Leistungsbeschreibung.pdf

[Seite 1]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

Beschaffung Gewerbefachverfahren

Allgemeine Leistungsbeschreibung

für das Vergabeverfahren -2026-01-11.1.6.02-

Seite 1 von 13

[Seite 2]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

Inhaltsverzeichnis

1. Einleitung ............................................................................................................... 3

1.1 Wahrung der Geschlechtsneutralität ..................................................................... 3

1.2 Allgemeine Vorbemerkung .................................................................................. 3

2. Anforderungen an die Software ................................................................................. 5

2.1 fachliche Anforderungen ..................................................................................... 5

2.2 Technische Anforderungen und Umsetzung ............................................................ 6

2.3 Einführung und Datenmigration ........................................................................... 7

2.4 Anwenderfreundlichkeit ...................................................................................... 8

2.5 Anforderungen IT-Sicherheit und Datenschutz ....................................................... 8

3. Vertragliche Details ................................................................................................ 11

4. Wertung der Angebote ............................................................................................ 12

5. Notwendige Unterlagen ........................................................................................... 13

Seite 2 von 13

[Seite 3]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

1. Einleitung

1.1 Wahrung der Geschlechtsneutralität

Aus Gründen der Lesbarkeit und der Übersichtlichkeit sowie in Orientierung an den grundsätzlichen Richtlinien der deutschen Rechtschreibung werden in den gesamten Vergabeunterlagen nicht in allen Stellen explizit geschlechtsneutrale Begriffe verwendet. Wann immer in diesem Dokument eine Bezeichnung mit grammatikalisch männlichem Geschlecht verwendet wird, z.B. Auftragnehmer, Programmierer oder Mitarbeiter, umfasst diese Bezeichnung sämtliche Geschlechtsidentitäten im Sinne des Allgemeinen Gleichbehandlungsgesetzes (AGG).

1.2 Allgemeine Vorbemerkung

Der Landkreis Meißen – Kreisordnungsamt – beabsichtigt die Beschaffung einer Gewerbesoftware sowie deren Lieferung, Installation, Anpassung, Integration und Pflege durch einen entsprechenden Softwareanbieter.

Die Anwendung wird in dieser Leistungsbeschreibung sowie in den weiteren Vergabeunterlagen beschrieben. Es ist hervorzuheben, dass explizit keine Individualentwicklung ausgeschrieben wird. Auch eine zeitliche Überlassung einer Software (Software-Miete) ist nicht gewünscht. Die Software soll intern vom Auftraggeber betrieben werden.

Der Landkreis Meißen ist gemäß § 3 Absatz 4 in Verbindung mit § 4 Satz 2 GewAnzV empfangsberechtigte Stelle der elektronischen Übermittlung der Daten aus der Gewerbeanzeige nach § 14 Absatz 8 GewO in Verbindung mit § 3 Abs. 1 bis 3 GewAnzV. Aktuell sind ca. 57.848 aktive Gewerbe im Landkreis Meißen ansässig. Pro Jahr empfängt, prüft und verarbeitet der Landkreis Meißen ca. 3.500 Gewerbeanzeigen der kreisangehörigen Gemeinden und Städte.

Darüber hinaus ist der Landkreis Meißen selbst Genehmigungs- und Prüfbehörde für eine Vielzahl gewerberechtlicher Vorgänge sowie die zuständige Behörde für Gewerbeuntersagungen, Gewerbeerlaubnisse und Vorgänge nach dem Gesetz zur Bekämpfung der Schwarzarbeit und illegalen Beschäftigung (SchwarzArbG). Dies umfasst pro Jahr ca. 1.000 eigene Vorgänge.

Im zuständigen Fachamt, dem Kreisordnungsamt Meißen, sind mit der Bearbeitung dieses Fachbereichs 7 Mitarbeiter betraut, welche einen definierten Zugang zur Fachsoftware haben müssen. In den vielfältigen Verfahren des Gewerberechts wird mit einer Vielzahl anderer Behörden und Einrichtungen zusammengearbeitet, dies sind unter anderem:

• Finanzämter,
• Kommunen,
• Krankenkassen,
• Deutsche Rentenversicherung,
• Gerichte,
• Staatsanwaltschaften,
• Landesbehörden,
• Registerbehörden, Seite 3 von 13

[Seite 4]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

• Industrie- und Handelskammer,
• Zoll,
• Polizeibehörden,
• etc.

Von hoher Gewichtigkeit ist, dass die Mitarbeiter innerhalb der Gewerbesoftware eine vollständige Fallbearbeitung je Gewerbetreibenden abbilden können. Weiterhin ist ein zuverlässiges und fehlerfreies Empfangen und Einlesen der Datensätze nach dem Standard XGewerbeordnung von den Gemeinden und Städten zwingende Grundvoraussetzung.

Derzeit befindet sich im Landkreis Meißen die Gewerbesoftware „GESO“ von der Firma HSH Soft- und Hardware Vertriebs GmbH im Einsatz, welche für alle gewerblichen Pflichtaufgaben, neben dem verwendeten DMS, verwendet wird.

Sämtliche aktenrelevante Dokumente (Antragsdokumente, Nachweise, Bescheide, etc.) werden jedoch in einem gängigen DMS aufgrund der separaten Aktenplanstruktur in einer extra Fachablage abgelegt. Bei der Verwendung der elektronische Aktenverwaltung und Dokumentenerstellung im Gewerbefachverfahren ist eine beidseitige Schnittstellenkommunikation der Daten und Dokumente zwischen dem Gewerbefachverfahren und dem genutzten DMS erforderlich.

Vorbehaltlich des Angebotes einer elektronischen Aktenverwaltung im Fachverfahren sollten die Mitarbeiter innerhalb der Fachsoftware die erforderlichen Dokumente (Anhörungen, Zwischenmitteilungen, Aktenvermerke, Bescheide, Vorlageberichte, etc.) erstellen können. Die benötigten Dokumente sollten dann direkt von der Fachsoftware in das bereits genutzte DMS erfolgen. Eine Implementierung der Datenbestände im DMS in das Fachverfahren sollte ebenfalls möglich sein.

Die Gewerbesoftware sollte in der Lage sein, mittels einer automatisierten Termin- und Fristenüberwachung, die Mitarbeiter über anstehende Termine, auslaufende Fristen, wie Ablauf der Rechtsbehelfsfrist, Weiterbildungspflichten, auferlegte Abgabepflichten etc. zu unterrichten. Über ein Rollen- und Rechtekonzept sind die Zugriffe auf die einzelnen Bereiche und Aufgaben flexibel ausgestaltbar.

Ebenfalls steht im Vordergrund, dass die neue Gewerbefachsoftware mittels Schnittstellen- Kompatibilitäten ein möglichst medienbruchfreies Arbeiten zulässt. Zusätzlich ist eine Grundvoraussetzung die Möglichkeit der Bearbeitung aller Pflichtaufgaben nach der Gewerbeordnung und den gewerblich angrenzenden spezialgesetzlichen Regelungen wie Gesetz über die Gaststätten im Freistaat Sachsen (Sächsisches Gaststättengesetz SächsGastG), Verordnung über Spielgeräte und andere Spiele mit Gewinnmöglichkeit (SpielV), Verordnung über die Finanzanlagenvermittlung (FinVermV), Bewacherverordnung (BewachV), Handwerksordnung (HWO) etc..

Der Auftragnehmer muss die Wartung sowie die technische Aktualität des Systems und den Support des Kreisordnungsamtes Meißen übernehmen.

Das Fachverfahren soll auf die Zuständigkeit der Landkreisebene ausgelegt sein und alle relevanten Regelungen nach EU-, Bundes- und Landesrecht (Sachsen) abdecken.

Ein hohes Augenmerk wird auf die Anwenderfreundlichkeit der Gewerbesoftware gelegt. Das Programm und dessen Anwendungen müssen für die Mitarbeiter einfach, sicher und transparent sein. Von den Bietern wird zur Einschätzung der Anwenderfreundlichkeit die Zurverfügungstellung einer Testumgebung aus Sicht der Mitarbeiter gefordert.

Seite 4 von 13

[Seite 5]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

2. Anforderungen an die Software

Im Nachfolgenden werden die verbindlichen Leistungen benannt.

Des Weiteren wird auf das Leistungsverzeichnis verwiesen, in welchem zu jeder Leistungsanforderung eine Angabe hinsichtlich der vollständigen Erfüllung bzw. Nichterfüllung zu machen ist. Werden Leistungsmerkmale nur teilweise erfüllt, ist Nichterfüllung anzugeben.

Im Leistungsverzeichnis erfolgt eine Unterscheidung von Muss-Kriterien (A-Kriterien) und Bewertungskriterien-Kriterien (B-Kriterien), wobei die Nichterfüllung von A-Kriterien zum Ausschluss aus der Bewertung führt.

Der Auftragnehmer sichert die Leistungserbringung in vollem Umfange zu.

2.1 fachliche Anforderungen

Das Programm sollte folgende Anforderungen erfüllen:

• vollständiges Empfangen und Einlesen aller Transferdaten der Kommunen (fortlaufend alle Gewerbeanzeigen),

• Anbindung im Workflow an Serviceportale zum Datenabruf, Auslösen von Abfragen, etc. hierbei an folgende: Standard XGewerbeordnung o Schnittstelle AuMiAu zur Beantragung GZR und BZR über XBfJ, o Schnittstelle Sächsisches Melderegister SMR, o Schnittstelle zur IHK idgard, o Schnittstelle zum Bewacherregister D-Statis, o Schnittstelle/Datentransfer nach XJustiz, o Schnittstelle WinOWiG, o Schnittstelle Haushalts-, Kassen- und Rechnungswesen, o Schnittstelle Handwerkskammer Dresden, o Schnittstelle aktualisiertes Straßenverzeichnis, o Onlinedienste OZG (EfA/Komm24) o Schnittstelle zu den Finanzämtern o Schnittstelle zu den Berufsgenossenschaften o Schnittstelle zu den Krankenkassen o Schnittstelle zu der Rentenversicherung und zu den Knappschaften o Schnittstelle zur Minijob-Zentrale. o

• Anbindung an MS Office-Paket oder zur Verfügungstellung eines eigenen Formulardesigners mit der Möglichkeit des Erzeugens eigener Vorlagen, Serienbriefe, Formulare, grafische Auswertungen, Druckfunktionen, etc.,

• Möglichkeit der Zuordnung und Speicherung von Office-Dokumenten/PDFs, Bildern und/oder Multimediadateien (z.B. gängige Videodateien) in Vorgängen der Gewerbetreibenden/Betroffenen/Betrieben,

• Möglichkeit der Führung einer gerichtsfesten und revisionssicheren E- Akte/Aktenverwaltung mittels DMS-Moduls, inkl. Schnittstelle zum VIS (PDV GmbH) mit automatisiertem Datentransfer - DMS-Anbindung nach DIN-Spezifikation 32791,

• Statistikmodul zur Auswertung,

• Umfangreiche Suchfunktion nach Gewerbetätigkeit, Gewerbetreibenden (natürliche und juristische Personen), erweiterten Kriterien etc.,

• automatisierte Controlling- bzw. Überwachungsfunktion von Regelüberprüfungspflichten, Prüfberichte, Negativerklärungen, Seite 5 von 13

[Seite 6]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

Weiterbildungspflichten für alle erlaubnispflichtigen Gewerbezweige (§§ 33ff., 34ff. GewO),

• Erkennung von erlaubnispflichtigen und überwachungspflichtigen Gewerben bspw. anhand von Schlüsselnummern, ggf. Möglichkeit der nachträglichen Zuordnung,
• Gesamtansicht eines Betriebes mit Gewerbeanzeigen, beteiligten Personen und Dokumenten (z.B. Erlaubnisse, Gewerbeuntersagung) sowie eine Personenkartei (Übersicht der Gewerbetätigkeit einer natürlichen Person),
• Wiedervorlagefunktion und Fristenüberwachung für alle Anwendungen,
• Rechtemanagement: Möglichkeit der Einrichtung von Bearbeitungs- und Leserechten,
• Module der verschiedenen Erlaubniswesen gem. GewO und Ausführungsgesetze, - vorschriften, etc. mit Formularfunktion,
• Gewerbeuntersagungsverfahren gem. § 35 GewO als Modul (Kopplung der Verfahren an natürliche und/oder juristische Person muss möglich sein, da mehrere Gewerbeanzeigen möglich sein können),
• Möglichkeit Giro-QR-Code: Das System muss auf dem Kostenbescheid vorgeschriebene Daten in einem QR-Code so verschlüsseln, sodass die Daten automatisiert in die Eingabemaske des Überweisungsauftrages des Bürgers übernommen werden,
• System muss im Kostenbescheid das Format xRechnung verarbeiten können.

2.2 Technische Anforderungen und Umsetzung

Die Fachsoftware wird vollständig intern im lokalen Netzwerk der Auftraggeberin betrieben. Die Anwendung muss so konzipiert sein, dass sie in einer durch Firewalls isolierten Netzwerkzone ohne direkten Internetzugang fehlerfrei betrieben werden kann. Der Auftragnehmer muss garantieren, dass alle Programm-Updates und Sicherheits-Patches als Offline- Installationsmedien bereitgestellt werden und mittels gängiger Softwareverteilsysteme paketiert werden können oder durch beaufsichtigte und geleitete Remotesession durchführbar ist.

Die angebotene Software muss zwingend als native 3-Schichten-Architektur (3-Tier-Architektur) konzipiert sein. Die logische und physische Trennung von Präsentationsschicht (Client), Logikschicht (Applikationsserver) und Datenschicht (Datenbank) muss vollständig gegeben sein. Der Zugriff des auf den Client-Arbeitsplätzen installierten Frontends (Rich-Client/Desktop- Anwendung) auf die Datenbasis darf ausschließlich und indirekt über einen zentralen Applikationsserver erfolgen. Ein direkter Netzwerkzugriff oder eine direkte Authentifizierung des Clients an der Datenbank (2-Tier-Architektur) ist unzulässig.

Die zugrundeliegende Datenhaltung muss so aufgebaut sein, dass die von der Auftraggeberin vorhandene gängige Backup-Lösung ein konsistentes, im laufenden Betrieb erstelltes Backup (Snapshotfähigkeit) anfertigen kann. Darüber hinaus muss die Software Standard-Schnittstellen mitbringen, damit der Systemzustand überwacht werden kann.

In Bezug auf den Identitätsschutz muss zwingend die Unterstützung von 2FA/MFA für administrative Vorgänge möglich sein.

Die Software muss auf einem nach BSI IT-Grundschutz gehärteten Windows-Betriebssystem lauffähig sein. Einschränkungen von Sicherheitskomponenten (z. B. Virenscannern, EDR oder Firewalls oder die Deaktivierung von Windows-Sicherheitsfeatures) sind unzulässig. Die Serverdienste dürfen nicht unter administrativen Privilegien ausgeführt werden.

Die Software muss mindestens auf Microsoft Windows Server 2019 lauffähig sein und vom Hersteller für zukünftige Versionen der Windows-Server-Plattform fortlaufend unterstützt werden. Insbesondere muss ein Upgrade auf aktuelle bzw. zukünftige Serverversionen (derzeit Seite 6 von 13

[Seite 7]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

Windows Server 2019) ohne Herstellerwechsel oder grundlegende Produktanpassungen möglich sein.

Die anwendungsbezogene Datenhaltung darf nicht lokal auf dem Terminalserver erfolgen. Sämtliche produktiven Anwendungs- und Benutzerdaten müssen auf externen Systemen oder zentralen Speicherorten abgelegt werden können. Die Datenbank muss auf den Systemen SQL, MySQL oder ähnliches (kein Oracle) laufen.

Die zu installierenden Client-Komponenten müssen für ein automatisiertes Softwareverteilung geeignet sein.

Die Software muss den gleichzeitigen Betrieb durch mehrere Benutzer auf einem gemeinsamen Terminalserver (Multi-User-Betrieb) ohne funktionale Einschränkungen unterstützen. Es soll damit ein mobiles Arbeiten der Anwender gewährleistet werden.

Die Software muss in Umgebungen mit Roaming-Profilen lauffähig sein, ohne dass Benutzerprofile dauerhaft lokal auf dem jeweiligen System vorgehalten werden müssen.

Die sichere Datenkommunikation im Verfahren muss für den Auftraggeber und die Bewerber immer mit ausreichenden Verschlüsselungstechniken (HTTPS bzw. TLS 1.3) erfolgen.

Der Auftragnehmer stellt ein Handbuch der Software für den Auftraggeber zur Verfügung. Das Handbuch kann in elektronischer Form zur Verfügung gestellt werden. Neben diesem Handbuch ist eine entsprechende Hilfefunktion in deutscher Sprache kostenlos in der Software zu integrieren. Die Hilfefunktion muss stets auf dem aktuellen Stand sein.

Der Support für den Auftraggeber umfasst u. a.:

• Pflegeleistungen zur Mängelbeseitigung,
• Lieferung und Installation von Updates und Releases/Versionen sowie
• telefonischen Support-Service zur Beantwortung und Klärung von fachlichen Anwenderfragen.

Der Auftragnehmer stellt dem Auftraggeber eine kostenfreie Support-Nummer bzw. eine deutsche Festnetznummer zum Ortstarif zur Verfügung. Die Support-Nummer ist für die gesamte Vertragsdauer aufrecht zu erhalten. Bei betriebsbedingten Änderungen dieser Nummer ist dies dem Auftraggeber unverzüglich mitzuteilen.

Produktwartungen zur Verbesserung des Produktes sowie Updates/Patches werden möglichst außerhalb der regelmäßigen Dienstzeit durchgeführt. Außerordentliche und größere Wartungsarbeiten werden dem Auftraggeber vorab mitgeteilt.

Das Lizenzmodell muss eine flexible und wirtschaftliche Nutzung des Fachverfahrens ermöglichen. Bevorzugt wird ein Concurrent-User-Lizenzmodell, bei dem sich bis zu acht gleichzeitig angemeldete bzw. aktive Nutzer im System befinden können.

2.3 Einführung und Datenmigration

Für die gesamte Einführungsphase wird durch den Auftragnehmer ein Projektleiter für die Vorbereitung, Einrichtung und Durchführung einer Anwenderschulung sowie für die vollständige Produktivitätssetzung, Datenimplementierung und Datenmigration zur Verfügung gestellt. Der Projektleiter ist spätestens mit Vertragsbeginn zu benennen und soll während der Einführungsphase zu den Öffnungszeiten des Landratsamtes Meißen telefonisch und per E-Mail erreichbar sein.

Seite 7 von 13

[Seite 8]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

Für eine erfolgreiche Integration des Systems ist eine umfassende Schulung notwendig und durch den Auftragnehmer in der Einführungsphase durchzuführen. Die Schulung kann in den Räumlichkeiten des Auftraggebers stattfinden. Online-Schulungen bzw. Webinare werden ebenfalls akzeptiert. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Materialien für die Schulung (z. B. Skripte) zur Verfügung.

Ziel der Schulung ist, dass die Beschäftigten sämtliche Funktionen der Software kennenlernen, sowie Anpassungsmöglichkeiten auf die Bedürfnisse der Nutzer erlernen und erproben. Weiterhin sind den Beschäftigten die vollumfänglichen Funktionen der Administratorenverwaltung zu vermitteln. Die Erbringung von zusätzlichen Schulungen und Workshops erfolgt im Einzelfall nach Bedarf und erst nach vorheriger schriftlicher Vereinbarung.

Der Preis für die Einführungsphase sowie die Kosten der Schulung sind mit allen Nebenkosten im Preisblatt auszuweisen.

Der Auftragnehmer hat eine vollständige Implementierung und die Unterstützung bei der Datenbereinigung (ggf. durch einen Korrekturalgorithmus) als auch bei der Datenmigration bestehender Daten inkl. des Übertrags aller Zusatzinformationen (z.B. Aktenvermerke, Prüfberichtsverwaltung etc.) aus der bisherig genutzten Software „GESO“ von der Firma HSH Soft- und Hardware Vertriebs GmbH anzubieten und zu gewährleisten. Alternativ muss durch den Auftragnehmer gewährleistet werden, dass ein vollständiger Bestandsdatenneutransfer der Städte und Gemeinden an den Landkreis Meißen mit anschließender Unterstützung bei der Datenmigration und -bereinigung (Dubletten, Fehldaten, etc.) sowie ein Abgleich der Datensätze mit dem Altbestand gewährleistet und zum Aufbau einer Neudatenbank im Landkreis Meißen betreut und begleitet wird. Des Weiteren ist der Altdatenbestand beim Aufbau einer Neudatenbank zu sichern.

2.4 Anwenderfreundlichkeit

Die Software bildet für den Fachbereich des Landratsamtes Meißen die Basis für die Erfüllung von Pflichtaufgaben per Gesetz. Eine erfolgreiche Bearbeitung gewerberechtlicher Vorgänge und die Führung eines Kreisgewerberegisters ist nur mit einer einfach zu bedienenden, sicheren und transparenten Software möglich.

Kriterien hierfür sind unter anderem:

• ansprechende und übersichtliche Gestaltung der Oberflächen,
• Schriftbild,
• Bedienbarkeit,
• Ansprechpartner (elektron./telefon. bei Fragen schnell zu finden),
• elektronische Bedienhinweise,
• eindeutige Fallführung,
• automatische Dublettenprüfung
• Zoomfunktion, Anwendung auf verschiedenen Endgeräten.

Die Anwenderfreundlichkeit ist im Rahmen einer Testumgebung zu beurteilen. Die Testgruppe besteht aus mindestens 3 Personen, weswegen mind. 3 Zugänge zur Testumgebung erforderlich sind.

2.5 Anforderungen IT-Sicherheit und Datenschutz

Seite 8 von 13

[Seite 9]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

Der Landkreis Meißen hat aufgrund gesetzlicher Vorgaben für eine sichere Informationsverarbeitung zu sorgen. Dies bedeutet, dass die Integrität und Vertraulichkeit der in informationstechnischen Systemen verarbeitenden Daten sowie die Verfügbarkeit, der Geschäftsprozesse und Informationen gewährleistet sein müssen.

Die Anforderungen hinsichtlich der IT- und Datensicherheit, des Datenschutzes sowie des Zugriffsschutzes sind anhand geltender gesetzlicher Regelungen strikt einzuhalten. Das Lösungssystem muss durch Technikgestaltung und Voreinstellungen eine angemessene Sicherheit verarbeiteter Daten gewährleisten, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung, vor Verlust, Zerstörung oder Schädigung.

Das angestrebte Lösungssystem muss daher geeignet sein, die organisatorischen, personellen, infrastrukturellen und technischen Maßnahmen umzusetzen, um ein dem festgestellten Schutzbedarf angemessenes Sicherheitsniveau, insbesondere bezüglich Vertraulichkeit, Integrität, Datenminimierung, Nichtverkettung, Transparenz, Intervenierbarkeit und Verfügbarkeit zu erreichen. Der ermittelte Schutzbedarf für die vorgenannten Gewährleistungsziele aus Sicht des Datenschutzes des Systems ist mit jeweils hoch definiert, so dass in Folge das gesamte Verfahren mit hoch definiert wird, u.a., da in Gewerbeverfahren personenbezogene und weitere sensible Daten verarbeitet werden.

Der Auftragnehmer hat ausführlich und konzeptionell in Form eines Datenschutz- und Informationssicherheitskonzeptes darzustellen, wie die Aspekte der IT-Sicherheit und des Datenschutzes berücksichtigt werden und durch welche Maßnahmen lösungsseitig ein angemessenes Schutzniveau an Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit gewährleistet wird. Relevante Regelungsschwerpunkte sind technische Systembeschreibungen, Angaben zur Sicherheitskonzeption (Zertifizierung und Maßnahmen zu deren Aufrechterhaltung), Informationen zum Rechte-Rollenkonzept sowie Löschkonzept inkl. Löschprotokollierung.

Der Auftragnehmer verpflichtet sich, mit dem Angebot den Nachweis über einen sicheren Softwareentwicklungsprozess (z. B. nach OWASP-Richtlinien Top 10; regelmäßig automatisierte Code-Scans / SAST / DAST) sowie einen aktuellen Penetrationstest-Bericht (nicht älter als 12 Monate) eines unabhängigen, qualifizierten Prüfers für die angebotene Softwareversion vorzulegen. Idealerweise kann der Hersteller einen Nachweis in Form eines gültigen ISO/IEC 27001 Zertifikates bzw. eines ISO/IEC 27001 auf Basis von IT-Grundschutz (BSI) oder einem vergleichbaren Standard vorlegen.

Die Software muss alle administrativen Aktionen sowie Datenzugriffe auf personenbezogene Daten gem. Art. 32 DSGVO revisionssicher und manipulationsgeschützt protokollieren. Eine Schnittstelle zum Export dieser Protokolle an ein zentrales Log-Management (z. B. Syslog/SIEM) muss vorhanden sein. Ein lückenloses, von normalen Benutzern und Admins nicht veränderbares Audit-Log (Protokollierung von: Wer hat wann, welche Bürgerdaten eingesehen, geändert oder exportiert?) muss möglich sein.

Um die Lieferkettentransparenz herzustellen, ist die Bereitstellung einer vollständigen SBOM (Software Bill of Material) bei jeder Hauptversion in etablierten, standardisierten und gängigen Formaten erforderlich.

Seit 11.09.2026 gelten die sog. CRA-Meldepflichten. Der Auftragnehmer hat zu erklären, ob er diese bereits operativ umgesetzt hat. Konkret bedeutet dies, dass er einen internen Prozess zur Schwachstellenmeldung an die ENISA etabliert hat.

Ab Stichtag 11.12.2027 gilt im Rahmen des CRA, dass die Hersteller von Software die CE- Kennzeichnungspflicht erfüllen müssen. Die vollständige Konformität mit den Regelungen des Seite 9 von 13

[Seite 10]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

CRA geht dem voraus. Der Bieter muss mit Bewerbung erklären und bei Zuschlagserteilung vertraglich zusichern, dass dieses CE-Kennzeichen zum Stichtag erworben sein wird und vollständige CRA-Konformität hergestellt ist.

Für den Abschluss der Vereinbarung zur Auftragsdatenverarbeitung nach Art. 28 DSGVO wird die Nutzung der Mustervereinbarung des Bundesbeauftragten für Datenschutz und Informationssicherheit erbeten. Die unterschriebene Vereinbarung zur Auftragsdatenverarbeitung ist vorzulegen und damit die jederzeitige Einhaltung dieser Regelungen zu bestätigen.

Vertraulichkeit verlangt, dass keine unbefugte Person personenbezogene Daten zur Kenntnis nehmen oder nutzen kann (insbesondere, dass erlangte Daten nicht unberechtigt weitergegeben oder veröffentlicht werden dürfen). Die Verarbeitung darf nur im Rahmen einer Zugriffsberechtigungsprüfung nach einem Rollen- und Benutzerkonzept entsprechend der geltenden Sicherheitsregeln (allgemeine gesetzlichen Bestimmungen zur angemessenen Gewährleistung der Sicherheitsziele, einschließlich Vertraulichkeit und/oder interne Festlegungen) erfolgen. Es handelt sich bei den zu verarbeitenden Informationen teilweise um vertrauliche sowie personenbezogene Daten. Der Zugriff auf die Daten ist auf ein notwendiges Maß zu begrenzen.

Bei Umsetzung und Einhaltung der Gewährleistungsziele sollen geeignete organisatorische Maßnahmen (z.B. Anweisungen zur Beschränkung der Übermittlung personenbezogener Daten an Dritte) sowie technische Maßnahmen wie Verschlüsselungstechniken, zur Übertragung vertraulicher Daten zum Einsatz kommen bzw. die nachfolgend beschrieben Funktionalitäten umgesetzt werden:

• Löschen von Daten, Datengruppen/Lösch- und Speicherfristen: U.a. aufgrund von gesetzlichen Vorgaben (z.B. § 34 Abs. 2 SächsKomKBVO) müssen Daten des Lösungssystems für einen Zeitraum aufbewahrt sowie danach gelöscht werden können. Nach Ablauf von Fristen/vorgegebenen Zeiträumen sollen ausgewählte Daten/Datengruppen des Lösungssystems (z.B. personenbezogene Daten nach Zweckerledigung, wenn keine Rechtsgrundlage die weitere Speicherung erlaubt) durch berechtigte Anwender gelöscht werden können. Die Hinterlegung von Lösch- und Speicherfristen ist möglich. Anwender werden systemgestützt über Lösch- und Speicherfristen informiert (z.B. automatisiert via E-Mail nach Fristende und/oder via generierbaren Löschlisten mit Übersichten zu Lösch- und Speicherfristen). Das Löschen der Daten darf die Systemstabilität und die Integrität des Datenbestandes nicht beeinträchtigen.

Hinweis zur Auswertung personenbezogener Daten: Personenbezogene Daten dürfen im Landkreis Meißen nur im Rahmen der Zweckbindung verarbeitet werden. Wichtig ist, dass Funktionen des Lösungssystems zur Datenauswertung über Rollen und Berechtigungen so steuerbar sind, dass Auswertungen auf den jeweiligen legitimen Verarbeitungszweck durch dafür autorisierte Personen beschränkt bleiben.

Integrität von IT-Systemen ist gegeben, wenn die Daten und die IT-Infrastruktur sowie die IT- Anwendungen vollständig und richtig zur Verfügung stehen und vor Manipulation und ungewollten oder fehlerhaften Änderungen geschützt sind. Da finanzwirksame, zahlungsbegründende und zuwendungsrechtlich relevante Daten geführt werden, sind die Anforderungen an die Integrität der Daten hoch. Es muss sichergestellt sein, dass die Daten während der gesamten Lebensdauer unverändert bleiben und nutzbar sind. Der schreibende, ändernde Zugriff auf die Daten muss autorisierten Personen vorbehalten bleiben. Das System muss zudem revisionssicher sein, d.h. mittels Führung einer Historie müssen die Datenveränderungen nachvollziehbar sein und vorgehalten werden. Dokumente Seite 10 von 13

[Seite 11]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

müssen im DMS revisionssicher langzeitaufbewahrt/gespeichert werden können. Der Landkreis Meißen nutzt ein DMS. Die schreibenden, ändernden Zugriffe auf die gehaltenen Daten sind zu protokollieren, ebenso alle relevanten Administratoraktivitäten.

3. Vertragliche Details

Es ist eine Vertragslaufzeit von mindestens 4 Jahren vorgesehen. Der Vertrag verlängert sich automatisch um jeweils ein weiteres Jahr, sofern er nicht spätestens drei Monate vor Ende der Vertragslaufzeit gekündigt wird.

Der EVB-IT Überlassungsvertrag Typ A ist zu verwenden. Der Inhalt ergibt sich aus der Leistungsbeschreibung mit den entsprechenden Anlagen. Vertragsbeginn des EVB-IT Überlassungsvertrages Typ A ist am 01.12.2026. Die Leistungen für die Phase der Einführung und Schulung werden gesondert ausgewiesen (siehe Anlage Preisblatt).

Der Auftraggeber ist berechtigt, den Vertrag aus wichtigem Grund mit einer Frist von drei Monaten zu kündigen. Ein wichtiger Grund liegt vor, wenn schwerwiegende Verstöße gegen die Vertragsbestimmungen vorliegen. Als derartige Verstöße kommen insbesondere in Betracht, wenn: I. der Auftragnehmer die übernommene Leistung innerhalb eines Jahreszeitraums mehr als fünfmal ganz oder teilweise nicht in der dem Vertrag entsprechenden Art und Weise ausführt, II. dem Auftragnehmer die BSI-Zertifizierung entzogen wird, III. gegen die datenschutz- und informationssicherheitsrechtlichen Bedingungen verstoßen wird oder IV. ein schwerwiegender Verstoß des Auftragnehmers gegen die Bestimmungen der Datenschutz-Grundverordnung der Europäischen Union (DSGVO) oder der geschlossenen Vereinbarung zur Auftragsdatenverarbeitung nach Art. 28 DSGVO vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer den Zutritt des Auftraggebers oder der zuständigen Datenschutz-Aufsichtsbehörde verweigert.

Die im Anschluss an die Kündigung entstehenden Aufwendungen für notwendige Ersatzmaßnahmen und die ggf. entstehenden Zusatzkosten bis zur erneuten Vergabe sowie die Aufwendungen für die erforderliche neue Ausschreibung gehen zu Lasten des Auftragnehmers. Die Kündigung bedarf der Schriftform. Sofern eine Vertragspartei den Vertrag kündigt, hat die Kündigung keinen Einfluss auf die bis zum Beendigungsdatum des Vertrages bekanntgemachten Vergabeverfahren. Diese Verfahren werden auch über das Kündigungsdatum hinaus gemäß den Regelungen dieser Leistungsbeschreibung bis zu deren endgültigen Abschluss abgewickelt. Die Möglichkeit der fristlosen Kündigung bleibt unberührt. Die Rechnungen sind durch den Auftragnehmer an folgende Adresse zu senden:

Landratsamt Meißen Kreisordnungsamt Brauhausstraße 21 01662 Meißen

Alternativ und bevorzugt besteht die Möglichkeit zur Übermittlung der Rechnung auf elektronischem Wege.

Die Erbringung sonstiger Dienstleistungen, z. B. Programmierleistungen, erfolgt im Einzelfall und erst nach vorheriger schriftlicher Vereinbarung. Die Abrechnung erfolgt auf Basis eines Stundensatzes. Es sind jede angefangenen 30 Minuten abrechenbar zur Hälfte des Stundensatzes. Der Stundensatz ist im Preisblatt anzugeben.

Seite 11 von 13

[Seite 12]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

Der Auftraggeber ist nach Absprache mit dem Auftragnehmer berechtigt, die Umsetzung weiterer untergeordneter Leistungen, die nicht Bestandteil der bisherigen Leistung sind, zu vereinbaren. Die Höhe der Vergütung erfolgt in Absprache zwischen Auftragnehmer und Auftraggeber.

4. Wertung der Angebote

Es gelangen nur diejenigen Angebote in die Prüfung und Wertung, die sämtliche Anforderungen nach diesen Vergabeunterlagen erfüllen. Bzgl. der Bewertung der leistungsbezogenen Angaben enthält das Leistungsverzeichnis Musskriterien (A-Kriterium), die bei Nichterfüllen zum Ausschluss des Letzt-Angebots führen und Bewertungskriterien (B-Kriterium), die entsprechend der Wertungsmatrix Punkte zwischen 0 und 1 erhalten. Nicht-erfüllte B-Kriterien erhalten 0 Punkte.

Die Wertungsmatrix besteht aus mehreren Wertungsbereichen, die Wertungskriterien enthalten.

Die Punkte der B-Kriterien fließen zusammen mit dem Preis in die Punktwertung ein. Die Bewertung des Preises erfolgt auf Grundlage des in dem Preisblatt eingetragenen Gesamtpreises. Eine nachträgliche Preisverhandlung ist ausgeschlossen.

Die Bewertung im Wertungsbereich „Anwenderfreundlichkeit“ erfolgt in der zur Verfügung gestellten Testumgebung durch eine Vergleichsgruppe von mindestens 3 Personen. Die einzelnen Unterkriterien werden dabei von jedem Mitglied der Vergleichsgruppe für jedes angebotene Bewerbermanagementsystem (welches nicht bereits durch Nichterfüllung von A-Kriterien ausgeschlossen wurde) getestet und eingeschätzt in einer Skala von 0; 0.25; 0.5; 0.75; 1 mit oben beschriebener Bedeutung. Die Einschätzungen aller Mitglieder der Vergleichsgruppe zu dem jeweiligen Produkt werden addiert und durch ihre Anzahl geteilt (Bildung Durchschnittswert).

Gewertet wird das Preis-/Leistungsverhältnis mittels der erweiterten Richtwertmethode.

In den folgenden Schritten wird die Wertung näher erläutert (alle Werte werden kaufmännisch auf zwei Dezimalstellen gerundet):

1 Ermittlung der Leistungspunkte 1.1. Die erzielten Wertungspunkte der Wertungskriterien werden innerhalb der Wertungsbereiche summiert und ein Durchschnittswert gebildet. 1.2. Dieser Durchschnittswert wird mit dem Relevanzfaktor des jeweiligen Wertungsbereiches multipliziert. 1.3. Die Summe der Leistungspunkte ergibt sich aus der Addition der Leistungspunkte aller Wertungsbereiche.

2 Ermittlung der Kennzahl für das Preis-Leistungsverhältnis = Gesamtsumme der Leistungspunkte/Gesamtpreis*1000

3 Ermittlung des Kennzahlkorridors 3.1 Die obere Korridorgrenze stellt die Kennzahl des Angebots mit dem besten Preis- Leistungs-Verhältnis dar (größte Kennzahl). 3.2 Die untere Korridorgrenze ergibt sich aus o. g. Kennzahl minus 10%.

4 Anschließend werden alle Angebote ermittelt, die innerhalb des Kennzahlkorridors liegen (inklusive der Randwerte). Diese Angebote werden zunächst als gleichwertig betrachtet.

Seite 12 von 13

[Seite 13]

Beschaffung 2026-01-11.1.6.02 Leistungsbeschreibung Gewerbefachverfahren

Entscheidungskriterium innerhalb dieser Gruppe ist die höchste Leistungspunktzahl in allen Wertungsbereichen.

5 Der nach dieser Vorgehensweise wirtschaftlichste Bieter erhält den Zuschlag auf das Letzt- Angebot. Bei identischen Leistungspunktzahlen greift das preisgünstigste Letzt-Angebot. Bei identischen Ergebnissen erfolgt eine Auslosung.

5. Notwendige Unterlagen

Folgende Unterlagen und Nachweise sind mit dem Angebot einzureichen:

• Ausgefüllte Anlage 1 (Preisblatt)
• Ausgefüllte Anlage 2 (Leistungsverzeichnis)
• Ausgefülltes und unterschriebenes Angebotsschreiben
• Unterschriebener EVB IT Überlassungsvertrag Typ A (Kurzfassung mit Pflege)
• Vereinbarung zur Auftragsdatenverarbeitung
• Datenschutz- und Informationssicherheitskonzept
• Nachweis über einen sicheren Softwareentwicklungsprozess sowie einen aktuellen Penetrationstest-Bericht
• Zugangsdaten zu einer Testumgebung

Seite 13 von 13