Chatbots mit Einführungsunterstützung Referenznummer der Bekanntmachung: VG-3000-2023-0053
Auftragsbekanntmachung
Lieferauftrag
Abschnitt I: Öffentlicher Auftraggeber
Postanschrift: Mainzer Straße 29
Ort: Wiesbaden
NUTS-Code: DE7 Hessen
Postleitzahl: 65185
Land: Deutschland
E-Mail:
Telefon: +49 611/340-0
Fax: +49 611/340-1150
Internet-Adresse(n):
Hauptadresse: https://vergabe.hessen.de
Abschnitt II: Gegenstand
Chatbots mit Einführungsunterstützung
Beschaffung von Chatbots mit Einführungsunterstützung
Hessische Zentrale für Datenverarbeitung
Mainzer Straße 29
65185 Wiesbaden
Im Zuge der Modernisierung und Digitalisierung der Landesverwaltung soll im Bereich des Landesintranets (Mitarbeiterportal "MAP") ein ausbau- und mandantenfähiger Chatbot entwickelt und bereitgestellt werden. Ein Einsatz der Software auch außerhalb des MAP in anderen Umgebungen oder auch extern (im Internet) ist ebenfalls möglich.
Erforderlich ist eine Software, die entweder vollständig on premises oder in der Cloud angeboten wird.
Wird die Lösung on premises angeboten, müssen folgende Rahmenbedingungen adressiert werden:
- Server: Windows Server 2019, Apache 2.4.52, Red Hat Linux 8.6
- Anwendungsserver: IIS 10 und asp.net, Tomcat 9.0.62 und Java openJDK11.0.2
- DB: Oracle 19.0.0
- Schnittstellen: LDAP, OpenText Web Site Management Server 16.7 und OpenText Web Site Managament Delivery Server 16.7, Drupal
- Portal-Server: Windows Server 2019 und SAP NetWeaver 7.5
Datenschutz
Die Grundsätze des Datenschutzes nach Art. 5 Abs. 1 DSGVO sind vom Auftragnehmer einzuhalten. Der Auftragnehmer ist verpflichtet, den Auftraggeber bei der Erfüllung seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu unterstützen.
Der Auftragnehmer verpflichtet sich, die Auftragsverarbeitung nach Artikel 28 DSGVO durchzuführen (für den Hauptservice und alle darüberhinausgehenden Vorleis-terservices). Hierbei gelten bei der Einbindung etwaiger Unterauftragnehmer Art. 28 Abs. 2 und Art. 28 Abs. 4 DSGVO.
Für den Geltungsbereich der bereitgestellten Cloud-Ressourcen muss ein formales Datenschutzkonzept existieren, welches die gesetzlichen Voraussetzungen (DSGVO) erfüllt. Dieses Datenschutzkonzept muss auf Verlangen dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) vorgelegt und dem Auftraggeber mit der Angebotsabgabe zur Verfügung gestellt werden.
Der Service, Datenspeicherungen und alle damit verbundenen Verarbeitungszwecke, wie z.B. Abrechnung, Support, Administration dürfen nur aus Rechenzentren und von Orten aus erbracht werden, die sich innerhalb des Europäischen Wirtschaftsraums (EWR) bzw. in Drittstaaten befinden, die gemäß einem Angemessenheitsbeschluss der Europäischen Kommission ein Datenschutzniveau entsprechend der DSGVO gewährleisten. Der Sitz des Mutterkonzerns des Auftragnehmers, Unterauftragnehmers usw. muss sich ebenfalls an solchen Orten befinden.
Informationssicherheit
Es wird ein Informationssicherheitskonzept nach dem BSI Standard 200-2 Standard-Absicherung mit integrierter Risikoanalyse nach BSI Standard 200-3 vorausgesetzt. Alternativ kann ein abweichendes Informationssicherheitskonzept nach einem vergleichbaren Standard vorhanden sein. Aus diesem muss eindeutig hervorgehen, welche organisatorischen, technischen und infrastrukturellen Bereiche Gegenstand des Sicherheitskonzeptes - speziell der Cloud-Infrastruktur - sind.
Es müssen regelmäßige Sicherheits- und Datenschutzaudits durch unabhängige Dritte (bspw. TÜV, BSI) stattfinden. Diese Audits müssen anhand eines passenden Testates (Cloud Computing Compliance Criteria Catalogue (C5)) nachgewiesen werden.
Bei allen Leistungsmerkmalen bei denen eine Verschlüsselung gefordert ist, muss die aktuelle technische Richtlinie "BSI TR-02102 Kryptographische Verfahren: Empfeh-lungen und Schlüssellängen" Anwendung finden.
Alle Verbindungen zwischen der Infrastruktur und den Clients beim Auftraggeber müssen verschlüsselt sein. Hierbei sind ausschließlich verschlüsselte Verbindungen (TLS Versionen und Cyphersuites), die dem aktuellen Stand der Technik und den Vorgaben des BSI entsprechen, zu verwenden.
Alle eingesetzten Webservices und Webanwendungen, die von außen erreichbar sind, müssen mit Zertifikaten ausgestattet sein, die mindestens ein A (+) Ranking bei ssllabs.com vorweisen.
Alle Verbindungen innerhalb der Cloud-Infrastruktur müssen verschlüsselt sein. Hierbei sind ausschließlich verschlüsselte Verbindungen (TLS Versionen und Cyphersuites), die dem aktuellen Stand der Technik und den Vorgaben des BSI entsprechen, zu verwenden.
Alle Personen- und sicherheitstechnischen Metadaten auf der Plattform müssen verschlüsselt nach dem aktuellen Stand der Technik und den Vorgaben des BSI abgelegt sein. Der Zugriff auf diese Daten muss protokolliert werden und diese Protokollierung bei Bedarf dem Auftraggeber zur Verfügung gestellt werden. Ein Zugriff auf diese Daten durch den Auftragnehmer darf erst nach Freigabe des Auftraggebers erfolgen. Ausgenommen sind hier proaktive Zugriffe, um einen Ausfall der Umgebung zu verhindern. In diesem Fall kann die Information auch nachträglich erfolgen.
Sollten KI basierte Analysetools zum Einsatz kommen, die bspw. auf Grundlage bestimmter Text- oder Sprachkommandos Funktionen auslösen können, müssen diese abgeschaltet bzw. durch den Auftraggeber abschaltbar sein.
Alle für den Cloud-Service eingesetzten Betriebssysteme müssen gehärtet sein (wie z.B. Abschaltung nicht zwingend benötigter Dienste, Aktivierung Paketfilter mit Stateful Inspection Firewall).
Es ist eine kryptografisch geschützte Authentifizierung zwischen den Cloud-Ressourcen einzusetzen. Hierzu zählt z.B. eine zertifikatsbasierte Authentifizierung mit Hilfe einer PKI oder Kerberos.
Das Schlüsselmanagement für kryptographische Verfahren muss in einer abgesicherten Umgebung erfolgen (z.B. Hardware Security Modul (HSM) usw.). Dies betrifft nur die internen beim Auftragnehmer eingesetzten Zertifikate.
Es muss ein zertifiziertes Informationssicherheitsmanagementsystem (ISMS) betrieben werden. Das Zertifikat selbst und dessen Geltungsbereich muss vorgelegt werden. Ein ISMS ist nach ISO/IEC 27001 auf Basis des IT-Grundschutzes oder nativ zur ISO/IEC 27001 zu betreiben.
Barrierefreiheit
Die angebotene Lösung soll die Anforderungen der Hessischen Verordnung über barrierefreie Informationstechnik (HVBIT) vom 19.7.2019 und der Verordnung zur Schaffung barrierefreier Informationstechnik nach dem Behindertengleichstellungsgesetz des Bundesjustizministeriums umsetzen.
Bestehende Barrieren sind dem Auftraggeber mitzuteilen und in einer Erklärung zur Barrierefreiheit als Teil der Lösung für alle Benutzer zur Verfügung zu stellen. Ein aktueller (nicht älter als 6 Monate) Barrierefreiheitstest für die Benutzeroberfläche ist dem Auftraggeber mit dem Angebot auszuhändigen.
Beschreibung der Leistung
Der primäre Einsatz der Software ist für das MAP vorgesehen. Dieses Portal steht in der Landesverwaltung Hessen insgesamt ca. 86.000 Usern zur Verfügung.
Zu bepreisende Szenarien
Zur Ermittlung der Systemkosten wurden drei Szenarien definiert, die nach Erwartung des Auftraggebers nacheinander eintreten werden. Nach Abschluss des jeweiligen Szenarios entscheidet der Auftraggeber, ob und wann das nächste Szenario stattfinden soll.
Szenario 1:
Im ersten Szenario sollen mehrere Chatbots (nicht mehr als 4) im MAP implementiert werden. Die Chatbots haben jeweils nicht mehr als 35 concurrent User und das auch nur zu Peak-Zeiten. In der Regel beantworten die Chatbots 50 bis 100 Anfragen am Tag.
• 4 Chatbots
• Jeweils bis zu 100 Intents
• 80.000 aktive User des MAPs greifen potenziell auf Chatbots zu
• Nicht mehr als 35 concurrent User
• Zugriffe insgesamt pro Tag: ca. 1000 Pageviews
• Es werden keine externen Datenquellen angebunden. Nach dem Anlernen der Bots werden alle Inhalte manuell im System gepflegt und verwaltet.
Dieses Szenario beinhaltet auch Schulungen für Administratoren (je 2 Personentage für 4 Administratoren und je 0.5 Personentage für 8 Redakteure).
Das Angebot soll auch Personalleistungen zur Einführungsunterstützung für das komplexe System MAP enthalten. Installation, Konfiguration und Inbetriebnahme der ChatBots sollen von Spezialisten des Auftragnehmers gemeinsam mit Mitarbeitern des Auftraggebers durchgeführt werden.
Szenario 2:
Im zweiten Szenario, das etwa 12 bis 20 Monate nach Vertragsbeginn eintreten wird, sollen mehrere Chatbots (nicht mehr als 10) im MAP implementiert werden. Die Chatbots werden in den Peak-Zeiten häufig genutzt. In der Regel beantworten die Chatbots 100 bis 200 Anfragen am Tag.
• 10 Chatbots
• Jeweils bis zu 175 Intents
• 90.000 aktive User im MAP greifen potenziell auf Chatbots zu
• Nicht mehr als 50 concurrent User
• Zugriffe insgesamt pro Tag: ca. 3000 Pageviews
• Es werden drei externe Datenquellen (2 CMS-Datenbanken, Ticket-System) angebunden, um Inhalte zu aktualisieren.
Szenario 3:
Im dritten Szenario, das etwa 20 bis 30 Monate nach Vertragsbeginn eintreten wird, werden die Chatbots sehr gut von den Mitarbeiterinnen und Mitarbeitern des Landes Hessen angenommen. Die einzelnen Chatbots haben nicht mehr als 75 concurrent User und werden in den Peak-Zeiten häufig genutzt. In der Regel beantworten die Chatbots ca. 400-700 Anfragen am Tag.
• 35 Chatbots
• Jeweils maximal 250 Intents
• 120.000 Mitarbeiter im MAP greifen potenziell auf Chatbots zu
• Nicht mehr als 75 concurrent User
• Zugriffe insgesamt pro Tag: ca. 8000 Pageviews
• Es werden fünf externe Datenquellen (CMS-DB, Ticket-System, DB, DMS, Sharepoint) angebunden, um Inhalte zu aktualisieren.
Funktionsumfang
Der Einsatz der Chatbots ist grob in drei Entwicklungsstufen unterteilt. Zunächst soll im MAP zu Beginn von Szenario 1 ein erster Pilot-Chatbot für eine Geschäftsrolle so gut wie möglich angelernt und dann produktiv gesetzt werden. So sollen zunächst Erfahrungen für den Rollout weiterer Bots gesammelt werden. Nach Abschluss der Pilotphase von drei Monaten sollen dann weitere Chatbots ins Leben gerufen werden. Es werden zu Beginn ausschließlich FAQ-Chatbots eingerichtet, da diese am einfachsten zu handhaben sind und die Technik dafür bereits erprobt und ausgereift ist. Nach der Pilotphase werden bei Bedarf auch in Szenario 1 bereits Voice- und Formular-Chatbots eingerichtet.
Weitere Details sind der Leistungsbeschreibung (Datei "Leistungsbeschreibung") sowie dem Kriterienkatalog (Datei "Kriterienkatalog") zu entnehmen.
Die Leistungen aus der Rahmenvereinbarung können bis zu einem Höchstwert entsprechend der Gesamtangebotssumme gemäß Preisblatt bei einer maximalen Laufzeit von vier Jahren abgerufen werden. Ist dieser Höchstwert erreicht, endet die Rahmenvereinbarung, ohne dass es einer gesonderten Kündigung bedarf.
Abschnitt III: Rechtliche, wirtschaftliche, finanzielle und technische Angaben
Darstellung von mindestens drei geeigneten Referenzen aus den letzten drei Jahren (Stichtag "Ablauf der Angebotsfrist"), die nach Art und Umfang den nachfolgend aufgeführten Anforderungen entsprechen.
• Art: Einführung eines neuen oder Migration eines bestehenden Chatbots im deutschsprachigen Raum, der in heterogenen Strukturen mit unterschiedlichen Berechtigungen (z.B. Landesverwaltungen oder Konzerne) eingesetzt wurde und eine hohe Anzahl an Nutzerprofilen (über 1000) sowie mindestens drei verschiedene Chatbots mit jeweils verschiedenen Nutzergruppen abdeckt.
• Umfang: Mindestens vier Monate Projektlaufzeit. Seitens des Auftragnehmers waren mindestens zwei Personen beteiligt. Insgesamt waren mindestens fünf Projektmitarbeiter beteiligt.
Für eine Referenz ist eine Kurzbeschreibung des Projektes als Anlage beizufügen (max. 2 DIN A4 Seiten).
(Datei "Referenzen" auf der Vergabeplattform).
In der Referenzvorlage ist abschließend die Person des Erklärenden namentlich anzugeben.
Bei den hier genannten Kriterien handelt es sich um Mindestanforderungen.
Gemäß § 5 Abs. 2 des Hessischen Vergabe- und Tariftreuegesetzes vom 20. Juli 2021 - HVTG - (GVBl. S. 338) weist die Vergabestelle darauf hin, dass die Bieter (Bietergemeinschaft) sowie deren Nachunternehmer (Unterauftragnehmer) bzw. Verleihunternehmen (§ 6 HVTG), soweit diese bereits bei Angebotsabgabe bekannt sind, die erforderliche Verpflichtungserklärung nach § 4 HVTG zu Tariftreue und Mindestlohn mit ihrem digitalen Angebot abzugeben haben (Datei "Verpflichtungserklaerung_oeff_AG").
Abschnitt IV: Verfahren
entfällt
Abschnitt VI: Weitere Angaben
Eine Beschreibung der zu vergebenden Leistung steht auf der Vergabeplattform des Landes Hessen (https://vergabe.hessen.de) zur Verfügung und muss dort heruntergeladen werden.
Die Vergabestelle weist an dieser Stelle bereits darauf hin, dass für den für den Zuschlag in Aussicht genommenen Bieter, Mitglieder einer Bietergemeinschaft sowie die von ihm im Vergabeverfahren gemeldeten Unterauftragnehmer eine Abfrage bei Korruptions- und Vergaberegistern, insbesondere bei der Informationsstelle nach § 17 Abs. 4 HVTG bei der Oberfinanzdirektion Frankfurt am Main, vorgenommen wird. Ebenso wird von dem für den Zuschlag in Aussicht genommenen Bieter gemäß § 19 Abs. 4 MiLoG i.V.m. § 6 Abs. 1 WRegG vor Zuschlagserteilung eine Auskunft aus dem Wettbewerbsregister angefordert.
Eigenerklärung zu zwingenden Ausschlussgründen nach § 123 GWB
Der Bieter hat die Eigenerklärung zu den zwingenden Ausschlussgründen nach § 123 GWB ausgefüllt mit seinem Angebot vorzulegen.
(Datei "Eigenerklaerung_Ausschlussgruende_Par_123_GWB")
Eigenerklärung zu fakultativen Ausschlussgründen nach § 124 GWB
Der Bieter hat die Eigenerklärung zu den fakultativen Ausschlussgründen nach § 124 GWB ausgefüllt mit seinem Angebot einzureichen.
(Datei "Eigenerklaerung_Ausschlussgruende_Par_124_GWB")
Bei Bietergemeinschaften hat jedes Mitglied der Bietergemeinschaft die jeweilige Erklärung in der entsprechenden Form einzureichen. Bei Einsatz von Unterauftragnehmern hat jeder Unterauftragnehmer die jeweilige Erklärung in der entsprechenden Form einzureichen.
Eigenerklärung Artikel 5k EU-Verordnung 833/2014
Der Bieter bzw. jedes Mitglied einer Bietergemeinschaft hat zusätzlich die Eigenerklärung zum Artikel 5k der EU-Verordnung 833/2014 ausgefüllt mit dem Angebot einzureichen.
(Datei "Eigenerklaerung Artikel 5k EU-Verordnung 833-2014")
Den Zuschlag erhält der Bieter mit der höchsten Punktzahl, die nach der folgenden Formel errechnet wird:
Gesamtpunkte = Preispunkte × 0,4 + Leistungspunkte × 0,6
Sind die ermittelten Gesamtpunkte zweier Angebote identisch, erhält das Angebot mit dem niedrigeren Angebotspreis den Zuschlag. Ist auch dieser Wert identisch, so entscheidet das Los.
Preis (40%)
Die erreichte Preispunktzahl ergibt sich aus der Summe der Punkte für die einzelnen Szenarien, multipliziert mit dem Faktor 1000/2300, sodass maximal 1000 Punkte erreicht werden können.
Die Umrechnung erfolgt nach der logarithmischen Interpolationsmethode. Dabei erhält der günstigste Angebotspreis des jeweiligen Szenarios die maximale Punktzahl, die Angebote mit den nächst folgenden, höheren Preisen erhalten eine entsprechend geringere Punktzahl, wobei der Angebotspreis mit dem Zweifachen des günstigsten Angebotspreises stets noch die Hälfte der maximalen Punktzahl erhält. Durch die logarithmische Interpolation erhält jeder Angebotspreis einen relativen Punktwert.
In den Szenarien erhält das jeweils günstigste Angebot folgende Maximalpunktzahlen:
Szenario 1: 1000 Punkte
Szenario 2: 800 Punkte
Szenario 3: 500 Punkte
Leistung (60%)
Die erreichte Leistungspunktzahl ergibt sich aus dem Kriterienkatalog (Datei "Kriterienkatalog"), wobei maximal 1000 Punkte erreicht werden können.
Im Kriterienkatalog sind die Fragen (mit Ausnahme der Position 6c) jeweils mit "Ja" oder "Nein" zu beantworten und werden entsprechend den dort angegebenen Bewertungen bepunktet. Angebote, die eine Mindestpunktzahl von 500 Punkten nicht erreichen, werden von der weiteren Wertung ausgeschlossen.
Postanschrift: Wilhelminenstraße 1 - 3
Ort: Darmstadt
Postleitzahl: 64283
Land: Deutschland
E-Mail:
Telefon: +49 6151/126603
Fax: +49 611/327648534
Internet-Adresse: www.rp-darmstadt.hessen.de
§ 160 Einleitung, Antrag
(1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.
(2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei
ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.
(3) Der Antrag ist unzulässig, soweit
1.der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2.Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3.Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4.mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2.
§ 134 Absatz 1 Satz 2 bleibt unberührt.