[Seite 1]
Leistungsbeschreibung
ext. DSB und ext. stellv. DSB
Verfahrensnummer: AC-2026#006
AOK connect GbR
[Seite 2]
ext. DSB und ext. stellv. DSB Leistungsbeschreibung Stand: 21.08.2026, Version 1
Inhaltsverzeichnis
-
Information zur Auftraggeberin – AOK connect GbR ................................................................................. 2
-
Art und Umfang der ausgeschriebenen Leistung ......................................................................................... 2
2.1.5 Anforderungen an Personal – Qualifikation ..............................................................................................3 2.1.6 Leistungsbeschreibung – externe/r Datenschutzbeauftragte/r sowie stellvertretende/r externe/r Datenschutzbeauftragte/r ..............................................................................................................................3
2.1.7 Weitere Anforderungen ......................................................................................................................................... 5
Seite 1 von 5
[Seite 3]
ext. DSB und ext. stellv. DSB Leistungsbeschreibung Stand: 21.08.2026, Version 1
- Information zur Auftraggeberin – AOK connect GbR
Die AOK connect – nachfolgend als Auftraggeberin benannt - ist Anbieterin von digitalen Lösungen, die speziell für die Bedürfnisse der AOK-Gemeinschaft entwickelt wurden. Unser Ziel ist es, durch innovative und bewährte digitale Dienste die Lebensqualität von über 27 Millionen AOK-Versicherten nachhaltig zu verbessern und gleichzeitig die Zukunft des solidarischen Gesundheitssystems zu sichern.
Die Auftraggeberin ist Ende 2025 aus der AOK Mein Leben hervorgegangen, welche wiederum im März 2023 von der AOK-Gemeinschaft als Arbeitsgemeinschaft (ARGE) nach § 94 SGB X gegründet wurde. Gesellschaftszweck ist die Steuerung der externen Dienstleister, welche für die 11 AOKs die Entwicklung und den Betrieb digitaler Dienste an der Kundenschnittstelle wie z. B. der Online-Geschäftsstelle und der elektronischen Patientenakte (ePA) übernehmen.
- Art und Umfang der ausgeschriebenen Leistung
Gegenstand der Ausschreibung ist die Besetzung der Position des Datenschutzbeauftragten sowie eines stellvertretenden Datenschutzbeauftragten der Auftraggeberin zur Erbringung der Aufgaben nach Art. 39 DSGVO, der operativen Unterstützung des Datenschutzteams sowie die Durchführung von KI-Schulungen (2xJahr á eine Stunde, digital), vgl. § 4 Abs. 1, 3 BlnDSG für einen Vertragszeitraum von 2+1+1+1+1 Jahre (automatische Verlängerung gemäß den Festlegungen unter Ziff. 11 des Vertrages [Gesamtvertragslaufzeit 6 Jahre]). Gegenstand der ausgeschriebenen Leistung ist explizit nicht die Stellung eines Datenschutzbeauftragten für eine oder mehrere Gesellschafterinnen der Auftraggeberin.
Der Auftragnehmer verpflichtet sich zur Einhaltung aller gesetzlichen datenschutzrechtlichen Vorgaben. Die Verarbeitung personenbezogener Daten erfolgt durch den Auftragnehmer innerhalb der EU. Die Standorte von Servern müssen sich innerhalb der EU befinden. Datenaustausch erfolgt sicher verschlüsselt.
Der Leistungsumfang wird pro Jahr wie folgt geschätzt:
| Datenschutzbeauftragter & Stellvertretender Datenschutzbeauftragter | |||
|---|---|---|---|
| (1) | a) | Beratungsleistung (werktags) | Insgesamt 18 Personentagen (PT) als unverbindliche Schätzung; vgl. Ziff. 1 des Preisblattes. Sollten darüber hinaus mehr PT abgerufen werden, sind diese gemäß Ziff. 2 des Preisblattes separat abzurechnen. |
| b) | Unterrichtung, Überwachung, Zusammenarbeit mit und Ansprechpartner der Aufsichtsbehörde (Lfd.) (werktags) | ||
| c) | Unterstützung bei potenziellen Datenschutzverletzungen binnen 24 Std. (nach Absprache, werktags inkl. Feiertagen und Wochenenden) | ||
| d) | Operative Unterstützung des Datenschutzteams des Auftraggeberin (z.B. vornehmen einer Datenschutzbewertung eines neuen IT-Tools) | ||
| e) | Schulungsleistung (Erbringung von Schulungsleistungen [remote] im Bereich von KI Grundlagen mit einem geschätzten Umfang von 2 |
Seite 2 von 5
[Seite 4]
ext. DSB und ext. stellv. DSB Leistungsbeschreibung Stand: 21.08.2026, Version 1
| Schulungseinheiten á einer Stunde zzgl. Vor- und Nachbereitung im Jahr.) | |||
|---|---|---|---|
| (2) | Beratungsleistung, die über die Monatspauschale hinausgeht | Auf Aufforderung der Auftraggeberin, bis zu 15 Tage pro Jahr; vgl. Ziff. 2 des Preisblattes Hinweis der Auftraggeberin: Die Auftraggeberin ist nicht zum Abruf zusätzlicher Beratungsleistungen verpflichtet. Auch ist die Auftraggeberin nicht verpflichtet, Beratungsleistungen in einem bestimmten Umfang abzurufen. Die Auftraggeberin weist darüber hinaus explizit darauf hin, dass der Abruf solcher Beratungsleistungen nicht exklusiv im Rahmen dieses Vertrags erfolgt; die Auftraggeberin ist berechtigt, zusätzliche Beratungsleistungen im Bereich des Datenschutzes und der Informationssicherheit auch bei Dritten zu beauftragen. |
Die unverbindliche Schätzung des Umfangs basiert auf internen Ermittlungen und Schätzungen der Auftraggeberin. Sie stellen weder eine Mindestabnahmemenge noch eine Obergrenze für den zukünftigen Auftrag dar.
2.1.5 Anforderungen an Personal – Qualifikation
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss über die erforderlichen Qualifikationen gemäß Ziff. 5 lit. b) des Dokuments „Anschreiben“ verfügen.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss, die zur Erhaltung seines Fachwissens erforderlichen Ressourcen selbst zur Verfügung stellen.
2.1.6 Leistungsbeschreibung – externe/r Datenschutzbeauftragte/r sowie stellvertretende/r externe/r Datenschutzbeauftragte/r
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte arbeitet eng mit dem/der Datenschutz- und Informationssicherheitsmanager/in der Auftraggeberin zusammen.
a) Eigenverantwortliche und unabhängige Wahrnehmung der Aufgaben gemäß Art. 39 Abs. 1 DSGVO
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss die Einhaltung des Datenschutzes und der Datensicherheit sowie die Einhaltung der geltenden Vorschriften gemäß den jeweils aktuell gültigen Anforderungen aus den (für die Auftraggeberin) relevanten Gesetzlichen Bestimmungen (z.B. SGB X, DSGVO, BlnDSG, BSI, BITV 2.0) an den Datenschutz, die Informationssicherheit und die Barrierefreiheit sowie der internen Datenschutzrichtlinien überwachen. Der Begriff „Gesetzliche Bestimmungen“ umfasst hierbei Regelungen jeweils in ihrer aktuell geltenden Fassung in Gesetzen und in anderen Normen, wie z.B. Verordnungen, Satzungen und behördliche Anordnungen sowie sonstige Vorgaben, Spezifikationen oder Anforderungen Dritter, wie z.B. der gematik oder des BSI, auf die in
Seite 3 von 5
[Seite 5]
ext. DSB und ext. stellv. DSB Leistungsbeschreibung Stand: 21.08.2026, Version 1
anwendbaren gesetzlichen Bestimmungen oder Verordnungen Bezug genommen wird. Erfasst sind auch Vorgaben des EU-Rechts, soweit diese in Deutschland verbindlich sind. In diesem Zusammenhang muss der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte auch die Entwicklung der datenschutzrechtlichen Vorschriften auf etwaige relevante Änderungen überwachen.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss die Auftraggeberin in Bezug auf ihre Pflichten als verantwortliche Stelle unterrichten und beraten.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss mit der Berliner Beauftragten für Datenschutz und Informationsfreiheit (LfD) zusammenarbeiten, koordinieren und als Ansprechpartner für Fragen dienen.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss als Anlaufstelle für betroffene Personen (Art. 38 Abs. 4 DSGVO) fungieren.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss die Auftraggeberin bei der Erstellung des jährlichen Datenschutzberichts unterstützen.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss das Datenschutz-E-Mail-Postfach der Auftraggeberin überwachen, kontrollieren und eingehende Nachrichten bearbeiten.
b) Prüfung bei Anfragen nach Vorprüfung durch den/die Datenschutz- und Informationssicherheitsmanager/in der Auftraggeberin
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss gemäß Art. 30 DSGVO ein Verzeichnis aller Verarbeitungstätigkeiten, die der Zuständigkeit unterliegen der Auftraggeberin unterliegen, führen.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss Auftragsverarbeitungsverträge nach Art. 28 DSGVO erstellen und/oder prüfen.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss Anfragen und Meldungen von Datenschutzverstößen (Art. 33 f. DSGVO) bearbeiten.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss die Beseitigung festgestellter Mängel überwachen.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss bei der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO beraten (einschließlich der Anregung zur Durchführung einer Datenschutz-Folgenabschätzung). Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss die Durchführung der Datenschutz-Folgenabschätzung überwachen.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss technische und organisatorische Maßnahmen (TOMs, Art. 32 DSGVO) prüfen.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss ein Datenschutzaudit nach internen Prüfungen durchführen bzw. die Einhaltung der relevanten Vorgaben gewährleisten.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss die datenschutzrechtlichen Strategien (einschließlich der Zuweisung von Zuständigkeiten) der Auftraggeberin überwachen. Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss interne Regelungen, Datenschutz- und Datensicherheits- Dienstanweisungen sowie Berechtigungs- und Löschkonzepte aufstellen bzw. überarbeiten.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss die Mitarbeiter der Auftraggeberin über ihre datenschutzrechtlichen Pflichten informieren. In
Seite 4 von 5
[Seite 6]
ext. DSB und ext. stellv. DSB Leistungsbeschreibung Stand: 21.08.2026, Version 1
diesem Zusammenhang muss der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte die Sensibilisierung und Schulung der Mitarbeiterinnen und Mitarbeiter überwachen.
c) Reaktionszeitung und Rückmeldungen
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss für den Fall (Verdacht auf eine) „Datenvorfall“ eine Reaktion und Beratung innerhalb von 24 Stunden sicherstellen. Dies gilt auch für Wochenends- und Feiertage.
Der/die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte muss substanzielle Rückmeldungen auf Anfragen (Einschätzung, Handlungsempfehlung, Stellungnahme) innerhalb von 3 Werktagen geben.
Sofern der/ die Datenschutzbeauftragte sowie der/die stellvertretende Datenschutzbeauftragte Klärungsbedarf zu einer Anfrage hat, muss er/sie eine erste rechtliche Bewertung innerhalt von 3 Werktagen abgeben. Gleiches gilt in diesem Zusammenhang für das Aufzeigen des voraussichtlichen Zeitrahmens zur Bearbeitung/Beantwortung der Anfrage.
In dringenden Fällen muss der/die Datenschutzbeauftragte sowie der/der stellvertretende Datenschutzbeauftragte eine erste Bewertung innerhalb von 24 Stunden abgeben.
Die Auftraggeberin wird bei Übermittlung einer Anfrage an den/die Datenschutzbeauftragte/n sowie den/der stellvertretende/n Datenschutzbeauftragte/n jeweils mitteilen, in welche der dargestellten Kategorien die konkrete Anfrage fällt. Die Einhaltung der Fristen ist vertraglich verbindlich und wird leistungsbezogen bewertet.
2.1.7 Weitere Anforderungen
Im Rahmen der Leistungserbringung muss der Auftragnehmer die jeweils aktuell gültigen Anforderungen aus den (für die Auftraggeberin) relevanten Gesetzlichen Bestimmungen (z.B. SGB X, DSGVO, BlnDSG, BSI, BITV 2.0) an den Datenschutz, die Informationssicherheit und die Barrierefreiheit umsetzen bzw. berücksichtigen. Der Begriff „Gesetzliche Bestimmungen“ umfasst hierbei Regelungen jeweils in ihrer aktuell geltenden Fassung in Gesetzen und in anderen Normen, wie z.B. Verordnungen, Satzungen und behördliche Anordnungen sowie sonstige Vorgaben, Spezifikationen oder Anforderungen Dritter, wie z.B. der gematik oder des BSI, auf die in anwendbaren gesetzlichen Bestimmungen oder Verordnungen Bezug genommen wird. Erfasst sind auch Vorgaben des EU-Rechts, soweit diese in Deutschland verbindlich sind.
Die Leistungserbringung erfolgt grundsätzlich remote. Auf Aufforderung der Auftraggeberin steht der Auftragnehmer jedoch auch für Vor-Ort-Termine am Sitz der Auftraggeberin bzw. an einem Sitz einer der AOKs oder deren weiteren Beteilungen (z.B. AOK-IT-Dienstleister) zur Verfügung. Auch die Kommunikation erfolgt grundsätzlich digital.
Der Auftragnehmer muss über eine deutsche Steuernummer verfügen.
Seite 5 von 5