81320547-Rahmenvereinbarung zu Rechtsberatungsdienstleistungen zur Umsetzung von Anforderungen zum Datenschutz und der EU-KI-Verordnung in Projekten der GIZ

Kurze Beschreibung

Die Deutsche Gesellschaft für Internationale Zusammenarbeit (GIZ) GmbH ist eine staatliche Organisation für Entwicklungszusammenarbeit der Bundesrepublik Deutschland.

Als Dienstleister der internationalen Zusammenarbeit für nachhaltige Entwicklung und internationalen Bildungsarbeit engagieren wir uns weltweit für eine lebenswerte Zukunft. Wir haben mehr als 50 Jahre Erfahrung in unterschiedlichsten Feldern, von der Wirtschafts- und Beschäftigungsförderung über Energie- und Umweltthemen bis hin zur Förderung von Frieden und Sicherheit.

Als gemeinnütziges Bundesunternehmen stehen wir für deutsche und europäische Werte. Gemeinsam mit unseren Partnern in den nationalen Regierungen weltweit sowie mit Kooperationspartnern aus Wirtschaft, Wissenschaft und Zivil-gesellschaft arbeiten wir flexibel an wirksamen Lösungen, die Menschen Perspektiven bieten und deren Lebensbedingungen dauerhaft verbessern. Unser Geschäftsvolumen betrug im Jahr 2023 rund 4 Milliarden Euro.

Das Kompetenzcenter Digitale Gesellschaft im Fach- und Methodenbereich (FMB) stellt das Thema der digitalen Transformation in GIZ-Partnerländern in den Fokus und berät Projekte zu Themen rund um Informations- und Kommunikationstechnik (IKT) und digitale Lösungen. Um das große Querschnittsthema bestmöglich abzubilden, arbeiten wir in thematischen Teams und bieten verschiedene Services an.

Das Data Helpdesk des Kompetenzcenters ist Ansprechpartner für Projekte der GIZ bei datenschutzrechtlichen Fragen in der Leistungserbringung und berät die Vorhaben bei der Planung und Umsetzung. Zusätzlich nimmt das Data Helpdesk die Ansprechfunktion für die rechtliche Einschätzung der Folgen der EU KI-Verordnung und relevanten dazugehörigen Rechtsakten für die GIZ sowie der fallbezogenen Beratung der Projekte bei rechtlichen Fragen zur KI-Anwendung wahr. Die Entwicklung von KI-Modellen und -Systemen für die GIZ und Partner sowie die Nutzung von KI-Systemen, wie Chatbots oder automatisierten Analysetools spielt eine immer größere Rolle. Rechtliche Beratung hilft, Risiken zu erkennen und sicher mit KI-Technologie umzugehen.

Durch die wachsenden datenschutzrechtlichen und KI-rechtlichen Anforderungen ist die Gewährleistung der datenschutzrechts- und KI-rechtskonformen Ausgestaltung der Projekte der GIZ schwieriger geworden. Aufgrund des weiterhin konstant hohen Beratungsbedarfs sowie der Komplexität der zu beurteilenden Sachverhalte, die beim Data Helpdesk eingehen, soll der Auftragnehmer bei der Beratung durch das Data Helpdesk unterstützend tätig sein.

Beschreibung der Beschaffung

Gegenstand dieser Ausschreibung ist der Abschluss einer Rahmenvereinbarung (RV) über die Durchführung von Rechtsberatungsdienstleistungen zu Datenschutz, Datenverarbeitung im Rahmen der Umsetzung von Vorhaben sowie zur rechtskonformen Anwendungen von KI in den GIZ Projekten der operativen Bereiche sowie der Organisationseinheiten im Fach- und Methodenbereich (FMB) und dem Bereich Auftraggeber und Geschäftsentwicklung (AGE) durch qualifizierte Fachkräfte.

Der Auftragnehmer soll die Vorhaben bei der Erfüllung der Vorgaben zum Datenschutz und zu KI in Übereinstimmung mit für Deutschland geltenden sowie je nach Einzelfall auch nach nationalem Recht anwendbaren Regelungen beraten.
Ziel dabei ist es, eine auftragnehmende Partei (AN) unter der RV zu beauftragen. Aus dieser RV werden die Einsätze zur Durchführung der Beratungsdienstleistungen abgerufen.
Der/die AN ist im Rahmen des oben geschilderten Spektrums für die Erbringung folgender Leistungen verantwortlich und wird in regelmäßigen, abzustimmenden Formaten durch die schriftliche Aufbereitung der Lösungen der jeweils konkret angefragten Leistungen zum Wissensaufbau bei der AG beitragen:

1. Beratung Datenschutz Kunden- und Nutzerdatenschutz
a. Beratung der Vorhaben zu komplexeren Meldungen zum GIZ-Verzeichnis der Verarbeitungstätigkeiten (bspw. Verdacht auf TIA, DSFA, Joint Controllership etc.), inklusive Beratung zur Einhaltung der Datenschutzprinzipien nach Art. 5 DSGVO (VVT)
b. Prüfung, ob ein Fall der Auftragsverarbeitung, gemeinsamen Verantwortung oder eigenständigen Verarbeitung vorliegt und Aufzeigen der entsprechenden Folgen
c. Beratung der Vorhaben zur Verwendung von Standardvertragsklauseln gemäß Artikel 46 DSGVO
d. Beratung bei der Einhaltung der Konformität von Vorhaben-Webseiten und Web- Applikationen
e. Beratung der Vorhaben zu DSGVO-konformer Durchführung von Veranstaltungen und deren Dokumentation
f. Unterstützung der Vorhaben bei der Erstellung datenschutzrechtlicher Inhalte wie beispielsweise Einwilligungserklärungen, Datenschutzhinweise nach DSGVO sowie datenschutzrelevante Aspekte der Nutzungsbedingungen
g. Vorbereitungen von Beratungen

2. Beratung Kunden- und Nutzerdatenschutz
a. Handlungsempfehlungen an die Vorhaben zur Beschreibung aller erforderlichen und meldepflichtigen Schritte, die zur datenschutzkonformen Verarbeitung personenbezogener Daten notwendig sind, ggf. unter Verwendung von Textbausteinen .
b. Beratung zur Evaluierung der Rechtmäßigkeit sowie Verhältnismäßigkeit (Art, Umfang, Zweck) einer geplanten Verarbeitung (Erhebung, Speicherung, Verwendung etc.) von personenbezogenen Daten durch die Projekte.
c. Beratung der Vorhaben bei der Beurteilung der Notwendigkeit und Erklärung der Grundprinzipien einer Datenschutz-Folgenabschätzung (DSFA) für die Datenverarbeitung gemäß DSGVO / BDSG neu.
d. Beratung der Vorhaben bei der Beurteilung potenzieller Datentransfers und Erläuterungen zu DSGVO-konformen Datentransfer, unter Beachtung und Definition der Rechte externer Partner an den im Rahmen des Vorhabens anfallenden Nutzerdaten.
e. Erstellung der datenschutzrechtlich relevanten Passagen bei allgemeinen Nutzungs-bedingungen für die Nutzung von digitalen Produkten.
f. Beurteilung von datenschutzbezogenen Sachverhalten in Bezug zum im Projektland geltenden nationalen Recht inklusive des Abgleichs mit dem Europäischen und deutschen Rechtsrahmen und ggf. Erstellung von Kurzgutachten dazu.
g. Schriftliche Aufarbeitung von umfangreicheren bzw. schwierigen Fällen als Beitrag für Wissensprodukten, die die selbständige Bearbeitung vergleichbarerer Fälle für die MA der AG ermöglichen bzw vereinfachen.
h. Datenschutzrechtliche Kommentierung von ToR für IT-Tool Ausschreibung Die kommentierte Fassung ist, soweit nichts anderes vereinbart, zur Qualitätskontrolle/Freigabe zunächst an die ständigen Ansprechpartner der AG zu senden.

3. Beratung Datenschutz Technik und Betrieb
a. Beratung der Vorhaben zur Bestimmung des angemessenen Schutzniveaus für die Daten und zur Datenintegrität gemäß DSGVO bzw. lokaler Richtlinien und Gesetze.
b. Beratung der Vorhaben zur Spezifikation der datenschutzrechtlichen Anforderungen an die technische Umsetzung vonIT-Produkten (und das ggf. dazugehörige Hosting), sowie der Anforderungen an den datenschutzkonformen Betrieb von IT-Systemen.
c. Erläuterung und Hilfe bei der Anwendung von (GIZ-internen) datenschutzrechtlichen Standarddokumenten (wie z.B. Auftragsverarbeitung und VVT) unter direkter oder analoger Anwendung der DSGVO / BDSG neu in Fällen außerhalb des Anwendungsbereichs der DSGVO
d. Schriftliche Aufarbeitung von komplexen Fällen als Beitrag zu Wissensprodukten, die die selbständige Bearbeitung vergleichbarerer Fälle für die MA der AG ermöglichen bzw. vereinfachen

4. Rechtliche Einschätzung bzgl. EU-KI-Verordnung
a. Beratung der Vorhaben bezüglich der Frage, ob das betreffende KI-System in den Anwendungsbereich der EU-KI-Verordnung fällt.
b. Vornahme einer Risikoklassifizierung / Risikoeinordnung des verwendeten KI-Systems und Einschätzung unserer Rolle und damit zusammenhängender Pflichten.
c. Handlungsempfehlungen an die Vorhaben zur Beschreibung erforderlicher Schritte, die zur Einhaltung der EU-KI-Verordnung und damit zusammenhängender Gesetze (DSGVO, Digital Service Act, Data Act, etc.) notwendig sind.
?
5. Sonderaufträge und Beratung des Data Helpdesk zu spezifischen vorgangsunabhängigen Fragestellungen

6. Beratung in rechtlich strittigen oder umfangreichen Fällen

Weitere Informationen zur Verlängerung

Die Auftraggeberin behält sich optional vor, Vertragsverlängerungen und/oder -aufstockungen auf Basis der in den Vergabeunterlagen genannten Kriterien an das in diesem Verfahren erfolgreiche Unternehmen zu vergeben; i. Ü. siehe ausführliche Leistungsbeschreibung

Beschreibung der Optionen

Die Auftraggeberin behält sich optional vor, Vertragsverlängerungen und/oder -aufstockungen auf Basis der in den Vergabeunterlagen genannten Kriterien an das in diesem Verfahren erfolgreiche Unternehmen zu vergeben; i. Ü. siehe ausführliche Leistungsbeschreibung.

Liste und kurze Beschreibung der Regeln und Kriterien

DE-B1: Technische und berufliche Leistungsfähigkeit (Mit dem Angebot; Mittels Eigenerklärung): 1. Grundlage der fachlichen Bewertung sind nur Referenzprojekte mit einem Mindestauftragsvolumen von 50.000,00 EUR (netto)
2. Mindestens 5 Referenzprojekte im Fachgebiet Rechtsberatung im Informationstechnologierecht, davon 4 in der Datenschutz-Rechtsberatung
zur DSGVO und 1 in der KI-Rechtsberatung zur EU-KI-VO in den letzten 36 Monaten (Stichtag: Datum der Veröffentlichung dieser Ausschreibung). Diese Referenzen können aus der gesamten weltweiten Region stammen.

Liste und kurze Beschreibung der Regeln und Kriterien

DE-C1: Wirtschaftliche und finanzielle Leistungsfähigkeit (Mit dem Angebot; Mittels Eigenerklärung): Durchschnittlicher Jahresumsatz in den letzten drei Geschäftsjahren in EUR (netto) (Bei Ausschreibungen, die innerhalb von sechs Monaten nach dem Ende des letzten Geschäftsjahres von der GIZ veröffentlicht werden, kann das viertletzte Geschäftsjahr herangezogen werden.), mindestens 2.000.000,00 EUR (netto.)

Liste und kurze Beschreibung der Regeln und Kriterien

DE-A1: Bedingungen an die Auftragsausführung (Mit dem Angebot; Mittels Eigenerklärung): Die Eignungskriterien stammen, mangels passender Kategorie, nicht ausschließlich aus der oben stehenden Kriterienkategorie.

1. Eigenerklärung: Name des Unternehmens und Anschrift, Steuer ID, Eintragung ins Handelsregister oder gleichwertigem Register nach den Rechtsvorschriften des Herkunftslands
2. Keine Ausschlussgründe nach § 123, § 124 GWB, § 22 LkSG, Verordnung über Russland Sanktionen
3. Erklärung der Bewerbergemeinschaft und/oder Erklärung Nachunternehmer (falls zutreffend)
4. Erklärung, dass Rechtberatungsleistungen nach dem RDG erbracht werden dürfen.

Liste und kurze Beschreibung der Regeln und Kriterien

DE-D1: Eintragung in das Handelsregister (Mit dem Angebot; Mittels Eigenerklärung): Die Einreichung eines Handelsregisterauszuges ist erforderlich; bei ausländischen Unternehmen aus gleichwertigem Register nach den Rechtsvorschriften des Herkunftslandes. Sofern Sie als Bewerber-/Bietergemeinschaft am Verfahren teilnehmen, ist die Einreichung eines Auszuges für alle beteiligten Unternehmen erforderlich. Das Ausstellungdatum darf nicht mehr als 6 Monate zurückliegen. Die Auszüge sind in der Sprache der Eigenerklärung (deutsch) einzureichen. Soweit die Nachweise in einer anderen Sprache existieren, muss neben dem Original eine Übersetzung in die Verfahrenssprache (deutsch) eingereicht werden.

Genaue Informationen über Fristen für Überprüfungsverfahren

Ein Nachprüfungsantrag ist gemäß § 160 Abs. 3 GWB unzulässig, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.