Beschreibung der Beschaffung
Es soll für die Beschäftigten der hessischen Landesverwaltung eine cloudbasierte "Video-Collaboration" Lösung bereitgestellt werden. Hierüber soll eine im nachstehenden Umfang beschriebene Video-Kommunikation mit Stellen innerhalb und außerhalb der hessischen Landesverwaltung zur Aufgabenerledigung erfolgen.
Diese Lösung muss unter anderem die folgenden Funktionen bereitstellen:
Präsenzinformation (Statusanzeige und Kontaktliste), Instant Messaging (Austauschen von Kurznachrichten), Audio/Video (Führen von ad hoc Video- und Audiokonferenzen vom Desktoparbeitsplatz aus), Gastgeberrechte (Übergabe von Gastgeberrechten, Ernennung von Co-Gastgebern), Outlook Integration (Erstellen von Termineinladungen für Videokonferenzen aus Outlook heraus), Präsentation Sharing (Teilen von PowerPoint-Präsentationen während einer Videokonferenz), Desktop-/Anwendungssharing (Teilen des Desktops- und der Anwendungen), weitere Funktionen (z.B. die Nutzung eines virtuellen Whiteboards, Melde-/Feedbackfunktionen).
Zurzeit sind die einzelnen Dienststellen des Landes Hessen aus Sicherheitsgründen untereinander durch Firewalls getrennt. Damit soll sichergestellt werden, dass ungewollte Kommunikation unterbunden und nur gewollte Kommunikation ermöglicht wird. Dadurch werden die Angriffsmöglichkeiten stark eingeschränkt. Dies führt dazu, dass die Dienststellen zum großen Teil nicht direkt miteinander kommunizieren können. Zukünftig soll eine Kommunikation zwischen unterschiedlichen Dienststellen über die ausgeschriebene Cloud-Plattform möglich sein.
Jede Dienststelle ist über die zentrale Internet-Infrastruktur der Hessischen Zentrale für Datenverarbeitung an das Internet angebunden.
Die gesamte zentrale Netzinfrastruktur inkl. Firewall, DNS (extern/intern) usw. wird durch die Hessische Zentrale für Datenverarbeitung betrieben.
Externe Mail Relay Server werden nicht durch das Land Hessen betrieben oder angeboten. Somit ist ein Versand von Einladungen per E-Mail oder für SelfService Tätigkeiten (bspw. Passwortreset) aus der Cloud Umgebung über die zentrale Mail-Plattform des Landes Hessen nicht möglich. Dies muss durch den Auftragnehmer bereitgestellt werden. Zum Schutz der Vertraulichkeit und Integrität der verarbeiteten personenbezogenen Daten wird auf die Orientierungshilfe (OH) "Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK)" verwiesen.
Um die Wiedererkennbarkeit für die Anwender zu gewährleisten, muss die Anmeldung der Anwender mit den jeweiligen E-Mail-Adressen gleichgestellt umgesetzt werden. Dies bedeutet, dass die Mailadressen und Session Initiation Protocol (SIP) Adressen identisch sein müssen. Da das Land Hessen nicht nur eine Mail Domäne bereitstellt, sondern für die Ministerien und deren Dienststellen eigene Mail SUB-Domänen vorsieht, beläuft sich die Anzahl dieser Mail Domänen auf aktuell ca. 1.000 Stück. Die Maildomänen können einen mehrstelligen Subdomänen Aufbau enthalten (bspw. Subdomäne(1).Subdomäne(n).hessen.de). Mail Domänen müssen wie einzelne Kunden (Mandanten) betrachtet werden. Eine zentrale Administration aller Mandanten durch den Auftraggeber muss ebenso möglich sein wie eine auf Mandantenbasis delegierte Administration.
Eine Kommunikation zwischen den Mandanten (Dienststellen) muss gewährleistet sein.
Die Grundsätze des Datenschutzes nach Art. 5 Abs. 1 DSGVO sind vom Auftragnehmer einzuhalten. Der Auftragnehmer ist verpflichtet, den Auftraggeber bei der Erfüllung seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu unterstützen.
Der Auftragnehmer verpflichtet sich, die Auftragsverarbeitung nach Artikel 28 DSGVO durchzuführen (für den Hauptservice und alle darüberhinausgehenden Vorleisterservices) und bestätigt dies mit der Übersendung einer passenden Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO mit dem Angebot. Hierbei gelten bei der Einbindung etwaiger Unterauftragnehmer Art. 28 Abs. 2 und Art. 28 Abs. 4 DSGVO. Etwaige Unter- Unterunterauftragnehmer usw. sind mit den Aufgaben, der Art und dem Umfang des Zugriffs auf personenbezogene Daten in der Auftragsverarbeitungsvereinbarung aufzuführen.
In der Vereinbarung sind insbesondere Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen zu regeln. Der Auftragnehmer benennt die Art der personenbezogenen Daten, die nach Art. 5 Abs. 1 lit. c) DSGVO dem Zweck nach angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind ("Datenminimierung").
Personenbezogene Daten werden nur auf dokumentierte Weisung des Verantwortlichen durch den Auftragnehmer verarbeitet. Der Auftragnehmer hat sicherzustellen, dass ihm unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten des Auftraggebers haben, diese nur auf Anweisung des Auftraggebers verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.
Dem Auftraggeber werden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 niedergelegten Pflichten zur Verfügung stellt. Falls der Auftragnehmer der Auffassung ist, dass eine Weisung des Auftraggebers gegen die einschlägigen Datenschutzvorschriften verstößt, hat er den Auftraggeber nach Art. 28 Abs. 3 Satz 3 DSGVO hierüber zu informieren. Der Auftragnehmer räumt dem Auftraggeber ein Kontrollrecht nach Art. 28 Abs. 3 Satz 2 lit. h) DSGVO ein.
Der Auftragnehmer muss eine passende Informationsseite/Dokumentation bereitstellen, die die Nutzer/Anwender nach Artikel 13/14 DSGVO über die Erhebung und Nutzung der personenbezogenen Daten informiert und die vom Auftraggeber um Informationen ergänzt werden kann. Zudem hat der Auftragnehmer den Auftraggeber vollumfänglich bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III DSGVO (Rechte betroffener Personen) zu unterstützen.
Für den Geltungsbereich der bereitgestellten Cloud-Ressourcen muss ein formales Datenschutzkonzept existieren, welches die gesetzlichen Voraussetzungen (DSGVO) erfüllt. Dieses Datenschutzkonzept muss auf Verlangen dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) vorgelegt und dem Auftraggeber mit der Angebotsabgabe zur Verfügung gestellt werden.
Der Service, Datenspeicherungen und alle damit verbundenen Verarbeitungszwecke, wie z.B. Abrechnung, Support, Administration dürfen nur aus Rechenzentren und von Orten aus erbracht werden, die sich innerhalb des Europäischen Wirtschaftsraums (EWR) bzw. in Drittstaaten befinden, die gemäß einem Angemessenheitsbeschluss der Europäischen Kommission ein Datenschutzniveau entsprechend der DSGVO gewährleisten. Der Sitz des Mutterkonzerns des Auftragnehmers, Unterauftragnehmers usw. muss sich ebenfalls an solchen Orten befinden.
Es wird ein Informationssicherheitskonzept nach dem BSI Standard 200-2 Standard-Absicherung mit integrierter Risikoanalyse nach BSI Standard 200-3 vorausgesetzt. Alternativ kann ein abweichendes Informationssicherheitskonzept nach einem vergleichbaren Standard vorhanden sein. Aus diesem muss eindeutig hervorgehen, welche organisatorischen, technischen und infrastrukturellen Bereiche Gegenstand des Sicherheitskonzeptes - speziell der Cloud-Infrastruktur - sind.
Alle eingesetzten Webservices und Webanwendungen, die von außen erreichbar sind, müssen mit Zertifikaten ausgestattet sein, die mindestens ein A (+) Ranking bei
ssllabs.com vorweisen.
Es muss ein Desktopclient bereitgestellt werden, der auf den aktuellen und zukünftigen Windows und MacOS Versionen lauffähig ist. Neben der Installation und Nutzung auf einem FatClient muss auch die Installation auf gängigen Terminalservern (bspw. Citrix, Microsoft) möglich sein. Hierbei darf die Nutzung des Clients nicht eingeschränkt werden. Des Weiteren muss ein vollumfänglicher Smartphone Client vorhanden sein, der auf den aktuellen und zukünftigen Smartphone-Betriebssystemen (verpflichtend iOS und Android) lauffähig ist.
Es sollte darüber hinaus ein Desktopclient bereitgestellt werden, der auf den aktuellen und zukünftigen Linux Versionen (vorzugsweise Ubuntu Distribution) lauffähig ist.
Es sollte dem Auftraggeber möglich sein, definierte Zeitpläne für Softwareupdates (neue Versionen von Clients) zu erstellen.
Es muss möglich sein, im Client den Hintergrund zu verschleiern und/oder digitale Hintergründe einzufügen, sodass die Privatsphäre des Anwenders in seinen privaten Räumlichkeiten gewahrt bleibt.
Es muss für Personen der hessischen Landesverwaltung (interne Teilnehmer) und Gastteilnehmer (keine Personen der hessischen Landesverwaltung - externe Teilnehmer) die Möglichkeit geben, via modernem Internetbrowser (ohne Installation eines Plugins bspw. via WebRTC oder HTML5) an virtuellen Konferenzen teilzunehmen.
Es muss möglich sein, Konferenzen zwischen zwei und bis zu 100 Teilnehmern abzuhalten.
Es muss ein passendes Portal angeboten werden, über das die Anwender ihre eigenen Benutzerdaten einsehen und anpassen können. Hierzu zählt auch eine Möglichkeit zum sicheren Passwortreset, sodass der Anwender jederzeit bei Bedarf sein Passwort selbst ändern oder zurücksetzen kann.
Die Anforderungen im Detail sind der Leistungsbeschreibung zu entnehmen.