[Seite 1]
Leistungsanforderungen und Leistungsbeschreibung – externe Datenschutzbeau(cid:517)ragter:
Die NOW GmbH ist eine privatrechtliche Gesellschaft des Bundes. Der Bund wird durch das Bundesministerium für Verkehr (BMV) vertreten.
Zweck des Unternehmens ist die Unterstützung der Bundesregierung in ihren klima-, verkehrs-, energie- und industriepolitischen Zielen im Bereich Verkehr und Mobilität mit Schwerpunkt im Auf- und Ausbau von Infrastrukturen sowie nachhaltigen Technologien. Hierzu arbeitet die NOW mit den Referaten der Bundesministerien zusammen und setzt für diese unterschiedliche Aufträge um. Die NOW GmbH hat keinen direkten Kontakt mit Endverbrauchern. Bei der NOW sind derzeit ca. 210 Mitarbeiterinnen und Mitarbeiter beschäftigt.
Nähere Informationen zur NOW GmbH sind unter www.now-gmbh.de verfügbar.
Leistungszeitraum:
Die Dienstleistung ist ab dem 1. Januar 2027 zu erbringen. Die Grundlaufzeit beträgt 12 Monate, bis zum 31.12.2027.
Der Au(cid:517)raggeber hat ein einseitiges Verlängerungsrecht: Verlängerung um jeweils 12 Monate möglich, maximal bis zum 31.12.2031. Der Vertrag verlängert sich um den angegebenen Zeitraum, sofern 3 Monate vor Vertragsende nicht per Textform gekündigt wird.
Anforderungen an die Eignung des Auftragnehmer
Der Auftragnehmer ist ein Unternehmen mit langjähriger praktischer Erfahrung in diversen Branchen wie beispielsweise der Beratungsbranche, Automobilindustrie, Energie (insbesondere Strom-Übertragungsnetzbetreiber) und im öffentlichen Sektor (Referenzen sind einzureichen) Erfahrung in Umgang und Zusammenarbeit mit Ministerien / Fördermittelvergabe Erfahrung im Bereich der Datenwissenschaft Der Auftragnehmer beschäftigt > 10 Mitarbeiter im Bereich des Datenschutzes Der Auftragnehmer ist nach ISO 9001 und ISO 14001 zertifiziert. Der für den Auftragnehmer vorgesehene externe Datenschutzbeauftragte sowie seine Stellvertretung besitzen persönlich alle notwendigen Qualifikationen u. a. gemäß Art. 37 (5) i. V. m. Art. 39 DSGVO, um Anfragen im Regelfall selbst beantworten zu können.
1
[Seite 2]
Notwendige Qualifikationen sind:
- Zertifizierter Datenschutzbeauftragter bzw. Nachweis zur Fachkunde,
- Abschluss eines Studiums im Bereich der Rechtswissenschaften, Informationsrecht oder nachweislich mehrjährige (mind. 2 Jahre) Berufserfahrung im Bereich Datenschutz
- Der eingesetzte Datenschutzbeauftragte besitzt langjährige Expertise mit bundeseigenen Gesellschaften
Optional: Kostenfreie Bereitstellung einer Datenschutzmanagement-Software (deutschen Rechenzentrum mit ISO 27001 Zertifizierung gehostet) Eigenerklärung zu einer bestehenden Haftpflichtversicherung mit einer Mindest- deckungssumme für Personen- und Sachschäden in Höhe von 20 Mio. EUR Der Auftragnehmer weist einen Datenschutzbeauftragten (DSB) dem AG zu. Der AG kann den externen DSB direkt persönlich per Mail und per Telefon erreichen (kein Callcenter mit wechselnden Ansprechpersonen). Die Kontaktinformationen stellen sicher, dass der ext. DSB oder seine Vertretung während der üblichen Geschäftszeiten jeweils erreicht werden können. Vor Ort Termine sind nicht geplant und sind als Ausnahme anzusehen.
Leistungsbeschreibung externer Datenschutzbeau(cid:517)ragter
Die Leistungen des externen DSB ergeben sich aus Art. 39 DS-GVO. Er wirkt im Unternehmen des AG auf die Einhaltung des Datenschutzes hin. Er unterrichtet und berät den AG hinsichtlich dessen Pflichten nach der DS-GVO sowie nach sonstigen Datenschutzvorschriften und überwacht deren Einhaltung. Er überwacht die Strategien des AG zum Schutz personenbezogener Daten sowie deren Zuweisungen von Zuständigkeiten und berät den Auftraggeber bei der Durchführung von Datenschutz-Folgenabschätzungen. Des Weiteren prüft der AN als Datenschutzbeauftragter die Zusammenarbeit mit externen Geschäftspartnern auf datenschutzkonforme Datenverarbeitung und Vertragsgestaltung, insbesondere hinsichtlich der Auftragsverarbeitung nach Art. 28 EU DS-GVO. Der AN ist für die Aufsichtsbehörde Anlaufstelle für sämtliche mit der Verarbeitung personenbezogener Daten zusammenhängenden Fragen und arbeitet mit dieser zusammen. Der AN steht den von der Datenverarbeitung des AG betroffenen Personen für alle mit der Verarbeitung ihrer personenbezogenen Daten und der Wahrnehmung ihrer Rechte stehenden Fragen als Ratgeber und Ansprechpartner zur Verfügung. Der AN als Datenschutzbeauftragter ist in der Wahrnehmung seiner Aufgaben weisungsfrei und erbringt die vereinbarten Datenschutzleistungen für den AG im Rahmen der vereinbarten Stundenkontingente, wobei er den Ort und die Zeit seiner Tätigkeit für den Auftraggeber nach pflichtgemäßem Ermessen selbst bestimmt. Er wird die vereinbarten Leistungen in angemessenem Umfang und innerhalb angemessener Reaktionsfrist erbringen.
2
[Seite 3]
Leistungskatalog zur Datenschutzberatung im Einzelnen:
Prüfung der Verarbeitungstätigkeiten Unterstützung bei der Erstellung und Pflege des Verzeichnisses von Verarbeitungstätigkeiten (VVT) Unterstützung bei der Risikobewertung für Verarbeitungstätigkeiten und Datenschutz-Folgenabschätzungen Bewertung der technischen und organisatorischen Maßnahmen Bearbeitung und Unterstützung bei Betroffenenanfragen Erstellung anlassbezogener Informationspflichten Prüfung der Datenschutzerklärung auf der Website Erstellung anwendbarer Umsetzungsdokumente Unterstützung bei der Implementierung von Prozessen Erarbeitung einer Regelung zur Nutzung von E-Mail und Internet für Beschäftigte Mitwirkung bei Betriebsvereinbarungen Bewertung und Umsetzung der Videoüberwachung Prüfung des Löschkonzeptes Prüfung von rechtskonformen Datenübermittlungen in Drittländer Prüfung von Verträgen zur Auftragsverarbeitung und gemeinsamen Verantwortlichkeit Analyse und Bewertung einer eingetretenen Datenschutzverletzung Unterstützung bei der Zusammenarbeit mit den Aufsichtsbehörden Erstellung Individueller Stellungnahmen
Anforderungen an das Angebot:
- Preisangaben
Bitte reichen Sie mit Ihrem Angebot nachfolgend aufgelistete Preisangaben ein:
Monatlich zu zahlender Grundpreis welcher
die folgenden Leistungen abdeckt:
8 Stunden Beratung und Umsetzungsleistungen (darin enthalten: mind. ein monatlicher Jourfixe mit den NOW-internen Ansprechpartner des ext. DSB).
Optional:
Einmaliges digitalen Datenschutzaudit zum Start der Beau(cid:517)ragung
Zusätzliche Kosten nach Bedarf: 3
[Seite 4]
Preis für jede weitere Stunde über das vereinbarte Kontingent hinaus Preis für eine jährliche, unternehmensinterne Datenschutzschulung für alle Mitarbeitende der NOW.
Die Bieter haben die angefragten Preispositionen vollständig und verbindlich anzugeben. Nicht ausgefüllte oder nicht eindeutig zuordenbare Preispositionen können bei der Wertung unberücksichtigt bleiben oder zum Ausschluss führen, sofern dies nach den übrigen Vergabeunterlagen und den vergaberechtlichen Vorgaben vorgesehen ist.
- Betreuungskonzept
Mit dem Angebot ist ein schlüssiges und auf die NOW GmbH zugeschnittenes Betreuungskonzept einzureichen. Daraus soll insbesondere hervorgehen,
wie die in der Leistungsbeschreibung genannten Aufgaben umgesetzt werden,
wie die Zusammenarbeit mit dem zuständigen Team Recht & Compliance der NOW GmbH organisiert wird,
über welche Kommunikationswege der Datenschutzbeau(cid:517)ragte erreichbar ist,
innerhalb welcher Fristen Anfragen beantwortet werden,
wie die Vertretung bei Abwesenheit sichergestellt wird,
wie Prüfungen und regelmäßige Berichte durchgeführt werden und
wie eine für alle Mitarbeitenden der NOW GmbH niedrigschwellige Kontaktaufnahme gewährleistet wird.
Zum Vergabeverfahren
Vor Zuschlagserteilung beabsichtigt die NOW GmbH, mit bis zu vier Bietern, deren schri(cid:517)lich eingereichte Angebote nach einer vorläufigen Bewertung anhand der bekanntgegebenen Zuschlagskriterien die höchsten Punktzahlen erreicht haben, eine nicht bewertende Bieterpräsentation im Wege einer Videokonferenz durchzuführen.
Die Präsentation dient ausschließlich dazu, das eingereichte Angebot und das Betreuungskonzept zu erläutern sowie Verständnisfragen der NOW GmbH zu klären. Eine Änderung, Ergänzung oder Nachbesserung des Angebots oder des Betreuungskonzepts ist im Rahmen der Präsentation nicht zulässig. Die Präsentation ist nicht Bestandteil der Angebotswertung und hat keinen Einfluss auf die Zuschlagsentscheidung.
Für jeden Präsentationstermin ist eine Dauer von 30 Minuten vorgesehen. Die Präsentationen sollen voraussichtlich Anfang Dezember stattfinden. Der konkrete Termin
4
[Seite 5]
sowie die technischen Einwahldaten werden den eingeladenen Bietern rechtzeitig gesondert mitgeteilt.
- Referenzen
Für die Bewertung der Erfahrung sind geeignete Referenzen des vorgesehenen Betreuungsteams einzureichen. Aus den Referenzen sollen insbesondere der Au(cid:517)raggeber, der Leistungszeitraum, die Art und der Umfang der erbrachten Leistungen sowie deren Vergleichbarkeit mit der ausgeschriebenen Leistung hervorgehen.
Ein Wechsel des zugewiesenen ext. Datenschutzbeau(cid:517)ragten ist nur möglich, wenn die neue Person die oben genannten Kriterien ebenfalls erfüllt und dies nachgewiesen wird.
Zuschlagskriterien
Die Zuschlagserteilung erfolgt auf Grundlage des wirtscha(cid:517)lichsten Angebots. Für die Bewertung werden folgende Zuschlagskriterien herangezogen:
a. Preis (50 %) b. Betreuungskonzept (30 %) c. Einschlägige Erfahrung des vorgesehenen Betreuungsteams mit öffentlichen Auftraggebern oder vergleichbaren Organisationen – Referenzen (20 %)
5