Rahmenvereinbarung über die Beauftragung eines externen betrieblichen Datenschutzbeauftragten

Die Stiftung hat derzeit etwa 165 Mitarbeitende sowie etwa 175 Netzwerkpartner, Förderer und Unterstützer. Zu unterstützen sind insbesondere Auftragsverarbeitung und gemeinsame Datenverarbeitung, Cloud-Services, die Entwicklung des CRM-Systems, Lernmanagementsystem, digitale Plattformen, Befragungen, Feedbacksysteme, Studien, Akkreditierungen sowie zunehmend digital und KI-gestützt eingesetzte Werkzeuge. Der externe Datenschutzbeauftragte unterstützt die interne Datenschutzreferentin und perspektivisch eine weitere Person mit Expertise in technischem Datenschutz und IT-Sicherheit.

Nach Zuschlag wird nach dem Konzept des Auftragnehmers das aktuelle Datenschutzniveau der Stiftung aufgenommen. Die vorrangig zu bearbeitenden Datenschutzthemen werden dargestellt und die Ergebnisse werden bei der Stiftung vorgestellt. Das Konzept muss Vorgehen, Zeitplanung, Stakeholder-Einbindung, laufende Aktualisierung des Datenschutzmanagements, Policies und Vorlagen sowie die Zusammenarbeit mit der internen Datenschutzstelle umfassen.

Optionale Leistungen werden bei Bedarf einzeln abgerufen; ein Anspruch auf Abruf besteht nicht. Mögliche Leistungen sind die Beantwortung datenschutzrechtlicher Fragen aus Fachbereichen und Projekten, die Beratung zu regulatorischen Änderungen und aktueller Rechtsprechung, die Beratung zu Apps und Websites, die Erstellung und Prüfung von Datenschutzmanagementdokumenten, Datenschutzhinweisen und Erklärungen, die Umsetzung identifizierter Handlungsnotwendigkeiten, die rechtliche Absicherung der digitalen Weiterentwicklung, die Beratung an der Schnittstelle zu IT-Sicherheit und KI sowie interne und externe Audits. Als freie Anlage kann außerdem eine Softwarelösung für das Datenschutzmanagement angeboten werden.

Für Notfälle während der Bürozeiten von 08:00 bis 17:00 Uhr ist innerhalb von zwei Stunden zu reagieren. Anfragen mit einer Frist sind innerhalb von 24 Stunden beziehungsweise am nächsten Werktag zu bearbeiten. Bei allgemeiner Beratung erfolgt die erste Rückmeldung innerhalb von ein bis drei Werktagen und eine belastbare Antwort innerhalb von fünf Werktagen. Zusätzliche Beratungskapazitäten müssen innerhalb von zwei Wochen nach Abruf bereitstehen.

Der geschätzte Bedarf beträgt etwa 40 Beratungstage pro Jahr und höchstens 160 Beratungstage über die gesamte Rahmenvereinbarung. Eine Mindestabnahme ist nicht vereinbart. Ein Beratungstag umfasst acht Stunden; Teilleistungen werden in 15-Minuten-Schritten erfasst. Die Aufwandsschätzung des Bieters ist für die Vertragsjahre 1 bis 4 nach Bestandsaufnahme, Pflichtleistungen einschließlich Stellvertretung sowie optionalen Leistungen einschließlich Audits zu gliedern.

Bei Nichterfüllung der zwingenden Mindestanforderungen erfolgt der Ausschluss. Gefordert sind:

Für den Datenschutzbeauftragten und die Stellvertretung sind Fachwissen im Datenschutzrecht und in der Datenschutzpraxis, die Fähigkeit zur Erfüllung der Aufgaben, Kenntnisse relevanter Spezialgesetze einschließlich KI-Verordnung und IT-Sicherheitsrecht sowie erforderliche IT-Kenntnisse nachzuweisen.

Eine persönliche Ansprechperson und eine Stellvertretung für die Tätigkeit als Datenschutzbeauftragter sind zu benennen. Die Datenschutzbeauftragte Person darf nur in Abstimmung mit der Stiftung ersetzt werden. Die Ersatzperson muss ein vergleichbares Kompetenzprofil aufweisen. Die angrenzenden Fachgebiete sollen personell abgedeckt sein, insbesondere IT-Sicherheit, KI, Bild- und Urheberrecht, Nutzungsrechte, Personalrecht und Wettbewerbsrecht.

Für Notfälle während 08:00 bis 17:00 Uhr ist eine Reaktion innerhalb von zwei Stunden, für Anfragen mit Frist eine Bearbeitung innerhalb von 24 Stunden beziehungsweise am nächsten Werktag, für allgemeine Beratung eine erste Rückmeldung innerhalb von ein bis drei Werktagen und eine belastbare Antwort innerhalb von fünf Werktagen zu gewährleisten. Zusätzliche Beratungskapazitäten müssen innerhalb von zwei Wochen nach Abruf verfügbar sein.

Das Unternehmen muss Expertise in Incident Management, IT-Sicherheit und KI nachweisen. Im Konzept sind die fachliche Abdeckung der angrenzenden Gebiete und die vorhandene Expertise darzustellen. Beschäftigtendatenschutz ist optional.

Geforderte Erklärungen und Nachweise sind vollständig und wahrheitsgemäß vorzulegen. Erklärungen zu Unterauftragnehmern und Eignungsleihe sind gegebenenfalls beizufügen. Bei Bietergemeinschaften hat jedes Mitglied die Anforderungen zu erfüllen. Das Eignungsformblatt erfasst außerdem die KMU-Eigenschaft; fehlende oder unvollständige Angaben können zum Ausschluss führen.