Entwicklung und Bereitsstellung einer Gesundheits-App

Zu liefern ist eine mobile Anwendung (iOS/Android), eine Webversion für Beschäftigte und ein browserbasiertes Back-End (Corporate Health Cockpit) für BGM-Verantwortliche. Alle Teile müssen im einheitlichen Corporate Design der DRV erscheinen, barrierefrei nutzbar sein und untereinander sowie mit den DRV-Systemen funktionieren.

Front-End (App & Web):

• Registrierung per E-Mail und Personalisierung des Nutzerprofils
• Speicherung von Präferenzen
• Direkte Buchung von Präventionskursen, Workshops und Vorträgen mit Teilnehmerbeschränkungen und Wartelisten
• Serientermine und Zeit-Slots buchbar, Terminerinnerungen per Push/E-Mail
• Bonussystem: Punkte sammeln, in Incentives umwandeln; Punkteübersicht
• Punkte für Challenges, Bewegungstracking und Gesundheitsziele
• Individuelle und teambasierte Gesundheits-Challenges
• Bewegungs-, Ernährungs- und Gesundheitstracking
• Persönliche und Team-Ziele festlegbar
• Mediathek mit Videos, Artikeln, Fachinformationen, Trainingsvideos, Meditationen, Rezepten
• Gesundheitsimpulse und Tipps
• Push-Nachrichten zu Kursen, Terminen, Sprechstunden und Angeboten
• Erinnerungen an Challenges und Ziele
• Terminvergabe für betriebsärztliche Sprechstunden, inkl. Warteliste, Stornierung/Umbuchung und dynamischer Terminfreigabe

Back-End (Corporate Health Cockpit):

• Browserbasierte Landingpage
• Zentrales Dashboard
• Automatisiertes Buchungssystem
• Benachrichtigungen an Warteliste
• Serientermine und Terminübersicht
• Automatische Statistiken und Reports
• Kennzahlen-Dashboard
• Kosten-Nutzen-Analyse, Budgetverwaltung
• Evaluation mit Handlungsempfehlungen
• Rollen- und Berechtigungssystem
• Teilnehmerverwaltung, Teilnahmebescheinigungen
• Automatische Erinnerungen und Benachrichtigungen

Nach der Pilotphase sind ergänzend zu liefern:

• Single-Sign-On (SSO)
• KI-basierte Empfehlungen und Analyse des Nutzerverhaltens
• KI-gestützte Bereitstellung individueller Inhalte
• Einbindung in Kalendersysteme (Lotus Notes, Outlook, Google, Apple)
• Anbindung an das ILIAS-Lernmanagementsystem und weitere DRV-Systeme

• Mobile App für iOS und Android sowie Webversion
• TLS 1.3, Port 443
• Regelmäßige Datensicherung
• Barrierefreie Nutzung
• Sicherheitskonzept nach anerkannten Standards (z. B. BSI-Grundschutz)
• Zertifizierung nach ISO/IEC 27001:2022
• BSI C5-Testat (Typ 2)

• Verarbeitung gemäß DSGVO
• Serverstandorte in Deutschland, keine Weitergabe an Dritte
• Anonyme Teilnahmeoption bei Challenges
• Löschung auf Anforderung
• Schriftliche Bestellung eines Datenschutzbeauftragten
• Verzeichnis der Verarbeitungstätigkeiten
• Verpflichtung zur Verschwiegenheit (auch Sozialgeheimnis nach SGB I und ärztliches Berufsgeheimnis)
• Bei Sozialdaten ausschließlich Verarbeitung im Rahmen des § 80 Abs. 2 SGB X

• Regelmäßige Updates auf Basis von Nutzerfeedback
• Behebung von Störungen und Sicherheitslücken
• Definierte Systemverfügbarkeit
• Technischer Support
• Bereitstellung von Best-Practice-Beispielen für interne Kommunikation
• Reaktionszeit bei Implementierungsproblemen: 48 Stunden
• Bereitstellung eines Testzugangs innerhalb von 2 Wochen nach Aufforderung
• Testphase insgesamt max. 3 Monate inkl. Bewertung des Sicherheitskonzepts

Bieter dürfen keine Ausschlussgründe nach §§ 123, 124 GWB sowie nach AEntG, AufenthG, MiLoG, SchwarzArbG, LkSG und BTTG aufweisen. Dazu zählen insbesondere: schwere Straftaten (Betrug, Bestechung, Geldwäsche, Terrorismus, Menschenhandel) der letzten 5 Jahre, Verstöße gegen Umwelt-/Sozial-/Arbeitsrecht, Insolvenz, wettbewerbsbeschränkende Vereinbarungen, Interessenkonflikte, Wettbewerbsverzerrung, mangelhafte frühere Auftragsausführung, Täuschung oder unzulässige Einflussnahme (jeweils max. 3 Jahre zurückliegend). Bieter müssen zudem Steuern, Abgaben und Sozialversicherungsbeiträge ordnungsgemäß gezahlt haben. Der Nachweis erfolgt über die Eigenerklärung Anlage 5.

Bieter und alle relevanten Unterauftragnehmer/Lieferanten/kapazitätsnutzende Unternehmen mit >10 % Auftragswert dürfen keinen Bezug zu Russland haben – weder über Staatsangehörigkeit/Niederlassung, über >50 %-Beteiligung sanktionierter Personen/Unternehmen noch durch Handeln in deren Namen/Auftrag. Diese Anforderung gilt für die gesamte Vertragslaufzeit. Nachweis über Eigenerklärung Anlage 6.

Nachweis von mindestens 3 Referenzkunden aus den letzten 5 Jahren (ab 2021) mit erfolgreich implementierten Evaluationslösungen, die nach Art und Umfang mit den KBS-Anforderungen vergleichbar sind (oder darüber hinausgehen). Pro Referenz sind Auftraggeber, Auftragsgegenstand, Zeitraum, Ansprechperson und Telefonnummer anzugeben (Anlage 7).

• Nachweis eines Datenschutz- und Datensicherheitskonzepts (gemäß Anlage 3 Pkt. 5)
• Sicherheitskonzept nach anerkanntem Standard (z. B. BSI-Grundschutz), bei Cloud-Nutzung zusätzlich gültiges BSI C5-Testat Typ 2
• Zertifizierung nach ISO/IEC 27001:2022
• Benennung eines Datenschutzbeauftragten
• Nachweis der technisch-organisatorischen Maßnahmen (z. B. Zertifikate, Wirtschaftsprüfertestate)

Alle in Anlage 4 (Ankreuzmatrix) gelisteten funktionalen Anforderungen sind Musskriterien. Sie umfassen Front-End-Funktionen (Buchung, Bonussystem, Challenges, Tracking, Mediathek, Push, Sprechstunden), Back-End-Funktionen (Dashboard, Buchungssystem, Reporting, Evaluation, Rollen, Teilnehmerverwaltung), Pilot-Folgefunktionen (SSO, KI, Kalender, ILIAS) sowie die technischen Anforderungen und Sicherheitsanforderungen. Die Nichteinhaltung führt zum Ausschluss des Angebots.

Bietergemeinschaften müssen Anlage 8 einreichen, einen bevollmächtigten Vertreter benennen und haften gesamtschuldnerisch. Jedes Mitglied muss über Anlage 8a die Anlagen 5, 6 und 13 einreichen. Bei Eignungsleihe (Anlage 10) übernimmt das Drittunternehmen die Mitverpflichtung und muss – sofern es berufliche Eignungsnachweise bereitstellt – die entsprechenden Leistungen auch selbst erbringen.