[Seite 1]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung
Leistungsbeschreibung
zur Bestellung eines externen Datenschutzbeauftragten für den For-
schungsverbund Berlin e.V.
Inhalt
1 Allgemeines ........................................................................................................................... 3
1.1 Auftraggeber ................................................................................................................................. 3
1.2 Ziel der Beauftragung .................................................................................................................... 3
1.3 Ausgangslage ................................................................................................................................. 4
1.4 Datenschutzorganisation .............................................................................................................. 4
2 Rahmenbedingungen der Leistungserbringung ...................................................................... 5
2.1 Allgemeines ................................................................................................................................... 5
2.2 Leistungsort ................................................................................................................................... 6
2.3 Erreichbarkeit und Reaktionszeiten .............................................................................................. 6
2.4 Dokumentation ............................................................................................................................. 6
3 Anforderungen an die Leistungserbringung ........................................................................... 7
3.1 Allgemeine Anforderungen ........................................................................................................... 7
3.2 Personaleinsatz ............................................................................................................................. 7
3.3 Vertraulichkeit ............................................................................................................................... 7
4 Leistungsumfang ................................................................................................................... 7
4.1 Allgemeines ................................................................................................................................... 7
4.2 Grundleistungen............................................................................................................................ 8
4.2.1 Allgemeines ....................................................................................................................... 8
4.2.2 Vorhaltung und Wahrnehmung der Funktion des externen Datenschutzbeauftragten ... 8
4.2.3 Laufende Zusammenarbeit ................................................................................................ 8
4.2.4 Zusammenarbeit mit der Datenschutzaufsichtsbehörde sowie Tätigkeit als Ansprechpartner ............................................................................................................................. 9
4.2.5 Jährliches Datenschutzaudit einschließlich Berichterstattung .......................................... 9
4.2.6 Ersteinschätzung bei Datenschutzvorfällen ...................................................................... 9
4.3 Anlassbezogene Beratungsleistungen .......................................................................................... 9
4.3.1 Allgemeines ....................................................................................................................... 9
4.3.2 Datenschutzrechtliche Grundsatzberatung ..................................................................... 10
4.3.3 Datenschutzmanagement und Datenschutzorganisation ............................................... 10
4.3.4 Datenschutz-Folgenabschätzungen ................................................................................. 11
4.3.5 Datenschutzvorfälle ......................................................................................................... 11
4.3.6 Betroffenenrechte ........................................................................................................... 11
Seite 1 von 13
[Seite 2]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung 4.4 Optionale Schulungsleistungen ................................................................................................... 11
4.4.1 Allgemeines ..................................................................................................................... 11
4.4.2 Basisschulung Datenschutz .............................................................................................. 12
5 Kalkulationsgrundlagen ....................................................................................................... 12
6 Mitwirkungspflichten des Auftraggebers ............................................................................. 13
Hinweis: Aus Gründen der besseren Lesbarkeit wird bei Personenbezeichnungen und personenbezogenen Haupt- wörtern in diesem Dokument vorwiegend die männliche Form verwendet. Die verkürzte Sprachform beinhaltet keine Wertung. Sämtliche Personenbezeichnungen gelten gleichermaßen für alle Geschlechter.
Seite 2 von 13
[Seite 3]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung
1 Allgemeines
1.1 Auftraggeber
Der Forschungsverbund Berlin e.V. (im Folgenden „FVB“) ist eine der größten außeruniversitären For- schungseinrichtungen Berlins. Er besteht aus sieben Instituten der Natur-, Ingenieur-, Lebens- und Umweltwissenschaften, die Spitzenforschung betreiben.
Im FVB arbeiten rund 1.600 Personen - einschließlich Diplomandinnen, Doktorandinnen sowie Gastwissenschaftlerinnen. Die Direktorinnen der Institute sowie andere Wissenschaftler*innen ha- ben Professuren an den Universitäten in Berlin und Brandenburg inne. Hierdurch wird eine enge Ver- bindung zu Lehre und Forschung in den Hochschulen gesichert.
Die Institute des Forschungsverbundes Berlin gehören der Leibniz-Gemeinschaft an und werden ge- meinsam durch Bund und Länder finanziert. Der FVB bietet den sieben Instituten eine gemeinsame Verwaltung – so ergeben sich wichtige Synergien in Administration und Governance – sowie eine Plattform für den Austausch von Wissenschaftler*innen.
Der FVB ist ein gemeinnütziger Verein mit Sitz in Berlin.
Zum FVB gehören folgende Institute:
• Leibniz-Forschungsinstitut für Molekulare Pharmakologie (FMP)
• Leibniz-Institut für Gewässerökologie und Binnenfischerei (IGB)
• Leibniz-Institut für Kristallzüchtung (IKZ)
• Max-Born-Institut für Nichtlineare Optik und Kurzzeitspektroskopie (MBI)
• Weierstraß-Institut für Angewandte Analysis und Stochastik (WIAS)
• Paul-Drude-Institut für Festkörperelektronik (PDI)
• Leibniz-Institut für Zoo- und Wildtierforschung (IZW).
Die Institute sind organisatorisch Teil des Vereins und besitzen keine eigene Rechtspersönlichkeit.
Der Forschungsverbund Berlin e. V. ist Verantwortlicher im Sinne der Datenschutz-Grundverordnung.
1.2 Ziel der Beauftragung
Der FVB beabsichtigt die Bestellung eines externen Datenschutzbeauftragten gemäß Art. 37 ff. DSGVO sowie der Beauftragung ergänzender datenschutzrechtlicher Beratungsleistungen nach Ab- ruf.
Mit der Ausschreibung soll die gesetzlich erforderliche Funktion des externen Datenschutzbeauftrag- ten dauerhaft sichergestellt und dem FVB bei Bedarf eine unabhängige datenschutzrechtliche Bera- tung zur Verfügung gestellt werden.
Die Leistungserbringung erfolgt im Rahmen der bestehenden Datenschutzorganisation des FVB und ergänzt das zentrale Datenschutzmanagement sowie die Datenschutzkoordinatoren der Institute. Die operative Steuerung und Umsetzung datenschutzrechtlicher Maßnahmen verbleiben beim Auftrag- geber.
Die Beauftragung verfolgt insbesondere folgende Ziele:
• Sicherstellung der gesetzlich vorgeschriebenen Bestellung eines externen Datenschutzbeauf- tragten,
Seite 3 von 13
[Seite 4]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung • unabhängige Beratung und Überwachung im Sinne der Art. 38 und 39 DSGVO,
• bedarfsgerechte Bereitstellung datenschutzrechtlicher Expertise und
• Unterstützung einer rechtssicheren und praxisorientierten Datenschutzorganisation.
Die operative Steuerung, Koordination und Umsetzung datenschutzrechtlicher Maßnahmen verbleibt beim Auftraggeber und ist nicht Gegenstand der ausgeschriebenen Leistung.
1.3 Ausgangslage
Der FVB entwickelt seine Datenschutzorganisation derzeit weiter und etabliert ein zentrales Daten- schutzmanagement innerhalb der Gemeinsamen Verwaltung.
Das zentrale Datenschutzmanagement übernimmt künftig insbesondere die operative Steuerung und Koordination datenschutzrechtlicher Fragestellungen, die Weiterentwicklung der Datenschutzorgani- sation sowie die Bündelung datenschutzrechtlicher Themen innerhalb des FVB.
Daneben unterstützen Datenschutzkoordinatoren in den Instituten die Umsetzung datenschutzrecht- licher Anforderungen innerhalb ihrer jeweiligen Organisationseinheiten und bilden gemeinsam mit dem zentralen Datenschutzmanagement die operative Datenschutzorganisation des FVB.
Der externe Datenschutzbeauftragte ergänzt diese Organisation durch seine gesetzlich vorgesehene unabhängige Beratungs- und Kontrollfunktion. Er unterstützt den Auftraggeber bei der Wahrneh- mung seiner gesetzlichen Aufgaben, ohne selbst operative Aufgaben innerhalb der Datenschutzorga- nisation zu übernehmen.
1.4 Datenschutzorganisation
Die Datenschutzorganisation des FVB basiert auf einer klaren organisatorischen Trennung zwischen der operativen Umsetzung datenschutzrechtlicher Anforderungen und der unabhängigen Beratungs- und Kontrollfunktion des externen Datenschutzbeauftragten.
Ziel dieser Organisationsstruktur ist es,
• Verantwortlichkeiten eindeutig zuzuordnen,
• datenschutzrechtliche Fragestellungen zentral zu koordinieren,
• einheitliche Datenschutzstandards innerhalb des FVB sicherzustellen sowie
• eine unabhängige datenschutzrechtliche Beratung und Kontrolle zu gewährleisten.
Die wesentlichen Rollen innerhalb der Datenschutzorganisation stellen sich wie folgt dar:
| Funktion | Wesentliche Aufgabe | ||||
|---|---|---|---|---|---|
| Geschäftsführung und Insti- | Gesamtverantwortung für die Einhaltung datenschutzrechtlicher Anforderungen | ||||
| tutsleitungen | |||||
| Zentrales Datenschutzma- | Operative Steuerung, Koordination und Weiterentwicklung der Datenschutzorganisation | ||||
| nagement | |||||
| Datenschutzkoordinatoren der | Operative Unterstützung und Umsetzung innerhalb der Institute | ||||
| Institute | |||||
| Externer Datenschutzbeauf- | Unabhängige Beratung und Überwachung gemäß Art. 37 ff. DSGVO | ||||
| tragter |
Seite 4 von 13
[Seite 5]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung Die Zusammenarbeit der Beteiligten sowie die Verantwortlichkeiten innerhalb der Datenschutzorga- nisation ergeben sich ergänzend aus der nachfolgenden Rollen- und Verantwortungsmatrix (RACI- Matrix).
| Aufgabe | Verantwortliche | Externer Da- tenschutz- beauftragter | Zentrales Da- | Datenschutz- | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| (Geschäftsfüh- | tenschutzma- | koordina- | ||||||||||
| rung / Instituts- | nagement | tor*innen der | ||||||||||
| leitungen) | (DSM) | Institute | ||||||||||
| Datenschutzstrategie und | A C R (koord.) I | |||||||||||
| Datenschutzorganisation | ||||||||||||
| Verzeichnis der Verarbei- | A C R (koord.) R (oper.) | |||||||||||
| tungstätigkeiten (Art. 30 | ||||||||||||
| DSGVO) | ||||||||||||
| Bewertung neuer Verar- | A C R (koord.) R (oper.) | |||||||||||
| beitungsvorgänge und IT- | ||||||||||||
| Systeme | ||||||||||||
| Datenschutz-Folgenab- | A C R (koord.) R (oper.) | |||||||||||
| schätzungen (Art. 35 | ||||||||||||
| DSGVO) | ||||||||||||
| Auftragsverarbeitung (Art. | A C R (koord.) R (oper.) | |||||||||||
| 28 DSGVO) und gemein- | ||||||||||||
| same Verantwortlichkeit | ||||||||||||
| (Art. 26 DSGVO) | ||||||||||||
| Betroffenenrechte | A C R (koord.) R (oper.) | |||||||||||
| Datenschutzvorfälle ein- | A C R (koord.) R (oper.) | |||||||||||
| schließlich Datenschutz- | ||||||||||||
| verletzungen | ||||||||||||
| Sensibilisierung und Orga- | A C R (koord.) C | |||||||||||
| nisation von Schulungen | ||||||||||||
| Durchführung der optio- | R (oper.) C I A | |||||||||||
| nalen Basisschulung Da- | ||||||||||||
| tenschutz | ||||||||||||
| Durchführung des jährli- | A R (oper.) C C | |||||||||||
| chen Datenschutzaudits | ||||||||||||
| einschließlich Auditbericht | ||||||||||||
| Kommunikation mit der | A R (oper.) R (koord.) I | |||||||||||
| Aufsichtsbehörde | ||||||||||||
| Erläuterung A Accountable trägt die Gesamtverantwortung und trifft die maßgeblichen Entscheidungen. R (koord.) Responsible (koordinierend) steuert und koordiniert den jeweiligen Prozess, stellt die Zu- sammenarbeit der Beteiligten sicher und fungiert als zentrale Schnittstelle. R (oper.) Responsible (operativ) führt die jeweiligen operativen Maßnahmen innerhalb seines Aufgabenbereichs durch. C Consulted wird fachlich beteiligt und berät. I Informed wird über wesentliche Vorgänge informiert. |
I Informed wird über wesentliche Vorgänge informiert.
2 Rahmenbedingungen der Leistungserbringung
2.1 Allgemeines
Die Leistungserbringung erfolgt in enger Abstimmung mit dem Auftraggeber.
Der Auftragnehmer erbringt seine Leistungen eigenverantwortlich und unter Beachtung der gesetzli- chen Anforderungen an die unabhängige Tätigkeit des Datenschutzbeauftragten.
Seite 5 von 13
[Seite 6]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung Die Kommunikation erfolgt grundsätzlich über das zentrale Datenschutzmanagement des Auftragge- bers.
2.2 Leistungsort
Die Leistungen können
• schriftlich,
• telefonisch,
• per Videokonferenz sowie
• vor Ort
erbracht werden.
Art und Umfang der jeweiligen Leistungserbringung richten sich nach dem konkreten Beratungsbe- darf und werden zwischen Auftraggeber und Auftragnehmer abgestimmt.
2.3 Erreichbarkeit und Reaktionszeiten
Der Auftragnehmer stellt während der üblichen Geschäftszeiten eine angemessene Erreichbarkeit sicher.
Für dringende datenschutzrechtliche Fragestellungen, insbesondere im Zusammenhang mit vermute- ten oder eingetretenen Datenschutzvorfällen, stellt der Auftragnehmer eine zeitnahe fachliche Erst- einschätzung sicher.
Die Reaktionszeiten ergeben sich aus den nachfolgenden Service Levels:
| Priorität | Beispiel | Reaktionszeit | ||||||
|---|---|---|---|---|---|---|---|---|
| P1 – Kritisch | P1 – Kritisch | Vermuteter oder eingetretener Datenschutzvorfall, innerhalb von 4 Stun- drohende Frist nach Art. 33 DSGVO, Anfrage der den (Geschäftszeiten) Aufsichtsbehörde | ||||||
| P2 – Hoch | Dringende datenschutzrechtliche Fragestellungen innerhalb eines Arbeits- mit kurzfristigem Entscheidungsbedarf tages | |||||||
| P3 – Normal | Allgemeine Beratungsanfragen innerhalb von drei Ar- beitstagen |
Die Reaktionszeit bezeichnet den Zeitraum zwischen Eingang der Anfrage beim Auftragnehmer und der ersten qualifizierten fachlichen Rückmeldung. Der Zeitraum bis zur abschließenden Bearbeitung richtet sich nach Art und Umfang der jeweiligen Fragestellung.
2.4 Dokumentation
Soweit im Rahmen der Leistungserbringung erforderlich, dokumentiert der Auftragnehmer die Ergeb- nisse seiner Tätigkeit in geeigneter Form und stellt sie dem Auftraggeber zur Verfügung.
Seite 6 von 13
[Seite 7]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung
3 Anforderungen an die Leistungserbringung
3.1 Allgemeine Anforderungen
Der Auftragnehmer erbringt sämtliche Leistungen fachgerecht, sorgfältig und unter Beachtung der jeweils geltenden datenschutzrechtlichen Vorschriften sowie des aktuellen Standes von Rechtspre- chung, Verwaltungspraxis und Fachliteratur.
Die Leistungserbringung erfolgt grundsätzlich in deutscher Sprache. Soweit dies im Einzelfall, insbe- sondere im Zusammenhang mit internationalen Forschungsprojekten, internationalen Datenüber- mittlungen oder englischsprachigen Vertrags- und Dokumentationsunterlagen erforderlich ist, sind Beratungsleistungen auch in englischer Sprache zu erbringen.
Der Auftragnehmer berücksichtigt bei der Leistungserbringung die Organisationsstruktur und die Ab- läufe des FVB und stimmt seine Leistungen eng mit dem zentralen Datenschutzmanagement des Auf- traggebers ab.
3.2 Personaleinsatz
Der Auftragnehmer stellt sicher, dass sämtliche Leistungen ausschließlich durch fachlich qualifiziertes Personal erbracht werden.
Der im Angebot benannte externe Datenschutzbeauftragte ist während der Vertragslaufzeit zentraler Ansprechpartner des Auftraggebers und erbringt die Leistungen grundsätzlich persönlich.
Der Einsatz weiterer fachlich qualifizierter Mitarbeiter ist zulässig, soweit dies zur ordnungsgemäßen Leistungserbringung erforderlich ist und die kontinuierliche Betreuung des Auftraggebers sicherge- stellt bleibt.
Ein Wechsel des benannten externen Datenschutzbeauftragten bedarf der vorherigen Zustimmung des Auftraggebers. Die Zustimmung darf nur aus sachlichem Grund verweigert werden.
3.3 Vertraulichkeit
Der Auftragnehmer behandelt sämtliche im Rahmen der Leistungserbringung bekannt werdenden Informationen vertraulich und verwendet diese ausschließlich zur Erfüllung der vertraglich geschul- deten Leistungen.
Gesetzliche Verschwiegenheits- und Geheimhaltungspflichten sowie weitergehende vertragliche Re- gelungen bleiben unberührt.
4 Leistungsumfang
4.1 Allgemeines
Gegenstand der Beauftragung ist die Wahrnehmung der Funktion des externen Datenschutzbeauf- tragten des Forschungsverbundes Berlin e. V. (im Folgenden „FVB“) sowie die Erbringung ergänzen- der datenschutzrechtlicher Beratungsleistungen.
Die Leistungen des Auftragnehmers gliedern sich in
• Grundleistungen (kontinuierlich vorzuhaltende Leistungen),
• anlassbezogene Beratungsleistungen sowie
• optionale Schulungsleistungen.
Seite 7 von 13
[Seite 8]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung Die Grundleistungen sind während der gesamten Vertragslaufzeit dauerhaft vorzuhalten und ge- währleisten die kontinuierliche Wahrnehmung der gesetzlichen Aufgaben des externen Datenschutz- beauftragten.
Anlassbezogene Beratungsleistungen ergänzen die Grundleistungen und werden ausschließlich auf Anforderung des Auftraggebers erbracht.
Optionale Schulungsleistungen können bei Bedarf gesondert beauftragt werden.
Die operative Steuerung der Datenschutzorganisation sowie die Umsetzung datenschutzrechtlicher Maßnahmen verbleiben beim Auftraggeber.
4.2 Grundleistungen 4.2.1 Allgemeines Die Grundleistungen umfassen die während der gesamten Vertragslaufzeit dauerhaft vorzuhaltenden Leistungen des externen Datenschutzbeauftragten. Sie gewährleisten die kontinuierliche Wahrneh- mung der gesetzlichen Funktion des externen Datenschutzbeauftragten sowie dessen fortlaufende Verfügbarkeit für den Auftraggeber.
Die Grundleistungen umfassen insbesondere die nachfolgend beschriebenen Leistungen.
4.2.2 Vorhaltung und Wahrnehmung der Funktion des externen Datenschutzbeauftragten Während der gesamten Vertragslaufzeit übernimmt der Auftragnehmer die Funktion des externen Datenschutzbeauftragten des Forschungsverbundes Berlin e. V. (FVB) und nimmt die gesetzlichen Aufgaben nach Maßgabe der Art. 37 bis 39 DSGVO wahr.
Hierzu gehören insbesondere:
• die dauerhafte Bereitstellung eines fachlich qualifizierten Datenschutzbeauftragten, • die unabhängige Wahrnehmung der gesetzlichen Aufgaben nach Art. 39 DSGVO, • die Erreichbarkeit für datenschutzrechtliche Fragestellungen des Auftraggebers, • die Wahrnehmung der Beratungs-, Überwachungs- und Unterrichtungspflichten nach der DSGVO, • die Wahrnehmung der gesetzlichen Aufgaben im Zusammenhang mit der Sensibilisierung der Beschäftigten sowie der datenschutzrechtlichen Schulung der an Verarbeitungsvorgängen beteiligten Beschäftigten gemäß Art. 39 Abs. 1 Buchst. b DSGVO. • die Zusammenarbeit mit der zuständigen Datenschutzaufsichtsbehörde sowie • Ansprechpartner für die Datenschutzaufsichtsbehörde sowie für Beschäftigte, betroffene Personen und sonstige externe Stellen in datenschutzrechtlichen Angelegenheiten Art. 39 Abs. 1 Buchst. d und e DSGVO.
4.2.3 Laufende Zusammenarbeit Der Auftragnehmer arbeitet während der gesamten Vertragslaufzeit kontinuierlich mit dem zentra- len Datenschutzmanagement des FVB zusammen.
Hierzu gehören insbesondere
• regelmäßige Abstimmungsgespräche, • der fachliche Austausch über wesentliche datenschutzrechtliche Entwicklungen, • die Abstimmung aktueller datenschutzrechtlicher Fragestellungen sowie • Abstimmung des bedarfsgerechten Einsatzes anlassbezogener Beratungsleistungen.
Seite 8 von 13
[Seite 9]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung 4.2.4 Zusammenarbeit mit der Datenschutzaufsichtsbehörde sowie Tätigkeit als Ansprech- partner Der Auftragnehmer übernimmt im Rahmen seiner gesetzlichen Aufgaben die Zusammenarbeit mit der zuständigen Datenschutzaufsichtsbehörde und steht dieser als Ansprechpartner in datenschutz- rechtlichen Angelegenheiten zur Verfügung.
Darüber hinaus steht der Auftragnehmer im Rahmen seiner gesetzlichen Aufgaben auch als An- sprechpartner für betroffene Personen zur Verfügung und unterstützt den Auftraggeber bei der da- tenschutzrechtlichen Bewertung entsprechender Anfragen.
4.2.5 Jährliches Datenschutzaudit einschließlich Berichterstattung Der Auftragnehmer führt einmal je Kalenderjahr ein Datenschutzaudit im FVB durch.
Ziel des Audits ist die unabhängige Bewertung ausgewählter datenschutzrelevanter Prozesse sowie der Datenschutzorganisation des FVB im Hinblick auf die Einhaltung datenschutzrechtlicher Anforde- rungen und die Wirksamkeit der getroffenen Datenschutzmaßnahmen.
Der konkrete Prüfungsumfang wird jährlich zwischen Auftraggeber und Auftragnehmer abgestimmt.
Das Datenschutzaudit umfasst insbesondere:
• die Planung und Durchführung des Audits, • die Bewertung der geprüften Sachverhalte, • die Identifikation von Verbesserungspotenzialen, • die Ableitung praxisorientierter Handlungsempfehlungen sowie • die Vorstellung der Ergebnisse gegenüber dem Auftraggeber.
Die Ergebnisse des Audits sind in einem schriftlichen Auditbericht zusammenzufassen und dem Auf- traggeber zu übergeben. Der Bericht enthält insbesondere
• eine Zusammenfassung der durchgeführten Prüfung, • die wesentlichen Feststellungen, • identifizierte Risiken und Verbesserungspotenziale sowie • Empfehlungen zur Weiterentwicklung des Datenschutzniveaus und der Datenschutzorganisa- tion des FVB.
4.2.6 Ersteinschätzung bei Datenschutzvorfällen Der Auftragnehmer unterstützt den Auftraggeber bei Bedarf durch eine kurzfristige datenschutz- rechtliche Ersteinschätzung gemeldeter Datenschutzvorfälle.
Die Ersteinschätzung dient insbesondere der Bewertung,
• ob ein datenschutzrechtlicher Handlungsbedarf besteht,
• ob eine vertiefte datenschutzrechtliche Beratung erforderlich ist oder
• ob eine Einbindung der Datenschutzaufsichtsbehörde in Betracht kommt.
Weitergehende Beratungsleistungen erfolgen im Rahmen der anlassbezogenen Beratungsleistungen.
4.3 Anlassbezogene Beratungsleistungen 4.3.1 Allgemeines Anlassbezogene Beratungsleistungen ergänzen die Grundleistungen nach Ziffer 4.2 und werden aus- schließlich auf Anforderung des Auftraggebers erbracht.
Seite 9 von 13
[Seite 10]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung Sie dienen der unabhängigen datenschutzrechtlichen Bewertung konkreter Sachverhalte sowie der fachlichen Unterstützung des Auftraggebers bei der Entwicklung datenschutzkonformer Lösungen.
Der Auftraggeber kann entsprechend dem jeweiligen Beratungsbedarf Beratungsleistungen abrufen.
Die nachfolgend dargestellten Beratungsfelder beschreiben die regelmäßig zu erwartenden Bera- tungsgegenstände. Sie dienen der Konkretisierung des Leistungsumfangs und sind nicht abschlie- ßend. Beratungsleistungen können auch in anderen datenschutzrechtlichen Themenfeldern erbracht werden, soweit sie vom Leistungsgegenstand dieser Leistungsbeschreibung umfasst sind.
Die Koordination anlassbezogener Beratungsleistungen erfolgt grundsätzlich durch das zentrale Da- tenschutzmanagement des Auftraggebers.
Die operative Umsetzung der Beratungsergebnisse ist nicht Gegenstand der Leistung des Auftragneh- mers.
4.3.2 Datenschutzrechtliche Grundsatzberatung Beratungsleistungen können sich insbesondere auf folgende Beratungsgegenstände beziehen:
• datenschutzrechtliche Bewertung geplanter oder bestehender Verarbeitungsvorgänge,
• Einführung neuer Verfahren, Anwendungen oder IT-Systeme,
• Forschungsprojekte und Forschungsvorhaben,
• Einsatz von Cloud-Diensten, KI-Anwendungen oder vergleichbaren Technologien,
• technische und organisatorische Maßnahmen,
• internationale Datenübermittlungen,
• datenschutzrechtliche Vertragsgestaltungen sowie
• datenschutzrechtliche Stellungnahmen und rechtliche Bewertungen zu grundsätzlichen Fra- gestellungen.
4.3.3 Datenschutzmanagement und Datenschutzorganisation Beratungsleistungen können sich insbesondere auf folgende Beratungsgegenstände beziehen:
• Weiterentwicklung der Datenschutzorganisation,
• Verzeichnis der Verarbeitungstätigkeiten,
• Datenschutzprozesse,
• Datenschutzrichtlinien und interne Regelungen,
• Lösch- und Aufbewahrungskonzepte,
• Auftragsverarbeitungen,
• gemeinsame Verantwortlichkeiten,
• datenschutzrechtliche Dokumentationen,
• fachliche Unterstützung bei der Konzeption oder Aktualisierung von Schulungsunterlagen und Sensibilisierungsmaßnahmen sowie
• sonstige organisatorische Fragestellungen des Datenschutzmanagements.
Seite 10 von 13
[Seite 11]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung Die Erstellung oder umfassende Überarbeitung von Dokumentationen erfolgt ausschließlich auf An- forderung des Auftraggebers.
4.3.4 Datenschutz-Folgenabschätzungen Beratungsleistungen können sich insbesondere auf folgende Beratungsgegenstände beziehen:
• Prüfung der Erforderlichkeit einer Datenschutz-Folgenabschätzung,
• fachliche Begleitung bei der Durchführung,
• Bewertung datenschutzrechtlicher Risiken,
• Beratung zu geeigneten Maßnahmen zur Risikominderung sowie
• datenschutzrechtliche Bewertung der Ergebnisse.
Die Durchführung der Datenschutz-Folgenabschätzung sowie die Umsetzung daraus resultierender Maßnahmen verbleiben beim Auftraggeber.
4.3.5 Datenschutzvorfälle Beratungsleistungen können sich insbesondere auf folgende Beratungsgegenstände beziehen:
• rechtliche Bewertung von Datenschutzvorfällen,
• Prüfung möglicher Meldepflichten,
• Beratung zu erforderlichen Folgemaßnahmen,
• Unterstützung bei der Kommunikation mit der zuständigen Datenschutzaufsichtsbehörde so- wie
• Beratung zur Information betroffener Personen.
Die operative Bearbeitung von Datenschutzvorfällen verbleibt beim Auftraggeber.
4.3.6 Betroffenenrechte Beratungsleistungen können sich insbesondere auf folgende Beratungsgegenstände beziehen:
• Auskunftsersuchen,
• Berichtigungs- und Löschbegehren,
• Anträge auf Einschränkung der Verarbeitung,
• Widersprüche gegen Verarbeitungsvorgänge,
• Anträge auf Datenübertragbarkeit sowie
• sonstige datenschutzrechtliche Fragestellungen im Zusammenhang mit den Rechten be- troffener Personen.
Die Bearbeitung entsprechender Anträge erfolgt durch den Auftraggeber.
4.4 Optionale Schulungsleistungen 4.4.1 Allgemeines Der Auftraggeber kann den Auftragnehmer bei Bedarf mit der Durchführung von Schulungsleistun- gen beauftragen.
Schulungsleistungen dienen der Vermittlung datenschutzrechtlicher Grundlagen sowie der Sensibili- sierung der Beschäftigten für datenschutzrechtliche Anforderungen.
Seite 11 von 13
[Seite 12]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung Die Durchführung erfolgt ausschließlich auf gesonderte Anforderung des Auftraggebers. Ein Anspruch auf Abruf besteht nicht.
4.4.2 Basisschulung Datenschutz Der Auftraggeber kann den Auftragnehmer höchstens einmal je Kalenderjahr mit der Durchführung einer Basisschulung zum Datenschutz für Beschäftigte des FVB beauftragen.
Die Basisschulung dient der Vermittlung grundlegender datenschutzrechtlicher Kenntnisse sowie der Sensibilisierung für den datenschutzkonformen Umgang mit personenbezogenen Daten im Arbeitsall- tag.
Der Leistungsumfang umfasst insbesondere:
• Vorbereitung und Durchführung der Schulung,
• Bereitstellung geeigneter Schulungsunterlagen,
• Beantwortung fachlicher Rückfragen der Teilnehmenden sowie
• Überlassung der verwendeten Schulungsunterlagen an den Auftraggeber.
Die konkreten Rahmenbedingungen der Schulung, insbesondere Dauer, Teilnehmerkreis, Durchfüh- rungsform und Termin, werden im jeweiligen Abruf festgelegt.
Die Vergütung erfolgt als Festpreis je durchgeführter Basisschulung entsprechend dem Preisblatt.
5 Kalkulationsgrundlagen
Die nachfolgenden Angaben dienen ausschließlich der Kalkulation und Vergleichbarkeit der Ange- bote. Sie stellen Prognosewerte auf Grundlage der derzeitigen Erkenntnisse des Auftraggebers dar und begründen keinen Anspruch auf Beauftragung eines bestimmten Leistungsumfangs.
Die Vergütung erfolgt ausschließlich auf Grundlage der im Preisblatt ausgewiesenen Positionen sowie der tatsächlich beauftragten und erbrachten Leistungen.
Für die Angebotskalkulation sind insbesondere folgende Annahmen zugrunde zu legen:
| Kapitel der Leistungs- | Preisblattposition | Kalkulationsgrundlage | |||
|---|---|---|---|---|---|
| beschreibung | |||||
| 4.2 Grundleistungen | 4.2 Grundleistungen | monatliche Grund- Vertragslaufzeit von 48 Monaten pauschale | |||
| 4.3 Anlassbezogene | Stundensatz für Be- 400 Beratungsstunden ratungsleistungen (Kalkulationsmenge; ke | über die Gesamtlaufzeit ine Mindestabnahme) | |||
| Beratungsleistungen | |||||
| 4.4 Basisschulung Da- | Festpreis je Basis- maximal eine Durchführung je Kalenderjahr (op- schulung tionaler Abruf) | ||||
| tenschutz |
tenschutz schulung tionaler Abruf)
Die monetäre Obergrenze der Beauftragung beträgt 200.000,00 EUR netto.
Die dargestellten Kalkulationsgrundlagen dienen ausschließlich der Angebotskalkulation und der Ver- gleichbarkeit der Angebote. Sie stellen Prognosewerte dar und begründen weder einen Anspruch des Auftragnehmers auf Ausschöpfung der monetären Obergrenze noch auf die Beauftragung oder Ver- gütung eines bestimmten Leistungsumfangs.
Die monetäre Obergrenze dient ausschließlich der Begrenzung des maximalen Vertragsvolumens.
Der Auftraggeber ist nicht verpflichtet, die dargestellten Leistungen oder Mengen vollständig zu be- auftragen. Ein Anspruch auf Mindestabnahme besteht nicht.
Seite 12 von 13
[Seite 13]
Vergabenummer Vergabeverfahren FVB-2026-0009 Bestellung eines externen Datenschutzbeauftragten für den Forschungsverbund Berlin e.V. Leistungsbeschreibung
6 Mitwirkungspflichten des Auftraggebers
Der Auftraggeber schafft die organisatorischen Voraussetzungen für eine ordnungsgemäße Leis- tungserbringung.
Hierzu gehören insbesondere:
• Benennung des zentralen Datenschutzmanagements als zentralen Ansprechpartner für den Auftragnehmer,
• rechtzeitige Bereitstellung der für die Leistungserbringung erforderlichen Informationen, Un- terlagen und Auskünfte,
• Einbindung des Auftragnehmers bei datenschutzrechtlich relevanten Fragestellungen, soweit dessen Mitwirkung erforderlich ist,
• Abstimmung erforderlicher Termine und Ansprechpartner sowie
• Bereitstellung der für Vor-Ort-Termine erforderlichen Zugänge.
Die Verantwortung für die Einhaltung datenschutzrechtlicher Anforderungen sowie die operative Umsetzung datenschutzrechtlicher Maßnahmen verbleibt beim Auftraggeber.
Seite 13 von 13