1.18_Anlage_1_NDA_Zugangs_und_Schutzregeln_UCaaS-Lösung_260827.docx

1.18 ANLAGE 1 ZUR VERTRAULICHKEITSVEREINBARUNG

Zugangs- und Schutzregeln

Vergabeverfahren zur konzernweiten UCaaS-Lösung Vergabenummer: 260827

Verbindlicher NDA-Hinweis: Die Vertraulichkeitsvereinbarung 1.17 einschließlich der Zugangs- und Schutzregeln 1.18 ist zwingend mit dem Teilnahmeantrag in Textform einzureichen. Sie wird nicht bepunktet.

Stand: 24.09.2026

Bezug: Vertraulichkeitsvereinbarung zwischen Sana und dem jeweiligen Vertragspartner

Diese Anlage konkretisiert die Zugangs- und Schutzregeln für Vertrauliche Informationen im Vergabeverfahren. Sie ist Bestandteil der Vertraulichkeitsvereinbarung. Die dort definierten Begriffe gelten entsprechend.

1. Gegenstand und Geltungsbereich
   1. Diese Anlage gilt für alle projektbezogenen Informationen, Unterlagen, Datenräume, Präsentationen, Tests, Systemzugänge und sonstigen Inhalte, die Sana oder ein von Sana beauftragtes Unternehmen im Zusammenhang mit dem Vergabeverfahren zur konzernweiten UCaaS-Lösung bereitstellt.
   2. Öffentlich zugängliche Informationen sowie die für den Teilnahmewettbewerb vollständig bereitzustellenden Vergabeunterlagen sind ohne vorherigen NDA-Abschluss zugänglich und unterliegen nicht den Zugangsbeschränkungen dieser Anlage. Ihre Einordnung in Stufe O dient ausschließlich der vollständigen Schutzklassifizierung.
   3. Diese Anlage begründet weder einen Anspruch auf Zugang zu bestimmten Informationen noch auf Teilnahme an einer weiteren Verfahrensstufe.
2. Vorrang gesetzlicher Vergabepflichten
   1. Gesetzliche vergaberechtliche Pflichten, insbesondere Transparenz, Gleichbehandlung, Verfahrensdokumentation und gesetzlich erforderliche Offenlegungen, bleiben unberührt und gehen im Kollisionsfall vor.
   2. Zugangsbeschränkungen dürfen nur angewendet werden, soweit der Schutz der betroffenen Informationen dies sachlich rechtfertigt. Die Schutzmaßnahmen, Zugangsvoraussetzungen und der Zugangsweg sind vorab in der Auftragsbekanntmachung oder den Vergabeunterlagen transparent zu beschreiben und für alle vergleichbaren Unternehmen beziehungsweise Bewerber einheitlich auszugestalten.
3. Schutz- und Zugangsstufen
   1. Sana ordnet die bereitgestellten Informationen einer der nachfolgenden Schutz- und Zugangsstufen zu. Maßgeblich ist die ausdrückliche Kennzeichnung durch Sana oder eine aus Inhalt und Offenlegungssituation eindeutig erkennbare Einstufung.

• 1. Die Einstufung kann während des Vergabeverfahrens durch Sana angepasst werden. Eine Herabstufung oder Freigabe zur Weitergabe bedarf einer ausdrücklichen Mitteilung von Sana.

1. Zugangsberechtigung und Weitergabe
   1. Zugänge sind personenbezogen. Zugang erhalten nur solche Personen, die die betreffenden Informationen für den freigegebenen Teil des Vertragszwecks benötigen und mindestens gleichwertig zur Vertraulichkeit verpflichtet sind.
   2. Mitglieder einer Bewerber- oder Bietergemeinschaft, Unternehmen, deren Kapazitäten in Anspruch genommen werden, und vorgesehene Unterauftragnehmer dürfen nur einbezogen werden, soweit ihre Mitwirkung für den jeweiligen Verfahrensschritt erforderlich ist. Der Bewerber bleibt für die Einhaltung der Vertraulichkeits- und Schutzpflichten verantwortlich.
   3. Für Informationen der Stufe N sind die vorgesehenen Personen vor dem Zugang namentlich zu benennen und durch Sana freizugeben. Sammelkonten, geteilte Zugänge und die Übertragung personalisierter Berechtigungen sind unzulässig.
   4. Sana kann den Zugang auf bestimmte Rollen, Zeiträume, Systeme, Datenräume, Dokumente oder Funktionen begrenzen und von zusätzlichen Verpflichtungserklärungen oder Sicherheitsnachweisen abhängig machen, soweit diese Anforderungen sachlich gerechtfertigt, für vergleichbare Unternehmen einheitlich und vor dem jeweiligen Zugang transparent festgelegt sind. Hierdurch werden keine zusätzlichen Eignungs- oder Bewertungskriterien begründet.
2. Verantwortlichkeiten
   1. Die nachfolgenden Verantwortlichkeiten dienen der eindeutigen operativen Zuordnung. Gesetzliche Zuständigkeiten und interne Freigabeprozesse von Sana bleiben unberührt.

1. Technische und organisatorische Schutzmaßnahmen
   1. Die Empfangende Partei hat mindestens die nachfolgenden Schutzmaßnahmen einzuhalten und deren Einhaltung durch ihre Repräsentanten sicherzustellen:
      1. Verarbeitung und Speicherung ausschließlich in von Sana freigegebenen oder für den Vertragszweck angemessen gesicherten Systemen und Speicherorten;
      2. Schutz von Zugangsdaten und Authentisierungsmerkmalen sowie Nutzung einer von Sana vorgegebenen Mehrfaktor-Authentisierung;
      3. Einhaltung von Protokollierungs-, Wasserzeichen-, Speicher-, Druck-, Kopier-, Export- und Downloadbeschränkungen;
      4. keine Umgehung technischer Zugriffsbeschränkungen und keine Weitergabe über private E-Mail-Konten, private Datenträger oder nicht freigegebene Kommunikationswege;
      5. keine Eingabe, Übertragung oder Verarbeitung Vertraulicher Informationen in nicht ausdrücklich freigegebenen externen KI-, Übersetzungs-, Analyse-, Kollaborations-, Filesharing- oder sonstigen Cloud-Diensten; und
      6. Schutz lokaler Arbeitskopien vor unberechtigtem Zugriff sowie unverzügliche Löschung, sobald sie für den freigegebenen Zweck nicht mehr erforderlich sind.
   2. Sana kann für die Stufen A und N weitergehende Schutzmaßnahmen festlegen, insbesondere ausschließliche Datenraumnutzung, Ansicht ohne Download, personalisierte Wasserzeichen, zeitliche Zugriffsbeschränkung, Zugriffsprotokollierung oder Nutzung besonders geschützter Endgeräte.
2. Bereitstellung, Kommunikation und Klarstellungen
   1. Die Bereitstellung erfolgt ausschließlich über die von Sana benannte Vergabeplattform, einen freigegebenen Datenraum oder einen anderen ausdrücklich benannten Kommunikationsweg.
   2. Fragen zu geschützten Informationen sind ausschließlich über den von Sana festgelegten Kommunikationsweg einzureichen. Direkte Kontaktaufnahmen zu Kliniken, Fachbereichen, Beschäftigten oder sonstigen Konzernunternehmen sind nur nach ausdrücklicher Freigabe zulässig.
   3. Klarstellungen, die für die Erstellung eines Teilnahmeantrags oder Angebots relevant sind, werden allen jeweils betroffenen Unternehmen beziehungsweise Bewerbern in gleicher Weise zur Verfügung gestellt. Geschäftsgeheimnisse und schutzwürdige Angaben anderer Unternehmen dürfen dabei nicht offengelegt werden.
3. Sicherheitsvorfälle
   1. Vermutete oder festgestellte unbefugte Zugriffe, Offenlegungen, Fehlversendungen, Verluste, Manipulationen oder sonstige Verstöße sind unverzüglich über den von Sana benannten Kommunikations- oder Sicherheitskanal zu melden.
   2. Die Meldung enthält, soweit zum Meldezeitpunkt bekannt, Art und Umfang des Vorfalls, betroffene Informationen, mögliche Empfänger, Zeitpunkt und Dauer, bereits ergriffene Gegenmaßnahmen sowie eine erreichbare Kontaktperson.
   3. Die Empfangende Partei unterstützt Sana bei Aufklärung, Eindämmung, Wiederherstellung und Dokumentation des Vorfalls und bewahrt relevante Nachweise, soweit dies rechtlich zulässig und erforderlich ist.
4. Beendigung des Zugangs, Rückgabe und Vernichtung
   1. Sana kann Zugänge bei Wegfall des Verfahrenszwecks, bei Ausscheiden aus dem Vergabeverfahren, bei Beendigung des zugelassenen Bearbeitungszeitraums oder bei einem Verstoß gegen die Schutzregeln sperren. Bei einem Verstoß kann Sana ferner die Herausgabe oder Löschung der betroffenen Informationen verlangen und weitere gesetzlich sowie vergaberechtlich zulässige Maßnahmen ergreifen. Art und Umfang der Maßnahmen müssen den Umständen des Einzelfalls entsprechen.
   2. Rückgabe, Vernichtung, Löschung, Sperrung und Bestätigung richten sich nach der Vertraulichkeitsvereinbarung. Gesetzlich aufzubewahrende Informationen und technisch unvermeidbare Sicherungskopien dürfen nicht produktiv genutzt werden und unterliegen weiterhin den Vertraulichkeits- und Schutzpflichten.
   3. Ein Verstoß gegen diese Anlage bewirkt keinen automatischen Ausschluss aus dem Vergabeverfahren. Eine Entscheidung über den Verbleib im Verfahren trifft ausschließlich die zuständige Vergabestelle nach den gesetzlichen Voraussetzungen unter Beachtung der Verhältnismäßigkeit und möglicher Selbstreinigungsmaßnahmen.
5. Gestuftes Kontrollrecht
   1. Kontrollen durch Sana beschränken sich auf die Verarbeitung der von Sana oder in ihrem Auftrag für das Verfahren konkret bereitgestellten Informationen und die hierfür getroffenen Schutzmaßnahmen. Im Regelfall dienen Selbstauskunft und geeignete Nachweise als Grundlage.
   2. Eine Remote- oder Vor-Ort-Prüfung kommt nur bei konkretem Verdacht eines Verstoßes, bei einem Sicherheitsvorfall in Bezug auf die bereitgestellten Informationen oder bei Informationen der Stufe N in Betracht. Sana legt Anlass, Gegenstand, Umfang, betroffene Informationen und prüfende Personen zuvor fest und kündigt die Prüfung mit angemessener Frist an; bei Gefahr im Verzug kann die Vorankündigung entfallen.
   3. Bei der Prüfung sind fremde Geschäftsgeheimnisse und Kundendaten zu schützen. Die Parteien können eine unabhängige, zur Vertraulichkeit verpflichtete Stelle mit der Prüfung betrauen. Diese teilt Sana nur die für die Beurteilung der Einhaltung der Schutzpflichten erforderlichen Feststellungen mit.
   4. Eigenständige Penetrations-, Schwachstellen- und sonstige Sicherheitstests durch Sana oder von ihr Beauftragte bedürfen der vorherigen ausdrücklichen Zustimmung des Vertragspartners.
6. Schlussbestimmungen
   1. Bei Widersprüchen zwischen dieser Anlage und der Vertraulichkeitsvereinbarung geht die Vertraulichkeitsvereinbarung vor. Gesetzliche Vergabepflichten bleiben in jedem Fall unberührt.
   2. Ergänzende projektspezifische Datenschutz-, Informationssicherheits- sowie technische und organisatorische Anforderungen bleiben den Vergabe- und Vertragsunterlagen oder gesonderten Vereinbarungen vorbehalten.