Public procurement notice: Contract Notice
Published: 2022-04-06
Buyer: Land Hessen, vertreten durch die Hessische Zentrale für Datenverarbeitung
Country: DE
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000
Estimated value: 33600000 EUR
Submission deadline: 2022-05-03
Award criteria: The most economic tender

Technical requirements: Υπηρεσίες τεχνολογίας των πληροφοριών: παροχή συμβουλών, ανάπτυξη λογισμικού, Διαδίκτυο και υποστήριξη
Leistungsorte sind der Europäische Wirtschaftsraum (EWR) und Drittstaaten, für die ein Angemessenheitsbeschluss der Europäischen Kommission i.S.d. Art. 45 DSGVO vorliegt.
Es soll für die Beschäftigten der hessischen Landesverwaltung eine cloudbasierte "Video-Collaboration" Lösung bereitgestellt werden. Hierüber soll eine im nachstehenden Umfang beschriebene Video-Kommunikation mit Stellen innerhalb und außerhalb der hessischen Landesverwaltung zur Aufgabenerledigung erfolgen.
Präsenzinformation (Statusanzeige und Kontaktliste), Instant Messaging (Austauschen von Kurznachrichten), Audio/Video (Führen von ad hoc Video- und Audiokonferenzen vom Desktoparbeitsplatz aus), Gastgeberrechte (Übergabe von Gastgeberrechten, Ernennung von Co-Gastgebern), Outlook Integration (Erstellen von Termineinladungen für Videokonferenzen aus Outlook heraus), Präsentation Sharing (Teilen von PowerPoint-Präsentationen während einer Videokonferenz), Desktop-/Anwendungssharing (Teilen des Desktops- und der Anwendungen), weitere Funktionen (z.B. die Nutzung eines virtuellen Whiteboards, Melde-/Feedbackfunktionen).
Zurzeit sind die einzelnen Dienststellen des Landes Hessen aus Sicherheitsgründen untereinander durch Firewalls getrennt. Damit soll sichergestellt werden, dass ungewollte Kommunikation unterbunden und nur gewollte Kommunikation ermöglicht wird. Dadurch werden die Angriffsmöglichkeiten stark eingeschränkt. Dies führt dazu, dass die Dienststellen zum großen Teil nicht direkt miteinander kommunizieren können. Zukünftig soll eine Kommunikation zwischen unterschiedlichen Dienststellen über die ausgeschriebene Cloud-Plattform möglich sein.
Jede Dienststelle ist über die zentrale Internet-Infrastruktur der Hessischen Zentrale für Datenverarbeitung an das Internet angebunden.
Die gesamte zentrale Netzinfrastruktur inkl. Firewall, DNS (extern/intern) usw. wird durch die Hessische Zentrale für Datenverarbeitung betrieben.
Externe Mail Relay Server werden nicht durch das Land Hessen betrieben oder angeboten. Somit ist ein Versand von Einladungen per E-Mail oder für SelfService Tätigkeiten (bspw. Passwortreset) aus der Cloud Umgebung über die zentrale Mail-Plattform des Landes Hessen nicht möglich. Dies muss durch den Auftragnehmer bereitgestellt werden. Zum Schutz der Vertraulichkeit und Integrität der verarbeiteten personenbezogenen Daten wird auf die Orientierungshilfe (OH) "Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK)" verwiesen.
Um die Wiedererkennbarkeit für die Anwender zu gewährleisten, muss die Anmeldung der Anwender mit den jeweiligen E-Mail-Adressen gleichgestellt umgesetzt werden. Dies bedeutet, dass die Mailadressen und Session Initiation Protocol (SIP) Adressen identisch sein müssen. Da das Land Hessen nicht nur eine Mail Domäne bereitstellt, sondern für die Ministerien und deren Dienststellen eigene Mail SUB-Domänen vorsieht, beläuft sich die Anzahl dieser Mail Domänen auf aktuell ca. 1.000 Stück. Die Maildomänen können einen mehrstelligen Subdomänen Aufbau enthalten (bspw. Subdomäne(1).Subdomäne(n).hessen.de). Mail Domänen müssen wie einzelne Kunden (Mandanten) betrachtet werden. Eine zentrale Administration aller Mandanten durch den Auftraggeber muss ebenso möglich sein wie eine auf Mandantenbasis delegierte Administration.
Die Grundsätze des Datenschutzes nach Art. 5 Abs. 1 DSGVO sind vom Auftragnehmer einzuhalten. Der Auftragnehmer ist verpflichtet, den Auftraggeber bei der Erfüllung seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu unterstützen.
Der Auftragnehmer verpflichtet sich, die Auftragsverarbeitung nach Artikel 28 DSGVO durchzuführen (für den Hauptservice und alle darüberhinausgehenden Vorleisterservices) und bestätigt dies mit der Übersendung einer passenden Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO mit dem Angebot. Hierbei gelten bei der Einbindung etwaiger Unterauftragnehmer Art. 28 Abs. 2 und Art. 28 Abs. 4 DSGVO. Etwaige Unter- Unterunterauftragnehmer usw. sind mit den Aufgaben, der Art und dem Umfang des Zugriffs auf personenbezogene Daten in der Auftragsverarbeitungsvereinbarung aufzuführen.
In der Vereinbarung sind insbesondere Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen zu regeln. Der Auftragnehmer benennt die Art der personenbezogenen Daten, die nach Art. 5 Abs. 1 lit. c) DSGVO dem Zweck nach angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind ("Datenminimierung").
Personenbezogene Daten werden nur auf dokumentierte Weisung des Verantwortlichen durch den Auftragnehmer verarbeitet. Der Auftragnehmer hat sicherzustellen, dass ihm unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten des Auftraggebers haben, diese nur auf Anweisung des Auftraggebers verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.
Dem Auftraggeber werden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 niedergelegten Pflichten zur Verfügung stellt. Falls der Auftragnehmer der Auffassung ist, dass eine Weisung des Auftraggebers gegen die einschlägigen Datenschutzvorschriften verstößt, hat er den Auftraggeber nach Art. 28 Abs. 3 Satz 3 DSGVO hierüber zu informieren. Der Auftragnehmer räumt dem Auftraggeber ein Kontrollrecht nach Art. 28 Abs. 3 Satz 2 lit. h) DSGVO ein.
Der Auftragnehmer muss eine passende Informationsseite/Dokumentation bereitstellen, die die Nutzer/Anwender nach Artikel 13/14 DSGVO über die Erhebung und Nutzung der personenbezogenen Daten informiert und die vom Auftraggeber um Informationen ergänzt werden kann. Zudem hat der Auftragnehmer den Auftraggeber vollumfänglich bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III DSGVO (Rechte betroffener Personen) zu unterstützen.


Award value: 33600000