleichbar sein; Auftraggeber öffentlich (§ 99 GWB) oder Sektorenauftraggeber (§ 100 GWB); ordnungsgemäßer, termingerechter Abschluss; Verifizierung beim Referenzgeber vorbehalten; Eigenerklärung mittels Formular 'Erklärung zu geeigneten Referenzen'

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben
1–3Angebote erwartet
Median vergleichbarer Vergaben: rund 2 Angebote
Geringe Konkurrenz
Wahrscheinliche Bieterzahl
1–3 · 45%4–10 · 28%11+ · 26%
Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 43 erledigt
Formulare und Pflichtunterlagen (immer einzureichen)
Eignungsnachweise (technisch / fachlich)
Angebotsinhalt und Preis
Besonderheiten bei Bietergemeinschaft / Unterauftragnehmer / Eignungsleihe
Kommunikation und Plattform
Mit TendiGo
Alle Vergabeunterlagen, KI-Analyse der Eignungskriterien und ein Angebots-Check — direkt zu dieser Ausschreibung.
Zur Original-Ausschreibung
Vergabeunterlagen abrufenKI prüft EignungskriterienKI hilft bei der Bewerbung
Neue passende Ausschreibungen per E-Mail
Erhalten Sie einmal pro Woche die neuen Vergabeverfahren dieser Branche per E-Mail.
Bitte geschäftliche E-Mail-Adresse (name@ihrefirma.de). Private Anbieter wie Gmail oder GMX können wir nicht benachrichtigen.
Kostenlos · jederzeit abbestellbar

Auf einen Blick

Auftraggeber
ekom21 - Kommunales Gebietsrechenzentrum Hessen | Vergabekammer des Landes Hessen beim Regierungspräsidium Darmstadt | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Anschrift
35398 Gießen
Ort
35398 Gießen
Kategorie
Hessen
Veröffentlicht
Angebotsfrist
Auftraggeber-Website
www.ekom21.de

Erfüllungsort

Ort der Leistung
35398 Gießen
Hessen

Weitere Ausschreibungen Hessen

Alle anzeigen

Bereit für die Zukunft der Vergabe?

Setzen Sie auf den neuen technologischen Standard und verschaffen Sie sich den entscheidenden Vorsprung in der Auftragsakquise.

806+ VergabequellenMit Experten entwickeltSofort einsatzbereit