Public procurement notice: Contract Notice
Published: 2025-12-05
Buyer: Vergabeverfahren zum Abschluss einer Rahmenvereinbarung über Dienstleistungen im Bereich Identity- und Access-Management
Country: DE
Region: DEA22
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000 | 72200000 | 72260000: Software-related services | 72267000: Software maintenance and repair services
Submission deadline: 2026-01-27
Award criteria: price

Technical requirements: Es gelten die zwingenden bzw. fakultativen Ausschlussgründe gem. §§ 123 bis 126 GWB.  Details zu den Ausschlussgründen sind im Abschnitt "EIGENERKLÄRUNG" der Vergabeunterlagen zu entnehmen.  Mit Angebotsabgabe ist die vollständig und zweifelsfrei ausgefüllte "EIGENERKLÄRUNG" in Textform gemäß § 126b BGB zu übermitteln.
Hinweise für die Einleitung eines Nachprüfungsverfahrens  Gemäß § 160 Absatz 1 GWB leitet die Vergabekammer ein Nachprüfungsverfahren nur auf Antrag ein. Antragsbefugt ist nach § 160 Absatz 2 GWB jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 GWB durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.  Der Antrag ist nach § 160 Absatz 3 GWB unzulässig, soweit   1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 GWB bleibt unberührt,   2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,  3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,  4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Die Universität Heidelberg beabsichtigt, eine Rahmenvereinbarung für Dienstleistungen im Bereich Identity- und Access-Management (IAM) abzuschließen. Ziel dieser Vereinbarung ist die Beauftragung eines qualifizierten Dienstleisters mit der Konzeption, Implementierung, Anpassung und Weiterentwicklung einer einheitlichen, standortübergreifenden und IT-gestützten Lösung zur Verwaltung digitaler Identitäten und deren Berechtigungen. Das Aufgabengebiet gliedert sich in folgende Bereiche:  - Teil A: Rahmenvereinbarung zur Anpassung der Open-Source-Software  - Teil B: Rahmenvereinbarung über Entwicklungsleistungen - Teil C: Rahmenvereinbarung über Pflegeleistungen  Die Umsetzung muss auf Basis der Open-Source-Software MidPoint des Herstellers Evolveum s.r.o. erfolgen und soll die automatisierte Pflege, Verteilung und Verwaltung von Benutzerkonten, Gruppen, Rollen und Berechtigungen innerhalb der universitären IT-Systemlandschaft ermöglichen. Die Open-Source-Software Midpoint wird auf Hardware und den virtualisierten Servern des Universitätsrechenzentrum betrieben. Es werden dazu mindestens drei Umgebungen (für Entwicklung, Test- und Produktivsystem) zur Verfügung gestellt. Es ist nicht zulässig die Software auf einer Cloud Umgebung des Auftragnehmers dem Auftraggeber zur Verfügung zu stellen.
Die Universität Heidelberg beabsichtigt, eine Rahmenvereinbarung für Dienstleistungen im Bereich Identity- und Access-Management (IAM) abzuschließen. Ziel dieser Vereinbarung ist die Beauftragung eines qualifizierten Dienstleisters mit der Konzeption, Implementierung, Anpassung und Weiterentwicklung einer einheitlichen, standortübergreifenden und IT-gestützten Lösung zur Verwaltung digitaler Identitäten und deren Berechtigungen. Das Aufgabengebiet gliedert sich in folgende Bereiche:  - Teil A: Rahmenvereinbarung zur Anpassung der Open-Source-Software  - Teil B: Rahmenvereinbarung über Entwicklungsleistungen - Teil C: Rahmenvereinbarung über Pflegeleistungen  Die Umsetzung muss auf Basis der Open-Source-Software MidPoint des Herstellers Evolveum s.r.o. erfolgen und soll die automatisierte Pflege, Verteilung und Verwaltung von Benutzerkonten, Gruppen, Rollen und Berechtigungen innerhalb der universitären IT-Systemlandschaft ermöglichen. Die Open-Source-Software Midpoint wird auf Hardware und den virtualisierten Servern des Universitätsrechenzentrum betrieben. Es werden dazu mindestens drei Umgebungen (für Entwicklung, Test- und Produktivsystem) zur Verfügung gestellt. Es ist nicht zulässig die Software auf einer Cloud Umgebung des Auftragnehmers dem Auftraggeber zur Verfügung zu stellen.   Durch die Einführung einer zentralen IAM-Lösung sollen Effizienz, Transparenz und Sicherheit in der Benutzerverwaltung deutlich erhöht sowie die Anforderungen aus IT-Governance, Datenschutz und Compliance nachhaltig erfüllt werden. Innerhalb der Rahmenvereinbarung sind insbesondere folgende Leistungen vorgesehen: - Implementierung, Konfiguration und Anpassung der IAM-Software MidPoint - Anbindung relevanter Quell- und Zielsysteme - Modellierung von Geschäftsregeln und -prozessen - Migration von Bestandsdaten und Ablösung bestehender Systeme - Bereitstellung eines Self-Service-Portals für dezentrale IT-Beauftragte und Administratoren  Teil A - Rahmenvereinbarung zur Anpassung der Open-Source-Software Teil A der Rahmenvereinbarung umfasst die Initialimplementierung und Anpassung der Open-Source-Software MidPoint an die technischen und organisatorischen Anforderungen der Universität Heidelberg. Hierzu zählen insbesondere die Einrichtung der Systemumgebung, die Anpassung grundlegender Module und Schnittstellen, die Einbindung relevanter Quell- und Zielsysteme sowie die Erstellung der erforderlichen technischen und betrieblichen Dokumentation. Ziel ist die Bereitstellung einer funktionsfähigen IAM-Grundplattform als Basis für den weiteren Ausbau im Rahmen der Entwicklungs- und Pflegeleistungen.  Teil B - Rahmenvereinbarung über Entwicklungsleistungen Der weitere Ausbau bezieht sich auf den Ausbau und die Weiterentwicklung des Identity- und Access-Managements der Universität Heidelberg auf Basis der Open-Source-Software MidPoint (Evolveum s.r.o.). Dieser Leistungsbereich bildet Teil B der Rahmenvereinbarung und umfasst die Bereitstellung von Entwicklungs- und Implementierungsleistungen, insbesondere zur Einführung neuer Funktionen, Anpassung bestehender Module sowie zur fortlaufenden Optimierung der technischen und prozessualen Komponenten der IAM-Lösung. Dazu zählen unter anderem:  - Prozessberatung, Consulting, Implementierung neuer Use Cases sowie Unterstützung im laufenden Betrieb, - Erstellung von Migrationskonzepten, Migration von LDAP-Systemen, Entwicklung von Daten- und Rollenkonzepten sowie Beratung zu Joiner-Mover-Leaver-Prozessen, - Erweiterung des Benutzerinterfaces mit zusätzlichen Funktionen und Prozessen.  Die hier genannten Leistungen sind nicht abschließend; sie dienen als beispielhafte Beschreibung der innerhalb von Teil B möglichen Entwicklungs- und Anpassungsaufgaben. Diese Leistungen können nach Ablauf der ersten sechs Monate bei Bedarf im Rahmen der Rahmenvereinbarung abgerufen werden. Die konkreten Abrufe erfolgen abhängig vom jeweiligen Bedarf und beziehen sich auf Leistungen aus dem beschriebenen Themenbereich des Identity- und Access-Managements.  Teil C - Rahmenvereinbarung über Pflegeleistungen Teil C der Rahmenvereinbarung umfasst die laufende Pflege und Wartung der auf Basis von MidPoint implementierten IAM-Lösung. Ziel ist die Sicherstellung eines stabilen und kontinuierlich funktionsfähigen Betriebs sowie die Einspielung von Updates, Fehlerkorrekturen und sicherheitsrelevanten Anpassungen.  Die Beauftragung einzelner Leistungen aus den oben beschriebenen Teilen A, B und C der Rahmenvereinbarung erfolgt bedarfsbezogen und projektabhängig durch den Auftraggeber im Rahmen der jeweils geltenden Vertragsbedingungen.  Die Universität Heidelberg legt besonderen Wert auf eine enge Zusammenarbeit mit dem Auftragnehmer, um eine zukunftssichere, skalierbare und wartbare Lösung zu etablieren, die den komplexen Anforderungen einer modernen Forschungs- und Bildungseinrichtung gerecht wird.  Für die maximale Laufzeit von 48 Monaten wird ein geschätztes Auftragsvolumen in Höhe von ca. 1.400.000 EUR (netto) für die komplette Rahmenvereinbarung zugrunde gelegt. Der Auftraggeber behält sich vor, das geschätzte Auftragsvolumen optional, um bis zu 50 % auf 2.100.000 EUR netto zu erhöhen. Dies bedeutet, dass die Rahmenvereinbarung endet, sobald das maximale Auftragsvolumen erreicht ist oder mit Ablauf der vereinbarten Vertragslaufzeit von 48 Monaten - je nachdem, welches Ereignis zuerst eintritt. Die angegebenen Werte dienen der Orientierung und Planung und stellen keine verbindliche Abnahmeverpflichtung dar.
Eintragung in einem Handelsregister  Der Wirtschaftsteilnehmer ist in den einschlägigen Handelsregistern seines Niederlassungsmitgliedstaats verzeichnet;

Eligibility requirements: Eintragung in einem Handelsregister  Der Wirtschaftsteilnehmer ist in den einschlägigen Handelsregistern seines Niederlassungsmitgliedstaats verzeichnet;
Spezifischer Jahresumsatz Der spezifische Jahresumsatz des Wirtschaftsteilnehmers in dem vom Auftrag abgedeckten Geschäftsbereich betrug in der verlangten Anzahl von Geschäftsjahren:  Jeweils pro Jahr: 2.500.000 EUR (Anzugebende Jahre: 2022, 2023, 2024)  Gründung des Wirtschaftsteilnehmers Sind die Informationen zum spezifischen Umsatz nicht für den gesamten vorgegebenen Zeitraum erhältlich, geben Sie bitte an, an welchem Datum das Unternehmen des Wirtschaftsteilnehmers gegründet wurde oder seine Tätigkeit aufgenommen hat.
Andere wirtschaftliche und finanzielle Anforderungen Der Wirtschaftsteilnehmer hat eine Haftpflichtversicherung in angemessener Höhe, mindestens aber mit einer Deckungssumme von:  - 2.500.000 EUR für Personenschäden  - 1.000.000 EUR für Sach- und Vermögensschäden  pro Schadensfall abgeschlossen.  Die Gesamtleistung für alle Versicherungsfälle eines Versicherungsjahres beträgt das 2-fache der vereinbarten Versicherungssumme.
Ausführung von Dienstleistungen der genannten Art Im Bezugszeitraum hat der Wirtschaftsteilnehmer mind. die folgenden wesentlichen Dienstleistungen der genannten Art ausgeführt.   o Der Bieter hat mindestens drei in den letzten drei Jahren (2022-2024) durchgeführte Identity- und Access-Management-(IAM)-Projekte (User-Management) mit einem Auftragsvolumen von jeweils mindestens 200.000 EUR für Implementierungsdienstleistungen nachzuweisen. Davon müssen mindestens zwei Referenzprojekte jeweils mehr als 40.000 verwaltete Benutzerkonten umfassen.  o Der Bieter hat mindestens zwei in den vergangenen zwölf Monaten durchgeführte Projekte unter Einsatz der Evolveum-MidPoint-Technologie nachzuweisen. Zusätzlich sind mindestens zwei in den letzten drei Jahren erfolgreich abgeschlossene Projekte nachzuweisen, die in Art und Umfang mit der ausgeschriebenen Leistung vergleichbar sind. Diese Projekte müssen den Einsatz der Evolveum-MidPoint-Technologie oder einer gleichwertigen Identity- und Access-Management-(IAM)-Lösung umfassen.
Durchschnittliche jährliche Beschäftigtenzahl Die durchschnittliche jährliche Beschäftigtenzahl des Wirtschaftsteilnehmers und die Zahl seiner Führungskräfte in den letzten drei Jahren beliefen sich auf:  o Mindestanforderung: Mitarbeiteranzahl im IAM Bereich > 30
Als Unterauftrag vergebener Anteil Der Wirtschaftsteilnehmer beabsichtigt, unter Umständen folgenden Teil (Prozentsatz) des Auftrags als Unterauftrag zu vergeben.
Technische Fachkräfte oder technische Stellen für die Qualitätssicherung Der Wirtschaftsteilnehmer kann - insbesondere für die Qualitätssicherung - auf folgende technische Fachkräfte oder technische Stellen zurückgreifen.  Der Bieter muss über mindestens drei erfahrene Midpoint-Consultants verfügen, die über nachweislichen Kenntnisse und praktische Erfahrung in der Implementierung, Konfiguration und Betreuung von Midpoint-Systemen verfügen.  Der Nachweis ist durch eine anonymisierte Qualifikationsübersicht oder eine Eigenerklärung zu erbringen, aus der hervorgeht:  - Funktion und Qualifikation der vorgesehenen Fachkräfte,  - Art und Umfang der ausgeübten Tätigkeiten im Rahmen früherer Projekte,  - Beschreibung von mindestens drei relevanten Projekten, an denen die genannten Fachkräfte maßgeblich mitgewirkt haben (je Projekt: Kurzbeschreibung, Zeitraum, Aufgaben, ggf. Auftraggeber Branche, ohne personenbezogene oder vertrauliche Angaben).  Die Darstellung kann anonymisiert erfolgen; Namen einzelner Mitarbeiter sind nicht erforderlich. Der Auftraggeber behält sich vor, bei Bedarf ergänzende Nachweise anzufordern.
Technische Ausrüstungen und Maßnahmen zur Qualitätssicherung Der Wirtschaftsteilnehmer wendet folgende technische Ausrüstungen und Maßnahmen zur Qualitätssicherung an und verfügt über folgende Untersuchungs- und Forschungsmöglichkeiten:  Im Rahmen der technischen und beruflichen Leistungsfähigkeit ist anzugeben ob der Bieter über eine aktuell gültige Zertifizierung im Bereich Informationssicherheit verfügt. Als geeignete Zertifizierungen gelten insbesondere: - ISO/IEC 27001, - BSI IT-Grundschutz, - TISAX - oder eine gleichwertige Zertifizierung, die ein vergleichbares Niveau an Informationssicherheit nachweist. Diese Anforderung dient dem Nachweis der technischen und beruflichen Leistungsfähigkeit gemäß § 46 Abs. 3 Nr. 1 VgV. Der entsprechende Nachweis (z. B. Kopie des Zertifikats oder gleichwertige Unterlagen) ist dem Angebot beizufügen. Sofern eine vergleichbare Zertifizierung vorgelegt wird gilt diese als Vergleichbar, wenn diese den Aufbau und laufenden Betrieb eines ISMS nach dem Plan-Do-Check-Act-Zyklus, Risikomanagement, Schutz vertraulicher Informationen und die Umsetzung von Sicherheitskontrollen zum zentralen Konzept hat sowie technische, physische und administrative Schutzmaßnahmen (Kontrollen) vorsieht und implementiert wurden. Ein Gütezeichen kann nur anerkannt werden, dass  - die relevanten Merkmale der Leistung objektiv bewertet, - nach öffentlich zugänglichen, nichtdiskriminierenden Kriterien vergeben wird, - von einer unabhängigen Stelle entwickelt und kontrolliert wird, - allen interessierten Unternehmen offenstehen, - sich auf die ausgeschriebene Produktkategorie bezieht, und - deren Anforderungen von einem Dritten festgelegt wurden, auf den das Unternehmen, das die Zertifizierung erwirbt, keinen maßgeblichen Einfluss ausüben konnte.
Nachforderung Eignungsnachweise Zum Nachweis der Eignung des Bieters wird die Vorlage einer Einheitlichen Europäischen Eigenerklärung ("European Single Procurement Document") verlangt. Mit dieser Eigenerklärung entfällt die Vorlage von Nachweisen mit Abgabe seines Angebotes. Der öffentliche Auftraggeber kann jedoch trotz Übermittlung der Einheitlichen Europäischen Eigenerklärung Bewerber oder Bieter jederzeit während des Verfahrens auffordern, sämtliche oder einen Teil der aus der Eigenerklärung geforderten Unterlagen beizubringen, wenn dies zur angemessenen Durchführung des Verfahrens erforderlich ist. Mindestens jedoch muss der Bieter oder Bewerber an den der Auftrag vergeben werden soll, alle geforderten Unterlagen der Eigenerklärung vor Zuschlagserteilung vorlegen.
Es gelten die Bedingungen der Vergabe- und Vertragsunterlagen sowie des Leistungsverzeichnisses.