Microsoft Enterprise Agreement Rahmenvertrag für Lizenzprodukte

Die Ausschreibung umfasst einen Rahmenvertrag für ein Microsoft Enterprise Agreement 2025, bei dem diverse Datenschutzanforderungen im Vordergrund stehen. Ein wesentlicher Punkt ist die Protokollierung, wer wann welche Änderungen an personenbezogenen Daten vorgenommen hat, wobei diese Protokolle nicht löschbar und leicht auswertbar sein müssen. Zudem wird eine automatisierte Löschung von Daten nach Uservorgaben gefordert. Die Nutzung der Anwendung bzw. des Services muss über ein Berechtigungssystem gesteuert werden, wobei das Least Privilege/Need-to-know Prinzip konsequent umgesetzt werden muss. Ein Ausschlusskriterium ist, dass Datenverarbeitung, Hosting und Support ausschließlich in Deutschland bzw. innerhalb der EU-DSGVO stattfinden dürfen. Die Authentifizierung der Benutzer muss mindestens mit Username/Kennwort oder einer stärkeren Methode erfolgen, idealerweise über Active Directory/IAM/LDAPS. Alle Passwörter müssen ausreichend komplex sein und nach mehreren Fehlversuchen gesperrt werden. Für privilegierte Tätigkeiten sind separate Admin-Accounts einzurichten. Eine sichere Authentisierung, idealerweise 2-Faktor-Authentifizierung, ist für privilegierte User erforderlich. Die Anwendung muss eine Versionierung von Datensätzen unterstützen, um Änderungen nachvollziehen zu können. Es muss möglich sein, sämtliche Daten einer Person automatisiert zu identifizieren (Art. 15 DSGVO). Die Mandantenfähigkeit innerhalb der Anwendungen muss gewährleistet sein. Entwicklungs-, Test- und Produktivumgebung sind getrennt zu betreiben, und Updates/Patches sind vor der Produktivumgebung zu testen. Regelmäßige Patches/Updates sind bereitzustellen, und ein strukturiertes Anwendungs- und Patch-Management ist zu implementieren. Der Export aller (personenbezogenen) Daten muss möglich sein, um Art. 20 DSGVO zu erfüllen, idealerweise in Standardformaten oder CSV/XML. Es wird eine Zusicherung gefordert, dass die Grundeinstellung des Services dem Prinzip "Privacy by Default" entspricht. Eine sichere Datenverschlüsselung für alle gespeicherten personenbezogenen Daten ist erforderlich, ebenso wie eine sichere Verschlüsselung aller Übertragungswege. Kategorien der zu verarbeitenden Daten sind zur Unterstützung beim Führen des Verzeichnisses nach Art. 30 DSGVO bereitzustellen. Wartungsarbeiten, Tests und Support sollen grundsätzlich per Fernwartung oder vor Ort stattfinden, wobei Datenübermittlungen zum Auftragnehmer pseudonymisiert erfolgen sollen. Der Datenaustausch in digitaler Form soll über Sharefile von kommunit erfolgen, wobei die Daten verschlüsselt hochzuladen sind. Wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen ist, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zu schließen. Die technischen und organisatorischen Schutzmaßnahmen entsprechend Art. 28 DSGVO sind vor Vertragsschluss bereitzustellen, inklusive gültiger Zertifikate (ISO 2700X, BSI-Grundschutz). Falls ein Auftragsverarbeitungsvertrag erforderlich ist, ist eine Liste der eingesetzten (Sub-) Dienstleister mit Beschreibung des Einsatzfeldes und Dokumentation der Sonderrechte auf Daten oder Systeme bereitzustellen. Es wird eine Zusicherung benötigt, dass alle Sub-Dienstleister einen vergleichbar hohen Datenschutz- und Informationssicherheitsstandard vorweisen können.