EVB-IT Cloud

Der EVB-IT Cloudvertrag gibt öffentlichen Auftraggebern einen Vertragsrahmen für die fortlaufende Bereitstellung von Infrastruktur, Plattformen und Anwendungen aus einer Cloud. Diese Seite erläutert, welche amtlichen Dokumente zum Vertragswerk gehören, wie die Vergabestelle Service Levels, Datenschutz, Informationssicherheit und den Exit darin abbildet und wann ein anderer EVB-IT-Typ näherliegt.

Kurz gesagt

EVB-IT Cloud ist der Vertragstyp für Cloudleistungen: Software as a Service (SaaS), Platform as a Service (PaaS), Infrastructure as a Service (IaaS) und die ergänzenden Managed Cloud Services. Das amtliche Paket vom 1. März 2026 besteht aus Cloudvertrag, Cloud-AGB, Kriterienkatalog und einer Anlage für auftragnehmerseitige AGB; daneben steht der EVB-IT digital Cloudvertrag als interaktive Vorlage. Aktuell tragen der Vertrag die Version V1.0.0 und die drei weiteren Dokumente jeweils die Version V1.0.2. Die Cloud-AGB setzen für Verfügbarkeit, Betriebszeit und Bezugszeitraum bereits Standardwerte; Leistungsumfang, Servicezeiten, Störungsbearbeitung, Datensicherung, Export, Unterauftragnehmer und Vergütung legt die Vergabestelle im Kriterienkatalog und in der Leistungsbeschreibung für den konkreten Bedarf fest. Der in den AGB verankerte C5-Bezug ersetzt weder eine Schutzbedarfsfeststellung noch eine leistungsbezogene Beschreibung der Sicherheitsanforderungen.

Rechtsgrundlage und amtlicher Stand

Die amtliche Übersicht der aktuellen EVB-IT weist für den Stand 1. März 2026 den EVB-IT Cloudvertrag V1.0.0 sowie Cloud-AGB, Kriterienkatalog und Anlage für auftragnehmerseitige AGB in V1.0.2 aus. Kopien mit einer niedrigeren Versionsnummer aus einem früheren Verfahren sind deshalb keine verlässliche Grundlage für ein neues Verfahren. Die Entscheidungshilfe, Version 5 vom 1. März 2026, ordnet EVB-IT Cloud insbesondere IaaS, PaaS und SaaS zu; mit Anpassungen kann der Vertrag auch Hosting und Application Service Providing erfassen.

Nach § 29 Absatz 1 Nummer 3 VgV bestehen die Vertragsunterlagen aus Leistungsbeschreibung und Vertragsbedingungen. Der ausgefüllte Cloudvertrag, die einbezogenen Cloud-AGB und die konkretisierten Anlagen gehören daher gemeinsam in die Vergabeunterlagen. Artikel 9 Nummer 9 des Gesetzes vom 12. Mai 2026, BGBl. 2026 I Nr. 137, hat § 29 VgV zum 1. Juli 2026 die Überschrift „Vergabeunterlagen; Zahlung“ gegeben und einen Absatz 3 zur Zahlung angefügt; die Einordnung der Vertragsunterlagen in Absatz 1 Nummer 3 blieb unverändert. Fälligkeit, Zahlungsziel und Abweichungen davon trägt die Vergabestelle in den Nummern 4.1 bis 4.4 des Cloudvertrags ein.

§ 121 Absatz 1 GWB verlangt in der seit dem 1. Juli 2026 geltenden Fassung eine so eindeutige wie mögliche Beschreibung, die alle Unternehmen im gleichen Sinne verstehen und die vergleichbare Angebote ermöglicht; Artikel 1 Nummer 13 desselben Gesetzes hat dort die Angabe „und erschöpfend“ gestrichen. § 31 Absatz 1 VgV verlangt gleichen Zugang zum Vergabeverfahren, Absatz 2 Nummer 1 so genaue Leistungs- oder Funktionsanforderungen, dass ein klares Bild vom Auftragsgegenstand entsteht und hinreichend vergleichbare Angebote zu erwarten sind. Ein unverändert veröffentlichtes Formular ersetzt deshalb keine auf den Bedarf zugeschnittene Leistungsbeschreibung.

Verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag, verlangt Artikel 28 Absatz 3 DSGVO einen Vertrag oder ein anderes bindendes Rechtsinstrument, das Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt. Ziffer 6.1.3 der Cloud-AGB verpflichtet die Parteien, vor der Verarbeitung eine Auftragsverarbeitungsvereinbarung mit angemessenen technischen und organisatorischen Maßnahmen zu schließen; das Vertragsformular selbst enthält dafür keinen eigenen Abschnitt, sondern führt die Vereinbarung über die Anlagentabelle in Nummer 1.2.1 ein. Vertragsbedingungen, Leistungsbeschreibung und diese Vereinbarung müssen dieselben Datenarten, Verarbeitungsorte, Löschregeln und Unterauftragnehmerketten abbilden.

Dynamische Leistungsmodelle ändern nicht die vergaberechtliche Grenze während der Laufzeit. Nach § 132 Absatz 1 GWB erfordern wesentliche Auftragsänderungen grundsätzlich ein neues Vergabeverfahren. Absatz 2 Nummer 1 lässt Änderungen ohne neues Verfahren zu, wenn klare, genaue und eindeutig formulierte Überprüfungsklauseln oder Optionen bereits in den ursprünglichen Vergabeunterlagen Art, Umfang und Voraussetzungen der möglichen Änderung bestimmen und der Gesamtcharakter unverändert bleibt. Das ist bei Skalierungsoptionen, zusätzlichen Servicepaketen, Preisanpassungen und einem Austausch wesentlicher Unterauftragnehmer schon vor der Bekanntmachung mitzudenken.

Praxis: Vertragswerk und Ausschreibung aufeinander abstimmen

Die Vergabestelle legt zuerst fest, welches Servicemodell beschafft wird. Bei IaaS stellt der Auftragnehmer die vereinbarte Cloudinfrastruktur bereit; nach Ziffer 2.2.2 der Cloud-AGB bleibt der Auftraggeber für Betriebssysteme, Software, Anwendungen und Inhalte verantwortlich, die er darauf betreibt. Bei PaaS stellt der Auftragnehmer zusätzlich eine Plattform bereit; bei SaaS nutzt der Auftraggeber die vereinbarte Anwendung in der Cloudinfrastruktur des Auftragnehmers. Ziffer 2.3 der AGB kennt daneben Managed Cloud Services: Leistungen, die der Auftragnehmer im vereinbarten Umfang anstelle des Auftraggebers übernimmt, etwa dessen Mitwirkungsleistungen. Diese Zuordnung entscheidet darüber, welche Betriebs-, Sicherheits- und Mitwirkungsaufgaben in der Leistungsbeschreibung verbleiben.

Das amtliche Vertragswerk verteilt die Regelungen auf mehrere Dokumente. Die folgende Tabelle zeigt, welche Entscheidung an welcher Stelle dokumentiert wird.

Verfügbarkeit und Service Level messbar festlegen

Die Cloud-AGB V1.0.2 regeln Verfügbarkeit am geschuldeten Übergabepunkt, Reporting, Störungsklassifizierung und Störungsbeseitigung. Ohne abweichende Vereinbarung ist der Übergabepunkt nach Ziffer 5.1 das Gateway des Auftragnehmers in das Internet, und Ziffer 8.3 setzt Standardwerte: mindestens Verfügbarkeitsklasse VK 1, also 99,0 Prozent, Bezugszeitraum Kalendermonat, Betriebszeit Montag bis Sonntag von 0 bis 24 Uhr, sonntags von 04 bis 08 Uhr geplante Nichtverfügbarkeit; gemessen wird durch den Auftragnehmer. Abweichungen davon trägt die Vergabestelle in den Kriterienkatalog V1.0.2 ein, der Felder für Betriebs- und Kernbetriebszeiten, Bezugszeitraum, Wartungsfenster, Messpunkte, Antwortzeitverhalten, Datendurchsatz sowie Reaktions- und Wiederherstellungszeiten vorsieht. Eine Prozentzahl allein genügt dafür nicht: Ohne Messpunkt und Bezugszeitraum bleibt offen, worauf sie sich bezieht. Gutschriften bei Nichtverfügbarkeit sind als mögliche Ergänzung vorgesehen, müssen aber mit den geschuldeten Service Levels und weiteren Rechtsfolgen widerspruchsfrei verbunden werden.

Datenschutz, C5 und Unterauftragnehmer zusammen betrachten

Die Cloud-AGB knüpfen die Leistung an die bei Vertragsschluss aktuellen Basiskriterien des Cloud Computing Compliance Criteria Catalogue des BSI. Der C5 beschreibt Sicherheitskriterien und korrespondierende Kriterien für Cloud-Kunden; die Verantwortung des Auftraggebers für seine Konfiguration, Zugänge und eigene Systeme entfällt dadurch nicht. Nach der BSI-FAQ ist eine C5-Testierung keine Zertifizierung des BSI und für sich allein kein hinreichender Nachweis zur Erfüllung des BSI-Mindeststandards für externe Cloud-Dienste. Die Vergabestelle bestimmt deshalb Schutzbedarf, benötigten Nachweistyp, Prüfzeitraum und Umgang mit Abweichungen für den ausgeschriebenen Dienst.

Ziffer 4 der Cloud-AGB legt den Leistungsort fest: Speicherung und sonstige Verarbeitung der Auftraggeberdaten erfolgen ausschließlich in der EU und im EWR sowie in der Schweiz, solange dafür ein Angemessenheitsbeschluss nach Artikel 45 DSGVO besteht; weitere Regionen kommen nur hinzu, wenn der Auftraggeber sie in der Administrationskonsole auswählt. Für Metadaten im Sinne des C5-Kriteriums OPS 11 gilt eine eigene Maßgabe.

Unterauftragnehmer sind zugleich Vertrags-, Sicherheits- und Datenschutzthema. Ziffer 15.1 der Cloud-AGB verlangt im Grundmodell die Benennung der eingesetzten Unternehmen und ihrer Leistungsbereiche; Ziffer 15.3 enthält alternativ ein Zustimmungsmodell mit namentlicher Benennung. Artikel 28 Absatz 2 DSGVO verlangt daneben eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen, bevor ein weiterer Auftragsverarbeiter hinzugezogen wird; bei einer allgemeinen Genehmigung ist über beabsichtigte Änderungen zu informieren, und der Verantwortliche kann Einspruch erheben. Die Vergabestelle gleicht daher die Unterauftragnehmerliste mit Datenstandorten, C5-Bericht, Leistungsbeschreibung und Vereinbarung zur Auftragsverarbeitung ab.

Datenrückgabe und Exit vor dem Zuschlag beschreiben

Die Cloud-AGB sehen den Export der Auftraggeberdaten in einem marktüblichen Austauschformat sowie Pflichten bei Vertragsende vor. Der Cloudvertrag V1.0.0 enthält unter Nummer 3.2.3 eigene Felder für Art, Umfang und Vergütung der Leistungen bei Vertragsende. Nach Ziffer 13.3.3 der AGB bleibt der Auftraggeber bis zur Löschung zum Export berechtigt; die erforderliche Schnittstelle stellt der Auftragnehmer dafür drei Monate über das Vertragsende hinaus bereit. Verzögert sich eine vereinbarte Migration, erbringt der Auftragnehmer die Leistung nach Ziffer 13.2.2 auf Anforderung einmalig bis zu sechs Monate weiter. Die Vergabestelle ergänzt Datenbestände, Formate, Schnittstellen, Verschlüsselungsschlüssel, Übergabemedium, Dokumentation, Unterstützungsleistungen und Löschbestätigung. Ein bloßer Verweis auf „Datenexport“ klärt weder die technische Verwendbarkeit noch den Aufwand eines Anbieterwechsels.

Abgrenzung zu Dienstleistung und System

EVB-IT Dienstleistung passt nach der amtlichen Entscheidungshilfe zu IT-Dienstleistungen wie Beratungsleistungen, Benutzerunterstützung oder Hotline, wenn keine Cloudleistung als Vertragsgegenstand bereitgestellt wird. EVB-IT Cloud erfasst dagegen die fortlaufende Bereitstellung von IaaS, PaaS oder SaaS einschließlich der dafür geregelten Betriebsparameter. Der EVB-IT Systemvertrag liegt näher, wenn der Auftragnehmer ein IT-Gesamtsystem erstellt und die Leistungen zur Herbeiführung der Betriebsbereitschaft oder die Erstellung von Individualsoftware den Schwerpunkt bilden. Bei gemischten Leistungen dokumentiert die Vergabestelle den Schwerpunkt und ordnet einmalige Einführung, Migration und laufenden Cloudbetrieb ohne widersprüchliche Abnahme-, Laufzeit- oder Haftungsregeln ein. Welcher Vertragstyp für andere Leistungsgegenstände vorgesehen ist, zeigt die Übersicht der EVB-IT Vertragstypen.

Häufige Fehler

• Alte Fassungen werden aus einem früheren Verfahren übernommen. Vertrag, AGB und Kriterienkatalog haben nicht dieselbe Versionsnummer. Die Vergabestelle prüft deshalb jedes Dokument einzeln gegen den amtlichen Stand vom 1. März 2026.
• Verfügbarkeit wird nur als Prozentwert genannt. Ohne Betriebszeit, Bezugszeitraum, Wartungsfenster, Messpunkt und Ausfallbegriff sind Angebote und spätere Reports nicht belastbar vergleichbar.
• Anbieter-AGB werden pauschal einbezogen. Die amtliche Anlage V1.0.2 verlangt für vorrangige Einzelregelungen eine aktivierte Kategorie und eine genaue Fundstelle. Pauschale Verweise reichen nach dem Formular nicht.
• C5 wird mit einer vollständigen Sicherheitsprüfung gleichgesetzt. Ein Bericht hat einen bestimmten Gegenstand, Zeitraum und Prüfungsumfang. Schutzbedarf, kundenseitige Pflichten und zusätzliche regulatorische Anforderungen bleiben gesondert zu bestimmen.
• Exit-Leistungen werden erst zum Vertragsende verhandelt. Dann fehlen häufig kalkulierte Preise, Fristen, Exportformate oder Mitwirkungspflichten. Diese Punkte gehören bereits in Vertrag, Kriterienkatalog, Leistungsbeschreibung und Preisblatt.
• Cloud- und Systemleistungen werden ohne klare Schnittstelle kombiniert. Unterschiedliche Regeln für Betriebsbereitschaft, laufende Bereitstellung und Leistungsstörungen führen zu Widersprüchen. Die Vergabestelle trennt Leistungsphasen und Verantwortungsbereiche schon in den Vertragsunterlagen.

Häufige Fragen

Was ist ein EVB-IT Cloudvertrag?

Ein EVB-IT Cloudvertrag ist das amtliche Vertragsmuster der öffentlichen Hand für Cloudleistungen, insbesondere IaaS, PaaS und SaaS. Er bezieht die EVB-IT Cloud-AGB ein und wird durch den Kriterienkatalog, die Leistungs- oder Servicebeschreibung sowie je nach Datenverarbeitung durch eine Vereinbarung zur Auftragsverarbeitung ergänzt. Der Vertrag enthält Auswahl- und Eintragungsfelder, ist aber kein bereits ausgefülltes Vertragsmuster für einen bestimmten Beschaffungsfall. Die Vergabestelle veröffentlicht die konkretisierten Unterlagen zusammen mit der Ausschreibung, damit Bieter Leistung, Risiken und Vergütung auf derselben Grundlage kalkulieren.