Cloud-Leistungen ausschreiben

Eine Ausschreibung von Cloud-Leistungen muss den fachlichen Bedarf in messbare Betriebs-, Sicherheits- und Wechselanforderungen übersetzen. Entscheidend ist nicht die Bezeichnung „Cloud“, sondern die Verteilung der Aufgaben zwischen Auftraggeber und Auftragnehmer: Sie bestimmt das Mengengerüst, die Service Level, die Kalkulation und die Nachweise. Der Vertragstyp EVB-IT Cloud wird auf einer eigenen Seite erläutert; hier geht es um die Ausschreibung.

Kurz gesagt

Die Vergabestelle legt zuerst fest, ob sie Infrastruktur, eine Plattform, eine Anwendung oder ergänzende Betriebsleistungen beschafft. Sie beschreibt Nutzer, Last, Speicher, Schnittstellen und Leistungsorte so, dass Bieter denselben Umfang kalkulieren können. Verfügbarkeit wird erst durch Betriebszeit, Messpunkt, Bezugszeitraum, Ausfallbegriff und Berichtspflichten vergleichbar. Migration und Exit gehören mit Formaten, Verantwortlichkeiten und Preisen in die Vergabeunterlagen, bevor eine technische Bindung entsteht. Datenschutz, C5-Nachweise und digitale Souveränität werden als überprüfbare Anforderungen oder Zuschlagskriterien formuliert, nicht als bloße Schlagworte.

Rechtsgrundlage

Leistungsbeschreibung und Wettbewerb

Nach § 121 Absatz 1 Satz 1 GWB ist der Auftragsgegenstand so eindeutig wie möglich zu beschreiben, sodass die Beschreibung für alle Unternehmen im gleichen Sinne verständlich ist und die Angebote miteinander verglichen werden können. Artikel 1 Nummer 13 des Gesetzes vom 12. Mai 2026 hat dort zum 1. Juli 2026 die Angabe „und erschöpfend“ gestrichen. Vergabeverfahren, die vor dem 1. Juli 2026 begonnen haben, werden nach § 187 Absatz 2 GWB nach dem Recht zu Ende geführt, das zum Zeitpunkt der Einleitung des Verfahrens galt.

§ 31 Absatz 1 und Absatz 2 VgV verlangt gleichen Zugang und ein klares Bild vom Auftragsgegenstand. Leistungs- oder Funktionsanforderungen sind zulässig; technische Bezugnahmen müssen die dort geregelte Rangfolge und den Zusatz „oder gleichwertig“ beachten. Ein Verweis auf eine bestimmte Produktion oder Herkunft, ein besonderes Verfahren, gewerbliche Schutzrechte, Typen oder einen bestimmten Ursprung ist nach § 31 Absatz 6 VgV unzulässig, wenn er bestimmte Unternehmen oder Produkte begünstigt oder ausschließt – es sei denn, er ist durch den Auftragsgegenstand gerechtfertigt oder der Auftragsgegenstand lässt sich anderenfalls nicht hinreichend genau und allgemein verständlich beschreiben; dann ist der Zusatz „oder gleichwertig“ zu setzen. Für proprietäre Plattformdienste bedeutet das: Die Vergabestelle beschreibt benötigte Funktionen, Schnittstellen und Kompatibilität und prüft einen Produktverweis nach den Regeln zur Produktneutralität.

Eignung und Zuschlag

Eignungskriterien dürfen nach § 122 Absatz 2 Satz 2 GWB ausschließlich die Befähigung und Erlaubnis zur Berufsausübung, die wirtschaftliche und finanzielle sowie die technische und berufliche Leistungsfähigkeit betreffen. Nach § 122 Absatz 4 Satz 1 GWB müssen Eignungskriterien und geforderte Eignungsnachweise mit dem Auftragsgegenstand in Verbindung und zu diesem sowie dem Auftragswert in einem angemessenen Verhältnis stehen. Nach Absatz 3 in der seit dem 1. Juli 2026 geltenden Fassung soll der Nachweis durch Eigenerklärungen erfolgen; weitergehende Unterlagen sollen nur von aussichtsreichen Bewerbern oder Bietern verlangt werden. Als Belege der technischen und beruflichen Leistungsfähigkeit darf der Auftraggeber nach § 46 Absatz 3 VgV ausschließlich eine oder mehrere der dort abschließend aufgezählten Unterlagen verlangen, darunter geeignete Referenzen, die Angabe technischer Fachkräfte sowie die Beschreibung der technischen Ausrüstung und der Maßnahmen zur Qualitätssicherung. Die Einzelheiten erläutert die Seite Eignungskriterien.

Der Zuschlag wird nach § 127 Absatz 1 GWB auf das wirtschaftlichste Angebot erteilt; dieses bestimmt sich nach dem besten Preis-Leistungs-Verhältnis. Die Zuschlagskriterien müssen mit dem Auftragsgegenstand in Verbindung stehen (Absatz 3) und so festgelegt und bestimmt sein, dass wirksamer Wettbewerb gewährleistet ist, der Zuschlag nicht willkürlich erteilt werden kann und eine wirksame Überprüfung möglich ist (Absatz 4); Kriterien und Gewichtung sind in der Auftragsbekanntmachung oder den Vergabeunterlagen aufzuführen (Absatz 5). § 58 Absatz 2 Satz 2 VgV zählt qualitative, umweltbezogene und soziale Zuschlagskriterien beispielhaft auf; Artikel 9 Nummer 20 des Gesetzes vom 12. Mai 2026 hat diese Aufzählung zum 1. Juli 2026 um Nummer 4 „Aspekte der digitalen Souveränität“ ergänzt. Welche Angebotsangabe bewertet wird und welcher Maßstab gilt, muss die Vergabestelle dennoch selbst festlegen; das Stichwort allein bildet keine Wertung. Hinweise zu Skala und Gewichtung stehen unter Zuschlagskriterien.

Praxis: Cloud-Leistungen beschreiben und bewerten

Servicemodell und Verantwortungsgrenze festlegen

Die amtliche EVB-IT-Übersicht führt den Cloudvertrag, die Cloud-AGB und den Kriterienkatalog. Nach den EVB-IT Cloud-AGB können Software as a Service (SaaS), Platform as a Service (PaaS), Infrastructure as a Service (IaaS) und Managed Cloud Services (MCS) Vertragsgegenstand sein. Ziffer 2.3.1 ordnet MCS als Leistungen im Zusammenhang mit SaaS, PaaS oder IaaS ein, für die ansonsten der Auftraggeber verantwortlich ist – die AGB nennen als Beispiel dessen Mitwirkungsleistungen –, sowie als weitere Leistungen, etwa Arbeiten zur Herstellung des Zugangs.

Bei kombinierten Modellen weist die Leistungsbeschreibung jede Aufgabe genau einer Partei zu. Ein Sammelbegriff wie „Managed Service“ lässt sonst offen, wer Identitäten verwaltet, Sicherheitsupdates einspielt, Kapazitäten steuert oder Störungen bis zur Anwendungsebene bearbeitet.

Mengengerüst und Service Level messbar machen

Das Mengengerüst bildet die Kalkulationsgrundlage. Je nach Dienst enthält es beispielsweise Nutzergruppen, gleichzeitige Zugriffe, Speicher- und Übertragungsvolumen, Transaktionen, Standorte, Schnittstellen, Supportfälle sowie erwartete Lastspitzen. Das Preisblatt verwendet dieselben Einheiten und trennt Grundentgelt, nutzungsabhängige Vergütung, Einführungsleistungen, Migration, optionale Mengen und Leistungen beim Vertragsende. Diese Beispiele sind frei gewählt; welche Größen erforderlich sind, folgt aus dem konkreten Bedarf.

Eine Verfügbarkeitsquote ohne Messregel ist nicht prüfbar. Der EVB-IT-Kriterienkatalog für Cloudleistungen stellt Felder für Betriebs- und Kernbetriebszeit, Bezugszeitraum, geplante Nichtverfügbarkeit, Messpunkt sowie Reaktions- und Wiederherstellungszeiten bereit. Die Vergabestelle ergänzt den maßgeblichen Übergabepunkt, die betroffenen Funktionen und Nutzer, den Beginn und das Ende einer Ausfallzeit, ausgeschlossene Zeiten, die Messdaten und das Reporting. Bei gestuften Service Levels muss außerdem erkennbar sein, welche Störungsklasse welcher Frist und welcher Rechtsfolge zugeordnet ist.

Migration und Exit als eigene Leistungspakete planen

Für die Eingangsmigration erfasst die Vergabestelle Datenquellen, Qualität, Volumen, Formate, Schnittstellen, Testläufe, Abnahmekriterien und Mitwirkungen. Sie trennt die technische Übertragung von fachlicher Bereinigung und ordnet Fehlerbehandlung sowie Wiederholungen zu. Die Ausschreibung benennt auch, welche Ergebnisse der Auftragnehmer dokumentiert und welche Preise in die Wertung eingehen.

Der Exit beginnt in den Vergabeunterlagen. Ziffer 7.3 der Cloud-AGB sieht den Export von Auftraggeberdaten in einem marktüblichen Austauschformat vor; Ziffer 13 regelt Informationen und vereinbarte Migrationsunterstützung bei Vertragsende. Für den konkreten Auftrag beschreibt die Vergabestelle deshalb exportierbare Daten einschließlich Metadaten und Protokollen, Formate, Schnittstellendokumentation, Schlüsselübergabe, Löschbestätigung, Zeitfenster und Vergütung. Offene Formate und dokumentierte Schnittstellen sind kein Selbstzweck: Sie müssen eine Weiterverwendung durch den Auftraggeber oder einen Nachfolger tatsächlich ermöglichen.

Datenschutz und Informationssicherheit beschreibend einordnen

Verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag, darf der Verantwortliche nach Artikel 28 Absatz 1 DSGVO nur Auftragsverarbeiter mit hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen einsetzen. Weitere Auftragsverarbeiter setzen nach Absatz 2 eine vorherige gesonderte oder allgemeine schriftliche Genehmigung voraus. Absatz 3 verlangt einen Vertrag oder ein anderes Rechtsinstrument nach dem Unionsrecht oder dem Recht der Mitgliedstaaten; die vorgeschriebenen Inhalte und den Regelungsort in den Vergabeunterlagen erläutert die Seite Nachhaltigkeit, Datenschutz und IT-Sicherheit. Die Vergabestelle gleicht Leistungsbeschreibung, Unterauftragnehmer, technische und organisatorische Maßnahmen, Löschung und dieses Rechtsinstrument miteinander ab.

Ziffer 4 der Cloud-AGB sieht als Grundmodell die Speicherung und sonstige Verarbeitung innerhalb der EU und des EWR sowie in der Schweiz vor, sofern für sie ein Angemessenheitsbeschluss nach Artikel 45 DSGVO besteht. Die Regel enthält Ausnahmen: Der Auftraggeber kann in der Administrationskonsole weitere Regionen auswählen; für bestimmte Metadaten gilt eine gesonderte Maßgabe. Soll der Leistungsort enger begrenzt werden, muss dies im Kriterienkatalog eindeutig ausgewählt und mit Supportzugriffen sowie Unterauftragnehmerketten abgestimmt werden.

Der BSI-Kriterienkatalog C5 ermöglicht einen Nachweis über die Kontrollen eines konkreten Cloud-Dienstes durch einen unabhängigen Wirtschaftsprüfer; das BSI ist nach dem Katalog an Prüfung und Berichterstattung nicht beteiligt. Die Vergabestelle bezeichnet Dienst, Prüfungsart, Prüfungszeitraum, einzubeziehende Unterauftragnehmer und den Umgang mit Abweichungen. Nach der BSI-FAQ ist eine C5-Testierung keine Zertifizierung des BSI und allein kein hinreichender Nachweis für die Erfüllung des BSI-Mindeststandards zur Nutzung externer Cloud-Dienste.

Adressat des Mindeststandards ist der Bund: Nach § 44 Absatz 1 BSIG müssen die Einrichtungen der Bundesverwaltung die Mindestanforderungen aus IT-Grundschutz und Mindeststandards erfüllen; wer dazu zählt, bestimmt § 29 Absatz 1 BSIG für die Bundesebene. Für Länder und Kommunen folgt aus dieser Vorschrift keine Anwendungspflicht; sie können einen C5-Nachweis gleichwohl als auftragsbezogene Anforderung fordern. Schutzbedarf, kundenseitige Maßnahmen und weitere einschlägige Vorgaben bleiben gesondert zu bestimmen.

Digitale Souveränität in Kriterien übersetzen

Digitale Souveränität wird erst bewertbar, wenn die Vergabestelle ein Beschaffungsziel mit einer Angebotsangabe und einem Maßstab verbindet. Auftragsbezogene Merkmale können etwa Datenportabilität, dokumentierte Schnittstellen, Übertragbarkeit von Konfigurationen, administrative Steuerungsmöglichkeiten oder die Abhängigkeit zentraler Funktionen von proprietären Zusatzdiensten betreffen. Mindestanforderungen sichern die benötigte Wechsel- und Betriebsfähigkeit; Zuschlagskriterien bewerten unterscheidbare Mehrleistungen. Als vierte Ebene kommen Ausführungsbedingungen in Betracht: § 128 Absatz 2 Satz 3 GWB nennt Belange der Versorgungssicherheit oder der digitalen Souveränität seit dem 1. Juli 2026 in einer beispielhaften Aufzählung (Nachhaltigkeit, Datenschutz und IT-Sicherheit). Die Vergabestelle vermeidet Doppelbewertungen und prüft die für die jeweilige Stelle verlangte Verbindung zum Auftragsgegenstand.

Cloud-Telefonie als eigener Ausschreibungsgegenstand

Bei einer Cloud-Telefonanlage verbindet die Vergabestelle Cloudbetrieb und Telekommunikationsleistung. Die Leistungsbeschreibung ordnet Bereitstellung, Rufnummernübernahme, Übergang vom Bestandssystem, Netzanschluss, Administration und Störungsbearbeitung den Beteiligten zu. Technische Netz- und Telekommunikationsfragen behandelt die Seite Netzwerk und Telekommunikation ausschreiben; die Cloud-Anforderungen zu Leistungsort, Verfügbarkeit, Datenverarbeitung und Exit bleiben daneben eigenständig zu beschreiben.

Häufige Fehler

• Verfügbarkeit bleibt eine Prozentangabe. Betriebszeit, Messpunkt, Bezugszeitraum, Ausfallbegriff und Messdaten fehlen; dadurch können Bieter unterschiedliche Leistungen kalkulieren.
• Ein Exit-Konzept fehlt. Exportformate, Metadaten, Schnittstellendokumentation, Fristen und Preise werden erst bei Vertragsende erörtert, obwohl der Wettbewerb dann bereits beendet ist.
• Proprietäre Dienste werden ungeprüft vorausgesetzt. Die Leistungsbeschreibung übernimmt Produktnamen oder plattformspezifische Funktionen, ohne den Bedarf funktional zu beschreiben oder die Voraussetzungen eines Produktverweises zu prüfen.
• C5 wird als Anbieterzertifikat verlangt. Der Prüfgegenstand ist ein Cloud-Dienst; Bericht, Zeitraum, Umfang und Abweichungen müssen zum ausgeschriebenen Dienst passen.
• Eignung und Zuschlag werden vermischt. Unternehmensreferenzen und die Qualität des angebotenen Migrationskonzepts beantworten unterschiedliche Fragen und gehören auf unterschiedliche Wertungsstufen.
• Der Leistungsort bleibt widersprüchlich. Kriterienkatalog, Vereinbarung zur Auftragsverarbeitung, Administrationsoptionen und Unterauftragnehmerliste nennen nicht dieselben zulässigen Orte und Zugriffe.

Häufige Fragen

Wie lässt sich eine Cloud-Telefonanlage ausschreiben?

Die Vergabestelle beginnt mit den Kommunikationsprozessen und einem Mengengerüst statt mit einem Produktnamen. Sie beschreibt Nutzer, Rufnummern, Standorte, gleichzeitige Gespräche, Endgeräte, Integrationen, Migration und Support als auftragsbezogene Anforderungen. Für den Cloudanteil kommen messbare Verfügbarkeit, Datenverarbeitung, Administration und Exit hinzu. Bei der Vertrags- und Losstruktur grenzt die Vergabestelle Telekommunikations-, Netz-, Endgeräte- und Cloudleistungen anhand des konkreten Leistungsumfangs ab.

Welcher EVB-IT-Vertrag passt zu SaaS und Hosting?

Die amtlichen Cloud-Unterlagen erfassen SaaS, PaaS, IaaS und ergänzende Managed Cloud Services. Ob sie auch für ein als „Hosting“ bezeichnetes Vorhaben passen, hängt von den tatsächlich geschuldeten Leistungen und Verantwortungsgrenzen ab, nicht von der Projektbezeichnung. Einführungs-, Entwicklungs- oder Systemleistungen können eine Abgrenzung zu anderen EVB-IT-Typen erfordern. Die Seite EVB-IT Cloud erläutert diese Vertragstypwahl, ohne die Leistungsbeschreibung der Ausschreibung zu ersetzen.

Wie lässt sich digitale Souveränität bei einer Cloud-Vergabe bewerten?

Die Vergabestelle zerlegt das Ziel in auftragsbezogene und überprüfbare Merkmale. Bewertbar sind beispielsweise die angebotene Portabilität von Daten und Konfigurationen, die Offenheit dokumentierter Schnittstellen oder der Aufwand eines Anbieterwechsels, wenn Anforderungen, Angebotsangaben und Bewertungsmaßstab vorab feststehen. Da § 127 Absatz 4 GWB Zuschlagskriterien verlangt, die eine wirksame Überprüfung zulassen, trägt eine allgemeine Selbstauskunft des Bieters zur „Souveränität“ für sich genommen keinen Bewertungsmaßstab.