[Seite 1]
Stiftung Leuphana Universität Lüneburg Vergabestelle 21335 Lüneburg Vergabestelle
Stabsstelle Strategische Beschaffung Vergabestelle
Leuphana Universität Lüneburg Vergabestelle Universitätsallee 1 21335 Lüneburg
Fon 04131.677-0 Fax 04131.677-1850 vergabestelle@leuphana.de
- September 2026
Stiftung Universität Lüneburg; Offenes Verfahren gem. VgV; Betrieb, Weiterentwicklung und Pflege leuphana.de Vergabe Nr. U-26-17
Hier: Bieterfragen Nr.2-5
Sehr geehrte Damen und Herren,
folgende Bieterfragen wurden an uns herangetragen:
Frage Nr. 2: Wiederherstellungszeiten und Abgrenzung zum MIZ Der EVB-IT-Pflegevertrag (Nummer 7.2.3) vereinbart Wiederherstellungszeiten von 8 Stunden bei betriebsverhindernden und 120 Stunden bei betriebsbehindernden Störungen. Die Leistungsbeschreibung (Ziffer 4.5) stellt klar, dass der Auftragnehmer bei Infrastrukturausfällen auf die Wiederherstellung des VM-Zugriffs durch das MIZ angewiesen ist und Reaktionszeiten erst ab diesem Zeitpunkt gelten. Gilt diese Abgrenzung in gleicher Weise für die Wiederherstellungszeiten nach Nummer 7.2.3?
Antwort zu Frage Nr. 2: Ja. Die Abgrenzung in Ziffer 4.5 der Leistungsbeschreibung gilt für Reaktions- und Wiederherstellungszeiten gleichermaßen. Ihr Grund ist, dass der Auftragnehmer ohne Zugriff auf die virtuellen Maschinen eine Störung weder aufnehmen noch beseitigen kann; dieser Grund unterscheidet nicht zwischen den beiden Fristen. Die ausdrückliche Nennung nur der Reaktionszeit ist eine sprachliche Verkürzung und keine abweichende Regelung.
Für Zeiträume, in denen der Zugriff auf die virtuellen Maschinen infolge eines Infrastrukturausfalls nicht besteht, laufen die Fristen nach Nummer 7.2.3 des Pflegevertrags nicht. Die Wiederherstellung des Zugriffs ist nach Ziffer 4.5 der Leistungsbeschreibung eine Leistung der Universität beziehungsweise ihres Rechenzentrums und keine
[Seite 2]
2
Auftragnehmerleistung. Die Frist beginnt stets, wenn ein Zugriff auf die virtuellen Maschinen besteht. Soweit der Zugriff zunächst seitens des Auftraggebers wiederhergestellt werden muss, teilt der Auftraggeber dem Auftragnehmer den Zeitpunkt des wiederhergestellten Zugriffs unverzüglich in Textform mit (E-Mail ausreichend) und sodann beginnt die Frist.
Frage Nr. 3: Verweis auf die Preisanpassung im Pflegevertrag Der EVB-IT-Pflegevertrag vereinbart unter Nummer 5.2 eine Preisanpassung sowohl gemäß Anlage Nr. 3 (Besondere Vertragsbedingungen) als auch gemäß "Anlage Nr. 4"; beide Kästchen sind gesetzt. Nach dem Anlagenverzeichnis unter Nummer 1.2.1 ist Anlage Nr. 4 die Bewertungsmatrix, und diese enthält keine Regelung zur Preisanpassung. Handelt es sich um einen redaktionellen Verweisfehler, und gilt für die Preisanpassung allein die Preisgleitklausel aus Ziffer 2.1 der Besonderen Vertragsbedingungen? Auf diesen Punkt weisen wir zugleich nach Nummer 1 der Bewerbungsbedingungen EU hin.
Antwort zu Frage Nr. 3: Ja, es handelt es sich um einen redaktionellen Verweisfehler. Es gilt für die Preisanpassung allein die Preisgleitklausel aus Ziffer 2.1 der Besonderen Vertragsbedingungen (Anlage 3). Bitte sehen Sie das Kreuz im EVB- IT Pflegevertrag unter Ziffer 5.2 und den Verweis auf Anlage 4 als nicht existent an.
Frage Nr. 4 Vorhandene Tests und Monitoring a) In welchem Umfang liegen automatisierte Regressionstests für Frontend und Backend sowie Funktionstests der datenschutzrelevanten Hooks bereits vor, oder sind diese durch den Auftragnehmer neu zu erstellen? b) Existiert bereits eine Instanz für die zentrale Systemüberwachung und die zentrale Erfassung der Logmeldungen? Falls nein: Dürfen Monitoring- und Alerting-Komponenten, etwa eine externe Verfügbarkeitsprüfung, außerhalb der MIZ-Infrastruktur betrieben werden, sofern dies DSGVO-konform erfolgt und im Auftragsverarbeitungsvertrag abgebildet ist?
Antwort zu Frage Nr. 4:
Antwort zu Frage 4 a)
Tests, auf die sich aufbauen ließe, bestehen nicht — weder automatisierte Regressionstests für Frontend und Backend noch Funktionstests der datenschutzrelevanten Hooks.
Vorhanden sind im Projekt eine statische Codeanalyse und eine Code-Style-Prüfung — Verfahren, die den Quelltext untersuchen, ohne die Anwendung auszuführen. Ein Testframework ist als Entwicklungsabhängigkeit eingebunden, es existiert jedoch weder eine projektweite Testkonfiguration noch eine automatisierte Teststrecke. Einzelne Unit- und
[Seite 3]
3
Funktionstests bestehen in drei Erweiterungen — zwei Drittanbieter-Paketen und einer Eigenentwicklung — und decken weder das Frontend noch das Backend flächig ab.
Die in Ziffer 3.6 der Leistungsbeschreibung verlangten Leistungen — Regressionstest Frontend, Regressionstest Backend, Funktionstest der datenschutzrelevanten Hooks mit Nachweis durch Testprotokoll — sind daher ohne Vorleistung zu erbringen. Eine Testform schreibt Ziffer 3.6 nicht vor; ob der Auftragnehmer automatisiert oder auf andere Weise prüft, bleibt seiner Planung überlassen. Diese Auskunft begründet keine neue oder geänderte Leistungsanforderung.
Die Angaben beziehen sich auf den Repository-Stand, der auch den Anlagen A–D zugrunde liegt. Testunterlagen außerhalb des Repositorys sind der Auftraggeberin nicht bekannt.
Antwort zu Frage 4 b)
Das Rechenzentrum der Universität (MIZ) überwacht die virtuellen Maschinen und führt eine zentrale Logerfassung. Die für die Aufgabenerfüllung erforderlichen Webserver-Logs werden dem Auftragnehmer zugänglich gemacht; diesen Zugriff erhalten regelmäßig alle Dienstleister, die Fehler- und Störungsbeseitigung erbringen — was für den hier ausgeschriebenen Auftrag zutrifft.
Nicht abgedeckt ist damit die anwendungsseitige Überwachung nach Ziffer 2.4 der Leistungsbeschreibung — Auswertung der TYPO3-Fehlerprotokolle, Performance-Monitoring mit Schwellenwerten und Alerting sowie die Verfügbarkeitsüberwachung von Frontend und Backend. Deren Einrichtung und Betrieb sind Gegenstand der Position Onboarding und des laufenden Betriebs.
Die Leistungsbeschreibung schreibt für diese Komponenten keinen Betriebsort vor. Maßgeblich sind die Voraussetzungen, die Sie in Ihrer Frage selbst nennen: Die datenschutzrechtliche Zulässigkeit richtet sich nach dem Auftragsverarbeitungsvertrag und ist dort abschließend geregelt — es gelten die Ziffern 2.6.1 bis 2.6.3 der Besonderen Vertragsbedingungen. Eingesetzte Subdienstleister sind nach Ziffer 2.6.3 mit Tätigkeitsbereich, einer präzisen Beschreibung der Datenflüsse und den bei ihnen einschlägigen technisch-organisatorischen Maßnahmen zu benennen.
Da der vollständig ausgefüllte Auftragsverarbeitungsvertrag mit allen Anhängen bereits mit dem Angebot einzureichen ist (siehe Antwort auf Bieterfrage Nr. 1), sind ein außerhalb der Infrastruktur des Rechenzentrums vorgesehener Betrieb und die dafür eingesetzten Subdienstleister dort abzubilden. Das Angebot ist auf dieser Grundlage zu kalkulieren.
Frage Nr.5: Stand der Gridelements-zu-Container-Migration Anlage A führt die Migrationserweiterung sbublies/gridtocontainer weiterhin als installiertes Paket. Ist die Migration von Gridelements zu b13/container bereits vollständig vollzogen,
[Seite 4]
4
und verbleibt die Erweiterung lediglich als noch zu entfernendes Werkzeug im Paketbestand, oder bestehen noch nicht migrierte Inhalte? Beziehen sich die Anforderungen aus Ziffer 3.4 der Leistungsbeschreibung insoweit auf die angepassten Funktionalitäten in leuphana/theme_leuphana_container?
Antwort zu Frage Nr. 5: Die Erweiterung ist nicht mehr Bestandteil des Paketbestands. Nach Anlage gridelements A enthalten sind und das Migrationswerkzeug b13/container ; letzteres ist als Werkzeug im Bestand verblieben. sbublies/gridtocontainer
Die Umstellung der Inhalte auf ist bis auf einzelne Restelemente b13/container vollzogen. Stand 03.09.2026 tragen sechs Inhaltselemente noch den alten Typ, zwei davon verborgen. Die zugehörigen Gridelements-Datenfelder bestehen in der Datenbank nicht mehr; diese Elemente tragen daher keine Rasterzuordnung mehr und sind mit dem Migrationswerkzeug nicht mehr zu überführen. Der Umgang mit ihnen ist nach Ziffer 3.4 vor der Umsetzung mit dem Leuphana-Webteam abzustimmen.
Die Anforderung aus Ziffer 3.4 der Leistungsbeschreibung bezieht sich nicht auf . Die dortige Container-Konfiguration und die leuphana/theme_leuphana_container zugehörigen Templates sind bereits auf ausgerichtet. Gegenstand von b13/container Ziffer 3.4 sind die im Quelltext verbliebenen Referenzen auf die Gridelements-Datenfelder und die davon abhängige Logik. Ihren vollständigen Umfang ermittelt der Auftragnehmer nach Erhalt des Repository-Zugangs, wie in Ziffer 3.5 für die TypoScript- und TCA-Fundstellen vorgesehen; das Vorgehen ist nach Ziffer 3.4 vor der Umsetzung mit dem Leuphana-Webteam abzustimmen.
Mit freundlichen Grüßen Ihre Vergabestelle