Vergabeunterlagen für FIRMEN.pdf

[Seite 1]

631 EU (VgV – Aufforderung zur Abgabe eines Angebots EU) Vergabestelle

Vergabeart offenes Verfahren nicht offenes Verfahren Verhandlungsverfahren mit Teilnahmewett- bewerb Verhandlungsverfahren ohne Teilnahme- wettbewerb Wettbewerblicher Dialog Innovationspartnerschaft

Ablauf der Angebotsfrist Datum Uhrzeit 17.03.2026

Bindefrist endet am 31.05.2026

Aufforderung zur Abgabe eines Angebots (Vergabeverfahren gem. VgV)

Bezeichnung der Leistung: Maßnahmennummer Maßnahme Landratsamt Erzgebirgskreis Referat Digitalisierung und IT

Vergabenummer Leistung 60101/2/6/26/706 Beschaffung eines Managed Detection & Response System (MDR)

Anlagen

A) die beim Bieter verbleiben und im Vergabeverfahren zu beachten sind

632EU Bewerbungsbedingungen EU (Ausgabe 2017) 226 Mindestanforderungen an Nebenangebote 227 Zuschlagskriterien

Vorlage AVV

B) die beim Bieter verbleiben und Vertragsbestandteil werden Teile der Leistungsbeschreibung: Beschreibung, Pläne, sonstige Anlagen 634 Besondere Vertragsbedingungen 635 Zusätzliche Vertragsbedingungen (Ausgabe 2017) 241 Abfall 244 Datenverarbeitung

© VHB - Bund - Ausgabe 2017 - Stand 2019 Seite 1 von 4

[Seite 2]

631 EU (VgV – Aufforderung zur Abgabe eines Angebots EU)

C) die, soweit erforderlich, ausgefüllt mit dem Angebot einzureichen sind 633 Angebotsschreiben Teile der Leistungsbeschreibung: Leistungsverzeichnis/Leistungsprogramm 234 Erklärung Bieter-/Arbeitsgemeinschaft 235 Verzeichnis der Leistungen/Kapazitäten anderer Unternehmen 248 Erklärung zur Verwendung von Holzprodukten 1 24_LD (Ei generklärung zur Eignung), Eigenerklärung VO-2022-833

K riterienka talog, Zertifikate: ISO 27001, ISO 9001, SOC2, Nachweis Mindestausstattung SOC

D) die ausgefüllt auf gesondertes Verlangen der Vergabestelle einzureichen sind: 236 Verpflichtungserklärung anderer Unternehmen

1 Es ist beabsichtigt, die in beiliegender Leistungsbeschreibung bezeichneten Leistungen im Na- men und für Rechnung

zu vergeben.

2 Kommunikation

Die Kommunikation erfolgt elektronisch über die Vergabeplattform in Textform unter nachstehender Anschrift: Stelle Fax Straße E-Mail PLZ/Ort

3 Unterlagen (Eigenerklärungen, Angaben, Bescheinigungen oder sonstige Nachweise)

Der Auftraggeber wird ab einer Auftragssumme von mehr als 30.000 Euro für den Bieter, der den Zu- schlag erhalten soll, zur Bestätigung der Erklärung (Angebotsschreiben Nummer 6) einen Auszug aus dem Gewerbezentralregister beim Bundesamt für Justiz anfordern.

3.1 Folgende Unterlagen sind mit dem Angebot einzureichen:

siehe Auftragsbekanntmachung

© VHB - Bund - Ausgabe 2017 - Stand 2019 Seite 2 von 4

[Seite 3]

631 EU (VgV – Aufforderung zur Abgabe eines Angebots EU)

3.2 Folgende Unterlagen sind auf gesondertes Verlangen der Vergabestelle vorzulegen

siehe Auftragsbekanntmachung

3.3 Entfällt

4 Losweise Vergabe

nein ja, Angebote sind möglich für alle Lose (alle Lose müssen angeboten werden) eine maximale Anzahl an Losen: siehe Bekanntmachung oder Aufforderung zur Interessensbe- stätigung nur ein Los

bei zugelassener Angebotsabgabe für mehr als ein Los: Beschränkung der Zahl der Lose, für die ein Bieter den Zuschlag erhalten kann Höchstzahl: siehe Bekanntmachung bzw. Aufforderung zur Interessensbestätigung Bedingungen zur Ermittlung derjenigen Lose, für die ein Bieter den Zuschlag erhält, falls sein An- gebot in mehr Losen das wirtschaftlichste ist als der angegebenen Höchstzahl an Losen

5 Nebenangebote

5.1 Nebenangebote sind nicht zugelassen, Nummer 4 der Bewerbungsbedingungen EU gilt nicht. 5.2 Nebenangebote sind zugelassen (siehe auch Nummer 4 der Bewerbungsbedingungen EU) - aus- genommen Nebenangebote, die ausschließlich Preisnachlässe mit Bedingungen beinhalten - für die gesamte Leistung nur für nachfolgend genannte Bereiche:

mit Ausnahme nachfolgend genannter Bereiche:

unter folgenden weiteren Bedingungen:

6 Angebotswertung

Kriterien für die Wertung der Haupt- und ggf. Nebenangebote Zuschlagskriterium Preis Der Preis wird aus der Wertungssumme des Angebotes ermittelt. Die Wertungssummen werden ermittelt aus den nachgerechneten Angebotssummen, insbesonde- re unter Berücksichtigung von Nachlässen.

© VHB - Bund - Ausgabe 2017 - Stand 2019 Seite 3 von 4

[Seite 4]

631 EU (VgV – Aufforderung zur Abgabe eines Angebots EU) Mehrere Zuschlagskriterien gemäß Formblatt Zuschlagskriterien Werkstätten für Behinderte wird bei der Berechnung der Wertungssumme ein Bonus von 15 Prozent eingeräumt. Ist ein Angebot, das von einer Werkstatt für Behinderte abgegeben wurde, ebenso wirtschaftlich wie ein anderes Angebot, so wird der Zuschlag auf das Angebot der Werkstatt für Behinderte erteilt. Der Nachweis der Eigenschaft als Werkstätte für Behinderte ist mit dem Angebot zu führen.

7 Zugelassene Angebotsabgabe

Elektronisch in Textform mit fortgeschrittener/m Signatur/Siegel mit qualifizierter/m Signatur/Siegel Bei elektronischer Angebotsübermittlung in Textform muss der Bieter zu erkennen sein; falls vorgege- ben, ist das Angebot mit der geforderten Signatur/dem geforderten Siegel zu versehen. Das Angebot ist zusammen mit den Anlagen bis zum Ablauf der Angebotsfrist über die Vergabeplatt- form der Vergabestelle zu übermitteln. Schriftlich Das beigefügte Angebotsschreiben ist zu unterzeichnen und zusammen mit den Anlagen in verschlos- senem Umschlag bis zum Ablauf der Angebotsfrist an folgende Anschrift zu senden oder dort abzuge- ben: siehe Briefkopf Stelle:

Der Umschlag ist außen mit Namen (Firma) und Anschrift des Bieters und der Angabe

„Angebot für Landratsamt Erzgebirgskreis Maßnahmennummer: Maßnahme: R eferat Digitalisierung und IT Vergabenummer: Leistung: 6 0101/2/6/26/706 B eschaffung eines Managed Detection & Response System (MDR) „ zu versehen, ggf. unter Verwendung eines bereit gestellten Kennzettels.

8 Behörde, an die sich der Bewerber oder Bieter zur Nachprüfung behaupteter Verstöße gegen die Vergabebestimmungen wenden kann:

Vergabekammer (§ 156 GWB):

9

© VHB - Bund - Ausgabe 2017 - Stand 2019 Seite 4 von 4

[Seite 5]

632EU (VgV - Bewerbungsbedingungen EU)

Bewerbungsbedingungen für die Vergabe von Leistungen Das Vergabeverfahren erfolgt nach der Vergabeverordnung (VgV).

1 Mitteilung von Unklarheiten in den Vergabeunterlagen

Enthalten die Vergabeunterlagen nach Auffassung des Unternehmens Unklarheiten, Unvollständigkeiten oder Fehler, so hat es unverzüglich die Vergabestelle vor Angebotsabgabe in Textform darauf hinzuweisen.

2 Unzulässige Wettbewerbsbeschränkungen

Angebote von Bietern, die sich im Zusammenhang mit diesem Vergabeverfahren an einer unzuläs- sigen Wettbewerbsbeschränkung beteiligen, werden ausgeschlossen. Zur Bekämpfung von Wettbewerbsbeschränkungen hat der Bieter auf Verlangen Auskünfte darüber zu geben, ob und auf welche Art er wirtschaftlich und rechtlich mit Unternehmen verbunden ist.

3 Angebot

3.1 Das Angebot ist in deutscher Sprache abzufassen.

3.2 Für das Angebot sind die von der Vergabestelle vorgegebenen Vordrucke zu verwenden. Das Angebot ist bis zu dem von der Vergabestelle angegebenen Ablauf der Angebotsfrist einzureichen. Ein nicht form- oder fristgerecht eingereichtes Angebot wird ausgeschlossen.

3.3 Eine selbst gefertigte Abschrift oder Kurzfassung des Leistungsverzeichnisses ist zulässig.

Die von der Vergabestelle vorgegebene Langfassung des Leistungsverzeichnisses ist allein verbindlich. 3.4 Unterlagen, die von der Vergabestelle nach Angebotsabgabe verlangt werden, sind zu dem von der Vergabestelle bestimmten Zeitpunkt einzureichen.

3.5 Alle Eintragungen müssen dokumentenecht sein.

3.6 Ein Bieter, der in seinem Angebot die von ihm tatsächlich für einzelne Leistungspositionen geforder- ten Einheitspreise auf verschiedene Einheitspreise anderer Leistungspositionen verteilt, benennt nicht die von ihm geforderten Preise. Deshalb werden Angebote, bei denen der Bieter die Einheitspreise einzelner Leistungspositionen in „Mischkalkulationen“ auf andere Leistungspositionen umlegt, von der Wertung ausgeschlossen.

3.7 Alle Preise sind in Euro mit höchstens drei Nachkommastellen anzugeben.

Die Preise (Einheitspreise, Pauschalpreise, Verrechnungssätze usw.) sind ohne Umsatzsteuer an- zugeben. Der Umsatzsteuerbetrag ist unter Zugrundelegung des geltenden Steuersatzes am Schluss des Angebotes hinzuzufügen. Es werden nur Preisnachlässe gewertet, die

• ohne Bedingungen als Vomhundertsatz auf die Abrechnungssumme gewährt werden und
• an der im Angebotsschreiben bezeichneten Stelle aufgeführt sind. Nicht zu wertende Preisnachlässe bleiben Inhalt des Angebotes und werden im Fall der Auftragser- teilung Vertragsinhalt.

4 Nebenangebote

4.1 Nebenangebote müssen die geforderten Mindestanforderungen erfüllen; dies ist mit Angebotsabgabe nachzuweisen.

4.2 Der Bieter hat die in Nebenangeboten enthaltenen Leistungen eindeutig und erschöpfend zu beschreiben; die Gliederung des Leistungsverzeichnisses ist, soweit möglich, beizubehalten.

Nebenangebote müssen alle Leistungen umfassen, die zu einer einwandfreien Ausführung der Leistung erforderlich sind. Soweit der Bieter eine Leistung anbietet, deren Ausführung nicht in den Vergabeunterlagen geregelt ist, hat er im Angebot entsprechende Angaben über Ausführung und Beschaffenheit dieser Leistung zu machen.

© VHB - Bund - Ausgabe 2017 Seite 1 von 2

[Seite 6]

632EU (VgV - Bewerbungsbedingungen EU)

4.3 Nebenangebote sind, soweit sie Teilleistungen (Positionen) des Leistungsverzeichnisses beeinflus- sen (ändern, ersetzen, entfallen lassen, zusätzlich erfordern), nach Mengenansätzen und Einzel- preisen aufzugliedern (auch bei Vergütung durch Pauschalsumme).

4.4 Nebenangebote, die den Nummern 4.1 bis 4.3 nicht entsprechen, werden von der Wertung ausgeschlossen. 5 Bietergemeinschaften

5.1 Die Bietergemeinschaft hat mit ihrem Angebot eine Erklärung aller Mitglieder in Textform abzugeben,

• in der die Bildung einer Arbeitsgemeinschaft im Auftragsfall erklärt ist,
• in der alle Mitglieder aufgeführt sind und der für die Durchführung des Vertrags bevollmächtigte Vertreter bezeichnet ist,
• dass der bevollmächtigte Vertreter die Mitglieder gegenüber dem Auftraggeber rechtsverbindlich vertritt,
• dass alle Mitglieder als Gesamtschuldner haften. Auf Verlangen der Vergabestelle ist eine von allen Mitgliedern unterzeichnete bzw. fortgeschritten oder qualifiziert signierte Erklärung abzugeben. 5.2 Sofern nicht im offenen Verfahren ausgeschrieben wird, werden Angebote von Bietergemeinschaften, die sich erst nach der Aufforderung zur Angebotsabgabe aus aufgeforderten Unternehmern gebildet haben, nicht zugelassen.

6 Kapazitäten anderer Unternehmen (Unteraufträge, Eignungsleihe)

Beabsichtigt der Bieter, Teile der Leistung von anderen Unternehmen ausführen zu lassen oder sich bei der Erfüllung eines Auftrages im Hinblick auf die erforderliche wirtschaftliche, finanzielle, technische oder berufliche Leistungsfähigkeit anderer Unternehmen zu bedienen, so muss er die hierfür vorgesehenen Leistungen/Kapazitäten in seinem Angebot benennen. Der Bieter hat auf gesondertes Verlangen der Vergabestelle zu einem von ihr bestimmten Zeitpunkt nachzuweisen, dass ihm die erforderlichen Kapazitäten der anderen Unternehmen zur Verfügung stehen und diese Unternehmen geeignet sind. Er hat den Namen, den gesetzlichen Vertreter sowie die Kontaktdaten dieser Unternehmen anzugeben und entsprechende Verpflichtungserklärungen dieser Unternehmen vorzulegen. Nimmt der Bieter in Hinblick auf die Kriterien für die wirtschaftliche und finanzielle Leistungsfähigkeit im Rahmen einer Eignungsleihe die Kapazitäten anderer Unternehmen in Anspruch, müssen diese gemeinsam für die Auftragsausführung haften; die Haftungserklärung ist gleichzeitig mit der Verpflichtungserklärung abzugeben. Der Bieter hat andere Unternehmen, bei denen Ausschlussgründe vorliegen oder die das entsprechende Eignungskriterium nicht erfüllen, innerhalb einer von der Vergabestelle gesetzten Frist zu ersetzen.

7 Eignung

Unternehmen haben als Nachweis der Eignung für die zu vergebende Leistung mit dem Angebot

• Entweder die in der Auftragsbekanntmachung oder der Aufforderung zur Interessensbestätigung angegebenen Unterlagen (Eigenerklärungen, Angaben, Bescheinigungen und sonstige Nachweise)
• Oder eine Einheitliche Europäische Eigenerklärung (EEE) als vorläufigen Nachweis vorzulegen. Bei Einsatz von anderen Unternehmen gemäß Nummer 6 sind auf gesondertes Verlangen die Unterlagen/die EEE auch für diese abzugeben. Gelangt das Angebot in die engere Wahl, sind Eigenerklärungen (auch die der benannten anderen Unternehmen) auf gesondertes Verlangen durch Vorlage der genannten Bescheinigungen zuständiger Stellen zu bestätigen. Bescheinigungen, die nicht in deutscher Sprache abgefasst sind, ist eine Übersetzung in die deutsche Sprache beizufügen. Die Verpflichtung zur Vorlage von Eigenerklärungen und Bescheinigungen entfällt, soweit die Eignung (Bieter und benannte andere Unternehmen) bereits im Teilnahmewettbewerb nachgewiesen ist.

© VHB - Bund - Ausgabe 2017 Seite 2 von 2

[Seite 7]

634 (Besondere Vertragsbedingungen – Liefer-/Dienstleistungen)

Vergabenummer 6 0101/2/6/26/706 Maßnahme

Landratsamt Erzgebirgskreis

Referat Digitalisierung und IT

Leistung

Beschaffung eines Managed Detection & Response System (MDR)

BESONDERE VERTRAGSBEDINGUNGEN

Die §§ beziehen sich auf die Allgemeinen Vertragsbedingungen für die Ausführung von Leistungen (VOL/B).

1 Überwachung der Anlieferung

Die Überwachung obliegt dem Auftraggeber. Dieser hat den Architekten/Ingenieur

mit der Wahrnehmung beauftragt. Anordnungen dürfen nur vom Auftraggeber bzw. vom beauftrag- ten Architekten/Ingenieur getroffen werden.

2 Anlieferungs- oder Annahmestelle

Ort Gebäude Raum

3 Ausführungsfristen ab 01.06.2026 Anlieferung Ende der Ausführung bi s 31.05.2029 + Option der Verlängerung folgende Einzelfristen sind Vertragsfristen:

Vertragsbeginn 01.06.2026 mit 36 Monaten Laufzeit, Ende 31.05.2029 mit der Option auf Verlängerung (siehe Leistungsbeschreibung)

4 Vertragsstrafen (§ 11)

Der Auftragnehmer hat als Vertragsstrafe für Verzug zu zahlen: 4.1 bei Überschreitung der unter 3. genannten Fristen

für jede vollendete Woche Prozent für jeden Werktag Prozent desjenigen Teils der Leistung, der nicht genutzt werden kann. Die Bezugsgröße zur Berechnung der Vertragsstrafe bei der Überschreitung von Einzelfristen ist der nicht nutzbare Teil der Leistung, der den bis zu diesem Zeitpunkt vertraglich zu erbringenden Leistungen entspricht. 4.2 Die Vertragsstrafe wird auf insgesamt Prozent der Auftragssumme (ohne Umsatzsteuer) begrenzt.

4.3 Verwirkte Vertragsstrafen für den Verzug wegen Nichteinhaltung verbindlicher Zwischentermine (Einzelfristen als Vertragsfristen) werden auf eine durch den Verzug wegen Nichteinhaltung der Frist für die Vollendung der Leistung verwirkte Vertragsstrafe angerechnet.

5 Rechnungen (§ 15)

Alle Rechnungen sind beim Auftraggeber

-fach und zugleich bei -fach einzureichen.

© VHB - Bund - Ausgabe 2017 Seite 1 von 2

[Seite 8]

634 (Besondere Vertragsbedingungen – Liefer-/Dienstleistungen) 6 Sicherheitsleistung (§ 18)

6.1 Stellung der Sicherheit

Sicherheit für die Erfüllung sämtlicher Verpflichtungen des Auftragnehmers aus dem Vertrag ist in Höhe von Prozent der Auftragssumme (inkl. Umsatzsteuer, ohne Nachträge) zu leisten, sofern die Auftragssumme mindestens 50.000 Euro ohne Umsatzsteuer beträgt, und wenn dies für die sach- und fristgemäße Leistung ausnahmsweise erforderlich erscheint.

Sicherheit kann wahlweise durch Hinterlegung von Geld oder durch Bürgschaft geleistet werden. 6.2 Sicherheitsleistung durch Bürgschaft

Wird Sicherheit durch Bürgschaft geleistet, ist dafür das Formblatt „Vertragserfüllungsbürgschaft“ des Vergabe- und Vertragshandbuchs für die Baumaßnahmen des Bundes (VHB) zu verwenden oder die Bürgschaftserklärung muss inhaltlich vollständig dem Formblatt des Auftraggebers entspre- chen. Die Bürgschaftsurkunden enthalten folgende Erklärung des Bürgen:

• ”Der Bürge übernimmt für den Auftragnehmer die selbstschuldnerische Bürgschaft nach deut- schem Recht.
• Auf die Einreden der Vorausklage gemäß § 771 BGB wird verzichtet.
• Die Bürgschaft ist unbefristet; sie erlischt mit der Rückgabe dieser Bürgschaftsurkunde.
• Die Bürgschaftsforderung verjährt nicht vor der gesicherten Hauptforderung. Nach Abschluss des Bürgschaftsvertrages getroffene Vereinbarungen über die Verjährung der Hauptforderung zwi- schen dem Auftraggeber und dem Auftragnehmer sind für den Bürgen nur im Falle seiner schriftli- chen Zustimmung bindend.
• Gerichtsstand ist der Sitz der zur Prozessvertretung des Auftraggebers zuständigen Stelle."

7 Zahlungsbedingungen (§ 17)

Vorauszahlungen werden nur geleistet, wenn nachfolgend eine Regelung getroffen ist.

8 - frei -

9 Weitere Besondere Vertragsbedingungen

© VHB - Bund - Ausgabe 2017 Seite 2 von 2

[Seite 9]

635 (Zusätzliche Vertragsbedingungen - Liefer-/Dienstleistungen) Zusätzliche Vertragsbedingungen für die Ausführung von Leistungen

1 Art und Umfang der Leistungen (§ 1 VOL/B)

Die vereinbarten Preise enthalten auch die Kosten für Verpackung, Aufladen, Beförderung bis zur Anlieferungs- oder Annahmestelle und Abladen, wenn in der Leistungsbeschreibung nichts anderes angegeben ist. Der Auftragnehmer hat Packstoffe zurückzunehmen und ggf. auf seine Kosten zu beseitigen. Etwaige Patentgebühren und Lizenzvergütungen sind durch den Preis für die Leistung abgegolten.

2 Änderung der Leistung (§ 2 Nummer 3 VOL/B)

2.1 Beansprucht der Auftragnehmer aufgrund von § 2 Nummer 3 eine erhöhte Vergütung, muss er dies dem Auftraggeber unverzüglich - möglichst vor Ausführung der Leistung und möglichst der Höhe nach - schriftlich mitteilen. 2.2 Der Auftragnehmer hat auf Verlangen die durch die Änderung der Leistung bedingten Mehr- oder Minderkosten nachzuweisen.

3 Ausführung der Leistung (§ 4 VOL/B)

Der Auftraggeber kann sich über die vertragsgemäße Ausführung der Leistung unterrichten.

4 Güteprüfung (§ 12 Nummer 2 VOL/B)

Verlangt der Auftraggeber eine im Vertrag nicht vereinbarte Güteprüfung, werden dem Auftragnehmer die dadurch entstandenen Kosten erstattet.

5 Abnahme (§ 13 VOL/B)

5.1 Die Lieferung oder Leistung wird förmlich abgenommen. 5.2 Die Gefahr geht, wenn nichts anderes vereinbart ist, auf den Auftraggeber über

• bei Lieferleistungen mit der Übernahme an der Anlieferungsstelle,
• bei Aufbauleistungen mit der Abnahme.

6 Mängelansprüche (§ 14 VOL/B)

Die Verjährungsfrist für Mängelansprüche beginnt mit der Abnahme der Leistung.

7 Rechnungen (§§ 15 und 17 VOL/B)

7.1 Die Rechnungen sind mit den Vertragspreisen ohne Umsatzsteuer (Nettopreise) aufzustellen; der Umsatzsteuerbetrag ist am Schluss der Rechnung mit dem Steuersatz einzusetzen, der zum Zeitpunkt des Entstehens der Steuer, bei Schlussrechnungen zum Zeitpunkt des Bewirkens der Leistung gilt.

Beim Überschreiten von Vertragsfristen, die der Auftragnehmer zu vertreten hat, wird die Differenz zwischen dem aktuellen Umsatzsteuerbetrag und dem bei Fristablauf maßgebenden Umsatzsteuer- betrag nicht erstattet. 7.2 In jeder Rechnung sind Umfang und Wert aller bisherigen Leistungen und die bereits erhaltenen Zahlungen mit gesondertem Ausweis der darin enthaltenen Umsatzsteuerbeträge anzugeben.

8 Leistungen nach Stundenverrechnungssätzen (§ 16 VOL/B)

Der Auftragnehmer hat über Leistungen nach Stundenverrechnungssätzen arbeitstäglich Listen in zweifacher Ausfertigung einzureichen. Diese müssen

• das Datum,
• die genaue Bezeichnung des Ausführungsortes,
• die Art der Leistung,
• die Namen der Arbeitskräfte und deren Berufs-, Lohn- oder Gehaltsgruppe,
• die geleisteten Arbeitsstunden je Arbeitskraft, ggf. aufgegliedert nach Mehr-, Nacht-, Sonntags- und Feiertagsarbeit, sowie nach im Verrechnungssatz nicht enthaltenen Erschwernissen und
• die Gerätekenngrößen enthalten. Rechnungen über Stundenverrechnungssätze müssen entsprechend den Listen aufgegliedert werden. Die Originale der Listen behält der Auftraggeber, die bescheinigten Durchschriften erhält der Auftragnehmer.

© VHB - Bund - Ausgabe 2017 Seite 1 von 1

[Seite 10]

Landratsamt Erzgebirgskreis Referat Digitalisierung und IT

60101/2/6/26/706 Beschaffung eines Managed Detection & Response System (MDR)

[Seite 11]

633 (Angebotsschreiben – Liefer-/Dienstleistungen)

1 Ich/Wir biete(n) die Ausführung der oben genannten Leistung zu den von mir/uns eingesetz- ten Preisen an. An mein/unser Angebot halte(n) ich/wir mich/uns bis zum Ablauf der Bindefrist gebunden.

2 Die Angebotsendsumme des Hauptangebotes gem. Leistungs- beschreibung beträgt einincsl.c Uhml. sUamtzssattezuseteruer Euro

3 Anzahl der Nebenangebote St.

4 Preisnachlass ohne Bedingung auf die Abrechnungssumme für % Haupt- und alle Nebenangebote

5 Bestandteil meines/unseres Angebots sind neben diesem Angebotsschreiben und seinen An- lagen:

• Allgemeine Vertragsbedingungen für die Ausführung von Leistungen (VOL/B), Ausgabe 2003,
• Unterlagen gem. Aufforderung zur Angebotsabgabe, Anlagen – Teil B

6 Ich/Wir erklären, dass

– ich/wir die gewerberechtlichen Voraussetzungen für die Ausführung der angebotenen Leistung erfülle(n). – ich/wir den Wortlaut der vom Auftraggeber verfassten Langfassung des Leistungsverzeichnisses als alleinverbindlich anerkenne(n). – mir/uns zugegangene Änderungen der Vergabeunterlagen Gegenstand meines/unseres Ange- botes sind. – das vom Auftraggeber vorgeschlagene Produkt Inhalt meines/unseres Angebotes ist, wenn Teil- leistungsbeschreibungen des Auftraggebers den Zusatz „oder gleichwertig“ enthalten und von mir/uns keine Produktangaben (Hersteller- und Typbezeichnung) eingetragen wurden. – falls von mir/uns mehrere Nebenangebote abgegeben wurden, mein/unser Angebot auch die Kumulation der Nebenangebote, die sich nicht gegenseitig ausschließen, umfasst. – ich/wir einen pauschalen Schadensersatz in Höhe von 15 Prozent der Bruttoabrechnungssumme dieses Vertrages entrichten werde, falls ich/wir aus Anlass der Vergabe nachweislich eine Abre- de getroffen habe(n), die eine unzulässige Wettbewerbsbeschränkung darstellt, es sei denn, ich/wir weise(n) einen geringeren Schaden nach.

Unterschrift (bei schriftlichem Angebot)

Ist

• bei einem elektronisch übermittelten Angebot in Textform der Bieter nicht erkennbar,
• ein schriftliches Angebot nicht an dieser Stelle unterschrieben oder
• ein elektronisches Angebot, das signiert/mit elektronischem Siegel versehen werden muss, nicht wie vorgegeben signiert/mit elektronischem Siegel versehen, wird das Angebot ausgeschlossen.

© VHB - Bund - Ausgabe 2017 - Stand 2019 Seite 2 von 2

[Seite 12]

234 (Erklärung Bieter-/Arbeitsgemeinschaft) Bezeichnung der Bauleistung:

Erklärung der Bieter- /Arbeitsgemeinschaft

Wir, die nachstehend aufgeführten Unternehmen einer Bietergemeinschaft,

Bevollmächtigter Vertreter

Mitglied

USt-ID:

Weitere Mitglieder

Mitglied

USt-ID:

Mitglied

USt-ID:

Mitglied

USt-ID:

beschließen, im Falle der Auftragserteilung eine Arbeitsgemeinschaft zu bilden und erklären1, dass der be- vollmächtigte Vertreter die Mitglieder gegenüber dem Auftraggeber rechtsverbindlich vertritt, zur Entgegen- nahme der Zahlungen mit befreiender Wirkung berechtigt ist und alle Mitglieder als Gesamtschuldner haften.

Ort Datum Unterschrift

Ort Datum Unterschrift

Ort Datum Unterschrift

Ort Datum Unterschrift

1 Die Bietergemeinschaft hat mit ihrem Angebot eine Erklärung aller Mitglieder in Textform abzugeben, Auf Verlangen der Vergabestelle ist eine von allen Mitgliedern unterzeichnete bzw. fortgeschritten oder qualifiziert signierte Er- klärung abzugeben.

© VHB - Bund - Ausgabe 2017 Seite 1 von 1

[Seite 13]

235 (Verzeichnis der Leistungen/Kapazitäten anderer Unternehmen)

Ergänzung des Angebotsschreibens

Verzeichnis über Art und Umfang der Leistungen, für die sich der Bieter der Kapazitäten anderer Un- ternehmen bedienen wird

Zur Ausführung der im Angebot enthaltenen Leistungen benenne ich Art und Umfang der Teilleistungen, für die ich mich/wir uns anderer Unternehmen bedienen werde(n).

OZ/Leistungsbereich Beschreibung der Teilleistungen

© VHB - Bund - Ausgabe 2017 Seite 1 von 1

[Seite 14]

236 (Verpflichtungserklärung anderer Unternehmen)

Name, gesetzlicher Vertreter, Kontaktdaten des sich verpflichtenden Unternehmens

Verpflichtungserklärung anderer Unternehmen

Ich/Wir verpflichte(n) mich/uns gegenüber dem Auftraggeber, im Falle der Auftragsvergabe an den o.g. Be- werber/Bieter diesem mit den erforderlichen Kapazitäten meines/unseres Unternehmens für den/die nachfol- genden Leistungsbereich(e) zur Verfügung zu stehen.

OZ/Leistungsbereich Beschreibung der (Teil)Leistungen

(Ort, Datum, Unterschrift)

Der Bewerber bzw. Bieter nimmt zum Nachweis seiner Eignung die wirtschaftliche und finanzielle Leis- tungsfähigkeit meines/unseres Unternehmens in Anspruch. Ich/Wir verpflichte(n) mich/uns gegenüber dem Auftraggeber, im Falle der Auftragsvergabe an den o.g. Bewerber/Bieter mit diesem gemeinsam für die Auftragsausführung zu haften.1

(Ort, Datum, Unterschrift)

Anmerkung: Sofern Verpflichtungserklärungen in Kopie oder als Telefax vorgelegt werden, behält sich die Vergabestelle vor, die Originale zu verlangen.

1 Diese Erklärung muss abgegeben werden, wenn sie in den Teilnahmebedingungen gefordert ist.

© VHB - Bund - Ausgabe 2017 Seite 1 von 1

[Seite 15]

Zertifikate: ISO 27001, ISO 9001, SOC2, Nachweis Mindestausstattung SOC

z.B. Datenblätter, Muster, spezielle Nachweise

[Seite 17]

60101/2/6/26/706

Landratsamt Erzgebirgskreis Referat Digitalisierung und IT

Beschaffung eines Managed Detection & Response System (MDR)

[Seite 18]

124 LD (Eigenerklärung zur Eignung Liefer- / Dienstleistungen)

Eintragung in das Berufsregister ihres Sitzes oder Wohnsitzes Ich bin nicht zur Eintragung in ein Berufsregister verpflichtet.

Ich bin eingetragen bei:

Falls mein/unser Teilnahmeantrag/Angebot in die engere Wahl kommt, werde ich/werden wir zur Bestätigung meiner/unserer Erklärung die entsprechende Bescheinigung vorlegen.

Angabe zu Insolvenzverfahren und Liquidation Ich/Wir erkläre(n), dass ein Insolvenzverfahren oder ein vergleichbares gesetzlich geregeltes Verfahren weder beantragt noch eröffnet wurde, ein Antrag auf Eröffnung nicht mangels Masse abgelehnt wurde und sich mein/unser Unternehmen nicht in Liquidation befindet. Ein Insolvenzplan wurde rechtskräftig bestätigt, auf Verlangen werde ich/werden wir ihn vorlegen.

Angabe, dass nachweislich keine schwere Verfehlung begangen wurde, die die Zuverlässigkeit als Bewerber in Frage stellt Ich/Wir erkläre(n), dass für mein/unser Unternehmen keine Ausschlussgründe gemäß § 123 oder § 124 GWB vorliegen ich/wir in den letzten zwei Jahren nicht aufgrund eines Verstoßes gegen Vorschriften, der zu einem Eintrag im Gewerbezentralregister geführt hat, mit einer Freiheitsstrafe von mehr als drei Monaten oder einer Geldstrafe von mehr als 90 Tagessätzen oder einer Geldbuße von mehr als 2.500 Euro belegt worden bin/sind für mein/unser Unternehmen ein Ausschlussgrund gemäß § 124 GWB vorliegt. zwar für mein/unser Unternehmen ein Ausschlussgrund gemäß § 123 GWB vorliegt, ich/wir jedoch für mein/unser Unternehmen Maßnahmen zur Selbstreinigung ergriffen habe(n), durch die für mein/unser Unternehmen die Zuverlässigkeit wieder hergestellt wurde

Ab einer Auftragssumme von 30.000 Euro wird der Auftraggeber für den Bieter, auf dessen Angebot der Zu- schlag erteilt werden soll, einen Auszug aus dem Gewerbezentralregister gem. § 150a GewO beim Bundes- amt für Justiz anfordern.

Angaben zur Zahlung von Steuern, Abgaben und Beiträgen zur gesetzlichen Sozialversicherung

Ich/Wir erkläre(n), dass ich/wir meine/unsere Verpflichtung zur Zahlung von Steuern und Abgaben sowie der Beiträge zur gesetzlichen Sozialversicherung, soweit sie der Pflicht zur Beitragszahlung unterfallen, ordnungsgemäß erfüllt habe/haben.

Falls mein/unser Angebot/Teilnahmeantrag in die engere Wahl kommt, werde ich/werden wir eine Unbedenklichkeitsbescheinigung des Finanzamtes bzw. Bescheinigung in Steuersachen2 vorlegen.

Angabe zur Mitgliedschaft bei der Berufsgenossenschaft

Ich bin/Wir sind Mitglied der Berufsgenossenschaft.

Mir/Uns ist bekannt, dass die jeweils genannten Bestätigungen/Nachweise zu den Eigenerklärungen auf gesondertes Verlangen der Vergabestelle innerhalb der gesetzten angemessenen Frist vorgelegt werden müssen und mein/unser Angebot/Teilnahmeantrag ausgeschlossen wird, wenn die Unterlagen nicht vollständig innerhalb dieser Frist vorgelegt werden.

(Ort, Datum, Unterschrift)3

2 soweit das Finanzamt derartige Bescheinigungen ausstellt 3 nur erforderlich, wenn diese Eigenerklärung nicht Bestandteil eines unterschriebenen Angebotes ist

© VHB - Bund - Ausgabe 2017 - Stand 2019 Seite 2 von 2

[Seite 19]

• Anlage zum BMWK-Rundschreiben vom 14.04.2022 -

Eigenerklärung

(von allen Bewerbern / Bietern / allen Mitgliedern von Bewerber- bzw. Bietergemeinschaften)

Bezeichnung des Vergabeverfahrens / Auftrags: Landratsamt Erzgebirgskreis Referat Digitalisierung und IT -Beschaffung eines Managed Detection & Response System (MDR) Geschäftszeichen des Auftraggebers: 60101/2/6/26/706

Die nachfolgende Erklärung gebe/n ich/wir verbindlich ab (ggf. zugleich in Vertretung für die lt. Teilnahmeantrag / Angebot Vertretenen auch für diese):

1. Der / die Bewerber / Bieter gehört / gehören nicht zu den

in Artikel 5 k) Absatz 1 der Verordnung (EU) Nr. 833/2014 in der Fassung des Art. 1 Ziff. 23 der Verordnung (EU) 2022/576 des Rates vom 8. April 2022 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren,

genannten Personen oder Unternehmen, die einen Bezug zu Russland im Sinne der Vorschrift aufweisen,

a) durch die russische Staatsangehörigkeit des Bewerbers/Bieters oder die Niederlassung des Bewerbers/Bieters in Russland, b) durch die Beteiligung einer natürlichen Person oder eines Unternehmens, auf die eines der Kriterien nach Buchstabe a zutrifft, am Bewerber/Bieter über das Halten von Anteilen im Umfang von mehr als 50%, c) durch das Handeln der Bewerber/Bieter im Namen oder auf Anweisung von Personen oder Unternehmen, auf die die Kriterien der Buchstaben a und/oder b zutrifft.

2. Die am Auftrag als Unterauftragnehmer, Lieferanten oder Unternehmen, deren Kapazitäten im Zusammenhang mit der Erbringung des Eignungsnachweises in Anspruch genommen werden, beteiligten Unternehmen, auf die mehr als 10 % des Auftragswerts entfällt, gehören ebenfalls nicht zu dem in der Vorschrift genannten Personenkreis mit einem Bezug zu Russland im Sinne der Vorschrift.

3. Es wird bestätigt und sichergestellt, dass auch während der Vertragslaufzeit keine als Unterauftragnehmer, Lieferanten oder Unternehmen, deren Kapazitäten im Zusammenhang mit der Erbringung des Eignungsnachweises in Anspruch genommen werden, beteiligten Unternehmen eingesetzt werden, auf die mehr als 10 % des Auftragswerts entfällt.

_______________________, den _______________________________

Unterschriften

[Seite 20]

Artikel 5k der Verordnung (EU) Nr. 833/2014 in der Fassung des Art. 1 Ziff. 23 der Verordnung (EU) 2022/576 des Rates vom 8. April 2022 lautet wie folgt:

(1) Es ist verboten, öffentliche Aufträge oder Konzessionen, die in den Anwendungsbereich der Richtlinien über die öffentliche Auftragsvergabe sowie unter Artikel 10 Absatz 1, Absatz 3, Absatz 6 Buchstaben a bis e, Absatz 8, Absatz 9 und Absatz 10 und die Artikel 11, 12, 13 und 14 der Richtlinie 2014/23/EU, unter die Artikel 7 und 8, Artikel 10 Buchstaben b bis f und h bis j der Richtlinie 2014/24/EU, unter Artikel 18, Artikel 21 Buchstaben b bis e und g bis i, Artikel 29 und Artikel 30 der Richtlinie 2014/25/EU und unter Artikel 13 Buchstaben a bis d, f bis h und j der Richtlinie 2009/81/EG fallen, an folgende Personen, Organisationen oder Einrichtungen zu vergeben bzw. Verträge mit solchen Personen, Organisationen oder Einrichtungen weiterhin zu erfüllen:

a) russische Staatsangehörige oder in Russland niedergelassene natürliche oder juristische Personen, Organisationen oder Einrichtungen,

b) juristische Personen, Organisationen oder Einrichtungen, deren Anteile zu über 50 % unmittelbar oder mittelbar von einer der unter Buchstabe a genannten Organisationen gehalten werden, oder

c) natürliche oder juristische Personen, Organisationen oder Einrichtungen, die im Namen oder auf Anweisung einer der unter Buchstabe a oder b genannten Organisationen handeln,

auch solche, auf die mehr als 10 % des Auftragswerts entfällt, Unterauftragnehmer, Lieferanten oder Unternehmen, deren Kapazitäten im Sinne der Richtlinien über die öffentliche Auftragsvergabe in Anspruch genommen werden.

(2) Abweichend von Absatz 1 können die zuständigen Behörden die Vergabe oder die Fortsetzung der Erfüllung von Verträgen genehmigen, die bestimmt sind für

a) den Betrieb ziviler nuklearer Kapazitäten, ihre Instandhaltung, ihre Stilllegung, die Entsorgung ihrer radioaktiven Abfälle, ihre Versorgung mit und die Wiederaufbereitung von Brennelementen und die Weiterführung der Planung, des Baus und die Abnahmetests für die Indienststellung ziviler Atomanlagen und ihre Sicherheit sowie die Lieferung von Ausgangsstoffen zur Herstellung medizinischer Radioisotope und ähnlicher medizinischer Anwendungen, kritischer Technologien zur radiologischen Umweltüberwachung sowie für die zivile nukleare Zusammenarbeit, insbesondere im Bereich Forschung und Entwicklung,

b) die zwischenstaatliche Zusammenarbeit bei Raumfahrtprogrammen,

c) die Bereitstellung unbedingt notwendiger Güter oder Dienstleistungen, wenn sie ausschließlich oder nur in ausreichender Menge von den in Absatz 1 genannten Personen bereitgestellt werden können,

d) die Tätigkeit der diplomatischen und konsularischen Vertretungen der Union und der Mitgliedstaaten in Russland, einschließlich Delegationen, Botschaften und Missionen, oder internationaler Organisationen in Russland, die nach dem Völkerrecht Immunität genießen.

e) den Kauf, die Einfuhr oder die Beförderung von Erdgas und Erdöl, einschließlich raffinierter Erdölerzeugnisse, sowie von Titan, Aluminium, Kupfer, Nickel, Palladium und Eisenerz aus oder durch Russland in die Union, oder

f) den Kauf, die Einfuhr oder die Beförderung von Kohle und anderen festen fossile Brennstoffen, die in Anhang XXII aufgeführt sind, bis 10. August 2022.

(3) Der betreffende Mitgliedstaat unterrichtet die anderen Mitgliedstaaten und die Kommission über jede nach diesem Artikel erteilte Genehmigung innerhalb von zwei Wochen nach deren Erteilung.

(4) Die Verbote gemäß Absatz 1 gelten nicht für die Erfüllung — bis zum 10. Oktober 2022 — von Verträgen, die vor dem 9. April 2022 geschlossen wurden.

[Seite 21]

Leistungsbeschreibung – Managed Detection & Response System (MDR)

1. Auftrag, Zielsetzung und Hintergrund

1.1 Auftraggeber Landratsamt Erzgebirgskreis — Referat Digitalisierung und IT (Paulus-Jenisius-Straße 24, 09456 Annaberg-Buchholz, Zentrale Vergabestelle).

1.2 Gegenstand der Ausschreibung Beschaffung, Bereitstellung, Implementierung, Integration, Betrieb und fortlaufender Managed Service für eine unternehmensweite Virenschutz- und Managed Detection & Response (MDR)-Lösung bestehend aus: Endpoint Protection Platform (EPP), Endpoint Detection & Response (EDR), Device Control (z. B. USB-Kon- trolle), Vulnerability Management / Schwachstellenscanner sowie 24/7 MDR-Service.

Gegenstand der Ausschreibung und Bestandteil des Vergabeverfahrens ist ein ausführlicher, mindestens 4wöchiger Funktionstest (s. Anlage)

1.3 Ziel Bereitstellung einer skalierbaren, datenschutzkonformen, hochverfügbaren und SOC-gestützten MDR-Lö- sung, die Bedrohungen erkennt, analysiert und im Rahmen definierter Prozesse automatisch und personell unterstützt behebt.

2. Leistungsumfang

2.1 Lieferumfang / Software & Lizenzen • Lizenzierung für EPP + EDR für 2000 Endpunkte (Skalierbarkeit auf höhere Stückzahlen möglich). • Modul „Device Control“ (u. a. USB-Port-Regelungen). • Vulnerability Management / Schwachstellenscanner (Scheduling, Priorisierung, Reporting). • Management Console (SaaS) mit rollenbasiertem Zugriff.

2.2 Managed MDR-Service (Leistungsbestandteile) • 24/7 Monitoring durch ein SOC (Threat Monitoring, Threat Hunting). • Erkennung, Triage und Priorisierung von Incidents. • Incident Response: Containment, Eradication, Remediation-Support (remote) und koordinierte Un- terstützung vor Ort falls erforderlich. • Proaktives Threat Hunting und regelmäßige Threat Intelligence-Feeds. • Forensische Analysen und Unterstützung bei Aufbereitung von Vorfallsberichten. • Integration/Anbindung in bestehende SIEM (Security Information and Event Management) / Ticke- ting / IAM-Systeme (Schnittstellen, API).

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 1 von 12

[Seite 22]

2.3 Bereitstellung & Integration • Deployment-Konzept (Rollout-Plan für Gesamtbestand, 2000 Endpunkte; 1850 Clients, 150 Server) • Agent-Rollout (Windows optional: mobile Plattformen) inkl. zentralem Policy-Management. • Einrichtung von Alerts/Rules, Playbooks (automatisierte Reaktionsabläufe) und Eskalationsstufen. • Übernahme/Mapping bestehender Sicherheits-Policies, Import relevanter Logs/Historie (sofern möglich).

2.4 Operation, Support & Wartung • 24/7/365 Support für MDR-Funktionen (Telefon, E-Mail, Portal) mit definierten SLAs. • Regelmäßige Software-Updates, Signatur-/Modell-Updates, Systempflege. • Patch-Management-Unterstützung • Schulungen (Administrator-Schulungen, IT-Personal - max. 6 zu schulende Mitarbeiter - als Online- oder Präsenz-Schulung) Bereitstellung von Schulungsunterlagen (digital, barrierefrei). • Regelmäßige (monatliche) Reports, Dashboard-Zugänge und Wartungsberichte.

2.5 Dokumentation & Übergabe • Vollständige technische Dokumentation, Betriebs- und Handlungsanweisungen, Notfallpläne, Run- books. • Abschlussabnahme mit Testfällen (z. B. Erkennungsfall, Eskalationssimulation, Endpoint-Contain- ment).

3. Technische Mindestanforderungen

4. Plattformunterstützung: native Agenten für Windows (incl. Servervarianten), Linux-Distributionen, macOS.

5. Erkennungsfunktionen: Signatur-, Verhaltens-, KI-/ML-basierte Erkennung; Telemetrie-Sammlung; IOC-Matching.

6. Reaktion: automatische Isolierung (network/host), Remote-Forensik, Rollback-/Quarantäne-Funk- tionen.

7. Verschlüsselung & Datensicherheit: TLS 1.2+ für Transport; Verschlüsselung ruhender Daten; Key- Management; klare Datenlokation (EU/DE) — Anbieter muss Standort(e) der Verarbeitung offenle- gen.

8. Schnittstellen: REST-API, Syslog, Anbindung an gängige SIEM-Produkte, Ticketing (z. B. Jira), LDAP/AD/Single Sign-On.

9. Skalierbarkeit & Multi-Mandantenfähigkeit: horizontale Skalierung, Mandanten/Organisationsein- heiten (falls benötigt).

10. Audit & Nachvollziehbarkeit: vollständige Audit-Trails aller Aktionen, Änderungs- und Zugriffshisto- rie.

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 2 von 12

[Seite 23]

4. Sicherheitsanforderungen & Datenschutz

• Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DS-GVO (AVV – gemäß dem durch den AG beigefüg- ten Muster), inklusive der Technischen und organisatorischen Maßnahmen des Auftragnehmers nach Art. 32 DS-GVO (TOMs) • Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DS-GVO (auftragnehmerseitig), Löschkonzep- ten und Benachrichtigungspflichten bei Datenschutzvorfällen. • Nachweis von ISO-27001 (oder gleichwertig) für den Anbieter / SOC. • Standort der Log- und Telemetriedaten: vorzugsweise in Rechenzentren innerhalb EU / DE; bei Ver- arbeitung außerhalb EU sind geeignete Garantien (Standardvertragsklauseln / Angemessenheitsbe- schlüsse) erforderlich. • Verpflichtung zur Geheimhaltung; Mitarbeiterauskünfte

5. SLA (Service Level Agreement)

Verfügbarkeit • Verfügbarkeit der Managementkonsole / MDR-Dashboards: ≥ 99,5 % p.a.

Reaktionszeiten (Beispiel-Katalog) • Critical (aktive RCE, breitflächige Ransomware, laufender Datenabfluss): Erstreaktion < 1 Stunde, kontinuierliche Betreuung bis Containment. • High (Ausbreitung, kompromittierte Konten): Erstreaktion < 4 Stunden. • Medium / Low: Erstreaktion < 24 Std.

Erkennungs- & Untersuchungszeiten • Zeit zur Erstmeldung an Auftraggeber nach Detektion: max. 15–60 Minuten je nach Priorität. • Mean Time To Detect (MTTD) / Mean Time To Respond (MTTR) KPIs werden quartalsweise berichtet.

6. Bewertung & Zuschlags- und Ausschlusskriterien

• Technische Qualität / Umfang der Erkennung & Reaktionsfähigkeit — 30 % (Nachweis: Detektions- Rates, Referenzfälle, Demo-Szenarien) • Preis (Total Cost of Ownership über Vertragslaufzeit, inkl. Lizenzen, Betrieb, Onboarding) — 40 % • Erfahrungen / Referenzen (öffentliche Hand, Kommunen) — 05 % • SLA / Supportkonzept & Personelle Ressourcen (SOC-Standby, Eskalationsmatrix) — 15 % • Datenschutz & Compliance (Datenstandorte, AV-Vertrag, ISO-Zertifikate) — 10 %

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 3 von 12

[Seite 24]

Hinweis: Preise sind als Gesamtbetriebskosten (TCO) für Vertragslaufzeit (3 Jahre) anzugeben.

Angebote, welche gegen geltende gesetzliche oder regulatorische Bestimmungen bzw. behördliche Vorga- ben verstoßen ( insb. DS-GVO, IT-Sicherheitsgesetz, BSI-Vorgaben, ISO-/ DIN-Normen, kommunale Sicher- heitsrichtlinien) oder deren Einhaltung nicht nachweislich gewährleisten, werden vom weiteren Vergabe- verfahren ausgeschlossen.

7. Eignungsnachweise & geforderte Unterlagen

Bieter müssen beifügen: • Unternehmensprofil, Umsatz des Unternehmens in den letzten drei abgeschlossenen Geschäftsjah- ren, soweit er Leistungen betrifft, die mit der zu vergebenden Leistung vergleichbar sind unter Ein- schluss des Anteils bei gemeinsam mit anderen Unternehmen ausgeführten Leistungen. • Angaben zu Leistungen, die mit der zu vergebenden Leistung vergleichbar sind. Der Auftraggeber fordert hierbei zusätzlich, dass es sich um öffentliche Auftraggeber handeln muss. Ich/Wir erkläre(n), dass ich/wir in den letzten drei Jahren vergleichbare Leistungen ausgeführt habe/haben. Falls mein/unser Teilnahmeantrag/Angebot in die engere Wahl kommt, werde ich/werden wir drei Refe- renzen aus den letzten drei Jahren mit mindestens folgenden Angaben benennen: Ansprechpartner; Art der ausgeführten Leistung; Auftragssumme; Ausführungszeitraum. • Zertifikate: ISO 27001, ISO 9001, SOC2 • Nachweis über Mindestausstattung SOC (Mitarbeiter, Betriebszeiten). • Erklärung zur Datenverarbeitung, Datenstandorten und AV-Vertrag. • Gesamtangebot (Preisblatt), detaillierte Leistungsbeschreibung, Projektplan (Onboarding + Rollout). • Teamqualifikationen: Projektleitung, Lead Incident Responder, Security Analysts.

8. Projektdurchführung, Onboarding & Abnahme

Phasen:

1. Kick-off & Planung (4 Wochen) — Risikobewertung, Netzwerk-Survey, Pilotplanung.
2. Pilotphase (z. B. 3-6 Wochen) — Einrichtung bei 50–200 ausgewählten Endpunkten, Testszenarien, Anpassung Policies.
3. Rollout (stufenweise nach Pilot) — Rollout-Plan mit Zeitfenstern, Change-Management.
4. Produktivbetrieb & Übergabe — Abschlussdokumentation, Schulungen, Abnahmeprotokoll.

Abnahme: • Abnahme erfolgt nach positivem Abschluss vorab definierter Testfälle (Detection, Incident Hand- ling, Reporting). • Abnahmeprotokoll mit Mängelrügen, Nachbesserungsfristen.

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 4 von 12

[Seite 25]

9. Vertragslaufzeit & Verlängerung

Mindestvertragslaufzeit: 36 Monate

Der Vertrag beginnt direkt nach dem Ende der Ausschreibung/ des Vergabeverfahrens, planmäßig zum 01.06.2026. Dabei gelten die ersten 36 Monate als Mindestvertragslaufzeit. Im Anschluss be- steht eine Verlängerungsoption um jeweils ein weiteres Jahr. Die Verlängerung des Vertrages ist un- begrenzt möglich.

Der AN teilt dem AG die Verlängerung seines Angebotes mit den neuen Angebotspreisen bis zum 30.06. des laufenden Jahres schriftlich mit. Die Gründe für eine Preiserhöhung sind dem AG umfas- send darzulegen und nachzuweisen. Der AG erklärt dem AN gegenüber schriftlich die Annahme des Verlängerungsangebotes oder die Kündigung bis spätestens zum 31.07. des laufenden Jahres. Soll- ten die genannten Fristen überschritten werden, gehen beide Vertragspartner davon aus, dass der Vertrag zu den Konditionen des Vorjahres weitergeführt wird.

Das Vertragsverhältnis kann von jedem Vertragspartner mit einer Frist von sechs Monaten zum Ende eines Kalenderjahres ordentlich gekündigt werden. Dafür muss die Kündigung bis spätestens 30.06. des jeweiligen Jahres bei der jeweils anderen Partei eingegangen sein. Eine ordentliche Kündigung ist frühestens zum Ende des ersten Vertragsjahres zulässig. Eine vorfristige Kündigung kann inner- halb eines Monats zum Monatsende bei Vorliegen eines wichtigen Grundes erfolgen. Wichtige Gründe, die eine vorzeitige Kündigung des AGs nach sich ziehen können, sind insbesondere:

• Unzuverlässigkeit des ANs
• wiederholte Qualitätsmängel in der Leistung
• Stellung eines Antrages auf Eröffnung eines Insolvenzverfahrens Kündigungsfristen, Übergabe- prozedur bei Vertragsende (Datenexport, Agenten-Deinstallation, sichere Löschung).

Anlagenübersicht A: Leistungsverzeichnis, B: SLA-Matrix, C: AV-Vertrag, D: Abnahmeprotokoll, E: Referenzformular.

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 5 von 12

[Seite 26]

Anlage A – Leistungsverzeichnis*

*Die Version zum verpreisen finden Sie ebenfalls in den Vergabeunterlagen

Modul Beschreibung Menge / Lizenzen EPP Endpoint Protection Plat- 2000 form inkl. Malware-, Viren- und Ransomware-Schutz EDR Endpoint Detection & 2000 Response inkl. Telemetrie, Incident Analysis Device Control USB-Kontrolle, Schnittstel- 2000 lenmanagement Vulnerability Scanner Schwachstellenscans, Priori- 2000 sierung, Reports MDR-Service 24/7 SOC, Threat Hunting, In- Gesamtbetrieb cident Response

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 6 von 12

[Seite 27]

Anlage B – SLA-Matrix Priorität Reaktionszeit Maßnahmen Critical < 1 Stunde Sofortige Analyse, Contain- ment, Eskalation High < 4 Stunden Analyse, Gegenmaßnahmen, Reporting Medium < 24 Stunden Bearbeitung im SOC, Maß- nahmenplan Low < 48 Stunden Monitoring, Dokumentation, Nachbearbeitung

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 7 von 12

[Seite 28]

Anlage C – Muster-AV-Vertrag Der Auftragnehmer verpflichtet sich zur Einhaltung der Vorgaben nach Art. 28 DS-GVO. Der vollständige AV- Vertrag wird nach Zuschlag geschlossen. Ein Muster liegt der Ausschreibung bei, dieses ist als Grundlage zu verwenden! Enthalten sind:

• Verfahrensbeschreibung
• Datenspeicherung & Löschung
• Sicherheitsmaßnahmen
• Unterauftragsverhältnisse
• Informationspflichten bei Datenschutzvorfällen.

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 8 von 12

[Seite 29]

Anlage D – Test- und Abnahmeprotokoll Testfall Soll-Ergebnis Ergebnis / Bemerkung Malware-Erkennung System erkennt Testdatei und blockiert Ausführung EDR-Isolation Endpoint wird remote iso- liert Vulnerability Scan Scanner identifiziert be- kannte Schwachstelle Incident Report SOC liefert Bericht binnen SLA-Zeitfenster

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 9 von 12

[Seite 30]

Anlage E – Referenzformular Angaben zu Leistungen, die mit der zu vergebenden Leistung vergleichbar sind Ich/Wir erkläre(n), dass ich/wir in den letzten drei Jahren vergleichbare Leistungen ausgeführt habe/haben. Falls mein/unser Teilnahmeantrag/Angebot in die engere Wahl kommt, werde ich/werden wir drei Referen- zen aus den letzten drei Jahren mit mindestens folgenden Angaben benennen: Ansprechpartner; Art der ausgeführten Leistung; Auftragssumme; Ausführungszeitraum

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 10 von 12

[Seite 31]

Teststellung

1. Ziel der Testphase

Ziel der Testphase ist die Überprüfung der Leistungsfähigkeit, Wirksamkeit und Praxistauglichkeit des an- gebotenen Managed Detection and Response (MDR)-Systems im realitätsnahen Umfeld des Auftraggebers. Die Testphase dient der objektiven Beurteilung, inwieweit die angebotene Lösung die im Leistungsbeschrei- bung beschriebenen Anforderungen an Erkennung, Analyse, Reaktion und Reporting von Sicherheitsvorfäl- len erfüllt.

2. Gegenstand der Testphase

Im Rahmen der Testphase hat der Bieter den angebotenen MDR-Service in einer funktionsfähigen Testum- gebung bereitzustellen und die wesentlichen Komponenten und Prozesse des Systems bereitzustellen bzw. zu demonstrieren.

Die Testphase umfasst insbesondere: • die Bereitstellung und Anbindung der relevanten Sensorik, Agenten oder Log-Quellen, • die Einrichtung einer sicheren Testumgebung (z. B. via Cloud- oder Hybrid-Betrieb), • die Demonstration der Erkennungs- und Reaktionsmechanismen für definierte Test-Use-Cases (z. B. Phishing, Malware, Privilege Escalation, lateral movement), • die Bereitstellung des Security Operation Center (SOC)-Dashboards mit Echtzeit- und Alarmierungs- funktionen, • die Nachvollziehbarkeit von Analysen, Reports und Reaktionsmaßnahmen, • die Darstellung der Integration in bestehende Sicherheits- und IT-Systeme (z. B. SIEM, EDR, Ticket- Systeme).

3. Dauer und Ablauf

Die Testphase dauert in der Regel 20 Arbeitstage und wird innerhalb von vier Wochen nach Aufforderung durch den Auftraggeber durchgeführt. Der genaue Ablauf (Testzeitraum, Szenarien, Ansprechpartner, techni- sche Rahmenbedingungen) wird im Vorfeld zwischen Auftraggeber und den infrage kommenden Bietern abge- stimmt und in einem Testplan dokumentiert.

4. Bewertung der Testphase

Die Ergebnisse der Testphase fließen als eigenständiges Zuschlagskriterium in die Gesamtbewertung ein. Bewertet werden insbesondere: • Erkennungsleistung: Fähigkeit des MDR-Systems, definierte Angriffsszenarien und verdächtige Akti- vitäten zu identifizieren,

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 11 von 12

[Seite 32]

• Reaktionsfähigkeit: Qualität, Schnelligkeit und Nachvollziehbarkeit empfohlener oder automati- sierter Gegenmaßnahmen, • Benutzerfreundlichkeit und Transparenz: Übersichtlichkeit des Dashboards, Alarmmanagement, Reportingfunktionen, • Integration und Kompatibilität: Einbindung in die bestehende Systemlandschaft des Auftraggebers, • Kommunikation und Zusammenarbeit: Qualität des Incident-Handlings und der Interaktion mit dem SOC-Team des Bieters, • Sicherheits- und Datenschutzkonformität: Einhaltung der Vorgaben zu Informationssicherheit, DS- GVO und ISO 27001.

5. Kosten und Durchführung

Die Testphase erfolgt auf Kosten des Bieters. Nach Abschluss der Testphase wird der bereitgestellte Service bzw. die Testumgebung vollständig deakti- viert und alle dabei erhobenen Daten werden datenschutzkonform gelöscht. Eine Vergütung für die Teil- nahme an der Testphase erfolgt nicht; sie dient ausschließlich der Bewertung der Leistungsfähigkeit im Rah- men des Vergabeverfahrens.

6. Vertraulichkeit und Datenschutz

Alle im Rahmen der Testphase bereitgestellten Informationen, Logdaten, Systeme und Ergebnisse unterlie- gen der Vertraulichkeit. Es dürfen ausschließlich synthetische oder anonymisierte Testdaten verwendet werden, sofern nicht ausdrücklich eine Freigabe zur Nutzung produktionsnaher Daten durch den Auftrag- geber erfolgt. Die Bestimmungen des IT-Sicherheitsgesetzes, der DS-GVO und einschlägiger Sicherheits- richtlinien sind einzuhalten.

Leistungsbeschreibung – Managed Detection & Response System (MDR) Seite 12 von 12

[Seite 33]

L E I S T U N G S V E R Z E I C H N I S

Beschaffung eines Managed Detection & Response System (MDR)

Vergabenummer: 60101/2/6/26/706

Position Menge Bezeichnung EP € GP €

Seite 1 von 1

[Seite 34]

Beschaffung eines Managed Detection Response System (MDR) Kriterienkatalog_Seite 1 von 7

[Seite 35]

Beschaffung eines Managed Detection Response System (MDR) Kriterienkatalog_Seite 2 von 7

[Seite 36]

Beschaffung eines Managed Detection Response System (MDR) Kriterienkatalog_Seite 3 von 7

[Seite 37]

Beschaffung eines Managed Detection Response System (MDR) Kriterienkatalog_Seite 4 von 7

[Seite 38]

Beschaffung eines Managed Detection Response System (MDR) Kriterienkatalog_Seite 5 von 7

[Seite 39]

Beschaffung eines Managed Detection Response System (MDR) Kriterienkatalog_Seite 6 von 7

[Seite 40]

Beschaffung eines Managed Detection Response System (MDR) Kriterienkatalog_Seite 7 von 7

[Seite 41]

Bewertungsmatrix

VgV - Offenes Verfahren Beschaffung eines Managed Detection & Response System (MDR)

Bewert- Punkte Nr. Auswahlkriterien ung

Gesamtsumme: max. 100 Punkte

[Seite 42]

Vereinbarung zur Auftragsverarbeitung

Als Anlage zum Vertrag / zur Leistungsbeschreibung vom [Datum]

• nachfolgend „Leistungsvereinbarung“ -

zwischen der Bundesrepublik Deutschland (XXXX XXX), vertreten durch [öffentliche Stelle]

• nachfolgend „Verantwortlicher“ -

und

[Vertragspartner]

• nachfolgend „Auftragsverarbeiter“ -

• beide nachfolgend gemeinsam „Vertragsparteien“ -

wird die folgende Vereinbarung zur Auftragsverarbeitung geschlossen:

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 43]

Seite 2 | 13

Inhalt

Präambel ................................................................................................................... 3

§ 1 Anwendungsbereich .............................................................................................. 3

§ 2 Konkretisierung des Auftragsinhalts ......................................................................... 3

§ 3 Verpflichtungen und Weisungsbefugnis .................................................................... 4

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter ................. 5

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle ...................................... 5

§ 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter.............................................. 6

§ 7 Löschung und Rückgabe von Daten ......................................................................... 7

§ 8 Subunternehmen .................................................................................................. 7

§ 9 Datenschutzkontrolle ............................................................................................. 8

§ 10 Haftung und Schadenersatz .................................................................................. 8

§ 11 Schlussbestimmungen ......................................................................................... 8

Anhang „Weisungsbefugnis“ zu § 3 (nach Zuschlagserteilung auszufüllen) ....................... 10

Anhang „Technisch-organisatorische Maßnahmen (TOM)“ .............................................. 11

Anhang „Subunternehmen“ zu § 8 .............................................................................. 13

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 44]

Seite 3 | 13

Präambel

Die Vertragsparteien sind mit der Leistungsvereinbarung ein Auftragsverarbeitungsverhältnis eingegangen. Um die sich hieraus ergebenden Rechte und Pflichten gemäß den Vorgaben der europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Ver- arbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richt- linie 95/46/EG - DSGVO), und des Bundesdatenschutzgesetzes (BDSG) zu konkretisieren, schließen die Vertragsparteien die nachfolgende Vereinbarung.

§ 1 Anwendungsbereich

(1) Die Vereinbarung findet Anwendung auf die Verarbeitung (Art. 4 Nr. 2 DSGVO) aller per- sonenbezogener Daten (im Folgenden: Daten), die Gegenstand der Leistungsvereinbarung sind oder im Rahmen von deren Durchführung anfallen und auf Weisung des Verantwortlichen verarbeitet werden. Nicht unter den Anwendungsbereich fallen Daten von Mitarbeitern des Auftragsverarbeiters, soweit sie ausschließlich das Beschäftigungsverhältnis mit dem Auf- tragsverarbeiter betreffen.

(2) Diese Vereinbarung gilt vorranging vor anderen Vereinbarungen und Abreden zwischen Auftraggeber und Auftragnehmer, es sie denn, zwischen den Parteien wird ausdrücklich etwas anderes vereinbart.

§ 2 Konkretisierung des Auftragsinhalts

(1) Gegenstand und Dauer der Auftragsverarbeitung sowie Umfang, Art und Zweck der vor- gesehenen Verarbeitung von Daten bestimmen sich nach der Leistungsvereinbarung, die die- ser Vereinbarung angefügt ist.

(2) Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung durch den Auftragsverarbeiter:

[Datenarten & -kategorien einfügen, bspw. Personenstammdaten, Kontaktdaten, bestimmte Gesundheitsdaten oder Verweis auf Leistungsbeschreibung im Anhang]

(3) Der Kreis der durch den Umgang mit ihren Daten betroffenen Personen ist (Kategorien betroffener Personen):

[Aufzählung und Beschreibung der betroffenen Personenkreise, bspw. Beschäftigte, Bewer- berInnen, Veranstaltungsteilnehmende oder Verweis auf Leistungsbeschreibung im Anhang ]

(4) Im Rahmen der Auftragsverarbeitung werden [keine] besondere[n] Kategorien von Daten verarbeitet.

(5) Die verarbeiteten personenbezogenen Daten haben einen [normalen/ hohen] Schutzbe- darf.

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 45]

Seite 4 | 13

§ 3 Verpflichtungen und Weisungsbefugnis

(1) Die Vertragsparteien sind verpflichtet, die ihnen durch datenschutzrechtliche Vorschriften (insbesondere die DSGVO) auferlegten Pflichten einzuhalten. Der Verantwortliche kann je- derzeit die Herausgabe, Berichtigung, Anpassung, Löschung und Einschränkung der Verar- beitung der Daten verlangen.

(2) Zur Gewährleistung des Schutzes der Rechte der betroffenen Personen unterstützt der Auftragsverarbeiter den Verantwortlichen angemessen, insbesondere durch die Gewährleis- tung geeigneter technischer und organisatorischer Maßnahmen.

(3) Soweit sich eine betroffene Person zwecks Geltendmachung eines Betroffenenrechts un- mittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.

(4) Der Auftragsverarbeiter darf Daten ausschließlich im Rahmen der Weisungen des Verant- wortlichen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder des Mitgliedstaates, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wich- tigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Eine Weisung ist die auf einen bestimmten Umgang des Auftragsverarbeiters mit Daten gerichtete schriftliche, elektronische oder mündliche Anordnung des Verantwortlichen. Die Anordnungen sind zu do- kumentieren. Die Weisungen werden zunächst durch die Leistungsvereinbarung definiert und können von dem Verantwortlichen danach in dokumentierter Form durch eine einzelne Wei- sung geändert, ergänzt oder ersetzt werden.

(5) Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auf- tragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange aus- zusetzen, bis sie von Seiten des Verantwortlichen bestätigt oder geändert wird. Die weisungs- berechtigten Personen auf Seiten des Verantwortlichen sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des Auftragsverarbeiters sowie die vorgesehenen Informa- tionswege sind im Anhang „Weisungsbefugnis“ festgelegt.

(6) Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren.

(7) Auskünfte an Dritte oder die betroffene Person darf der Auftragsverarbeiter nur nach vor- heriger ausdrücklicher schriftlicher (oder dokumentierter elektronischer) Zustimmung durch den Verantwortlichen erteilen, es sei denn er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe verpflichtet.

(8) Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und ist insbeson- dere nicht berechtigt, sie an Dritte weiterzugeben, es sei denn er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe verpflichtet. Kopien und Duplikate wer- den ohne Wissen des Verantwortlichen nicht erstellt.

(9) Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten i.S.d. Art. 30 Abs. 1 DSGVO. Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Wunsch Informati- onen zur Aufnahme in das Verzeichnis zur Verfügung. Der Auftragsverarbeiter führt entspre- chend den Vorgaben des Art. 30 Abs. 2 DSGVO ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung.

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 46]

Seite 5 | 13

(10) Die Verarbeitung der Daten im Auftrag des Verantwortlichen findet ausschließlich auf dem Gebiet der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraumes (EWR) / der Bundesrepublik Deutschland statt. Jede Übermittlung von Daten durch den Auftragsverarbei- ter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grund- lage schriftlicher (oder dokumentierter elektronischer) Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mit- gliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der DSGVO im Einklang stehen. Die grundlegenden Voraussetzungen für die Rechtmäßigkeit der Verarbeitung bleiben unberührt.

(11) Der Auftragsverarbeiter gewährleistet, dass ihm unterstellte natürliche Personen, die Zu- gang zu Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten. Eine Verar- beitung von Daten außerhalb der Betriebsräume des Auftragsverarbeiters (z.B. Telearbeit, Heimarbeit, Home Office, mobiles Arbeiten) bedarf der vorherigen ausdrücklichen schriftlichen (oder dokumentierten elektronischen) Zustimmung des Verantwortlichen, die erst nach Fest- legung angemessener technischer und organisatorischer Maßnahmen für die Verarbeitungssi- tuation erteilt werden kann.

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Ver- schwiegenheitspflicht unterliegen und weist dies dem Verantwortlichen auf Wunsch nach. Dies umfasst auch die Belehrung über die in diesem Auftragsverarbeitungsverhältnis beste- hende Weisungs- und Zweckbindung.

(2) Die Vertragsparteien unterstützen sich gegenseitig beim Nachweis und der Dokumentation der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und organisa- torischen Maßnahmen (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen hierzu bei Bedarf entsprechende Informationen zur Verfügung.

(3) Sofern der Auftragsverarbeiter der gesetzlichen Pflicht zur Benennung einer bzw. eines Datenschutzbeauftragte/n unterliegt, sind die Kontaktdaten der/des Datenschutzbeauftragten dem Verantwortlichen zum Zwecke der direkten Kontaktaufnahme mitzuteilen. Unterliegt der Auftragsverarbeiter nicht der Benennungspflicht, teilt er dem Verantwortlichen die Kontaktda- ten eines Ansprechpartners für den Datenschutz mit.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit bei dem Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen ein- zieht.

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle

(1) Die Vertragsparteien vereinbaren die in dem Anhang „Technisch-organisatorische Maßnah- men“ zu dieser Vereinbarung niedergelegten konkreten technischen und organisatorischen Sicherheitsmaßnahmen. Der Anhang „Technisch-organisatorische Maßnahmen (TOM)“ wird Gegenstand dieser Vereinbarung.

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 47]

Seite 6 | 13

(2) Ergibt eine Prüfung des Verantwortlichen einen Anpassungsbedarf der vom Auftragsverar- beiter zu ergreifenden technisch-organisatorischen Maßnahmen gemäß Artikel 32 DSGVO, sind die Anpassungen vom Auftragsverarbeiter umzusetzen.

(3) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. In- soweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzuset- zen. Dabei darf das Sicherheitsniveau der in dem Anhang „Technisch-organisatorische Maß- nahmen (TOM)“ festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderun- gen sind zu dokumentieren.

(4) Der Auftragsverarbeiter wird dem Verantwortlichen alle erforderlichen Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung der in dieser Vereinbarung getroffenen und der gesetzlichen Vorgaben erforderlich sind. Er wird insbesondere Überprüfungen/ In- spektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchge- führt werden, ermöglichen und deren Durchführung unterstützen.

(5) Die Überprüfung kann auch auf der Grundlage vorgelegter aktueller Testate, von Berichten hinreichend qualifizierter und unabhängiger Instanzen (z.B. Wirtschaftsprüfer, unabhängige Datenschutzauditoren), durch die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO, einer Zertifizierung nach Art. 42 DSGVO oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit erfolgen. Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über den Ausschluss von genehmigten Verhaltensregeln gemäß Art. 41 Abs. 4 DSGVO, den Widerruf einer Zertifizierung gemäß Art. 42 Abs. 7 DSGVO und jede andere Form der Aufhebung oder wesentlichen Änderung der vorgenannten Nachweise unverzüglich zu unterrichten.

(6) Die Überprüfung kann auch durch eine Inspektion vor Ort erfolgen. Der Verantwortliche kann sich hierzu in den Betriebsstätten des Auftragsverarbeiters zu den üblichen Geschäfts- zeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhal- tung der gesetzlichen Vorgaben oder der zur Durchführung dieser Vereinbarung erforderlichen technischen und organisatorischen Erfordernisse überzeugen.

(7) Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus alle erforderlichen In- formationen zur Verfügung, die er für die Prüfungen nach Absatz 4 sowie für eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz der Daten (Datenschutz- Folgenabschätzung i.S.d. Art. 35 DSGVO) benötigt.

(8) Der Auftragsverarbeiter hat im Benehmen mit dem Verantwortlichen alle erforderlichen Maßnahmen zur Sicherung der Daten bzw. der Sicherheit der Verarbeitung, insbesondere auch unter Berücksichtigung des Stands der Technik, sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.

§ 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter

Der Auftragsverarbeiter unterrichtet den Verantwortlichen umgehend bei schwerwiegenden Störungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen diese Vereinbarung sowie gesetzliche Datenschutzbestimmungen, bei Verstößen gegen solche Bestimmungen oder an- deren Unregelmäßigkeiten bei der Verarbeitung der Daten des Verantwortlichen. Dies gilt ins- besondere im Hinblick auf die Meldepflicht nach Art. 33 Abs. 2 DSGVO sowie auf korrespon- dierende Pflichten des Verantwortlichen nach Art. 33 und Art. 34 DSGVO. Der Auftragsverar- beiter sichert zu, den Verantwortlichen erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen. Meldungen nach Art. 33 oder 34 DSGVO für den Verantwortlichen darf der Auftragsverarbeiter nur nach vorheriger Weisung gem. § 3 dieser Vereinbarung durchführen.

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 48]

Seite 7 | 13

§ 7 Löschung und Rückgabe von Daten

(1) Überlassene Datenträger und Datensätze verbleiben im Eigentum des Verantwortlichen.

(2) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch den Verantwortlichen, jedoch spätestens mit Beendigung der Leistungsvereinbarung, hat der Auftragsverarbeiter sämtliche im Auftrag des Verantwortlichen verarbeitete personen- bezogene Daten dem Verantwortlichen zurückzugeben oder nach vorheriger Zustimmung des Verantwortlichen datenschutzgerecht zu löschen bzw. zu vernichten. Dies umfasst insbeson- dere dem Auftragsverarbeiter überlassene Daten, erstellte Verarbeitungs- und Nutzungser- gebnisse sowie Datenbestände (wie auch hiervon gefertigte Kopien oder Reproduktionen), die im Zusammenhang mit dem Auftragsverhältnis stehen. Eine weitere Speicherung ist nur zu- lässig, wenn hierzu eine Verpflichtung nach dem Unionsrecht oder dem Recht eines Mitglied- staats besteht. Gleiches gilt für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist dem Verantwortlichen auf Anforderung vorzulegen.

(3) Der Auftragsverarbeiter kann Dokumentationen, die dem Nachweis der auftrags- und ord- nungsgemäßen Datenverarbeitung dienen, entsprechend der jeweiligen Aufbewahrungsfristen bis zu deren Ende auch über das Vertragsende hinaus aufbewahren. Alternativ kann er sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben. Für die nach Satz 1 aufbewahrten Daten gelten nach Ende der Aufbewahrungsfrist die Pflichten nach Absatz 2.

§ 8 Subunternehmen

(1) Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Subunternehmen) nur nach ei- nem der nachfolgenden Verfahren einsetzen: [Zutreffendes bitte ankreuzen]

 Der Auftragsverarbeiter darf keinen seiner Verarbeitungsvorgänge, die er im Auftrag des Verantwortlichen gemäß dieser Vereinbarung durchführt, ohne vorherige geson- derte schriftliche (oder dokumentierte elektronische) Genehmigung des Verantwortli- chen an einen Subunternehmer untervergeben. Der Auftragsverarbeiter reicht den An- trag für die gesonderte Genehmigung mindestens vier Wochen vor der Beauftragung des betreffenden Subunternehmers zusammen mit den Informationen ein, die der Ver- antwortliche benötigt, um über die Genehmigung zu entscheiden. Die Liste der vom Verantwortlichen genehmigten Subunternehmer findet sich im Anhang „Subunterneh- men“. Die Parteien halten den Anhang jeweils auf dem neuesten Stand.

 Der Auftragsverarbeiter erhält die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Subunternehmen, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Subunternehmen und räumt dem Verant- wortlichen damit ausreichend Zeit ein, um vor der Beauftragung des betreffenden Sub- unternehmens Einwände gegen diese Änderungen erheben zu können. Der Auf- tragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Ver- fügung, damit dieser sein Widerspruchsrecht ausüben kann.

Nicht als Leistungen von Subunternehmen im Sinne dieser Regelung gelten Dienstleistungen, die der Auftragsverarbeiter bei Dritten als Nebenleistung zur Unterstützung der Auftragsdurch- führung in Anspruch nimmt, beispielsweise Telekommunikationsdienstleistungen. Der Auf- tragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Verantwortlichen auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 49]

Seite 8 | 13

(2) Wenn Subunternehmen durch den Auftragsverarbeiter eingeschaltet werden, hat der Auf- tragsverarbeiter sicherzustellen, dass seine vertraglichen Vereinbarungen mit dem Subunter- nehmen so gestaltet sind, dass das Datenschutzniveau mindestens der Vereinbarung zwischen dem Verantwortlichen und dem Auftragsverarbeiter entspricht und alle vertraglichen und ge- setzlichen Vorgaben beachtet werden; dies gilt insbesondere auch im Hinblick auf den Einsatz geeigneter technischer und organisatorischer Maßnahmen zur Gewährleistung eines ange- messenen Sicherheitsniveaus der Verarbeitung.

(3) Dem Verantwortlichen sind in der vertraglichen Vereinbarung mit dem Subunternehmen Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung einzuräumen. Ebenso ist der Verantwortlichen berechtigt, auf schriftliche (oder dokumentierte elektronische) Anforde- rung vom Auftragsverarbeiter Auskunft über den Inhalt des mit dem Subunternehmen ge- schlossenen Vertrages und die darin enthaltene Umsetzung der datenschutzrelevanten Ver- pflichtungen des Subunternehmens zu erhalten.

(4) Kommt das Subunternehmen seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Subunternehmens. Der Auftragsverarbeiter hat in diesem Falle auf Verlangen des Verantwortlichen die Beschäftigung des Subunternehmens ganz oder teilweise zu beenden oder das Vertragsverhältnis mit dem Subunternehmen zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.

§ 9 Datenschutzkontrolle

Der Auftragsverarbeiter verpflichtet sich, der/dem Datenschutzbeauftragten des Verantwort- lichen zur Erfüllung ihrer bzw. seiner jeweiligen gesetzlich zugewiesenen Aufgaben im Zusam- menhang mit diesem Auftrag Zugang zu den üblichen Geschäftszeiten zu gewähren. Er duldet insbesondere Betretungs-, Einsichts- und Fragerechte einschließlich der Einsicht in durch Be- rufsgeheimnisse geschützte Unterlagen. Er wird seine Mitarbeiterinnen und Mitarbeiter anwei- sen, mit dem/ der Datenschutzbeauftragten zu kooperieren, insbesondere ihre bzw. seine Fragen wahrheitsgemäß und vollständig zu beantworten. Die nach Gesetz bestehenden Ver- schwiegenheitspflichten und Zeugnisverweigerungsrechte der Genannten bleiben davon un- berührt.

§ 10 Haftung und Schadenersatz

Auf Artikel 82 DSGVO wird bezüglich der Haftung und des Rechts auf Schadenersatz verwie- sen.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile - ein- schließlich etwaiger Zusicherungen des Auftragsverarbeiters - bedürfen einer schriftlichen Ver- einbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfor- dernis.

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 50]

Seite 9 | 13

(2) Sollten einzelne Regelungen dieser Vereinbarung unwirksam oder undurchführbar sein, wird davon die Wirksamkeit der übrigen Regelungen nicht berührt. An die Stelle der unwirk- samen oder undurchführbaren Regelung tritt diejenige wirksame und durchführbare Rege- lung, deren Wirkungen der Zielsetzung am nächsten kommt, die die Vertragsparteien mit der unwirksamen oder undurchführbaren Bestimmung verfolgt haben. Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich die Vereinbarung als lückenhaft erweist.

Datum, Ort Datum, Ort

Unterschrift (Verantwortlicher) Unterschrift (Auftragsverarbeiter)

Name, Vorname, Funktion Name, Vorname, Funktion

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 51]

Seite 10 | 13

Anhang „Weisungsbefugnis“ zu § 3 (nach Zuschlagserteilung auszufüllen)

zur Vereinbarung zur Auftragsverarbeitung vom [Datum] zwischen XXXXXX XXXX und [Vertragspartner]

Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auf- tragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange aus- zusetzen, bis sie von Seiten des Verantwortlichen bestätigt oder geändert wird. Die weisungs- berechtigten Personen auf Seiten des Verantwortlichen sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des Auftragsverarbeiters sowie die vorgesehenen Informa- tionswege sind nachfolgend festgelegt.

Weisungsberechtigte Personen auf Seiten des Verantwortlichen:

 X (Weisungsbefugter)  XX (Stelllvertreter)  …

Zum Empfang der Weisungen berechtigte Personen auf Seiten des Auftragsverar- beiters:

 Y (für … Bereich)  YY (für … Bereich)  YYY (Stellvertreter)  …

Vorgesehene Informationswege, wenn eine Weisung nach Meinung des Auf- tragsverarbeiters gegen datenschutzrechtliche Vorschriften verstößt: [Zutreffendes bitte ankreuzen]

 schriftliche und/oder

 elektronische und/oder

 mündliche Information

Weisungen (auch mündliche Weisungen) sind durch die Vertragsparteien zu dokumentieren. Änderungen bei den weisungsbefugten Personen, den zum Weisungsempfang berechtigten Personen und bei den vorgesehenen Informationswegen sind dem Vertragspartner entspre- chend unverzüglich anzuzeigen.

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 52]

Seite 11 | 13

Anhang „Technisch-organisatorische Maßnahmen (TOM)“

zur Vereinbarung zur Auftragsverarbeitung vom [Datum] zwischen XXXXX XXXX und [Vertragspartner]

§ 5 der Vereinbarung zur Auftragsverarbeitung verweist zur Konkretisierung der technisch- organisatorischen Maßnahmen auf diesen Anhang.

§ 1 Technische und organisatorische Sicherheitsmaßnahmen Die Vertragspartner sind verpflichtet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Verarbeitung der Daten im Einklang mit den gesetzlichen Anfor- derungen erfolgt und der Schutz der Rechte der betroffenen Person in angemessener Form gewährleistet ist.

§ 2 Innerbehördliche oder innerbetriebliche Organisation des Auftragsverarbeiters Der Auftragsverarbeiter wird seine innerbehördliche oder innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden Daten oder Datenkategorien geeignet sind.

§ 3 Konkretisierung der Einzelmaßnahmen (1) Im Einzelnen werden folgende Maßnahmen bestimmt, die der Umsetzung der Vorgaben des Art. 32 DSGVO dienen:

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 53]

Seite 12 | 13

(2) Es ist ein Verfahren zu etablieren, das eine regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der zum Einsatz kommenden technischen und organisatorischen Maßnahmen durch die Vertragsparteien ermöglicht.

(3) Falls vorhanden, werden folgende Nachweise dieser Vereinbarung angefügt: [Zutreffendes bitte ankreuzen]

 Einhaltung von Verhaltensregeln nach Artikel 40 DSGVO  Zertifizierung nach Artikel 42 DSGVO  Prüfberichte, Testate etc. unabhängiger Prüfer, bspw. Wirtschaftsprüfer, Auditoren, Da- tenschutzbeauftragte etc.  geeignete Zertifizierung durch einen Auditprozess

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1

[Seite 54]

Seite 13 | 13

Anhang „Subunternehmen“ zu § 8

Nach § 8 Abs. 1 S. 2 der Vereinbarung sind die zur Erfüllung dieses Vertrages bereits hinzu- gezogenen Subunternehmen zu bezeichnen. Gem. § 8 Abs. 1 S. 3 der Vereinbarung erklärt sich der Verantwortliche mit deren Beauftragung einverstanden.

Mustervereinbarung zur Auftragsverarbeitung, Version 2.1