Beschaffung einer cloudbasierten Video-Collaboration Lösung Referenznummer der Bekanntmachung: VG-3000-2022-0016
Auftragsbekanntmachung
Dienstleistungen
Abschnitt I: Öffentlicher Auftraggeber
Postanschrift:[gelöscht]
Ort: Wiesbaden
NUTS-Code: DE7 Hessen
Postleitzahl: 65185
Land: Deutschland
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Internet-Adresse(n):
Hauptadresse: https://vergabe.hessen.de
Abschnitt II: Gegenstand
Beschaffung einer cloudbasierten Video-Collaboration Lösung
Beschaffung einer cloudbasierten "Video-Collaboration" Lösung
Leistungsorte sind der Europäische Wirtschaftsraum (EWR) und Drittstaaten, für die ein Angemessenheitsbeschluss der Europäischen Kommission i.S.d. Art. 45 DSGVO vorliegt.
Es soll für die Beschäftigten der hessischen Landesverwaltung eine cloudbasierte "Video-Collaboration" Lösung bereitgestellt werden. Hierüber soll eine im nachstehenden Umfang beschriebene Video-Kommunikation mit Stellen innerhalb und außerhalb der hessischen Landesverwaltung zur Aufgabenerledigung erfolgen.
Diese Lösung muss unter anderem die folgenden Funktionen bereitstellen:
Präsenzinformation (Statusanzeige und Kontaktliste), Instant Messaging (Austauschen von Kurznachrichten), Audio/Video (Führen von ad hoc Video- und Audiokonferenzen vom Desktoparbeitsplatz aus), Gastgeberrechte (Übergabe von Gastgeberrechten, Ernennung von Co-Gastgebern), Outlook Integration (Erstellen von Termineinladungen für Videokonferenzen aus Outlook heraus), Präsentation Sharing (Teilen von PowerPoint-Präsentationen während einer Videokonferenz), Desktop-/Anwendungssharing (Teilen des Desktops- und der Anwendungen), weitere Funktionen (z.B. die Nutzung eines virtuellen Whiteboards, Melde-/Feedbackfunktionen).
Zurzeit sind die einzelnen Dienststellen des Landes Hessen aus Sicherheitsgründen untereinander durch Firewalls getrennt. Damit soll sichergestellt werden, dass ungewollte Kommunikation unterbunden und nur gewollte Kommunikation ermöglicht wird. Dadurch werden die Angriffsmöglichkeiten stark eingeschränkt. Dies führt dazu, dass die Dienststellen zum großen Teil nicht direkt miteinander kommunizieren können. Zukünftig soll eine Kommunikation zwischen unterschiedlichen Dienststellen über die ausgeschriebene Cloud-Plattform möglich sein.
Jede Dienststelle ist über die zentrale Internet-Infrastruktur der Hessischen Zentrale für Datenverarbeitung an das Internet angebunden.
Die gesamte zentrale Netzinfrastruktur inkl. Firewall, DNS (extern/intern) usw. wird durch die Hessische Zentrale für Datenverarbeitung betrieben.
Externe Mail Relay Server werden nicht durch das Land Hessen betrieben oder angeboten. Somit ist ein Versand von Einladungen per E-Mail oder für SelfService Tätigkeiten (bspw. Passwortreset) aus der Cloud Umgebung über die zentrale Mail-Plattform des Landes Hessen nicht möglich. Dies muss durch den Auftragnehmer bereitgestellt werden. Zum Schutz der Vertraulichkeit und Integrität der verarbeiteten personenbezogenen Daten wird auf die Orientierungshilfe (OH) "Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK)" verwiesen.
Um die Wiedererkennbarkeit für die Anwender zu gewährleisten, muss die Anmeldung der Anwender mit den jeweiligen E-Mail-Adressen gleichgestellt umgesetzt werden. Dies bedeutet, dass die Mailadressen und Session Initiation Protocol (SIP) Adressen identisch sein müssen. Da das Land Hessen nicht nur eine Mail Domäne bereitstellt, sondern für die Ministerien und deren Dienststellen eigene Mail SUB-Domänen vorsieht, beläuft sich die Anzahl dieser Mail Domänen auf aktuell ca. 1.000 Stück. Die Maildomänen können einen mehrstelligen Subdomänen Aufbau enthalten (bspw. Subdomäne(1).Subdomäne(n).hessen.de). Mail Domänen müssen wie einzelne Kunden (Mandanten) betrachtet werden. Eine zentrale Administration aller Mandanten durch den Auftraggeber muss ebenso möglich sein wie eine auf Mandantenbasis delegierte Administration.
Eine Kommunikation zwischen den Mandanten (Dienststellen) muss gewährleistet sein.
Die Grundsätze des Datenschutzes nach Art. 5 Abs. 1 DSGVO sind vom Auftragnehmer einzuhalten. Der Auftragnehmer ist verpflichtet, den Auftraggeber bei der Erfüllung seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu unterstützen.
Der Auftragnehmer verpflichtet sich, die Auftragsverarbeitung nach Artikel 28 DSGVO durchzuführen (für den Hauptservice und alle darüberhinausgehenden Vorleisterservices) und bestätigt dies mit der Übersendung einer passenden Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO mit dem Angebot. Hierbei gelten bei der Einbindung etwaiger Unterauftragnehmer Art. 28 Abs. 2 und Art. 28 Abs. 4 DSGVO. Etwaige Unter- Unterunterauftragnehmer usw. sind mit den Aufgaben, der Art und dem Umfang des Zugriffs auf personenbezogene Daten in der Auftragsverarbeitungsvereinbarung aufzuführen.
In der Vereinbarung sind insbesondere Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen zu regeln. Der Auftragnehmer benennt die Art der personenbezogenen Daten, die nach Art. 5 Abs. 1 lit. c) DSGVO dem Zweck nach angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind ("Datenminimierung").
Personenbezogene Daten werden nur auf dokumentierte Weisung des Verantwortlichen durch den Auftragnehmer verarbeitet. Der Auftragnehmer hat sicherzustellen, dass ihm unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten des Auftraggebers haben, diese nur auf Anweisung des Auftraggebers verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.
Dem Auftraggeber werden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 niedergelegten Pflichten zur Verfügung stellt. Falls der Auftragnehmer der Auffassung ist, dass eine Weisung des Auftraggebers gegen die einschlägigen Datenschutzvorschriften verstößt, hat er den Auftraggeber nach Art. 28 Abs. 3 Satz 3 DSGVO hierüber zu informieren. Der Auftragnehmer räumt dem Auftraggeber ein Kontrollrecht nach Art. 28 Abs. 3 Satz 2 lit. h) DSGVO ein.
Der Auftragnehmer muss eine passende Informationsseite/Dokumentation bereitstellen, die die Nutzer/Anwender nach Artikel 13/14 DSGVO über die Erhebung und Nutzung der personenbezogenen Daten informiert und die vom Auftraggeber um Informationen ergänzt werden kann. Zudem hat der Auftragnehmer den Auftraggeber vollumfänglich bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III DSGVO (Rechte betroffener Personen) zu unterstützen.
Für den Geltungsbereich der bereitgestellten Cloud-Ressourcen muss ein formales Datenschutzkonzept existieren, welches die gesetzlichen Voraussetzungen (DSGVO) erfüllt. Dieses Datenschutzkonzept muss auf Verlangen dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) vorgelegt und dem Auftraggeber mit der Angebotsabgabe zur Verfügung gestellt werden.
Der Service, Datenspeicherungen und alle damit verbundenen Verarbeitungszwecke, wie z.B. Abrechnung, Support, Administration dürfen nur aus Rechenzentren und von Orten aus erbracht werden, die sich innerhalb des Europäischen Wirtschaftsraums (EWR) bzw. in Drittstaaten befinden, die gemäß einem Angemessenheitsbeschluss der Europäischen Kommission ein Datenschutzniveau entsprechend der DSGVO gewährleisten. Der Sitz des Mutterkonzerns des Auftragnehmers, Unterauftragnehmers usw. muss sich ebenfalls an solchen Orten befinden.
Es wird ein Informationssicherheitskonzept nach dem BSI Standard 200-2 Standard-Absicherung mit integrierter Risikoanalyse nach BSI Standard 200-3 vorausgesetzt. Alternativ kann ein abweichendes Informationssicherheitskonzept nach einem vergleichbaren Standard vorhanden sein. Aus diesem muss eindeutig hervorgehen, welche organisatorischen, technischen und infrastrukturellen Bereiche Gegenstand des Sicherheitskonzeptes - speziell der Cloud-Infrastruktur - sind.
Alle eingesetzten Webservices und Webanwendungen, die von außen erreichbar sind, müssen mit Zertifikaten ausgestattet sein, die mindestens ein A (+) Ranking bei ssllabs.com vorweisen.
Es muss ein Desktopclient bereitgestellt werden, der auf den aktuellen und zukünftigen Windows und MacOS Versionen lauffähig ist. Neben der Installation und Nutzung auf einem FatClient muss auch die Installation auf gängigen Terminalservern (bspw. Citrix, Microsoft) möglich sein. Hierbei darf die Nutzung des Clients nicht eingeschränkt werden. Des Weiteren muss ein vollumfänglicher Smartphone Client vorhanden sein, der auf den aktuellen und zukünftigen Smartphone-Betriebssystemen (verpflichtend iOS und Android) lauffähig ist.
Es sollte darüber hinaus ein Desktopclient bereitgestellt werden, der auf den aktuellen und zukünftigen Linux Versionen (vorzugsweise Ubuntu Distribution) lauffähig ist.
Es sollte dem Auftraggeber möglich sein, definierte Zeitpläne für Softwareupdates (neue Versionen von Clients) zu erstellen.
Es muss möglich sein, im Client den Hintergrund zu verschleiern und/oder digitale Hintergründe einzufügen, sodass die Privatsphäre des Anwenders in seinen privaten Räumlichkeiten gewahrt bleibt.
Es muss für Personen der hessischen Landesverwaltung (interne Teilnehmer) und Gastteilnehmer (keine Personen der hessischen Landesverwaltung - externe Teilnehmer) die Möglichkeit geben, via modernem Internetbrowser (ohne Installation eines Plugins bspw. via WebRTC oder HTML5) an virtuellen Konferenzen teilzunehmen.
Es muss möglich sein, Konferenzen zwischen zwei und bis zu 100 Teilnehmern abzuhalten.
Es muss ein passendes Portal angeboten werden, über das die Anwender ihre eigenen Benutzerdaten einsehen und anpassen können. Hierzu zählt auch eine Möglichkeit zum sicheren Passwortreset, sodass der Anwender jederzeit bei Bedarf sein Passwort selbst ändern oder zurücksetzen kann.
Die Anforderungen im Detail sind der Leistungsbeschreibung zu entnehmen.
Zweimalige automatische Verlängerung um jeweils ein Jahr.
Die Leistungen können bis zu einem Höchstwert von [Betrag gelöscht] Euro (netto) abgerufen werden. Ist dieser Höchstwert erreicht, endet die Rahmenvereinbarung, ohne dass es einer gesonderten Kündigung bedarf.
Abschnitt III: Rechtliche, wirtschaftliche, finanzielle und technische Angaben
Darstellung von mindestens einer geeigneten Referenz aus den letzten drei Jahren (Stichtag "Ablauf der Angebotsfrist"), die nach Art und Umfang den nachfolgend aufgeführten Anforderungen entspricht.
Art: Bereitstellung einer cloudbasierten "Video-Collaboration" Lösung mit mindestens den folgenden Funktionen:
• Videokonferenzen
o Video
o Audio
o Desktopaustausch/Sharing
• Instant Messaging
• Outlook Integration
• Präsenzstatusanzeige
sowie eines selbstständig betriebenen, webbasierten Benutzerportals für die Administration von Benutzern mit unterschiedlichen Mandanten.
Hierbei war das Portal wie folgt aufgebaut:
- Reseller (z.B. HZD für Land Hessen)
o Mandant (z.B. Dienststelle)
Anwender
Dabei war es möglich, dass der Reseller eigenständig Mandanten anlegen konnte.
Es war darüber hinaus möglich, dass die jeweiligen Mandanten eigenständige Administratoren erhielten, die ihren Mandanten vollumfänglich verwalten konnten. Dies beinhaltete bspw. die Anlage der Benutzerkonten, die Zuweisung der jeweiligen Kommunikationsprodukte und die Löschung von Benutzerkonten.
Umfang: Die cloudbasierte "Video-Collaboration" Lösung wurde für mind. 30.000 gleichzeitig aktive Benutzer betrieben und beinhaltete mindestens 30.000 gleichzeitig aktive Benutzerkonten im webbasierten Benutzerportal.
(Datei "Referenzen" auf der Vergabeplattform).
In der Referenzvorlage ist abschließend die Person des Erklärenden namentlich anzugeben.
Gemäß § 5 Abs. 2 des Hessischen Vergabe- und Tariftreuegesetzes vom 20. Juli 2021 - HVTG - (GVBl. S. 338) weist die Vergabestelle darauf hin, dass die Bieter (Bietergemeinschaft) sowie deren Nachunternehmer (Unterauftragnehmer) bzw. Verleihunternehmen (§ 6 HVTG), soweit diese bereits bei Angebotsabgabe bekannt sind, die erforderliche Verpflichtungserklärung nach § 4 HVTG zu Tariftreue und Mindestlohn mit ihrem digitalen Angebot abzugeben haben (Datei "Verpflichtungserklaerung_oeff_AG").
Abschnitt IV: Verfahren
entfällt
Abschnitt VI: Weitere Angaben
Eine Beschreibung der zu vergebenden Leistung steht auf der Vergabeplattform des Landes Hessen (https://vergabe.hessen.de) zur Verfügung und muss dort heruntergeladen werden.
Eigenerklärung zu zwingenden Ausschlussgründen nach § 123 GWB:
Der Bieter hat die Eigenerklärung zu den zwingenden Ausschlussgründen nach § 123 GWB ausgefüllt mit seinem Angebot vorzulegen.
Bei Bietergemeinschaften hat jedes Mitglied der Bietergemeinschaft die Eigenerklärung in der geforderten Form abzugeben. Bei geplantem Einsatz von Unterauftragnehmern ist die Eigenerklärung von jedem Unterauftragnehmer in der erforderlichen Form vorzulegen.
(Datei "Eigenerklaerung_Par_123_GWB")
Eigenerklärung zu fakultativen Ausschlussgründen nach § 124 GWB:
Der Bieter hat die Eigenerklärung zu den fakultativen Ausschlussgründen nach § 124 GWB ausgefüllt mit seinem Angebot einzureichen.
Bei Bietergemeinschaften hat jedes Mitglied die Eigenerklärung in der geforderten Form abzugeben. Bei geplantem Einsatz von Unterauftragnehmern ist die Eigenerklärung von jedem Unterauftragnehmer in der erforderlichen Form vorzulegen.
(Datei "Eigenerklaerung_Par_124_GWB")
Wirtschaftlichkeitsprüfung/Zuschlagskriterien
Bei der Bewertung zur Ermittlung des wirtschaftlichsten Angebotes wird folgende Gewichtung festgelegt:
Preis Leistung
90% 10%
Den Zuschlag erhält der Bieter mit der höchsten Punktzahl, die nach der folgenden Formel errechnet wird:
Gesamtpunkte = Preispunkte × 0,9 + Leistungspunkte × 0,1
Sind die ermittelten Gesamtpunkte zweier Angebote identisch, erhält das Angebot mit dem niedrigeren Angebotspreis den Zuschlag. Ist auch dieser Wert identisch, so entscheidet das Los.
Preis (90%)
Der Preis ergibt sich aus der Gesamtsumme (brutto) aus dem Preisblatt.
Die Punkteberechnung erfolgt nach der logarithmischen Interpolationsmethode. Dabei erhält der günstigste Angebotspreis die maximale Punktzahl (60), die Angebote mit den nächst folgenden, höheren Preisen erhalten eine entsprechend geringere Punktzahl, wobei der Angebotspreis mit dem Zweifachen des günstigsten Angebotspreises stets noch die Hälfte der maximalen Punktzahl erhält. Durch die logarithmische Interpolation erhält jeder Angebotspreis einen relativen Punktwert. Die Nachkommastellen werden ab- bzw. aufgerundet.
Leistung - Kriterienkatalog (10%)
Die erreichte Leistungspunktzahl ergibt sich aus dem Kriterienkatalog (Datei "Kriterienkatalog"), wobei maximal 60 Punkte erreicht werden können.
Im Kriterienkatalog sind die Fragen jeweils mit "Ja" oder "Nein" zu beantworten und werden entsprechend den dort angegebenen Bewertungen bepunktet.
Postanschrift:[gelöscht]
Ort: Darmstadt
Postleitzahl: 64283
Land: Deutschland
Telefon: [gelöscht]
Fax: [gelöscht]
§ 160 GWB (Einleitung, Antrag)
(1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.
(2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.
(3) Der Antrag ist unzulässig, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2.Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3.Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegen-über dem Auftraggeber gerügt werden,
4.mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.