Vergabeunterlagen.pdf

VERGABEUNTERLAGEN

KfW-2026-0029

Cloudbasierte Softwarelösung zur teilweisen Digitalisierung des

KYC-Prozesses

Offenes Verfahren (EU) (VgV)

Ausschreibung (Korrektur 2)

AUFTRAGGEBER KfW Bankengruppe Palmengartenstr. 5-9, 60325 Frankfurt am Main, Deutschland

01.09.2026

Inhaltsverzeichnis

Vergabeunterlagen........................................................................................................................................................... 1

Projektinformation.................................................................................................................................................... 1

Vertragsbedingungen/Formulare.............................................................................................................................. 3

Verfahrensbedingungen................................................................................................................................... 3

Bewerbungsbedingungen_V2.................................................................................................................. 3

Bewerbungsbedingungen_ Wertungsmatrix Zuschlagskriterien_KfW_2026_0029 ................................ 14

Bewerbungsbedingungen_Anlage FAQ zur elektronischen Abgabe von Angeboten und Teilnahmeant 15

Vertragsbedingungen....................................................................................................................................... 19

Allgemeine Vertragsbedingungen_AVB_ SaaS_KYC_KfW_2026_0029................................................. 19

Besondere Vertragsbedingungen_BVB Cloud_SaaS_KYC_KfW_2026_0029........................................ 54

Besondere Vertragsbedingungen_BVB_ISMS_SaaS_KYC_KfW_2026_0029........................................ 65

Leistungsbeschreibung.................................................................................................................................... 80

Leistungsbeschreibung SaaS_KYC......................................................................................................... 80

Anlage_Gemeinsames Fachliches und Technisches Design (FuTD)...................................................... 132

Produkte/Leistungen................................................................................................................................................ 151

Eignungskriterien...................................................................................................................................................... 181

Leistungskriterien..................................................................................................................................................... 187

Anlagen.................................................................................................................................................................... 194

i

INFORMATIONEN ZUR AUSSCHREIBUNG/ INFORMATION ABOUT

THE TENDER

Einzelheiten ergeben sich aus den Vergabeunterlagen.

For detailed information, please refer to the tender documents.

INFORMATION

ALLGEMEIN/ GENERAL

VERFAHREN/ PROCEDURE

VERFAHRENSEIGENSCHAFTEN/ PROPERTIES

ANGEBOTE/ OFFERS

SONSTIGE ANGABEN/ ADDITIONAL INFORMATION

TERMINE/ DATES

ALLGEMEIN/ GENERAL

1

BEKANNTMACHUNG/ PUBLICATION

ANGEBOTE UND BEWERTUNG/ OFFERS AND EVALUATION

AUFTRAGSDAUER/ CONTRACT PERIOD

2

Bewerbungsbedingungen

Vergabeunterlagen

für das

Offene Verfahren

der KfW

„Cloudbasierte Softwarelösung zur teilweisen

Digitalisierung des KYC-Prozesses“, KfW-2026-

0029

Wir weisen ausdrücklich darauf hin, dass die vorliegenden Vergabeunterlagen urheberrechtlich geschützt sind und nur zur Erstellung eines Angebots verwendet werden dürfen. Eine anderweitige Nutzung der Unterlagen darf daher nur mit ausdrücklicher Zustimmung der KfW erfolgen.

3

Bewerbungsbedingungen

Inhalts- und Anlagenverzeichnis

Inhaltsverzeichnis:

1. Verfahrensart ............................................................................................................ 1
2. Angebotsbedingungen............................................................................................. 1 2.1. Elektronische Angebotsabgabe .............................................................................. 1 2.2. Angebotserstellung und Angebotsunterlagen ....................................................... 1 2.3. Termine ..................................................................................................................... 1 2.4. Präsentationstermin ................................................................................................. 2 2.5. Inhalt des Angebotes ............................................................................................... 2 2.6. Fragen und Hinweise zum Vergabeverfahren ........................................................ 3
3. Eignung ..................................................................................................................... 4
4. Zuschlagskriterien und Wertung ............................................................................. 4 4.1. Bewertungsformel .................................................................................................... 4 4.2. Ermittlung der Preispunkte ...................................................................................... 5 4.3. Ermittlung der Leistungspunkte .............................................................................. 5
5. Bewerbungsbedingungen für Bietergemeinschaften ............................................ 6
6. Unterauftragnehmer und Eignungsleihe ................................................................ 7 6.1. Unterauftragnehmer ................................................................................................. 7 6.2. Eignungsleihe ........................................................................................................... 7
7. Unzulässigkeit von Änderungen ............................................................................. 8
8. Vertraulichkeit .......................................................................................................... 8
9. Eigentum an den Angebotsunterlagen ................................................................... 9
10. Hinweise zum Datenschutz ...................................................................................... 9

Anlagenverzeichnis:

• Wertungsmatrix Zuschlagskriterien

• Formblatt „ESG-Kriterien“

• Formblatt „Kurzlebensläufe“

• Formblatt „Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen“

• Formblatt „Erklärungen und Nachweise zur Informationssicherheit“

• Formblatt „Due Dilligence (Betriebsrisikofragebogen)“

• Formblatt „Bietergemeinschaftserklärung“

• Formblatt „Verpflichtungserklärung im Falle einer Eignungsleihe“

• FAQ zur elektronischen Abgabe von Angeboten und Teilnahmeanträge

4

Bewerbungsbedingungen

1. Verfahrensart

Die Leistung wird im Offenen Verfahren nach der Verordnung über die Vergabe öffentlicher Aufträge (Vergabeverordnung – VgV) vergeben.

Das Verfahren ist einstufig. Die KfW fordert eine unbeschränkte Anzahl von Unternehmen öffentlich zur Abgabe von Angeboten auf. Jedes interessierte Unternehmen kann ein Angebot abgeben.

2. Angebotsbedingungen

2.1. Elektronische Angebotsabgabe

Das Angebot ist ausschließlich elektronisch in Textform abzugeben. Eine Unterschrift ist hierfür nicht erforderlich.

Die elektronische Angebotsabgabe erfolgt über das Bieterportal auf unserer Vergabeplattform: https://ausschreibungen.kfw.de.

Für die Angebotsabgabe müssen Sie sich dort registrieren und einloggen.

Bitte beachten Sie darüber hinaus die Hinweise zur elektronischen Angebotsabgabe in der Anlage „FAQ zur elektronischen Angebotsabgabe.“

2.2. Angebotserstellung und Angebotsunterlagen

Das Angebot ist in deutscher Sprache abzufassen.

Die externen Formblätter „Bietergemeinschaftserklärung“ und „Verpflichtungserklärung im Falle einer Eignungsleihe“ im Reiter „Anlagen“ des Bieterassistenten sind nur in den dafür vorgesehenen Fällen abzugeben. Bitte laden Sie die notwendigen Anlagen herunter, füllen sie aus und laden sie anschließend im Bieterassistenten unter dem Reiter „Eigene Anlagen“ hoch.

Bietereigene Anlagen können – sofern erforderlich und gefordert – ebenfalls im Reiter „Eigene Anlagen“ dem Angebot beigefügt werden.

2.3. Termine

1

5

Bewerbungsbedingungen

Die KfW behält sich vor, den vorgesehenen Terminplan anzupassen und insbesondere die vorgesehenen Fristen zu verlängern.

2.4. Präsentationstermin

Für den Präsentationstermin ist ein Zeitrahmen von insgesamt max. 300 Minuten pro Bieter vorgesehen. Die KfW behält sich vor, ausschließlich die Bieter zur Teststellung aufzufordern, die rechnerisch die Möglichkeit auf einen Zuschlag besitzen. Der Termin findet in Frankfurt am Main in der Palmengartenstraße 5-9 statt. Nähere organisatorische Informationen zum Termin werden rechtzeitig zur Verfügung gestellt.

Im Präsentationstermin müssen folgende Personen anwesend sein:

• Hauptansprechpartner/Projektverantwortlicher

Der Bieter hat bei der Auswahl seiner Teilnehmer sicherzustellen, dass er zu den technischen, kaufmännischen und vertraglichen Fragen sprech- und entscheidungsfähig ist.

Mit der Abgabe des Angebots verzichtet der Bieter auf jede Entschädigung für die Erstellung des Angebots sowie die Erstattung etwaiger Kosten. Die Nutzungsrechte an den Angebotspräsentationen verbleiben bei den Bietern, bis auf die Nutzungsrechte an der Präsentation des Bieters, der den Zuschlag erhält.

2.5. Inhalt des Angebotes

2

6

Bewerbungsbedingungen

2.6. Fragen und Hinweise zum Vergabeverfahren

Fragen und Hinweise zu den Vergabeunterlagen und zum Verfahren sind rechtzeitig vor Ende der Frist für Bieterfragen über die Nachrichtenfunktion des Bieterportals zu stellen. Zur Nachrichtenfunktion kommen Sie, wenn Sie nach der Registrierung und dem Login auf „Angebot bearbeiten“ klicken. Eine Verpflichtung zur Abgabe eines Angebotes ist damit nicht verbunden.

Fragen und Hinweise, die nicht rechtzeitig bei der KfW eingehen, werden ggf. nicht mehr rechtzeitig vor Ablauf der Frist zur Einreichung des Angebots beantwortet.

Die KfW wird die Fragen und Antworten aus Gründen der Transparenz und Gleichbehandlung anonymisiert auf ihrer Vergabeplattform zur Verfügung stellen. Fragen bzw. Antworten, die sachlich nur ein Unternehmen betreffen, werden ggf. nur diesem gegenüber beantwortet.

3

7

Bewerbungsbedingungen

3. Eignung

Die KfW vergibt die Aufträge nur an fachkundige und leistungsfähige (geeignete) Unternehmen, die nicht nach den §§ 123, 124 GWB auszuschließen sind.

Die Eignung überprüft sie dabei anhand der Eignungskriterien und –belege, die in der Bekanntmachung und in den Eignungskriterien im Bieterassistenten sowie im Kriterienkatalog „Eignungskriterien“ in der Druckversion der Vergabeunterlagen aufgeführt sind.

4. Zuschlagskriterien und Wertung

Der Zuschlag wird auf das wirtschaftlichste Angebot erteilt. Das wirtschaftlichste Angebot bestimmt sich nach dem besten Preis-Leistungs-Verhältnis. Es werden folgende Zuschlagskriterien festgelegt:

Für die Kriterien „Preis“ und „Leistung“ sind jeweils maximal 100 Punkte (ungewichtet) erreichbar. Die erzielten Punkte in dem jeweiligen Kriterium werden jeweils mit dem obenstehenden Gewichtungsfaktor multipliziert.

4.1. Bewertungsformel

Die Ermittlung des wirtschaftlichsten Angebotes erfolgt anhand folgender Formel:

Z = Gewichtung Preis * P (Preispunkte) + Gewichtung Leistung * L (Leistungspunkte)

Z = Kennzahl für das Preisleistungsverhältnis des zu bewertenden Angebots

P = Preispunkte des zu bewertenden Angebotes.

L = Leistungspunkte des zu bewertenden Angebotes

Je höher die Kennzahl Z, desto wirtschaftlicher ist das Angebot. Der maximal erreichbare Z- Wert ist 100. Das Angebot mit der höchsten Kennzahl Z erhält den Zuschlag.

Übersicht:

4

8

Bewerbungsbedingungen

4.2. Ermittlung der Preispunkte

Für das Kriterium „Preis“ sind maximal 100 Preispunkte (ungewichtet) erreichbar.

Punktevergabe bei „Freie Verhältniswahl Preis / Leistung“

Für die Preisbewertung werden maximal 100 Preispunkte (ungewichtet) vergeben. Das Angebot mit dem niedrigsten Bruttogesamtpreis erhält die maximale Punktzahl. Die Zusammensetzung des Bruttogesamtpreises (Gesamtpreis inklusive Umsatzsteuer) ergibt sich aus dem Leistungsverzeichnis (ggf. inkl. Anlagen).

Die Punktevergabe erfolgt auf Basis des umgekehrten Dreisatzes gemäß nachstehender Formel:

max. erreichbare Punktzahl x niedrigster Bruttogesamtpreis

angebotener Bruttogesamtpreis

Die ermittelten Preispunkte werden anschließend mit dem Gewichtungsfaktor für das Kriterium Preis multipliziert. Die hieraus resultierende gewichtete Preispunktzahl geht in die Gesamtbewertung zur Ermittlung der Kennzahl Z ein.

4.3. Ermittlung der Leistungspunkte

Für das Kriterium „Leistung“ sind maximal 100 Leistungspunkte (ungewichtet) erreichbar.

Sofern das Kriterium „Leistung“ in Unterkriterien aufgegliedert wird, erfolgt zunächst die Ermittlung der ungewichteten Punktzahl auf der Unterkriterienebene.

Die maximale Punktzahl ungewichtet pro Unterkriterium beträgt 100.

Die erreichte ungewichtete Punktzahl im Unterkriterium wird sodann mit dem unten vorgesehenen Gewichtungsfaktor multipliziert (z.B. 100 Punkte (ungewichtet) mit dem Prozentsatz 10 entsprechen 10 Punkten gewichtet im Unterkriterium Konzept 1). Anschließend werden alle gewichteten Punktzahlen pro Unterkriterium addiert.

5

9

Bewerbungsbedingungen

Die bei Anwendung dieser Vorgehensweise resultierende gewichtete Punktzahl der Leistung geht in die Gesamtbewertung zur Ermittlung der Kennzahl Z ein.

Werden nicht mindestens 50 Punkte im Kriterium Qualität erzielt, führt dies zum Ausschluss des Angebots von der weiteren Wertung.

Die Einzelheiten der Punktevergabe ergeben sich aus der Anlage Wertungsmatrix.

5. Bewerbungsbedingungen für Bietergemeinschaften

Bietergemeinschaften sind zugelassen und werden wie Bieter behandelt, § 43 Abs. 2 VgV. Es gilt:

6

10

Bewerbungsbedingungen

− Die Bietergemeinschaftserklärung ist dem Angebot als Anlage beizufügen.

− Alle Mitglieder der Bietergemeinschaft haften gegenüber der KfW gesamtschuldnerisch.

− Der bevollmächtigte Vertreter der Bietergemeinschaft muss im Namen der Bietergemeinschaft das Angebot mit den geforderten Erklärungen und Unterlagen abgeben.

6. Unterauftragnehmer und Eignungsleihe

6.1. Unterauftragnehmer

Wenn der Bieter beabsichtigt, Teile der Leistung von Unterauftragnehmern ausführen zu lassen (ohne Eignungsleihe), muss er die Art und den Umfang dieser Leistungen im Bieterassistenten unter dem Reiter „Eignungskriterien“ bei „Unterauftragnehmer“ angeben.

Die Benennung von Art und Umfang der Leistungen soll entsprechend den Bezeichnungen der Leistungspositionen aus der Leistungsbeschreibung erfolgen.

Die KfW kann von den Bietern, deren Angebot für den Zuschlag in Betracht kommt, die Namen der Unterauftragnehmer und den Nachweis verlangen, dass dem Bieter die erforderlichen Mittel zur Verfügung stehen stehen (in Form einer Verpflichtungserklärung vor Zuschlag).

In diesem Fall sind die verlangten Informationen innerhalb einer von der KfW zu bestimmenden Frist

• die ggf. nur wenige Tage betragen wird - einzureichen.

Vor Zuschlagserteilung wird die KfW zudem überprüfen, ob bei den benannten Unterauftragnehmern des für den Zuschlag vorgesehenen Bieters Ausschlussgründe nach § 123 und § 124 GWB vorliegen.

6.2. Eignungsleihe

Ein Bieter kann zum Nachweis seiner/ihrer wirtschaftlichen und finanziellen sowie technischen und beruflichen Leistungsfähigkeit die Kapazitäten anderer Unternehmen (Unterauftragnehmer) in Anspruch nehmen, wenn er/sie nachweist, dass ihm/ihr die für den Auftrag erforderlichen Mittel tatsächlich zur Verfügung stehen (sog. Eignungsleihe). Unterauftragnehmer sind auch konzernverbundene, aber rechtlich selbständige Unternehmen.

Eine Eignungsleihe für die erforderliche berufliche Leistungsfähigkeit (z.B. Ausbildungs- und Befähigungsnachweise) oder die einschlägige berufliche Erfahrung (z.B. Referenzen) ist aber nur dann möglich, wenn das/die andere/n Unternehmen auch die Leistung erbringt/en, für die diese Kapazitäten benötigt werden.

7

11

Bewerbungsbedingungen

Eine Eignungsleihe im Rahmen der wirtschaftlichen und finanziellen Leistungsfähigkeit erfordert eine gemeinsame Haftung des Bieters und des anderen Unternehmens im Umfang der Eignungsleihe.

In jedem Fall einer Eignungsleihe hat der Bieter bereits mit seinem Angebot folgende Angaben zu machen und Unterlagen einzureichen:

Angaben im Bieterassistenten unter dem Reiter „Eignungskriterien“ bei „Eignungsleihe“:

− Name/Firma, Adresse des eignungsleihenden Unternehmens

− Benennung der Eignungsnachweise des eignungsleihenden Unternehmens und Bezeichnung, der Leistungsteile, die von diesem erbracht werden.

− Vorlage der Eignungsnachweise des eignungsleihenden Unternehmens

Vorlage externer Anlagen im Bieterassistenten unter dem Reiter „Eigene Anlagen“ bei „Eignungsleihe“:

− Vorlage des ausgefüllten und unterzeichneten Formblattes „Verpflichtungserklärung im Falle einer Eignungsleihe“. Das Formblatt ist von dem eignungsleihenden Unternehmen digital oder händisch zu unterschreiben.

7. Unzulässigkeit von Änderungen

Da die KfW vorliegend keine Verhandlungen mit den Bietern führt, sind Änderungen oder Ergänzungen des Bieters an den Vergabeunterlagen unzulässig und können zum Ausschluss des Angebots führen (§ 53 Abs. 7 Satz 1 VgV, § 57 Abs. 1 Nr. 4 VgV).

Wenn ein Bieter seine eigenen Allgemeinen Geschäftsbedingungen verwendet, wird dies grundsätzlich als Änderung der Vergabeunterlagen gewertet.

Es wird zudem darauf hingewiesen, dass beigefügte Unterlagen, Prospekte o.ä. keine dem Angebot bzw. der Leistungsbeschreibung oder den Vertragsbedingungen widersprechenden Angaben enthalten dürfen.

Änderungen des Bieters an seinen Eintragungen im Angebot müssen zweifelsfrei sein; anderenfalls ist das Angebot auszuschließen (§ 57 Abs. 1 Nr. 3 VgV).

8. Vertraulichkeit

Der Bieter hat alle personenbezogenen Daten, vertrauliche Unterlagen, sonstige Daten, Projektergebnisse und sonstige Betriebs- und Geschäftsgeheimnisse der KfW und anderer 8

12

Bewerbungsbedingungen

Institutionen, die ihm im Rahmen des Vergabeverfahrens offengelegt werden, vertraulich zu behandeln.

9. Eigentum an den Angebotsunterlagen

Die vom Bieter eingereichten Unterlagen gehen in das Eigentum der KfW über. Die Unterlagen werden gemäß den gesetzlichen Anforderungen aufbewahrt. Nach Ablauf der gesetzlichen Aufbewahrungsfrist werden die Unterlagen vernichtet.

10. Hinweise zum Datenschutz

Bitte beachten Sie die Informationen wegen der Erhebung personenbezogener Daten bei der Durchführung europaweiter Vergabeverfahren gemäß Artikel 13 und 14 der Datenschutz- Grundverordnung (DSGVO) auf unserer Vergabeplattform. Informationen zur Verarbeitung personenbezogener Daten im Rahmen unserer Beschaffungsaktivitäten finden Sie unter: https://www.kfw.de/PDF/Beschaffung/Datenschutzhinweise-f%C3%BCr-Beschaffungen-der- KfW.pdf.

9

13

KfW-2026-0029 Offenes Verfahren Cloudbasierte Softwarelösung zur teilweisen Digitalisierung des KYC-Prozesses

Bewertung Leistungkriterien

© Die vorliegende Datei ist urheberrechtlich geschützt. Eine Nutzung der Unterlagen darf nur mit ausdrücklicher Zustimmung der KfW erfolgen.

Konzept 1 Aufgabenstellung Vorstellung der Weiterentwicklung der SW-Lösung (Produktroadmap) für die nächsten 3 Jahre Gehen Sie dabei insbesondere auf folgende Punkte ein:

• Beschreiben Sie den Prozess der regelmäßigen fachliche Verbesserungen / Erweiterungen.
• Wie werden Kundenanforderungen berücksichtigt und umgesetzt.
• Werden technische Innovation im KI Teil (Large Language Model) berücksichtigt, Produkt-Roadmap wird mindestens jährlich fortgeschrieben

Bewertungsmaßstäbe a) Die Aufgabenstellung wurde unter Berücksichtigung aller relevanten Aspekte erschöpfend bearbeitet und der Detaillierungsgrad der Antworten ist angemessen. b) Das Konzept lässt auf eine hohe Fachkompetenz schließen. c) Das Konzept lässt auf spezifische Erfahrung in der Weiterentwicklung der SW-Lösung schließen. d) Das Konzept zeichnet sich dadurch aus, dass es in der Praxis sehr gut umsetzbar/(wieder-)verwendbar ist. Bewertungsstufen Punkte s D e ie h r P g rä u s t e : ntation erfüllt - auch im Vergleich der Angebote - sämtliche Anforderungen und Erwartungen. 100,00 Punkte g D u ie t : Präsentation erfülltt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei geringfügige Mängel auf. 75,00 Punkte b D e ie f r P ie r d äs ig e e n n ta d t : ion erfüllt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei deutliche Mängel auf. 50,00 Punkte a D u ie s r P e r i ä c s h e e n n ta d t : ion erfüllt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei zahlreiche deutliche Mängel auf. 25,00 Punkte m Di a e n P g r e ä l s h e a n f t t a : tion erfüllt - auch im Vergleich der Angebote - nicht die Anforderungen und Erwartungen; das Konzept weist dabei erhebliche/gravierende Mängel auf. 0 oder K.O.

Konzept 2 Aufgabenstellung Konzeption des Einführungsprojektes in der Ausprägung gem. Leistungsbeschreibung Kapitel 5 in zwei Schritten

1. Stand alone (lediglich Anbindung Berechtigungssystem)
2. mit Integration in Banksysteme via API (Bank ruft Informationen ab) oder ein alternatives Verfahren zur Sicherstellung der Einhaltung regulatorischer Termine 10.07.2027 . Dabei sind Termine für die in Kapitel 5.2.2 genannten Meilensteine zu benenen. Das Konzept darf 6 Seiten DIN-A4 (ohne Inhaltsverzeichnis und Deckblatt) nicht überschreiten und ist als Text (nicht als Präsentation) einzureichen.

Bewertungsmaßstäbe a) Der zeitliche Ablaufplan ist inhaltlich schlüssig und nachvollziebar b) Der Meilensteinplan ist inhaltlich schlüssig, vollständig und nachvollziehbar c) DIe Mitwirkung der KfW wird vollständig und inhaltlich schlüssig aufgezeigt d) Der Testzeitraum ist angemessen und in der Praxis sehr gut umsetzbar e) Das Konzept berücksichtigt die individuellen Anpassungen für die Mandanten angemessen

Bewertungsstufen Punkte s D e ie h r P g rä u s t e : ntation erfüllt - auch im Vergleich der Angebote - sämtliche Anforderungen und Erwartungen. 100,00 Punkte g D u ie t : Präsentation erfülltt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei geringfügige Mängel auf. 75,00 Punkte b D e ie f r P ie r d äs ig e e n n ta d t : ion erfüllt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei deutliche Mängel auf. 50,00 Punkte a D u ie s r P e r i ä c s h e e n n ta d t : ion erfüllt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei zahlreiche deutliche Mängel auf. 25,00 Punkte m Di a e n P g r e ä l s h e a n f t t a : tion erfüllt - auch im Vergleich der Angebote - nicht die Anforderungen und Erwartungen; das Konzept weist dabei erhebliche/gravierende Mängel auf. 0 oder K.O

Konzept 3 Aufgabenstellung Vorstellung des geplanten Betreuungsmodells im Regelbetrieb einschließlich Releaseupgrades und Fehlerkorrekturen Gehen sie insbedondere auf folgende Punkte ein:

• Stellen sie die User-Groups für fachliche Weiterentwicklungdar, die mindestens jährlich tagen. Gehen sie auf die Frequenz der Termine, die Größe der Gruppen (Gründe der Größe) und mögliche Inhalte der Tagungen (Wie werden die Inhalte der Tagungen festgelegt.)
• Beschreibnen sie, wie Kundentests erfolgen (angemessene Zeit, Hotline/telefonische Erreichbarkeit des Supports, wie wird mit gefundenen Fehlern umgegangen)

Bewertungsmaßstäbe a) Die Aufgabenstellung wurde unter Berücksichtigung aller relevanten Aspekte erschöpfend bearbeitet und der Detaillierungsgrad der Antworten ist angemessen. b) Das Konzept lässt auf eine hohe Fachkompetenz schließen. c) Das Konzept lässt auf spezifische Erfahrung in der Betreuung einschließlich Releaseupgrades und Fehlerkorrekturen schließen. dB)e Dwaesr tKuonngzsespttu zfeenichnet sich dadurch aus, dass es in der Praxis sehr gut umsetzbar/(wieder-)verwendbar ist. Punkte s D e ie h r P g rä u s t e : ntation erfüllt - auch im Vergleich der Angebote - sämtliche Anforderungen und Erwartungen. 100,00 Punkte g D u ie t : Präsentation erfülltt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei geringfügige Mängel auf. 75,00 Punkte b D e ie f r P ie r d äs ig e e n n ta d t : ion erfüllt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei deutliche Mängel auf. 50,00 Punkte a D u ie s r P e r i ä c s h e e n n ta d t : ion erfüllt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei zahlreiche deutliche Mängel auf. 25,00 Punkte m Di a e n P g r e ä l s h e a n f t t a : tion erfüllt - auch im Vergleich der Angebote - nicht die Anforderungen und Erwartungen; das Konzept weist dabei erhebliche/gravierende Mängel auf. 0 oder K.O.

Präsentation Use-Case Aufgabenstellung Demonstration der Leistungsfähgikeit des Systems hinsichtlich a) automatisiertem Abruf von Registerinhalten (Deutschland, EU, außereuropäisch) b) strukturierte Aufbeeitung extrahierter Informationen aus Registern c) optische Aufbereitung der Eigentumsverhältnisse d) Nachvollziehbarkeit der Ergebnisse e) Konfigurationsmöglichkeiten durch die KfW bzw. durch den Hersteller f) Berechtigungsmöglichkeiten für Betreiber / KfW / End-Kunden 2 Arbeitstage vor der Demonstration wird die KfW einen Testfall (Unternehmensangaben) für die Punkte a) bis d) mitteilen.

Bewertungsmaßstäbe a) Testfall kann für Deutschland, EU, außereuropäisch vollständig gezeigt werden und weitere Ebene aus Schritt b) wird erkannt b) Der Testfall kann korrekt und vollständig extrahiert und die Struktur (z.B. DSV, JSON o.ä.) gezeigt werden c) Darstellung ist vollständig für Datenhaushalt aus b) d) Datum / Uhrzeit / Benutzer(Maschine) sind erkennbar, Fundstellen zu extrahierten Daten markiert e) erforderliche Berechtigungen, Bildschirmseiten Schwellwerte, f) Trennung der Berechtigungsvergabe gB)e Dweerr tKuonngfisdsetnuzfsecnore der gezeigten Beispiele erfüllt die Anforderungen aus dem SLA (>85%) Punkte s D e ie h r P g rä u s t e : ntation erfüllt - auch im Vergleich der Angebote - sämtliche Anforderungen und Erwartungen. 100,00 Punkte g D u ie t : Präsentation erfülltt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei geringfügige Mängel auf. 75,00 Punkte b D e ie f r P ie r d äs ig e e n n ta d t : ion erfüllt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei deutliche Mängel auf. 50,00 Punkte a D u ie s r P e r i ä c s h e e n n ta d t : ion erfüllt - auch im Vergleich der Angebote - nicht alle gestellten Anforderungen und Erwartungen und weist dabei zahlreiche deutliche Mängel auf. 25,00 Punkte m Di a e n P g r e ä l s h e a n f t t a : tion erfüllt - auch im Vergleich der Angebote - nicht die Anforderungen und Erwartungen; das Konzept weist dabei erhebliche/gravierende Mängel auf. 0 oder K.O.

ESG-Kriterien siehe Antwortvorlage zu ESG-Kriterien

Kriterium Bewertungsstufen Ergebnis NH-001 Anreisen erfolgen mit öffentlichen Verkehrsmitteln (optional: oder E-Mobilität) 25,00 Punkte (CO2-Einsprung) Anreisen erfolgen nicht mit öffentlichen Verkehrsmitteln (optional: oder E-Mobilität) 0,00 Punkte NH-002 D R e e r c h a e k n tu z e e l n le tr A en n t m ei i l n e d r e n s e t u e e n r s b a 9 r 0 e % r E b n e e tr r ä g g ie t. n am gesamten Stromverbrauch der für die Leistungserbringung vorgesehenen 25,00 Punkte (Software) D R e e r c h a e k n tu z e e l n le tr A en n t b e e il t e rä rn g e t u w e e rb n a ig re e r r E al n s e r m g i i n e d n e a s m te n g s e s 9 a 0 m % t e . n Stromverbrauch der für die Leistungserbringung vorgesehenen 0,00 Punkte NH-003 Die Nutzungsdauer von eingesetzten Laptops beträgt mindestens 3 Jahre. 25,00 Punkte (Hardware) Die Nutzungsdauer von eingesetzten Laptops beträgt weniger als 3 Jahre. 0,00 Punkte NH-004 Die Dauer der Verwendung von Serverhardware im Betrieb beträgt mindestens 5 Jahre. 25,00 Punkte (Hardware) Die Dauer der Verwendung von Serverhardware im Betrieb beträgt weniger als 5 Jahre. 0,00 Punkte

14

FAQ zur elektronischen Abgabe von Angeboten und Teilnahmeanträgen

FAQ zur elektronischen Abgabe von Angeboten und Teilnahmeanträgen

15

2

16

3

17

4

18

Vertrag über

Cloudbasierte Softwarelösung zur teilweisen Digitalisierung des KYC-Prozesses

KfW 2026-0029

Seite 1 von 35

19

zwischen

der KfW, Palmengartenstraße 5-9, 60325 Frankfurt am Main im Folgenden „KfW“ oder „Auftraggeber“ genannt

und

der im Zuschlagsschreiben genannten Bieterin oder Bietergemeinschaft

im Folgenden „Auftragnehmer“ und gemeinsam im Folgenden „Parteien“ genannt

Seite 2 von 35

20

Allgemeine Vertragsbedingungen

Inhaltsverzeichnis

1. Leistungsempfänger ..................................................................................................................... 5

2. Vertragsbestandteile ..................................................................................................................... 5

3. Erbringung der Vertragsleistungen und Rechtsrahmen ........................................................... 5

4. Leistungsort und Serverstandorte............................................................................................... 6

5. Mitwirkung der KfW ....................................................................................................................... 7

6. Weisungsrechte ............................................................................................................................. 7

7. Abnahmen ...................................................................................................................................... 8

8. Verzug ............................................................................................................................................. 8

9. Vertragsänderungsrecht der KfW ................................................................................................ 8

10. (leer) ............................................................................................................................................ 9

11. Rechte an den Leistungsergebnissen ..................................................................................... 9

12. Hintergrundrechte ................................................................................................................... 10

13. Freiheit von Rechten Dritter; Rechtsmängel ........................................................................ 10

14. Einsatz von Unterauftragnehmern ......................................................................................... 11

15. Vergütung; Preisanpassungsverlangen des Auftragnehmers ........................................... 12

16. Zahlungsbedingungen, Rechnungsstellung und Leistungsnachweise ............................ 13

17. Ansprechpartner ...................................................................................................................... 15

18. Informationspflichten und -rechte ......................................................................................... 15

19. Betriebsrisikofragebogen ....................................................................................................... 16

20. Zugangs-, Informations- und Prüfungsrechte sowie Kontrollmöglichkeiten .................... 16

21. Sanierung und Abwicklung .................................................................................................... 18

22. Business Continuity Management ......................................................................................... 18

23. Sonstige Maßnahmen wegen Auslagerung .......................................................................... 19

24. Zugang zu Informationen im Falle der Insolvenz des Auftragnehmers ............................. 20

25. Vertraulichkeit .......................................................................................................................... 20

26. Datenschutz ............................................................................................................................. 20

Seite 3 von 35

21

27. Korruptionsprävention und Prävention strafbarer Handlungen ........................................ 21

28. (leer) .......................................................................................................................................... 22

29. Embargo und Sanktionslisten ................................................................................................ 22

30. Umsetzung des Lieferkettensorgfaltspflichtengesetzes (LkSG) ........................................ 22

31. Pressemitteilungen und sonstige Mitteilungen .................................................................... 24

32. Abtretung, Verpfändung, Aufrechnung, Zurückbehaltung ................................................. 25

33. Verzicht auf Rechtspositionen ............................................................................................... 25

34. Haftung ..................................................................................................................................... 25

35. Allgemeine Bestimmungen für Vertragsstrafen ................................................................... 25

36. Sprache ..................................................................................................................................... 26

37. (Mindest-)Laufzeit; Beginn der Leistungserbringung; ordentliche Kündigung ................ 26

38. Formerfordernis für Änderungen und Ergänzungen ........................................................... 27

39. Ergänzende Kündigungsrechte und Beendigungsfolgen ................................................... 27

40. Herausgabe-, Vernichtungs- und Löschpflichten ................................................................ 28

41. Beendigungsunterstützung .................................................................................................... 29

42. Benennung eines Zustellungsbevollmächtigten, bei Sitz im Drittstaat ............................. 29

43. Anwendbares Recht ................................................................................................................ 30

44. Gerichtsstand ........................................................................................................................... 30

45. Salvatorische Klausel ............................................................................................................. 30

46. Menschenrechtliches Risiko (§ 2 Abs. 2 LkSG) ....................................................................... 31

47. Umweltbezogenes Risiko (§ 2 Abs. 3 LkSG) ............................................................................. 34

48. Präventionsmaßnahmen ............................................................................................................. 35

Seite 4 von 35

22

1. Leistungsempfänger

1.1. Leistungsempfänger sind die KfW (die einzige Vertragspartnerin und Zahlungsschuldne- rin) und – per konzerninterner Weitergaben durch die KfW – ihre Konzernunternehmen KfW IPEX-Bank GmbH, KfW IPEX-Bank Asia Ltd. (Singapur) und KfW Capital GmbH & Co. KG (die drei letztgenannten im Folgenden „Unternehmen des KfW-Konzerns“).

1.2. (leer)

1.3. (leer)

2. Vertragsbestandteile

2.1. Für sämtliche Vertragsleistungen gelten nacheinander die folgenden Vertragsbestand- teile jeweils einschließlich ihrer Anlagen:

a) die Besonderen Vertragsbedingungen für Cloud (BVB Cloud)

b) die Bestimmungen der Allgemeinen Vertragsbedingungen

c) Vereinbarung zur Auftragsverarbeitung nach Artikel 28 Abs. 3 DSGVO

d) die Besonderen Vertragsbedingungen zu Informationssicherheit

e) die Leistungsbeschreibung der KfW (im Folgenden „Leistungsbeschreibung“ ge- nannt)

f) das bezuschlagte Angebot des Auftragnehmers (im Folgenden „Angebot“ ge- nannt)

g) Teil B der Vergabe- und Vertragsordnung für Leistungen (VOL/B) in der Fas- sung der Bekanntmachung vom 5. August 2003 (BAnz. Nr. 178 a).

2.2. Die Vertragsbestandteile gelten in der vorgenannten Rangfolge. Im Falle eines Wider- spruchs zwischen den Bestimmungen eines Vertragsbestandteils und seiner etwaigen Anlagen gehen die Bestimmungen des Vertragsbestandteils vor, es sei denn, in der An- lage wird eine konkret bezeichnete Bestimmung des Vertragsbestandteils ausdrücklich für unanwendbar erklärt. Für Anlagen einer Anlage gilt der vorherige Satz entsprechend.

2.3. Regelungen im Angebot und in anderen vom Auftragnehmer erstellten Vertragsbestand- teilen sind auch ohne Widerspruch zu vorrangigen Vertragsbestandteilen nur insoweit für die KfW verbindlich, soweit in ihnen Regelungen enthalten sind, die die KfW im Rahmen der Angebotsaufforderung erbeten hatte. Lücken innerhalb eines Vertragsbestandteils werden durch die nachfolgend genannten Vertragsbestandteile ausgefüllt. Zwingende gesetzliche Vorschriften bleiben unberührt.

2.4. Allgemeine und sonstige Geschäftsbedingungen des Auftragnehmers gelten nicht.

Teil A: Leistungsbezogene Regelungen

3. Erbringung der Vertragsleistungen und Rechtsrahmen

3.1. Der Auftragnehmer erbringt sämtliche Vertragsleistungen nach Maßgabe dieses Ver- trags, insbesondere der Leistungsbeschreibung der KfW und seines Angebots, Seite 5 von 35

23

gegebenenfalls unter Beachtung der Präzisierungen der Aufgabenstellung und Ziele durch die KfW und der Änderungen gemäß Ziffer 9, selbständig und eigenverantwortlich.

3.2. Der Auftragnehmer wird alle Leistungen erbringen, die in den Vertragsbestandteilen zwar nicht ausdrücklich beschrieben sind, die aber typischerweise Bestandteil der Vertrags- leistungen sind, oder benötigt werden, um diese bestimmungsgemäß zu erbringen.

3.3. Der Auftragnehmer verpflichtet sich, bei der Erfüllung dieses Vertrages die folgenden Anforderungen einzuhalten, soweit sie in Bezug auf die Erbringung, Beschaffenheit oder Nutzbarkeit der insbesondere in der (jeweiligen) Leistungsbeschreibung definierten Ver- tragsleistungen Vorgaben enthalten:

a) das geltende Recht, insbesondere Gesetze, Verordnungen und Erlasse, Auflagen der Polizei und anderer Behörden, fachliche Normen, Standards, Leitlinien, Best Practices und/oder berufsständische Praktiken, einschließlich des jeweiligen Standes der Technik,

b) KfW-spezifisches Recht, dessen Adressat ausschließlich die KfW ist, wie bei- spielsweise Auflagen oder Verfügungen der Polizei und anderer Behörden, soweit diese dem Auftragnehmer von der KfW bekannt gegeben werden,

c) KfW-interne Vorgaben bezüglich der Vertragsleistung oder der Leistungsergeb- nisse, insbesondere jeweils solcher, die vom geltenden Recht abgeleitet werden und die rechtskonforme Verwendung der Leistungsergebnisse in der KfW ge- währleisten sollen, soweit diese dem Auftragnehmer von der KfW bekannt gege- ben werden, und

d) bei Vertragsleistungen, die in den Betriebsstätten der KfW zu erbringen sind, alle sicherheitsrelevanten Anweisungen und Hinweise der KfW, soweit diese dem Auf- tragnehmer von der KfW bekannt gegeben werden. Diese umfassen für den Ar- beitsschutz insbesondere die unter www.kfw.de/lieferanteninfo abrufbaren gene- rellen Bestimmungen des Basisdokumentes B „Auftragnehmermanagement für Berater und Bürokräfte“

3.4. Werden von der KfW bezüglich Leistungen, die mit den Vertragsleistungen des Auftrag- nehmers zusammenhängen, weitere Unternehmen beauftragt, so arbeitet der Auftrag- nehmer vertrauensvoll und partnerschaftlich mit diesen zusammen.

3.5. Der Auftragnehmer stellt mit geeigneten Maßnahmen sicher, dass die für die Erbringung der Vertragsleistungen einschlägigen gesetzlichen Vorschriften und vertraglichen Rege- lungen durch alle zur Leistungserbringung eingesetzten Personen eingehalten werden. Eine Dokumentation einer entsprechenden Unterweisung der zur Leistungserbringung eingesetzten Personen ist der KfW auf Verlangen vorzulegen.

4. Leistungsort und Serverstandorte

4.1. Sämtliche Vertragsleistungen – einschließlich der Datenverarbeitung und der Datenspei- cherung – sind im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Eu- ropäischen Wirtschaftsraum oder in anderen Staaten - solange und soweit der betref- fende andere Staat durch einen rechtsgültigen Angemessenheitsbeschluss der Europä- ischen Kommission im Sinne des Art. 45 Abs. 1 DSGVO erfasst ist - zu erbringen. Der Auftragnehmer ist insbesondere verpflichtet, alle Vertragsleistungen ausschließlich unter Einsatz von Servern zu erbringen, die ihren Standort im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen

Seite 6 von 35

24

Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum oder in anderen Staaten – solange und soweit der betreffende andere Staat durch einen rechtsgültigen Angemessenheitsbeschluss der Europäischen Kommission im Sinne des Art. 45 Abs. 1 DSGVO erfasst ist – haben. Jede Verlagerung in ein sonstiges Drittland bedarf der vor- herigen schriftlichen Zustimmung der KfW in Textform (§ 126b BGB) und der Umsetzung weiterer Übermittlungsanforderungen nach Art. 44 ff. DSGVO.

4.2. Der Auftragnehmer hat jede Änderung des Leistungsortes nach Regionen und Länder sowie unter Angabe der Stadt oder, sofern notwendig, genaue Anschrift vor Wirksam- werden der Änderung in Textform (§ 126b BGB) der KfW anzuzeigen. Dies gilt auch be- züglich der zur Leistungserbringung eingesetzten Rechenzentren.

5. Mitwirkung der KfW

5.1. Die KfW ist nur in dem Umfang zur Mitwirkung an der Erbringung der Vertragsleistungen verpflichtet, wie dies in den Leistungsbeschreibungen ausdrücklich beschrieben ist.

5.2. Der Auftragnehmer weist die KfW im Einzelfall auf die Erforderlichkeit einer nach Zif- fer 5.1 vereinbarten Mitwirkung ausdrücklich und mit angemessenem Vorlauf hin. Sofern der Auftragnehmer der Auffassung ist, dass die Mitwirkung nicht vereinbarungsgemäß erfolgt, wird er die KfW hierüber sowie über die Auswirkungen der unterlassenen Mitwir- kung unverzüglich in Textform (§ 126b BGB) informieren.

5.3. Wirkt die KfW auch nach Aufforderung nicht in der erforderlichen Art und Weise mit, wird der Auftragnehmer alles unternehmen, was ihm billigerweise zugemutet werden kann, um die ausgebliebene Mitwirkung zu kompensieren und die Vertragsleistungen dennoch vertragsgemäß zu erbringen. Der Auftragnehmer kann eine Vergütung seines dadurch entstehenden Mehraufwandes verlangen, wenn er zuvor in Textform (§ 126b BGB) da- rauf hingewiesen und die KfW dem Mehraufwand zugestimmt hat oder nicht innerhalb von zwei Wochen widersprochen hat.

5.4. Ist der Auftragnehmer trotz der Maßnahmen nach den Ziffern 5.2 und 5.3 an der Erbrin- gung der Vertragsleistungen gehindert, ist der Auftragnehmer für Störungen und Verzö- gerungen nicht verantwortlich, die unmittelbar aus der unterbliebenen oder sonst fehler- haften Mitwirkung folgen. Termine und Zeiträume (beispielsweise im Rahmen von SLAs) verschieben beziehungsweise verlängern sich in diesem Fall um die sich aus der unter- bliebenen oder sonst fehlerhaften Mitwirkung ergebenden Verzögerung.

5.5. Weitergehende Rechte und Ansprüche des Auftragnehmers aufgrund einer unterbliebe- nen oder sonst fehlerhaften Mitwirkung sind ausgeschlossen.

6. Weisungsrechte

6.1. Etwaige Weisungen der KfW ergehen gegenüber dem Auftragnehmer (insb. ggü. dessen Ansprechpartnern gem. Ziffer 17) und nicht gegenüber den zur Leistungserbringung ein- gesetzten Personen. Letztere unterliegen ausschließlich den Weisungen des Auftrag- nehmers.

6.2. Ist die Durchführung einer Weisung nach Auffassung des Auftragnehmers nicht zweck- mäßig oder ineffizient oder erkennt der Auftragnehmer, dass die Ausführung der Weisung mit erheblichen Schwierigkeiten oder mit einem von der KfW unerwarteten oder unver- hältnismäßigen Aufwand verbunden ist, hat der Auftragnehmer die KfW frühestmöglich vor der Ausführung der Weisung hierauf hinzuweisen und der KfW Gelegenheit zur Seite 7 von 35

25

Prüfung und gegebenenfalls Korrektur der Weisung zu geben. Der Auftragnehmer unter- liegt insoweit einer Prüfungs- und Beratungspflicht gegenüber der KfW.

6.3. Die Parteien stellen klar, dass Mehraufwand, der durch Weisungen der KfW entsteht, gesondert und nach den dafür vereinbarten Vergütungssätzen zu vergüten ist, es sei denn der Auftragnehmer schuldet diese Leistung unentgeltlich oder ohne gesonderte Vergütung.

6.4. Diejenigen Personen der KfW, die zur Erteilung von Weisungen gegenüber dem Auftrag- nehmer befugt sind, werden durch Mitteilung in Textform (§ 126b BGB) festgelegt. Der Auftragnehmer ist zur Entgegennahme von Weisungen anderer Personen der KfW nicht befugt. Erbringt er Leistungen dennoch nach Maßgabe einer Weisung anderer Personen der KfW, ist der entstandene Aufwand nicht zu vergüten, es sei denn, die Weisung wird von der KfW nachträglich genehmigt.

7. Abnahmen

Vertraglich vorgesehene Abnahmen erfolgen nur förmlich mittels einer Erklärung der KfW in Textform (§ 126b BGB) und gemäß den im Vertrag (insbesondere in der Leistungsbe- schreibung) getroffenen weiteren Regelungen. Stillschweigende oder konkludente Ab- nahmeerklärungen (etwa durch Produktivsetzung, Go-Live, o.ä.) sind ausgeschlossen; § 640 Abs. 2 Satz 1 BGB bleibt unberührt. Für zum Zeitpunkt der Abnahme bekannte Mängel gelten Mängelansprüche gemäß § 640 Abs. 3 BGB und Vertragsstrafenansprü- che gemäß § 341 Abs. 3 BGB als vorbehalten.

8. Verzug

8.1. Für die Leistungserbringung vereinbarte Termine, insbesondere soweit diese in der Leis- tungsbeschreibung, im Angebot oder während der Vertragslaufzeit in einem Plan oder anderweitig festgelegt wurden, sind verbindlich.

8.2. Erkennt der Auftragnehmer, dass er Vertragsleistungen nicht frist- oder termingerecht erbringen oder fertigstellen kann, so hat er dies der KfW unverzüglich unter Angabe der Gründe und der voraussichtlichen Dauer der Verzögerung in Textform (§ 126b BGB) mit- zuteilen.

8.3. Einigen sich die Parteien im Fall von Verzögerungen auf eine Verschiebung des betroffe- nen Termins oder auf eine Änderung des Terminplans, ist hiermit kein stillschweigender Verzicht auf Ansprüche der KfW verbunden, die als Folge der jeweiligen Verzögerung entstanden sind oder die nach dem ursprünglichen oder dem neuen Terminplan entstan- den wären bzw. noch entstehen.

9. Vertragsänderungsrecht der KfW

9.1. Der KfW steht das Recht zu, eine Änderung der Regelungen dieses Vertrages, insbe- sondere die Anforderungen an die geschuldete Vertragsleistung, im erforderlichen und in einem dem Auftragnehmer zumutbaren Umfang und innerhalb seiner Leistungsfähig- keit aufgrund

a) einer Änderung der einschlägigen gesetzlichen oder regulatorischen Vorgaben,

b) einer Änderung des von der KfW festgelegten Schutzbedarfs der vom Auftrag- nehmer bearbeiteten Daten,

Seite 8 von 35

26

c) einer Änderung des von der KfW festgelegten Schutzbedarfs der vom Auftrag- nehmer ausgeführten Tätigkeiten oder

d) einer Änderung der von der KfW festgelegten Einstufung, ob die Vertragsleistung im Sinne der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanz- sektor (DORA) eine IKT-Dienstleistung darstellt oder kritische oder wichtige Funk- tionen der Unternehmen des KfW-Konzerns unterstützt, oder

e) der in der Leistungsbeschreibung geregelten Fälle

durch Mitteilung zumindest in Textform (§ 126b BGB) zu verlangen. Der Auftragnehmer hat solchen Verlangen unverzüglich in Textform (§ 126b BGB) zuzustimmen, es sei denn, die Änderung ist für den Auftragnehmer unzumutbar.

Zur Klarstellung: Präzisierungen der Vertragsleistungen, insbesondere mittels Weisungs- rechten der KfW, sind keine Änderungen im Sinne dieser Ziffer.

Macht der Auftragnehmer geltend, dass ein Änderungsverlangen der KfW für ihn unzu- mutbar ist oder außerhalb seiner Leistungsfähigkeit liegt, hat die KfW unbeschadet wei- tergehender Rechte und Ansprüche das Recht, den Vertrag fristlos zu kündigen.

9.2. Falls der Auftragnehmer infolge einer Änderung die Anpassung der Vergütung wünscht, muss er seine Mehr- und Minderkosten konkret je betroffener Vertragsleistung gemäß der Vergütungsstruktur und den Kalkulationsgrundlagen des Vertrages nachvollziehbar darlegen. Werden durch die Änderung der KfW die Grundlagen der Vergütung für die ursprüngliche Vertragsleistung nicht nur unwesentlich geändert, so werden die Parteien eine angemessene Anpassung der Vergütung für die betroffenen Vertragsleistungen un- ter Berücksichtigung der Mehr- und Minderkosten nach der Vergütungsstruktur und den Kalkulationsgrundlagen des Vertrages vereinbaren.

9.3. Etwaige gesetzliche Änderungs- und Anpassungsrechte beider Parteien bleiben unbe- rührt.

10. (leer)

10.1. (leer)

10.2. (leer)

10.3. (leer)

11. Rechte an den Leistungsergebnissen

11.1. Vorbehaltlich Regelungen zu Nutzungsrechten in der Leistungsbeschreibung, die inso- weit den Regelungen der Ziffern 10 bis 12 vorgehen, räumt der Auftragnehmer der KfW an sämtlichen auf Kosten der KfW erbrachten Leistungsergebnissen bezüglich aller be- kannten und unbekannten, gegenwärtigen und künftigen Nutzungsarten ein durch die in diesem Vertrag vereinbarte Vergütung abgegoltenes, nicht-ausschließliches, unbefriste- tes, unwiderrufliches, unbeschränktes und an die Unternehmen des KfW-Konzerns über- tragbares Nutzungsrecht ein. Vergütungsansprüche des Urhebers gemäß § 32c UrhG bleiben hiervon unberührt. (Zur Klarstellung: Das Nutzungsrecht umfasst nicht einen Marktauftritt der KfW, wie ihn der Auftragnehmer ausübt, und nicht die Weitergabe von Leistungen an Dritte außerhalb der Regelungen dieses Vertrags.)

Seite 9 von 35

27

11.2. Das vorgenannte Nutzungsrecht gibt der KfW insbesondere das Recht zur KfW-konzern- internen Vervielfältigung, Übersetzung, Bearbeitung, Änderung, Verbreitung sowie Wei- terentwicklung. Die KfW erhält mithin, abgesehen von gesetzlichen Urheberpersönlich- keitsrechten, eine Stellung, als wäre sie die Urheberin.

11.3. Macht die KfW von ihren Rechten Gebrauch, die Leistungsergebnisse zu bearbeiten, zu ändern oder weiterzuentwickeln, wird sie die Leistungsergebnisse nicht mehr mit dem Namen des Auftragnehmers in Verbindung bringen. Hiervon unabhängig ist das Recht des Urhebers auf Namensnennung gemäß §§ 13, 74 UrhG. Die KfW behält sich das Recht vor, in begründeten Einzelfällen mit dem Urheber einen Verzicht auf die Benen- nung zu vereinbaren.

11.4. Zur Ausübung von Nutzungsrechten durch die KfW und berechtigte Dritte bedarf es kei- ner weiteren Zustimmung des Auftragnehmers.

11.5. (leer)

11.6. Sofern der Auftragnehmer Miturheber ist, verzichtet er hiermit auf seinen Anteil an den Verwertungsrechten gem. § 8 Abs. 4 UrhG; sofern Angestellte oder Erfüllungsgehilfen des Auftragnehmers Miturheber sind, hat der Auftragnehmer von diesen sämtliche Nut- zungs- und Verwertungsrechte erworben und eine Verzichtserklärung gem. § 8 Abs. 4 UrhG erhalten.

11.7. (leer)

11.8. Besteht an Leistungsergebnissen des Auftragnehmers aufgrund des Einsatzes von KI kein Schutzrecht, so darf die KfW die Leistungsergebnisse im Verhältnis zum Auftrag- nehmer so nutzen, als hätte die KfW ein ausschließliches, unbefristetes, unwiderrufli- ches, unbeschränktes und übertragbares Nutzungsrecht.

12. Hintergrundrechte

12.1. Alle Rechte, insbesondere Urheberrechte, Nutzungsrechte und gewerbliche Schutz- rechte, die vor Abschluss dieses Vertrages bestanden haben oder die eine Partei unab- hängig von der Erbringung der Vertragsleistungen erlangt („Hintergrundrechte“), ver- bleiben bei der Partei, die sie innehatte bzw. erlangt. Somit verbleiben insbesondere die Rechte an den vom Auftragnehmer zur Leistungserbringung eingesetzten Tools, Metho- den, Standards und für eine Mehrzahl von Kunden entwickelten Dokumentationen bei ihm. Änderungen, soweit diese auf Kosten der KfW vorgenommen wurden, unterfallen Ziffer 11.

12.2. An Hintergrundrechten, die die KfW für die vertragsgemäße Nutzung der Vertragsleistun- gen benötigt, räumt der Auftragnehmer der KfW die Rechte gemäß Ziffer 11 ein, jedoch nicht-ausschließlich und lediglich zum Zwecke der Nutzung der Vertragsleistungen durch die KfW und die Unternehmen des KfW-Konzerns. Außerdem dürfen Vertragsleistungen, an denen Hintergrundrechte bestehen, an den Abschlussprüfer der KfW und der Unter- nehmen des KfW-Konzerns sowie an Stellen, die die KfW oder die Unternehmen des KfW-Konzerns beaufsichtigen oder anderweitig prüfen, weitergegeben werden, jedoch nur zum Zwecke der Durchführung ihrer Prüfungs- bzw. Aufsichtstätigkeiten.

13. Freiheit von Rechten Dritter; Rechtsmängel

13.1. Der Auftragnehmer ist dazu verpflichtet, dafür zu sorgen, dass seine Leistung frei von Rechten Dritter ist, die eine vertragsgemäße Nutzung der Leistung oder die in diesem

Seite 10 von 35

28

Vertrag eingeräumten Nutzungsrechte ausschließen oder einschränken (z. B. Patente, Urheberrechte, Marken, Warenzeichen, Gebrauchsmuster oder Lizenzen Dritter).

13.2. Macht ein Dritter Ansprüche gegen die KfW wegen der (angeblichen oder bestehenden) Verletzung von Schutzrechten in Bezug auf die Leistung des Auftragnehmers (sowie Aus- gaben eines vom Auftragnehmer eingesetzten oder bereitgestellten KI-Systems oder KI- Modells) oder vom Auftragnehmer eingeräumte Nutzungsrechte geltend, wird der Auf- tragnehmer die KfW von den geltend gemachten Ansprüchen, einschließlich der Kosten der Rechtsverteidigung (insbesondere Gerichts- und Anwaltskosten), freistellen. Ansprü- che der KfW aus diesem Absatz bestehen jedoch nicht, soweit der Auftragnehmer nach- weist, dass er die Schutzrechtsverletzung weder zu vertreten hat noch bei Anwendung kaufmännischer Sorgfalt zum Zeitpunkt der Leistung hätte kennen müssen.

13.3. Gesetzliche Gewährleistungspflichten des Auftragnehmers für Rechtsmängel bleiben von den beiden vorstehenden Absätzen unberührt. Die Erfüllung dieser Pflichten kann insbesondere darin bestehen, dass der Auftragnehmer auf eigene Kosten und nach sei- ner Wahl entweder

a) seine Leistung so ändert oder ersetzt, dass sie keine Rechte Dritter verletzt, aber vollständig vertragsgemäß ist, oder

b) anderweitig erwirkt, dass die KfW die Leistung uneingeschränkt und ohne zusätz- liche Kosten vollständig vertragsgemäß nutzen kann (z.B. durch Lizenzverschaf- fung).

13.4. Unbeschadet weitergehender gesetzlicher Regelungen hat der Auftragnehmer jedenfalls keinen Vergütungsanspruch für rechtsmangelhafte Leistungen, soweit er Rechtsmängel nicht beheben kann. Demgemäß unverdiente, bereits erhaltene Vergütung ist der KfW zu erstatten.

13.5. Der Auftragnehmer hat die Verteidigung gegen die von dem Dritten geltend gemachten Ansprüche zu übernehmen. Die KfW wird ihm die Übernahme der Verteidigung anbieten.

14. Einsatz von Unterauftragnehmern

14.1. Der Auftragnehmer ist nur nach vorheriger Zustimmung der KfW in Textform (§ 126b BGB) berechtigt, Vertragsleistungen ganz oder teilweise von Unterauftragnehmern er- bringen zu lassen („Zugelassene Unterauftragnehmer“). Zugelassene Unterauftrag- nehmer darf der Auftragnehmer nur mit vorheriger Zustimmung der KfW in Textform (§ 126b BGB) austauschen. Zur Klarstellung: Auch konzernabhängige Unternehmen sind Unterauftragnehmer im Sinne dieses Vertrages.

14.2. Die Zustimmung gilt als erteilt für die im Angebot des Auftragnehmers genannten Unter- auftragnehmer hinsichtlich der dort genannten Vertragsleistungen und Funktionen. Der Auftragnehmer kann die Zulassung weiterer Unterauftragnehmer oder die Veränderung des Umfangs des Auftrags des Unterauftragnehmers beantragen. Hierzu hat der Auftrag- nehmer ausreichende Informationen zur Verfügung zu stellen, die der KfW eine umfas- sende Bewertung der Eignung des gewünschten Unterauftragnehmers ermöglichen, ins- besondere seiner Befähigung und Erlaubnis zur Berufsausübung sowie seiner wirtschaft- lichen, finanziellen, technischen und beruflichen Leistungsfähigkeit und Zuverlässigkeit.

14.3. Die KfW ist berechtigt, eine erteilte Zustimmung mit sofortiger Wirkung zu widerrufen, wenn der Auftragnehmer die Einhaltung der Anforderungen dieser Ziffer 14 nicht sicher- stellt oder in der Person des Unterauftragnehmers ein Grund vorliegt, der die KfW zur

Seite 11 von 35

29

fristlosen Kündigung des Vertrages berechtigen würde. Die KfW kann eine erteilte Zu- stimmung im Übrigen mit sachlichem Grund und einer angemessenen Frist widerrufen.

14.4. Der Auftragnehmer stellt sicher, dass Unterauftragnehmer bei der Erbringung von Ver- tragsleistungen für die KfW die für sie relevanten Bestimmungen dieses Vertrages ein- halten. Der Auftragnehmer muss mit dem Unterauftragnehmer mindestens in Textform (§ 126b BGB) vereinbaren, die Regelungen dieses Vertrages zur Vertraulichkeit, Ge- heimhaltung, Löschung, Rückgabe und Vernichtung sowie die Datenschutzvereinbarun- gen und -gesetze einzuhalten.

14.5. Der Einsatz eines Unterauftragnehmers lässt die vertraglichen und gesetzlichen Pflichten des Auftragnehmers, einschließlich der Informationsplichten und Haftung des Auftrag- nehmers für sämtliche Vertragsleistungen, unberührt. Der Auftragnehmer haftet für Handlungen und Unterlassungen der Unterauftragnehmer in gleichem Maße wie für ei- gene Handlungen und Unterlassungen.

14.6. Die Bestimmungen dieser Ziffer 14 gelten für den Einsatz nachgelagerter Unterauftrag- nehmer durch den betreffenden Zugelassenen Unterauftragnehmer entsprechend.

14.7. Setzt der Auftragnehmer ohne Zustimmung der KfW einen Unterauftragnehmer ein, so schuldet er für jeden Fall einer solchen Zuwiderhandlung eine Vertragsstrafe in Höhe von bis zu 1% der Gesamtvergütung, aber jedenfalls nicht mehr als 50.000 Euro je Zuwider- handlung. Zu den allgemeinen Bestimmungen für Vertragsstrafen siehe die Regelungen unter Ziffer 35

15. Vergütung; Preisanpassungsverlangen des Auftragnehmers

15.1. Alle Preise sind – soweit nicht anders vereinbart – für die gesamte Vertragslaufzeit ver- bindlich.

15.2. Die Preise stellen – soweit nicht anders vereinbart – das Entgelt für sämtliche Vertrags- leistungen dar. Mit ihnen sind insbesondere sämtliche Ansprüche des Auftragnehmers im Zusammenhang mit der Übertragung des Nutzungs-, Verwertungs- und Änderungs- rechtes bezüglich seiner Leistungsergebnisse sowie alle für die Leistungserbringung not- wendigen Nebenkosten des Auftragnehmers abgegolten.

15.3. Preisanpassungsverlangen des Auftragnehmers:

15.3.1. Die Vergütung ist bis 31.12.2030 fix (Preisbindungsfrist). Bis dahin findet keine Preiserhöhung statt.

15.3.2. Der Auftragnehmer ist berechtigt, eine Preisanpassung mit Wirkung nach Ablauf der Preisbindungsfrist zu verlangen. Die Preisanpassung darf sich auf maximal 8% der zuletzt gültigen jeweiligen Positionen des Preisblattes (mit Ausnahme der Vergütung für das dann erledigte Implementierungsprojekt) belaufen.

15.3.3. Ein Preisanpassungsverlangen ist nur berechtigt, soweit es durch nachweisbare Kostensteigerungen verursacht wird, die für den Betrieb, die Wartung, die Si- cherheit sowie die Weiterentwicklung der SaaS-Lösung erforderlich sind. Hierzu zählen insbesondere: Kosten für Infrastruktur und Hosting, Energie- und Re- chenzentrumskosten, Lizenzgebühren für Drittsoftware, Personalkosten, Auf- wendungen für IT-Sicherheit und Datenschutz.

15.3.4. Eine Preisanpassung zur Erhöhung der Gewinnmarge oder aus rein wirtschaft- lichen Erwägungen ohne entsprechende Kostensteigerung ist ausgeschlossen.

Seite 12 von 35

30

15.3.5. Der Auftragnehmer muss jede Preisanpassung in Textform nachvollziehbar be- gründen. Die vollständige Begründung ist der KfW mit dem Preisanpassungs- verlangen zu übersenden. Die Begründung muss mindestens folgende Angaben enthalten:

(a) Darstellung der Kostenentwicklung:

(i) Beschreibung derjenigen Kostenarten, deren Entwicklung die Preisanpas- sung erforderlich macht (insbesondere Infrastruktur- und Hostingkosten, Energie, Drittlizenzen, Personal sowie Sicherheits- und Compliance-Kos- ten);

(ii) Erläuterung, weshalb diese Kosten für den ordnungsgemäßen Betrieb, die Wartung und die Weiterentwicklung der SaaS-Lösung erforderlich sind.

(b) Nachvollziehbarer Bezug zur Preiserhöhung:

(i) Darstellung, in welchem Umfang sich die relevanten Kosten insgesamt pro- zentual erhöht haben;

(ii) nachvollziehbare Herleitung, wie sich aus diesen Kostensteigerungen die konkrete Preiserhöhung ergibt.

15.3.6. Transparenz und Nachweise

(a) Auf Nachfrage der KfW stellt der Auftragnehmer geeignete, anonymisierte und aggregierte Nachweise oder Erläuterungen zur Verfügung, aus denen die gel- tend gemachten Kostensteigerungen nachvollzogen werden können. Hierzu gehören insbesondere Kostenübersichten oder geeignete Auszüge aus Preis- listen von Rechenzentrums-, Infrastruktur- oder Lizenzanbietern.

(b) Der Anbieter ist nicht verpflichtet, interne Kalkulationen, Geschäfts- oder Be- triebsgeheimnisse offenzulegen. Er hat jedoch eine sachlich nachvollziehbare Herleitung der Preisänderung zu ermöglichen.

15.3.7. Das Preisanpassungsverlangen muss mindestens drei (3) Monate vor dem vom Auftragnehmer gewünschten Inkrafttreten der erhöhten Preise zugehen.

15.3.8. Ein weiteres Preisanpassungsverlangen ist jeweils frühestens mit Wirkung zwei (2) Jahre nach dem Inkrafttreten der jeweiligen vorherigen Preise möglich. Dafür gilt diese Ziffer 15.3 entsprechend.

15.4. Die Regelungen der Ziffer 9 sowie gesetzliche Vertragsanpassungsansprüche bleiben unberührt.

16. Zahlungsbedingungen, Rechnungsstellung und Leistungsnachweise

16.1. Die Rechnungsstellung erfolgt netto zuzüglich der jeweils gültigen gesetzlichen Umsatz- steuer. Dies gilt nicht, wenn aufgrund gesetzlicher Bestimmungen der Auftragnehmer nicht Schuldner der Umsatzsteuer ist.

16.2. Die Rechnungsstellung für alle Positionen (mit Ausnahme des Einführungsprojektes) er- folgt kalendermonatlich spätestens bis zum fünften (5.) Arbeitstag (Montag bis Freitag, mit Ausnahme von bundeseinheitlichen Feiertagen) für den jeweils vorausgehenden Ka- lendermonat. Die Rechnungsstellung für das Einführungsprojekt gemäß Ziffer 1 des Preisblatts erfolgt nach Leistungsfortschritt: Der Auftragnehmer kann einen Abschlag von Seite 13 von 35

31

50% der auf das Einführungsprojekt entfallenden Vergütung in Rechnung stellen, sofern der Meilenstein 1 gemäß Kapitel 5.2 der Leistungsbeschreibung erreicht ist. Nach Ab- nahme des Einführungsprojektes kann der Auftragnehmer die restlichen 50% des darauf entfallenden Preises in Rechnung stellen.

16.3. Der Auftragnehmer hat jede Rechnung an die KfW als elektronische Rechnung über die Zentrale Rechnungseingangsplattform des Bundes (ZRE) unter xrechnung-bdr.de zu übermitteln. Die zu verwendende Leitweg-Identifikationsnummer lautet 992-80158-64.

16.4. Jede Rechnung muss detaillierte und vollständige Rechnungspositionen entsprechend den Preispositionen des Vertrags, der Bestellung oder, falls in der Bestellung nicht ent- halten, des Angebotes des Auftragnehmers sowie die Angabe der geleisteten Mengen enthalten. Jeder Rechnung sind, soweit von der KfW gewünscht, die zuvor von der KfW freigegebenen Leistungsnachweise beizufügen. Ziffer 16.5 vorletzter und letzter Satz ist zu beachten.

16.5. Soweit eine Vergütung nach Aufwand vereinbart ist (mit Ausnahme von Dokumentenbe- schaffungsleistungen; zu diesen siehe unten Ziffer 16.7), übergibt der Auftragnehmer nach Wahl der KfW monatlich prüffähige Leistungsnachweise an die KfW. Die Leistungs- nachweise haben bei monatlicher Abrechnung die Vertragsleistungen des Auftragneh- mers während des vollen abzurechnenden Kalendermonats zu umfassen und sind vom Auftragnehmer spätestens bis zum zweiten Arbeitstag des auf den Abrechnungsmonat folgenden Monats bis 12.00 Uhr bei der von der KfW vorgegebenen Stelle einzureichen. Die KfW ist jederzeit berechtigt, das Format für die Leistungsnachweise zu ändern. Aus den Leistungsnachweisen gehen mindestens die Namen der eingesetzten Personen, ihre Rolle, die von ihnen geleisteten Arbeiten und die hierfür verwendete Zeit hervor. Die Parteien können ein automatisiertes Verfahren oder den Einsatz elektronischer Werk- zeuge für Übermittlung, Prüfung und Freigabe der Leistungsnachweise vorsehen. Leis- tungen, die von der KfW rechtzeitig, d.h. innerhalb von 14 Kalendertagen beanstandet wurden, dürfen nicht in Rechnung gestellt werden. Die streitigen Leistungen können, ohne dass der KfW damit verwehrt wäre, deren Abrechenbarkeit weiterhin in Frage zu stellen, separat in Rechnung gestellt werden, wenn über sie nicht innerhalb von drei Wo- chen eine Einigung erzielt wurde.

16.6. Bei Abrechnung nach Tagessätzen sind Einsätze unter 8 Arbeitsstunden nur anteilig ab- zurechnen. Leistungen von mehr als 8 Stunden pro Tag werden nur anteilig zusätzlich vergütet, wenn dies vor der Leistungserbringung in Textform (§ 126b BGB) vereinbart wurde.

16.7. Die gegenüber der KfW abrechenbaren Kosten für Dokumentenbeschaffungen des Auf- tragnehmers bestehen aus seinen Auslagen gegenüber Dritten und seinen Aufschlägen (Handling Fee oder, je nach Beschaffungsart, Concierge Fee). Die Auslagen sind zu be- legen. Der Auftragnehmer übergibt monatlich mit seiner Rechnung nach Ziffer 16.2 auch eine prüffähige Einzelaufstellung dieser Kosten. Die KfW ist jederzeit berechtigt, das For- mat für die Kostenabrechnungen/-nachweise zu ändern. Aus den Auslagenbelegen ge- hen mindestens die Identifizierung des Falls, der Zahlungsempfänger, die beschafften Dokumente und die Höhe der Auslagen hervor. Die KfW kann ein automatisiertes Ver- fahren oder den Einsatz elektronischer Werkzeuge für die Übermittlung dieser Kosten vorsehen.

16.8. Die geschuldete und ordnungsgemäß in Rechnung gestellte Vergütung ist zur Zahlung binnen 30 Kalendertagen nach Zugang der prüffähigen Rechnung bei der KfW fällig. Die Zahlung erfolgt ausschließlich auf das in der Rechnung bezeichnete, inländische Konto des Auftragnehmers.

Seite 14 von 35

32

Teil B: Allgemeine Vertragspflichten

17. Ansprechpartner

17.1. Der Auftragnehmer benennt für die gesamte Laufzeit des Vertrages einen fachkundigen Hauptansprechpartner und dessen ebenso fachkundigen Vertreter. Die Ansprechpartner sind zuständig für sämtliche Fragen der Vertragsdurchführung, allgemeine Themen, Wünsche oder Beanstandungen, Auskünfte sowie die Steuerung der Unterauftragneh- mer. Sie sind befugt, Erklärungen und Weisungen mit Wirkung für und gegen den Auf- tragnehmer abzugeben bzw. entgegenzunehmen sowie Entscheidungen des Auftrag- nehmers zu treffen oder zumindest, diese unverzüglich herbeizuführen.

17.2. Der Auftragnehmer hat Ansprechpartner auf Wunsch der KfW auszutauschen, wenn da- für fachliche oder in der Person liegende Gründe gegeben sind. Ein Austausch auf Wunsch des Auftragnehmers darf nur erfolgen, wenn die KfW zustimmt oder betriebliche Gründe auf Seiten des Auftragnehmers vorliegen und der Auftragnehmer diese plausibel dargelegt hat.

17.3. Der Auftragnehmer stellt (i) die Erreichbarkeit jedenfalls eines Ansprechpartners für tele- fonische oder E-Mail-Anfragen der KfW innerhalb der Servicezeit und (ii) die unverzügli- che Bearbeitung der Anfragen durch den/die Ansprechpartner sicher. Die Servicezeit ist von Montag bis Freitag (mit Ausnahme von bundeseinheitlichen Feiertagen) von 9 bis 17 Uhr, soweit von der KfW nicht anders vorgegeben.

17.4. Die KfW wird mindestens einen Ansprechpartner benennen. An diese(n) haben der Auf- tragnehmer (inklusive seiner Ansprechpartner) sich zu richten.

17.5. Der Austausch von Ansprechpartnern erfolgt mittels unverzüglicher Mitteilung der aus- tauschenden Partei in Textform (§ 126b BGB) unter Nennung der aus- und eingetausch- ten Person(en) und der Kontaktdaten der letzteren.

18. Informationspflichten und -rechte

18.1. Der Auftragnehmer hat die KfW unverzüglich über alle wesentlichen leistungsrelevanten Umstände, insbesondere mögliche Leistungshindernisse und die im folgenden Absatz genannten Umstände, zu informieren, sobald diese jeweils für ihn absehbar sind.

18.2. Die Informationspflicht umfasst insbesondere auch Compliance-relevante Sachverhalte (insbesondere die Themen Geldwäsche, Finanzsanktionen, strafbare Handlungen), die die zur Leistungserbringung eingesetzten Personen oder deren Tätigkeiten im Rahmen der Leistungserbringung betreffen. Als derartige Sachverhalte zählen auch Verdachts- fälle. Die Information hat unverzüglich, spätestens innerhalb von zwei (2) Arbeitstagen nach dem internen Bekanntwerden beim Auftragnehmer zu erfolgen. Sie hat in der nach den Umständen angemessenen Form (in der Regel erst telefonisch und danach per Email an compliance@kfw.de) zu erfolgen.

18.3. (leer)

18.4. Der Auftragnehmer ist verpflichtet, die im Rahmen der Leistungserbringung angefertigten Dokumentationen einschließlich der Korrespondenz mit der KfW, soweit nicht anders ver- einbart oder gesetzlich geregelt, zwei (2) Jahre nach Beendigung der Leistungserbrin- gung aufzubewahren, soweit diese nicht auf Verlangen der KfW, insb. gemäß Ziffer 40, gelöscht bzw. herausgegeben wurden.

Seite 15 von 35

33

19. Betriebsrisikofragebogen

19.1. Der Auftragnehmer wird der KfW spätestens 14 Kalendertage nach Abschluss dieses Vertrages, sowie während der gesamten Vertragslaufzeit jährlich jeweils zum Jahrestag des Vertragsschlusses, ohne gesonderte Aufforderung den in der Anlage enthaltenen Betriebsrisikofragebogen sowie die in der Anlage enthaltenen zusätzlichen Fragen zur Erstellung eines Ratings in der jeweils aktuellen Fassung (vgl. Ziffer 19.2) vollständig ausgefüllt zur Verfügung stellen.

19.2. Der KfW steht das Recht zu, den Betriebsrisikofragebogen sowie die zusätzlichen Fragen zur Erstellung eines Ratings nach ihrem Ermessen jederzeit einseitig anzupassen. Die Bereitstellung der ausgefüllten Betriebsrisikofragebögen sowie der Antworten auf die zu- sätzlichen Fragen zur Erstellung eines Ratings ist mit der vereinbarten Vergütung abge- golten. Die KfW darf die zur Verfügung gestellten Informationen zum Zwecke ihres Risi- komanagements verwenden und gemäß den gelten Gesetzen verarbeiten und aufbe- wahren.

19.3. (leer)

20. Zugangs-, Informations- und Prüfungsrechte sowie Kontrollmöglichkeiten

20.1. Definitionen

20.2. Die KfW ist hinsichtlich sämtlicher mit der Durchführung des Vertrages im Zusammen- hang stehender Informationen, Unterlagen, Daten und Systeme uneingeschränkt berech- tigt, auch gemeinsam mit anderen Unternehmen (sogenannte Sammelprüfungen oder Sammelaudits, im Folgenden „Sammelprüfungen“)

a) für die Berechtigten Prüfer sowohl anlassbezogen als auch anlassunabhängig umfassende Einsicht in, Zugang zu oder Zugriff auf die Informationen, Unterlagen, Daten und Systeme zur fortlaufenden Überwachung der Einhaltung aller gelten- den vertraglichen und aufsichtlichen Anforderungen und der Erbringung der Ver- tragsleistungen zu verlangen und

Seite 16 von 35

34

b) die Duldung der Einsicht durch die Aufsichtsinstitutionen zu Aufsichtszwecken zu verlangen, insbesondere zur Ausübung von deren Auskunfts- und Prüfungsrech- ten sowie Kontrollmöglichkeiten.

Im Fall der Ziffer a) darf die Einsicht in kommerzielle und kostenrelevante Informationen nur durch einen von der KfW ausgewählten Wirtschaftsprüfer erfolgen. Der Wirtschafts- prüfer darf an die KfW nur einen zusammenfassenden Bericht über das Ergebnis seiner Prüfung weitergeben, der die kommerziellen und kostenrelevanten Informationen als sol- che nicht nennt. Das Recht der KfW zur Prüfung der Richtigkeit der vom Auftragnehmer in Rechnung gestellten Vergütungen bleibt unberührt.

20.3. Der Auftragnehmer hat zur Ausübung der Rechte gemäß vorstehendem Absatz den Be- rechtigten Prüfern und Aufsichtsinstitutionen, auch im Rahmen von Sammelprüfungen, während der üblichen Geschäftszeiten (8-18 Uhr) Zutritt zu den relevanten Betriebsstät- ten zu gewähren, wenn das Verlangen mit einer Ankündigungsfrist von drei (3) Arbeits- tagen gestellt wird. In Notfällen und bei entsprechendem Einsichtsverlangen von Auf- sichtsinstitutionen besteht das Zutrittsrecht auch außerhalb der üblichen Geschäftszei- ten, und die Ankündigungsfrist verkürzt sich auf eine den Umständen nach angemessene Dauer. Die relevanten Betriebsstätten umfassen alle Rechenzentren, Geräte, Systeme und Netzwerke, Informationen und Daten, die zur Erbringung der Vertragsleistungen ein- gesetzt werden, einschließlich aller dazu gehörenden Prozessen und Kontrollen. Der Auf- tragnehmer hat den Berechtigten Prüfern und Aufsichtsinstitutionen zur Durchführung der Einsichtnahme erforderliche Berechtigungen zu erteilen. Interne Richtlinien des Auf- tragnehmers dürfen die Rechte nach dieser Ziffer nicht einschränken. Die Pflicht zur Ge- währung von Einsicht umfasst erforderlichenfalls die Anfertigung von Kopien sowie im Fall von elektronischen Informationen auch die Pflicht zur Gewährung von Zugang zu Datenträgern und Systemen, in denen diese gespeichert sind.

20.4. Der Auftragnehmer ist berechtigt, geeignete Maßnahmen zum Schutz seiner Betriebs- und Geschäftsgeheimnisse und zum Schutz von Vertraulichkeit bzgl. anderer Kunden- daten zu treffen.

20.5. Zudem hat der Auftragnehmer den Berechtigten Prüfern und Aufsichtsinstitutionen auf Verlangen im Zusammenhang mit der Durchführung dieses Vertrages stehende Informa- tionen, Dokumente und Daten in elektronischer Form zu übersenden. Die KfW darf die übersandten Dokumente zu Prüfungszwecken durch die Berechtigten Prüfer verwenden und sie an die Aufsichtsinstitutionen zur Verwendung zu Aufsichtszwecken weitergeben. Ziffer 20.2 letzter Absatz, gilt entsprechend.

20.6. Jede Partei trägt ihre eigenen Aufwendungen im Zusammenhang mit der Durchführung der Einsichtnahme, dazu gehören insbesondere die Kosten ihrer jeweiligen Beauftragten.

20.7. Der Auftragnehmer wird sicherstellen, dass sein Personal vollumfänglich mit den Berech- tigten Prüfern und den Aufsichtsinstitutionen kooperiert.

20.8. Der Auftragnehmer ist ein (oder gilt jedenfalls im Verhältnis zwischen KfW und Auftrag- nehmer als) Auslagerungsunternehmen im Sinne des § 1 Abs. 10 KWG und damit un- mittelbarer Adressat von Pflichten nach dem KWG. Im Falle von Anordnungen der Auf- sichtsinstitution informiert er die KfW unverzüglich, soweit dies zulässig ist, und wird den Anordnungen der Aufsichtsinstitution unmittelbar Folge leisten. Dies gilt auch für den Fall, dass der Auftragnehmer seinen Sitz nicht in Deutschland hat.

20.9. Falls der Auftragnehmer seinen Sitz nicht in Deutschland hat, räumt er der Aufsichtsin- stitution das Recht ein, ihm gegenüber Anordnungen gemäß den Vorschriften des KWG zu treffen.

Seite 17 von 35

35

20.10. Der Auftragnehmer muss vertraglich sicherstellen, dass die in diesem Vertrag verein- barten Rechte der KfW sowie der zuständigen Aufsichtsinstitutionen und Berechtigten Prüfer jederzeit von diesen auch unmittelbar gegenüber dem Unterauftragnehmer und gegebenenfalls weiteren nachgelagerten Unterauftragnehmern durchgesetzt werden können. Dies gilt insbesondere für die Zugangs-, Informations- und Prüfungsrechte sowie Kontrollmöglichkeiten der KfW, der Aufsichtsinstitutionen und der Berechtigten Prüfer und Anordnungsrechte der Aufsichtsinstitution. Der Auftragnehmer wird entsprechende vertragliche Regelungen mit den Unterauftragnehmern auf Verlangen der KfW unverzüg- lich nachweisen. Im Übrigen gelten die Regelungen zum Einsatz von Unterauftragneh- mern gemäß Ziff. 14.

21. Sanierung und Abwicklung

21.1. Der Auftragnehmer ist verpflichtet, gegenüber einem Unternehmen des KfW-Konzerns ergriffene Maßnahmen gemäß dem Gesetz zur Sanierung und Abwicklung von Instituten und Finanzgruppen (Sanierungs- und Abwicklungsgesetz; „SAG“) sowie der Verordnung (EU) Nr. 806/2014 („Sanierungs-/Abwicklungsmaßnahmen“) anzuerkennen. Dies be- trifft insbesondere solche Sanierungs-/Abwicklungsmaßnahmen, die in Ausübung der Befugnisse gem. §§ 66a, 82 bis 84 oder 144 SAG ergriffen werden.

21.2. Der Auftragnehmer ist verpflichtet, auch im Falle von Sanierungs-/Abwicklungsmaßnah- men sämtliche Vertragsleistungen weiter zu erbringen und im Zusammenhang mit einer Sanierungs-/Abwicklungsmaßnahme gegebenenfalls notwendige Verträge abzuschlie- ßen.

21.3. Allein aufgrund einer Sanierungs-/Abwicklungsmaßnahme ist der Auftragnehmer nicht zur Kündigung dieses Vertrags berechtigt.

21.4. (leer)

22. Business Continuity Management

22.1. Der Auftragnehmer ist verpflichtet, ein Business Continuity Management gemäß den An- forderungen des AT 7.3 MaRisk vorzuhalten. Er muss insbesondere jederzeit eine doku- mentierte Notfallplanung und -vorsorge nach dem jeweils aktuellen Stand der Technik unterhalten, die die weitestmögliche Aufrechterhaltung und schnellstmögliche Wieder- aufnahme der Vertragsleistungen in Notfällen sicherstellt (Notfallkonzept). Ein Notfall ist dabei eine Unterbrechung der Leistungserbringung des Auftragnehmers, der nicht im Normalbetrieb innerhalb der in der Leistungsbeschreibung definierten maximal tolerier- baren Ausfallzeit wiederhergestellt werden kann.

22.2. Das Notfallkonzept muss insbesondere Folgendes umfassen:

a) Geschäftsfortführungspläne, die gewährleisten, dass im Notfall zeitnah Ersatzlö- sungen zur Verfügung stehen,

b) Wiederaufnahmepläne, die innerhalb eines angemessenen Zeitraums die Rück- kehr zum Normalbetrieb ermöglichen,

c) die im Notfall zu verwendenden Kommunikationswege,

d) sonstige Maßnahmen, die dazu geeignet sind, das Ausmaß möglicher Schäden und Nachteile insbesondere für die KfW zu reduzieren.

Seite 18 von 35

36

22.3. Im Rahmen des Notfallkonzepts müssen mindestens die folgenden Notfallszenarien be- rücksichtigt werden:

a) (Teil-)Ausfall eines Standortes (z. B. durch Hochwasser, Großbrand, Ge- bietssperrung, Ausfall der Zutrittskontrolle),

b) Erheblicher Ausfall von IT-Systemen oder Kommunikationsinfrastruktur (z. B. auf- grund von Fehlern oder Angriffen),

c) Ausfall einer kritischen Anzahl von Mitarbeitern (z. B. bei Pandemie, Lebensmit- telvergiftung, Streik) und

d) Ausfall von Dienstleistern (z. B. Zulieferer, Stromversorger).

22.4. Die Leistungsbeschreibung kann besondere Anforderungen an das Notfallkonzept des Auftragnehmers im Hinblick auf konkrete zu erbringenden Vertragsleistungen festlegen. Der Auftragnehmer ist verpflichtet, sein Notfallkonzept mindestens in dem Umfang auf- recht zu erhalten, den er im Rahmen des Angebots beschrieben hat.

22.5. Der Auftragnehmer hat der KfW sein Notfallkonzept und die Ergebnisse seiner Business Impact Analyse spätestens 90 Kalendertage nach Vertragsschluss in Textform (§ 126b BGB) insoweit mitzuteilen, als diese die Leistungserbringung unter diesem Vertrag be- treffen. Der Auftragnehmer ist zudem verpflichtet, Änderungen und Anpassungen seines Business Continuity Managements, einschließlich seiner Notfallkonzepte, der KfW un- verzüglich mitzuteilen, wenn diese Auswirkungen auf seine Leistungserbringung unter diesem Vertrag haben können.

22.6. Der Auftragnehmer hat in angemessenem Umfang regelmäßige, mindestens jährliche und anlassbezogene Überprüfungen des Notfallkonzepts im Hinblick auf seine Wirksam- keit und Angemessenheit für alle relevanten Notfallszenarien durchzuführen.

22.7. Die Überprüfung hat angemessene Notfalltests und -übungen einzuschließen. Die Not- falltests und -übungen dürfen keine nachteiligen Auswirkungen auf die laufende Leis- tungserbringung durch den Auftragnehmer haben. Der Auftragnehmer hat auf Wunsch der KfW auch gemeinsame Notfalltests und -übungen mit der KfW durchzuführen.

22.8. Die Ergebnisse der Überprüfung des Notfallkonzepts hat der Auftragnehmer zu doku- mentieren und der KfW unverzüglich in Textform (§ 126b BGB) mitzuteilen. Der Überprü- fungsprozess ist auf Verlangen der KfW mit dieser abzustimmen und anzupassen.

23. Sonstige Maßnahmen wegen Auslagerung

23.1. (leer)

23.2. (leer)

23.3. Ungeachtet der ggf. nach anderen vertraglichen Regelungen vorzuhaltenden Notfallka- pazitäten verpflichtet sich der Auftragnehmer, soweit in einem Notfall Ressourcenknapp- heit besteht und die vorhandenen Ressourcen zwischen der KfW und anderen Kunden des Auftragnehmers aufgeteilt werden müssen, keinem anderen Unternehmen eine hö- here Prioritätsstufe als der KfW einzuräumen. Bei der Aufteilung von Ressourcen wird der Auftragnehmer das sich für die KfW und die übrigen Leistungsempfänger aus dem Notfall konkret ergebende Risiko angemessen berücksichtigen.

Seite 19 von 35

37

24. Zugang zu Informationen im Falle der Insolvenz des Auftragnehmers

24.1. Der Auftragnehmer ist im Fall seiner Insolvenz, Abwicklung oder der Einstellung seiner Geschäftstätigkeit verpflichtet, Informationen der KfW und ggf. der Unternehmen des KfW-Konzerns in einem der weiteren Nutzung und Bearbeitung zugänglichen Format ohne gesonderte Vergütung an die KfW herauszugeben. Dasselbe gilt für den Fall der Insolvenz, Abwicklung oder der Einstellung der Geschäftstätigkeit eines Unterauftrag- nehmers.

25. Vertraulichkeit

25.1. Der Auftragnehmer verpflichtet sich, den Inhalt dieses Vertrages sowie alle Informatio- nen, die ihm von der KfW oder einem Unternehmen des KfW-Konzerns zugänglich ge- macht werden, sowie sämtliche Informationen und Erkenntnisse (im Folgenden „Infor- mationen“), die er durch die oder gelegentlich der Zusammenarbeit mit der KfW oder einem Unternehmen des KfW-Konzerns auf Grundlage dieses Vertrages gewinnt, insbe- sondere auch Geschäfts- oder Betriebsgeheimnisse des KfW-Konzerns, seiner Kunden und sonstigen Geschäftspartner, als vertraulich zu behandeln und darüber Stillschweigen gegenüber Dritten zu bewahren. Dies gilt nicht, soweit die Informationen öffentlich be- kannt sind oder werden, vorausgesetzt, dass die Bekanntgabe im Einklang mit den Re- gelungen dieses Vertrages erfolgt.

25.2. Informationen, die die KfW als vertraulich oder streng vertraulich einstuft, tauschen die Parteien entweder in Papierform oder in Form verschlüsselter Digitalkommunikation aus. Die Parteien werden im Einzelfall festlegen, welche der von der KfW angebotenen Ver- schlüsselungstechnologie verwendet wird (aktuell TLS – Transport Layer Security (be- vorzugt), PGP, S/MIME oder ein sicherer Datenraum der KfW).

25.3. Der Auftragnehmer verpflichtet sich, Informationen nur solchen Personen zugänglich zu machen, deren Kenntnis im Rahmen der Zusammenarbeit zwingend erforderlich ist, und diese vor Aufnahme der Tätigkeit mit den für sie maßgeblichen Bestimmungen des Da- tenschutzes sowie dieser Vereinbarung vertraut zu machen. Er hat sie auf Vertraulichkeit (einschließlich des Datengeheimnisses) schriftlich zu verpflichten, soweit sie nicht bereits gesetzlich einer entsprechenden Vertraulichkeitsverpflichtung unterliegen.

25.4. Der Auftragnehmer darf Daten und Informationen der KfW auch anonymisiert nicht zum Trainieren einer KI verwenden.

25.5. Verstößt der Auftragnehmer gegen die Regelungen dieser Ziffer 25, so schuldet er für jeden Fall der Zuwiderhandlung eine Vertragsstrafe in Höhe von bis zu 1% der Gesamt- vergütung, aber jedenfalls nicht mehr als 50.000 Euro je Zuwiderhandlung. Zu den allge- meinen Bestimmungen für Vertragsstrafen siehe die Regelungen unter Ziffer 35.

26. Datenschutz

26.1. Die nachfolgenden Regelungen gelten nur, soweit der Auftragnehmer im Zuge der Leis- tungserbringung personenbezogene Daten i.S.v. Art. 4 Nr. 1, 2 der EU-Datenschutz- grundverordnung (VO (EU) 2016/679, nachfolgend „DSGVO“) in eigenständiger Verant- wortlichkeit (Art. 4 Nr. 7 Hs. 1 Alt. 1, Art. 24 DSGVO) verarbeitet.

Seite 20 von 35

38

26.2. Der Auftragnehmer gewährleistet die Einhaltung der jeweils einschlägigen ihn betreffen- den datenschutzrechtlichen Pflichten im Zuge der Leistungserbringung. Bei Verantwort- lichen mit Sitz innerhalb der Europäischen Union bzw. des Europäischen Wirtschafts- raums umfasst dies insbesondere die Einhaltung der DSGVO sowie der jeweiligen nati- onalen Datenschutzgesetze.

26.3. Sofern der Auftragnehmer in den Anwendungsbereich der DSGVO fällt, gewährleistet dieser, dass die Verarbeitung personenbezogener Daten bei der Erfüllung des Hauptver- trags grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirt- schaftsraums stattfindet. Sollte ausnahmsweise eine Übermittlung personenbezogener Daten in Drittländer außerhalb der Europäischen Union bzw. des Europäischen Wirt- schaftsraums erfolgen, gewährleistet der Auftragnehmer die vollständige Einhaltung der damit verbundenen datenschutzrechtlichen Pflichten, insbesondere der Art. 44 ff. DSGVO, und weist dies auf Verlangen der KfW nach.

26.4. Sollte zum Zwecke der Durchführung des Vertrags mit der KfW der Abschluss von ent- sprechenden Standarddatenschutzklauseln i.S.v. Art. 46 Abs. 2 lit. c DSGVO nach dem europäischen Datenschutzrecht erforderlich sein, wird der Auftragnehmer diesen Stan- darddatenschutzklauseln zustimmen. Zudem wird der Auftragnehmer die KfW bei der Erstellung eines nach europäischem Datenschutzrecht erforderlichen Transfer Impact Assessments nach Anforderung durch die KfW unterstützen.

26.5. Der Auftragnehmer teilt der KfW unverzüglich potenzielle oder eingetretene Verletzungen des Schutzes personenbezogener Daten der KfW oder von Unternehmen des KfW-Kon- zerns oder von deren Geschäftspartnern mit. Dies hat in der nach den Umständen ange- messenen Form (in der Regel erst telefonisch und danach per E-Mail an den vertragli- chen Ansprechpartner und/oder datenschutz@kfw.de) zu erfolgen. Dies gilt insbeson- dere bei dem Verdacht, dass die personenbezogenen Daten Dritten unbefugt zur Kennt- nis gelangt sind.

26.6. Verstößt der Auftragnehmer gegen die Regelungen dieser Ziffer 26, so schuldet er für jeden Fall der Zuwiderhandlung eine Vertragsstrafe in Höhe von bis zu 1% der Gesamt- vergütung, aber jedenfalls nicht mehr als 50.000 Euro je Zuwiderhandlung. Zu den allge- meinen Bestimmungen für Vertragsstrafen siehe die Regelungen unter Ziffer 35

26.7. Die KfW ist berechtigt, personenbezogene Daten der durch den Auftragnehmer zur Leis- tungserbringung eingesetzten Personen zu verarbeiten, soweit dies für die Durchführung des Vertrages erforderlich ist. Der Auftragnehmer stellt sicher, dass die rechtlichen Vo- raussetzungen für eine Verarbeitung der Daten durch die KfW der zur Leistungserbrin- gung eingesetzten Personen vor Beginn ihrer Tätigkeit unter diesem Vertrag vorliegen. Der Auftragnehmer belegt dies der KfW auf Verlangen.

27. Korruptionsprävention und Prävention strafbarer Handlungen

27.1. Der Auftragnehmer verpflichtet sich, im Zusammenhang mit der Erbringung von Vertrags- leistungen sämtliche nach deutschem Recht und, soweit anwendbar, nach anderen Rechtsordnungen geltende strafrechtliche Anforderungen zu beachten. Die Verpflichtung umfasst insbesondere, aber nicht ausschließlich das Verbot der Annahme, der Gewäh- rung, des Versprechens oder des Forderns unrechtmäßiger Zahlungen, oder anderer un- rechtmäßiger materieller oder immaterieller Vorteile, auf die kein Anspruch besteht (nachstehend zusammenfassend: „unzulässige Zuwendungen“), an bzw. von Amtsträ- ger(n), Geschäftspartner(n) und deren Mitarbeitende(n) und Beauftragte(n) und an die Unternehmen des KfW-Konzerns und an deren Personal. Die Verpflichtung umfasst fer- ner das Verbot der Annahme, Gewährung, des Versprechens oder Forderns unzulässi- ger Zuwendungen in Absprache mit den vorgenannten Stellen und Personen an bzw.

Seite 21 von 35

39

von Dritte(n), insbesondere an Familienangehörige(n) oder sonstige(n) Partner(n), das Verbot von Beschleunigungszahlungen (facilitation payments) an Amtsträger, an die Unternehmen des KfW-Konzerns bzw. deren Personal oder an sonstige Personen.

27.2. Der Auftragnehmer hat die KfW unverzüglich, spätestens innerhalb von zwei (2) Arbeits- tagen zu informieren, wenn ihm Verdachtsfälle von Verstößen gegen die im vorstehen- den Absatz genannten strafrechtlichen Anforderungen bekannt werden, die die zur Leis- tungserbringung eingesetzten Personen oder deren Tätigkeiten im Rahmen der Leis- tungserbringung betreffen. Dies gilt insbesondere, aber nicht ausschließlich, für unzuläs- sige Zuwendungen, andere Korruptionssachverhalte sowie für sonstige strafbare Hand- lungen, wie z.B. Betrug, Subventions-/Kreditbetrug, Untreue, Unterschlagung. Die Infor- mation hat in der nach den Umständen angemessenen Form (in der Regel erst telefo- nisch und danach per E-Mail an compliance@kfw.de) zu erfolgen.

28. (leer)

29. Embargo und Sanktionslisten

29.1. Der Auftragnehmer bestätigt, dass für ihn, für die zur Leistungserbringung eingesetzten Personen und für die von ihm geschuldeten Leistungen kein Embargo oder eine Sanktion der Vereinten Nationen, der Europäischen Union oder der Bundesrepublik Deutschland gilt. Jede Rechnungsstellung des Auftragnehmers gilt automatisch – ohne dass es einer besonderen Erklärung bedarf – als erneute Bestätigung nach Satz 1. Die Verzögerung oder Unterlassung von Rechnungsstellungen gilt nicht als Rücknahme früherer Bestäti- gungen oder als stillschweigende Meldung eines/-r zwischenzeitlich erlassenen interna- tionalen Embargos oder einer Sanktion der Vereinten Nationen, der Europäischen Union oder der Bundesrepublik Deutschland. Der Auftragnehmer wird der KfW unverzüglich melden, sollte für ihn oder für die von ihm geschuldeten Leistungen ein internationales Embargo oder eine Sanktion der Vereinten Nationen, der Europäischen Union oder der deutschen Bundesregierung gelten.

29.2. Soweit die Erfüllung von vertraglichen Verpflichtungen des Auftragnehmers aufgrund der nationalen, europäischen oder sonstigen auf die KfW und/oder den Auftragnehmer an- wendbaren Vorschriften des Außenwirtschaftsrechts, einschließlich Embargo- und sons- tiger Sanktionsregelungen, einer Genehmigung bedarf, steht die Vertragserfüllung unter dem Vorbehalt der Erteilung der erforderlichen Genehmigungen durch die zuständigen Behörden.

29.3. Falls (i) für den Auftragnehmer, die für die Leistungserbringung eingesetzten Personen oder für die von ihm geschuldeten Leistungen nach Ziffer 29.1 ein internationales Em- bargo oder eine Sanktion der Vereinten Nationen, der Europäischen Union oder der Bun- desrepublik Deutschland gilt, oder (ii) eine nach Ziffer 29.2 erforderliche Genehmigung innerhalb einer von der KfW gesetzten angemessenen Frist nicht erteilt wird, ist die KfW jeweils unbeschadet weitergehender Rechte und Ansprüche zur fristlosen Kündigung des Vertrages berechtigt.

30. Umsetzung des Lieferkettensorgfaltspflichtengesetzes (LkSG)

30.1. Der Auftragnehmer nimmt die vom Vorstand der KfW gemäß § 6 Abs. 2 LkSG abgege- bene Grundsatzerklärung über die Menschenrechtsstrategie, die unter der Internet- adresse www.kfw.de/nachhaltigkeit/%C3%9Cber-die-KfW/Nachhaltigkeit/Unser-Nach- haltigkeitsanspruch/Menschenrechtserkl%C3%A4rung/ abrufbar ist, zur Kenntnis. Der Auftragnehmer sichert gemäß § 6 Abs. 4 Nr. 2 LkSG zu, die in dieser Grundsatzerklärung

Seite 22 von 35

40

verlangten menschenrechtsbezogenen und umweltbezogenen Erwartungen einzuhalten (Kapitel 5.3 Beschaffung, Abschnitt „Erwartungen der KfW an ihre Zulieferer“). Er sichert zudem gemäß § 6 Abs. 4 Nr. 2 LkSG zu, die in der Grundsatzerklärung über die Men- schenrechtsstrategie verlangten menschenrechtsbezogenen und umweltbezogenen Er- wartungen entlang seiner Lieferkette angemessen zu adressieren. Sollte sich die Grund- satzerklärung oder die Internetadresse, unter der die Grundsatzerklärung abrufbar ist, ändern, wird die KfW den Auftragnehmer darüber unverzüglich informieren.

30.2. Der Auftragnehmer hat die in der Anlage LkSG dieses Vertrages genannten Verbote (Zif- fer 1 und 2) zu beachten sowie etwaige, sich aus dieser Anlage ergebende Präventions- maßnahmen umzusetzen (Ziffer 3). Wenn die KfW infolge einer von ihr nach § 5 LkSG durchzuführenden Risikoanalyse in Bezug auf den Auftragnehmer und seine Lieferkette zu einer neuen oder einer geänderten Einschätzung der menschenrechtlichen Risiken im Sinne des § 2 Abs. 2 LkSG oder der umweltbezogenen Risiken im Sinne des § 2 Abs. 3 LkSG kommt, kann die KfW einseitig die Aufnahme neuer und die Anpassung bestehen- der, in der Anlage LkSG geregelter Präventionsmaßnahmen verlangen (§ 6 Abs. 5 LkSG), es sei denn, diese wären für den Auftragnehmer unzumutbar. Vor einer Änderung der Anlage LkSG gibt die KfW dem Auftragnehmer die Gründe für die geänderte Risi- koeinschätzung an, legt ihm den Wortlaut der geänderten Regelungen der Anlage LkSG vor und hört den Auftragnehmer an. Sobald die KfW dem Auftragnehmer die geänderte Anlage LkSG zum verbindlichen Vertragsbestandteil erklärt hat, ist der Auftragnehmer verpflichtet, die Regelungen der geänderten Anlage LkSG zu beachten.

30.3. Unbeschadet der Regelungen in Ziffer 14 hat der Auftragnehmer der KfW auf deren Ver- langen hin Informationen über mittelbare Zulieferer zur Verfügung zu stellen. Das Recht der KfW, von dem Auftragnehmer die Herausgabe von Informationen zu verlangen, be- schränkt sich auf solche Informationen, die sie für die Ergreifung von Maßnahmen nach § 9 Abs. 3 LkSG benötigt. Der Auftragnehmer ist nur zur Herausgabe solcher Informati- onen verpflichtet, die ihm vorliegen oder von ihm mit einem angemessenen Aufwand beschafft werden können. Mittelbare Zulieferer sind solche im Sinne des § 2 Abs. 8 LkSG.

30.4. Wenn bei dem Auftragnehmer die Verletzung einer menschenrechtsbezogenen oder ei- ner umweltbezogenen Pflicht eingetreten ist oder unmittelbar bevorsteht, hat der Auftrag- nehmer die KfW unverzüglich bei der Erfüllung der ihr nach § 7 Absätze 1 bis 3 LkSG obliegenden Pflichten zu unterstützen, insbesondere hat der Auftragnehmer

a) die KfW über die Art, das Ausmaß, die Schwere und die Dauer der eingetretenen oder bevorstehenden Pflichtverletzung zu informieren,

b) eigene Maßnahmen zu ergreifen, um i) die bevorstehende Verletzung zu vermei- den oder ii) die eingetretene Verletzung zu beenden oder iii) das Ausmaß der Verletzung zu minimieren, und

c) die KfW über ergriffene und geplante Maßnahmen zu informieren.

30.5. Wenn die Pflichtverletzung nach der vorstehenden Ziffer 30.4 so beschaffen ist, dass der Auftragnehmer diese nicht in absehbarer Zeit beenden kann (§ 7 Abs. 2 LkSG), hat der Auftragnehmer die KfW zusätzlich unverzüglich dabei zu unterstützen, ein Konzept mit einem konkreten Zeitplan zur Beendigung der Pflichtverletzung oder zur Minimierung des Ausmaßes der Pflichtverletzung zu erstellen. Die KfW wird dem Auftragnehmer den in diesem Konzept gegebenenfalls festgelegten Zeitplan zur Umsetzung von Abhilfemaß- nahmen mitteilen. Die KfW kann von dem Auftragnehmer insbesondere verlangen, dass er Teile dieses Konzeptes nach Vorgaben der KfW eigenständig erarbeitet und sich zur Umsetzung der im Konzept enthaltenen Maßnahmen entsprechend dem dort enthalte- nen Zeitplan verpflichtet. Der Auftragnehmer wird darüber hinaus der KfW sachdienliche

Seite 23 von 35

41

Festlegungen im Konzept und Maßnahmen zur Beendigung der Pflichtverletzung vor- schlagen und die KfW im Hinblick auf die Festlegungen und Maßnahmen beraten. Der Auftragnehmer ist zu einer zügigen und effizienten Beseitigung der Pflichtverletzung ver- pflichtet.

30.6. Liegen der KfW tatsächliche Anhaltspunkte vor, die eine Verletzung einer menschen- rechtsbezogenen oder einer umweltbezogenen Pflicht bei einem mittelbaren Zulieferer möglich erscheinen lassen (substantiierte Kenntnis), hat der Auftragnehmer die KfW un- verzüglich dabei zu unterstützen, die ihr nach § 9 Abs. 3 LkSG obliegenden Pflichten zu erfüllen, insbesondere

a) angemessene Präventionsmaßnahmen gegenüber dem Verursacher zu veran- kern (zum Beispiel die Durchführung von Kontrollmaßnahmen, die Unterstützung bei der Vorbeugung und Vermeidung eines Risikos oder die Umsetzung von bran- chenspezifischen oder branchenübergreifenden Initiativen, denen das Unterneh- men beigetreten ist) und

b) ein Konzept zur Verhinderung, Beendigung oder Minimierung der Pflichtverlet- zung zu erstellen und umzusetzen.

30.7. Verstößt der Auftragnehmer gegen seine Pflichten aus den Ziffern 30.4 oder 30.5, so schuldet er für jeden Fall einer solchen Zuwiderhandlung eine Vertragsstrafe in Höhe von bis zu 1% der Gesamtvergütung, aber jedenfalls nicht mehr als 50.000 Euro je Zuwider- handlung. Zu den allgemeinen Bestimmungen für Vertragsstrafen siehe die Regelungen unter Ziffer 35

31. Pressemitteilungen und sonstige Mitteilungen

31.1. Pressemitteilungen und sonstige öffentliche Mitteilungen des Auftragnehmers über die Existenz dieses Vertrages oder über im Rahmen der Vertragsdurchführung erlangte In- formationen über die KfW oder andere Unternehmen des KfW-Konzerns sind, auch wenn keine sonstige Vertraulichkeitspflicht besteht, untersagt, es sei denn, der Auftragnehmer hat Inhalt und Umstände der beabsichtigten Mitteilung mit der KfW abgestimmt und die KfW hat in Textform (§126b BGB) zugestimmt. Der Auftragnehmer hat keinen Anspruch auf diese Zustimmung.

31.2. Der vorstehende Absatz gilt entsprechend auch für nicht-öffentliche Mitteilungen, insbe- sondere die Nennung der KfW als Referenzkunde, die sonstige Verwendung von KfW- Namen/-Firmen/-Logos in Werbematerial und die Nennung von KfW-Mitarbeitern als Re- ferenz für andere (potentielle) Kunden des Auftragnehmers.

31.3. Die KfW kann erteilte Zustimmungen jederzeit ohne Angabe von Gründen widerrufen. Soweit vom Widerruf betroffene Mitteilungen des Auftragnehmers bereits erfolgt und noch in seinem Einflussbereich sind, hat er sie unverzüglich zu revidieren (z.B. Website- oder Broschüren-Texte/-Gestaltungen zu löschen oder zu ändern, Drucksachen zurück- zurufen und zu vernichten, Referenznennungen zu widerrufen).

31.4. Eine Zustimmung der KfW nach den Vorgaben dieser Ziffer ist abweichend von den vor- stehenden Regelungen nicht erforderlich, soweit Informationen unabhängig von einer öf- fentlichen oder nicht öffentlichen Mitteilung des Auftragnehmers öffentlich bekannt sind oder werden, vorausgesetzt, dass die Bekanntgabe im Einklang mit den Regelungen die- ses Vertrages erfolgt. Etwaige gesetzliche Mitteilungspflichten des Auftragnehmers (z.B. im Rahmen der Geschäftsberichterstattung) bleiben unberührt.

Seite 24 von 35

42

32. Abtretung, Verpfändung, Aufrechnung, Zurückbehaltung

32.1. Es ist dem Auftragnehmer untersagt, Forderungen und Rechte, die ihm aus diesem Ver- trag gegen die KfW zustehen, ohne vorherige schriftliche Zustimmung der KfW insgesamt oder teilweise abzutreten oder zu verpfänden. § 354a HGB bleibt hiervon unberührt.

32.2. Der Auftragnehmer ist zur Aufrechnung und zur Geltendmachung von Zurückbehaltungs- rechten nur berechtigt, soweit sein jeweiliger Gegenanspruch entweder (a) von der KfW unbestritten ist oder (b) rechtskräftig festgestellt ist.

33. Verzicht auf Rechtspositionen

Ein Verzicht der KfW auf Ansprüche oder Rechte ist nur wirksam, falls er schriftlich erklärt wird. Die zeitweise oder längere, ausdrückliche oder stillschweigende Nichtausübung von Ansprüchen und Rechten der KfW ist kein Verzicht und begründet auch keine Ver- wirkung.

34. Haftung

34.1. Der Auftragnehmer haftet nicht für die inhaltliche Richtigkeit der von ihm mittels SaaS überlassenen Daten.

34.2. Die übrige Schadensersatzhaftung des Auftragnehmers ist auf € 1 Mio. pro Schadensfall begrenzt. Diese Haftungsbeschränkung gilt nicht für

a) Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit,

b) Schäden, die auf Vorsatz oder grober Fahrlässigkeit beruhen, und

c) bei Ansprüchen gemäß zwingender gesetzlicher Haftung (insbesondere dem Pro- dukthaftungsgesetz) oder aus verschuldensunabhängiger Haftung (insbesondere Garantien).

34.3. Zur Klarstellung: Etwaige Vertragswortlaute wie etwa „steht dafür ein“, „trägt dafür Sorge“, „stellt sicher“, „hat sicherzustellen“, „versichert“ oder „sichert zu“ begründen keine vertragliche Garantieübernahme im Sinne von §§ 276 Abs. 1 Satz 1, 442 - 444, 639 BGB. Stattdessen ist Voraussetzung für das Vorliegen einer derartigen Garantieübernahme, dass ausdrücklich von einer Garantie die Rede ist. Zur weiteren Klarstellung: Es existie- ren keine derartigen Garantien.

34.4. Diese Ziffer 34 gilt auch für Erfüllungsgehilfen.

35. Allgemeine Bestimmungen für Vertragsstrafen

35.1. Soweit der Vertrag Vertragsstrafen vorsieht, gelten für diese die nachfolgenden allgemei- nen Bestimmungen.

35.2. Ansprüche auf Ersatz von über Vertragsstrafen hinausgehenden Schäden bleiben unbe- rührt.

35.3. Eine Vertragsstrafe ist nicht verwirkt, wenn die mit ihr bewehrte Handlung oder Zuwider- handlung gegen eine Unterlassungspflicht vom Auftragnehmer nicht zu vertreten ist.

Seite 25 von 35

43

35.4. Soweit Vertragsregelungen nur eine Obergrenze der Vertragsstrafenhöhe vorsehen, be- stimmt die KfW die Höhe der Vertragsstrafe in jedem Einzelfall abhängig von der Schwere und den Folgen des Verstoßes nach billigem Ermessen (§ 315 BGB) im Rah- men der Obergrenze. Die von der KfW bestimmte Höhe der Vertragsstrafe ist im Streitfall vom zuständigen Gericht auf ihre Angemessenheit zu überprüfen.

35.5. Vertragsstrafen können neben Erfüllungsansprüchen geltend gemacht werden.

35.6. Die Vertragsstrafe kann im Fall einer vereinbarten Schlusszahlung bis zur Schlusszah- lung, in allen anderen Fällen bis sechs Monate nach Verwirkung der Vertragsstrafe gel- tend gemacht werden. Die KfW braucht sich somit die Geltendmachung einer Vertrags- strafe bei Annahme der Leistung nicht vorzubehalten.

35.7. Vertragsstrafen sind sofort nach ihrer Verwirkung fällig und zahlbar.

35.8. Die Summe aller Vertragsstrafen – ungeachtet deren Gründe – ist auf 5% der Gesamt- vergütung beschränkt. Maßgebliche Grundlage für die Berechnung der 5%-Beschrän- kung ist diejenige Gesamtvergütung (wie in folgender Ziffer definiert), die zum Zeitpunkt der jeweils jüngsten Verwirkung einer Vertragsstrafe aktuell ist.

35.9. Die Gesamtvergütung bestimmt sich wie folgt:

a) Die Gesamtvergütung ergibt sich entweder aus (1) dem erwarteten Netto-Ge- samtpreis kalkuliert auf Basis der von der KfW geschätzten Auftragsmenge(n) und der vom Auftragnehmer dafür angebotenen Preise oder (2) dem im Angebot des Auftragnehmers genanntem Netto-Gesamtpreis, wobei jeweils auf die Angebots- bewertung der KfW einschließlich der dabei zugrunde gelegten Gesamtvertrags- laufzeit abzustellen ist.

b) Sofern die tatsächlich abgerechnete Gesamtvergütung diese erwartete Gesamt- vergütung überschreitet, gilt, dass die zum jeweiligen Zeitpunkt insgesamt abge- rechnete Vergütung als Gesamtvergütung heranzuziehen ist.

36. Sprache

Vertragssprache sowie Sprache für sämtliche Kommunikation zwischen den Parteien ist Deutsch.

37. (Mindest-)Laufzeit; Beginn der Leistungserbringung; ordentliche Kündigung

37.1. Der Vertrag kommt mit Zugang des Zuschlagschreibens beim Auftragnehmer zustande.

37.2. Die Leistungserbringung des Auftragnehmers – dies meint seinen Beginn mit der in Zif- fer 5.2.1 der Leistungsbeschreibung beschriebenen Konzeption des Einführungspro- jekts – beginnt, nach Absprache mit der KfW im Einzelnen, frühestens am 04.01.2027 und spätestens am 01.02.2027.

37.3. Die im vertraglich geschuldeten Umfang gegebene Nutzbarkeit der SaaS-Lösung beginnt spätestens am 01.07.2027, unter der Voraussetzung, dass die KfW und die Unternehmen des KfW-Konzerns ihre dafür erforderlichen Mitwirkungspflichten/-obliegenheiten stets rechtzeitig erfüllen. Etwaige Verschiebungen aus anderen Gründen bedürfen der aus- drücklichen Vereinbarung in Textform.

37.4. Die Mindestlaufzeit des Vertrags endet am 31.12.2030. Die ordentliche Kündigung mit Wirkung vor diesem Zeitpunkt ist für beide Parteien ausgeschlossen. Der Vertrag läuft Seite 26 von 35

44

auf unbestimmte Zeit, bis ihn die KfW oder der Auftragnehmer (jeweils frühestens zum Ablauf der Mindestlaufzeit) in Textform ordentlich kündigt.

37.5. Die ordentliche Kündigungsfrist für die KfW beträgt drei (3) Monate zum Kalenderjahres- ende.

37.6. Die ordentliche Kündigungsfrist des Auftragnehmers beträgt ein (1) Jahr zum Kalender- jahresende.

37.7. Vertragliche und gesetzliche außerordentliche Kündigungsrechte bleiben unberührt.

38. Formerfordernis für Änderungen und Ergänzungen

Änderungen und Ergänzungen des Vertrages bedürfen zu ihrer Wirksamkeit der Text- form (§ 126b BGB) mit mindestens fortgeschrittener elektronischer Signatur. Das gilt auch für die Aufhebung dieses Formerfordernisses.

39. Ergänzende Kündigungsrechte und Beendigungsfolgen

39.1. Die KfW ist, unbeschadet anderer gesetzlicher Rechte, insbesondere des gesetzlichen Rechts zur Kündigung aus wichtigem Grund, zur fristlosen Kündigung des Vertrages auch dann berechtigt, wenn

a) der KfW aufgrund von schwerwiegenden Vertragsverletzungen des Auftragneh- mers eine weitere Zusammenarbeit nicht mehr zumutbar ist oder

b) der Auftragnehmer wiederholt oder schwerwiegend gegen vertragliche Vorgaben verstößt, insbesondere, soweit jeweils vereinbart, Vorgaben zur Leistungserbrin- gung, zum Personaleinsatz (einschließlich der Zuverlässigkeitsanforderungen an den Auftragnehmer oder die zur Leistungserbringung eingesetzten Personen), zu Nutzungsrechten und der Freiheit von Rechten Dritter, zur Vertraulichkeit, zum Datenschutz, zur Betrugs- und Korruptionsbekämpfung, zu Unterauftragnehmern oder zu (bank)aufsichtsrechtlichen Vorgaben, es sei denn, er hat den Verstoß nicht zu vertreten; bezüglich der Gewährleistung von Verfügbarkeit, Authentizität, Integrität, Sicherheit und Vertraulichkeit von Daten durch den Auftragnehmer, ge- nügt bereits eine nachweisliche Schwäche des Auftragnehmers für die Berechti- gung zur Kündigung durch die KfW, oder

c) Institutionen, die aufgrund von Rechtsvorschriften oder Normen zur Aufsicht über die oder zur Überwachung oder Prüfung der KfW oder Unternehmen des KfW- Konzerns berechtigt sind, einschließlich der Bundesbank, des Bundesfinanzmi- nisteriums und der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) der Europäischen Zentralbank (EZB) und etwaiger Abwicklungsbehörden und deren jeweilige Beauftragte (im Folgenden „Aufsichtsinstitutionen“), die Beendigung die- ses Vertrages verlangen oder eine Aufsichtsinstitution die KfW darauf hinweist, dass sie infolge der Bedingungen dieses Vertrages oder der mit diesem Vertrag verbundenen Umstände die KfW oder Unternehmen des KfW-Konzerns nicht mehr wirksam beaufsichtigen kann und sich die Vertragspartner nicht innerhalb eines Monats nach Mitteilung an den Auftragnehmer auf Änderungen des Vertra- ges einigen, die dem Hinweis der Aufsichtsinstitution abhelfen; oder

d) der Auftragnehmer den Zuschlag auf eine Rahmenvereinbarung oder auf den Auf- trag über die Prüfung des Konzern- und Jahresabschlusses der KfW oder des Jahresabschlusses eines anderen Unternehmens des KfW-Konzerns erhält oder

Seite 27 von 35

45

e) der KfW Umstände bekannt werden, die sie in einem Vergabeverfahren dazu be- rechtigen würden, den Auftragnehmer nach §§ 123 ff. GWB aus dem Vergabe- verfahren auszuschließen; oder

f) die KfW bei der Überwachung des Auftragnehmers ein erhöhtes IKT-bezogenes Risiko feststellt, das die Erbringung der Vertragsleistungen durch den Auftragneh- mer beeinträchtigen kann und der Auftragnehmer das Risiko nicht innerhalb von einem Monat nach Mitteilung beseitigt hat; oder

g) die KfW oder Dritte Schwächen des Auftragnehmers in Bezug auf sein allgemei- nes Risikomanagement und insbesondere bei der Art und Weise, in der er die Verfügbarkeit, Authentizität, Integrität, Sicherheit und Vertraulichkeit von Daten gewährleistet, feststellt, unabhängig davon, ob es sich um personenbezogene oder anderweitig sensible Daten oder nicht personenbezogene Daten handelt.

39.2. Die KfW kann entweder die Kündigung des gesamten Vertrages oder eine Teilkündigung in Bezug auf bestimmte Vertragsleistungen erklären. Sind Vertragsleistungen voneinan- der abhängig, muss (i) sich die Teilkündigung auch auf die abhängigen Vertragsleistun- gen beziehen oder (ii) die KfW gleichzeitig mit der Teilkündigung ihr Leistungsänderungs- recht im Hinblick auf die abhängigen Vertragsleistungen geltend machen.

39.3. Jede Kündigung bedarf zu ihrer Wirksamkeit der Textform (§ 126b BGB).

39.4. Wird der Vertrag gekündigt, bleiben sonstige gesetzliche oder vertragliche Rechte und Ansprüche unberührt.

39.5. Soweit vereinbart und gesetzliche oder vertragliche Regelungen nicht entgegenstehen, gelten die in diesem Vertrag benannten Vertraulichkeitspflichten, die Regelungen zum Datenschutz, zu Nutzungsrechten, zur Freiheit von Rechten Dritter, zu Rückgabe-, Ver- nichtungs- und Löschpflichten sowie zu Informations- und Prüfrechten auch nach Been- digung dieses Vertrages ohne zeitliche Beschränkung fort.

40. Herausgabe-, Vernichtungs- und Löschpflichten

40.1. Der Auftragnehmer ist verpflichtet, nach Ablauf der vertraglichen Aufbewahrungsfristen (insb. nach Ziffer 18.4 oder der Leistungsbeschreibung) und jederzeit auf Verlangen der KfW, die ihm überlassenen Gegenstände und Informationen sowie die von ihm erstellten Leistungsergebnisse (insbesondere Dokumentationen, Daten, Zwischenstände und Ko- pien) gemäß den folgenden Absätzen nach Wahl der KfW herauszugeben, zu vernichten oder zu löschen.

40.2. Der Auftragnehmer hat alles, was er herausgibt, in einem der weiteren Nutzung und Be- arbeitung zugänglichen Format ohne gesonderte Vergütung an die KfW oder einen von ihr benannten Dritten zu übermitteln. Daten hat der Auftragnehmer nach Wahl der KfW in dem von ihr angegebenen Format auf Datenträgern oder per Online-Übertragung her- auszugeben; soweit er keine Herausgabe vornimmt, legt er in Textform (§ 126b BGB) dar, auf welche Ausnahmen nach Ziffer 40.4 er sich beruft.

40.3. Der Auftragnehmer hat alles, was er vernichtet oder löscht, entsprechend den Vorgaben der KfW zu vernichten bzw. zu löschen. Auf Verlangen der KfW bestätigt der Auftragneh- mer jede Löschung/Vernichtung und ihren Umfang in Textform (§ 126b BGB); soweit er keine Löschung/Vernichtung vornimmt, legt er in Textform (§ 126b BGB) dar, auf welche Ausnahmen nach Ziffer 40.4 er sich beruft.

Seite 28 von 35

46

40.4. Herausgabe-, Vernichtungs- und Löschpflichten bestehen solange und soweit nicht, als gesetzliche Pflichten (z. B. berufsständische Aufbewahrungspflichten) einer Herausgabe, Vernichtung oder Löschung entgegenstehen. Ausgenommen von der Löschverpflichtung sind zudem Daten, die sich in automatisierten Back-Up Systemen befinden.

40.5. Zurückbehaltungsrechte des Auftragnehmers bestehen nicht.

40.6. Für personenbezogene Daten gelten, soweit vereinbart, bezüglich der Herausgabe, Ver- nichtung und Löschung vorrangig die Vorgaben der „Vereinbarung zur Auftragsverarbei- tung nach Art. 28 DSGVO“.

41. Beendigungsunterstützung

41.1. Im Falle der Beendigung dieses Vertrages ist der Auftragnehmer unabhängig von dem Grund der Beendigung verpflichtet, auf Verlangen der KfW die nachfolgend beschriebe- nen Unterstützungsleistungen auch nach Vertragsende zu erbringen („Unterstützungs- leistungen“). Gesetzliche nachvertragliche Pflichten bleiben unberührt.

41.2. Der Auftragnehmer ist im Rahmen der Unterstützungsleistungen verpflichtet, alle Ver- tragsleistungen bis zum Abschluss ihrer Überleitung auf die KfW oder einen von der KfW benannten Dritten weiter zu erbringen („Fortführungsleistungen“). Außerdem ist der Auftragnehmer verpflichtet, etwaige zusätzliche Leistungen, die im Rahmen der Überlei- tung erforderlich sind (z.B. die Migration auf ein anderes IT-System, der Einsatz von ent- sprechend qualifizierten Personen, die Durchführung von Schulungen und die Übertra- gung von auftragsbezogenen Kenntnissen; „zusätzliche Leistungen“), im Rahmen der Unterstützungsleistungen zu erbringen und dafür unverzüglich und vor Erbringung einen Kostenvoranschlag in Textform (§ 126b BGB) zu unterbreiten. Der Auftragnehmer ist ver- pflichtet, mit der KfW und von der KfW etwaig benannten Dritten eng zusammenzuarbei- ten und sicherzustellen, dass während der Überleitung seinerseits keine Störungen bei der Erbringung der Unterstützungsleistungen auftreten und dass die KfW oder der von ihr benannte Dritte in der Lage ist, die Vertragsleistungen bei Abschluss der Überleitung eigenständig und vollständig weiterzuführen.

41.3. Die vom Auftragnehmer im Rahmen der Unterstützungsleistungen zu erbringenden Fort- führungsleistungen werden regulär (d.h. wie die vorherigen Vertragsleistungen) abge- rechnet und vergütet. Soweit im Rahmen der Unterstützungsleistungen zusätzliche Leis- tungen zu erbringen sind und soweit nicht unter Bezugnahme auf diese Regelung anders von der KfW vorgegeben, werden die zusätzlichen Leistungen nach Aufwand gemäß den zum Zeitpunkt des Vertragsendes geltenden Konditionen abgerechnet, vorausgesetzt, die KfW hat den diesbezüglichen Kostenvoranschlag in Textform (§ 126b BGB) akzep- tiert. Der Auftragnehmer ist zur Abrechnung zusätzlicher Leistungen nicht berechtigt, falls die KfW aus wichtigem Grund oder fristlos gemäß Vertrag oder Gesetz gekündigt hat (oder zu einer solchen jeweiligen Kündigung berechtigt war, aber eine andere Kündigung erklärt hat), es sei denn, der Auftragnehmer hat die Kündigung durch die KfW nicht zu vertreten.

42. Benennung eines Zustellungsbevollmächtigten, bei Sitz im Drittstaat

Hat der Auftragnehmer seinen Sitz außerhalb des europäischen Wirtschaftsraums, hat der Auftragnehmer einen Zustellungsbevollmächtigten in der Bundesrepublik Deutsch- land zu benennen, an den Bekanntgaben und Zustellungen durch die BaFin bewirkt wer- den können. Im Falle einer Weiterverlagerung wesentlicher Aktivitäten und Prozesse gilt Entsprechendes für den Unterauftragnehmer.

Seite 29 von 35

47

43. Anwendbares Recht

Es gilt ausschließlich das Recht der Bundesrepublik Deutschland unter Ausschluss des Übereinkommens der Vereinten Nationen über den Internationalen Warenkauf (CISG). Dies gilt für sämtliche Ansprüche aus oder im Zusammenhang mit diesem Vertrag ein- schließlich außervertraglicher Ansprüche.

44. Gerichtsstand

44.1. Ist der Auftragnehmer Kaufmann im Sinne des HGB, eine juristische Person des öffent- lichen Rechts oder ein öffentlich-rechtliches Sondervermögen, oder hat er in der Bundes- republik Deutschland keinen allgemeinen Gerichtsstand, ist Frankfurt am Main – auch international – ausschließlicher Gerichtsstand für alle Streitigkeiten, die sich unmittelbar oder mittelbar aus oder im Zusammenhang mit dem Vertrag ergeben. Das Gleiche gilt, falls der Auftragnehmer Unternehmer (§ 14 BGB) ist.

44.2. Die KfW ist jedoch nach ihrer Wahl berechtigt, statt des in Ziffer 44.1 genannten Gerich- tes das Gericht am allgemeinen Gerichtsstand des Auftragnehmers oder am etwaigen sonstigen Erfüllungsort oder ein sonstiges gesetzlich zuständiges Gericht anzurufen, falls dieses jeweilige Gericht in einem Mitgliedsstaat der EU oder der EFTA liegt.

44.3. Unberührt bleibt das Recht der KfW zur Streitverkündung an den Auftragnehmer und die Wirksamkeit dieser Streitverkündung auch in Fällen, in denen die KfW von Dritten im Zusammenhang mit Leistungen des Auftragnehmers vor anderen Gerichten (inklusive Schiedsgerichte und anderer Streitbeilegungsstellen) als den in Ziffern 44.1 und 44.2 ge- nannten Gerichten in Anspruch genommen wird, falls erstgenannte Gerichte (bzw. Schiedsorte oder Orte der sonstigen Streitbeilegung) in Mitgliedsstaaten der EU oder der EFTA liegen.

44.4. Etwaige zwingende Bestimmungen, insbesondere über ausschließliche Gerichtsstände, bleiben unberührt.

45. Salvatorische Klausel

Sollten vertragliche Regelungen ganz oder teilweise nicht Vertragsbestandteil werden oder nichtig, unwirksam oder undurchführbar sein oder werden, berührt dies nicht die Wirksamkeit der übrigen Regelungen. Die Parteien werden sich auf wirksame bzw. durchführbare Regelungen einigen, die dem rechtlichen und wirtschaftlichen Inhalt und Zweck der betroffenen Regelungen am nächsten kommen. Erweisen sich vertragliche Regelungen als lückenhaft (z.B. wegen Übersehens regelungsbedürftiger Punkte), wer- den die Parteien sich zur Lückenfüllung auf Regelungen einigen, die dem rechtlichen und wirtschaftlichen Inhalt und Zweck des Vertrags am nächsten kommen.

Anlage: Betriebsrisikofragebogen Anlage: LKSG

Seite 30 von 35

48

Anlage LkSG

1. Menschenrechtliches Risiko (§ 2 Abs. 2 LkSG)

Der Auftragnehmer verstößt nicht gegen die folgenden Verbote:

1.1. das Verbot der Beschäftigung eines Kindes unter dem Alter, mit dem nach dem Recht des Beschäftigungsortes die Schulpflicht endet, wobei das Beschäftigungsalter 15 Jahre nicht unterschreiten darf; dies gilt nicht, wenn das Recht des Beschäftigungsortes hiervon in Übereinstimmung mit Artikel 2 Absatz 4 sowie den Artikeln 4 bis 8 des Übereinkom- mens Nr. 138 der Internationalen Arbeitsorganisation vom 26. Juni 1973 über das Min- destalter für die Zulassung zur Beschäftigung (BGBl. 1976 II S. 201, 202) abweicht;

1.2. das Verbot der schlimmsten Formen der Kinderarbeit für Kinder unter 18 Jahren; dies umfasst gemäß Artikel 3 des Übereinkommens Nr. 182 der Internationalen Arbeitsorga- nisation vom 17. Juni 1999 über das Verbot und unverzügliche Maßnahmen zur Beseiti- gung der schlimmsten Formen der Kinderarbeit (BGBl. 2001 II S. 1290, 1291):

1.2.1. alle Formen der Sklaverei oder alle sklavereiähnlichen Praktiken, wie den Ver- kauf von Kindern und den Kinderhandel, Schuldknechtschaft und Leibeigen- schaft sowie Zwangs- oder Pflichtarbeit, einschließlich der Zwangs- oder Pflicht- rekrutierung von Kindern für den Einsatz in bewaffneten Konflikten,

1.2.2. das Heranziehen, Vermitteln oder Anbieten eines Kindes zur Prostitution, zur Herstellung von Pornographie oder zu pornographischen Darbietungen,

1.2.3. das Heranziehen, Vermitteln oder Anbieten eines Kindes zu unerlaubten Tätig- keiten, insbesondere zur Gewinnung von und zum Handel mit Drogen,

1.2.4. Arbeit, die ihrer Natur nach oder aufgrund der Umstände, unter denen sie ver- richtet wird, voraussichtlich für die Gesundheit, die Sicherheit oder die Sittlichkeit von Kindern schädlich ist;

1.3. das Verbot der Beschäftigung von Personen in Zwangsarbeit; dies umfasst jede Arbeits- leistung oder Dienstleistung, die von einer Person unter Androhung von Strafe verlangt wird und für die sie sich nicht freiwillig zur Verfügung gestellt hat, etwa in Folge von Schuldknechtschaft oder Menschenhandel; ausgenommen von der Zwangsarbeit sind Arbeits- oder Dienstleistungen, die mit Artikel 2 Absatz 2 des Übereinkommens Nr. 29 der Internationalen Arbeitsorganisation vom 28. Juni 1930 über Zwangs- oder Pflichtar- beit (BGBl. 1956 II S. 640, 641) oder mit Artikel 8 Buchstabe b und c des Internationen Paktes vom 19. Dezember 1966 über bürgerliche und politische Rechte (BGBl. 1973 II S. 1533, 1534) vereinbar sind;

1.4. das Verbot aller Formen der Sklaverei, sklavenähnlicher Praktiken, Leibeigenschaft oder anderer Formen von Herrschaftsausübung oder Unterdrückung im Umfeld der Arbeits- stätte, etwa durch extreme wirtschaftliche oder sexuelle Ausbeutung und Erniedrigungen;

1.5. das Verbot der Missachtung der nach dem Recht des Beschäftigungsortes geltenden Pflichten des Arbeitsschutzes, wenn hierdurch die Gefahr von Unfällen bei der Arbeit oder arbeitsbedingte Gesundheitsgefahren entstehen, insbesondere durch:

1.5.1. offensichtlich ungenügende Sicherheitsstandards bei der Bereitstellung und der Instandhaltung der Arbeitsstätte, des Arbeitsplatzes und der Arbeitsmittel,

Seite 31 von 35

49

1.5.2. das Fehlen geeigneter Schutzmaßnahmen, um Einwirkungen durch chemische, physikalische oder biologische Stoffe zu vermeiden,

1.5.3. das Fehlen von Maßnahmen zur Verhinderung übermäßiger körperlicher und geistiger Ermüdung, insbesondere durch eine ungeeignete Arbeitsorganisation in Bezug auf Arbeitszeiten und Ruhepausen oder

1.5.4. die ungenügende Ausbildung und Unterweisung von Beschäftigten;

1.6. das Verbot der Missachtung der Koalitionsfreiheit, nach der

1.6.1. Arbeitnehmer sich frei zu Gewerkschaften zusammenzuschließen oder diesen beitreten können,

1.6.2. die Gründung, der Beitritt und die Mitgliedschaft zu einer Gewerkschaft nicht als Grund für ungerechtfertigte Diskriminierungen oder Vergeltungsmaßnahmen genutzt werden dürfen,

1.6.3. Gewerkschaften sich frei und in Übereinstimmung mit dem Recht des Beschäf- tigungsortes betätigen dürfen; dieses umfasst das Streikrecht und das Recht auf Kollektivverhandlungen;

1.7. das Verbot der Ungleichbehandlung in Beschäftigung, etwa aufgrund von nationaler und ethnischer Abstammung, sozialer Herkunft, Gesundheitsstatus, Behinderung, sexueller Orientierung, Alter, Geschlecht, politischer Meinung, Religion oder Weltanschauung, so- fern diese nicht in den Erfordernissen der Beschäftigung begründet ist; eine Ungleichbe- handlung umfasst insbesondere die Zahlung ungleichen Entgelts für gleichwertige Arbeit;

1.8. das Verbot des Vorenthaltens eines angemessenen Lohns; der angemessene Lohn ist mindestens der nach dem anwendbaren Recht festgelegte Mindestlohn und bemisst sich ansonsten nach dem Recht des Beschäftigungsortes;

1.9. das Verbot der Herbeiführung einer schädlichen Bodenveränderung, Gewässerverunrei- nigung, Luftverunreinigung, schädlichen Lärmemission oder eines übermäßigen Wasser- verbrauchs, die

1.9.1. die natürlichen Grundlagen zum Erhalt und der Produktion von Nahrung erheb- lich beeinträchtigt,

1.9.2. einer Person den Zugang zu einwandfreiem Trinkwasser verwehrt,

1.9.3. einer Person den Zugang zu Sanitäranlagen erschwert oder zerstört oder

1.9.4. die Gesundheit einer Person schädigt;

1.10. das Verbot der widerrechtlichen Zwangsräumung und das Verbot des widerrechtlichen Entzugs von Land, von Wäldern und Gewässern bei dem Erwerb, der Bebauung oder anderweitigen Nutzung von Land, Wäldern und Gewässern, deren Nutzung die Lebens- grundlage einer Person sichert;

1.11. das Verbot der Beauftragung oder Nutzung privater oder öffentlicher Sicherheitskräfte zum Schutz des unternehmerischen Projekts, wenn aufgrund mangelnder Unterweisung oder Kontrolle seitens des Unternehmens bei dem Einsatz der Sicherheitskräfte

1.11.1. das Verbot von Folter und grausamer, unmenschlicher oder erniedrigender Be- handlung missachtet wird,

Seite 32 von 35

50

1.11.2. Leib oder Leben verletzt werden oder

1.11.3. die Vereinigungs- und Koalitionsfreiheit beeinträchtigt werden;

1.12. das Verbot eines über die Nummern 1.1 bis 1.11 hinausgehenden Tuns oder pflichtwid- rigen Unterlassens, das unmittelbar geeignet ist, in besonders schwerwiegender Weise eine geschützte Rechtsposition zu beeinträchtigen und dessen Rechtswidrigkeit bei ver- ständiger Würdigung aller in Betracht kommenden Umstände offensichtlich ist.

Geschützte Rechtspositionen im Sinne dieser Nummer 1.12 sind solche, die sich aus den im Folgenden aufgelisteten Übereinkommen zum Schutz der Menschenrechte ergeben:

i. Übereinkommen Nr. 29 der Internationalen Arbeitsorganisation vom 28. Juni 1930 über Zwangs- oder Pflichtarbeit (BGBl. 1956 II S. 640, 641) (ILO-Übereinkommen Nr. 29),

ii. Protokoll vom 11. Juni 2014 zum Übereinkommen Nr. 29 der Internationalen Arbeits- organisation vom 28. Juni 1930 über Zwangs- oder Pflichtarbeit (BGBl. 2019 II S. 437, 438),

iii. Übereinkommen Nr. 87 der Internationalen Arbeitsorganisation vom 9. Juli 1948 über die Vereinigungsfreiheit und den Schutz des Vereinigungsrechtes (BGBl. 1956 II S. 2072, 2071) geändert durch das Übereinkommen vom 26. Juni 1961 (BGBl. 1963 II S. 1135, 1136) (ILO-Übereinkommen Nr. 87),

iv. Übereinkommen Nr. 98 der Internationalen Arbeitsorganisation vom 1. Juli 1949 über die Anwendung der Grundsätze des Vereinigungsrechtes und des Rechtes zu Kollektiv- verhandlungen (BGBl. 1955 II S. 1122, 1123) geändert durch das Übereinkommen vom 26. Juni 1961 (BGBl. 1963 II S. 1135, 1136) (ILO-Übereinkommen Nr. 98),

v. Übereinkommen Nr. 100 der Internationalen Arbeitsorganisation vom 29. Juni 1951 über die Gleichheit des Entgelts männlicher und weiblicher Arbeitskräfte für gleichwertige Arbeit (BGBl. 1956 II S. 23, 24) (ILO-Übereinkommen Nr. 100),

vi. Übereinkommen Nr. 105 der Internationalen Arbeitsorganisation vom 25. Juni 1957 über die Abschaffung der Zwangsarbeit (BGBl. 1959 II S. 441, 442) (ILO-Übereinkommen Nr. 105),

vii. Übereinkommen Nr. 111 der Internationalen Arbeitsorganisation vom 25. Juni 1958 über die Diskriminierung in Beschäftigung und Beruf (BGBl. 1961 II S. 97, 98) (ILO-Über- einkommen Nr. 111),

viii. Übereinkommen Nr. 138 der Internationalen Arbeitsorganisation vom 26. Juni 1973 über das Mindestalter für die Zulassung zur Beschäftigung (BGBl. 1976 II S. 201, 202) (ILO-Übereinkommen Nr. 138),

ix. Übereinkommen Nr. 182 der Internationalen Arbeitsorganisation vom 17. Juni 1999 über das Verbot und unverzügliche Maßnahmen zur Beseitigung der schlimmsten For- men der Kinderarbeit (BGBl. 2001 II S. 1290, 1291) (ILO-Übereinkommen Nr. 182),

x. Internationaler Pakt vom 19. Dezember 1966 über bürgerliche und politische Rechte, (BGBl. 1973 II S. 1533, 1534) und

xi. Internationaler Pakt vom 19. Dezember 1966 über wirtschaftliche, soziale und kultu- relle Rechte (BGBl. 1973 II S. 1569, 1570).

Seite 33 von 35

51

2. Umweltbezogenes Risiko (§ 2 Abs. 3 LkSG)

Der Auftragnehmer verstößt zudem nicht gegen die folgenden Verbote:

2.1. das Verbot der Herstellung von mit Quecksilber versetzten Produkten gemäß Artikel 4 Absatz 1 und Anlage A Teil I des Übereinkommens von Minamata vom 10. Oktober 2013 über Quecksilber (BGBl. 2017 II S. 610, 611) (Minamata-Übereinkommen);

2.2. das Verbot der Verwendung von Quecksilber und Quecksilberverbindungen bei Herstel- lungsprozessen im Sinne des Artikels 5 Absatz 2 und Anlage B Teil I des Minamata- Übereinkommens ab dem für die jeweiligen Produkte und Prozesse im Übereinkommen festgelegten Ausstiegsdatum;

2.3. das Verbot der Behandlung von Quecksilberabfällen entgegen den Bestimmungen des Artikels 11 Absatz 3 des Minamata-Übereinkommens;

2.4. das Verbot der Produktion und Verwendung von Chemikalien nach Artikel 3 Absatz 1 Buchstabe a und Anlage A des Stockholmer Übereinkommens vom 23. Mai 2001 über persistente organische Schadstoffe (BGBl. 2002 II S. 803, 804) (POPs-Übereinkommen), zuletzt geändert durch den Beschluss vom 6. Mai 2005 (BGBl. 2009 II S. 1060, 1061), in der Fassung der Verordnung (EU) 2019/1021 des Europäischen Parlaments und des Rates vom 20. Juni 2019 über persistente organische Schadstoffe (ABl. L 169 vom 26.5.2019, S. 45), die zuletzt durch die Delegierte Verordnung (EU) 2021/277 der Kom- mission vom 16. Dezember 2020 (ABl. L 62 vom 23.2.2021, S. 1) geändert worden ist;

2.5. das Verbot der nicht umweltgerechten Handhabung, Sammlung, Lagerung und Entsor- gung von Abfällen nach den Regelungen, die in der anwendbaren Rechtsordnung nach den Maßgaben des Artikels 6 Absatz 1 Buchstabe d Ziffer i und ii des POPs-Überein- kommens gelten;

2.6. das Verbot der Ausfuhr gefährlicher Abfälle im Sinne des Artikel 1 Absatz 1 und anderer Abfälle im Sinne des Artikel 1 Absatz 2 des Basler Übereinkommens über die Kontrolle der grenzüberschreitenden Verbringung gefährlicher Abfälle und ihrer Entsorgung vom 22. März 1989 (BGBl. 1994 II S. 2703, 2704) (Basler Übereinkommen), zuletzt geändert durch die Dritte Verordnung zur Änderung von Anlagen zum Basler Übereinkommen vom 22. März 1989 vom 6. Mai 2014 (BGBl. II S. 306, 307), und im Sinne der Verordnung (EG) Nr. 1013/2006 des Europäischen Parlaments und des Rates vom 14. Juni 2006 über die Verbringung von Abfällen (ABl. L 190 vom 12.7.2006, S. 1) (Verordnung (EG) Nr. 1013/2006), die zuletzt durch die Delegierte Verordnung (EU) 2020/2174 der Kom- mission vom 19. Oktober 2020 (ABl. L 433 vom 22.12.2020, S. 11) geändert worden ist

2.6.1. in eine Vertragspartei, die die Einfuhr solcher gefährlichen und anderer Abfälle verboten hat (Artikel 4 Absatz 1 Buchstabe b des Basler Übereinkommens),

2.6.2. in einen Einfuhrstaat im Sinne des Artikel 2 Nummer 11 des Basler Übereinkom- mens, der nicht seine schriftliche Einwilligung zu der bestimmten Einfuhr gege- ben hat, wenn dieser Einfuhrstaat die Einfuhr dieser gefährlichen Abfälle nicht verboten hat (Artikel 4 Absatz 1 Buchstabe c des Basler Übereinkommens),

2.6.3. in eine Nichtvertragspartei des Basler Übereinkommens (Artikel 4 Absatz 5 des Basler Übereinkommens),

2.6.4. in einen Einfuhrstaat, wenn solche gefährlichen Abfälle oder andere Abfälle in diesem Staat oder anderswo nicht umweltgerecht behandelt werden (Artikel 4 Absatz 8 Satz 1 des Basler Übereinkommens);

Seite 34 von 35

52

2.7. das Verbot der Ausfuhr gefährlicher Abfälle von in Anlage VII des Basler Übereinkom- mens aufgeführten Staaten in Staaten, die nicht in Anlage VII aufgeführt sind (Artikel 4A des Basler Übereinkommens, Artikel 36 der Verordnung (EG) Nr. 1013/2006) sowie

2.8. das Verbot der Einfuhr gefährlicher Abfälle und anderer Abfälle aus einer Nichtvertrags- partei des Basler Übereinkommens (Artikel 4 Absatz 5 des Basler Übereinkommens).

3. Präventionsmaßnahmen

Die Parteien haben die folgenden Präventionsmaßnahmen im Sinne der Vorschriften des LkSG vereinbart:

3.1. Die KfW kann von dem Auftragnehmer verlangen, dass die KfW den Auftragnehmer zur Durchsetzung seiner in der Ziffer 30.1 Sätze 2 und 3 dieses Vertrages eingegangenen Zusicherungen schult (§ 6 Abs. 4 Nr. 3 LkSG). Über den Kreis der Schulungsteilnehmer stimmen sich die KfW und der Auftragnehmer rechtzeitig vor der Schulung ab.

3.2. Die KfW ist berechtigt, die Einhaltung der in der Grundsatzerklärung verlangten men- schenrechtsbezogenen und umweltbezogenen Erwartungen und deren angemessene Adressierung entlang der Lieferkette zu überprüfen (§ 6 Abs. 4 Nr. 4 LkSG; Ziffer 30.1 dieses Vertrages). Der Auftragnehmer hat diese Überprüfung zu dulden und diese in an- gemessener Art und Weise zu unterstützen. Der Auftragnehmer hat auf Verlangen der KfW insbesondere

3.2.1. die notwendigen Informationen und Unterlagen zur Verfügung zu stellen,

3.2.2. das Betreten und das Besichtigen seiner Betriebsgrundstücke, Geschäftsräume sowie Wirtschaftsgebäude zu dulden und

3.2.3. die Einsichtnahme sowie Prüfung geschäftlicher Unterlagen und Aufzeichnun- gen zu gestatten.

3.3. Das Betreten, Besichtigen sowie die Einsichtnahme und Prüfung hat während der übli- chen Geschäfts- oder Betriebszeiten zu erfolgen. Die KfW kann sich bei der Wahrneh- mung ihrer in dieser Ziffer geregelten Rechte eines Dritten bedienen. Der Auftragnehmer ist berechtigt, geeignete Maßnahmen zum Schutz seiner Betriebs- und Geschäftsge- heimnisse und zum Schutz von Vertraulichkeit bzgl. anderer Kundendaten zu treffen.

Seite 35 von 35

53

Besondere Vertragsbedingungen für Cloud (BVB Cloud)

Inhaltsverzeichnis

1. Leistungsgegenstand ................................................................................................................... 2

2. Art und Umfang der Leistungen ................................................................................................... 2

2.1. Software as a Service (SaaS*) ................................................................................................ 2

2.2. Art und Umfang der initialen und sonstigen Leistungen .......................................................... 3

3. Leistungsort ................................................................................................................................... 3

4. Weisungsrechte ............................................................................................................................. 4

5. Zugriff/Speicherplatz ..................................................................................................................... 4

6. Datensicherungsservice/Backup/Herausgabeanspruch ........................................................... 4

7. Verfügbarkeit .................................................................................................................................. 5

8. Reportingpflichten ......................................................................................................................... 6

9. Änderung der Leistung nach Vertragsschluss durch den Auftragnehmer ............................. 6

10. Nutzungsrechte.......................................................................................................................... 7

11. Rechte des Auftraggebers bei Mängeln der Leistungen ....................................................... 8

12. Zurückbehaltungs- und Leistungsverweigerungsrechte ...................................................... 8

13. Begriffsbestimmungen (gelten, falls und soweit nicht in der Leistungsbeschreibung abweichend geregelt; in derartigen Fällen geht die Leistungsbeschreibung insoweit vor) ......... 8

Seite 1 von 11

54

1. Leistungsgegenstand

1.1. Die Leistungen des Auftragnehmers umfassen

a) Software as a Service (SaaS)* und

b) sonstige, mit den vorgenannten Leistungen in Zusammenhang stehende Leistun- gen, wie zum Beispiel initiale Leistungen.

1.2. Soweit der Auftragnehmer bei der Leistungserbringung im Auftrag Daten des Auftragge- bers verarbeitet und/oder hostet, ist dies Teil der geschuldeten Leistungen.

1.3. Der Auftragnehmer ist verpflichtet, seine Leistungen ständig mit geeigneten technischen Mitteln (Monitoring*) zu überwachen. Die Reportingpflicht aus Ziffer 8 wird hierdurch nicht erweitert.

1.4. Der Auftragnehmer stellt die Leistungen frei von schädlicher/-n Software/Funktionen zur Verfügung. Dies gilt auch für etwaige der KfW überlassene Software (z.B. Zugangssoft- ware*). Der Auftragnehmer gewährleistet darüber hinaus, dass die Leistungen frei von Funktionen sind, die die Integrität, Vertraulichkeit und Verfügbarkeit der Daten der KfW oder von der KfW eingebrachter anderer Daten bzw. von ihr eingebrachter Software ge- fährden und den Vertraulichkeits- oder Sicherheitsinteressen der KfW zuwiderlaufen, wie insbesondere durch

a) Funktionen zum unerwünschten Absetzen/Ausleiten von Daten,

b) Funktionen zur unerwünschten Veränderung/Manipulation von Daten oder der Ablauflogik oder

c) Funktionen zum unerwünschten Einleiten von Daten oder unerwünschte Funkti- onserweiterungen.

1.5. Unerwünscht ist eine mögliche Aktivität einer Funktion, wenn die Aktivität so weder von der KfW in ihrer Leistungsbeschreibung gefordert, noch vom Auftragnehmer unter kon- kreter Beschreibung der Aktivität und ihrer Funktionsweise angeboten und von der KfW ausdrücklich akzeptiert wurde, noch den Anforderungen des Anforderungskataloges C5 genügt.

2. Art und Umfang der Leistungen

2.1. Software as a Service (SaaS*)

2.1.1. Soweit eine SaaS*-Leistung geschuldet ist, stellt der Auftragnehmer der KfW ab dem in Ziffer 37.3 AVB vereinbarten Bereitstellungszeitpunkt die im Vertrag ver- einbarte Anwendung zur Nutzung in einer vom Auftragnehmer betriebenen Cloudinfrastruktur einschließlich der notwendigen Zugänge zur Verfügung. Der Auftragnehmer sorgt für die vereinbarte Verfügbarkeit gemäß Ziffer 7.1, die ver- einbarte Qualität der Leistung (funktional und nicht-funktional) sowie für die Si- cherheit im Rahmen seines Verantwortungsbereichs während der gesamten Vertragslaufzeit. Insbesondere hat der Auftragnehmer die Cloudinfrastruktur und die Anwendung so zu dimensionieren, dass diese mit einer im Hinblick auf die zu erwartenden bzw. vereinbarten Zugriffe angemessenen Reaktions- und Ausführungsgeschwindigkeit, mit einem für die bestimmungsgemäße Nutzung ausreichenden bzw. mit dem vereinbarten Speicherplatz verfügbar ist, mit aktu- ellen Sicherheitspatches und auch im Übrigen mit den vereinbarten Anforderun- gen zur Verfügung steht. Seite 2 von 11

55

2.1.2. Die KfW wird ohne vorherige Zustimmung des Auftragnehmers keine Penetrati- onstests in der jeweiligen Cloudinfrastruktur durchführen oder autorisieren.

2.1.3. Soweit vereinbart, ist der Auftragnehmer zur Installation und Integration der im Vertrag vereinbarten Programmstände* der Anwendung verpflichtet. Dies erfolgt jeweils innerhalb angemessener Frist, nachdem der Programmstand* verfügbar ist, jedoch unter Beachtung von Ziffer 2.1.6.

2.1.4. Soweit vereinbart, ist der Auftragnehmer verpflichtet, Programmstände* zur Um- setzung von Änderungen solcher Rechtsvorschriften und technischer Normen zu installieren und zu integrieren, die die Nutzbarkeit der Anwendung für den bestimmungsgemäßen Gebrauch beeinflussen. Im Vertrag können darüber hin- aus weitere Fälle vereinbart sein, in denen Programmstände* zu installieren und zu integrieren sind. Sind derartige Programmstände* nicht verfügbar, hat der Auftragnehmer diese zu erstellen bzw. erstellen zu lassen.

2.1.5. Soweit eine Verpflichtung nach Ziffer 2.1.3 und/oder 2.1.4 besteht, installiert und integriert der Auftragnehmer die geschuldeten Programmstände* innerhalb an- gemessener Zeit vor, spätestens aber mit dem Inkrafttreten der jeweiligen Vor- schrift oder Norm bzw. dem Zeitpunkt der vorgesehenen Änderung bzw. Anpas- sung. Erfolgt dies nicht spätestens zu diesen Terminen, ist der Auftragnehmer unbeschadet davon verpflichtet, der KfW eine Übergangslösung bereitzustellen. Soweit ihm beides zu diesen Terminen zeitlich nicht zumutbar ist, hat die Erbrin- gung innerhalb einer angemessenen Frist zu erfolgen.

2.1.6. Der Auftragnehmer ist verpflichtet, die KfW zur Vermeidung von Inkompatibilitä- ten, Unterbrechungen und sonstigen Störungen rechtzeitig (beispielsweise per E-Mail oder über die Administrationskonsole) über die Absicht von Systeman- passungen zu unterrichten.

2.2. Art und Umfang der initialen und sonstigen Leistungen

2.2.1. Der Auftragnehmer schuldet initiale Leistungen zur Herbeiführung der Betriebs- bereitschaft*. Einzelheiten ergeben sich aus der Leistungsbeschreibung.

2.2.2. Der Auftragnehmer erbringt ferner die in der Leistungsbeschreibung beschrie- benen sonstigen Leistungen.

3. Leistungsort

3.1. Die Speicherung und sonstige Verarbeitung von Daten der KfW* durch den Auftragneh- mer erfolgt ausschließlich innerhalb der EU und des EWR oder in anderen Staaten, so- lange und soweit der betreffende andere Staat durch einen rechtsgültigen Angemessen- heitsbeschluss der Europäischen Kommission im Sinne des Art. 45 Abs. 1 DSGVO er- fasst ist, es sei denn, die KfW hat in der Administrationskonsole (Self-Service-Portal o.ä.) zusätzlich weitere Regionen für die Leistungen ausgewählt. Die Verarbeitung von Meta- daten im Sinne des Anforderungskataloges C5 (in Version 2020: Ziffer 5.6 (Regelbe- trieb (OPS)), OPS-11) ist unabhängig von Satz 1 nach dessen Maßgabe möglich, soweit die dort geforderten Maßnahmen zur sicheren Handhabung der Metadaten tatsächlich umgesetzt sind; für personenbezogene Metadaten gelten die Regelungen zur Verarbei- tung personenbezogener Daten vorrangig.

3.2. Jede Verlagerung in ein sonstiges Drittland bedarf der vorherigen schriftlichen Zustim- mung der KfW in Textform (§ 126b BGB) und der Umsetzung weiterer Übermittlungsan- forderungen nach Art. 44 ff. DSGVO.

Seite 3 von 11

56

3.3. Der Auftragnehmer hat jede Änderung des Leistungsortes nach Regionen und Länder sowie Angabe der Stadt der Rechenzentren der KfW vor Wirksamwerden der Änderung in Textform (§ 126b BGB) anzuzeigen.

4. Weisungsrechte

Die KfW ist berechtigt, dem Auftragnehmer bezüglich der Erbringung aller Vertragsleis- tungen nicht-arbeitsrechtliche Weisungen zu erteilen. Weisungen können allgemein oder für den Einzelfall ergehen. Die Weisungen können textlich oder auf technischem Weg, beispielsweise mittels Managementkonsole oder Application-Programming-Interfaces (APIs), ergehen.

5. Zugriff/Speicherplatz

5.1. Der Zugriff auf die Leistung erfolgt über das öffentliche Internet mit einem marktüblichen Web-Browser ohne unangemessene oder marktunübliche Browser-Einstellungen und ohne spezielle Zugriffssoftware. Der Übergabepunkt ist das Gateway des Auftragneh- mers in das Internet.

5.2. Ist der Zugriff auf die Leistung mit einer speziellen Zugriffssoftware vereinbart, ist der Auftragnehmer verpflichtet, diese der KfW rechtzeitig zur Verfügung zu stellen.

5.3. Der Auftragnehmer ist verpflichtet, den Zugriff auf die Daten der KfW* durch unberech- tigte Stellen und Personen mit angemessenen Maßnahmen zu verhindern.

5.4. Der Zugriff des Auftragnehmers oder Dritter auf Daten der KfW* ist nur in den vereinbar- ten Fällen gestattet und auf das für diese Fälle erforderliche Maß zu beschränken. Auf Anforderung der KfW hat der Auftragnehmer die dazu von ihm ergriffenen Maßnahmen innerhalb angemessener Frist darzustellen.

5.5. Soweit die KfW die Größe des ihr zu Verfügung stehenden Speicherplatzes nicht selbst bestimmen kann, z.B. durch Konfiguration des Dienstes, und auch keine bestimmte Größe vereinbart ist, stellt der Auftragnehmer für die vertragsgemäße Nutzung der Leis- tung ausreichenden Speicherplatz zur Verfügung.

6. Datensicherungsservice/Backup/Herausgabeanspruch

6.1. Soweit die Erstellung von Backups der Daten der KfW* vereinbart ist, ist der Auftragneh- mer verpflichtet, auf Anforderung der KfW in angemessener Frist eine Wiederherstellung von Dateien aus einem Backup auf den von der KfW gewünschten vorhandenen Stand vorzunehmen.

6.2. Die Leistung ist so auszugestalten, dass die Daten der KfW* entweder zu jeder Zeit selbstständig durch diese oder, soweit dies aus technischen Gründen nicht möglich ist, mit Unterstützung durch den Auftragnehmer aus der Cloudinfrastruktur in einem markt- üblichen Austauschformat exportiert werden können. Auch der Export von durch die KfW bestimmten Teilen der Daten muss derart möglich sein. Soweit die Daten verschlüsselt sind, ist diese Pflicht nur dann erfüllt, wenn die KfW über den Schlüssel verfügt. Für den Export der Daten und deren Sicherung beim Export ist die KfW verantwortlich.

Seite 4 von 11

57

7. Verfügbarkeit

7.1. Der Auftragnehmer schuldet die vereinbarte Verfügbarkeit der Leistung am geschuldeten Übergabepunkt unter Verwendung des vereinbarten Zugriffs während der Betriebszeit*. Die Anbindung des Rechenzentrums des Auftragnehmers an den Übergabepunkt ist so ausreichend zu dimensionieren, dass die Nutzung der Leistung auch unter vertraglich vereinbarter Maximallast (z.B. einem vereinbarten Mengengerüst oder einer anderen ver- einbarten Dimensionierung) nicht eingeschränkt ist.

Der Prozentsatz der Verfügbarkeit wird nach folgender Formel berechnet:

𝑉𝑒𝑟𝑓ü𝑔𝑏𝑎𝑟𝑘𝑒𝑖𝑡 = (𝐺𝑒𝑠𝑎𝑚𝑡𝑧𝑒𝑖𝑡 𝑀𝑖𝑛𝑢𝑡𝑒𝑛 - 𝐴𝑢𝑠𝑓𝑎𝑙𝑙𝑧𝑒𝑖𝑡 𝑀𝑖𝑛𝑢𝑡𝑒𝑛)/𝐺𝑒𝑠𝑎𝑚𝑡𝑧𝑒𝑖𝑡 𝑀𝑖𝑛𝑢𝑡𝑒𝑛*100

Die Gesamtzeit Minuten ergibt sich aus der vereinbarten Betriebszeit* je Kalendermonat. Ausfallzeit* sind diejenigen Minuten, an denen die KfW innerhalb der Betriebszeiten* keine Konnektivität zu der vom Auftragnehmer bereit zu stellenden Cloudinfrastruktur herstellen kann oder die betroffene Leistung für mehr als einen unwesentlichen Teil der Nutzer insgesamt nicht oder nicht in allen ihren wesentlichen Grundfunktionalitäten zur Verfügung steht.

7.2. Zeiten der geplanten Nichtverfügbarkeit mindern die Verfügbarkeit nicht, falls sie der KfW mit einem Vorlauf von mindestens 5 Arbeitstagen vom Auftragnehmer angekündigt wer- den. Jedoch gilt Satz 1 nicht, falls die Nichtverfügbarkeit in eine vereinbarte Kernbetriebs- zeit* fällt.

7.3. Bezüglich der Verfügbarkeit gilt Folgendes:

a) Der Auftragnehmer schuldet während der Betriebszeit* eine Verfügbarkeit von mindestens der Verfügbarkeitsklasse* VK1 im Bezugszeitraum.

b) Der Bezugszeitraum ist der Kalendermonat.

c) Alle Zeitangaben verstehen sich als Angaben nach mitteleuropäischer Zeit (MEZ) bzw. Sommerzeit (MESZ).

d) Die Betriebszeit* ist die Zeit von Montag bis Sonntag von 0:00 bis 24:00 Uhr.

e) Ausfallzeiten*, die auf einem der folgenden Ereignisse beruhen, mindern die Ver- fügbarkeit nicht:

Seite 5 von 11

58

• Probleme innerhalb des Netzwerks oder der Infrastruktur der KfW oder von von ihr beauftragten Dritten,

• Ausfall/Beeinträchtigung der Netzanbindung der KfW,

• Ausfälle/Beeinträchtigungen, die auf dem Handeln oder Unterlassen der KfW oder eines nicht vom Auftragnehmer beauftragten Dritten beruhen,

• nicht vertragsgemäße Nutzung der Leistung des Auftragnehmers durch die KfW,

• Versäumnisse der KfW, vereinbarte Vorgaben zu erforderlichen Konfiguratio- nen und Architekturen einzuhalten sowie fehlerhafte Eingaben beziehungs- weise Anweisungen durch Nutzer der KfW,

• Handlungen nicht autorisierter Nutzer, soweit die Handlungsmöglichkeit des nicht autorisierten Nutzers der KfW zuzurechnen ist (bspw. durch die Nichtbe- achtung angemessener Sicherheitsverfahren),

• Aussetzen des Zugangs durch einen Sicherheitsvorfall* zum Schutz auch der KfW, sofern die internen Richtlinien (operative Maßnahmen), die Grundlage der Erfüllung der C5 Anforderungen sind, vergleichbar mit den IT-Grundschutz Bausteinen DER.2.X „Security Incident Management“ des BSI sind und auf- grund der Schwere des Sicherheitsvorfalls* eine Aussetzung als Maßnahme erlauben,

• Ereignisse, die auf höherer Gewalt beruhen und nicht durch angemessene Maßnahmen des Auftragnehmers kompensiert werden können.

f) Der Auftragnehmer ist für die Messung der Verfügbarkeit verantwortlich.

8. Reportingpflichten

8.1. (Siehe Leistungsbeschreibung.)

9. Änderung der Leistung nach Vertragsschluss durch den Auftragnehmer

9.1. Um die Funktionalität der Leistungen zu verbessern oder die Leistungen dem Stand der Technik anzupassen, kann der Auftragnehmer die Leistungen nach Vertragsbeginn ohne Zustimmung der KfW anpassen. Eine solche Änderung darf aber nicht dazu führen, dass der KfW die ursprünglich vereinbarten Funktionalitäten nicht mehr zur Verfügung stehen oder ursprünglich vereinbarte Anforderungen nur noch eingeschränkt erfüllt werden oder neue rechtliche Verpflichtungen für die KfW entstehen. Änderungen des Leistungsum- fanges, welche eine Reduktion des Leistungsumfangs gegenüber dem Stand zum Zeit- punkt des Vertragsschlusses beinhalten, sind nur insoweit zulässig, als eine Teilkündi- gung des Vertrages gemäß den vertraglichen oder gesetzlichen Regelungen zulässig wäre.

9.2. Der Auftragnehmer muss der KfW geplante Änderungen des Leistungsumfanges mit ei- nem Vorlauf von mindestens 30 Kalendertagen vor Produktivstellung mindestens in Text- form (§ 126b BGB) mitteilen.

9.3. In der Leistungsbeschreibung genannte Leistungsänderungsgründe bleiben unberührt.

Seite 6 von 11

59

10. Nutzungsrechte

10.1. Der Auftragnehmer räumt der KfW mit Bereitstellung das

a) nicht ausschließliche,

b) zeitlich auf die Vertragslaufzeit beschränkte,

c) nach der vertraglichen Vereinbarung ordentlich und im Übrigen nur außeror- dentlich kündbare oder aussetzbare,

d) mit Ausnahme der Übertragbarkeit an die Unternehmen des KfW-Konzerns (im Wege der konzerninternen Weitergabe durch die KfW, siehe Ziffer 1.1 AVB) nicht übertragbare Recht

ein, die Leistung einschließlich etwaig zur Nutzung der Leistung zur Verfügung gestellter Zugangssoftware* unter Berücksichtigung etwaiger im Vertrag vorgesehener quantitati- ver Metriken wie Useranzahl, Volumen etc. zu nutzen. Das heißt auch, die zur Verfügung gestellte Software temporär zu speichern und zu laden, sie anzuzeigen und ablaufen zu lassen, soweit dies zur bestimmungsgemäßen Nutzung der Leistung erforderlich ist. Dies gilt auch, soweit hierfür Vervielfältigungen notwendig werden.

10.2. Das Nutzungsrecht besteht weltweit bis auf diejenigen Länder, in denen der Auftragneh- mer aufgrund staatlicher Rechtsakte (beispielsweise Exportbeschränkungen) die jewei- lige Leistung nicht allgemein anbietet und der Zugang zu den Leistungen bestimmungs- gemäß nicht möglich ist. Bestimmungsgemäß ist der Zugang nicht möglich, wenn bei einer zutreffenden Geolokalisierung der Zugang für alle Kunden in dem betreffenden Land aufgrund staatlicher Rechtsakte gesperrt ist. Der Auftragnehmer wird der KfW auf Anforderung unverzüglich die Länder nennen, in denen der Auftragnehmer die Leistun- gen aufgrund vorgenannter Regelung nicht verfügbar macht. Die vorgenannten Rechte gelten unbeschadet weitergehender Rechte an individuell zu erbringenden Leistungen gemäß Ziffer 10.3.

10.3. Soweit individuelle Leistungen vereinbart sind, räumt der Auftragnehmer der KfW an den betreffenden Leistungen (z.B. Konfigurationsleistungen) jeweils mit der Erbringung das nicht ausschließliche, örtlich unbeschränkte, in jeder beliebigen Hard- und Softwareum- gebung ausübbare, übertragbare, dauerhafte, unwiderrufliche und unkündbare Recht ein, die individuellen Leistungen im Original oder in abgeänderter, übersetzter, bearbei- teter oder umgestalteter Form zu nutzen, abzuändern, zu übersetzen, zu bearbeiten oder auf anderem Wege umzugestalten, auf einem beliebigen bekannten Medium oder in an- derer Weise zu speichern, zu vervielfältigen, auszustellen, in körperlicher oder unkörper- licher Form zu verbreiten, mit Ausnahme eines etwaig überlassenen Quellcodes zu ver- öffentlichen, durch Dritte bestimmungsgemäß nutzen zu lassen, für die KfW betreiben zu lassen, nicht nur für eigene Zwecke zu nutzen, sondern auch zur Erbringung von gewerb- lichen und nicht gewerblichen Leistungen an Auftraggeber gemäß §§ 99 bis 101 GWB sowie nicht gewerbliche Leistungen an sonstige Dritte.

10.4. Sofern und soweit durch die Nutzung der Leistungen durch die KfW Daten, Datenbanken oder Datenbankwerke oder andere Ergebnisse (z.B. Software, Dokumente) entstehen, stehen der KfW alle Rechte aus Ziffer 10.3 an den von ihr neu generierten Werken mit der Maßgabe zu, dass sie diese Rechte ausschließlich hält und die dort vereinbarten Beschränkungen der Rechte der KfW, insbesondere zur Veröffentlichung sowie zur Nut- zung auch für Leistungen an Dritte nicht gelten. Soweit die von der KfW neu generierten Werke Leistungen des Auftragnehmers (z.B. Bibliotheken) als integralen Bestandteil

Seite 7 von 11

60

umfassen oder die Wahrnehmung der Rechte an den Werken die Nutzung von Leistun- gen des Auftragnehmers erfordert, verbleibt es in Bezug auf die Nutzung solcher Leis- tungen des Auftragnehmers bei den jeweiligen Rechten gemäß Ziffer 10.1. bzw. Zif- fer 10.3. Die KfW räumt dem Auftragnehmer an den von der KfW neu generierten Wer- ken, mit denen sie die Leistung nutzt oder die sie in die Leistung einbringt, maximal auf die Vertragslaufzeit befristete Rechte ein, diese Werke ausschließlich zur Vertragserfül- lung und im dafür erforderlichen Umfang zu nutzen.

10.5. Soweit die Inanspruchnahme von Leistungen durch die KfW nach Vertragsende verein- bart ist, stehen ihr die hierfür erforderlichen Nutzungsrechte zu.

10.6. Die KfW räumt dem Auftragnehmer und den an der Leistungserbringung beteiligten Drit- ten die zur Erbringung der Leistungen erforderlichen Rechte an den/der von ihr einge- brachten Daten und Software ein.

11. Rechte des Auftraggebers bei Mängeln der Leistungen

11.1. Für die Zeit, in der die Nutzbarkeit der Leistung wegen eines Mangels oder einer Schlechtleistung gemindert ist, hat die KfW nur eine angemessen herabgesetzte Vergü- tung für die Leistung zu entrichten, soweit für diese Schlechtleistung nicht eine andere Kompensation (wie Nichterfüllungsgutschriften) vereinbart ist.

11.2. Die sonstigen gesetzlichen Ansprüche der KfW wegen Mängeln oder Schlechtleistung bleiben unberührt.

12. Zurückbehaltungs- und Leistungsverweigerungsrechte

Zurückbehaltungs- und Leistungsverweigerungsrechte des Auftragnehmers sind ausge- schlossen, es sei denn, die KfW bestreitet die zugrunde liegenden Gegenansprüche nicht oder diese sind rechtskräftig festgestellt. Dies gilt auch für ein etwaiges Vermieterpfand- recht in Bezug auf gehostete Daten und Anwendungen der KfW.

13. Begriffsbestimmungen (gelten, falls und soweit nicht in der Leistungsbeschrei- bung abweichend geregelt; in derartigen Fällen geht die Leistungsbeschreibung insoweit vor)

Seite 8 von 11

61

Seite 9 von 11

62

Seite 10 von 11

63

Seite 11 von 11

64

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

VERTRAG ÜBER

Cloudbasierte Softwarelösung zur teilweisen Digita-

lisierung des KYC-Prozesses

KFW-2026-0029

BESONDERE VERTRAGSBEDINGUNGEN FÜR INFORMATIONSSI-

CHERHEIT

BEZÜGLICH CLOUD SERVICES: SAAS (SOFTWARE-AS-A-SER-

VICE)

1. GRUNDSATZ FÜR INFORMATIONSSICHERHEITS-MAßNAHMEN 1.1 Die KfW legt mit dem vorliegenden Dokument (inkl. Anlagen) Mindestanforderungen an das Schutzniveau der Informationssicherheits-Maßnahmen fest, die im Rahmen der Leistungserbringung eingehalten werden müssen. Das vorgegebene Mindest- schutzniveau kann auch durch abweichende, aber gleichwertige Maßnahmen erfüllt werden. 1.2 Die Wahl geeigneter Maßnahmen im Rahmen des eigenen Informationssicherheits- managements obliegt dem Auftragnehmer. Der Auftragnehmer gewährleistet, dass bei der Leistungserbringung durchgehend Maßnahmen zum Schutz der Informatio- nen der Unternehmen des KfW-Konzerns umgesetzt werden, die für die Einhaltung des in diesem Dokument (inklusive Anlage) festgelegte Mindestschutzniveaus sor- gen und unter Berücksichtigung des jeweiligen Standes der Technik, der Art, des Umfangs und der Zwecke der Verarbeitung der Informationen sowie der Eintritts- wahrscheinlichkeit und Schwere des Risikos für eine Gefährdung der Informations- sicherheit (Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Informatio- nen) getroffen worden sind. 1.3 Alle Referenzen auf den BSI Cloud Computing Compliance Criteria Catalogue - C5 in diesem Dokument beziehen sich auf die Version C5:2020. Alle Referenzen auf ISO Controls in diesem Dokument beziehen sich auf die Version DIN ISO 27001:2022. 1.4 Informationen im Sinne dieser Bestimmungen sind Informationen, die dem Auftrag- nehmer von der KfW oder einem Unternehmen des KfW-Konzerns zugänglich ge- macht werden, sowie sämtliche Informationen und Erkenntnisse, die er durch die oder gelegentlich der Zusammenarbeit mit der KfW oder einem Unternehmen des KfW-Konzerns auf Grundlage dieses Vertrages gewinnt, insbesondere auch Ge- schäfts- oder Betriebsgeheimnisse des KfW-Konzerns, seiner Kunden und sonsti- gen Geschäftspartner und umfassen sowohl elektronische Daten als auch Informa- tionen, die nicht in elektronischer Form vorliegen. 1.5 Die Ziffer 4 bis 9 dieses Dokuments setzen Vorgaben der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor (DORA) sowie der zugehö- rigen Delegierten Rechtsakte und Durchführungsrechtsakte um und sind dement- sprechend auszulegen.

2. ALLGEMEINE ANFORDERUNGEN AN DIE INFORMATIONSSICHERHEIT 2.1 Die definierten Soll-Sicherheitsmaßnahmen (insb. angemessene Organisations- struktur, geeignete Prozesse, technische und organisatorische Maßnahmen), die im

Seite 1

65

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

Rahmen der Leistungserbringung zur Anwendung kommen, müssen geeignet sein, um ein dem Finanzsektor angemessenes IT- und Informationssicherheitsniveau un- ter Einhaltung der regulatorischen Anforderungen zu erreichen. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 5.31) 2.2 Die im Rahmen der Leistungserbringung zur Anwendung kommenden Soll-Sicher- heitsmaßnahmen müssen den Anforderungen der Normenreihe ISO 27001 / 27002 entsprechen und aus Best Practices, den Ergebnissen der Informationssicherheit- Risikoanalysen, (Security) Audits und Informationssicherheitsvorfällen abgeleitet sein. Darüber hinaus müssen die Soll-Sicherheitsmaßnahmen den Anforderungen der Basiskriterien des Cloud Computing Compliance Controls Catalog - C5 des Bun- desamts für Sicherheit in der Informationstechnik (BSI https://www.bsi.bund.de/) entsprechen, welche insbesondere Sicherheitsanforderungen in Cloud-Umgebun- gen konkretisieren. Dabei gilt die Normenreihe ISO 27001 / 27002 jeweils in der aktuellen Version nach Ablauf einer angemessenen Übergangsfrist, jedoch spätestens 2 Jahre nach Inkraft- treten einer neuen Version. Gleiches gilt für die Basiskriterien sowie in dieser Ver- tragsanlage vereinbarte Zusatzkriterien des Cloud Computing Compliance Controls Catalog - C5 des Bundesamts für Sicherheit in der Informationstechnik. Sollte der Auftragnehmer nicht innerhalb von 2 Jahren (vorbehaltlich einer anderen vom Gesetzgeber vorgegebenen Umsetzungsfrist, die in jedem Fall einzuhalten ist) ab der Veröffentlichung des Nachfolgedokumentes gegenüber der KfW auf Anforde- rung erklären, dass er die neuen und die geänderten Anforderungen erfüllt, hat die KfW ein mit einer Frist von einem Monat auszuübendes Sonderkündigungsrecht be- zogen auf die betroffenen Leistungen. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 5.31) 2.3 Der Auftragnehmer setzt einen Informationssicherheitsbeauftragten bzw. Hauptver- antwortlichen für die Informationssicherheit im Unternehmen mit direktem Berichts- weg zur Geschäftsleitung fortlaufend ein. (KfW-spezifische Vorgabe zusätzlich zu. ISO Control 5.2) 2.4 Der Auftragnehmer stellt der KfW eine zentrale Ansprechperson für Belange der In- formationssicherheit für die Vertragslaufzeit zur Verfügung. (KfW-spezifische Vor- gabe zusätzlich zu ISO Control 5.19) 2.5 Der Auftragnehmer führt in regelmäßigen Abständen und zumindest jährlich Schu- lungen zur Informationssicherheit für alle seine Mitarbeiter und sonstige zur Leis- tungserbringung eingesetzte Personen, welche an der Verarbeitung von Informatio- nen im Rahmen der Leistungserbringung beteiligt sind, im Rahmen eines fortdau- ernden Awarenessprogramms zur Gewährleistung eines angemessenen Informati- onssicherheitsbewusstseins (insbesondere zum vertraulichen Umgang mit Informa- tionen sowie zu Malware- und Phishing-Attacken) durch. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 6.3) 2.6 Die zur Leistungserbringung eingesetzte IT-Infrastruktur muss auf allen Ebenen re- gelmäßig, mindestens wöchentlich, durch einen Schwachstellen-Scanner (CVE- Vergleich) und einen APT-Scanner (Analyse der Systeme nach Einbruchspuren) nachweislich gescannt werden. (KfW-spezifische Vorgabe zusätzlich zu ISO-Control 8.8)

3. ERGÄNZENDE ANFORDERUNGEN AN DIE INFORMATIONSSICHERHEIT 3.1 Der Auftragnehmer erbringt die Leistungen zusätzlich zu den Vorgaben der Ziffer 2 dieser Besonderen Vertragsbedingungen unter Einhaltung der folgenden Zusatzkri- terien des Cloud Computing Compliance Criteria Catalogue - C5.

Seite 2

66

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

4. PROGRAMME DER KFW ZUR IKT-SICHERHEIT UND SCHULUNGEN (Art. 30 Abs. 2 i in Verbindung mit Art. 13 Abs. 6 DORA) 4.1 Der Auftragnehmer bestimmt auf Verlangen der KfW einzelne zur Leistungserbrin- gung eingesetzte Personen, einschließlich solcher Personen, die in leitender Funk- tion beteiligt sind, zur planmäßigen oder ad hoc Teilnahme und Mitwirkung an von der KfW angebotenen Programmen zur Sensibilisierung für die Sicherheit der Infor- mations- und Kommunikationstechnologien (IKT) sowie an Schulungen zur digitalen operationalen Resilienz. 4.2 Der Auftragnehmer wird die Inhalte der Programme und Schulungen bei der Erbrin- gung der Vertragsleistungen an die KfW beachten. Sofern dafür eine Änderung der Vertragsleistungen oder dieses Vertrages erforderlich wird, informiert der Auftrag- nehmer die KfW hierüber unverzüglich.

5. IKT-BEZOGENE VORFÄLLE GEMÄẞ DORA: DEFINITIONEN 5.1 Ein „IKT-bezogener Vorfall“ im Sinne dieses Vertrages ist ein nicht geplantes Ereig- nis bzw. eine entsprechende Reihe verbundener Ereignisse, das bzw. die die Si- cherheit der Netzwerk- und Informationssysteme beeinträchtigt und nachteilige Aus- wirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von In- formationen der Unternehmen des KfW-Konzerns oder auf die für die Unternehmen des KfW-Konzerns erbrachten Leistungen hat. 5.2 Ein „schwerwiegender IKT-bezogener Vorfall“ im Sinne dieses Vertrages ist ein IKT- Vorfall, der umfassende nachteilige Auswirkungen auf die Netzwerk- und Informati- onssysteme hat, die kritische oder wichtige Funktionen der Unternehmen des KfW- Konzerns unterstützen.

5.3 „Netzwerk- und Informationssysteme“ im Sinne dieses Vertrages umfassen a. elektronische Kommunikationsnetze im Sinne des Artikels 2 Nummer 1 der Richt- linie (EU) 2018/1972, d.h. Übertragungssysteme, ungeachtet dessen, ob sie auf einer permanenten Infrastruktur oder zentralen Verwaltungskapazität basieren, und gegebenenfalls Vermittlungs- und Leitwegeinrichtungen sowie anderweitige Ressourcen – einschließlich der nicht aktiven Netzbestandteile –, die die Über- tragung von Signalen über Kabel, Funk, optische oder andere elektromagneti- sche Einrichtungen ermöglichen, einschließlich Satellitennetze, feste (leitungs- und paketvermittelt, einschließlich Internet) und mobile Netze, Stromleitungssys- teme, soweit sie zur Signalübertragung genutzt werden, Netze für Hör- und

Seite 3

67

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

Fernsehfunk sowie Kabelfernsehnetze, unabhängig von der Art der übertragenen Informationen, b. ein Gerät oder eine Gruppe miteinander verbundener oder zusammenhängender Geräte, die einzeln oder zu mehreren auf der Grundlage eines Programms die automatische Verarbeitung digitaler Daten durchführen, oder c. digitale Daten, die von den – in den Buchstaben a und b genannten – Elementen zum Zwecke ihres Betriebs, ihrer Nutzung, ihres Schutzes und ihrer Pflege ge- speichert, verarbeitet, abgerufen oder übertragen werden.

6. IKT-VORFALLSMELDUNG (Art. 19 und 20 DORA) 6.1 Zur Erfüllung von Meldepflichten der KfW gegenüber Aufsichtsbehörden meldet der Auftragnehmer der KfW jeden IKT- bezogenen Vorfall gem. Ziffer 5 unverzüglich und spätestens innerhalb von zwölf (12) Stunden nach Kenntnis des Auftragnehmers an die KfW per E-Mail an die E- lagezentrum@kfw.de sowie an die IPEX per E-Mail an die :ipex.informationssicherheitsereignisse@kfw.de. Der Inhalt der Meldung enthält mindestens die in Anlage IKT-Vorfallsmeldung Teil 1 enthaltenen Inhalte. 6.2 Sofern es sich bei dem IKT-bezogenen Vorfall nach Bewertung der KfW um einen schwerwiegenden IKT-bezogenen Vorfall handelt, wird die KfW dies dem Auftrag- nehmer unverzüglich mitteilen. In diesem Fall hat der Auftragnehmer a. der KfW innerhalb von sechzig (60) Stunden nach Kenntnis des IKT-bezogenen Vorfalls durch den Auftragnehmer mindestens die weiteren Angaben gemäß IKT- Vorfallsmeldung Teil 2 bereitzustellen und b. die nach vorstehendem Buchstaben a übermittelten Angaben aktualisiert bereit- zustellen, sobald sich der Status oder die Handhabung des ursprünglichen IKT- bezogenen Vorfalls erheblich geändert hat sowie im Falle einer entsprechenden Aufforderung der Aufsichtsbehörden sowie c. im Falle einer Beendigung des IKT-bezogenen Vorfalls am Tag nach der Beendi- gung und ansonsten innerhalb von 21 Tagen ab Kenntnis des Auftragnehmers sowie danach auf Verlangen der KfW sämtliche Informationen gemäß Anlage IKT-Vorfallsmeldung Teil 3 bereitzustellen, die die KfW für den durch die KfW zu erstellenden Abschlussbericht benötigt. 6.3 Die Datenfelder gemäß der Anlage IKT-Vorfallsmeldung basieren auf den entspre- chenden Delegierten Rechtsakte der EU zu DORA. Die KfW hat das Recht in Bezug auf die Anlage IKT-Vorfallsmeldung zur Beachtung der jeweils aktuellen Vorgaben für Meldeverpflichtungen Datenfelder einseitig zu ändern.

7. UNTERSTÜTZUNG BEI IKT-BEZOGENEN VORFÄLLEN (Art. 30 Abs. 2 f DORA) 7.1 Der Auftragnehmer wird der KfW im Falle eines IKT-bezogenen Vorfalls – einschließ- lich schwerwiegender IKT-bezogener Vorfälle –, der in Zusammenhang mit den ver- einbarten Vertragsleistungen steht, unverzüglich Unterstützung zur Beseitigung des IKT-bezogenen Vorfalls und seiner Folgen gewähren. 7.2 Diese Unterstützung umfasst unter anderem die Bereitstellung von technischem Support, die Analyse des IKT-bezogenen Vorfalls, die Umsetzung notwendiger So- fortmaßnahmen zur Eindämmung und Behebung des IKT-bezogenen Vorfalls und die Mitwirkung am Lessons Learned Prozess. 7.3 Für die Unterstützung erhält der Auftragnehmer keine zusätzliche Vergütung; es sei denn, die KfW hat den Eintritt des IKT-bezogenen Vorfalls zu vertreten. In diesem Fall kann der Auftragnehmer eine angemessene Vergütung auf Grundlage der für den Vertrag geltenden Konditionen oder, wenn der Vertrag keine Regelung enthält, eine am Sitz der KfW ortsübliche Vergütung, verlangen.

Seite 4

68

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

8. MITWIRKUNG BEIM THREAT LEAD PENETRATION TESTING (TLPT) (Art. 30 Abs. 3 d DORA)

entfällt

9. SCHWACHSTELLEN UND PATCH MANAGEMENT (Art. 9 Abs. 2 DORA in Verbindung mit Art. 10 Abs. 2 d Delegierte Verordnung (EU) 2024/1774 der Kommission) entfällt

10. SONSTIGE INFORMATIONSSICHERHEITSVORFÄLLE 10.1 Alle sonstigen sicherheitskritischen Ereignisse, die keine IKT-bezogenen Vorfälle sind (z.B., weil diese sich nicht auf Netzwerk- und Informationssysteme beziehen) und aus denen eine mögliche Kompromittierung hinsichtlich der Verfügbarkeit, Au- thentizität, Integrität und Vertraulichkeit der Informationen in Bezug zu den Unter- nehmen des KfW-Konzerns resultieren könnte, sind der KfW zu melden. (KfW-spe- zifische Vorgabe zusätzlich zu ISO Control 6.8) 10.2 Der Auftragnehmer meldet dies der KfW unverzüglich, spätestens innerhalb von achtundvierzig (48) Stunden nach Bekanntwerden an die Organisationseinheit für Informationssicherheit der KfW an die lagezentrum@kfw.de sowie an die Organi- sationseinheit für Informationssicherheit der IPEX an die ipex.informationssicher- heitsereignisse@kfw.de. (KfW-spezifische Vorgabe zusätzlich zu ISO Control 6.8)

11. WEITERE INFORMATIONSPFLICHTEN 11.1 Während der Vertragslaufzeit und nach Beendigung des Vertrages (gemäß den Vor- gaben der Allgemeinen Vertragsbedingungen, soweit vereinbart) hat der Auftrag- nehmer auf Verlangen der KfW Prüfberichte zu datenschutz- und informationssi- cherheitsrelevanten Vorgängen und Vorfällen, welche Informationen in Bezug zu den Unternehmen des KfW-Konzerns tangieren, vorzulegen. (KfW-spezifische Vor- gabe zusätzlich zu ISO Control 6.8) 11.2 Während der Vertragslaufzeit muss der Auftragnehmer auf Verlangen der KfW Nachweise vorlegen, welche die Konformität seines ISMS und seines IT- und Infor- mationssicherheitsniveaus mit den gesetzlichen und vertraglichen Vorgaben bestä- tigen. Hierzu kann der Auftragnehmer beispielsweise folgende Nachweise vorlegen: a. gültiges BSI C5-Testat (inkl. aktuelle C5-Berichterstattung vom Typ2), oder b. gültige ISO 27001-Zertifizierung (inkl. Statement of Applicability), oder c. gültige ISAE 3402-Zertifizierung (mit Bezug zum Informationssicherheitsmanage- ment), oder d. gleichwertig anzusehende gültige Zertifizierungen oder e. wenn keine geeigneten Zertifizierungen vorliegen: sonstige geeignete Prüfbe- richte, welche die Funktionsfähigkeit der leistungsbezogenen ISMS-relevanten Prozesse und Verfahren belegen. 11.3 Auf Anforderung der KfW legt der Auftragnehmer außerdem Nachweise über die regelmäßige Durchführung von Audits/Überprüfungen der Sicherheitsmaßnahmen, Penetrationstests und Schwachstellenanalysen vor, z. B. durch entsprechende Be- stätigungen von Auditoren. 11.4 Soweit die Vertragsbeziehung mit dem Auftragnehmer für die KfW eine Auslagerung im Sinne des KWG darstellt, umfasst die Nachweispflicht des Auftragnehmers u.a. auch Berichte zu IT-Prüfungen im Rahmen der Jahresabschlussprüfung (bspw. IDW PS 330, 340 etc.); Nachweise über den Betrieb eines ISMS (bspw. ISO 27001 / IT-

Seite 5

69

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

Grundschutz), Prüfungen der Wirksamkeit des internen Kontrollsystems beim Dienstleister (bspw. ISAE 3402, SAS 70, IDW PS 951, etc.) sowie Revisions- und Prüfberichte, die im Zusammenhang mit der vereinbarten Vertragsleistung stehen. 11.5 Soweit Geschäftsgeheimnisse des Auftragnehmers betroffen sind, werden die Ver- tragsparteien ein Vorgehen vereinbaren, das die gegenseitigen Interessen jeweils ausreichend berücksichtigt.

12. Prüfrechte der KfW 12.1 Zudem ist der Auftragnehmer auf Verlangen der KfW verpflichtet, entsprechend qua- lifiziertem bzw. ausgebildetem Personal der KfW oder einer von der KfW beauftrag- ten unabhängigen zur Berufsverschwiegenheit verpflichteten Prüfungsgesellschaft während der normalen Geschäftszeiten Zugang insbesondere zu den für die Verar- beitung der Informationen der Unternehmen des KfW-Konzerns relevanten Verar- beitungssystemen, Einrichtungen sowie zu unterstützenden Unterlagen zu gewäh- ren, sodass die KfW prüfen kann, ob der Auftragnehmer die gesetzlichen und ver- traglichen Vorgaben einhält. Die Prüfung ist unter Beachtung der Sicherheitsbe- lange und der Betriebs- und Geschäftsgeheimnisse des Auftragnehmers sowie der weiteren Kunden des Auftragnehmers durchzuführen. Der Auftragnehmer ist verant- wortlich dafür, dass die Prüfung gleichwohl effektiv und im erforderlichen Umfang erfolgen kann. Jede Partei trägt die ihr entstehenden Kosten für derartige Prüfungen selbst. Soweit zielführend, sollte sich die Prüfung an dem Leitfaden „Anwendung des BSI C5 durch Interne Revision und Informationssicherheit“ der ISACA Germany Chapter e.V. orientieren. Die Grundsätze von Verhältnismäßigkeit und Wirtschaft- lichkeit sind dabei grundsätzlich im Interesse aller Parteien zu wahren. 12.2 Die Prüfung hat mit angemessener Vorankündigung für den Auftragnehmer sowie unter Einhaltung der vertraglichen Vertraulichkeitsregeln zu erfolgen. Sie findet grundsätzlich, soweit kein besonderer Anlass besteht, nur einmal innerhalb eines 12 Monatszeitraums statt. Vor Beginn einer solchen Prüfung teilt die KfW den initialen Prüfungsgegenstand und den geplanten Umfang mit, damit der Auftragnehmer ent- sprechende Vorbereitungen treffen kann. Über Ort, Datum und Ansprechpartner stimmen sich die Parteien ab. 12.3 Etwaige sonstige vertragliche und gesetzliche Zugangs-, Informations- und Prüf- rechte sowie Kontrollmöglichkeiten der KfW bleiben unberührt und können auch in Hinsicht auf Informationssicherheit geltend gemacht werden.

13. VERTRAGSÄNDERUNGSRECHT 13.1 Der KfW steht während der gesamten Vertragslaufzeit das Recht zu, ihre Einstufung zu überprüfen und zu ändern a. welchen Schutzbedarf sie den dem Auftragnehmer im Rahmen der Leistungser- bringung überlassenen Informationen im Hinblick auf Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit einschließlich der Risikoeinschätzung zuordnet so- wie b. ob die Vertragsleistung im Sinne von DORA eine IKT-Dienstleistung darstellt oder kritische oder wichtige Funktionen der Unternehmen des KfW-Konzerns unter- stützt. 13.2 Eine Änderung der Einstufungen nach vorstehendem Absatz kann infolge veränder- ter tatsächlicher Gegebenheit, wie beispielsweise die Änderung der von dem Auf- tragnehmer erlangten Informationen, oder des Standes der Technik oder wegen ver- änderter rechtlicher Maßstäbe erfolgen. Bei einer veränderten Einstufung nach vor- stehendem Absatz steht der KfW während der gesamten Vertragslaufzeit das Recht zu, Änderungen dieses Dokuments und seiner Anlagen zu verlangen. Der Auftrag- nehmer hat solchen Verlangen unverzüglich in Textform (§126b BGB) zuzustimmen,

Seite 6

70

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

es sei denn, die Änderung ist für den Auftragnehmer unzumutbar oder liegt nicht innerhalb seiner Leistungsfähigkeit. 13.3 Im Übrigen gelten, soweit vereinbart, die Regelungen zu Vertragsänderungen ge- mäß den Allgemeinen Vertragsbedingungen.

Seite 7

71

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

Anlage: IKT-Vorfallsmeldung (1) Teil 1 – Inhalt der Erstmeldung

(2) Teil 2 – Inhalt der Zwischenmeldung

8

72

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

9

73

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

10

74

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein Gegebenenfalls Informationen im Zusammen- Die bereitgestellten Kompromittierungsindikatoren enthalten die folgenden Datenkategorien: hang mit dem IKT-bezogenen Vorfall, die dazu a) IP-Adressen; beitragen können, böswillige Aktivitäten inner- b) URL-Adressen; halb eines Netzwerks oder Informationssystems c) Domains; z u erkennen (Kompromittierungsindikatoren). d) Datei-Hashes; e) Daten zu Schadsoftware (Name der Schadsoftware, Dateinamen und ihre Speicherorte, spezifische Regist- rierungsschlüssel im Zusammenhang mit Schadsoftware-Aktivitäten); f) Daten zu Netzaktivitäten (Ports, Protokolle, Adressen, Referrer, User Agents, Header, spezifische Protokolle oder auffällige Muster im Netzwerkverkehr); g) Daten zu E-Mail-Nachrichten (Absender, Empfänger, Betreff, Header, Inhalt); h) DNS-Anfragen und Registrierungskonfigurationen; i) Nutzerkontoaktivitäten (Anmeldungen, Kontoaktivitäten privilegierter Nutzer, Rechteausweitung); j) Datenbankverkehr (Lesen/Schreiben), Anfragen für dieselbe Datei.

Diese Art von Informationen kann in der Praxis Daten umfassen, die sich unter anderem auf Indikatoren, die Muster im Netzwerkverkehr im Zusammenhang mit bekannten Angriffen/Botnetkommunikation beschreiben, IP-Adressen von mit Schadsoftware infizierten Rechnern (Bots), Daten über von Schadsoftware genutzte „Command and Control“-Server (in der Regel Domains oder IP-Adressen) und URLs in Bezug auf Phishing- Websites oder Websites, bei denen beobachtet wurde, dass sie für das Hosting von Schadsoftware oder Ex- ploit Kits genutzt werden, beziehen.

Dieses Feld ist verpflichtend für den Zwischenbericht und die Abschlussmeldung, wenn „Cybersicherheits-be- zogen“ in „Art des Vorfalls“ weiter oben angegeben wurde.

11

75

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein (3) Teil 3 – Inhalt der Abschlussmeldung

12

76

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein e) Softwareleistung: IKT-bezogene Vorfälle infolge von Softwarekomponenten, die aus anderen als den unter „Soft- warekompatibilität/-konfiguration“ genannten Gründen eine schlechte Leistung oder Ineffizienz aufweisen, einschließ- lich IKT-bezogener Vorfälle, die durch langsame Reaktionszeiten, übermäßigen Ressourcenverbrauch oder ineffiziente Abfragen, die sich auf die Leistung der Software oder des Systems auswirken, verursacht werden; f) Netzwerkkonfiguration: IKT-bezogene Vorfälle, die auf fehlerhafte oder falsch konfigurierte Netzwerkeinstellungen oder -infrastruktur zurückzuführen sind, einschließlich IKT-bezogener Vorfälle aufgrund von Netzwerkkonfigurations- fehlern, Routingproblemen, Fehlkonfigurationen der Firewall oder anderen netzwerkbezogenen Problemen, die die Konnektivität oder die Kommunikation beeinträchtigen; g) physische Schäden: IKT-bezogene Vorfälle, die durch physische Schäden an der IKT-Infrastruktur verursacht wer- den, die zu Systemversagen führen; h) Sonstiges (bitte angeben).

4. Menschliches Versagen (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Unterlassung (unbeabsichtigt); b) Irrtum; c) Fähigkeiten und Kenntnisse: IKT-bezogene Vorfälle, die durch mangelndes Fachwissen oder mangelnde Kompe- tenz im Umgang mit IKT-Systemen oder -Prozessen verursacht werden, was auf unzureichende Ausbildung, unzu- reichendes Wissen oder Qualifikationsdefizite im Hinblick auf die durchzuführenden Aufgaben oder die Bewältigung technischer Herausforderungen zurückzuführen sein kann; d) unzureichende personelle Ausstattung: IKT-bezogene Vorfälle, die durch einen Mangel an erforderlichen Ressour- cen, einschließlich Hardware, Software, Infrastruktur oder Personal, verursacht werden, einschließlich Situationen, in denen unzureichende Ressourcen zu operativen Ineffizienzen, Systemversagen oder der Unfähigkeit der Unterneh- men, die geschäftlichen Anforderungen zu erfüllen, führen; e) Fehlkommunikation; f) Sonstiges (bitte angeben).

5. Externes Ereignis (falls ausgewählt, eine oder mehrere der folgenden Optionen wählen): a) Naturkatastrophen/höhere Gewalt; b) Ausfälle bei Dritten; c) Sonstiges (bitte angeben).

13

77

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

14

78

BVB Informationssicherheit für Cloud Services Dokumentversion:11.06.2026 Ausprägung nach KFW-interner Einstufung SaaS/PaaS mit VIV 3-3-3, kwF-nein

15

79

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Leistungsbeschreibung

zum Vertrag

„Cloudbasierte Softwarelösung zur

teilweisen Digitalisierung des KYC-

Prozesses“

KfW 2026-0029

1

80

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Inhaltsverzeichnis

1 Ausgangssituation 5

2 Leistungsumfang 5

2.1 Gesamtumfang 5

2.2 Mandanten 7

3 Fachliche und technische Anforderungen 7

3.1 Funktionale Anforderungen 7

3.2 Nicht-funktionale / technische Anforderungen 8

3.2.1 Mandantenspezifische Domain ...................................................................8

3.2.2 Anforderungen an die Barrierearmut / BITV ...............................................9

3.2.3 Corporate Design .........................................................................................9

3.2.4 E-Mail-Hosting und Versand........................................................................9

3.2.5 Anforderungen an KI ....................................................................................9

4 Nutzungsumfang und -voraussetzungen 10

4.1 Komponenten 10

4.2 Metriken und Mengen 10

4.3 Umgebungen 12

4.4 Zugangs- und/oder Nutzungsvoraussetzungen 13

4.5 Provisionierung, SSO 13

4.6 Rollenkonzept und Berechtigungsverwaltung 14

4.7 Dokumentation 14

4.7.1 Herstellerseitige Dokumentation ...............................................................14

4.7.2 KfW-spezifische Dokumentation ...............................................................16

4.8 Schulungen 16

5 Einführungsprojekt zur Bereitstellung des KYC-Tools 16

5.1 Wissensvermittlung („Build-Together“-Ansatz“) im Rahmen des

Einführungsprojektes 17

5.2 Konzeption des Einführungsprojektes 17

5.2.1 Projektplan und agiles Vorgehen ..............................................................17

5.2.2 Meilensteine................................................................................................18

5.3 Projektinhalte 19

5.3.1 Deliverables ................................................................................................19

5.3.2 Einführung (Go Live) und Stabilisierungsphase .......................................25

5.3.3 Abnahme.....................................................................................................26

2

81

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

6 Betrieb der des KYC-Tools 26

6.1 Monitoring des Betriebs 26

6.2 Vorbeugende Maßnahmen zur Aufrechterhaltung der Betriebsfähigkeit 27

6.3 Service Desk und Servicezeit 27

6.4 Störungsbearbeitung 27

6.4.1 Störungsmeldung durch die KfW und Bearbeitung durch den

Auftragnehmer ...........................................................................................................27

6.4.2 Meldung einer Störung durch den Auftragnehmer und Bearbeitung.......28

6.4.3 Klassifizierung von Störungen ...................................................................28

6.4.4 Störungsbeseitigung ..................................................................................29

6.5 Service Level und Folgen von SLA-Verstößen 29

6.5.1 SLA 1: Verfügbarkeit ..................................................................................29

6.5.2 SLA 2: Reaktionszeit und Wiederherstellungszeit....................................29

6.5.3 SLA 3: Performance ...................................................................................29

6.5.4 SLA 4: Wiederherstellungszeit (Time to Repair) ......................................30

6.5.5 SLA 5 Zuverlässigkeit der KI .....................................................................30

6.5.6 SLA 6: Reporting ........................................................................................30

6.5.7 Anforderung Testumgebung ......................................................................30

6.5.8 Folgen von Service Level Verstößen ........................................................30

6.6 Lasttests 31

6.7 Änderungen und Aktualisierungen des Systems 31

6.7.1 Änderungen und Aktualisierungen, ausgelöst durch den Regulator .......32

6.7.2 Änderungen und Aktualisierungen ausgelöst durch Auftragnehmer .......32

6.7.3 Änderungen und Aktualisierungen ausgelöst durch KfW ........................32

7 Beratung zu Konfiguration und Anpassung des KYC-Tools 33

8 Governance-Modell 33

8.1 Steuerungsebenen 33

8.2 Ansprechpartner des Auftragnehmers 34

8.2.1 Rolle Hauptansprechpartner (HAP) ..........................................................34

8.2.2 Rolle Service Manager...............................................................................34

8.2.3 Rolle Key Account Manager ......................................................................34

8.3 Meetings 34

8.3.1 Operative Meetings im Einführungsprojekt ...............................................34

8.3.2 Governance-Meetings im Einführungsprojekt ..........................................35

3

82

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

8.3.3 Operative Meetings während der Betriebsphase .....................................35

8.3.4 Governance-Meetings in der Betriebsphase ............................................36

8.4 Reports 38

8.4.1 SLA-Report .................................................................................................38

8.5 Eskalationsmanagement 40

9 Kompetenzen des Personals 41

9.1 Grundkompetenzen 42

9.2 Spezielle Qualifikation gemäß Skill Level 42

10 Abkürzungsverzeichnis 45

11 Glossar 47

4

83

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

1 Ausgangssituation

Die KfW und ihre Konzernunternehmen sind verpflichtet, die auf sie jeweils

anwendbaren und aktuellen gesetzlichen und regulatorischen Anforderungen im

Zusammenhang mit der Identifizierung, Überprüfung und Überwachung von

Kundenbeziehungen einzuhalten. Hierzu zählen insbesondere Anforderungen im

Rahmen der Geldwäscheprävention sowie bankaufsichtsrechtliche Vorgaben.

Der Prozess umfasst – basierend auf den Anforderungen des Geldwäschegesetzes –

unter anderem:

• die Identifizierung von natürlichen und juristischen Personen und

sonstigen Gesellschaften

• die Identifizierung der für den Kunden auftretenden gesetzlichen

Vertreter und sonstigen Personen,

• die Ermittlung der Kontroll- und Eigentümerstruktur (inklusive

wirtschaftlich Berechtigte) des Kunden

Darüber hinaus steigen die Anforderungen an Dokumentation, Auditierbarkeit und

regulatorische Nachvollziehbarkeit kontinuierlich. Insbesondere im Hinblick auf

zukünftige aufsichtsrechtliche Anforderungen (z.B. das anstehende EU-AML-Paket)

sowie interne Kontrollmechanismen wird der KYC-Prozess weiter standardisiert und

digitalisiert sowie effizienter gestaltet. Die Leistungen des Auftragnehmers müssen mit

diesen steigenden Anforderungen mithalten können.

2 Leistungsumfang

2.1 Gesamtumfang

Gegenstand des Vertrages ist die Bereitstellung, die Implementierung und der Betrieb

einer cloudbasierten Softwarelösung zur Digitalisierung und Teilautomatisierung der

internen Know-Your-Customer Prozesse (KYC-Prozesse) in der Betriebsform

„Software as a Service“ (SaaS) (im Folgenden „KYC-Tool“ oder „Software“ genannt).

Die Software wird sowohl beim Onboarding neuer Kunden (Erstanlage) als auch bei

der Aktualisierung von bestehenden Geschäftsbeziehungen eingesetzt und muss die

vollständige Dokumentation von nationalen und internationalen Kundenbeziehungen

über den gesamten Lebenszyklus der Kundenbeziehung hinweg ermöglichen. Die

Software ist mandantenfähig, d.h. ermöglicht Multi-Tenancy. Sie verfügt über API-

Schnittstellen sowie eine benutzerfreundliche Webanwendung (UI/GUI), über die der

KYC-Prozess durchgeführt, gesteuert und dokumentiert können werden muss. Ein

Workflow unterstützt diesen Prozess umfassend und gewährleistet dabei hohe

Transparenz sowie revisionssichere Nachvollziehbarkeit. Die Anlage eines Kunden

bzw. einer neuen KYC-Prüfung in der Software bildet den Startpunkt des Prozesses.

Sie erfolgt auf Basis klar definierter Stammdaten mit eindeutiger Mandantenzuordnung

und stellt damit eine sichere sowie getrennte Verwaltung der Daten und Zugriffsrechte

sicher.

Wesentliche Bestandteile der Software sind zum einen die automatisierte und

manuelle Informations- und Dokumentenbeschaffung aus den im Leistungskatalog

beschriebenen Quellen, die den geldwäscherechtlichen Anforderungen gemäß der

Verordnung EU 2024/1624 entsprechen. Die Software verfügt über Schnittstellen zu

5

84

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

allen relevanten EU-Zentralregistern und Transparenzregistern und ermöglicht eine

automatische Aktualisierung der von dort bezogenen Dokumente. Soweit für die

Informations- und Dokumentenbeschaffung eine Registrierung erforderlich ist, führt

der Auftragnehmer diese im eigenen Namen durch. Soweit für die Informations- und

Dokumentenbeschaffung im Einzelfall Kosten anfallen, beschafft der Auftragsnehmer

diese im eigenen Namen auf eigene Rechnung und stellt sie der KfW zur Erstattung

der Auslagen in Rechnung. Dokumente mit einem Einzelpreis von mehr als 50 EUR

bedürfen der vorherigen Genehmigung durch die KfW. Diese Grenze kann die KfW im

Rahmen einer Vertragsänderung gem. Ziffer 9.1 der Allgemeinen Vertrags-

bedingungen anpassen. Zum anderen umfasst sie die Einholung von Informationen

vom Kunden mittels flexibler und konfigurierbarer Erfassungsmasken, in dem die

abgefragten Datenfelder festgelegt und angepasst werden können (Kundenportal).

Für die Analyse der benötigten Datenfelder und der Kontroll- und

Eigentümerstrukturen werden alle notwendigen Daten automatisiert, z.B. durch

Nutzung von KI-Elementen) aus den beschafften Dokumenten und Informationen

extrahiert und unter anderem visuell als Beteiligungsbaum dargestellt. Das KYC-Tool

ermöglicht eine strukturierte Erfassung, Validierung und Plausibilitätsprüfung der

Daten mittels konfigurierbarer Prüfmechanismen hinsichtlich Vollständigkeit, Format

und Konsistenz.

Das KYC-Tool muss sich in die bestehende Systemlandschaft der KfW integrieren

lassen und Schnittstellen zu relevanten Systemen bereitstellen, beispielsweise zu

Kernbanksystemen, Dokumentenmanagementsystemen, Compliance- und

Screening-Systemen, Identity- und Access-Management-Systemen.

Zur Sicherstellung von Nachvollziehbarkeit und Datensicherheit implementiert das

System eine detaillierte Rechte- und Rollenverwaltung.

Somit bietet das KYC-Tool eine ganzheitliche, konfigurierbare und

mandantenspezifisch anpassbare Softwareplattform, die die Prozesse im KYC-/EU-

AML-Kontext umfassend unterstützt und die Einhaltung regulatorischer Anforderungen

sicherstellt.

Der Auftragnehmer schuldet insbesondere die folgenden Leistungen:

• Bereitstellung einer Software für die Digitalisierung und Teilautomatisierung

des KYC-Prozesses mindestens im Funktionsumfang, wie in der vorliegenden

Leistungsbeschreibung und in der Anlage 1 „Leistungskata-

log“ beschrieben.

• Durchführung eines Projektes zur Einführung des KYC-Tools bei den

Unternehmen des KfW-Konzerns gem. Ziffer 1.1. der Allgemeinen

Geschäftsbedingungen, wie in Kapitel 5 beschrieben. Dabei ist die

Mandantenaufteilung gem. Kapitel 2.2 und Anforderungen gem. Kapitel 3

umzusetzen.

• Betrieb des KYC-Tools als „Software as a Service“ inklusive Monitoring,

Störungsbeseitigung, Support und Weiterentwicklung, wie in Kapitel 6

beschrieben.

• Schulung der internen Mitarbeiter der Unternehmen des KfW-Konzerns in der

Anwendung der Software, wie in Kapitel 4.8 beschrieben.

6

85

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

• Beratung sowie fachliche und technische Unterstützung während aller

Phasen des Software-Einsatzes, wie in Kapitel 7 beschrieben.

• Mitwirkung im Rahmen des Governance-Modells, wie in Kapitel 8

beschrieben.

2.2 Mandanten

Der Auftragnehmer erbringt die Leistung für zwei Mandantenumgebungen im Sinne

eines Multi-Tenancy-Cloud-Betriebs, Mandant 1 und Mandant 2 (und getrennt von

sämtlichen sonstigen Kunden des Auftragnehmers).

Es besteht eine Mandantentrennung hinsichtlich

• Datenhaushalt

• Workflow

• Benutzer, Berechtigungen und Berechtigungsstrukturen

• Oberfläche (GUI und Kundenportal), Masken, Dashboard und Layout

• Absenderadressen für Emails

• Subdomäne für die Erreichbarkeit der Anwendung

• Erforderliche Datenfelder, Dokumente und Informationen zur Ermittlung der

Eigentümer- und Kontrollstrukturen. Diese sind je Nutzer separat anpassbar.

• Schwellwerten und Berechnungsmethodik zur Ermittlung der Eigentümer- und

Kontrollstrukturen. Diese sind je Nutzer separat anpassbar.

Dem Mandanten Mandant 1 sind die Unternehmen des KfW-Konzerns

• KfW

• KfW Capital GmbH & Co. KG

zugeordnet.

Dem Mandanten Mandant 2 sind die Unternehmen des KfW-Konzerns

• KfW IPEX Bank GmbH, mit Ausnahme der Niederlassung London

• KfW IPEX Bank GmbH, Niederlassung London

• KfW IPEX-Bank Asia Ltd. (Singapur)

zugeordnet.

3 Fachliche und technische Anforderungen

Die vom Auftragnehmer geschuldeten fachlichen und technischen Funktionalitäten

werden bestimmt durch die in der Anlage 1 definierten Muss-Anforderungen und

durch die ebenfalls dort definierten Kann-Anforderungen; letztere schuldet der

Auftragnehmer nur, falls und soweit er sie in seinem Angebot ausgefüllt hat.

3.1 Funktionale Anforderungen

Im Rahmen des Einführungsprojektes sind die nachfolgend genannten Funktionen

und Schnittstellen für jeden Mandanten im Detail zu konzipieren, auszuprägen, und

zu testen.

Das KYC-Tool bildet den folgenden grundlegenden Workflow ab: Dabei dürfen

Methoden der künstlichen Intelligenz genutzt werden.

7

86

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

1. Fallanlage anhand eines Aufrufs einer bereitgestellten API ODER Fallanlage

anhand eines GUI-Eintrags durch die Benutzer

2. Soweit erforderlich: Nachbearbeitung der Fallanlage durch die Benutzer

3. Iterative automatisierte Dokumentenbeschaffung

3.1. Automatisierte Dokumentenanalyse

3.2. Automatisierte Ergebnisaufbereitung

3.3. Sofern weitere KYC-pflichtige juristische Personen identifiziert wurden, erfolgt

für jede dieser Personen eine Bearbeitung ab Schritt 3

3.4. Soweit Informationen im Rahmen der Analyse nicht erkannt wurden / nicht

vorhanden sind, sind diese zu sammeln

4. Nach Abschluss der Unterpunkte von 3:

4.1. Einholung aller unter 3.4 gesammelten Punkte sowie weitere erforderliche

Dokumente und Informationen beim Kunden

4.1.1. Aufbau Maske Kundenportal und

4.1.2. Bereitstellung Aktivierungslink für den Kunden und Pausierung des

Workflows bis zum Vorliegen neuer Dokumente oder Informationen.

4.1.3. Automatisierte Auswertung der vom Kunden, Benutzern oder über die

API bereitgestellten Dokumente und Daten

4.1.4. Automatisierte Ergänzung der Ergebnisaufbereitung

4.2. Qualitätssicherung / Korrektur der vorläufigen Ergebnisse durch Mitarbeiter der

Unternehmen des KfW-Konzerns, der Workflow reagiert erst auf Korrekturen,

pausiert sonst.

4.3. Soweit die Korrekturen aus 4.1oder 4.2 Auswirkungen auf die Menge der

automatisch beschaffbaren Informationen haben, werden diese in einem

erneuten Durchlauf ab Schritt 3 beschafft

5. Nach erfolgreicher QS und Freigabe durch Mitarbeiter der Unternehmen des KfW-

Konzerns:

5.1. Fallabschluss und Bereitstellung der Ergebnisdaten zum Download und zur

Abholung via API

Das KYC-Tool bietet folgende Analysemöglichkeiten via API

• Abfrage des Status eines Falls via API

• Abfrage des Status aller nicht abgeschlossenen Fälle via API

• Abfrage der Ergebnisdokumentation eines Falls via API

• Abfrage der Ergebnisdokumentation aller abgeschlossenen Fälle eines

Zeitraums

3.2 Nicht-funktionale / technische Anforderungen

3.2.1 Mandantenspezifische Domain

Das KYC-Tool muss vom Auftragnehmer unter einer mandantenspezifischen Sub-

Domain zur Verfügung gestellt werden, auf welche die KfW über eine eigene Domain

routen kann. Die KfW legt mit dem Auftragnehmer die Bezeichnung der hierfür zu

verwendenden Sub-Domains.

Die festgelegten Sub-Domains werden von der KfW eingerichtet und registriert. Der

Auftragnehmer hat der KfW unverzüglich die jeweils aktuellen IP-Adressen vom KYC-

Tool Frontend zu nennen, damit die KfW hierfür die DNS-Einträge einrichten kann.

8

87

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Zudem stellt der Auftragnehmer TLS-Zertifikate für die festgelegten Sub-Domains aus

und hinterlegt diese auf den Web-Servern des KYC-Tool Frontends.

Der Auftragnehmer teilt der KfW geplante Änderungen der IP-Adressen 8 Wochen im

Voraus mit, damit die KfW DNS-Einträge entsprechend rechtzeitig anpassen kann.

Wenn das KYC-Tool Frontend über die oben genannten Sub-Domains nicht erreichbar

ist (Ausfall), weil der KfW eine Änderung der IP-Adressen nicht rechtzeitig mitgeteilt

wird, zählen die Ausfallzeiten als Zeiten der Nichtverfügbarkeit im Sinne der

vereinbarten SLA und insoweit gelten die im Vertrag vereinbarten Rechtsfolgen für

SLA-Verstöße.

3.2.2 Anforderungen an die Barrierearmut / BITV

Die Frontend-Funktionalitäten müssen die Anforderungen an die Barrierefreiheit

gemäß den jeweils gültigen gesetzlichen Bestimmungen erfüllen, derzeit § 12a BGG

i.V.m. der Barrierefreie-Informationstechnik-Verordnung BITV 2.0 oder vergleichbar

(z.B. U.S. Revised Section 508, European EN 301 549 Standard, oder WCAF

Standards) sowie OCR-fähig (automatische Texterkennung) sein.

Die Umsetzung zur Wahrung der Barrierearmut / BITV2.0 ist vom Auftragnehmer zu

dokumentieren und auf Anforderung der KfW bereitzustellen.

3.2.3 Corporate Design

Bei der Konzeption und Umsetzung des KYC-Tools hat der Auftragnehmer sich mit

der KfW zur Darstellung des Frontends (Logo, Farbwerte und Schriftart)

mandantenspezifisch abzustimmen und die jeweils geltenden Corporate-Design-

Richtlinien der KfW einzuhalten. Der Auftragnehmer ist verpflichtet, diese Richtlinien

zu beachten und die Umsetzung der Corporate-Design Vorgaben im KYC-Tool mit der

KfW abzustimmen.

3.2.4 E-Mail-Hosting und Versand

Die folgenden Anforderungen müssen für den Versand von E-Mails aus dem KYC-

Tool eingehalten werden:

- Die Software muss E-Mails über fest definierte Internet-Mail-Server an die

ermittelten Empfänger verteilen.

- Der Auftragnehmer trägt, soweit seinerseits möglich, Sorge dafür, dass die

versendeten E-Mails beim Empfänger nicht als Spam eingestuft werden. Der E-

Mail-Versand erfolgt über die mandantenspezifisch von den von der KfW

vorgegebenen E-Mail-Adressen (z.B. ...@kfw.com oder ...@*.kfw.com).

- Der Internet-E-Mail-Server darf keine (dauerhafte) Weiterleitungs-Regel

implementieren.

3.2.5 Anforderungen an KI

Sofern KI-/ML-Komponenten für Datenextraktion, Klassifikation, Risikobewertung oder

sonstige Entscheidungsunterstützung eingesetzt werden, gewährleistet der

Auftragnehmer, dass:

• Modelle, Trainingsdaten und wesentliche Parameter dokumentiert und für

Audits nachvollziehbar sind,

9

88

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

• für KI-basierte Funktionen nachvollziehbare Ergebnisse (z. B. Scores,

Begründungen/Features) bereitgestellt werden (‚Explainability‘).

• keine unzulässige Diskriminierung oder Verzerrung (Bias) systematisch erzeugt

wird und dies regelmäßig überprüft wird,

• Modelländerungen einem geregelten Change- und Freigabeprozess

unterliegen (inkl. Test, Dokumentation, für die KfW optionale Rückkehr zum

Vormodell),

• Trainings- und Evaluationsdaten ausschließlich unter Beachtung von

Datenschutzrecht, Bankgeheimnis und vertraglichen Geheimhaltungspflichten

verarbeitet werden,

• Auf Weisung der KfW ein Betrieb ohne KI-Komponenten für kritische

Kernfunktionalitäten möglich bleibt.

4 Nutzungsumfang und -voraussetzungen

4.1 Komponenten

Der Auftragnehmer stellt den Unternehmen des KfW-Konzerns die in seinem Angebot

bezeichnete Software in der Betriebsform Software-as-a-Service zur Digitalisierung

der in Kapitel 2 Leistungsumfang beschriebenen Geschäftsprozesse und zur

Abdeckung der nach Kapitel 3 geschuldeten Funktionalitäten gemäß den Vorgaben

dieses Kapitels 4 bereit.

Die Bezeichnung der Software sowie die Versionsnummer, ggf. auch eine

Produktnummer, ergibt sich aus dem Angebot. Der Auftragnehmer stellt der KfW das

KYC-Tool auf Grundlage der in Kapitel 4.2 definierten Metriken bereit.

4.2 Metriken und Mengen

Der Auftragnehmer überlässt die Software auf Grundlage einer der folgenden Metriken

(oder einer Kombination aus diesen). Die jeweils angewandte Metrik ergibt sich aus

dem (insoweit vom Auftragnehmer ausgefüllten) Preisblatt. Die Überlassung hat

mindestens in der als Grundbedarf für die jeweilige Metrik benannten Menge zu

erfolgen. Der Grundbedarf bewirkt insofern eine Mindestvergütung, die unabhängig

vom abgerufenen Verbrauch erfolgt. Auf Anforderung der KfW hat der Auftragnehmer

die als Nachbeschaffungsoption benannte Menge zu überlassen. Mengenbasierte

Nachbeschaffungsoptionen können von der KfW beliebig oft gezogen werden.

Mandant: wie in Kapitel 2.2 beschrieben

Grundbedarf: 2 Mandanten

Nachbeschaffungsoption: 1 Mandant

Named User: bezeichnet eine natürliche Person, die zur Benutzung des KYC-

Tools berechtigt ist, unabhängig davon, ob diese Person das KYC-

Tool tatsächlich benutzt.

a) Rechte Administrator

(Benutzerinnen und Benutzer mit allen Rechten zur Bearbeitung von

Berechtigungen und zur Zuweisung von Benutzern zu Rechten innerhalb

des KYC-Tools):

Grundbedarf: 10 Named Rechte Administrator

Nachbeschaffungsoption: 1 Named Rechte Administrator

10

89

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

b) Fachlicher Administrator

(Benutzerinnen und Benutzer mit allen Rechten zur vertragsgemäßen

Konfiguration des KYC-Tools mit Ausnahme der Zuweisung von Rechten

zu Benutzern):

Grundbedarf: 10 Named Fachliche Administratoren

Nachbeschaffungsoption: 1 Fachliche Administratoren

c) Vollnutzer

(Standardbenutzerin bzw. Standardbenutzer mit Lese- und

Schreibrechten mit Ausnahme der administrativen Aktivitäten)

Grundbedarf: 70 Vollnutzer

Nachbeschaffungsoption: 1 Vollnutzer

d) Erfassungsuser

(Haben Zugriff auf die Kundenerfassungsmaske und kann KYC-Fälle

anlegen sowie Informationen und Dokumente für den Fachbereich

ergänzen. Die Nutzung erstreckt sich auf die Unterstützung und Zuarbeit

während des Prozesses, jedoch ohne vollumfängliche fachliche

Bearbeitungsrechte. Erfassungsuser können dabei nur an den Fällen

mitwirken, für die sie selbst verantwortlich sind oder für die ihnen eine

entsprechende Berechtigung erteilt wurde. Ohne Zugriff auf die vom

KYC-Tool generierten Ergebnisse)

Grundbedarf: 500 Erfassungsuser

Nachbeschaffungsoption: 1 Erfassungsuser

e) Gastuser

(Benutzerin bzw. Benutzer bei Kunden der Unternehmen des KfW-

Konzerns, die im Einzelfall und für begrenzte Zeit ergänzende

Dokumente oder Daten bereitstellen)

Grundbedarf: Unbegrenzte Menge Gastuser

Nachbeschaffungsoption: nicht anwendbar

Umgebung Die Software ist für den Einsatz auf einer (1) produktiven und drei

(3) nicht-produktiven Umgebungen zu überlassen (Grundbedarf).

Fallbasiert: bezeichnet eine fallbasierte Abrechnung basierend auf einem

Mindestvolumen pro Jahr. ein Fall umfasst den Prozess im KYC-

Tool von der Anlage durch ein einen Benutzer oder eine

Schnittstelle über die Feststellung und Überprüfung des

wirtschaftlichen Eigentümers – inklusive sämtlicher

Zwischengesellschaften und Beteiligungsebenen sowie aller

notwendigen Zwischenschritten/Aktualisierungen - bis hin zum

finalen Abschluss des Falls im KYC-Tool in Form einer Freigabe

durch ein Unternehmen des KfW-Konzerns. Die notwendigen

Softwaremodule, Dokumente, Anzahl Benutzerinnen und

Benutzer sind unbegrenzt, soweit sie nicht in anderen Preis-

positionen separat aufgeführt sind. Ein Fall wird einmalig bei

seiner Anlage vergütet.

Grundbedarf: 4.500 Fälle pro Kalenderjahr

Nachbeschaffungsoption: 100 Fälle für ein Kalenderjahr

11

90

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Dokumentenbeschaffung: Bezeichnet die Anzahl der während der

Fallbearbeitung aus Registern abzurufenden Dokumente. Sofern

ein Dokument während der Bearbeitung eines Falls mehrfach

abgerufen werden, wird es nur einmal gezählt. Dokumente, die

vom Kunden über die Portalseite, von den Anwendern der

Unternehmen des KfW-Konzerns über die UI manuell oder über

die API bereitgestellt werden, gehören nicht zur hier genannten

Dokumentenbeschaffung.

a) Automatisierte Dokumentenbeschaffung

(Unter der Handling Fee für Dokumentenbeschaffung wird eine

pauschale Bearbeitungsgebühr für die durch den Auftragnehmer

eingesetzte technische Infrastruktur und den organisatorischen Aufwand

zur automatisierten Beschaffung und Bereitstellung der erforderlichen

Dokumente (z. B. Registerauszüge, Nachweise, Bescheinigungen)

verstanden.):

Grundbedarf: 34.000 Dokumentenbeschaffung Handling Fee pro

Kalenderjahr

Nachbeschaffungsoption: 1.000 Dokumentenbeschaffung Handling Fee

für ein Kalenderjahr

b) Individuelle Dokumentenbeschaffung (Concierge Service)

(Unter dem Concierge Service für spezielle Dokumentenbeschaffung wird

eine individuelle, nicht automatisierte Unterstützungsleistung verstanden,

bei der der Auftragnehmer als zentrale Anlaufstelle für die Beschaffung

von Dokumenten fungiert, die nicht über standardisierte oder auto-

matisierte Verfahren (z. B. Schnittstellen, Online-Portale) bezogen

werden können.

Der Concierge Service vergütet den erhöhten individuellen

Koordinations- und Verwaltungsaufwand des Auftragnehmers bei der

Beschaffung solcher speziellen Dokumente.):

Grundbedarf: 10 Concierge Services pro Kalenderjahr

Nachbeschaffungsoption: 1 ConciergeService für ein Kalenderjahr

Nachbeschaffungsoptionen: Die KfW kann nach ihrer Wahl durch einseitige

empfangsbedürftige Erklärungen zusätzliche Leistungen nach den Vorgaben dieses

Kapitels 4.2 und gegen eine Vergütung gemäß den Positionen des Preisblatts

beziehen, ohne zu einer Nachbeschaffung im Einzelnen verpflichtet zu sein. Im

genannten Fall wird die KfW dem Auftragnehmer ihren konkreten Bedarf in Textform

übermitteln. Sofern für den Einzelfall nicht abweichend vereinbart, wird der

Auftragnehmer der KfW innerhalb von zwei Wochen nach Zugang der Bedarfsmeldung

die zusätzlichen Leistungen gemäß den Bedingungen dieses Vertrages zur Verfügung

stellen.

4.3 Umgebungen

Der Auftragnehmer hat den Unternehmen des KfW-Konzerns das System in einer

Produktionsumgebung zur Verfügung zu stellen. Neben der produktiven Instanz hat

der Auftragnehmer das KYC-Tool für Testzwecke den Unternehmen des KfW-

12

91

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Konzerns in zusätzlichen Testumgebungen nach Maßgabe der Regelungen in

Kapitel 4.2 zur Verfügung zu stellen. Die Testumgebung hat der Auftragnehmer den

Unternehmen des KfW-Konzerns mit dem gleichen Funktionsumfang wie die

Produktionsumgebung bereitzustellen. Abweichungen sind nur zulässig, wenn die KfW

diesen explizit zugestimmt hat bzw. wenn diese durch die laufende Weiterentwicklung

oder Konfigurationsanpassungen und notwendigen Tests und Freigaben vor

Umsetzung auf der Produktionsumgebung notwendig sind (im Folgenden „KfW-

Testumgebung“).

Die Unternehmen des KfW-Konzerns sowie der Auftragnehmer werden die KfW-

Testumgebungen für das Einführungsprojekt und in der Betriebsphase nutzen. Die

KfW-Testumgebungen dient dabei insbesondere der Durchführung und

Dokumentation der Tests, bevor Änderungen in der Produktionsumgebung

vorgenommen werden. Die KfW-Testumgebung muss daher u. a. geeignet sein zur:

- Bereitstellung fertig konfigurierter / angepasster Stände des KYC-Tools durch

den Auftragnehmer,

- Bereitstellung der Weiterentwicklungen des KYC-Tools, insbesondere solcher

Releases, die gemäß Kapitel 6.7 Tests und Produktionsfreigabe ggf. von der

KfW getestet werden,

- Einbindung, sofern erforderlich auch Konfiguration der Schnittstellen zur KfW

IT-Infrastruktur (bspw. E-Mail-Versand, Provisionierung) und

- Vorbereitung und zur Durchführung aller Tests.

Der Auftragnehmer stellt den Unternehmen des KfW-Konzerns die dafür notwendigen

Zugänge in ausreichender Menge zur Verfügung, wie sie für die Durchführung der

Tests notwendig sind. Grundsätzlich werden -Benutzer aber in deutlich geringerer

Anzahl die KfW-Testumgebung verwenden. Der Auftragnehmer erhält keine

gesonderte Vergütung für die Bereitstellung der KfW-Testumgebung und der

notwendigen Zugänge hierzu.

Für alle Umgebungen muss eine Anbindung in die KfW-Infrastruktur vorgenommen

werden, wie sie im Leistungskatalog beschrieben ist.

4.4 Zugangs- und/oder Nutzungsvoraussetzungen

Zugangsvoraussetzungen und Nutzungssperren sind nur aus Sicherheitsgründen

zulässig oder, soweit der Auftragnehmer diese in seinem Angebot benannt hat.

Heimliche Zugangsvoraussetzungen oder Nutzungssperren sind ausgeschlossen.

4.5 Provisionierung, SSO

Der Auftragnehmer stellt eine funktionsfähige Entra ID-basierte Single-Sign-On-

(SSO-)Integration inkl. der Übertragung und Auswertung der Credentials zur

Verfügung und gewährleistet ihre dauerhafte Funktionsfähigkeit. Hierbei müssen

mehrere Identity-Provider anbindbar sein.

Das KYC-Tool muss automatisch an das zentrale Identity & Access Management-

System (aktuell: Quest One Identity) der KfW angebunden werden, um die Neuanlage,

Anmeldung und Berechtigungsprüfung von KYC-Tool User über ein SSO-Verfahren

mit einer Just-In-Time-Provisioning-Funktionalität durchzuführen.

13

92

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Der Auftragnehmer muss dafür sorgen, dass die von den Unternehmen des KfW-

Konzerns vorgenommenen Änderungen der Benutzer und Rollen in dem zentralen

Identity & Access Management-System der KfW mit dem System des Auftragnehmers

unverzüglich synchronisiert werden.

4.6 Rollenkonzept und Berechtigungsverwaltung

Das KYC-Tool muss eine automatische Benutzer- und Rollenverwaltung nutzen.

Hierzu muss es über ein frei konfigurierbares Rollen- und Rechtekonzept verfügen.

Der Zugriff auf die Funktionen im System erfolgt mittels spezifischer

Berechtigungsobjekte unter Berücksichtigung der Mandantentrennung. Der Aufbau

und Zuschnitt dieser Berechtigungsobjekte berücksichtigt und ermöglicht

insbesondere das Sparsamkeitsprinzip (Need-to-know-Prinzip) und die

Funktionstrennung.

Die Zuweisung von mehreren Berechtigungsobjekten zu Konten muss über Rollen

möglich sein, die KfW-seitig angelegt, angepasst und entzogen werden können

müssen.

Die KfW muss jederzeit die im KYC-Tool zum jeweiligen Zeitpunkt vergebenen

Berechtigungen bzw. Rollen je Benutzer bspw. als Excel oder DSV-Datei exportieren

können.

4.7 Dokumentation

Die vom Auftragnehmer geschuldete Dokumentation umfasst sowohl die im Hersteller-

Standard bereitgestellten als auch individuell für die KfW zu erstellende Unterlagen.

Der Auftragnehmer hat die Dokumentation

- in deutscher Sprache

- in digital bearbeitbaren Microsoft Office (ab Version 2016) Formaten oder mit

vorheriger Zustimmung der KfW als nicht veränderbares PDF-Dokument

zu liefern. Die Lieferung der Dokumentation ist Teil der Hauptleistungspflicht.

4.7.1 Herstellerseitige Dokumentation

Der Auftragnehmer stellt den Unternehmen des KfW-Konzerns die herstellerseitige

Dokumentation des KYC-Tools bereit. Diese muss insbesondere die notwendigen

Informationen zur Nutzung des KYC-Tools einschließlich der seitens der Unternehmen

des KfW-Konzerns zu verwendenden Schnittstellen / Voraussetzungen für den Betrieb

der Software durch den Auftragnehmer umfassen. Dazu gehören

- die Benutzerdokumentation für die User (Benutzerhandbuch),

- die Dokumentation im Rahmen der IT-Sicherheit (IT-Sicherheitskonzept und

Security Relevanzcheck),

- das Löschkonzept sowie

- die Schulungsunterlagen.

14

93

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Die Rechte der KfW an der Dokumentation, insbesondere der Benutzerdokumentation

und den Schulungsunterlagen, richten sich nach Ziffer 11 der Allgemeinen

Vertragsbedingungen.

4.7.1.1 Benutzerdokumentation

Die Benutzerdokumentation muss so formuliert sein, dass ein User das KYC-Tool

ohne Unterstützung durch den Auftragnehmer gemäß den Vorgaben dieser

Leistungsbeschreibung nutzen kann. Gleiches gilt für die Erstellung und

Weiterentwicklung neuer Masken durch Admin-User. Zur Dokumentation können

gehören auch Online-Tutorials gehören, die ohne Einschränkung Browser-basiert

erreichbar sind. Der Auftragnehmer hat die Benutzerdokumentation jederzeit aktuell

zu halten und an den jeweiligen Stand des produktiven KYC-Tools (bspw. bei der

Aktualisierung des KYC-Tools) anzupassen und der KfW unverzüglich bereitzustellen.

4.7.1.2 IT-Sicherheitskonzept / Security-Relevanz-Check

Der Auftragnehmer erstellt vor der Produktivstellung ein IT-Sicherheitskonzept. Dies

umfasst insbesondere die folgenden Punkte:

- Funktionale Beschreibung

- Technische Beschreibung (z.B. Architektur, Komponenten, Schnittstellen,

Firewall Regeln)

- Physische und umgebungsbezogene Sicherheit (z.B. Zutrittskontrolle)

- Zugangs- und Zugriffskontrolle (z.B. Benutzervergabeprozess,

Passwortmanagement)

- Protokollierung

- Datensicherung und Wiederherstellung

- Besondere Sicherheitsmaßnahmen (z.B. Schutz vor Schadcode, Patch- und

Releasemanagement)

4.7.1.3 Löschkonzept

Der Auftragnehmer schuldet vor der Produktivstellung die Erstellung eines DSGVO-

konformen und mandantenspezifschen Löschkonzepts für personenbezogene Daten,

die im KYC-Tool verarbeitet werden. Das Konzept dient als Basis für die Umsetzung

im System.

4.7.1.4 Schulungsunterlagen

Der Auftragnehmer erstellt Schulungsunterlagen für Schulungen gemäß Kapitel 4.8

und passt diese in Abstimmung mit der KfW an die mandantenspezifische

Parametrisierung und die darin umgesetzten Prozesse an und richtet sie auf den

Teilnehmerkreis aus. Die Schulungsunterlagen bedürfen vor ihrer Verwendung der

Freigabe durch die KfW. Das Schulungskonzept als Bestandteil der

Schulungsunterlagen muss unter anderem den Zeitplan enthalten, aus dem die

Schulungszeitpunkte der verschiedenen Zielgruppen hervorgeht.

15

94

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

4.7.2 KfW-spezifische Dokumentation

Während des Einführungsprojektes erstellt die KfW intern nach den IT-Richtlinien

erforderliche Konzepte und Dokumente (im Folgenden „KfW-spezifische

Dokumentation“). Der Auftragnehmer hat an der Erstellung dieser Konzepte und

Dokumente nach Maßgabe der folgenden Unterkapitel mitzuwirken. Die

Ergebnisverantwortung an der KfW-spezifischen Dokumentation trägt die KfW. Die

Rechte der KfW an der KfW-spezifischen Dokumentation richten sich nach Ziffer 11

der Allgemeinen Vertragsbedingungen. Die KfW-spezifische Dokumentation

beschreibt den Ist-Zustand des KYC-Tools einschließlich der Schnittstellen zu KfW-

Systemen zu einem gegebenen Zeitpunkt vollständig. Ziel dieser ist es, ein aktuelles

Bild des in der KfW eingesetzten produktiven KYC-Tool widerzuspiegeln.

Zu den KfW-spezifischen Dokumentationen gehören

- die Testdokumentation (Stufentestkonzept für Systemtest,

Systemintegrationstest, User Acceptance Test (UAT),

- die Berechtigungsdokumentation,

- die Dokumentation im Rahmen des fachlichen und technischen Designs

(FuTD)

wie sie im Kapitel 5.3.1 beschrieben sind

4.8 Schulungen

Der Auftragnehmer hat getrennte kundenspezifische Schulungen für Benutzer und für

fachliche Administratoren im Train the Trainer Konzept in den Räumen der KfW

durchzuführen. Ist das Abhalten von Vor-Ort-Schulungen aus objektiv sachlichen

Gründen unmöglich oder im Einzelfall seitens der KfW nicht gewünscht, ist der

Auftragnehmer dazu verpflichtet, die Schulungen über geeignete und bei der KfW

vorhandene Kollaborations-Tools durchzuführen. Übergeordnetes Ziel der

Schulungen ist es, dass die Benutzer und fachlichen Administratoren in die Lage

versetzt werden, die neue Software produktiv im täglichen Tätigkeitsfeld zu bedienen

bzw. zu administrieren. Die Konzeption der Schulungen (Inhalte, Art, Terminierung,

Dauer) erfolgt durch den Auftragnehmer unter Beachtung der Vorgaben der KfW. Der

Auftragnehmer erstellt die Schulungsunterlagen, passt sie an die KfW-spezifische

Parametrisierung und die darin umgesetzten Prozesse an und richtet sie auf den

Teilnehmerkreis aus. Der Aufragnehmer hat Unterlagen für die Schulungen vorab,

mindestens 7 Kalendertage vor Durchführung der jeweiligen Schulung, bereitzustellen.

Die Schulungsunterlagen sind vor Verwendung in der Schulung durch die KfW

freizugegeben. Die Schulungsunterlagen sind digital zu übergeben.

5 Einführungsprojekt zur Bereitstellung des KYC-Tools

Das vorliegende Kapitel regelt die Zusammenarbeit zwischen der KfW und dem

Auftragnehmer während des Einführungsprojektes (im Folgenden auch

„Projekt“ genannt) sowie die vom Auftragnehmer geschuldeten Leistungen. Der

Auftragnehmer setzt sein im Angebot enthaltenes Konzept „Einführungsprojekt“ um

und entwickelt und konkretisiert das Konzept unter Berücksichtigung der Ergebnisse

der mit der KfW unter Einbeziehung der Unternehmen des KfW-Konzerns

16

95

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

abgehaltenen Workshops im Einvernehmen mit der KfW während des

Einführungsprojektes fort. Dazu gehört insbesondere

- die fortlaufende Aktualisierung des Zeitplans, einschließlich der wesentlichen

Meilensteine bis zur Abnahme des Einführungsprojekts,

- des Rolloutplans zum sukzessiven Rollout der einzelnen Funktionalitäten sowie

- die Konkretisierung des Build-Together-Ansatzes einschließlich Verteilung der

Arbeitspakete sowie

- die Fertigstellung der Einstellungen und Anpassungen im KYC-Tool gemäß den

Vorgaben des Vertrages.

5.1 Wissensvermittlung („Build-Together“-Ansatz“) im Rahmen des

Einführungsprojektes

Der „Build-Together“-Ansatz ist wesentlicher Bestandteil der Leistungserbringung, um

die im Rahmen der initialen Schulungen gemäß Kapitel 4.8 erworbenen Fertigkeiten

zu vertiefen und durch die konkrete Anwendung des Erlernten zu festigen. Nach

Abschluss des Einführungsprojektes müssen die fachlichen Administratoren Rolle in

der Lage sein, zukünftige Anpassungen an neue Anforderungen eigenständig, ohne

weitere externe Unterstützung umzusetzen. Dazu zählt insbesondere:

• Schwellwerte, Verfahrensabläufe und Datenerfassungsmasken zu erstellen, zu

pflegen und zu verwalten,

• Rollen und Zugriffsrechte zu definieren,

• Aktivitäten durchzuführen, die die übrigen Rollen gem dem nach Kapitel 5.3.1.6

zu erstellenden Berechtigungskonzept beinhalten,

• die Schulung der Benutzer mit den übrigen Rollen an dem KYC-Tool zu

übernehmen („Train the Trainer“ Ansatz).

5.2 Konzeption des Einführungsprojektes

5.2.1 Projektplan und agiles Vorgehen

Die KfW plant, innerhalb von 6 Wochen nach Vertragsabschluss einen initialen

Workshop zur Konzeption des Einführungsprojekts durchzuführen. Der Auftragnehmer

hat mit den für das Projekt relevanten Ansprechpartnern teilzunehmen. Im Rahmen

des Workshops werden die Parteien die vom Auftragnehmer mit seinem Angebot

eingereichte Projektplanung verfeinern und in einer Gesamt-Roadmap zeitlich planen.

Dabei werden Abhängigkeiten zu den Zulieferungen anderer betroffener

Development-Teams berücksichtigt. Der Auftragnehmer hat hierbei seine Expertise

aus vergleichbaren Implementierungsvorhaben und Methodenkenntnis aus seinem

eigenen Vorgehensmodell einzubringen.

Der Auftragnehmer muss sich an die von der KfW vorgegebenen

Rahmenbedingungen für die Projektmethodik halten. Dies sind nach bisheriger

Planung insbesondere:

• Die Einführung des KYC-Tools erfolgt nach dem skalierten agilen Modell SAFE

https://www.scaledagileframework.com/

• Der Building Block (BB) Compliance innerhalb der KfW stellt dabei einen ART

(agile Release Train) gemäß SAFE dar.

17

96

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

• Innerhalb des BB arbeiten verschiedene Dev Teams nach SCRUM an

einzelnen Applikationen, die der Domäne Compliance zugeordnet sind.

• Die Umsetzung erfolgt in einzelnen 3-monatigen Program Increments (PI), bzw.

bilden vier dreiwöchige Sprints jeweils ein Program Increment (PI).

• Im PI Planning zu Beginn des jeweiligen Inkrements erfolgt die Feinplanung der

Features für die nächsten drei Monate und damit die Synchronisation der Dev

Teams.

• Die Abstimmung mit anderen BB und die Einbindung der Unternehmen des

KfW-Konzerns erfolgt federführend durch KfW-Mitarbeiterinnen und Mitarbeiter.

Für den Auftragnehmer ergeben sich hieraus insbesondere die folgenden Pflichten:

• Der PO und der Key Account Manager haben gegenüber der KfW als zentrale

Ansprechpartner des Auftragnehmers zu fungieren.

• Der Product Owner des Auftragnehmers hat zur Gewährleistung einer

dauerhaften Synchronisation mit allen KfW-Dev Teams an den entsprechenden

Ritualen des BB teilzunehmen:

o Refinement (wöchentlich)

o Demo und Retro (alle drei Monate)

o PI Planning (alle drei Monate für 2 Tage)

• Der Auftragnehmer hat die KfW-Dev Teams, welche die

Integrationskomponenten zur Anbindung des KYC-Tools verantworten, zu

unterstützen.

• Die Synchronisation der zuvor genannten Teams erfolgt durch die Rituale des

BB und durch das in Kapitel 8.3.1 beschriebene Operative Meeting, in dem der

Auftragnehmer mitzuwirken hat.

Im Sinne des agilen Vorgehens erfolgt im Rahmen der Vorbereitung und Durchführung

der PI Plannings die konkrete Ausgestaltung für das anstehende PI. Der

Auftragnehmer berät im Rahmen der Vorbereitung über den Zuschnitt der das KYC-

Tool betreffenden Features und weist auf Abhängigkeiten zu anderen betroffenen

Development-Teams hin.

Nach Vertragsabschluss steuert der Auftragnehmer das Projekt zur Einführung des

KYC-Tools unter dem „Build-Together“-Ansatz“ eigenverantwortlich nach Maßgabe

des mit der KfW im Rahmen des Einführungsprojekts vereinbarten detaillierten

Projektplans in der jeweils aktuellen Fassung.

Soweit sich aus der initialen oder laufenden Projektplanung Anpassungsbedarf

gegenüber dem mit dem Angebot abgegebenen Konzept „Einführungsprojekt“

ergeben, vereinbaren die Parteien diese in Textform.

5.2.2 Meilensteine Der Projektplan enthält zwei wesentliche Meilensteine:

• Meilenstein 1: Das KYC-Tool steht einschließlich der fachlichen Anpassungen für die Unternehmen des KfW-Konzerns bereit und der Systemtest wurde von der KfW freigegeben. Die Integration des KYC-Tools in die Infrastruktur der KfW kann sich hierbei auf die Anbindung an Rechteverwaltung und Berechtigungssystem beschränken. • Meilenstein2: Das KYC-Tool steht einschließlich der fachlichen Anpassungen und der Integration in die Infrastruktur der KfW für die Unternehmen des KfW-Konzerns bereit

18

97

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

und der Integrationstest zwischen KYC-Tool und Infrastruktur der KfW wurde von der KfW freigegeben.

Soweit sich aus der initialen oder laufenden Projektplanung Anpassungsbedarf

gegenüber den Terminen ergeben, die der Auftragnehmer in mit dem Angebot

abgegebenen Konzept „Einführungsprojekt“ angegeben hat, vereinbaren die Parteien

diese in Textform.

5.3 Projektinhalte

Der Auftragnehmer hat entlang der nachfolgenden Rahmenbedingungen und gemäß

dem in seinem Angebot enthaltenen Konzept „Einführungsprojekt“ ein Projekt zu

organisieren und durchzuführen, dessen Ziel die nutzungsfertige Bereitstellung der

angebotenen Software in der Betriebsform SaaS zur systemseitigen Bereitstellung der

in dieser Leistungsbeschreibung (inkl. Anlagen) definierten Funktionalitäten.

Bei der Umsetzung der Konfiguration/Parametrisierung durch den Auftragnehmer sind

vom Auftragnehmer Mitarbeitende der KfW so einzubinden, dass sie in die Lage

versetzt werden, künftig (nach Projektabschluss) Konfigurationen/Parametrisierungen

selbständig vorzunehmen. Der Auftragnehmer schlägt der KfW die Arbeitspakete vor,

welche aus seiner Sicht im Rahmen des „Build-Together“-Ansatzes zur Übertragung

an die KfW-Administratoren geeignet sind, um den Transfer und Verfestigung von

Fähigkeiten und Wissen bestmöglich zu gewährleisten. Die genaue Aufgabentrennung

zwischen Auftragnehmer und KfW wird im Rahmen des Projektplans für das

Einführungsprojekt einvernehmlich zwischen den Parteien fortlaufend konkretisiert.

Die Ergebnisverantwortung für das Einführungsprojekt als Werkleistung verbleibt

jedoch beim Auftragnehmer.

Im Rahmen des Einführungsprojektes hat der Auftragnehmer das KYC-Tool mit dem

geschuldeten Funktionsumfang gemäß der Kapitel 2 und 3 zu erstellen und für die

Nutzung bereitzustellen. Hierzu führt der Auftragnehmer insbesondere folgende

Aktivitäten durch:

- Vorbereitung und Durchführung von erforderlichen Workshops mit der KfW

- Durchführung aller Maßnahmen zur Projektsteuerung

- Beratung der KfW hinsichtlich „Best-in-Class“-Aufsetzung der angebotenen

Software zur Bereitstellung des KYC-Tools sowie Teilen von Erfahrungen bei

der Implementierung bei anderen Kunden

5.3.1 Deliverables

Die Verantwortung der einzelnen während des Einführungsprojektes zu erstellenden

Deliverables liegt entsprechend nachfolgender Tabelle entweder beim Auftragnehmer

oder bei der KfW (mit Unterstützungsleistung durch den Auftragnehmer). An den vom

Auftragnehmer verantworteten Deliverables wirkt die KfW unter Einbeziehung der

weiteren Unternehmen des KfW-Konzerns wie im Konzept „Einführungs-

projekt“ (eingereicht als Teil des Angebots) aufgeführt mit.

Die Deliverables orientieren sich am COBIT-Prozess „IT-Lösungen bereitstellen“

sowie den Besonderheiten, die sich aus der Ablösung eines Systems ergeben. Zu den

Deliverables gehören insbesondere und unabhängig vom Zuschnitt der Features die

nachfolgend aufgelisteten und erläuterten Ergebnisartefakte:

19

98

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

20

99

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Hinweis: Im Rahmen des agilen Vorgehens werden die einzelnen Deliverables, so weit

wie möglich, inkrementell erstellt. Die Beschreibung der Deliverables erfolgte hier

generisch, d.h. ohne speziellen Hinweis auf Inkremente.

5.3.1.1 Fachvorgabe KYC-Tool

Die Fachvorgabe (Konzeption) beschreibt detailliert alle fachlichen Anforderungen der

KfW an das KYC-Tool, so dass die erforderlichen individuellen Anpassungen am KYC-

Tool, unabhängig davon, ob durch Parametrisierung, Konfiguration oder

Individualentwicklung designt werden können. Der Auftragnehmer hat die KfW dabei

insbesondere durch folgende Leistungen zu unterstützen:

• Der Auftragnehmer unterbreitet aufgrund der Kenntnis seines Systems

Vorschläge für die Strukturierung des Dokuments und berät zur

Prozessoptimierung in Verbindung mit dem Produkteinsatz.

• Der Auftragnehmer bestätigt durch Review und Freigabe des Konzeptes/

Konzeptinkrements die Vollständigkeit und Korrektheit der für seine weitere

Arbeit relevanten Angaben.

5.3.1.2 Fachliches und Technisches Design (FuTD) KYC-Tool

Der Auftragnehmer hat ein Fachliches und Technisches Design (FuTD) auf Basis des

als Anlage 2 „Gemeinsames Fachliches und Technisches Design (FuTD)“ zu

dieser Leistungsbeschreibung beigefügten Templates für das KYC-Tool zu erstellen.

Soweit das KYC-Tool in der Sphäre des Auftragnehmers liegt, kann auf dessen

Dokumentation verwiesen werden.

Es müssen – sofern zutreffend – alle zur Erfüllung der Muss- und angebotenen Kann-

Anforderungen vorgenommenen Anpassungen (zur Klarstellung: keine Quellcode-

anpassungen) und alle fachlichen und technischen Aspekte zu den zu erstellenden

Anbindungen an KfW-Anwendungen beschrieben werden.

Die KfW gibt das FuTD unter dem Fokus der Weiterverwendbarkeit und Einhaltung der

Dokumentationsvorschriften frei.

5.3.1.3 Schnittstellenkonzept KYC-Tool

Auf Basis der Fachvorgabe hat der Auftragnehmer eine weitere Detaillierung

vorzunehmen und dies in Form eines Schnittstellenkonzepts des KYC-Tools zu

dokumentieren. Das Konzept muss mindestens folgendes enthalten:

- Beschreibung der verwendeten Formate und deren Inhalt

- Quittierungsverfahren

- Technische Beschreibung der Schnittstelle (z.B. Protokolle, Verschlüsselungs-

verfahren, Zertifikate, verwendete technische Benutzerkonten)

21

100

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

- Typ der Schnittstelle (z.B. Online-Schnittstelle als API oder Dateischnittstelle)

- Einbindung der Schnittstelle in die Geschäftsprozesse der Unternehmen des

KfW-Konzerns (z.B. Intervalle, Zeitpunkte). Dieser Aspekt wird von der KfW

beigestellt.

Die Dokumentation muss einen Detaillierungsgrad aufweisen, welcher die

notwendigen Implementierungen auf KfW-Seite ermöglicht.

Das Schnittstellenkonzept kann auch in das FuTD integriert werden.

Die KfW gibt das Schnittstellenkonzept unter dem Fokus der Weiterverwendbarkeit

und Einhaltung der Dokumentationsvorschriften frei.

5.3.1.4 Testrahmenkonzept

Der Auftragnehmer schuldet die Zuarbeit zur Erstellung des Testrahmenkonzepts. Der

Auftragnehmer unterstützt die KfW dabei insbesondere durch folgende Leistungen:

• Für den das KYC-Tool betreffenden Teil berät der Auftragnehmer die KfW bei

der Bedarfs- und Impactanalyse, bei der Grobschätzung des Aufwandes und

bei der Planung der erforderlichen Testaktivitäten mit seiner Expertise aus

anderen vergleichbaren Implementierungsprojekten.

5.3.1.5 Stufentestkonzepte für Systemtest, Systemintegrationstest,

Migrationstest, UAT und BAT

Der Auftragnehmer schuldet die Mitarbeit bei der Erstellung von Stufentestkonzepten.

Hierzu gehören auch die jeweiligen Testfallkataloge.

Für den das KYC-Tool betreffenden Teil berät der Auftragnehmer die KfW bei der

Verfeinerung der Bedarfs- und Impactanalyse, bei der Aufwandsschätzung und bei der

Detailplanung der erforderlichen Testaktivitäten mit seiner Expertise aus anderen

vergleichbaren Implementierungsprojekten mit. Der Auftragnehmer berät zudem zu

den Möglichkeiten der Testautomatisierung.

5.3.1.6 Berechtigungskonzept

Der Auftragnehmer schuldet die Zulieferung der notwendigen Informationen für die

Erstellung des applikationsspezifischen Berechtigungskonzepts. Der Auftragnehmer

berät hierbei, wie die Anforderungen an Berechtigungen gemäß Kapitel 4.6

bestmöglich fachlich und technisch im KYC-Tool umgesetzt werden können

5.3.1.7 Konzeption Einführung und Stabilisierung

Der Auftragnehmer schuldet die Zulieferung der notwendigen Informationen für die

Konzeption von Einführung und Stabilisierung. Der Auftragnehmer unterstützt die KfW

dabei insbesondere durch folgende Leistungen:

Der Auftragnehmer wirkt mit seiner Expertise aus anderen vergleichbaren

Einführungsprojekten mit.

5.3.1.8 Anpassung sowie Bereitstellung der vertragsgegenständlichen Software

Der Auftragnehmer setzt die mandantenspezifischen Anpassungen an der

vertragsgegenständlichen Software um. Der Auftragnehmer wird die von ihm

fertiggestellte Software bzw. die jeweiligen Softwareinkremente selbst in

angemessenem Umfang testen, bevor er sie der KfW zur Verfügung stellt. Hierzu

22

101

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

gehört insbesondere die Durchführung und Dokumentation von Tests mit

anonymisierten Testdaten. Der Auftragnehmer stellt der KfW die Ergebnisse dieser

Tests auf Anforderung unverzüglich zur Verfügung. Diese Tests sind zum Bestandteil

der Testdokumentation zu machen.

Die Anpassungen erfolgen in Einklang mit der Sprint- und Testplanung der KfW.

Die Anpassung gilt als abgeschlossen, wenn im Rahmen der folgenden Testaktivitäten

alle etwaig festgestellten Abweichungen im KYC-Tool behoben und die Tests

erfolgreich wiederholt wurden.

Bei der Konfiguration / Parametrisierung sind Mitarbeiterinnen und Mitarbeiter der KfW

im Rahmen des Build Together Ansatzes einzubinden.

Die KfW steht für die Klärung inhaltlicher Fragen, die sich im Rahmen der Konfiguration

bzw. Anpassungsprogrammierung seitens des Auftragnehmers ergeben, zur

Verfügung.

Der Auftragnehmer stellt gem. der vereinbarten Roadmap (vgl. Kapitel 5.2.1) die

Lieferinkremente der KfW zur Verfügung.

5.3.1.9 Tests und Produktionsfreigabe

Die KfW arbeitet nach einem agilen Vorgehensmodell (vgl. Kapitel 5.2.1 Projektplan

und agiles Vorgehen). Es finden entsprechend, im Rahmen der einzelnen Sprints,

Bereitstellung von Inkrementen und deren Tests statt. Diese inkrementellen Tests im

Sprint sind von der Produktionsfreigabe zu unterscheiden. Bei der Produktionsfreigabe

findet vor der Inbetriebnahme des KYC-Tools in Produktion eine Phase statt, in der

das technische und fachliche Zusammenspiel aller beteiligten Systeme getestet wird

und die Freigabe durch den Fachbereich erfolgt.

Die KfW führt die Tests nach der Bereitstellung der jeweiligen Softwareinkremente in

einer vom Auftragnehmer bereitgestellten Umgebung durch. Die KfW ist berechtigt, die

Tests durch einen Dritten durchführen zu lassen oder einen Dritten zur Durchführung

der Tests hinzuzuziehen. Die Kosten der Beauftragung des Dritten trägt die KfW.

Für die Durchführung der Tests wird die KfW angemessene Prüfspezifikationen und

-verfahren entwickeln oder von Dritten entwickeln lassen. Diese umfassen zumindest

die Überprüfung der technischen und funktionalen Mangelfreiheit der Software sowie

die in den Konzepten gem. Kapitel 5.3.1 beschriebenen Akzeptanzkriterien,

insbesondere:

(a) die Übereinstimmung mit den vereinbarten Konzepten, der weiteren

Festlegungen im Rahmen des Einführungsprojektes sowie den Vorgaben dieses

Vertrages (u.a. Design etc.);

(b) die technische und funktionale Richtigkeit;

(c) die Leistungsfähigkeit in Bezug auf das vereinbarte Mengengerüst.

Einzelne Prüfungsschritte können in der Gesamt-Roadmap oder im Backlog festgelegt

werden. Der Auftragnehmer hat die KfW oder den Dritten bei der Erarbeitung der

detaillierten Prüfspezifikationen und -verfahren zu unterstützen, insbesondere

sämtliche von der KfW oder dem Dritten angefragten Informationen zur Verfügung zu

23

102

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

stellen. Die Erfüllung der detaillierten Prüfspezifikationen ist notwendige

Voraussetzung für die Erklärung der Freigaben durch die KfW.

Der Auftragnehmer unterstützt – soweit erforderlich – bei der Durchführung der Tests,

z.B. durch das Anstoßen von Verarbeitungen, Import von Testdaten, Simulieren von

Bearbeitungsschritten externer Systeme (Compliance Suite, Geschäftspartner).

Die Durchführung der Tests wird zusammen mit den Testergebnissen durch die KfW

oder einen von ihr bestimmten Dritten protokolliert, der Auftragnehmer unterstützt die

Protokollierung durch Zulieferung der technischen Details. Das Protokoll muss alle

aufgetretenen Abweichungen und Mängel und ihre Zuordnung zu den jeweiligen

Mängelklassen enthalten. Die Zuordnung einzelner Mängel zu den einzelnen

Mängelklassen richtet sich danach, ob die Kriterien der jeweiligen Mängelklasse

objektiv erfüllt sind. Die Parteien ordnen die Mängel einvernehmlich den vereinbarten

Mängelklassen zu. Ist eine einvernehmliche Lösung nicht zu erzielen, erfolgt eine

vorläufige Zuordnung durch die KfW. Beim Auftreten von Mängeln, die voraussichtlich

die Freigabe hindern, ist die KfW berechtigt, die Tests abzubrechen. Der Abbruch ist

von der KfW innerhalb von fünf (5) Arbeitstagen (in Frankfurt am Main) in Textform

(§126b BGB) zu bestätigen. Der Auftragnehmer ist in diesem Fall verpflichtet, die

aufgetretenen Mängel zu beseitigen und die Software der KfW erneut zur

Durchführung vollständiger Tests bereitstellen. Die KfW wird erneute Tests nach den

vorstehenden Absätzen durchführen. Vereinbarte Fristen und Termine bleiben bei

einem Abbruch der Tests und der wiederholten Bereitstellung zur Testdurchführung

unberührt.

Der Auftragnehmer nimmt alle ihm von der KfW gemeldeten Abweichungen auf,

analysiert und bewertet diese. Sofern sie vom KYC-Tool verursacht wurden, somit

einen Mangel darstellen, nennt er einen verbindlichen Termin, zu dem die Korrekturen

zum Retest zur Verfügung gestellt werden. Sobald die Behebung dieser Mängel durch

Nachtests überprüft wurde, können die Mängel geschlossen werden. Ziel ist es, dass

entsprechende Korrekturen frühestmöglich zum Retest bereitgestellt werden. Die

Bereitstellung aller notwendigen Korrekturen erfolgt spätestens zum finalen User

Acceptance Test.

Sofern erforderlich, werden Auftragnehmer und Auftraggeber gemeinsam eine

Priorisierung über die abzuarbeitenden Abweichungen vornehmen.

Tests im Sprint

Im Rahmen der SCRUM-Sprints werden Arbeitsergebnisse produziert (Inkremente),

wie zum Beispiel die Konfiguration von bestimmten Verarbeitungsabläufen im KYC-

Tool. Diese werden getestet, um zu validieren, dass sie dem geplanten

Funktionsumfang genügen.

Es ist in dieser Phase nicht notwendig, dass alle Mängel zum Ende des Sprints

behoben wurden, sie müssen allerdings vollständig dokumentiert, dem Auftragnehmer

adressiert sein und weiterverfolgt werden.

Produktionsfreigabe

Zur Erteilung der Produktionsfreigabe findet eine Phase statt, in der das technische

und fachliche Zusammenspiel aller am Zahlungsverkehr der KfW beteiligten Systeme

getestet wird (Systemintegrationstest) und die Überprüfung durch den Fachbereich

(User Acceptance Test) und für die Integration mit den KfW-Systemen durch den IT-

24

103

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Betrieb („betrieblicher Test“) der KfW erfolgt. Diese muss angemessen lange gewählt

werden, um alle funktionalen Tests, sowie weitere Testaspekte wie Regressions-,

Migrations- und Lasttests, Tests der Einführungsaktivitäten durchführen zu können.

Die Festlegung der Dauer der Testphase erfolgt in Abstimmung zwischen

Auftragnehmer und KfW.

Konnten Mängel nicht innerhalb dieser Phase behoben und getestet werden,

verlängert sich ggf. die Zeit bis zur Erteilung der Freigabe. Diese Verzögerung kann

der KfW nicht auf Basis von „time and material“ in Rechnung gestellt werden.

Für die Herbeiführung der Produktionsfreigabe unterstützt der Auftragnehmer – für den

das KYC-Tool betreffenden Teil –

• operativ bei der Testdurchführung in den einzelnen Teststufen (gemäß der

einzelnen Testkonzepte)

• das übergreifende Abweichungsmanagement der KfW bei der

Abweichungsanalyse.

Der Auftragnehmer hat dafür zu sorgen, dass

• ausreichend Spezialistinnen und Spezialisten für eine zügige Fehleranalyse

und -behebung zur Verfügung stehen und

• der KfW während der Testphase eine dedizierte Ansprechpartnerin bzw. ein

dedizierter Ansprechpartner (einschließlich Stellvertreterin bzw. Stellvertreter)

zur Verfügung steht, der über die für diese Rolle erforderlichen Erfahrungen und

Entscheidungskompetenzen verfügt (Defect Manager).

Müssen im Rahmen der Produktionsfreigabe Basiskomponenten des KYC-Tools

(Workflow zentrale Prüfregeln) geändert oder korrigiert werden, werden KfW und

Auftragnehmer versuchen gemeinsam zu entscheiden, ob sämtliche Testaspekte

wiederholt werden müssen. Die finale Entscheidung obliegt dabei der KfW.

Nach Abschluss aller Tests kann die Produktionsfreigabe durch die KfW und der

anschließende Einsatz des KYC-Tools in Produktion erfolgen. Die Voraussetzung

dafür besteht in einem User Acceptance Test-Ergebnis, welches vereinbarte,

maximale Fehlerzahlen nicht überschreitet:

• keine Blocker oder wesentliche Mängel und

• die max. akzeptable Anzahl wesentlicher Mängel, für die ein Workaraound

besteht, wird bilateral mit dem Auftragnehmer vereinbart

• die max. akzeptable Anzahl unwesentlicher Mängel wird bilateral mit dem

Auftragnehmer vereinbart

Die fachliche und betriebliche Produktionsfreigabe erfolgt seitens der KfW durch den

oder die Anforderer bzw. CPO und/oder TPM oder anderen von der KfW bestimmte

Personen. Der Auftragnehmer hat die Pflicht zu unterstützen, wenn dies benötigt oder

von der KfW gewünscht wird.

5.3.2 Einführung (Go Live) und Stabilisierungsphase

Die KfW plant mit einer jeweils vierwöchigen Stabilisierungsphase nach Go live, in der

erfahrungsgemäß ein intensiverer Support als im eingeschwungenen Zustand

erforderlich ist.

25

104

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Der Auftragnehmer

• stellt für diese Zeit eine ausreichende Anzahl Spezialistinnen bzw. Spezialisten

für die im Rahmen des Einführungs-Konzeptes geplanten Prüfungs- und

Überwachungsaktivitäten und etwaige Fehlerbehebungen zur Seite.

• trägt dafür Sorge, dass der KfW während in der Stabilisierungsphase eine

dedizierte Ansprechpartnerin bzw. ein dedizierter Ansprechpartner

(einschließlich Stellvertreterin bzw. Stellvertreter) zur Verfügung steht, die bzw.

der über die für diese Rolle erforderlichen Erfahrungen und

Entscheidungskompetenzen verfügt.

5.3.3 Abnahme

Die KfW behält sich vor, vor der Abnahme in der Stabilisierungsphase und in der

Betriebsphase Lasttests des Systems nach Maßgabe des Kapitels 6.6 durchzuführen.

Sofern das KYC-Tool gem. Einführungsprojektplanung vollständig eingeführt ist, die

Stabilisierung abgeschlossen ist und keine Blocker oder wesentlichen Mängel

vorhanden sind, kann die Abnahme erfolgen.

6 Betrieb der des KYC-Tools

Der Auftragnehmer schuldet den Betrieb des KYC-Tools im vereinbarten

Funktionsumfanges und stellt es zur Nutzung der KfW zur Verfügung. Zur Beurteilung

der Erfüllung dieser Leistung werden Service-Levels (SLA) in Kapitel 6.5 Service Level

und Folgen von SLA-Verstößen definiert. Die Leistungen werden zur Beurteilung der

Erreichung der vereinbarten SLAs gemessen.

6.1 Monitoring des Betriebs

Der Auftragnehmer hat die Qualität seiner Leistungen, insbesondere die Einhaltung

vereinbarter SLA fortlaufend und kontinuierlich zu messen sowie zu dokumentieren.

Der Auftragnehmer gewährleistet, dass die Messung in marktüblicher Form,

zuverlässig, richtig und vollständig erfolgt. Der Auftragnehmer kann seine

Verpflichtungen auch dadurch erfüllen, dass der Hersteller des Systems

entsprechende Messungen durchführt.

Der Auftragnehmer gewährleistet, dass die Verfügbarkeit des Systems sowie die zur

Leistungserbringung eingesetzte IT-Infrastruktur mit einer marktüblichen Software

überwacht wird (Monitoring). Das Monitoring muss unterbrechungsfrei und

automatisiert erfolgen und alle performance- und sicherheitsrelevanten Ereignisse

lückenlos aufzeichnen und auswertbar machen können. Die Daten müssen bis hin zu

den Einzelwerten analysiert werden können. Das Monitoring umfasst auch die

Einbindung in die KfW-Infrastruktur, bspw. die Überwachung von Verfügbarkeiten

sowie Störungen bei den Schnittstellen.

Die KfW muss einen Zugriff auf die Informationen aus dem Monitoring erhalten, um bei

Bedarf die Einhaltung der vertraglichen Vereinbarungen selbst nachhalten zu können.

Der Auftragnehmer erhält keine gesonderte Vergütung für das Monitoring und den

Zugriff der KfW auf das Monitoring.

26

105

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

6.2 Vorbeugende Maßnahmen zur Aufrechterhaltung der Betriebsfähigkeit

Der Auftragnehmer verpflichtet sich, auf Verlangen der KfW diese bei Maßnahmen

zu unterstützen, deren Ziel das Vermeiden zukünftiger Störungen sind. Hierzu zählen

insbesondere:

• Überprüfung der Funktionsfähigkeit (Health Checks)

• Durchführung von Sicherheitsprüfungen (Pen-Tests)

6.3 Service Desk und Servicezeit

Der Auftragnehmer stellt der KfW einen Service Desk zur Verfügung, welcher zu den

Servicezeiten telefonisch (kostenfreie Nummer) und per E-Mail erreichbar sowie mit

deutsch- oder - wenn dies nicht möglich ist - englischsprachigem Personal besetzt ist.

Die relevanten Kontaktinformationen des Service Desks ergeben sich entweder aus

dem Angebot oder werden im Rahmen des Einführungsprojektes der KfW

bereitgestellt.

Die Servicezeit läuft von Montag bis Freitag (ausgenommen bundeseinheitliche

Feiertage) von 08:00 – 18:00 Uhr MEZ.

Der Auftragnehmer ist verpflichtet, den Service Desk personell und technisch so

auszustatten, dass innerhalb der vereinbarten Servicezeit eine ständige Erreichbarkeit

gewährleistet ist. Er hat dabei das zu erwartende Aufkommen an Fragen zur Nutzung

und Störungsmeldungen zu berücksichtigen und die Möglichkeit paralleler

telefonischer Fragen bzw. Störungsmeldungen zu gewährleisten.

Der Auftragnehmer nimmt über den Service Desk Störungsmeldungen der KfW per E-

Mail oder Telefon entgegen, überführt diese in ein Ticketsystem (unabhängig davon,

ob die Störung bereits im Telefonat behoben wurde oder nicht), initiiert die Behebung

der Störung und erteilt auf Nachfrage Statusauskünfte zum Behebungsfortschritt.

Kann die Beseitigung einer Störung bzw. die Beantwortung einer Anwenderfrage nicht

durchgängig von demselben Mitarbeiter des Auftragnehmers bis zum erfolgreichen

Abschluss betreut werden, ist der Vorgang und dessen Bearbeitungsfortschritt in

einem Ticketsystem so zu protokollieren, dass durch den Mitarbeiterwechsel kein

wesentlicher Zeitverlust entsteht.

Ist die Bearbeitung in zumutbarer Zeit nicht gelungen, ist der Auftragnehmer

verpflichtet

- die Fragen zur Nutzung anderweitig zu klären und die Antworten telefonisch

und im Nachgang per E-Mail zu übermitteln bzw.

- die Störungsmeldung zur Störungsbeseitigung innerhalb seiner

Supportorganisation weiterzuleiten und den Rücklauf gemäß dem

vorstehenden Punkt an die KfW zu übermitteln.

6.4 Störungsbearbeitung

6.4.1 Störungsmeldung durch die KfW und Bearbeitung durch den

Auftragnehmer

Die Störungsmeldung der KfW erfolgt über den Service Desk des Auftragnehmers über

die vom Auftragnehmer in seinem Angebot benannten Kontaktwege.

27

106

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Die Störungsmeldung der KfW enthält in der Regel nachfolgende Informationen:

- Störungsmelder inklusive Kontaktdaten für Rückfragen (Telefon / E-Mail)

- Fehlerbeschreibung

- Einschätzung der Störungsklasse gemäß Klassifizierung in Kapitel 6.4.3

- Incident-Nummer der KfW für die Identifizierung der Störung bei der

Rückmeldung (falls bereits vorhanden)

Der Auftragnehmer hat die Bearbeitung der Störung systematisch in dem unter

Kapitel 6.3 genannten Ticketsystem zu erfassen und eingeleitete Maßnahmen zu

dokumentieren.

Der Auftragnehmer bestätigt der KfW unverzüglich, spätestens innerhalb von 30

Minuten (im Rahmen der Service Zeiten gem. 6.3) nach Zugang der Störungsmeldung,

deren Eingang in Textform per E-Mail durch Mitteilung einer eindeutigen

Ticketnummer.

6.4.2 Meldung einer Störung durch den Auftragnehmer und Bearbeitung

Über nicht von der KfW gemeldete Störungen des KYC-Tools, die die Verfügbarkeit

des KYC-Tools für mindestens ein Unternehmen des KfW-Konzerns einschränken

sowie über Fehler und Sicherheitslücken, informiert der Auftragnehmer die KfW

unverzüglich ab ihrem Bekanntwerden in Textform (E-Mail).

Die Meldung von Störungen, Fehlern und Sicherheitslückenmeldung des

Auftragnehmers an die KfW enthält mindestens nachfolgende Informationen:

• die betroffenen Komponenten,

• die möglichen Auswirkungen für die KfW,

• für Sicherheitslücken: die Kritikalität der Sicherheitslücke nach CVSS,

• die durch die KfW durchzuführenden Maßnahmen (z.B. Workaround), um

das Risiko bis zur Behebung zu mitigieren,

• die eingeleiteten Maßnahmen des Auftragnehmers,

• die voraussichtliche Behebungsfrist

6.4.3 Klassifizierung von Störungen

Es werden die folgenden Störungsklassen unterschieden:

- Eine betriebsverhindernde Störung liegt vor, wenn die Nutzung des KYC-

Tools unmöglich oder schwerwiegend eingeschränkt ist.

- Eine betriebsbehindernde Störung liegt vor, wenn die Nutzung des KYC-

Tools erheblich eingeschränkt ist. Dies gilt auch, wenn die leichten Störungen

insgesamt zu einer nicht unerheblichen Einschränkung der Nutzung der

Software führen. Sicherheitslücken mit einem CVSS-Wert ≥ 7 gelten nach

Bekanntwerden eines Exploits als betriebsbehindernde Störung.

- Eine leichte Störung liegt vor, wenn die Nutzung des KYC-Tools ohne oder mit

unwesentlichen Einschränkungen möglich ist.

Gelangt der Auftragnehmer während der Störungsbearbeitung zu der Auffassung,

dass die Störung einer abweichenden Störungsklasse unterliegt, teilt er dies der KfW

unter Angabe der Gründe unverzüglich per E-Mail mit. Die KfW wird den Sachverhalt

28

107

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

erneut prüfen. Die KfW kann der Änderung der Störungsklasse zustimmen oder diese

mit Begründung ablehnen.

6.4.4 Störungsbeseitigung

Der Auftragnehmer hat Störungen des KYC-Tools unter Einhaltung der vereinbarten

Reaktions- und Wiederherstellungszeit (gem. Kapitel 6.5.2) und der Verfahrensweise

gem. Kapitel 6.7zu beseitigen.

Der Auftragnehmer muss bei einer Umgehungslösung unverzüglich, jedoch

spätestens innerhalb von zwei (2) Wochen die finale Lösung zur Verfügung stellen.

Während dieser Zeit muss der Auftragnehmer der KfW regelmäßig, bei

betriebsverhindernden und betriebsbehindernden Störungen werktäglich (Mo-Fr) eine

Statusmeldung per E-Mail über den Stand der Störungsbearbeitung übersenden.

Unabhängig von der Wiederherstellungszeit verpflichtet sich der Auftragnehmer, die

Störungen unverzüglich zu beseitigen.

6.5 Service Level und Folgen von SLA-Verstößen

Die definierten SLA gelten für die Produktionsumgebung nach erfolgter Abnahme

des Einführungsprojekts.

6.5.1 SLA 1: Verfügbarkeit

Der Auftragnehmer gewährleistet die Verfügbarkeit des KYC-Tools im Einklang mit

den Vorgaben der Ziffer 7 der Besonderen Vertragsbedingungen Cloud.

6.5.2 SLA 2: Reaktionszeit und Wiederherstellungszeit

Abhängig von der Störungsklassifizierung sind die folgenden Anforderungen an

Wiederherstellungs- und Reaktionszeit definiert:

Ist keine Wiederherstellungszeit angegeben, unternimmt der Auftragnehmer die ihm

zumutbaren Anstrengungen, um die Störungen zum nächstmöglichen Zeitpunkt zu

beseitigen.

Unabhängig von der Wiederherstellungszeit verpflichtet sich der Auftragnehmer die

Störungen unverzüglich zu beseitigen.

6.5.3 SLA 3: Performance

Der Auftragnehmer gewährleistet die Einhaltung einer angemessenen Performance

des Systems innerhalb seiner Systemgrenzen. Dazu werden zwischen Auftragnehmer

und der KfW im Rahmen des Einführungsprojektes bis zu 5 messbare

Anwendungsfälle definiert und die Methode zur Performancemessung abgestimmt.

29

108

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Auf Anforderung der KfW erfolgt die Messung während der Betriebsphase bei

Performanceproblemen. In jedem Fall eines Performanceproblems besteht für den

Auftragnehmer die Pflicht zur unmittelbaren und umfassenden Ursachenanalyse und

zur Wiederherstellung der angemessenen Performance, soweit die Ursache im

Verantwortungsbereich des Auftragnehmers liegt. Der Anbieter muss hierzu geeignete

Tools sowie Experten für die Analyse bereithalten und zur Verfügung stellen.

6.5.4 SLA 4: Wiederherstellungszeit (Time to Repair)

Die Auftragnehmer gewährleistet, dass im Falle einer Nutzung einer Backup-

Komponente die Reparatur innerhalb einer Woche (7 Kalendertage) erfolgt. Nach

Ablauf der 7 Kalendertage stehen primäre Anwendung und Backup wieder

vollständig zur Verfügung.

6.5.5 SLA 5 Zuverlässigkeit der KI

Das KYC-Tool berechnet für jede durch KI getroffenes Ergebnis einen mathematischen Zuverlässigkeitswert. Dieser darf für jedes einzelne Ergebnis 85% nicht unterschreiten.

6.5.6 SLA 6: Reporting

Der Auftragnehmer gewährleistet die Bereitstellung der in dieser

Leistungsbeschreibung in Kapitel 8.4 Reports regelmäßig zu erstellenden Berichte

innerhalb von 5 (fünf) Arbeitstagen nach dem vereinbarten Stichtag und für Ad-hoc

angeforderte Berichte innerhalb von 10 (zehn) Arbeitstagen nach Anforderung.

Für den Fall, dass der Auftragnehmer seinen Reportingpflichten auch nach Ablauf

einer angemessenen, von der KfW gesetzten Frist nicht nachkommt, hat die KfW

Anspruch auf eine angemessene Gutschrift.

6.5.7 Anforderung Testumgebung

Für die Testumgebung gelten die in Kapiteln 6.5.1, 6.5.2, 6.5.3 und 6.5.4 definierten

Service-Level nicht. Dennoch schuldet der Auftragnehmer eine technische

Ausstattung der Testumgebung dahingehend, dass Verfügbarkeit die störungsfreie

und valide Durchführung von Test ermöglicht.

Insbesondere muss der Auftragnehmer die Verfügbarkeit der Testumgebung bis zum

Übergabepunkt in das Internet gemäß den Vorgaben des Vertrages den Unternehmen

des KfW-Konzerns in der Kernbetriebszeit gewährleisten.

Der Zielwert für die Verfügbarkeit der Testumgebung im Zeitraum der Kernbetriebszeit

beträgt 90 %.

Die Testumgebung gilt als verfügbar, wenn Tests im vorgesehenen Umfang von den

Unternehmen des KfW-Konzerns durchgeführt werden können.

Geplante Wartungsfenster in der Kernbetriebszeit, in denen das Testsystem von den

Unternehmen des KfW-Konzerns nicht nutzbar ist, müssen mit einem Vorlauf von

mindestens fünf (5) Arbeitstagen vom Auftragnehmer bei der KfW angekündigt werden.

6.5.8 Folgen von Service Level Verstößen

Bei Nichteinhaltung des für den SLA 1: Verfügbarkeit definierten Zielwerts wird pro

angefangenen Prozentpunkt der Unterschreitung die für den Bezugszeitraum (gemäß

30

109

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Ziffer 6.3 Buchst. b der Besonderen Vertragsbedingungen Cloud) vereinbarte

Pauschalvergütung, d.h. 1/12 der jährlichen „SaaS-Pauschale KYC-Tool“ gemäß

Preisposition 2.1 des Preisblattes, um pauschal 3 % gemindert. Ab einer Verfügbarkeit

von 75 % und weniger beträgt die pauschalisierte Minderung 100 %.

Für jeden Fall der Nichteinhaltung der für die SLA 2: Reaktions- oder

Wiederherstellungszeit, SLA 3: Performance und SLA 6: Reporting vereinbarten

Zielwerte schuldet der Auftragnehmer eine Vertragsstrafe in Höhe von 500 €. Zu den

allgemeinen Bestimmungen für Vertragsstrafen gelten die Regelungen unter Ziffer 28

der Allgemeinen Vertragsbedingungen.

Bei Nichteinhaltung des für den SLA 4: Wiederherstellungszeit (Time to Repair)

definierten Zielwerts wird pro angefangener Kalenderwoche der Überschreitung die für

den Bezugszeitraum vereinbarte Pauschalvergütung, d.h. 1/12 der jährlichen „SaaS-

Pauschale KYC Tool“ gemäß Preisposition 2.1 des Preisblattes, um pauschal 3 %

gemindert

Für jeden Fall der Nichteinhaltung der für den SLA 5 Zuverlässigkeit der KI

vereinbarten Zielwerte schuldet der Auftragnehmer eine Vertragsstrafe in Höhe von

50 €. Zu den allgemeinen Bestimmungen für Vertragsstrafen gelten die Regelungen

unter Ziffer 28 der Allgemeinen Vertragsbedingungen.

6.6 Lasttests

Der Lasttest hat zum Ziel, die Performance und die Stabilität des Systems vor dem

Hintergrund der in den SLAs geforderten Leistungsmerkmale (siehe Kapitel 6.5) zu

überprüfen.

Der Auftragnehmer hat eine Mitwirkungspflicht bei der Vorbereitung und Durchführung

der Lasttests. Die im Zusammenhang mit dem Lasttest angefallenen Aufwendungen

des Auftragnehmers werden mit den Tagessätzen für die eingesetzten Skill-Level

gemäß Preisblatt im Angebot des Auftragnehmers vergütet.

Die Lastszenarien werden zwischen den Parteien vor einem Lasttest rechtszeitig

abgestimmt.

6.7 Änderungen und Aktualisierungen des Systems

Der Auftragnehmer muss die KfW vor Implementierung über Inhalt und Zeitpunkt

anstehender Änderungen und Aktualisierungen in der produktiven Umgebung

frühzeitig, bspw. durch Release-Notes, informieren. Diese Kommunikation erfolgt

grundsätzlich 30 Kalendertage vor Änderung in der Produktionsumgebung, sofern die

Änderung keine Änderung in KfW-Anwendungen erfordert, an die das System

angebunden ist (gem. der im Schnittstellenkonzept dokumentierten Schnittstellen).

Alle produktiven Änderungen oder Aktualisierungen müssen zuvor auf der Test-

Umgebung durch den Auftragnehmer zur Verfügung gestellt werden.

Mit welchem Vorlauf die Bereitstellung erfolgen muss und ob es für eine produktive

Implementierung einer Freigabe durch die KfW bedarf, hängt von der Komplexität der

Änderung oder Aktualisierung ab. Die Änderungen oder Aktualisierungen werden in

den regelmäßigen Operativen Meetings (siehe Kapitel 8.3.3) zwischen KfW und

Auftragnehmer besprochen und einvernehmlich der Zeitpunkt der

31

110

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Zurverfügungstellung festgelegt und entschieden, ob eine Freigabe nach einem Test

durch die KfW erforderlich ist.

Änderungen und Aktualisierungen, die eine Auswirkung auf die KfW-Infrastruktur

haben, müssen der KfW vom Auftragnehmer vor den quartalsweisen PI-Plannings

mitgeteilt werden, mindestens mit einem Vorlauf von 3 Monaten vor der geplanten

Produktivstellung der Änderungen, sodass eine Abstimmung mit anderen ARTs und

Bereichen der KfW möglich ist.

6.7.1 Änderungen und Aktualisierungen, ausgelöst durch den Regulator

Der Auftragnehmer gewährleistet, dass, Änderungen des EU-

AML-Regulierungsrahmens (insb. EU-AML-Verordnung, EU-AML-Behörde, neue

zentrale Register) bis zum Inkrafttreten in der Standardsoftware bzw. deren

Konfiguration abzubilden, ohne dass hierfür zusätzliche Lizenzkosten entstehen

6.7.2 Änderungen und Aktualisierungen ausgelöst durch Auftragnehmer

Das zur Leistungserbringung eingesetzte System wird vom Auftragnehmer als SaaS

betrieben und fortlaufend im Rahmen seiner Update- und Release-Planung

weiterentwickelt. Der Auftragnehmer stellt das System den Unternehmen des KfW-

Konzerns in der jeweils aktuellen, getesteten Version zur Verfügung, so dass den

Unternehmen des KfW-Konzerns jederzeit, automatisch und ohne zusätzliche Kosten

alle Aktualisierungen und Fehlerbehebungen, Sicherheitsupdates und

Funktionserweiterungen zur Verfügung stehen.

Der Auftragnehmer gewährleistet, dass der vertraglich vereinbarte Funktionsumfang

des Systems (Kapitel 2 und 3) sowie die Voraussetzungen zur Nutzung bei den

Unternehmen des KfW-Konzerns (Kapitel 4) durch die Änderungen und

Aktualisierungen erhalten bleiben und gewährleistet dies auch über die Planung,

Durchführung und Dokumentation von Tests. Das bedeutet insbesondere, dass

sämtliche Anpassung (konfigurativ, zusätzliche App oder Individualentwicklung), die

vom Auftragnehmer zur Erfüllung der fachlichen Anforderungen der KfW an seiner

Standardsoftware vorgenommen werden, vollständig update- und upgradefähig sein

müssen. Diese Anpassungen müssen in der Weiterentwicklungs- und Release-

Planung des Auftragnehmers berücksichtigt werden.

6.7.3 Änderungen und Aktualisierungen ausgelöst durch KfW

Werden Änderungen oder Aktualisierungen an der KfW Infrastruktur (beispielsweise

Änderungen an den Schnittstellen oder Änderungen bei Zertifikaten oder Firewalls)

vorgenommen, die Auswirkungen auf das System haben, werden die resultierenden

notwendigen Änderungen vom Auftragnehmer unter Mitwirkung der KfW

vorgenommen. Diese werden dem Auftragnehmer im Rahmen der regelmäßig

stattfindenden Operativen Meetings mitgeteilt. Wenn für die Anpassungen am System

Weiterentwicklungsleistungen durch den Auftragnehmer erforderlich sind oder in

Vorbereitung der Anpassungen Beratungsleistungen von der KfW gewünscht sind,

werden diese wie in Kapitel 7 definiert von der KfW beauftragt.

32

111

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

7 Beratung zu Konfiguration und Anpassung des KYC-Tools

Der Auftragnehmer hat auf gesonderte Anforderungen und Beauftragung der KfW

Beratungs- und Anpassungsleistungen an dem KYC-Tool zu erbringen

(Bedarfsposition). Dazu können insbesondere folgende Leistungen gehören:

- Konzeption und Umsetzung spezifischer Anpassungen für die Unternehmen

des KfW-Konzerns an der vertragsgegenständlichen Software des KYC-Tools

durch Konfiguration und/oder Anpassungsprogrammierung

- Beratung zur Prozessoptimierung in Verbindung mit dem Produkteinsatz

- Beratung zur Konfiguration

- Erstellung von Dokumentationen und Konzepten

- Individuelle Schulung neuer fachlicher Administratoren durch einen Trainer (vor

Ort bei der KfW in Frankfurt am Main oder Remote über Videokonferenz)

Der Auftragnehmer darf zur Leistungserbringung ausschließlich Personen einsetzen,

die zumindest über die in Kapitel 9 aufgeführten Qualifikationen verfügen:

Der Auftragnehmer wird zur Gewährleistung der ordnungsgemäßen

Leistungserbringung angemessene Vorsorge für kurzfristige Änderungen und

Erhöhungen des für seine Leistungserbringung erforderlichen Personaleinsatzes

vorsehen. Ein Einsatz mehrerer Personen zur Abdeckung der Leistungen ist möglich

(z.B. Tandem-, Vertretungsmodell) und erwünscht.

8 Governance-Modell

Der Auftragnehmer schuldet die Erfüllung der Anforderungen des nachfolgend

beschriebenen Governance-Modells ohne gesonderte Vergütung.

8.1 Steuerungsebenen

Die Steuerung des Aufragnehmers sowie seiner Leistungserbringung erfolgt auf zwei

Ebenen:

1. Operative Ebene

2. Governance-Ebene

a. Taktisch (monatlich)

b. Strategisch (quartalsweise)

Die Leistungserbringung des Auftragnehmers und die Zusammenarbeit zwischen KfW

und Auftragnehmer während des Einführungsprojekts (siehe Kapitel 5) und der

Betriebsphase (siehe Kapitel 6) wird auf Operativer Ebene gesteuert. Der

Auftragnehmer hat hierzu die in Kapitel 8.2beschriebenen Ansprechpartner zur

Verfügung zu stellen.

Auf der Governance-Ebene erfolgt die Steuerung und das Reporting über die

Leistungserbringung des Auftragnehmers. Der Auftragnehmer hat hierzu neben den

Ansprechpartnern (s. Kapitel 8.2) einen Vertreter seines Managements zur Verfügung

zu stellen. Dieser muss an Meetings teilnehmen und beim Eskalationsmanagement

mitwirken.

33

112

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

8.2 Ansprechpartner des Auftragnehmers

Der Auftragnehmer muss die nachfolgend beschriebenen Rollen besetzen und der

KfW als Ansprechpartner für die Leistungserbringung zur Verfügung stellen. Es ist

möglich, dass ein Ansprechpartner des Aufragnehmers auch mehrere der definierten

Rollen übernimmt.

Ebenso benennt der Auftragnehmer die zuständigen Ansprechpartner auf seiner Seite

inklusive Kontaktdaten für das Eskalationsmanagement gemäß Kapitel 8.5. Die

Regelungen der Ziffer 17 der Allgemeinen Vertragsbedingungen gelten entsprechend.

8.2.1 Rolle Hauptansprechpartner (HAP)

Der Auftragnehmer muss gemäß den Vorgaben der Ziffer 17 der Allgemeinen

Vertragsbedingungen einen Ansprechpartner in der Rolle

„Hauptansprechpartner“ (HAP) und einen Stellvertreter benennen und der KfW

bereitstellen.

In der Phase des Einführungsprojektes muss der HAP als Projektleiter fungieren (siehe

auch Kapitel 5). In der Betriebsphase muss er auf Operativer Ebene als erster

Ansprechpartner für die KfW fungieren.

8.2.2 Rolle Service Manager

Der Auftragnehmer muss einen Ansprechpartner in der Rolle „Service

Manager“ benennen und der KfW bereitstellen. Er hat der KfW bei Fragen zum Betrieb

des Systems (siehe Kapitel 6) zur Verfügung zu stehen.

Insbesondere ist der Service Manager für die Gewährleistung der Bearbeitung der

Incidents durch den Service Desk des Auftragnehmers (siehe Kapitel 6.3)

verantwortlich und stellt für die KfW die erste operative Eskalationsstufe für Incidents

dar, falls diese nicht innerhalb der vereinbarten Service Levels gelöst werden.

8.2.3 Rolle Key Account Manager

Der Auftragnehmer muss einen Ansprechpartner in der Rolle „Key Account

Manager“ benennen. Er muss der KfW für alle vertraglichen und kommerziellen Fragen

zur Verfügung stehen.

8.3 Meetings

Der Auftragnehmer schuldet die Vorbereitung, Durchführung, Teilnahme und ggf. auch

Protokollierung von regelmäßigen Meetings sowohl auf der Operativen als auch auf

der Governance-Ebene. Die Meetings werden in der Regel im Rahmen einer durch die

KfW initiierten Videokonferenz-Session (aktuell WebEx) durchgeführt.

8.3.1 Operative Meetings im Einführungsprojekt

Der Auftragnehmer nimmt an den Regelmeetings nach Vorgabe seines Konzepts

„Einführungsprojekt“ gemäß seinem Angebot sowie der in Abstimmung mit der KfW

vorgenommenen weiteren Detaillierungen gemäß Kapitel 5 dieser

Leistungsbeschreibung teil. Dabei werden insbesondere operative Regelmeetings

(Scrum Events) im Rahmen der zweiwöchigen Sprints geplant. Der Auftragnehmer

gewährleistet, dass mindestens der HAP an den Regelmeetings teilnimmt.

34

113

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Unabhängig vom Konzept des Auftragnehmers schuldet er der KfW mindestens einen

Jour Fixe pro Woche, den der Auftragnehmer vorbereiten muss. Die KfW kann vom

Auftragnehmer auch die Durchführung eines täglichen Meetings fordern.

8.3.2 Governance-Meetings im Einführungsprojekt

Während der Phase des Einführungsprojektes führen der Auftragnehmer und die KfW

ein monatliches Governance-Meeting durch. Die Rolle und die Mitwirkungspflichten

des Auftragnehmers sowie die Art und Inhalte des Meetings sind in der nachfolgenden

Tabelle dargestellt:

Tabelle 1: Governance Meeting Monatlich (Einführungsprojekt)

Vor dem monatlichen Governance Meeting müssen alle relevanten Informationen

durch den Auftragnehmer aufbereitet und 3 Arbeitstage vor dem Termin der KfW zur

Verfügung gestellt werden.

Die Ergebnisse des monatlichen Governance Meetings müssen durch den

Auftragnehmer in Form eines Protokolls festgehalten und zur Abstimmung sowie nach

Freigabe durch beide Parteien an den Teilnehmerkreis versandt werden. Hierbei ist

ein Template der KfW zu nutzen, welches die KfW rechtzeitig bereitstellen wird.

8.3.3 Operative Meetings während der Betriebsphase

Während der Betriebsphase führen der Auftragnehmer und die KfW zwei Regel-

Meetings auf operativer Ebene durch; diese sind der Betriebs-Jour Fixe sowie das

Sprint Planning mit Refinement und Review. Daneben kann die KfW jederzeit auch

anlassbezogen andere Meetings oder auch direkte Kommunikation auf operativer

Ebene zwischen den Parteien fordern. Die Rolle und die Mitwirkungspflichten des

Auftragnehmers sowie die Art und Inhalte der Meetings sind in der nachfolgenden

35

114

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Tabelle dargestellt:

Tabelle 2: Betriebs-Jour Fixe

Vor den jeweiligen Meetings müssen alle relevanten Informationen durch den

Auftragnehmer aufbereitet und einen Arbeitstag vor dem Termin der KfW zur

Verfügung gestellt werden.

8.3.4 Governance-Meetings in der Betriebsphase

Während der Betriebsphase führen der Auftragnehmer und die KfW monatlich bzw.

quartalsweise Governance-Meetings durch. Die Rolle und die Mitwirkungspflichten

des Auftragnehmers sowie die Art und Inhalte der Meetings sind in der nachfolgenden

Tabelle dargestellt:

36

115

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Tabelle 4: Governance Meeting Monatlich (Betriebsphase)

Vor dem jeweiligen Governance Meeting müssen alle relevanten Informationen durch

den Auftragnehmer aufbereitet und 3 Arbeitstage vor dem Termin der KfW zur

Verfügung gestellt werden.

Die Ergebnisse des Governance Meetings müssen durch den Auftragnehmer in Form

eines Protokolls festgehalten und zur Abstimmung an den Teilnehmerkreis versandt

werden. Hierbei hat er ein Template der KfW zu nutzen, welches die KfW rechtzeitig

bereitstellen wird.

37

116

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Im letzten Monat eines Quartals (Kalendarisch) muss der Auftragnehmer anstelle des

„Governance Meeting Monatlich“ ein „Governance Meeting quartalsweise“ auf der

strategischen Ebene vorbereiten und durchführen. Im Rahmen des Meetings muss als

Leistungszeitraum das ablaufende Quartal betrachtet werden. Der Auftragnehmer

sorgt zudem dafür, dass im Rahmen des „Governance Meeting quartalsweise“ neben

den Ansprechpartnern auf Operativer Ebene auch Vertreter seines Managements und

der Key Account Manager teilnehmen. Im Übrigen entsprechen die

Verantwortlichkeiten bzgl. Vorbereitung, Organisation und Protokollierung denen des

„Governance Meeting Monatlich“, ebenso die Agenda. Diese entsprechenden

Vorgaben hat der Auftragnehmer ebenfalls einzuhalten bzw. zu berücksichtigen.

8.4 Reports

Der Auftragnehmer ist verpflichtet, die nachfolgenden Reports zur Leistungs-

erbringung zu den genannten Terminen während der Betriebsphase der KfW zur

Verfügung zu stellen. Die Vorgaben des Vertrages zu Informations- und

Reportingpflichten werden durch die Vorgaben dieses Kapitels nicht eingeschränkt,

sondern nur ggf. konkretisiert.

8.4.1 SLA-Report

Der Auftragnehmer hat einen SLA-Report nach den nachfolgenden Vorgaben

anzufertigen und der KfW zur Verfügung zu stellen:

38

117

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Der Auftragnehmer ist verpflichtet zum Nachweis

der Erfüllung der SLA 2: Reaktions- und

Wiederherstellungszeiten und SLA 4:

Wiederherstellungszeit (Time to Repair) alle

Incidents einzeln aufzuführen, die im

Berichtszeitraum im Ticket-System des

Auftragnehmers angelegt oder geschlossen

wurden. Für jeden Incident sind mindestens die

nachfolgenden Daten anzugeben:

• ID im Ticket-System des Auftragnehmers

• ID im Ticket-System der KfW

• Titel

• Incident-Klasse

• Datum der Ticketeröffnung im Ticket-System

des Auftragnehmers

• Reaktionszeit (Dauer)

• IST-Zeitpunkt Ende Reaktionszeit

• SOLL-Zeitpunkt Ende Reaktionszeit (gemäß

Kapitel 6.5.2)

• Wiederherstellungszeit (Dauer)

• IST-Zeitpunkt Ende Wiederherstellungszeit

• SOLL-Zeitpunkt Ende Wiederherstellungszeit

(gemäß Kapitel 6.5.2)

• Historie der Statuswechsel (Datum und Zeit,

neuer Status), aus der die Reaktions- und

Wiederherstellungszeit abgeleitet werden

kann

Des Weiteren sind die Anzahl der Incidents nach

Incident-Klassen aufzuführen, bei denen die in

Kapitel 6.5. aufgeführten SLA’s verletzt wurden (für

Reaktions- und Wiederherstellungszeit getrennt).

Darüber hinaus sind die Anzahl der Verstöße der SLA 3:

Performance und SLA 4: Wiederherstellungszeit

(Time to Repair) für den Berichtszeitraum im SLA- Report getrennt aufzuführen.

Tabelle 5: SLA-Report

Das Reporting umfasst im Falle einer nutzungsabhängigen Vergütung alle

vergütungsrelevanten Parameter.

Das Reporting umfasst zudem etwaig geschuldete Gutschriften, wobei diese alternativ

in der Abrechnung ausgewiesen werden können, wenn und soweit dies in der

Leistungsbeschreibung vorgesehen ist.

Das Reporting ist unverzüglich nach Ende des jeweiligen Berichtszeitraums in

elektronischer Form z.B. zum Download auf einer zugangsgeschützten Website (z.B.

39

118

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

einer Administrationskonsole) verfügbar zu machen oder zur Verfügung zu stellen und

der KfW auf deren Wunsch zu erläutern.

Die KfW hat an den Reports Rechte gemäß Ziffer 11 der Allgemeinen

Vertragsbedingungen, wobei die Nutzungsrechte zeitlich nicht beschränkt sind.

8.5 Eskalationsmanagement

Wenn während der Vertragslaufzeit Differenzen zwischen der KfW und dem

Auftragnehmer auftreten, hat der Auftragnehmer an den nachfolgend dargestellten 3

Ebenen des Eskalationsverfahrens teilzunehmen bzw. mitzuwirken. Ziel ist es, über

die Einschaltung der jeweils nächsthöheren Instanz eine Klärung bzw. Einigung

herbeizuführen.

Tabelle 6: Eskalationsstufen

Der Auftragnehmer hat daran mitzuwirken, dass eine Problemlösung zunächst auf

Operativer Ebene versucht wird. Erfordert das zu entscheidende Thema eine

Entscheidungskompetenz, die erst in einer bestimmten Eskalationsebene gegeben ist,

so hat er an einer Eskalation direkt in diese Ebene mitzuwirken.

Bei Nichterreichen einer Problemlösung in der jeweiligen Ebene hat der

Auftragnehmer eine Eskalation an die nächsthöhere Ebene weiterzugeben. Beide

Vertragspartner können entscheiden, unmittelbar den Eskalationsweg zu beschreiten,

sofern eine Lösung auf der operativen Ebene als nicht realistisch betrachtet wird. Sollte

der Auftragnehmer sich hierfür entscheiden, hat er die KfW hierüber zu informieren.

40

119

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

Der Auftragnehmer hat für die Eskalationsmeldung das nachfolgende Formular zu

verwenden.

Tabelle 7: Eskalationsmeldung

9 Kompetenzen des Personals

Die Auswahl des einzusetzenden Personals steht dem Auftragnehmer zu. Allerdings

darf der Auftragnehmer dabei ausschließlich Personal vorsehen, das über eine

41

120

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

ausreichende fachliche, technische, sprachliche und sonstige Qualifikation verfügt, um

den gestellten Anforderungen effizient gerecht werden zu können. Die KfW kann

bestimmte Qualifikationen als nötig vorgeben und hat das Recht sich durch die Vorlage

von Qualifikationsnachweisen von den erforderlichen Kenntnissen einer

vorgesehenen Person zu überzeugen.

9.1 Grundkompetenzen

Die vom Auftragnehmer zur Leistungserbringung eingesetzten Personen müssen

mindestens über folgende Grundkompetenzen verfügen:

o Fließende Deutschkenntnisse in Wort und Schrift, wobei

▪ die Hauptansprechpartnerin bzw. der Hauptansprechpartner

deutschsprachig sein soll muss und

▪ die Vermittlung / Abstimmung von komplexen Sachverhalten in

Deutsch erfolgen soll

Die KfW behält sich vor, von Nichtmuttersprachlern einen Nachweis

einzufordern, welcher mindestens Deutschkenntnisse auf Level C1 (gemäß

Gemeinsamer Europäischer Referenzrahmen GER) bestätigt

o Sehr gute verbale und schriftliche Kommunikation verbunden mit der

Eigenschaft, Zusammenhänge leicht verständlich und adressatengerecht

darzustellen

o Ausgeprägte Fähigkeit komplexe Vorgänge zu erfassen, zu analysieren, zu

bewerten und nachvollziehbar zu dokumentieren

o Gute Kenntnisse (mindestens 1 Jahr Erfahrung) im Umgang mit agiler

Projektmethodik wie Scrum

9.2 Spezielle Qualifikation gemäß Skill Level

Die vom Auftragnehmer zur Leistungserbringung eingesetzten Personen müssen

darüber hinaus – abhängig vom im Folgenden beschriebenen jeweiligen Skill-level –

mindestens über folgende spezielle Qualifikationen verfügen:

42

121

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

43

122

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

44

123

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

10 Abkürzungsverzeichnis

45

124

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

46

125

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

11 Glossar

47

126

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

48

127

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

49

128

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

50

129

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

51

130

Leistungsbeschreibung „KYC-Tool“, KfW 2026-0029

52

131

Gemeinsames Fachliches und Technisches Design (FuTD)

Template mit Ausfüllhilfe

KfW Bankengruppe

132

Hinweise zum Dokument (Block bitte bei Fertigstellung des Dokuments löschen): Die Ausfüllhilfen / Informationen werden Ihnen als grüne / blaue Schrift (ausgeblendeter Text) angezeigt, wenn Sie entweder -) über Datei/Optionen/Anzeige unter „Diese Formatierungszeichen immer auf dem Bildschirm anzeigen“ den Punkt „Ausgeblendeter Text“ selektieren oder -) das Absatzmarken-Zeichen betätigen. Die Ausfüllhilfen werden beim Drucken nur ausgedruckt, wenn die Druck-Option „Ausgeblendeten Text drucken“ ausgewählt wurde!

Dokumentinformation

Tabelle 1: Dokumenteninformationen

Dokumenthistorie

Tabelle 2: Dokumenthistorie

Begriffe, Abkürzungen, Definitionen

Abkürzung Begriff Definition

Tabelle 3: Begriffe, Abkürzungen, Definitionen

Relevante Dokumente

Name Ablageort

Tabelle 4: Übersicht Referenzdokumente

Mitgeltende Dokumente

Name Ablageort

1 In Bearbeitung, In Abstimmung, Freigegeben

133 Seite 2 von 19

Tabelle 5: Mitgeltende Dokumente

Verantwortliche / Ersteller / Mitwirkende

Name, OE Funktion

Tabelle 6: Verantwortliche / Ersteller / Mitwirkende

Qualitätssicherung

Name, OE Funktion

Tabelle 7: Qualitätssicherung

134 Seite 3 von 19

Inhaltsverzeichnis

KfW Bankengruppe .......................................................................................................... 1 Inhaltsverzeichnis .............................................................................................................. 4

1 Zielsetzung, Abhängigkeiten und Randbedingungen gemäß Fachvorgabe .......... 7

1.1 Zielsetzung und Auswirkungen ........................................................................... 7 1.2 Ausgangssituation und Auslöser ........................................................................ 7 1.3 Leistungsabgrenzung .......................................................................................... 7 1.4 Abhängigkeiten..................................................................................................... 7 1.5 Annahmen ............................................................................................................. 7 1.6 Rahmenbedingungen ........................................................................................... 7 1.6.1 Mengengerüst ............................................................................................................................ 7 1.6.2 Kapazität / Verbrauchsverhalten................................................................................................ 7 1.6.3 Gesetzliche Grundlagen ............................................................................................................ 7 1.7 Nicht-funktionale Anforderungen ........................................................................ 7 1.7.1 Benutzeroberfläche .................................................................................................................... 7 1.7.2 Effizienz und Performance ......................................................................................................... 7 1.7.3 Zuverlässigkeit ........................................................................................................................... 7 1.7.4 Änderbarkeit............................................................................................................................... 7 1.7.5 Sicherheit ................................................................................................................................... 7 1.7.6 Anforderungen an die technische Realisierung ......................................................................... 7 1.7.7 Anforderungen an das Deployment ........................................................................................... 8 1.7.8 Gesetzliche Grundlagen ............................................................................................................ 8 1.7.9 Datenschutz ............................................................................................................................... 8 1.7.10 Skalierbarkeit ............................................................................................................................. 8 1.7.11 Stabilität ..................................................................................................................................... 8 1.7.12 Verfügbarkeit/Wiederherstellbarkeit/Wiederanlaufklasse .......................................................... 8 1.7.13 Konfigurierbarkeit ....................................................................................................................... 8 1.7.14 Kompatibilität ............................................................................................................................. 8 1.7.15 Testbarkeit ................................................................................................................................. 8 1.7.16 Datenarchivierung ...................................................................................................................... 8 1.8 Sicherheitsbezogene Anforderungen ................................................................. 8 1.8.1 Schutzbedarf .............................................................................................................................. 8 1.8.2 Authentifizierung ........................................................................................................................ 8 1.8.3 Autorisierung: Benutzergruppen/Rollen/Rechte ........................................................................ 8 1.8.4 Verschlüsselung......................................................................................................................... 8 1.8.5 Signierung .................................................................................................................................. 8 1.9 Anforderungen an die Datenmodellierung ......................................................... 8 1.9.1 Mandantenfähigkeit ................................................................................................................... 8 1.9.2 Historisierung ............................................................................................................................. 9 1.9.3 Stichtagsfähigkeit ....................................................................................................................... 9 2 Allgemeine Übersicht ................................................................................................ 10 2.1 Funktionale Beschreibung ................................................................................. 10 2.2 Integration der Applikation in die Systemlandschaft der KfW ........................ 10

3 Rahmenablauf der Applikation ................................................................................. 11

3.1 Prozessbeschreibung ........................................................................................ 11 3.2 Übersicht der Funktionen .................................................................................. 11 3.3 Anwendungsfälle (Use Cases) (optional) .......................................................... 11

135 Seite 4 von 19

3.3.1 Anwendungsfall ......................................................................................................... 11 4 Funktionales Design ................................................................................................. 12

5 Fremd- und Standardsoftwarekomponenten .......................................................... 13

5.1 Customizing ........................................................................................................ 13 5.1.1 Vorbedingungen ...................................................................................................................... 13 5.1.2 Vorgehen ................................................................................................................................. 13 5.1.3 Ergebnisse ............................................................................................................................... 13 5.1.4 Beispiele .................................................................................................................................. 13 5.1.5 Dokumentation der Konfigurationseinstellungen ..................................................................... 13 5.2 Fehlerhandling .................................................................................................... 13

6 Schnittstellenbeschreibung und Anforderungen an andere Funktionen ............. 14

6.1 Schnittstelle ......................................................................................... 14 6.1.1 Fachliche Beschreibung .......................................................................................................... 14 6.1.2 Übergabeparameter ................................................................................................................. 14

7 Jobkomplexe und Batches/Jobs .............................................................................. 15

7.1 Jobkomplex .......................................................................................... 15 7.1.1 Jobkomplex im übergreifenden Kontext .................................................................................. 15 7.1.2 Jobkomplex im Rahmen dieser Applikation/Funktion .............................................................. 15 7.1.3 Batch ......................................................................................................................... 15 8 Applikationsbetrieb ................................................................................................... 16 8.1 Konfiguration ...................................................................................................... 16 8.2 Configuration Items ............................................................................................ 16 8.3 Deployment ......................................................................................................... 16 8.4 Logging/Error-Codes.......................................................................................... 16 8.4.1 Übersicht .................................................................................................................................. 16 8.4.2 Applikation/Funktion/Batch ....................................................................................... 16 9 Querschnittsthemen ................................................................................................. 18 9.1 Berechtigungskonzept ....................................................................................... 18 9.1.1 Angaben zur Benutzeridentifizierung bzw. –authentifizierung ................................................. 18 9.1.2 Prozess der Provisionierung der Berechtigungen ................................................................... 18 9.1.3 Namenskonventionen für Kennungen ..................................................................................... 18 9.1.4 Beschreibung der Einzelberechtigungen, technischen Berechtigungen und Rollen ............... 18 9.1.5 Besondere Kennungen ............................................................................................................ 18 9.1.6 Prozess der Berechtigungsvergabe ........................................................................................ 18 9.1.7 Angabe toxischer Berechtigungskombinationen ..................................................................... 18 9.1.8 Privilegierte Berechtigungen .................................................................................................... 18 9.2 Datenschutz und IT Sicherheit .......................................................................... 18 9.2.1 Datenschutz ............................................................................................................................. 18 9.2.2 IT-Sicherheit ............................................................................................................................. 18 9.2.3 Datenarchivierung .................................................................................................................... 18 9.3 Auditing ............................................................................................................... 18 9.4 Datenmigration ................................................................................................... 18

10 Offene Punkte und Entscheidungsbedarf ............................................................ 19

Tabellenverzeichnis Tabelle 1: Dokumenteninformationen .............................................................................................. 2

136 Seite 5 von 19

Tabelle 2: Dokumenthistorie ........................................................................................................... 2 Tabelle 3: Begriffe, Abkürzungen, Definitionen ............................................................................... 2 Tabelle 4: Übersicht Referenzdokumente ....................................................................................... 2 Tabelle 5: Mitgeltende Dokumente .................................................................................................. 3 Tabelle 6: Verantwortliche / Ersteller / Mitwirkende ......................................................................... 3 Tabelle 7: Qualitätssicherung .......................................................................................................... 3 Tabelle 8: Mandantenfähigkeit ........................................................................................................ 9 Tabelle 9: Teilprozess 1 ................................................................................................. 11 Tabelle 10: Konfigurationseinstellungen „“ ................................................................. 13 Tabelle 11: Meldungen ................................................................................................................. 13 Tabelle 12: Schnittstellenübersicht ................................................................................................ 14 Tabelle 13: Übergabeparameter ................................................................. 14 Tabelle 14: Konfiguration ................................................................ 16 Tabelle 15: Übersicht Logging der Komponenten ......................................................................... 16 Tabelle 16: Logging Applikation / Funktion / Batch ......................................................... 17 Tabelle 17: Übersicht der übergreifenden Anforderungen ............................................................. 18 Tabelle 18: Offene Punkte ............................................................................................................ 19

Abbildungsverzeichnis Alle Abbildungen sind in der Ausfüllhilfe.

AA040569 Feinkonzeption IT-Lösung bereitstellenAA040119 Technische Konzeption und Realisierung

137 Seite 6 von 19

1 Zielsetzung, Abhängigkeiten und Randbedingungen

gemäß Fachvorgabe

1.1 Zielsetzung und Auswirkungen

1.2 Ausgangssituation und Auslöser

1.3 Leistungsabgrenzung

1.4 Abhängigkeiten

1.5 Annahmen

1.6 Rahmenbedingungen

1.6.1 Mengengerüst

1.6.2 Kapazität / Verbrauchsverhalten

1.6.3 Gesetzliche Grundlagen

1.7 Nicht-funktionale Anforderungen

1.7.1 Benutzeroberfläche

1.7.2 Effizienz und Performance

1.7.3 Zuverlässigkeit

1.7.4 Änderbarkeit

1.7.5 Sicherheit

1.7.6 Anforderungen an die technische Realisierung

138 Seite 7 von 19

1.7.7 Anforderungen an das Deployment

1.7.8 Gesetzliche Grundlagen

1.7.9 Datenschutz

1.7.10 Skalierbarkeit

1.7.11 Stabilität

1.7.12 Verfügbarkeit/Wiederherstellbarkeit/Wiederanlaufklasse

1.7.13 Konfigurierbarkeit

1.7.14 Kompatibilität

1.7.15 Testbarkeit

1.7.16 Datenarchivierung

1.8 Sicherheitsbezogene Anforderungen

1.8.1 Schutzbedarf

1.8.2 Authentifizierung

1.8.3 Autorisierung: Benutzergruppen/Rollen/Rechte

1.8.4 Verschlüsselung

1.8.5 Signierung

1.9 Anforderungen an die Datenmodellierung

1.9.1 Mandantenfähigkeit

Entität KfW IPEX n

139 Seite 8 von 19

Tabelle 8: Mandantenfähigkeit

1.9.2 Historisierung

1.9.3 Stichtagsfähigkeit

140 Seite 9 von 19

2 Allgemeine Übersicht

2.1 Funktionale Beschreibung

2.2 Integration der Applikation in die Systemlandschaft der KfW

141 Seite 10 von 19

3 Rahmenablauf der Applikation

3.1 Prozessbeschreibung

Tabelle 9: Teilprozess 1

3.2 Übersicht der Funktionen

3.3 Anwendungsfälle (Use Cases) (optional)

3.3.1 Anwendungsfall

142 Seite 11 von 19

4 Funktionales Design

143 Seite 12 von 19

5 Fremd- und Standardsoftwarekomponenten

5.1 Customizing

5.1.1 Vorbedingungen

5.1.2 Vorgehen

5.1.3 Ergebnisse

5.1.4 Beispiele

5.1.5 Dokumentation der Konfigurationseinstellungen

Tabelle 10: Konfigurationseinstellungen „“

5.2 Fehlerhandling

Tabelle 11: Meldungen

144 Seite 13 von 19

6 Schnittstellenbeschreibung und Anforderungen an andere

Funktionen

Name der Schnittstelle In Out intern Referenz

Tabelle 12: Schnittstellenübersicht

6.1 Schnittstelle

6.1.1 Fachliche Beschreibung

6.1.2 Übergabeparameter

Datenattribute Validierung Reaktion bei Verletzung

Tabelle 13: Übergabeparameter

145 Seite 14 von 19

7 Jobkomplexe und Batches/Jobs

7.1 Jobkomplex

7.1.1 Jobkomplex im übergreifenden Kontext

7.1.2 Jobkomplex im Rahmen dieser Applikation/Funktion

7.1.3 Batch

Allgemeine Beschreibung

Übergabeparameter

Beschreibung der Ablauflogik

Scheduling

Kontrolle des erfolgreichen Batchlaufs

Hinweise zum Abbruch und manuellen Stop sowie manuellen und automatischen Wiederanlauf von Batches

Abhängigkeiten zu anderen Batches/Jobs

146 Seite 15 von 19

8 Applikationsbetrieb

8.1 Konfiguration

Tabelle 14: Konfiguration

8.2 Configuration Items

8.3 Deployment

8.4 Logging/Error-Codes

8.4.1 Übersicht

Komponente Logging-Mechanismus

Tabelle 15: Übersicht Logging der Komponenten

8.4.2 Applikation/Funktion/Batch

147 Seite 16 von 19

Tabelle 16: Logging Applikation / Funktion / Batch

148 Seite 17 von 19

9 Querschnittsthemen

Tabelle 17: Übersicht der übergreifenden Anforderungen

9.1 Berechtigungskonzept

9.1.1 Angaben zur Benutzeridentifizierung bzw. –authentifizierung

9.1.2 Prozess der Provisionierung der Berechtigungen

9.1.3 Namenskonventionen für Kennungen

9.1.4 Beschreibung der Einzelberechtigungen, technischen Berechtigungen und

Rollen

9.1.5 Besondere Kennungen

9.1.6 Prozess der Berechtigungsvergabe

9.1.7 Angabe toxischer Berechtigungskombinationen

9.1.8 Privilegierte Berechtigungen

9.2 Datenschutz und IT Sicherheit

9.2.1 Datenschutz

9.2.2 IT-Sicherheit

9.2.3 Datenarchivierung

9.3 Auditing

9.4 Datenmigration

149 Seite 18 von 19

10 Offene Punkte und Entscheidungsbedarf

Tabelle 18: Offene Punkte

150 Seite 19 von 19

LEISTUNGSVERZEICHNIS 01.09.2026

Ausschreibung (Korrektur 2)

Verfahren: KfW-2026-0029 - Cloudbasierte Softwarelösung zur teilweisen Digitalisierung des KYC-Prozesses

SKONTO

AUFLISTUNG ALLER POSITIONEN

ALLE PREISE SIND OHNE UMSATZSTEUER ANZUGEBEN

1 Implementierungsprojekt USt. [%] Menge Einheit Einzelpreis [EUR] Gesamtpreis [EUR] 19% 1,00 Stück ................ pro 1,00 Stück ................ Festpreis für das Einführungsprojekt gemäß Kapitel 5 der Leistungsbeschreibung.

2 Preise für zu erbringende Leistungen im 1. Vertragsjahr. EUR .........................

2.1 mtl. Pauschale für Bereitstellung Einzelpreis [EUR] Gesamtpreis [EUR] und den Betrieb der Cloudbasierten USt. [%] Menge Einheit Softwarelösung im 1. Vertragsjahr. ................ 19% 6,00 Monat pro 1,00 Monat ................

Die monatliche Pauschale umfasst die laufende Bereitstellung und den Betrieb der Cloudbasierten Softwarelösung gem. Kapitel 6 der Leistungsbeschreibung und muss dabei mindestens den Grundbedarf der Mengen gemäß Kapitel 4.2 der Leistungsbeschreibung beinhalten. Weiterhin sind alle Leistungen gemäß Kapitel 8 der Leistungsbeschreibung ebenfalls mit dieser Pauschale abgedeckt. Die Pauschale kann erstmalig nach Erreichen des Meilensteins 1 gem. Kapitel 5.2.2 der Leistungsbeschreibung berechnet werden. Bei der angegebenen Menge handelt es sich um einen Schätzwert, die

Leistungsverzeichnis - 1/30 151

vom Zeitpunkt des Erreichens des Meilensteins 1 abhängig ist.

2.2 Preis für 100 zusätzliche Einzelpreis [EUR] Gesamtpreis [EUR] Fallanlagen, die nicht über die Monatspauschale abgedeckt sind, USt. [%] Menge Einheit ................ pro 100,00 Stück ................ im 1. Vertragsjahr 19% 3,00 Stück

Preis pro 100 Anlagen eines KYC-Falls über API oder GUI wie in Kapitel 4.2 der Leistungsbeschreibung aufgeführt, die über die in der Monatspauschale enthaltene Menge hinausgehen im 1. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

2.3 Handling Fee für automatisierte Einzelpreis [EUR] Gesamtpreis [EUR] Dokumentenbeschaffungen gemäß Kapitel 4.2 der ................ USt. [%] Menge Einheit pro 1.000,00 Stück ................ Leistungsbeschreibung, die nicht über die Monatspauschale 19% 3,00 Stück abgedeckt sind, im 1. Vertragsjahr

Preis pro 1.000 durchgeführter automatisierter Dokumentenbeschaffungen gemäß Kapitel 4.2 der Leistungsbeschreibung, die über die in der Monatspauschale enthaltene Menge hinausgehen, im 1. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

Leistungsverzeichnis - 2/30 152

2.4 Concierge Fee für manuelle Einzelpreis [EUR] Gesamtpreis [EUR] Dokumentenbeschaffung gemäß Kapitel 4.2 der USt. [%] Menge Einheit ................ pro 1,00 Stück ................ Leistungsbeschreibung im 1. Vertragsjahr 19% 5,00 Stück

Preis pro durchgeführter manueller Dokumentenbeschaffung gemäß Kapitel 4.2 der Leistungsbeschreibung, die nicht über die Monatspauschale abgedeckt sind, im 1. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

2.5 Preis für eine onsite Einzelpreis [EUR] Gesamtpreis [EUR] durchzuführende Schulung im 1. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis beinhaltet alle gemäß Kapitel 4.8 der Leistungsbeschreibung beschriebenen Leistungen für eine Schulung in den Räumen der KfW in Frankfurt im 1. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

2.6 Preis für eine offsite Einzelpreis [EUR] Gesamtpreis [EUR] durchzuführende Schulung im 1. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis beinhaltet alle gemäß Kapitel 4.8 der Leistungsbeschreibung beschriebenen Leistungen für eine online durchgeführte Schulung im 1. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

Leistungsverzeichnis - 3/30 153

2.7 Stundensätze für Beratungs- und Unterstützungsleistungen gemäß Kapiteln 6.6 EUR ......................... und 7 der Leistungsbeschreibung im 1. Vertragsjahr. Die Beschreibungen der Skill Level finden sich in Kapitel 9 der Leistungsbeschreibung. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

2.7.1 Stundensatz Skill Level Senior Einzelpreis [EUR] Gesamtpreis [EUR] Business Consultant onsite im 1. USt. [%] Menge Einheit Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 1. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

2.7.2 Stundensatz Skill Level Senior Einzelpreis [EUR] Gesamtpreis [EUR] Business Consultant offsite im 1. USt. [%] Menge Einheit Vertragsjahr ................ 19% 80,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 1. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

Leistungsverzeichnis - 4/30 154

2.7.3 Stundensatz Skill Level Business Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant onsite im 1. Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 1. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

2.7.4 Stundensatz Skill Level Business Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant offsite im 1. Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 1. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

2.7.5 Stundensatz Skill Level Senior IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant onsite im 1. Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 1. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

Leistungsverzeichnis - 5/30 155

2.7.6 Stundensatz Skill Level Senior IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant offsite im 1. Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 1. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

2.7.7 Stundensatz Skill Level IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant onsite im 1. Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 1. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

2.7.8 Stundensatz Skill Level IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant offsite im 1. Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 1. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

Leistungsverzeichnis - 6/30 156

2.8 Monatliche Preise für die Einrichtung und Pflege von zusätzlichen Nutzern im 1. EUR ......................... Vertragsjahr.

2.8.1 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Rechte Administrator" im 1. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Rechte Administrator" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

2.8.2 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Fachlicher Administrator" USt. [%] Menge Einheit im 1. Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Fachlicher Administrator" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

2.8.3 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Vollnutzer" im 1. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Leistungsverzeichnis - 7/30 157

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Vollnutzer" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

2.8.4 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Erfassungsnutzer" im 1. USt. [%] Menge Einheit Vertragsjahr ................ 19% 5,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Erfassungsnutzer" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

3 Preise für zu erbringende Leistungen im 2. Vertragsjahr. EUR .........................

3.1 mtl. Pauschale für Bereitstellung Einzelpreis [EUR] Gesamtpreis [EUR] und den Betrieb der Cloudbasierten Softwarelösung für das 2. USt. [%] Menge Einheit ................ pro 1,00 Monat ................ Vertragsjahr. 19% 12,00 Monat

Die monatliche Pauschale umfasst die laufende Bereitstellung und den Betrieb der Cloudbasierten Softwarelösung gem. Kapitel 6 der Leistungsbeschreibung und muss dabei mindestens den Grundbedarf der Mengen gemäß Kapitel 4.2 der Leistungsbeschreibung beinhalten. Weiterhin sind alle Leistungen gemäß Kapitel 8 der Leistungsbeschreibung ebenfalls mit dieser Pauschale abgedeckt. Die Pauschale kann erstmalig nach Erreichen des Meilensteins 1 gem. Kapitel 5.2.2 der Leistungsbeschreibung berechnet werden. Bei der angegebenen Menge handelt es sich um einen Schätzwert, die vom Zeitpunkt des Erreichens des Meilensteins 1 abhängig ist.

Leistungsverzeichnis - 8/30 158

3.2 Preis für 100 zusätzliche Einzelpreis [EUR] Gesamtpreis [EUR] Fallanlagen, die nicht über die Monatspauschale abgedeckt sind, USt. [%] Menge Einheit ................ pro 100,00 Stück ................ im 2. Vertragsjahr 19% 4,00 Stück

Preis pro 100 Anlagen eines KYC-Falls über API oder GUI wie in Kapitel 4.2 der Leistungsbeschreibung aufgeführt, die über die in der Monatspauschale enthaltene Menge hinausgehen, im 2. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

3.3 Handling Fee für automatisierte Einzelpreis [EUR] Gesamtpreis [EUR] Dokumentenbeschaffung gemäß Kapitel 4.2 der ................ USt. [%] Menge Einheit pro 1.000,00 Stück ................ Leistungsbeschreibung, die nicht über die Monatspauschale 19% 4,00 Stück abgedeckt sind, im 2. Vertragsjahr

Preis pro 1.000 durchgeführter automatisierter Dokumentenbeschaffungen gemäß Kapitel 4.2 der Leistungsbeschreibung, die über die in der Monatspauschale enthaltene Menge hinausgehen, im 2. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

3.4 Concierge Fee für manuelle USt. [%] Menge Einheit Einzelpreis [EUR] Gesamtpreis [EUR] Dokumentenbeschaffung gemäß Kapitel 4.2 der 19% 7,00 Stück ................ pro 1,00 Stück ................ Leistungsbeschreibung im 2. Vertragsjahr

Leistungsverzeichnis - 9/30 159

Preis pro durchgeführter manueller Dokumentenbeschaffung gemäß Kapitel 4.2 der Leistungsbeschreibung, die nicht über die Monatspauschale abgedeckt sind, im 2. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

3.5 Preis für eine onsite Einzelpreis [EUR] Gesamtpreis [EUR] durchzuführende Schulung im 2. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis beinhaltet alle gemäß Kapitel 4.8 der Leistungsbeschreibung beschriebenen Leistungen für eine Schulung in den Räumen der KfW in Frankfurt im 2. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

3.6 Preis für eine offsite Einzelpreis [EUR] Gesamtpreis [EUR] durchzuführende Schulung im 2. USt. [%] Menge Einheit Vertragsjahr ................ 19% 2,00 Stück pro 1,00 Stück ................

Der Preis beinhaltet alle gemäß Kapitel 4.8 der Leistungsbeschreibung beschriebenen Leistungen für eine online durchgeführte Schulung im 2. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

Leistungsverzeichnis - 10/30 160

3.7 Stundensätze für Beratungs- und Unterstützungsleistungen gemäß Kapiteln 6.6 EUR ......................... und 7 der Leistungsbeschreibung im 2. Vertragsjahr. Die Beschreibungen der Skill Level finden sich in Kapitel 9 der Leistungsbeschreibung. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

3.7.1 Stundensatz Skill Level Senior Einzelpreis [EUR] Gesamtpreis [EUR] Business Consultant onsite im 2. USt. [%] Menge Einheit Vertragsjahr ................ 19% 40,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 2. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

3.7.2 Stundensatz Skill Level Senior Einzelpreis [EUR] Gesamtpreis [EUR] Business Consultant offsite im 2. USt. [%] Menge Einheit Vertragsjahr ................ 19% 40,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 2. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

3.7.3 Stundensatz Skill Level Business Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant onsite im 2. Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 2. Vertragsjahr.

Leistungsverzeichnis - 11/30 161

Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

3.7.4 Stundensatz Skill Level Business Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant offsite im 2. Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 2. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

3.7.5 Stundensatz Skill Level Senior IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant onsite im 2. Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 2. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

3.7.6 Stundensatz Skill Level Senior IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant offsite im 2. Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter

Leistungsverzeichnis - 12/30 162

Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 2. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

3.7.7 Stundensatz Skill Level IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant onsite im 2. Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 2. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

3.7.8 Stundensatz Skill Level IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant offsite im 2. Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 2. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

3.8 Monatliche Preise für die Einrichtung und Pflege von zusätzlichen Nutzern im 2. EUR ......................... Vertragsjahr.

Leistungsverzeichnis - 13/30 163

3.8.1 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Rechte Administrator" im 2. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Rechte Administrator" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

3.8.2 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Fachlicher Administrator" USt. [%] Menge Einheit im 2. Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Fachlicher Administrator" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

3.8.3 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Vollnutzer" im 2. USt. [%] Menge Einheit Vertragsjahr ................ 19% 2,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Vollnutzer" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

Leistungsverzeichnis - 14/30 164

3.8.4 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Erfassungsnutzer" im 2. USt. [%] Menge Einheit Vertragsjahr ................ 19% 10,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Erfassungsnutzer" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

4 Preise für zu erbringende Leistungen im 3. Vertragsjahr. EUR .........................

4.1 mtl. Pauschale für Bereitstellung Einzelpreis [EUR] Gesamtpreis [EUR] und den Betrieb der Cloudbasierten USt. [%] Menge Einheit Softwarelösung im 3. Vertragsjahr. ................ 19% 12,00 Monat pro 1,00 Monat ................

Die monatliche Pauschale umfasst die laufende Bereitstellung und den Betrieb der Cloudbasierten Softwarelösung gem. Kapitel 6 der Leistungsbeschreibung und muss dabei mindestens den Grundbedarf der Mengen gemäß Kapitel 4.2 der Leistungsbeschreibung beinhalten. Weiterhin sind alle Leistungen gemäß Kapitel 8 der Leistungsbeschreibung ebenfalls mit dieser Pauschale abgedeckt. Die Pauschale kann erstmalig nach Erreichen des Meilensteins 1 gem. Kapitel 5.2.2 der Leistungsbeschreibung berechnet werden. Bei der angegebenen Menge handelt es sich um einen Schätzwert, die vom Zeitpunkt des Erreichens des Meilensteins 1 abhängig ist.

Leistungsverzeichnis - 15/30 165

4.2 Preis für 100 zusätzliche Einzelpreis [EUR] Gesamtpreis [EUR] Fallanlagen, die nicht über die Monatspauschale abgedeckt sind, USt. [%] Menge Einheit ................ pro 100,00 Stück ................ im 3. Vertragsjahr 19% 6,00 Stück

Preis pro 100 Anlagen eines KYC-Falls über API oder GUI wie in Kapitel 4.2 der Leistungsbeschreibung aufgeführt, die über die in der Monatspauschale enthaltene Menge hinausgehen im 3. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

4.3 Handling Fee für automatisierte Einzelpreis [EUR] Gesamtpreis [EUR] Dokumentenbeschaffung gemäß Kapitel 4.2 der ................ USt. [%] Menge Einheit pro 1.000,00 Stück ................ Leistungsbeschreibung, die nicht über die Monatspauschale 19% 6,00 Stück abgedeckt sind, im 3. Vertragsjahr

Preis pro 1.000 durchgeführter automatisierter Dokumentenbeschaffungen gemäß Kapitel 4.2 der Leistungsbeschreibung, die über die in der Monatspauschale enthaltene Menge hinausgehen, im 3. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

4.4 Concierge Fee für manuelle Einzelpreis [EUR] Gesamtpreis [EUR] Dokumentenbeschaffung gemäß Kapitel 4.2 der USt. [%] Menge Einheit ................ pro 1,00 Stück ................ Leistungsbeschreibung im 3. Vertragsjahr 19% 3,00 Stück

Preis pro durchgeführter manueller Dokumentenbeschaffung gemäß Kapitel 4.2 der Leistungsbeschreibung, die nicht über die Monatspauschale abgedeckt sind, im 3. Vertragsjahr.

Leistungsverzeichnis - 16/30 166

Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

4.5 Preis für eine onsite Einzelpreis [EUR] Gesamtpreis [EUR] durchzuführende Schulung im 3. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis beinhaltet alle gemäß Kapitel 4.8 der Leistungsbeschreibung beschriebenen Leistungen für eine Schulung in den Räumen der KfW in Frankfurt im 3. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

4.6 Preis für eine offsite Einzelpreis [EUR] Gesamtpreis [EUR] durchzuführende Schulung im 3. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis beinhaltet alle gemäß Kapitel 4.8 der Leistungsbeschreibung beschriebenen Leistungen für eine online durchgeführte Schulung im 3. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

4.7 Stundensätze für Beratungs- und Unterstützungsleistungen gemäß Kapiteln 6.6 EUR ......................... und 7 der Leistungsbeschreibung im 3. Vertragsjahr. Die Beschreibungen der Skill Level finden sich in Kapitel 9 der Leistungsbeschreibung. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

Leistungsverzeichnis - 17/30 167

4.7.1 Stundensatz Skill Level Senior Einzelpreis [EUR] Gesamtpreis [EUR] Business Consultant onsite im 3. USt. [%] Menge Einheit Vertragsjahr ................ 19% 16,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 3. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

4.7.2 Stundensatz Skill Level Senior Einzelpreis [EUR] Gesamtpreis [EUR] Business Consultant offsite im 3. USt. [%] Menge Einheit Vertragsjahr ................ 19% 64,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 3. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

4.7.3 Stundensatz Skill Level Business Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant onsite im 3. Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 3. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

Leistungsverzeichnis - 18/30 168

4.7.4 Stundensatz Skill Level Business Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant offsite im 3. Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 3. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

4.7.5 Stundensatz Skill Level Senior IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant onsite im 3. Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 3. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

4.7.6 Stundensatz Skill Level Senior IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant offsite im 3. Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 3. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

Leistungsverzeichnis - 19/30 169

4.7.7 Stundensatz Skill Level IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant onsite im 3. Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 3. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

4.7.8 Stundensatz Skill Level IT Einzelpreis [EUR] Gesamtpreis [EUR] USt. [%] Menge Einheit Consultant offsite im 3. Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung im 3. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

4.8 Monatliche Preise für die Einrichtung und Pflege von zusätzlichen Nutzern im 3. EUR ......................... Vertragsjahr.

4.8.1 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Rechte Administrator" im 3. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Leistungsverzeichnis - 20/30 170

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Rechte Administrator" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

4.8.2 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Fachlicher Administrator" USt. [%] Menge Einheit im 3. Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Fachlicher Administrator" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

4.8.3 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Vollnutzer" im 3. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Vollnutzer" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

Leistungsverzeichnis - 21/30 171

4.8.4 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Erfassungsnutzer" im 3. USt. [%] Menge Einheit Vertragsjahr ................ 19% 10,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Erfassungsnutzer" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

5 Preise für zu erbringende Leistungen ab dem 4. Vertragsjahr. EUR .........................

5.1 mtl. Pauschale für Bereitstellung Einzelpreis [EUR] Gesamtpreis [EUR] und den Betrieb der Cloudbasierten Softwarelösung ab dem 4. USt. [%] Menge Einheit ................ pro 1,00 Monat ................ Vertragsjahr. 19% 12,00 Monat

Die monatliche Pauschale umfasst die laufende Bereitstellung und den Betrieb der Cloudbasierten Softwarelösung gem. Kapitel 6 der Leistungsbeschreibung und muss dabei mindestens den Grundbedarf der Mengen gemäß Kapitel 4.2 der Leistungsbeschreibung beinhalten. Weiterhin sind alle Leistungen gemäß Kapitel 8 der Leistungsbeschreibung ebenfalls mit dieser Pauschale abgedeckt. Die Pauschale kann erstmalig nach Erreichen des Meilensteins 1 gem. Kapitel 5.2.2 der Leistungsbeschreibung berechnet werden. Bei der angegebenen Menge handelt es sich um einen Schätzwert, die vom Zeitpunkt des Erreichens des Meilensteins 1 abhängig ist.

5.2 Preis für 100 zusätzliche Einzelpreis [EUR] Gesamtpreis [EUR] Fallanlagen, die nicht über die Monatspauschale abgedeckt sind, USt. [%] Menge Einheit ................ pro 100,00 Stück ................ ab dem 4. Vertragsjahr 19% 5,00 Stück

Preis pro 100 Anlagen eines KYC-Falls über API oder GUI wie in

Leistungsverzeichnis - 22/30 172

Kapitel 4.2 der Leistungsbeschreibung aufgeführt, die über die in der Monatspauschale enthaltene Menge hinausgehen ab dem 4. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

5.3 Handling Fee für automatisierte Einzelpreis [EUR] Gesamtpreis [EUR] Dokumentenbeschaffung gemäß Kapitel 4.2 der ................ pro 1.000,00 Stück ................ Leistungsbeschreibung, die nicht USt. [%] Menge Einheit über die Monatspauschale abgedeckt sind, ab dem 4. 19% 5,00 Stück Vertragsjahr

Preis pro 1.000 durchgeführter automatisierter Dokumentenbeschaffungen gemäß Kapitel 4.2 der Leistungsbeschreibung, die über die in der Monatspauschale enthaltene Menge hinausgehen, ab dem 4. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

5.4 Concierge Fee für manuelle Einzelpreis [EUR] Gesamtpreis [EUR] Dokumentenbeschaffung gemäß Kapitel 4.2 der USt. [%] Menge Einheit ................ pro 1,00 Stück ................ Leistungsbeschreibung ab dem 4. Vertragsjahr 19% 6,00 Stück

Preis pro durchgeführter manueller Dokumentenbeschaffung gemäß Kapitel 4.2 der Leistungsbeschreibung, die nicht über die Monatspauschale abgedeckt sind, ab dem 4. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur Abnahme verpflichtet.

Leistungsverzeichnis - 23/30 173

5.5 Preis für eine onsite Einzelpreis [EUR] Gesamtpreis [EUR] durchzuführende Schulung ab dem USt. [%] Menge Einheit 4. Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis beinhaltet alle gemäß Kapitel 4.8 der Leistungsbeschreibung beschriebenen Leistungen für eine Schulung in den Räumen der KfW in Frankfurt ab dem4. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

5.6 Preis für eine offsite Einzelpreis [EUR] Gesamtpreis [EUR] durchzuführende Schulung ab dem USt. [%] Menge Einheit 4. Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis beinhaltet alle gemäß Kapitel 4.8 der Leistungsbeschreibung beschriebenen Leistungen für eine online durchgeführte Schulung ab dem 4. Vertragsjahr. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

5.7 Stundensätze für Beratungs- und Unterstützungsleistungen gemäß Kapiteln 6.6 EUR ......................... und 7 der Leistungsbeschreibung ab dem 4. Vertragsjahr. Die Beschreibungen der Skill Level finden sich in Kapitel 9 der Leistungsbeschreibung. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

5.7.1 Stundensatz Skill Level Senior Einzelpreis [EUR] Gesamtpreis [EUR] Business Consultant onsite ab dem USt. [%] Menge Einheit 4. Vertragsjahr ................ 19% 16,00 Std. pro 1,00 Std. ................

Leistungsverzeichnis - 24/30 174

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung iab dem 4. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

5.7.2 Stundensatz Skill Level Senior Einzelpreis [EUR] Gesamtpreis [EUR] Business Consultant offsite ab dem USt. [%] Menge Einheit 4. Vertragsjahr ................ 19% 64,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung ab dem 4. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

5.7.3 Stundensatz Skill Level Business Einzelpreis [EUR] Gesamtpreis [EUR] Consultant onsite ab dem 4. USt. [%] Menge Einheit Vertragsjahr ................ 19% 40,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung ab dem 4. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

Leistungsverzeichnis - 25/30 175

5.7.4 Stundensatz Skill Level Business Einzelpreis [EUR] Gesamtpreis [EUR] Consultant offsite ab dem 4. USt. [%] Menge Einheit Vertragsjahr ................ 19% 120,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung ab dem 4. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

5.7.5 Stundensatz Skill Level Senior IT Einzelpreis [EUR] Gesamtpreis [EUR] Consultant onsite ab dem 4. USt. [%] Menge Einheit Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung ab dem 4. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

5.7.6 Stundensatz Skill Level Senior IT Einzelpreis [EUR] Gesamtpreis [EUR] Consultant offsite ab dem 4. USt. [%] Menge Einheit Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung ab dem 4. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

Leistungsverzeichnis - 26/30 176

5.7.7 Stundensatz Skill Level IT Einzelpreis [EUR] Gesamtpreis [EUR] Consultant onsite ab dem 4. USt. [%] Menge Einheit Vertragsjahr ................ 19% 8,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst vor Ort bei der KfW in Frankfurt gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung ab dem 4. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

5.7.8 Stundensatz Skill Level IT Einzelpreis [EUR] Gesamtpreis [EUR] Consultant offsite ab dem 4. USt. [%] Menge Einheit Vertragsjahr ................ 19% 160,00 Std. pro 1,00 Std. ................

Der Stundensatz umfasst remote gemäß Kapiteln 6.6 und 7 der Leistungsbeschreibung zu erbringende Tätigkeiten unter Berücksichtigung des Skill Levels aus Kapitel 9 der Leistungsbeschreibung ab dem 4. Vertragsjahr. Bei den angegebenen Mengen handelt es sich um Schätzwerte, die die KfW nicht zur Abnahme verpflichten.

5.8 Monatliche Preise für die Einrichtung und Pflege von zusätzlichen Nutzern ab EUR ......................... dem 4. Vertragsjahr.

Leistungsverzeichnis - 27/30 177

5.8.1 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Rechte Administrator" ab USt. [%] Menge Einheit dem 4. Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Rechte Administrator" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

5.8.2 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Fachlicher Administrator" USt. [%] Menge Einheit ab dem 4. Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Fachlicher Administrator" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

5.8.3 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Vollnutzer" ab dem 4. USt. [%] Menge Einheit Vertragsjahr ................ 19% 1,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Vollnutzer" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

Leistungsverzeichnis - 28/30 178

5.8.4 mtl. Preis für einen zusätzlichen Einzelpreis [EUR] Gesamtpreis [EUR] Nutzer "Erfassungsnutzer" ab dem USt. [%] Menge Einheit 4. Vertragsjahr ................ 19% 50,00 Stück pro 1,00 Stück ................

Der Preis umfasst alle notwendigen Leistungen für die Einrichtung und Pflege eines zusätzlichen Nutzers der Ausprägung "Erfassungsnutzer" gemäß Beschreibung in Kapitel 4.2 der Leistungsbeschreibung. Bei der angegebenen Menge handelt es sich um einen Schätzwert, der die KfW nicht zur vollständigen Abnahme verpflichtet.

ANGEBOTSSUMME(N)

Leistungsverzeichnis - 29/30 179

LEISTUNGSVERZEICHNIS 01.09.2026

Ausschreibung (Korrektur 2)

Verfahren: KfW-2026-0029 - Cloudbasierte Softwarelösung zur teilweisen Digitalisierung des

KYC-Prozesses

AUFLISTUNG ALLER DATEIANLAGEN ZU DEN POSITIONEN

Name Dateiname Größe MIME-Type

Leistungsverzeichnis - 30/30 180

KRITERIENKATALOG 01.09.2026

Ausschreibung (Korrektur 2)

Verfahren: KfW-2026-0029 - Cloudbasierte Softwarelösung zur teilweisen Digitalisierung des

KYC-Prozesses

EIGNUNGSKRITERIEN

1 Ansprechpartner und Kontaktdaten [Mussangabe]

Bitte geben Sie für Rückfragen im Verfahren einen Ansprechpartner inklusive Kontaktdaten (Telefonnummer) an. Ferner bitten wir Sie um Angabe einer allgemeinen E-Mail-Adresse Ihres Unternehmens. Die E-Mail-Adresse darf keinen Rückschluss auf personenbezogene Daten (z.B. Namen) zulassen und wird in der Bekanntmachung über den vergebenen Auftrag bzgl. des Zuschlagsbieters veröffentlicht.

2.1.1 Eignungskriterium

Ausschlusskriterium Der Nettojahresumsatz muss in jedem der letzten drei abgeschlossenen Geschäftsjahre (2022/2023 bis 2024/2025) im betrachteten Tätigkeitsbereich SaaS-Betrieb mindestens 500.000,00 Mio. EURO netto sowie im betrachteten Tätigkeitsbereich Beratung und Projekte mindestens 80.000,00 EURO netto betragen haben.

Hinweis: Die nachfolgenden Antwortoptionen (Keine Angabe/Ja/Nein) sind bewusst ausgegraut. Es sind keine Angaben erforderlich.

[ ] Keine Angabe [ ] Ja [ ] Nein

Nur eine Antwort wählbar

2.1.2 Nachweis: Jahresumsatz Tätigkeitsbereich Auftrag [Mussangabe]

Bitte geben Sie den Jahresumsatz im Tätigkeitsbereich des Auftrags des Bieters/Bewerbers in jedem der letzten drei Kalenderjahre in EUR, netto an.

Beispiel: 2023 = 500.000,00 EUR Tätigkeitsbereich SaaS-Betrieb und 90.000,00 EUR Tätigkeitsbereich Beratung und Projekte 2024 = 600.000,00 EUR Tätigkeitsbereich SaaS-Betrieb und 100.000,00 EUR Tätigkeitsbereich Beratung und Projekte 2025 = 700.000,00 EUR Tätigkeitsbereich SaaS-Betrieb und 120.000,00 EUR Tätigkeitsbereich Beratung und Projekte

3.1.1 Eignungskriterium

Ausschlusskriterium Der Bieter/ Bewerber muss über geeignete Referenzen über früher ausgeführte Liefer- und Dienstleistungen in den letzten vier Jahren verfügen.

Mindestanforderung:

Der Bieter muss mindestens drei Referenzen aus der Finanzbranche (davon mindestens eine Bank) vorweisen:

• zwei Referenzen von einem im deutschsprachigen Raum ansässigen Unternehmen mit Geschäftsaktivitäten im deutschsprachigen Raum • eine weitere Referenz von einem im deutschsprachigen Raum ansässigen Unternehmen mit überwiegend internationalem Geschäftsfeld

In allen Referenzen muss der Bieter die Lösung zum KYC-Onboarding (Identifikation, Dokumentenbeschaffung, Ermittlung der wirtschaftlich Berechtigten unter Nutzung künstlicher Intelligenz) in den letzten vier Jahren eingeführt und anschließend für einen Zeitraum von mindestens zwei Jahren erbracht haben.

Hinweis: Die nachfolgenden Antwortoptionen (Keine Angabe/Ja/Nein) sind bewusst ausgegraut. Es sind keine Angaben erforderlich.

[ ] Keine Angabe [ ] Ja [ ] Nein

Nur eine Antwort wählbar

3.1.2 Hinweis

Bitte benennen Sie Ihre Referenzen nachfolgend mit den geforderten Angaben.

HINWEISE:

Kriterienkatalog - 1/6 181

1. Zur Überprüfung der Referenzen sind sowohl die Referenzgeber als auch die Kontaktdaten von Ansprechpartner(n)*innen dieser Referenzgeber in den dafür vorgesehenen Textfeldern einzutragen. Können Referenzen nicht verifiziert werden, behält sich die KfW vor, diese Referenzen als nicht wertungsfähig zu behandeln, was zum Ausschluss des betroffenen Bieters/Bewerbers führen kann.

2. Wenn Sie mehr Referenzen als vorgegeben einreichen wollen, fügen Sie diese bitte als externes PDF bei. Achten Sie dabei bitte darauf, dass alle geforderten Angaben enthalten sind.

3.1.3 Referenz 1

3.1.3.1 Referenzgeber [Mussangabe]

Bitte geben sie den Referenzgeber an mit Name: Ansprechpartner (inkl. Email, Telefon):

3.1.3.2 Beschreibung der Referenzleistung [Mussangabe]

Welche Leistungen haben Sie erbracht? Bitte beschreiben Sie diese ausführlich und aussagekräftig und gehen dabei insbesondere auf das Tätigkeitsumfeld (Finanzbranche/Bank), die Geschäftstätigkeit (deutschsprachigen Raum ansässigen Unternehmen mit Geschäftsaktivitäten im deutschsprachigen Raum oder deutschsprachigen Raum ansässigen Unternehmen mit überwiegend internationalem Geschäftsfeld) und die erbrachte Leistung (Lösung zum KYC-Onboarding (Identifikation, Dokumentenbeschaffung, Ermittlung der wirtschaftlich Berechtigten unter Nutzung künstlicher Intelligenz) in den letzten vier Jahren eingeführt und anschließend für einen Zeitraum von mindestens zwei Jahren erbracht haben) ein.

3.1.3.3 Referenzleistendes Unternehmen [Mussangabe]

Welches Unternehmen hat die Leistung erbracht? (Bieterunternehmen/Bewerb erunternehmen, Mitglied Bietergemeinschaft/ Bewerbergemeinschaft oder anderes Unternehmen im Fall der Eignungsleihe). Bitte benennen Sie das Unternehmen:

3.1.3.4 Auftragswert [Mussangabe]

Geben Sie bitte den Auftragswert der erbrachten Leistungen in EUR netto an:

3.1.3.5 Leistungszeitraum [Mussangabe]

Geben Sie bitte den Zeitraum der Leistungserbringung der erbrachten Leistung an (MM/JJ bis MM/JJ)

3.1.4 Referenz 2

3.1.4.1 Referenzgeber [Mussangabe]

Bitte geben sie den Referenzgeber an mit Name: Ansprechpartner (inkl. Email, Telefon):

3.1.4.2 Beschreibung der Referenzleistung [Mussangabe]

Welche Leistungen haben Sie erbracht? Bitte beschreiben Sie diese ausführlich und aussagekräftig und gehen dabei insbesondere auf das Tätigkeitsumfeld (Finanzbranche/Bank), die Geschäftstätigkeit (deutschsprachigen Raum ansässigen Unternehmen mit Geschäftsaktivitäten im deutschsprachigen Raum oder deutschsprachigen Raum ansässigen Unternehmen mit überwiegend internationalem Geschäftsfeld) und die erbrachte Leistung (Lösung zum KYC-Onboarding (Identifikation, Dokumentenbeschaffung, Ermittlung der wirtschaftlich Berechtigten unter Nutzung künstlicher Intelligenz) in den letzten vier Jahren eingeführt und anschließend für einen Zeitraum von mindestens zwei Jahren erbracht haben) ein.

3.1.4.3 Referenzleistendes Unternehmen [Mussangabe]

Welches Unternehmen hat die Leistung erbracht? (Bieterunternehmen/Bewerb erunternehmen, Mitglied Bietergemeinschaft/ Bewerbergemeinschaft oder anderes Unternehmen im Fall der Eignungsleihe). Bitte benennen Sie das Unternehmen:

3.1.4.4 Auftragswert [Mussangabe]

Geben Sie bitte den Auftragswert der erbrachten Leistungen in EUR netto an:

3.1.4.5 Leistungszeitraum [Mussangabe]

Geben Sie bitte den Zeitraum der Leistungserbringung der erbrachten Leistung an (MM/JJ bis MM/JJ)

3.1.5 Referenz 3

3.1.5.1 Referenzgeber [Mussangabe]

Bitte geben sie den Referenzgeber an mit Name: Ansprechpartner (inkl. Email, Telefon):

Kriterienkatalog - 2/6 182

3.1.5.2 Beschreibung der Referenzleistung [Mussangabe]

Welche Leistungen haben Sie erbracht? Bitte beschreiben Sie diese ausführlich und aussagekräftig und gehen dabei insbesondere auf das Tätigkeitsumfeld (Finanzbranche/Bank), die Geschäftstätigkeit (deutschsprachigen Raum ansässigen Unternehmen mit Geschäftsaktivitäten im deutschsprachigen Raum oder deutschsprachigen Raum ansässigen Unternehmen mit überwiegend internationalem Geschäftsfeld) und die erbrachte Leistung (Lösung zum KYC-Onboarding (Identifikation, Dokumentenbeschaffung, Ermittlung der wirtschaftlich Berechtigten unter Nutzung künstlicher Intelligenz) in den letzten vier Jahren eingeführt und anschließend für einen Zeitraum von mindestens zwei Jahren erbracht haben) ein.

3.1.5.3 Referenzleistendes Unternehmen [Mussangabe]

Welches Unternehmen hat die Leistung erbracht? (Bieterunternehmen/Bewerb erunternehmen, Mitglied Bietergemeinschaft/ Bewerbergemeinschaft oder anderes Unternehmen im Fall der Eignungsleihe). Bitte benennen Sie das Unternehmen:

3.1.5.4 Auftragswert [Mussangabe]

Geben Sie bitte den Auftragswert der erbrachten Leistungen in EUR netto an:

3.1.5.5 Leistungszeitraum [Mussangabe]

Geben Sie bitte den Zeitraum der Leistungserbringung der erbrachten Leistung an (MM/JJ bis MM/JJ)

3.2 Fachkräfte für die Leistungserbringung (Kernteam)

3.2.1 Eignungskriterium

Ausschlusskriterium Der Bieter/die Bietergemeinschaft muss über folgende Fachkräfte zur Leistungserbringung verfügen, und zwar:

Für die Rolle Hauptansprechpartner (HAP) ein Mitarbeiter (1 MA) und für die Rolle des Stellvertreters ebenfalls ein Mitarbeiter (1 MA).

Die vom Auftragnehmer zur Leistungserbringung eingesetzten Personen müssen mindestens über folgende Grundkompetenzen verfügen: • Fließende Deutschkenntnisse in Wort und Schrift, wobei die Hauptansprechpartnerin bzw. der Hauptansprechpartner deutschsprachig sein muss und die Vermittlung / Abstimmung von komplexen Sachverhalten in Deutsch erfolgen soll. Die KfW behält sich vor, von Nichtmuttersprachlern einen Nachweis einzufordern, welcher mindestens Deutschkenntnisse auf Level C1 (gemäß Gemeinsamer Europäischer Referenzrahmen GER) bestätigt • Sehr gute verbale und schriftliche Kommunikation verbunden mit der Eigenschaft, Zusammenhänge leicht verständlich und adressatengerecht darzustellen • Ausgeprägte Fähigkeit komplexe Vorgänge zu erfassen, zu analysieren, zu bewerten und nachvollziehbar zu dokumentieren • Gute Kenntnisse (mindestens 1 Jahr Erfahrung) im Umgang mit agiler Projektmethodik wie Scrum

Darüber hinaus gelten für die Rolle des HAP, der während des Einführungsprojekts als PO fungieren soll, folgende weitere Anforderungen: • Abgeschlossenes (Fach-)Hochschulstudium in einer relevanten Fachrichtung wie beispielsweise Betriebswirtschaftslehre, Volkswirtschaftslehre, Wirtschaftswissenschaften / Wirtschaftsinformatik, Informatik, Ingenieurswesen, Naturwissenschaften oder eine vergleichbare Ausbildung • Mindestens 3 Jahre Managementerfahrung in der Leitung von vergleichbaren Projekten, insbesondere in der Initiierung, Planung, Durchführung und Steuerung von Softwareeinführungsprojek ten (agil) bei Finanzdienstleistern. • umfassende und sehr tiefe Kenntnisse der vertragsgegenständlichen Software • umfassende Kenntnis von Projektmanagement-Methode n (inkl. Change- und Kostenmanagement)

Hinweis: Die nachfolgenden Antwortoptionen (Keine Angabe/Ja/Nein) sind bewusst ausgegraut. Es sind keine Angaben erforderlich.

[ ] Keine Angabe [ ] Ja [ ] Nein

Nur eine Antwort wählbar

3.2.2 Hinweis [Mussangabe]

Wir haben das Formblatt "Kurzlebensläufe" vollständig ausgefüllt und als externe Anlage zum Angebot hochgeladen.

[ ]

Mehrere Antworten wählbar

4.1.1 Frage [Mussangabe]

Hat Ihr Unternehmen/ein Unternehmen der Bietergemeinschaft/Bewerb ergemeinschaft gegen seine Verpflichtungen zur Zahlung von Steuern, Abgaben oder Beiträgen zur Sozialversicherung verstoßen?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Kriterienkatalog - 3/6 183

Nur eine Antwort wählbar

4.1.2 Erläuterung

Falls Sie die Frage mit "Ja" beantwortet haben:

Erläutern Sie bitte Ihre Erklärung und schildern den Sachverhalt:

4.1.3 Selbstreinigende Maßnahmen

Falls die Frage mit "Ja" beantwortet wurde:

Angabe der rechtskräftigen Gerichts- oder bestandskräftigen Verwaltungsentscheidung und Angabe, ob das Unternehmen die Zahlung vorgenommen oder sich zur Zahlung der Steuern, Abgaben und Beiträge zur Sozialversicherung einschließlich Zinsen, Säumnis- und Strafzuschlägen verpflichtet hat.

4.2 Verstoß gg. umwelt-, sozial- oder arbeitsrechtliche Verpflichtungen

4.2.1 Frage [Mussangabe]

Hat Ihr Unternehmen/ein Unternehmen der Bietergemeinschaft/Bewerb ergemeinschaft bei der Ausführung öffentlicher Aufträge nachweislich gegen geltende umwelt-, sozial- oder arbeitsrechtliche Verpflichtungen verstoßen?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

4.2.2 Erläuterung

Falls Sie die Frage mit "Ja" beantwortet haben:

Erläutern Sie bitte Ihre Erklärung und schildern den Sachverhalt:

4.2.3 Selbstreinigende Maßnahmen

Falls die Frage mit "Ja" beantwortet wurde:

Wurden selbstreinigende Maßnahmen gemäß § 125 GWB getroffen (z. B. Schadensausgleich; aktive Zusammenarbeit mit Ermittlungsbehörden und betroffenen Auftraggebern; konkrete technische, organisatorische und personelle Maßnahmen, die geeignet sind, weitere Straftaten oder Fehlverhalten zu vermeiden)?

4.3 Zahlungsunfähigkeit, Insolvenzverfahren, Liquidation

4.3.1 Frage [Mussangabe]

Ist Ihr Unternehmen / ein Unternehmen der Bietergemeinschaft/Bewerb ergemeinschaft zahlungsunfähig bzw. wurde über das Vermögen des Unternehmens ein Insolvenzverfahren oder ein vergleichbares Verfahren beantragt oder eröffnet oder die Eröffnung eines solchen Verfahrens mangels Masse abgelehnt?

Befindet sich Ihr/ein Unternehmen der Bietergemeinschaft im Verfahren der Liquidation oder hat es seine Tätigkeit eingestellt?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

4.3.2 Erläuterung

Falls Sie die Frage mit "Ja" beantwortet haben:

Erläutern Sie bitte Ihre Erklärung und schildern den Sachverhalt:

4.4 Schwere Verfehlung

4.4.1 Frage [Mussangabe]

Hat Ihr Unternehmen/ein Unternehmen der Bietergemeinschaft/Bewerb ergemeinschaft im Rahmen der beruflichen Tätigkeit nachweislich eine schwere Verfehlung begangen, durch die die Integrität des Unternehmens infrage gestellt wird?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

4.4.2 Erläuterung

Falls Sie die Frage mit "Ja" beantwortet haben:

Erläutern Sie bitte Ihre Erklärung und schildern den Sachverhalt:

Kriterienkatalog - 4/6 184

4.4.3 Selbstreinigende Maßnahmen

Falls die Frage mit "Ja" beantwortet wurde:

Wurden selbstreinigende Maßnahmen gemäß § 125 GWB getroffen (z. B. Schadensausgleich, aktive Zusammenarbeit mit Ermittlungsbehörden und betroffenen Auftraggebern, konkrete technische, organisatorische und personelle Maßnahmen, die geeignet sind, weitere Straftaten oder Fehlverhalten zu vermeiden)?

5 Abfrage gemäß VO (EU) 2022/576 [Mussangabe]

Es ist gemäß der Verordnung (EU) 2022/576 (zur Änderung der Verordnung (EU) Nr. 833/2014) verboten, öffentliche Aufträge zu vergeben an:

a) russische Staatsangehörige oder in Russland niedergelassene natürliche oder juristische Personen, Organisationen oder Einrichtungen,

b) juristische Personen, Organisationen oder Einrichtungen, deren Anteile zu über 50 % unmittelbar oder mittelbar von einer der unter Buchstabe a genannten Organisationen gehalten werden, oder

c) natürliche oder juristische Personen, Organisationen oder Einrichtungen, die im Namen oder auf Anweisung einer der unter Buchstabe a oder b genannten Organisationen handeln,

auch solche, auf die mehr als 10 % des Auftragswerts entfällt, Unterauftragnehmer, Lieferanten oder Unternehmen, deren Kapazitäten im Sinne der Richtlinien über die öffentliche Auftragsvergabe in Anspruch genommen werden.

[ ] Ich bestätige, dass weder mein Unternehmen (juristische oder natürliche Person) bzw. ein Mitglied der durch mein Unternehmen vertretenen Bieter-/Bewerbergemeinsch aft (juristische oder natürliche Person), noch ein von meinem Unternehmen bzw. von einem Mitglied der durch mein Unternehmen vertretenen Bieter-/der Bewerbergemeinschaft eingesetzter Lieferant oder Unterauftragnehmer (juristische oder natürliche Person) unter das Verbot des Art. 5k der Verordnung (EU) Nr. 833/2014 fällt (durch Verordnung (EU) Nr. 2022/576 ergänzte Vorschrift).

Mehrere Antworten wählbar

6 Abfrage gemäß VO (EU) 2022/2554 (DORA) [Mussangabe]

Vor Abschluss einer vertraglichen Vereinbarung über die Nutzung von IKT-Dienstleistungen müssen Finanzunternehmen gem. Art. 28 Abs.4 des Digital Operational Resilience Act (DORA), Verordnung (EU) 2022/2554:

a) beurteilen, ob sich die vertragliche Vereinbarung auf die Nutzung von IKT-Dienstleistungen zur Unterstützung einer kritischen oder wichtigen Funktion bezieht; b) beurteilen, ob die aufsichtsrechtlichen Bedingungen für die Auftragsvergabe erfüllt sind; c) alle relevanten Risiken im Zusammenhang mit der vertraglichen Vereinbarung ermitteln und bewerten, einschließlich der Möglichkeit, dass diese vertragliche Vereinbarung dazu beitragen kann, das in Artikel 29 genannte IKT-Konzentrationsrisiko zu erhöhen; d) bei potenziellen IKT-Drittdienstleistern der gebotenen Sorgfaltspflicht nachkommen und während des gesamten Auswahl- und Bewertungsprozesses sicherstellen, dass der IKT-Drittdienstleister geeignet ist; e) Interessenkonflikte, die durch die vertragliche Vereinbarung entstehen können, ermitteln und bewerten.

[ ] Ich nehme zur Kenntnis, dass die KfW vor Zuschlag eine Prüfung gemäß Art. 28 Abs. 4 des Digital Operational Resilience Act (DORA), Verordnung (EU) 2022/2554 durchführt und ich bei zuschlagsverhindernden Gründen vom EU-Vergabeverfahren ausgeschlossen werde.

Mehrere Antworten wählbar

7 Unterauftragnehmer

7.1 Erklärung zu Unterauftragnehmer [Mussangabe]

Setzen Sie für die Erbringung von Leistungen Unterauftragnehmer ein?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

7.2 Weitere Angaben zu Unterauftragnehmern

Falls Sie die Frage mit "Ja" beantwortet haben:

Bitte benennen Sie

1. Art und Umfang der voraussichtlich von Unterauftragnehmern zu erbringenden Aufgaben und Leistungsteile
2. Soweit zum Zeitpunkt der Angebotsabgabe bereits möglich: Name/Firma des Unterauftragnehmers

Beispiel:

1. Leistungen des Unterauftragnehmers: ... Name/Firma des Unterauftragnehmers: ...

2. Leistungen des Unterauftragnehmers: ... Name/Firma des Unterauftragnehmers: ...

8 Eignungsleihe

8.1 Erklärung zur Eignungsleihe [Mussangabe]

Kriterienkatalog - 5/6 185

Nehmen Sie zum Nachweis Ihrer Eignung, die Kapazitäten anderer Unternehmen in Anspruch (Eignungsleihe)?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

8.2 Weitere Angaben zur Eignungsleihe

Falls Sie die Frage mit "Ja" beantwortet haben:

Bitte benennen Sie das/die andere/n Unternehmen, teilen mit, welche Leistungen das andere Unternehmen übernehmen wird und geben die Kapazitäten und den Eignungsnachweis des anderen Unternehmens an.

Beispiel:

1. Unternehmen: ...

• Leistungen des Unternehmens: ...
• Kapazitäten und Eignungsnachweis: ...

2. ...

8.3 Verpflichtungserklärung bei Eignungsleihe

Haben Sie im Falle einer Eignungsleihe die Verpflichtungserklärung für die Unterauftragnehmer, deren Kapazitäten Sie sich zum Nachweis Ihrer Eignung bedienen, als Anlage beigefügt?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

9 Wettbewerbsregister

9.1 Einholung Registerauskunft durch KfW

Mir/Uns ist bekannt, dass die KfW nach § 6 Abs. 1 Satz 1 Wettbewerbsregistergesetz (WRegG) als öffentliche Auftraggeberin verpflichtet ist, vor der Erteilung des Zuschlags in einem Verfahren zur Vergabe öffentlicher Aufträge mit einem geschätzten Auftragswert ab 30.000 Euro ohne Umsatzsteuer beim Bundeskartellamt abzufragen, ob im Wettbewerbsregister Eintragungen zu dem Bieter gespeichert sind, an den die KfW den Auftrag zu vergeben beabsichtigt. Die Eintragungen im Wettbewerbsregister können sowohl natürliche (z.B. Einzelunternehmen) als auch juristische Personen betreffen.

9.2 Bezeichnung des Registers [Mussangabe]

Bitte benennen Sie das deutsche oder ausländische Handels-, Genossenschafts-, Vereins-, Partnerschafts- oder vergleichbare amtliche Register, in das Ihr Unternehmen eingetragen ist.

9.3 Registernummer [Mussangabe]

Bitte geben Sie die Registernummer an, unter welcher Ihr Unternehmen in dem von Ihnen bezeichneten deutschen oder ausländischen Register geführt wird.

9.4 Registerführende Stelle [Mussangabe]

Bitte geben Sie das Registergericht / die Genehmigungsbehörde / die amtliche Stelle an, die das Register führt.

9.5 Postanschrift des Sitzes des Bieterunternehmens [Mussangabe]

Bitte geben Sie die Straße, die Hausnummer, die Postleitzahl (kein Postfach!) sowie den Ort und das Land Ihres Unternehmenssitzes an.

9.6 Umsatzsteuer-Identifikati onsnummer [Mussangabe]

Bitte geben Sie, soweit vorhanden, die Umsatzsteuer-ID Ihres Unternehmens an.

Kriterienkatalog - 6/6 186

KRITERIENKATALOG 01.09.2026

Ausschreibung (Korrektur 2)

Verfahren: KfW-2026-0029 - Cloudbasierte Softwarelösung zur teilweisen Digitalisierung des

KYC-Prozesses

EIGNUNGSKRITERIEN

1 Ansprechpartner und Kontaktdaten [Mussangabe]

Bitte geben Sie für Rückfragen im Verfahren einen Ansprechpartner inklusive Kontaktdaten (Telefonnummer) an. Ferner bitten wir Sie um Angabe einer allgemeinen E-Mail-Adresse Ihres Unternehmens. Die E-Mail-Adresse darf keinen Rückschluss auf personenbezogene Daten (z.B. Namen) zulassen und wird in der Bekanntmachung über den vergebenen Auftrag bzgl. des Zuschlagsbieters veröffentlicht.

2.1.1 Eignungskriterium

Ausschlusskriterium Der Nettojahresumsatz muss in jedem der letzten drei abgeschlossenen Geschäftsjahre (2022/2023 bis 2024/2025) im betrachteten Tätigkeitsbereich SaaS-Betrieb mindestens 500.000,00 Mio. EURO netto sowie im betrachteten Tätigkeitsbereich Beratung und Projekte mindestens 80.000,00 EURO netto betragen haben.

Hinweis: Die nachfolgenden Antwortoptionen (Keine Angabe/Ja/Nein) sind bewusst ausgegraut. Es sind keine Angaben erforderlich.

[ ] Keine Angabe [ ] Ja [ ] Nein

Nur eine Antwort wählbar

2.1.2 Nachweis: Jahresumsatz Tätigkeitsbereich Auftrag [Mussangabe]

Bitte geben Sie den Jahresumsatz im Tätigkeitsbereich des Auftrags des Bieters/Bewerbers in jedem der letzten drei Kalenderjahre in EUR, netto an.

Beispiel: 2023 = 500.000,00 EUR Tätigkeitsbereich SaaS-Betrieb und 90.000,00 EUR Tätigkeitsbereich Beratung und Projekte 2024 = 600.000,00 EUR Tätigkeitsbereich SaaS-Betrieb und 100.000,00 EUR Tätigkeitsbereich Beratung und Projekte 2025 = 700.000,00 EUR Tätigkeitsbereich SaaS-Betrieb und 120.000,00 EUR Tätigkeitsbereich Beratung und Projekte

3.1.1 Eignungskriterium

Ausschlusskriterium Der Bieter/ Bewerber muss über geeignete Referenzen über früher ausgeführte Liefer- und Dienstleistungen in den letzten vier Jahren verfügen.

Mindestanforderung:

Der Bieter muss mindestens drei Referenzen aus der Finanzbranche (davon mindestens eine Bank) vorweisen:

• zwei Referenzen von einem im deutschsprachigen Raum ansässigen Unternehmen mit Geschäftsaktivitäten im deutschsprachigen Raum • eine weitere Referenz von einem im deutschsprachigen Raum ansässigen Unternehmen mit überwiegend internationalem Geschäftsfeld

In allen Referenzen muss der Bieter die Lösung zum KYC-Onboarding (Identifikation, Dokumentenbeschaffung, Ermittlung der wirtschaftlich Berechtigten unter Nutzung künstlicher Intelligenz) in den letzten vier Jahren eingeführt und anschließend für einen Zeitraum von mindestens zwei Jahren erbracht haben.

Hinweis: Die nachfolgenden Antwortoptionen (Keine Angabe/Ja/Nein) sind bewusst ausgegraut. Es sind keine Angaben erforderlich.

[ ] Keine Angabe [ ] Ja [ ] Nein

Nur eine Antwort wählbar

3.1.2 Hinweis

Bitte benennen Sie Ihre Referenzen nachfolgend mit den geforderten Angaben.

HINWEISE:

Kriterienkatalog - 1/7 187

1. Zur Überprüfung der Referenzen sind sowohl die Referenzgeber als auch die Kontaktdaten von Ansprechpartner(n)*innen dieser Referenzgeber in den dafür vorgesehenen Textfeldern einzutragen. Können Referenzen nicht verifiziert werden, behält sich die KfW vor, diese Referenzen als nicht wertungsfähig zu behandeln, was zum Ausschluss des betroffenen Bieters/Bewerbers führen kann.

2. Wenn Sie mehr Referenzen als vorgegeben einreichen wollen, fügen Sie diese bitte als externes PDF bei. Achten Sie dabei bitte darauf, dass alle geforderten Angaben enthalten sind.

3.1.3 Referenz 1

3.1.3.1 Referenzgeber [Mussangabe]

Bitte geben sie den Referenzgeber an mit Name: Ansprechpartner (inkl. Email, Telefon):

3.1.3.2 Beschreibung der Referenzleistung [Mussangabe]

Welche Leistungen haben Sie erbracht? Bitte beschreiben Sie diese ausführlich und aussagekräftig und gehen dabei insbesondere auf das Tätigkeitsumfeld (Finanzbranche/Bank), die Geschäftstätigkeit (deutschsprachigen Raum ansässigen Unternehmen mit Geschäftsaktivitäten im deutschsprachigen Raum oder deutschsprachigen Raum ansässigen Unternehmen mit überwiegend internationalem Geschäftsfeld) und die erbrachte Leistung (Lösung zum KYC-Onboarding (Identifikation, Dokumentenbeschaffung, Ermittlung der wirtschaftlich Berechtigten unter Nutzung künstlicher Intelligenz) in den letzten vier Jahren eingeführt und anschließend für einen Zeitraum von mindestens zwei Jahren erbracht haben) ein.

3.1.3.3 Referenzleistendes Unternehmen [Mussangabe]

Welches Unternehmen hat die Leistung erbracht? (Bieterunternehmen/Bewerb erunternehmen, Mitglied Bietergemeinschaft/ Bewerbergemeinschaft oder anderes Unternehmen im Fall der Eignungsleihe). Bitte benennen Sie das Unternehmen:

3.1.3.4 Auftragswert [Mussangabe]

Geben Sie bitte den Auftragswert der erbrachten Leistungen in EUR netto an:

3.1.3.5 Leistungszeitraum [Mussangabe]

Geben Sie bitte den Zeitraum der Leistungserbringung der erbrachten Leistung an (MM/JJ bis MM/JJ)

3.1.4 Referenz 2

3.1.4.1 Referenzgeber [Mussangabe]

Bitte geben sie den Referenzgeber an mit Name: Ansprechpartner (inkl. Email, Telefon):

3.1.4.2 Beschreibung der Referenzleistung [Mussangabe]

Welche Leistungen haben Sie erbracht? Bitte beschreiben Sie diese ausführlich und aussagekräftig und gehen dabei insbesondere auf das Tätigkeitsumfeld (Finanzbranche/Bank), die Geschäftstätigkeit (deutschsprachigen Raum ansässigen Unternehmen mit Geschäftsaktivitäten im deutschsprachigen Raum oder deutschsprachigen Raum ansässigen Unternehmen mit überwiegend internationalem Geschäftsfeld) und die erbrachte Leistung (Lösung zum KYC-Onboarding (Identifikation, Dokumentenbeschaffung, Ermittlung der wirtschaftlich Berechtigten unter Nutzung künstlicher Intelligenz) in den letzten vier Jahren eingeführt und anschließend für einen Zeitraum von mindestens zwei Jahren erbracht haben) ein.

3.1.4.3 Referenzleistendes Unternehmen [Mussangabe]

Welches Unternehmen hat die Leistung erbracht? (Bieterunternehmen/Bewerb erunternehmen, Mitglied Bietergemeinschaft/ Bewerbergemeinschaft oder anderes Unternehmen im Fall der Eignungsleihe). Bitte benennen Sie das Unternehmen:

3.1.4.4 Auftragswert [Mussangabe]

Geben Sie bitte den Auftragswert der erbrachten Leistungen in EUR netto an:

3.1.4.5 Leistungszeitraum [Mussangabe]

Geben Sie bitte den Zeitraum der Leistungserbringung der erbrachten Leistung an (MM/JJ bis MM/JJ)

3.1.5 Referenz 3

3.1.5.1 Referenzgeber [Mussangabe]

Bitte geben sie den Referenzgeber an mit Name: Ansprechpartner (inkl. Email, Telefon):

Kriterienkatalog - 2/7 188

3.1.5.2 Beschreibung der Referenzleistung [Mussangabe]

Welche Leistungen haben Sie erbracht? Bitte beschreiben Sie diese ausführlich und aussagekräftig und gehen dabei insbesondere auf das Tätigkeitsumfeld (Finanzbranche/Bank), die Geschäftstätigkeit (deutschsprachigen Raum ansässigen Unternehmen mit Geschäftsaktivitäten im deutschsprachigen Raum oder deutschsprachigen Raum ansässigen Unternehmen mit überwiegend internationalem Geschäftsfeld) und die erbrachte Leistung (Lösung zum KYC-Onboarding (Identifikation, Dokumentenbeschaffung, Ermittlung der wirtschaftlich Berechtigten unter Nutzung künstlicher Intelligenz) in den letzten vier Jahren eingeführt und anschließend für einen Zeitraum von mindestens zwei Jahren erbracht haben) ein.

3.1.5.3 Referenzleistendes Unternehmen [Mussangabe]

Welches Unternehmen hat die Leistung erbracht? (Bieterunternehmen/Bewerb erunternehmen, Mitglied Bietergemeinschaft/ Bewerbergemeinschaft oder anderes Unternehmen im Fall der Eignungsleihe). Bitte benennen Sie das Unternehmen:

3.1.5.4 Auftragswert [Mussangabe]

Geben Sie bitte den Auftragswert der erbrachten Leistungen in EUR netto an:

3.1.5.5 Leistungszeitraum [Mussangabe]

Geben Sie bitte den Zeitraum der Leistungserbringung der erbrachten Leistung an (MM/JJ bis MM/JJ)

3.2 Fachkräfte für die Leistungserbringung (Kernteam)

3.2.1 Eignungskriterium

Ausschlusskriterium Der Bieter/die Bietergemeinschaft muss über folgende Fachkräfte zur Leistungserbringung verfügen, und zwar:

Für die Rolle Hauptansprechpartner (HAP) ein Mitarbeiter (1 MA) und für die Rolle des Stellvertreters ebenfalls ein Mitarbeiter (1 MA).

Die vom Auftragnehmer zur Leistungserbringung eingesetzten Personen müssen mindestens über folgende Grundkompetenzen verfügen: • Fließende Deutschkenntnisse in Wort und Schrift, wobei die Hauptansprechpartnerin bzw. der Hauptansprechpartner deutschsprachig sein muss und die Vermittlung / Abstimmung von komplexen Sachverhalten in Deutsch erfolgen soll. Die KfW behält sich vor, von Nichtmuttersprachlern einen Nachweis einzufordern, welcher mindestens Deutschkenntnisse auf Level C1 (gemäß Gemeinsamer Europäischer Referenzrahmen GER) bestätigt • Sehr gute verbale und schriftliche Kommunikation verbunden mit der Eigenschaft, Zusammenhänge leicht verständlich und adressatengerecht darzustellen • Ausgeprägte Fähigkeit komplexe Vorgänge zu erfassen, zu analysieren, zu bewerten und nachvollziehbar zu dokumentieren • Gute Kenntnisse (mindestens 1 Jahr Erfahrung) im Umgang mit agiler Projektmethodik wie Scrum

Darüber hinaus gelten für die Rolle des HAP, der während des Einführungsprojekts als PO fungieren soll, folgende weitere Anforderungen: • Abgeschlossenes (Fach-)Hochschulstudium in einer relevanten Fachrichtung wie beispielsweise Betriebswirtschaftslehre, Volkswirtschaftslehre, Wirtschaftswissenschaften / Wirtschaftsinformatik, Informatik, Ingenieurswesen, Naturwissenschaften oder eine vergleichbare Ausbildung • Mindestens 3 Jahre Managementerfahrung in der Leitung von vergleichbaren Projekten, insbesondere in der Initiierung, Planung, Durchführung und Steuerung von Softwareeinführungsprojek ten (agil) bei Finanzdienstleistern. • umfassende und sehr tiefe Kenntnisse der vertragsgegenständlichen Software • umfassende Kenntnis von Projektmanagement-Methode n (inkl. Change- und Kostenmanagement)

Hinweis: Die nachfolgenden Antwortoptionen (Keine Angabe/Ja/Nein) sind bewusst ausgegraut. Es sind keine Angaben erforderlich.

[ ] Keine Angabe [ ] Ja [ ] Nein

Nur eine Antwort wählbar

3.2.2 Hinweis [Mussangabe]

Wir haben das Formblatt "Kurzlebensläufe" vollständig ausgefüllt und als externe Anlage zum Angebot hochgeladen.

[ ]

Mehrere Antworten wählbar

4.1.1 Frage [Mussangabe]

Hat Ihr Unternehmen/ein Unternehmen der Bietergemeinschaft/Bewerb ergemeinschaft gegen seine Verpflichtungen zur Zahlung von Steuern, Abgaben oder Beiträgen zur Sozialversicherung verstoßen?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Kriterienkatalog - 3/7 189

Nur eine Antwort wählbar

4.1.2 Erläuterung

Falls Sie die Frage mit "Ja" beantwortet haben:

Erläutern Sie bitte Ihre Erklärung und schildern den Sachverhalt:

4.1.3 Selbstreinigende Maßnahmen

Falls die Frage mit "Ja" beantwortet wurde:

Angabe der rechtskräftigen Gerichts- oder bestandskräftigen Verwaltungsentscheidung und Angabe, ob das Unternehmen die Zahlung vorgenommen oder sich zur Zahlung der Steuern, Abgaben und Beiträge zur Sozialversicherung einschließlich Zinsen, Säumnis- und Strafzuschlägen verpflichtet hat.

4.2 Verstoß gg. umwelt-, sozial- oder arbeitsrechtliche Verpflichtungen

4.2.1 Frage [Mussangabe]

Hat Ihr Unternehmen/ein Unternehmen der Bietergemeinschaft/Bewerb ergemeinschaft bei der Ausführung öffentlicher Aufträge nachweislich gegen geltende umwelt-, sozial- oder arbeitsrechtliche Verpflichtungen verstoßen?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

4.2.2 Erläuterung

Falls Sie die Frage mit "Ja" beantwortet haben:

Erläutern Sie bitte Ihre Erklärung und schildern den Sachverhalt:

4.2.3 Selbstreinigende Maßnahmen

Falls die Frage mit "Ja" beantwortet wurde:

Wurden selbstreinigende Maßnahmen gemäß § 125 GWB getroffen (z. B. Schadensausgleich; aktive Zusammenarbeit mit Ermittlungsbehörden und betroffenen Auftraggebern; konkrete technische, organisatorische und personelle Maßnahmen, die geeignet sind, weitere Straftaten oder Fehlverhalten zu vermeiden)?

4.3 Zahlungsunfähigkeit, Insolvenzverfahren, Liquidation

4.3.1 Frage [Mussangabe]

Ist Ihr Unternehmen / ein Unternehmen der Bietergemeinschaft/Bewerb ergemeinschaft zahlungsunfähig bzw. wurde über das Vermögen des Unternehmens ein Insolvenzverfahren oder ein vergleichbares Verfahren beantragt oder eröffnet oder die Eröffnung eines solchen Verfahrens mangels Masse abgelehnt?

Befindet sich Ihr/ein Unternehmen der Bietergemeinschaft im Verfahren der Liquidation oder hat es seine Tätigkeit eingestellt?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

4.3.2 Erläuterung

Falls Sie die Frage mit "Ja" beantwortet haben:

Erläutern Sie bitte Ihre Erklärung und schildern den Sachverhalt:

4.4 Schwere Verfehlung

4.4.1 Frage [Mussangabe]

Hat Ihr Unternehmen/ein Unternehmen der Bietergemeinschaft/Bewerb ergemeinschaft im Rahmen der beruflichen Tätigkeit nachweislich eine schwere Verfehlung begangen, durch die die Integrität des Unternehmens infrage gestellt wird?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

4.4.2 Erläuterung

Falls Sie die Frage mit "Ja" beantwortet haben:

Erläutern Sie bitte Ihre Erklärung und schildern den Sachverhalt:

Kriterienkatalog - 4/7 190

4.4.3 Selbstreinigende Maßnahmen

Falls die Frage mit "Ja" beantwortet wurde:

Wurden selbstreinigende Maßnahmen gemäß § 125 GWB getroffen (z. B. Schadensausgleich, aktive Zusammenarbeit mit Ermittlungsbehörden und betroffenen Auftraggebern, konkrete technische, organisatorische und personelle Maßnahmen, die geeignet sind, weitere Straftaten oder Fehlverhalten zu vermeiden)?

5 Abfrage gemäß VO (EU) 2022/576 [Mussangabe]

Es ist gemäß der Verordnung (EU) 2022/576 (zur Änderung der Verordnung (EU) Nr. 833/2014) verboten, öffentliche Aufträge zu vergeben an:

a) russische Staatsangehörige oder in Russland niedergelassene natürliche oder juristische Personen, Organisationen oder Einrichtungen,

b) juristische Personen, Organisationen oder Einrichtungen, deren Anteile zu über 50 % unmittelbar oder mittelbar von einer der unter Buchstabe a genannten Organisationen gehalten werden, oder

c) natürliche oder juristische Personen, Organisationen oder Einrichtungen, die im Namen oder auf Anweisung einer der unter Buchstabe a oder b genannten Organisationen handeln,

auch solche, auf die mehr als 10 % des Auftragswerts entfällt, Unterauftragnehmer, Lieferanten oder Unternehmen, deren Kapazitäten im Sinne der Richtlinien über die öffentliche Auftragsvergabe in Anspruch genommen werden.

[ ] Ich bestätige, dass weder mein Unternehmen (juristische oder natürliche Person) bzw. ein Mitglied der durch mein Unternehmen vertretenen Bieter-/Bewerbergemeinsch aft (juristische oder natürliche Person), noch ein von meinem Unternehmen bzw. von einem Mitglied der durch mein Unternehmen vertretenen Bieter-/der Bewerbergemeinschaft eingesetzter Lieferant oder Unterauftragnehmer (juristische oder natürliche Person) unter das Verbot des Art. 5k der Verordnung (EU) Nr. 833/2014 fällt (durch Verordnung (EU) Nr. 2022/576 ergänzte Vorschrift).

Mehrere Antworten wählbar

6 Abfrage gemäß VO (EU) 2022/2554 (DORA) [Mussangabe]

Vor Abschluss einer vertraglichen Vereinbarung über die Nutzung von IKT-Dienstleistungen müssen Finanzunternehmen gem. Art. 28 Abs.4 des Digital Operational Resilience Act (DORA), Verordnung (EU) 2022/2554:

a) beurteilen, ob sich die vertragliche Vereinbarung auf die Nutzung von IKT-Dienstleistungen zur Unterstützung einer kritischen oder wichtigen Funktion bezieht; b) beurteilen, ob die aufsichtsrechtlichen Bedingungen für die Auftragsvergabe erfüllt sind; c) alle relevanten Risiken im Zusammenhang mit der vertraglichen Vereinbarung ermitteln und bewerten, einschließlich der Möglichkeit, dass diese vertragliche Vereinbarung dazu beitragen kann, das in Artikel 29 genannte IKT-Konzentrationsrisiko zu erhöhen; d) bei potenziellen IKT-Drittdienstleistern der gebotenen Sorgfaltspflicht nachkommen und während des gesamten Auswahl- und Bewertungsprozesses sicherstellen, dass der IKT-Drittdienstleister geeignet ist; e) Interessenkonflikte, die durch die vertragliche Vereinbarung entstehen können, ermitteln und bewerten.

[ ] Ich nehme zur Kenntnis, dass die KfW vor Zuschlag eine Prüfung gemäß Art. 28 Abs. 4 des Digital Operational Resilience Act (DORA), Verordnung (EU) 2022/2554 durchführt und ich bei zuschlagsverhindernden Gründen vom EU-Vergabeverfahren ausgeschlossen werde.

Mehrere Antworten wählbar

7 Unterauftragnehmer

7.1 Erklärung zu Unterauftragnehmer [Mussangabe]

Setzen Sie für die Erbringung von Leistungen Unterauftragnehmer ein?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

7.2 Weitere Angaben zu Unterauftragnehmern

Falls Sie die Frage mit "Ja" beantwortet haben:

Bitte benennen Sie

1. Art und Umfang der voraussichtlich von Unterauftragnehmern zu erbringenden Aufgaben und Leistungsteile
2. Soweit zum Zeitpunkt der Angebotsabgabe bereits möglich: Name/Firma des Unterauftragnehmers

Beispiel:

1. Leistungen des Unterauftragnehmers: ... Name/Firma des Unterauftragnehmers: ...

2. Leistungen des Unterauftragnehmers: ... Name/Firma des Unterauftragnehmers: ...

8 Eignungsleihe

8.1 Erklärung zur Eignungsleihe [Mussangabe]

Kriterienkatalog - 5/7 191

Nehmen Sie zum Nachweis Ihrer Eignung, die Kapazitäten anderer Unternehmen in Anspruch (Eignungsleihe)?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

8.2 Weitere Angaben zur Eignungsleihe

Falls Sie die Frage mit "Ja" beantwortet haben:

Bitte benennen Sie das/die andere/n Unternehmen, teilen mit, welche Leistungen das andere Unternehmen übernehmen wird und geben die Kapazitäten und den Eignungsnachweis des anderen Unternehmens an.

Beispiel:

1. Unternehmen: ...

• Leistungen des Unternehmens: ...
• Kapazitäten und Eignungsnachweis: ...

2. ...

8.3 Verpflichtungserklärung bei Eignungsleihe

Haben Sie im Falle einer Eignungsleihe die Verpflichtungserklärung für die Unterauftragnehmer, deren Kapazitäten Sie sich zum Nachweis Ihrer Eignung bedienen, als Anlage beigefügt?

[ ] Keine Angabe (0) [ ] Ja (0) [ ] Nein (0)

Nur eine Antwort wählbar

9 Wettbewerbsregister

9.1 Einholung Registerauskunft durch KfW

Mir/Uns ist bekannt, dass die KfW nach § 6 Abs. 1 Satz 1 Wettbewerbsregistergesetz (WRegG) als öffentliche Auftraggeberin verpflichtet ist, vor der Erteilung des Zuschlags in einem Verfahren zur Vergabe öffentlicher Aufträge mit einem geschätzten Auftragswert ab 30.000 Euro ohne Umsatzsteuer beim Bundeskartellamt abzufragen, ob im Wettbewerbsregister Eintragungen zu dem Bieter gespeichert sind, an den die KfW den Auftrag zu vergeben beabsichtigt. Die Eintragungen im Wettbewerbsregister können sowohl natürliche (z.B. Einzelunternehmen) als auch juristische Personen betreffen.

9.2 Bezeichnung des Registers [Mussangabe]

Bitte benennen Sie das deutsche oder ausländische Handels-, Genossenschafts-, Vereins-, Partnerschafts- oder vergleichbare amtliche Register, in das Ihr Unternehmen eingetragen ist.

9.3 Registernummer [Mussangabe]

Bitte geben Sie die Registernummer an, unter welcher Ihr Unternehmen in dem von Ihnen bezeichneten deutschen oder ausländischen Register geführt wird.

9.4 Registerführende Stelle [Mussangabe]

Bitte geben Sie das Registergericht / die Genehmigungsbehörde / die amtliche Stelle an, die das Register führt.

9.5 Postanschrift des Sitzes des Bieterunternehmens [Mussangabe]

Bitte geben Sie die Straße, die Hausnummer, die Postleitzahl (kein Postfach!) sowie den Ort und das Land Ihres Unternehmenssitzes an.

9.6 Umsatzsteuer-Identifikati onsnummer [Mussangabe]

Bitte geben Sie, soweit vorhanden, die Umsatzsteuer-ID Ihres Unternehmens an.

Kriterienkatalog - 6/7 192

KRITERIENKATALOG 01.09.2026

Ausschreibung (Korrektur 2)

Verfahren: KfW-2026-0029 - Cloudbasierte Softwarelösung zur teilweisen Digitalisierung des

KYC-Prozesses

LEISTUNGSKRITERIEN

1 Konzept 1 [Mussangabe]

Gewichtung: 10,00% Maximalpunktzahl: 100 Ich habe das Konzept 1:"Vorstellung der Weiterentwicklung der SW-Lösung“ als externe Anlage hochgeladen.

(Inhaltliche Bewertung des Konzepts, s. Wertungsmatrix)

[ ]

Mehrere Antworten wählbar

2 Konzept 2 [Mussangabe]

Gewichtung: 20,00% Maximalpunktzahl: 100 Ich habe das Konzept 2: Konzeption des Einführungsprojektes in der Ausprägung gem. Leistungsbeschreibung, Kapitel 4 als externe Anlage hochgeladen.

(Inhaltliche Bewertung des Konzepts, s. Wertungsmatrix)

[ ]

Mehrere Antworten wählbar

3 Konzept 3 [Mussangabe]

Gewichtung: 10,00% Maximalpunktzahl: 100 Ich habe das Konzept 3: "Vorstellung des geplanten Betreuungsmodells im Regelbetrieb einschließlich Releaseupgrades und Fehlerkorrekturen" als externe Anlage hochgeladen.

(Inhaltliche Bewertung des Konzepts, s. Wertungsmatrix)

[ ]

Mehrere Antworten wählbar

4 Bewertung der Leistungskriterien [Mussangabe]

Gewichtung: 25,00% Maximalpunktzahl: 100 Ich habe den ausgefüllten Leistungskatalog_Bieteran twort als externe Anlage hochgeladen.

(Inhaltliche Bewertung der Leistungskatalog_Bieteran twort)

[ ]

Mehrere Antworten wählbar

5 Bewertende Teststellung [Mussangabe]

Gewichtung: 25,00% Maximalpunktzahl: 100 Die bewertende Teststellung findet im Präsentationstermin der Use Cases statt (Inhalte und Bewertung, siehe Wertungsmatrix Zuschlagskriterien)

[ ]

Mehrere Antworten wählbar

6 Nachhaltigkeit [Mussangabe]

Gewichtung: 10,00% Maximalpunktzahl: 100 Ich habe die Angaben zu den Nachhaltigkeitskriterien (Anlage Nachhaltigkeitskriterien) mit dem Angebot eingereicht (Inhaltliche Bewertung, siehe Wertungsmatrix Zuschlagskriterien)

[ ]

Mehrere Antworten wählbar

Kriterienkatalog - 7/7 193

Typ Dateiname Größe MIME-Type 21,80 Dateianlage ESG Kriterien.xlsx xlsx KB 63,31 Dateianlage Vereinbarung zur Auftragsverarbeitung nach Artikel 28 Abs.docx docx KB Anlage_Erklärungen und Nachweise des Auftragnehmers für Auftragsverarbeitungen nach Art. 28 72,63 Dateianlage docx DSGVO.docx KB 54,68 Dateianlage Erklärungen und Nachweise zur Einhaltung der Anforderungen zur Informationssicherheit der KfW.docx docx KB 168,11 Dateianlage Due Diligence Betriebsrisikofragebogen. xlsx xlsx KB 59,36 Dateianlage Bewerbungsbedingungen_Anl age Kurzlebensläufe.docx docx KB 61,28 Dateianlage Bewerbungsbedingungen_Anl age Bietergemeinschaftserklär ung.docx docx KB 60,71 Dateianlage Bewerbungsbedingungen_Anl age Verpflichtungserklärung im Falle einer Eignungsleihe.docx docx KB 60,94 Dateianlage Leistungskatalog_Bieteran twort_V2.0.xlsx xlsx KB

194