Seit dem 02.03.2022 stehen die neuen EVB-IT Cloud Verträge zur Verfügung – Was sind die Auswirkungen?

Die neuen vertraglichen Grundlagen wurden durch das Bundesministerium des Innern und für Heimat (BMI) Anfang März 2022 für die Vergabe von Cloud-Leistungen durch die öffentliche Verwaltung im Anschluss an den Beschluss des IT-Planungsrates Mitte Februar 2022 veröffentlicht. Der IT-Planungsgrat empfiehlt seinen Mitgliedern nun die Verwendung der neuen EVB-IT Cloud.

Dadurch, dass die EVB-IT Musterverträge zwischen Vertretern des Bundes und der Privatwirtschaft (Bitkom) ausgehandelt und abgestimmt wurden, ergibt sich der Vorteil, dass die öffentliche Hand als Auftraggeber im Rahmen von Ausschreibungen und Vergaben davon ausgehen kann, dass verwendete EVB IT Verträge bei den Bietern, also regelmäßig den privaten Unternehmen, grundsätzlich akzeptiert werden.

Die EVB-IT Cloud erweitern nun seit März 2022 die bisher vorliegenden 10 bestehenden EVB-IT für IT-Beschaffungen und vergrößern so die Möglichkeiten im Rahmen von Ausschreibungen und Vergaben für öffentliche Auftraggeber und die Öffentliche Hand.

Für die Bundesverwaltung, Landesverwaltung, Behörden, Kreise, Städte und Kommunen wird es nun zukünftig vertraglich einfacher, Cloud-Leistungen auszuschreiben.

Trotzdem hat dies Auswirkungen sowohl für den Einkauf und auch für die Vertragsgestaltung.

Denn ab bestimmten Schwellenwerten ist das EU-Vergaberecht einschlägig (4. Teil des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) sowie Vergabeverordnung – VgV). Unterhalb der EU-Schwellenwerte gelten über Haushaltsrecht vergleichbare Vorschriften, wie beispielsweise § 55 BHO und regelmäßig auch die Vorschriften der UVgO.

Im Folgenden Beitrag wird dargestellt, was durch die EVB-IT-Cloud-Bedingungen neu ist und was bisher galt:

Was sind EVB-IT?

Für den Bereich der IT-Beschaffung existiert seit deshalb bereits den Siebzigerjahren eine umfangreiche Sammlung an Musterverträgen, die von öffentlichen Auftraggebern in der Regel bei Vergabeverfahren anzuwenden sind.

Vertragsbedingungen der öffentlichen Hand zur Beschaffung von IT-Leistungen sind vorformulierte Einkaufsbedingungen und unterliegen hinsichtlich ihrer Einbeziehung und

Wirksamkeit den  Vorschriften des Bürgerlichen Gesetzbuches (BGB) zu Allgemeinen Geschäftsbedingungen.

Diese Verträge für den IT-Bereich sind für die Verwaltung, Behörden, Kommunen und Städte ein zentrales Hilfsmittel. Durch diese Musterverträge wird für eine Vielzahl von IT-Vergabeverfahren die vertragliche Basis geschaffen.

Dabei sind 2 Gruppen von Musterverträgen im Bereich der Informationstechnologie zu unterscheiden:

1. Die besonderen Vertragsbedingungen für die Beschaffung von DV-Leistungen (BVB) einschließlich der zugehörigen Vertragsdeckblätter und die
2. ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen (EVB-IT)

Ursprünglich wurden die BVB als Einkaufsbedingungen der öffentlichen Hand bei der Beschaffung von Datenverarbeitungsanlagen und -geräten seit dem Jahr 1972 eingeführt.

Im Laufe der Zeit wurden die nicht mehr zeitgemäßen BVB bis auf den Bereich Miete und Planung durch die moderneren EVB-IT fast vollständig ersetzt.

Die EVB-IT werden, wie bereits seinerzeit auch die BVB, mit den Interessenverbänden der IT-Wirtschaft (derzeit Bitkom) verhandelt und einvernehmlich veröffentlicht.

Die EVB-IT und die BVB ergänzen die VOL/B. Ihre Anwendung ist für Bundesbehörden gemäß Verwaltungsvorschrift zu § 55 BHO verbindlich. Auf Bundesebene sind die EVB-IT daher regelmäßig zu verwenden.

Auch die einzelnen Bundesländer sehen zum großen Teil identische oder ähnliche Anwendungsverpflichtungen vor.

In der Regel sind deshalb auch EVB-IT verpflichtend zu verwenden und müssen im Rahmen der Ausschreibung durch den Auftraggeber rechtlich wirksam einbezogen werden.

Die BHO und die meisten LHO in den Ausführungsvorschriften zu § 55 BHO sehen vor, dass bei Vergabe von IT-Leistungen die EVB-IT und BVB herangezogen werden sollen.

Wenn der öffentliche Auftraggeber von der Verwendung, insbesondere der EVB-IT, abweichen möchte, so hat er dies zu begründen und zu dokumentieren, insbesondere wenn die Öffentliche Hand von der Anwendung der EVB-IT absieht.

Das jeweilige Vertragswerk setzt sich dabei aus einem Muster-Vertragsformular und zugehörigen Allgemeinen Geschäftsbedingungen (insbesondere EVB-IT AGB), die einer Inhaltskontrolle unterliege und weiteren Formularen zusammen. Die jeweiligen Fassungen können dabei auf der Internetseite des Beauftragten der Bundesregierung für Informationstechnik heruntergeladen werden, so dass die Möglichkeit des Downloads der EVB-IT-Verträge besteht.

Im Rahmen der beabsichtigten Vergabe stellt sich die Frage, wann welcher Vertrag anzuwenden ist, insbesondere beim Thema Cloud.

Bisherige Möglichkeiten der Vergabe von Cloud-Leistungen im Rahmen von Ausschreibungen

Bei der Vergabe von Cloud-Diensten gab es für die öffentliche Hand und damit für den Auftraggeber bisher zwei Möglichkeiten, cloud-spezifischen Regelungen zu berücksichtigen:

1. Anpassung bestehender EVB-IT-Verträge an cloud-spezifische Besonderheiten?

Die erste Möglichkeit bestand bislang darin, auf einem bestehenden EVB-IT aufzubauen und diese an Cloud-spezifische Regelungen im jeweiligen Ausschreibungsprojekt anzupassen.

 

2. Individuelle Erstellung des Cloud-Vertrages?

Die zweite Möglichkeit bestand bisher darin, den Cloud-Vertrag individuell zu erstellen und nicht auf die bestehenden EVB-IT zurückzugreifen.

In diesem Fall war und ist auch weiterhin zu klären, welcher EVB-IT überhaupt für die jeweilige Ausschreibung in Frage kommt:

a. Welche EVB-IT-Vetragstypen gibt es?

• EVB-IT Kauf (anwendbar bei bei Kauf von Hardware, ggf. mit der Überlassung von Standardsoftware gegen Einmalvergütung zur unbefristeten Nutzung).
• EVB-IT Dienstleistung (anwendbar, wenn der Schwerpunkt bei der Erbringung von Diensten liegt. Dies können beispielsweise Schulungsdienstleistungen oder Beratungsdienstleistungen sein).
• EVB-IT Erstellung (anwendbar, wenn es um die Erstellung oder Anpassung von Software auf Werkvertragsbasis geht. Die anschließende Pflege der Software nach Abnahme oder auch die Weiterentwicklung und Anpassung der Software kann hier ebenfalls berücksichtigt werden).
• EVB-IT Überlassung Typ A (anwendbar bei Überlassung von Standardsoftware gegen Einmalvergütung zur unbefristeten Nutzung, nicht jedoch bei zusätzlicher Werkvertragsleistung, die beispielsweise die Integration in eine bestehende Umgebung, die Parametrisierung oder die Anpassung der Standardsoftware an die Bedürfnisse des Auftraggebers (sog. Customizing) zum Gegenstand hat).
• EVB-IT Überlassung Typ B (anwendbar bei Überlassung von Standardsoftware gegen periodische Vergütung zur befristeten Nutzung).
• EVB-IT Instandhaltung (anwendbar ausschließlich bei Hardware, unabhängig ob Pauschalvergütung oder Aufwandsvergütung besteht, und betrifft insbesondere Wartungs- und Instandsetzungsleistungen).
• EVB-IT Service (anwendbar bei Wartungs- und Serviceleistungen für ein definiertes IT-System mit eventuellen Erweiterungen).
• EVB-IT Pflege S (anwendbar bei Softwarepflegeleistungen an Standardsoftware, z.B. zur Mängelbehebung, Durchführung von Updates, Upgrades, new Releases oder sonstige Supportleistungen, wie Installation oder Hotlinesupport oder notwendiger Anpassung nach Gesetzesänderungen).
• EVB-IT System (anwendbar insbesondere bei Erstellung eines Gesamt-IT-Systems bestehend aus Hardware und (Individual-)Software (Miete und Kauf) mit der Möglichkeit der Pflege und Dokumentation).
• EVB-IT Systemlieferung (anwendbar bei Lieferung eines IT-Systems aus Standard-Systemkomponenten mit nur geringem Customizing. Dieser Vertrag unterliegt deshalb nicht einheitlich dem Werkvertragsrecht, sondern ist dem Kaufrecht zuzuordnen und ist daher nicht bei der Erstellung von Individualsoftware anzuwenden. In diesem Fall ist regelmäßig der richtige Vertragstyp nicht der EVB-IT Systemlieferung, sondern der EVB-IT Systemvertrag).

Soweit Vertragstypen noch fehlen oder den vorstehenden EVB-IT nicht zugeordnet werden können (z.B. bei agilen Softwareentwicklungsverträgen), ist zu prüfen, ob dann entsprechende Verträge noch auf Grundlage der BVB abgeschlossen werden müssen oder ob ein Individualvertrag erstellt werden kann.

Für die Thematik Cloud soll der neue EVB-IT-Cloud nun die bisher bestehende vertragliche Lücke schließen.

 

b. Was sind Cloud-Services und welche Cloud-Dienste sind typisch im Rahmen der Beschaffung durch die Öffentliche Hand?

Zu Cloud Service Providing oder Cloud Services zählen IT-Leistungen, bei denen sich die Software oder auch die Hardware nicht beim Auftraggeber (z.B. on Promise oder in einem eigenen Rechenzentrum) befindet, sondern beim Auftragnehmer, hier also dem Cloud-Anbieter.

Cloud Service Providing bzw.Cloud Services haben den Vorteil, dass Dienste durch Outsourcing extern ausgelagert werden und damit für die Verwaltung und den öffentlichen Bereich häufig Kosten gespart werden können. Eine Kostenersparnis ergibt sich dabei insbesondere im Bereich von Lizenzen und im Bereich von Hyperscaling.

Ein Nachteil kann dagegen sein, dass Cloud Service Providing bzw.Cloud Services unter Umständen mit einem gewissen Kontroll- und Zugriffsverlust im Bereich der Daten verbunden sein kann.

Dies kann beispielsweise bei kritischen Daten, wie Sozialdaten, relevant werden und bei der Vertragsgestaltung entsprechend zu berücksichtigen sein.

Auch datenschutzrechtzliche Risiken können mit einer Verlagerung von Diensten und Daten in die Cloud verbunden sein, insbesondere seitdem das sog. Privacy Shield vom Europäischen Gerichtshof für ungültig erklärt worden ist. Vor allem bei Cloud-Anbietern mit amerikanischen Mutterkonzernen sind daher höhere datenschutzrechtliche Hürden und Anforderungen zu beachten, trotz der aktualisierten Standardvertragsklauseln der EU.

Dennoch ist zu erwarten, dass Cloud-Computing eine maßgebliche Zukunft im IT-Bereich sein wird und bereits aufgrund von Lizenzmodellen der Softwareanbieter neben privatwirtschaftlichen Unternehmen auch die Verwaltung und damit insbesondere auch Behörden, Kommunen und Städte auf Cloud-Dienste umstellen werden müssen.

Die Frage der Umstellung kann sich beispielsweise dann stellen, bevor neue (ggf. kostspielige) Lizenzen für bestehende Server und Serverumgebungen von der Verwaltung angeschafft werden müssen oder wenn Rahmenverträge auslaufen.

c. Typischerweise kommen folgende Cloud-Dienste in Betracht:

•  IaaS

IaaS steht für Infrastructure as a Service und bezeichnet, anders als beim Kauf von Rechnerinfrastruktur, regelmäßig die Anmietung von externen Serverkapazitäten bei einem Cloud-Anbieter.

Es werden grundsätzlich zwei Fallkonstellationen unterschieden:

1. IaaS ohne Überlassung von Standardsoftware
2. IaaS einschl. Überlassung von Standardsoftware

• SaaS

SaaS steht für Software as a Service und bezeichnet den Fall, dass die IT-Infrastruktur bei einem externen IT-Dienstleister betrieben und vom Kunden als Service genutzt wird.

Die Nutzung erfolgt regelmäßig über eine Internetanbindung und durch einen entsprechenden Internetfähigen Computer und mittels Zugriff über einen auf dem Computer installierten Browser. Dies kann grundsätzlich jede durch eine Internetanbindung nutzbare Software betreffen, wie beispielsweise Textverarbeitung, Mailprogramme, Buchhaltungssoftware, Terminverwaltung, Open Source Programme etc.

• ASP

ASP steht für Application Service Providing und bezeichnet letztlich quasi einen Unterfall des SaaS. Beim ASP erhält der Auftraggeber regelmäßig eine feste physikalische Zuordnung im Bereich der Infrastruktur. Anders als bei sonstigen Cloud-Diensten werden dem Auftraggeber also in der Regel keine virtuellen Servereinheiten zugeordnet. Auch beim ASP erhält der Auftraggeber dabei keinen Besitz an Hardware oder Software, sondern lediglich eine Gebrauchsüberlassung. Nach der Rechtsprechung des Bundesgerichtshofs ist daher regelmäßig als Vertragstypus das Mietrecht in diesen Fällen anwendbar. Denn es wird kein Besitz an verkörperten Computerprogrammen erlangt, sondern Hard- und Software sind für den jeweiligen ASP-Kunden nur über das Internet zugänglich.

• PaaS

PaaS steht für Plattform as a Service, wodurch eine Laufzeitumgebung oder eine Entwicklungsumgebung als Dienst on demand zur Verfügung gestellt wird. Dabei hat der Nutzer selbst keinen Zugriff auf das Betriebssystem, die Hardware oder sonstige Komponenten. Der Nutzer hat aber die Möglichkeit, auf der Plattform eigene Anwendungen laufen zu lassen. Regelmäßig bietet der PaaS-Anbieter für die Entwicklung spezielle Softwarekomponenten an, beispielsweise zur Programmierung von Programmen, Diensten und ggf. auch Apps.

 

Neu: EVB-IT Cloud seit Anfang März 2022

Die nun neu eingeführten EVB-IT Cloud bestehen aus:

• Vertragsmuster
• Einkaufsbedingungen (AGB)
• Fachlichem Kriterienkatalog
• eine Anlage zur Einbeziehung AGB von Anbietern.

Der Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue) spezifiziert dabei Mindestanforderungen an sicheres Cloud Computing und richtet sich in erster Linie an professionelle Cloud-Anbieter sowie deren Prüfer und Kunden.

Cloud-Vertrag – was ist neu?

Neu ist , dass die EVB-IT Cloud, anders als die sonstigen EVB-IT, als Anlage nun auftragnehmerseitige AGB (Anhang I und II) mit aufgenommen werden können.

Dadurch wird eine Öffnung der EVB-IT Cloud für AGB der Bieter, also der Auftragnehmer, ermöglicht.

Im Zusammenhang mit den EVB-IT Cloud wird außerdem ein starker Fokus auf die Themen Datenschutz und IT Sicherheit gelegt.

Der Auftragnehmer muss beispielsweise zukünftig eine Erklärung dahingehend abgeben, dass als Bieter über eine ausreichende Dokumentation zur Einhaltung der jeweiligen gesetzlichen Anforderungen verfügt und der datenschutzrechtlichen Rechenschaftspflicht nachkommen kann.

Dies wird auch die Anforderungen an die Bieter im Bereich der Cloud-Leistungen steigern, insbesondere müssen sich potentielle Bieter zukünftig noch stärker datenschutzkonform aufstellen, bevor sie erfolgreich an einer Ausschreibung teilnehmen können.

Die EVB-IT Cloud sollen 18 Monate nach der Veröffentlichung einer erneuten Prüfung unterzogen werden und ggf. angepasst werden. Dabei können Erfahrungen und Anregungen an das BMI übermittelt werden.

 

Was bedeutet dies nun für zukünftige Vergaben im Bereich Cloud?

Die neuen EVB-IT Cloud werden zu zukünftige Vergabeprojekte sowohl für Auftraggeber als auch für Bieter bzw. Auftragnehmer neue Themenstellungen mit sich bringen.

Auswirkungen der EVB-IT Cloud für die Öffentliche Hand / Auftraggeber

Vor Ausschreibungen sollten Auftraggeber (insbesondere Verwaltung, Kommunen, Städte) prüfen, ob die neuen EVB-IT für die beabsichtigte Ausschreibung im Rahmen der Vergabe in Betracht kommen.

Wenn die EVB-IT für die jeweilige Ausschreibung geeignet sind sollte geprüft werden, ob Textteile eventuell zu löschen oder anzupassen sind, beispielsweise um die Textmenge der EVB-IT zu verringern und die Übersichtlichkeit zu verbessern und damit eine höhere Wahrscheinlichkeit für Angebotsabgaben zu erhalten.

Im Einzelfall kann es sinnvoll sein, zu prüfen, ob dadurch ein individueller und passgenauerer Vertrag für die beabsichtigte Ausschreibung erreicht werden kann, beispielsweise durch Anpassungsklauseln bei Änderungen von Leistungen oder Kosten. Hier können innovative Ansätze oftmals mit eingebracht werden und dadurch die Vergabe noch passgenauer für die Verwaltung oder Behörde gestaltet werden. Auch eine Beschleunigung von Vergaben im Bereich Cloud ist damit möglich.

Im Einzelfall kann hierzu auch eine vorherige Markterkundung vor Durchführung der eigentlichen Vergabe sinnvoll sein, damit die Chance für Angebote durch Bieter für die eigentliche Ausschreibung erhöht wird. Dadurch kann der Gefahr von Zeitverlusten, beispielsweise infolge von einer Wiederholung der Ausschreibung häufig effektiv entgegengewirkt werden.

Bei der Prüfung der EVB-IT Cloud für das jeweilige Vergabeprojekt kann sich eine externe anwaltliche Unterstützung daher für die Verwaltung lohnen, um einen optimalen Ablauf der Ausschreibung zu gewährleisten.

 

Auswirkungen der EVB-IT Cloud für Unternehmen / Bieter

Unternehmen sollten sich als Bieter und potentielle Auftragnehmer mit den neuen EVB-IT Cloud befassen und sich auf die neuen vertraglichen Regelungen einstellen.

Für Bieter bietet es sich dabei eine genaue Prüfung dahingehend an, ob Anforderungen seitens des Auftraggebers, also der Verwaltung, Behörde, Kommune oder Stadt auch tatsächlich sinnvoll vorgegeben werden oder, ob Vorgaben evtl. sogar gegen vergaberechtliche Vorgaben verstoßen und damit als rechtswidrig einzustufen sind.

Ist dies nicht der Fall und bleiben Unklarheiten so sollten Konkretisierungen und Klarstellungen durch die Stellung von entsprechenden Bieterfragen innerhalb der vorgegebenen Fristen erbeten werden.

Im Einzelfall kann auch eine freundlich formulierte Rüge sinnvoll sein, die dann aber vergaberechtskonform gestellt werden muss, damit sich ein Bieter im weiteren Verlauf der Ausschreibung dann auch rechtswirksam darauf berufen kann.

 

Multi-Cloud-Strategien

Zukünftig sollte in die Überlegungen der Beschaffung außerdem die Thematik redundanter Systeme und Resillienz der Cloud-Systeme mit einbezogen werden.

Denn sich nur auf einen Anbieter zu verlassen, kann besonders bei der Cloud-Nutzung zu Problemen führen, gerade bei der Notwendigkeit von Hochverfügbarkeitssystemen oder auch sensiblen Daten, wie Versicherungsdaten oder Gesundheitsdaten. Hier kann es insbesondere dann zu Problemen kommen, wenn beispielsweise aufgrund technischer Probleme der Zugriff auf die Daten temporär oder dauerhaft nicht möglich ist oder Konten gesperrt werden und für solche Fälle im Vorfeld keine Alternativen geregelt sind. Multi-Cloud-Strategien sind daher bei Perspektiven von Cloud-Technologien im öffentlichen Sektor mit zu berücksichtigen.

Gerade in diesem Bereich, ebenso wie im Bereich der Auslagerung und dem Outsourcing von bestehenden On-Premise-Lösungen in die Cloud ist eine unterstützende externe anwaltliche Beratung sinnvoll, um von vornherein bei Ausschreibungen und Vergaben im Zusammenhang mit der Cloud die richtigen Weichenstellungen vorzunehmen.

Auch die IT-Sicherheit bzw. die IT-Security bzw. die Absicherung von Cloud-Systemen und die damit zusammenhängenden rechtlichen Fragen spielen eine immer wichtigere Rolle.

FAZIT:

Die EVB-IT Cloud erweitern nun endlich die bereits vorliegenden EVB-IT Vertragsmuster für die Durchführungen von IT-Beschaffungen durch die öffentliche Hand im Bereich der Cloud-Leistungen.

Mit den ergänzenden Vertragsbedingungen für die Beschaffung von Cloudleistungen (EVB-IT Cloud) können die hohen Anforderungen der öffentlichen Hand an Leistungsqualität, Daten- und IT-Sicherheit sowie Kontrollrechte bei der Nutzung von Cloudleistung nun besser berücksichtigt und im jeweiligen Vergabeverfahren evaluiert werden.

Die neuen EVB-IT Cloud machen es in Vergabeprojekten, die Cloud-Leistungen zum Gegenstand haben erforderlich, im Einzelfall sorgfältig zu prüfen, welche Bedingungen zu der konkreten Vertragsgestaltung passen. Dabei können sich unter anderem bei der nun möglichen Verwendung von Auftragnehmer-AGB oder auch von Anlagen Besonderheiten ergeben, die rechtlich geprüft und im Einzelfall abgesichert werden sollten.

Im Einzelfall kann auch weiterhin ein Individualvertrag notwendig sein.

Durch die neuen EVB-IT Cloud steht nun ein weiteres zukunftsweisendes Instrument für die öffentlichen Auftraggeber und für die öffentlichen Beschaffungsstellen in Bund, Ländern und Kommunen zur Verfügung.

Die neuen EVB-IT Cloud können daher Vergabeprojekte beschleunigen und präziser sowie innovativer vertraglich gestalten.

Dadurch besteht die Chance für eine zukunftsweisende Modernisierung der öffentlichen Verwaltung im Bereich der Cloud-Services und damit auch für die Digitalisierung insgesamt.