Cyber-Versicherung
Freiwillige Ex-ante-Transparenzbekanntmachung
Dienstleistungen
Abschnitt I: Öffentlicher Auftraggeber/Auftraggeber
Ort: Frankfurt am Main
NUTS-Code: DE712 Frankfurt am Main, Kreisfreie Stadt
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Internet-Adresse(n):
Hauptadresse: www.bahn-bkk.de
Abschnitt II: Gegenstand
Cyber-Versicherung
Gegenstand des Vertrages ist der Abschluss einer Cyber-Versicherung. Diese muss Haftpflichtansprüche,
Eigenschäden, Verfahrensrechtsschutz, Cyber-Erpressung, Aufwendungen für Incident-Management-Experten
einschließlich Sofortreaktionen und Krisenprävention nach den spezifischen Risikoverhältnissen einer
Gesetzlichen Krankenversicherung mit Ihren besonders sensiblen (z.B. Gesundheits-)Daten absichern.
Der Versicherungsschutz muss für alle Standorte der BAHN-BKK in Deutschland gelten.
Die BAHN-BKK beabsichtigt einen Cyber-Versicherungsvertrag abzuschließen.
Geplant ist der Abschluss eines Versicherungsvertrages mit der Allianz Global Corporate & Specialities (AGCS). Dieser ist zwischen dem GKV-Spitzenverband und der Allianz speziell auf die Bedürfnisse von Krankenkassen ausgehandelt worden. Dieser Vertrag hat im Vergleich zu anderen Cyber-Versicherungsverträgen in Bezug auf die GKV spezifische Besonderheiten, die einen erheblichen Mehrwert gegenüber anderen Produkten darstellen.
Dies sind folgende Regelungen:
1. Für Haftpflichtansprüche und behördliche Verfahren gilt das Anspruchserhebungsprinzip (claims made). Maßgeblich ist, dass sie innerhalb der Versicherungsperiode oder in der vereinbarten Nachhaftungsfrist erstmalig geltend gemacht oder eingeleitet werden. Für Eigenschäden wird für Versicherungsfälle und/oder Schäden Versicherungsschutz geboten, die in der versicherten Periode festgestellt werden (Feststellungsprinzip) oder wenn in dieser Zeit ein versicherter Sachschaden entstanden ist.
2. Versichert sind insbesondere folgende Haftpflichtansprüche:
a. Ansprüche gegen Versicherte (versicherte Person und/oder versicherte Gesellschaft) wegen einer Informationssicherheitsverletzung (Datenschutz-, Vertraulichkeits- oder Netzwerksicherheitsverletzung wie z.B. die Infektion, Übermittlung von Schadstoffsoftware, DoS-Attacken) oder rechtswidriger digitaler Kommunikation.
b. Versicherungsschutz besteht auch für die Freistellung von externen Dienstleistern, sofern ihnen der Versicherte zur Freistellung verpflichtet ist und für Vertragsstrafen wegen der Verletzung von PCI-Datensicherheitsstandards, die durch einen E-Payment-Service-Providergeltend gemacht werden.
Versichert sind insbesondere folgende Eigenschäden:
c. BU-Schäden aufgrund von Netzwerksicherheitsverletzungen (Eindringen in Computersystem und unberechtigte/r Nutzung/Zugang oder unautorisierte Veränderung, Zerstörung, Löschung, Übertragung, Kopierung von Daten oder Beanspruchung der Ressourcen des Computersystems), fehlerhafter Bedienung,
unvorhergesehener technischer Probleme, Verfügung einer Datenschutzbehörde oder der Erfüllung einer gesetzlichen Verpflichtung aufgrund einer Datenschutz- oder Vertraulichkeitsverletzung; zu den erstattungspflichtigen fortlaufenden Kosten gehören auch Fälle des Annahmeverzugs im Hinblick auf bestehende Arbeitsverhältnisse (§ 615 BGB);
d. Wiederherstellungskosten für Informationssicherheitsverletzungen, fehlerhafte Bedienung oder unvorhergesehene technische Probleme einschließlich interner Kosten der GKV (z.B. Arbeitskosten, Overheadkosten);
e. Sachschaden an der IT-Hardware infolge einer Netzwerksicherheitsverletzung;
f. Systemverbesserung nach Netzwerksicherheitsverletzung;
g. Vermögensschaden infolge einer Netzwerksicherheitsverletzung ohne Mitwirkung eines Versicherten durch rechtsgrundlose Geldüberweisung oder irrtümliche und rechtsgrundlose Bezahlung durch Versicherte.
3. Versicherungsschutz für Verfahrensrechtsschutz besteht insbesondere für:
a. Abwehrkosten wegen eines behördlichen Verfahrens aufgrund einer Informationssicherheitsverletzung;
b. Abwehrkosten für eine interne Untersuchung wegen einer Datenschutz- oder Vertraulichkeitsverletzung, wenn diese von der Datenschutzbehörde verlangt wurde oder zur Vorbereitung oder im Anschluss einer Selbstanzeige geboten ist.
c. Hinterlegung von Geld in einem Consumer Regress Fund zur Entschädigung von Verbraucheransprüchen;
d. Geldbußen (Ordnungswidrigkeiten) wegen einer nicht vorsätzlichen Datenschutzverletzung soweit kein gesetzliches oder behördliches Versicherungsverbot besteht oder „ordre public“ ihm entgegen steht.
4. Versicherungsschutz für Cyber-Erpressung
5. Versicherungsschutz für Aufwendung von Incident-Management-Experten.
6. Versicherungsschutz für Sofortreaktion und Cyber-Krisenprävention.
7. Kein Ausschluss von Versicherungsfällen und/oder Schäden aufgrund von oder im Zusammenhang mit
Terrorakten.
Abschnitt IV: Verfahren
- Der Auftrag fällt nicht in den Anwendungsbereich der Richtlinie
Die Durchführung eines offenen Ausschreibungsverfahrens ist weder zweckmäßig noch wirtschaftlich, da es aufgrund der spezifischen Anforderungen an den Versicherungsschutz keinen Wettbewerb gibt.
Der von der Allianz Global Corporate & Specialities (AGCS) branchenspezifische Gruppenvertrag hebt sich von den gängigen Standard-Deckungen auf dem Markt deutlich ab (siehe Abschnitt II.2.4). Ein wirtschaftlicheres Ergebnis ist durch eine Ausschreibung nicht zu erwarten.
Dieser Vertrag deckt alle Anforderungen der BAHN-BKK an einen branchenspezifischen Cyber-Versicherungsvertrag ab. Er bildet GKV-spezifische Risiken ab, die von keinem anderen Dienstleister angeboten werden.
Mit der Ex-ante Transparenzbekanntmachung werden die Voraussetzungen für einen wirksamen Vertragsabschluss gemäß § 135 Abs. 3 GWB geschaffen.
Abschnitt V: Auftragsvergabe/Konzessionsvergabe
Ort: München
NUTS-Code: DE Deutschland
Land: Deutschland
Abschnitt VI: Weitere Angaben
Am 13.07.2022 hat sich die BAHN-BKK entschieden, den Vertrag mit der Allianz Global Corporate & Specialities (AGCS) abzuschließen.
Der Vertrag wird gemäß § 135 Abs. 3 GWB erst nach Ablauf der Frist von 10 Kalendertagen, gerechnet ab dem Tag nach der Veröffentlichung dieser Bekanntmachung, geschlossen.
Ort: Bonn
Postleitzahl: 53123
Land: Deutschland
Angaben zu den Fristen für die Einlegung von Rechtsbehelfen:
§ 135 GWB
„(1) Ein öffentlicher Auftrag ist von Anfang an unwirksam, wenn der öffentliche Auftraggeber
1. gegen § 134 GWB verstoßen hat oder
2. den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Unionvergeben hat, ohne dass dies aufgrund Gesetzes gestattet ist, und dieser Verstoß in einem Nachprüfungsverfahren festgestellt worden ist.
(2) ...
(3) Die Unwirksamkeit nach Absatz 1 Nummer 2 tritt nicht ein, wenn
1. der öffentliche Auftraggeber der Ansicht ist, dass die Auftragsvergabe ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union zulässig ist,
2. der öffentliche Auftraggeber eine Bekanntmachung im Amtsblatt der Europäischen Union veröffentlicht hat, mit der er die Absicht bekundet, den Vertrag abzuschließen, und
3. der Vertrag nicht vor Ablauf einer Frist von mindestens 10 Kalendertagen, gerechnet ab dem Tag nach der Veröffentlichung dieser Bekanntmachung, abgeschlossen wurde.
Die Bekanntmachung nach Satz 1 Nummer 2 muss den Namen und die Kontaktdaten des öffentlichen Auftraggebers, die Beschreibung des Vertragsgegenstands, die Begründung der Entscheidung des Auftraggebers, den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union zu vergeben, und den Namen und die Kontaktdaten des Unternehmens, das den Zuschlag erhalten soll, umfassen.“
§ 168 GWB
„(2) Ein wirksam erteilter Zuschlag kann nicht aufgehoben werden. ...“.