Bestellung eines externen Datenschutzbeauftragten inklusive Datenschutz-Dokumentationssoftware

Rettungsdienst Teltow-Fläming GmbH, Eigengesellschaft des Landkreises Teltow-Fläming14943 Luckenwalde, BrandenburgVeröffentlicht: 17. Juni 2026

Angebotsfrist: 16. Juli 2026

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Die Rettungsdienst Teltow-Fläming GmbH sucht einen externen Datenschutzbeauftragten (DSB) inklusive einer cloudbasierten Datenschutz-Dokumentationssoftware (SaaS).

Kurz erklärt:

Sie verarbeiten sensible Daten (Gesundheits-, Einsatz- und Beschäftigtendaten) an 12 Rettungswachen mit ca. 330 Mitarbeitenden.Gebraucht wird eine fachkundige externe Person, die den Datenschutz überwacht, berät und bei Vorfällen hilft (DSGVO/BDSG).Zusätzlich wird eine Software benötigt, mit der Verzeichnisse von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen, Auftragsverarbeitungen und Vorfälle dokumentiert werden.

Was Bieter einreichen müssen (Kurzfassung):

Angebotsschreiben, Konzept (max. 20 Seiten), PreisblattEigenerklärungen zur Eignung (Registereintrag, Umsatz, Haftpflichtversicherung)3 Referenzprojekte als externer DSB im Gesundheitswesen (letzte 36 Monate), davon mind. 1 mit der angebotenen SoftwareQualifikationsnachweis: Volljurist/Wirtschaftsjurist (LL.M./LL.B.) und zertifizierter DSBNachweise ISO 27001 und BSI C5-Testat für die Cloud-UmgebungTestzugang zur Software (mind. 4 Wochen nach Angebotsfrist)Verpflichtungserklärungen nach BbgVergG (Mindestentgelt)

Wichtige Fristen:

Bieteranfragen bis 10.07.2026Angebotsfrist: 16.07.2026, 14:00 UhrVertragsbeginn: 01.09.2026, Laufzeit 24 Monate (2 Verlängerungen um je 12 Monate möglich)Abgabe nur elektronisch über die Vergabeplattform

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Angebotsfrist: 16. Juli 2026

Termin / FristJUN2026 DEZ JUN DEZ JUN DEZ JUN DEZ JUN

Veröffentlichung18. Juni 2026

Bieterfragen-Frist18. Juni – 10. Juli 2026

Angebotsfrist16. Juli 2026

Testzugang Verfügbarkeitca. 16. Juli – 13. Aug. 2026

Bindefrist16. Juli – 31. Aug. 2026

Vertragsbeginn1. Sep. 2026

Vertragslaufzeit1. Sep. 2026 – 31. Aug. 2028

Initiale Bestandsaufnahmeca. 1. Sep. – 30. Nov. 2026

Zahlungsfrist Rechnungenca. 1. Sep. 2026 – 31. Aug. 2030

Reaktion Datenschutzvorfall (Eilt)ca. 1. Sep. 2026 – 31. Aug. 2030

Jährlicher Datenschutzberichtca. 31. März 2027 – 31. März 2031bis 2031

Optionsausübung 1. Verlängerungca. 1. März 2028

Verlängerung 1ca. 1. Sep. 2028 – 31. Aug. 2029

Optionsausübung 2. Verlängerungca. 1. März 2029

Verlängerung 2ca. 1. Sep. 2029 – 31. Aug. 2030

Verlängerungserklärung Cloudvertragca. 31. Mai 2030

Vertragsende max.ca. 31. Aug. 2030

vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Preis & Qualität7 Kriterien

Preis 10%Qualität 90%

Konzept60%
Wertungsrelevantes Konzept des Bieters, max. 20 DIN-A4-Seiten, mit konkretem Bezug zur Situation des Auftraggebers (Rettungsdienst). Bewertet anhand von 6 Unterkriterien mit insgesamt 600 von 1.000 Gesamtpunkten.
Preis40%
Angebotsgesamtpreis aus dem Preisblatt. Maximal 400 von 1.000 Punkten. Bewertung über Formel: P = 400 × (günstigster Angebotsgesamtpreis / Angebotsgesamtpreis Bieter).

Preispunkte: P = 400 Punkte × (günstigster Angebotsgesamtpreis / Angebotsgesamtpreis Bieter). Konzeptpunkte: Bewertung je Unterkriterium nach Skala 0/25/50/75/100 Prozent der Maximalpunkte.

KI-Hinweis: Beide Zuschlagskriterien (Konzept 60% / 600 Punkte, Preis 40% / 400 Punkte) sind mit Gewichtung, Unterkriterien, Punkteverteilung und Bewertungsformel vollständig dokumentiert.

Leistungsumfang

Aus den Vergabeunterlagen

Bestellung und Gestellung des externen Datenschutzbeauftragten

Der Auftragnehmer stellt einen externen Datenschutzbeauftragten (DSB) nach Art. 37–39 DSGVO und einen fachlich gleichwertigen Stellvertreter. Der DSB muss fachkundig, zuverlässig und weisungsfrei/unabhängig agieren können; Interessenkonflikte sind auszuschließen. Die Aufgaben umfassen:

Unterrichtung und Beratung der Geschäftsführung, Führungskräfte, des Datenschutzteams, der Fachbereiche und der BeschäftigtenÜberwachung der Einhaltung von DSGVO, BDSG, BbgDSG (soweit anwendbar) und interner DatenschutzregelungenBeratung zu Verzeichnissen von Verarbeitungstätigkeiten (VVT), Datenschutz-Folgenabschätzungen (DSFA), technisch-organisatorischen Maßnahmen (TOM), Auftragsverarbeitungsverträgen (AVV), Lösch- und Archivierungskonzepten, Datenschutzinformationen und BetroffenenrechtenBeratung zu technischen Themen: Cloud-/SaaS-Systeme, digitale Einsatzdokumentation, mobile Endgeräte, Berechtigungsmodelle, Protokollierung, Mandantentrennung, IT-Sicherheit mit DatenschutzbezugUnterstützung bei Datenschutzvorfällen (Fristenmanagement, Risikobewertung, Dokumentation, Abstimmung von Meldungen, Nachbereitung; 72-Stunden-Frist DSGVO beachten)Zusammenarbeit mit der Aufsichtsbehörde (LDA Brandenburg) und Tätigkeit als AnlaufstelleTeilnahme an mindestens 4 Quartalsarbeitsberatungen pro Vertragsjahr und an ProjektenErstellung eines Jahresarbeitsplans und eines jährlichen Datenschutzberichts (Status, Risiken, Maßnahmen, Empfehlungen, Umsetzungsstand; Ablieferung bis 31.03. des Folgejahres)Unterstützung bei Schulungen der BeschäftigtenBereitstellung eines interdisziplinären DatenschutzteamsAlle Leistungen in deutscher Sprache; Vertraulichkeits-/Datenschutzverpflichtung für eingesetzte Personen vor Tätigkeit

Kalkulationsgrundlage: 15 Personentage pro Vertragsjahr (insgesamt 30 Personentage über 24 Monate).

Datenschutz-Dokumentationssoftware (SaaS)

Bereitstellung einer cloudbasierten Software für die zentrale Datenschutz-Dokumentation. Die Software muss folgende Mindestfunktionen erfüllen (Ausschlusskriterien):

Verwaltung von Verzeichnissen von Verarbeitungstätigkeiten (VVT) mit Versionierung und ExportDurchführung und Fortschreibung von Datenschutz-Folgenabschätzungen (DSFA)Dokumentation technisch-organisatorischer Maßnahmen (TOM)Verwaltung von Auftragsverarbeitern (AVV)Datenschutzvorfall-ManagementVerwaltung von BetroffenenrechtenDatei-Upload (PDF, DOCX, XLSX, PPTX, Bilder)VorlagenbereitstellungManagement-DashboardsMindestens 5 BenutzerVollständige Protokollierung aller ÄnderungenExport als PDF und XLSX; zum Vertragsende vollständiger maschinenlesbarer ExportBetrieb ausschließlich in der EUMehr-Faktor-Authentifizierung oder gleichwertig; Verschlüsselung; BerechtigungskonzeptVerfügbarkeit mindestens 99,0 % im JahresmittelVertragsgrundlage: EVB-IT Cloudvertrag

Technische Rahmenparameter:

Cloud-Art: Private CloudRechenzentrumsstandort: nur in der Bundesrepublik DeutschlandGeoredundanz: mehr als zwei georedundante Standorte (mind. dritter Standort bei Simultan-Ausfall)Zugriff: webbasiert, unbeschränkte NutzerzahlDatensicherung durch Auftragnehmer; Protokollaufbewahrung mindestens 6 MonatePatchmanagement nach CVSS-Stufe (Critical: 3 Std., High: 3 Tage, Medium: 1 Monat, Low: 3 Monate)Wiederherstellungszeiten: leichte Störung 12 Std., erhebliche Störung 27 Std., schwerwiegende Störung 40 Std.Reaktionszeit 1–2 Stunden je nach StörungsklasseHalbjährliche Penetrationstests durch unabhängige DritteIT-Sicherheitsnachweis: BSI-C5-Testat (mind. Typ 1) inkl. Prüfbericht; C5-Basiskriterien plus Zusatzkriterien IDM-02, CRY-03, AM-05, OPS-22ISMS auf Basis ISO 27001 für die Cloud-Umgebung nachweisenMonatliches Reporting nach EVB-IT Cloud-AGB; ergänzende Echtzeit-Monitoring-Schnittstelle

Initiale Bestandsaufnahme

In den ersten drei Monaten nach Vertragsbeginn ist eine vollständige Bestandsaufnahme des Datenschutzstatus durchzuführen:

Sichtung vorhandener Unterlagen, Richtlinien, VVT, DSFA, TOM, AVVInterviews mit FachbereichenMindestens 2 Präsenztermine (Verwaltungssitz Luckenwalde + Rettungswache Ludwigsfelde)Abschlussbericht mit Ampelbewertung und priorisiertem MaßnahmenplanÜberführung und Anlage der Dokumentation in die bereitgestellte SoftwareAufwand als einmalige Pauschale im Angebot einzukalkulieren

Erreichbarkeit und Service

Servicezeiten: Montag bis Freitag 08:00–16:00 Uhr (ohne gesetzliche Feiertage Brandenburg)Notfall-Erreichbarkeit bei Datenschutzvorfällen auch außerhalb der ServicezeitenReaktionszeiten je nach Priorität: Eilt = Eingangsbestätigung innerhalb 2 Stunden, Erstbewertung innerhalb 1 Arbeitstag; hohe Priorität = Rückmeldung innerhalb 2 Arbeitstagen; normale Priorität = Rückmeldung innerhalb 5 ArbeitstagenPräsenztermine: mind. 2 im Rahmen der Bestandsaufnahme, kalkulatorisch 2 pro JahrBenennung verantwortlicher Ansprechpersonen (Koordination, Eskalation) sowie E-Mail und Telefon für Datenschutzanfragen

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Befähigung und Erlaubnis zur Berufsausübung

Nachweis über Eintragung im Berufs- oder Handelsregister oder gleichwertiger NachweisGgf. Bescheinigung der Berufsgenossenschaft auf Verlangen

Zuverlässigkeit / Ausschlussgründe

Es dürfen keine Ausschlussgründe nach §§ 123, 124 GWB vorliegen, insbesondere keine schweren Verfehlungen wie strafrechtliche Verurteilungen (z. B. Betrug, Bestechung, Geldwäsche, Terrorismusfinanzierung, Menschenhandel), Verstöße gegen Steuer-/Sozialversicherungspflichten, Insolvenz, Verstöße gegen umwelt-/sozial-/arbeitsrechtliche Pflichten, Schwarzarbeit, Mindestlohn, Arbeitnehmer-Entsendegesetz, Aufenthaltsrecht, Lieferkettensorgfaltspflichten. Bieter müssen Eigenerklärung (Formular 4.1) abgeben; bei vorliegenden Ausschlussgründen kann Selbstreinigung nach § 125 GWB nachgewiesen werden.

Wirtschaftliche und finanzielle Leistungsfähigkeit

Erklärung über Gesamtumsatz (alle Tätigkeitsbereiche) der letzten 3 GeschäftsjahreErklärung über umsatzbezogene Leistungen für externe DSB-Tätigkeit der letzten 3 GeschäftsjahreNachweis einer marktüblichen Berufs- oder Betriebshaftpflichtversicherung

Technische und berufliche Leistungsfähigkeit

Mindestens 3 Referenzprojekte als externer DSB in den letzten 36 Monaten, im GesundheitswesenDavon mindestens 1 Referenz mit der angebotenen Datenschutz-DokumentationssoftwareQualifikationsnachweis: Volljurist oder Wirtschaftsjurist (LL.M./LL.B.) und zertifizierter Datenschutzbeauftragter; Schlüsselpersonen sind zu benennenNachweis, dass der benannte DSB nachweislich praktisch mit der angebotenen Software gearbeitet hatISMS auf Basis ISO 27001 für die Cloud-Umgebung (Zertifizierung)BSI C5-Testat (Typ 1 oder Typ 2) inkl. Prüfbericht für die Cloud-UmgebungSicheres Beherrschen der deutschen Sprache in Wort und Schrift für alle eingesetzten Personen

Unabhängigkeit und organisatorische Anforderungen

Der DSB muss weisungsfrei und unabhängig agieren können; Interessenkonflikte sind auszuschließenFalls der Auftragnehmer auch die Software bereitstellt: Gewährleistung, dass die Datenschutzberatung unabhängig von wirtschaftlichen Interessen am Softwarebetrieb erfolgtEinsatz von Unterauftragnehmern nur mit vorheriger Zustimmung des Auftraggebers

Mindestanforderungen Brandenburgisches Vergabegesetz (BbgVergG)

Verpflichtung zur Zahlung des gesetzlichen Mindestentgelts (13,00 Euro brutto/Stunde) an alle eingesetzten BeschäftigtenVorlage anonymisierter/pseudonymisierter Lohn- und Gehaltsunterlagen auf Verlangen (Dienstleistungen mind. 1x pro Kalenderjahr)Einwilligung der Beschäftigten zur Vorlage und Prüfung der AbrechnungenDuldung von Stichprobenkontrollen (Zugang zu Geschäftsräumen werktags)Nachunternehmer und Verleiher müssen gleichlautende Erklärungen abgeben (Formular 5.4)Vertragsstrafe bei Verstößen: 1 % der Auftragssumme, max. 25.000 € pro Fall

Referenzprojekte

mindestens 3 ReferenzenZeitraum: in den zurückliegenden 36 Monaten abgeschlossenVolumen: nicht spezifiziert

Gestellung als externer Datenschutzbeauftragter (DSB)

Branche Gesundheitswesen; zusätzlich mindestens 1 Referenz mit der angebotenen Datenschutz-Dokumentationssoftware; Eigenerklärung zur Eignung

1 (Mindestens) ReferenzenZeitraum: nicht spezifiziertVolumen: nicht spezifiziert

Praktische Erfahrung des benannten DSB mit der angebotenen Datenschutz-Dokumentationssoftware

Nachweis über bisherige praktische Arbeit mit der Software

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.