Nachricht:

Sehr geehrte Damen und Herren,

wir bitten um Beantwortung der folgenden Bewerberfrage:

Bezug: Agenturhonorar p.a.
Ergänzend zu unserer Anfrage vom 11.8. zur Budgethöhe des Auftrags bitten wir noch um eine Auskunft bzw. Indikation des jährlichen zu erwartenden Agenturhonorars für die zu erbringenden Leistungen.
Die Angaben können gerne auf der Basis von Erfahrungswerten der letzten Jahre erfolgen unter Berücksichtigung von möglichen, erforderlichen Kostenreduzierungen durch neue/aktuelle Gesetzgebungen durch das das Bundesministerium für Gesundheit.

Zum Hintergrund:
Da die von Ihnen definierten Anforderungen an die IT-Systeme zu Investitionskosten führen wird, welche nicht erstattet werden, muss die Wirtschaftlichkeit dieser Kosten in Abhängigkeit vom zu erwartenden Honorar über die Vertragslaufzeit beurteilt werden, um damit eine Entscheidung zur Teilnahme treffen zu können.

Vielen Dank für Ihre Antwort.

---------------

Antworten der Vergabestelle:

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir hiermit gerne beantworten.

Der geschätzte Gesamtauftragswert von 7.422.675,88 EUR (ohne MwSt.) bezieht sich auf die maximale mögliche Laufzeit von 72 Monaten (24 Monate Grundlaufzeit + 4 optionale Verlängerungen à 12 Monate).

Rechnerisch ergibt sich daraus ein durchschnittlicher jährlicher Wert von ca. 1.237.113,00 EUR.

Wichtige Hinweise:

Es handelt sich um eine Schätzung gem. § 3 Abs. 1 VgV und Art. 5 Richtlinie 2014/24/EU.

Es besteht kein Anspruch auf eine Mindestabnahme oder eine bestimmte jährliche Vergütung.

Die Angabe dient ausschließlich der Orientierung und ersetzt keine detaillierte Kalkulation durch die Bieter.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Sehr geehrte Damen und Herren,

vielen Dank für die Bereitstellung des ausführlichen Fragenkataloges sowie auch für die Beantwortung unserer Rückfragen.

Ergänzend hierzu bitten wir um Beantwortung der nachfolgenden Fragen:

Frage 1:
EU-Veröffentlichung Pos. 2.1.3. Wert
"Geschätzter Wert ohne MwSt.: 7 422 675,88 EUR"
Wir bitten hierzu um folgende Auskünfte:
1a) Auf welchen Zeitraum bezieht sich diese Budgetangabe?

1b) Welche Kostenarten sind hierin enthalten, wie bspw.: Agenturkosten, Produktions- und Umsetzungskosten, Social-Media-Kosten (Lizenzrechte o.ä.), technische Kosten

1c) Beruht die o.a. Budgetangabe auf bisherigen Budgetwerten oder ist in dieser Angabe bereits die gesetzlich, erforderliche Kostenreduzierung durch das Beitragssatzstabilisierungsgesetz berücksichtigt?
Falls nicht, können Sie eine Auskunft erteilen, welche Auswirkungen die neue Gesetzgebund auf das Gesamtbudget der Leistungen "Lead-Agentur" haben wird?

Frage 2:
Fragebogen zur Eignungspruefung im Teilnahmewettbewerb

Stellen Sie aufgrund der vielfältigen Informationen bzw. Änderungen, welche sich aus den Bewerberfragen ergeben eine aktualisierte Version der Datei "Fragebogen zur Eignungspruefung im Teilnahmewettbewerb" zur Verfügung, in welcher die Formulierungen an die Ausschlusskriterien in Zeile 4-6 an die geänderten Bedingungen angepasst sind?
Dies halten wir für zwingend erforderlich, da die Beantwortung zu diesen Kriterien lediglich mit "erfüllt" oder "nicht erfüllt" angegeben werden können.
Ebenfalls können keine Kommentare hierzu ergänzt werden, wie bspw. "Cloud-Dienste nicht erforderlich, da diese nicht Bestandteil der Leistungserbringung sein werden", o.ä.

Frage 3:
Wird es aufgrund Ihrer Antworten zu den Bewerberfagen eine aktualisierte Leistungsbeschreibung im Verlauf des Verfahrens geben?

ANFRAGE 4:
Aufgrund der sehr umfangreichen Bewerberfragen (Stand 11.8.: 38 Fragen / 22 Seiten Text) sowie der hieraus resultierenden umfangreichen und zeitintensiven Überprüfung durch unsere IT-Abteilung bzw. Datenschutzbeauftragten bitten wir um Fristverlängerung zur Einreichung der Teilnahmeanträge um mindestens 14 Tage.
Begründung:
Erst nach erfolgter Überprüfung sowie Evaluierung möglicher Kosten, die im Zusammenhang mit der Erfüllung der Anforderungen stehen, kann durch unsere Geschäftsführung entschieden werden, dass wir uns an Ihrem Ausschreibungsverfahren beteiligen können.

Vielen Dank für Ihre Antworten bzw. auch die Verlängerung der Teilnahmefrist.

---------------

Antworten der Vergabestelle:

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir hiermit gerne beantworten.

Zu Frage 1:
a) Der geschätzte Auftragswert bezieht sich auf die maximal mögliche Laufzeit, also 24 Monate + maximal 4 mögliche Verlängerungen um jeweils 12 Monate (also insgesamt 72 Monate). Es handelt sich um einen geschätzten Wert, es besteht kein Anspruch auf eine Mindestabnahme.

b) In diesem Wert sind alle Kosten, welche an die Leadagentur vergütet, werden enthalten. Dies beinhaltet insbesondere:
- Agenturkosten,
- Produktions- und Umsetzungskosten,
- Social-Media-Kosten*
- technische Kosten
sowie auch alle Fremdkosten, welche über die Agentur abgerechnet werden. Hinweis: Bei den Fremdkosten sind wir von einem Anteil von ca. 12% ausgegangen.

*Abgrenzung: Die Leistungen der Mediaagentur (inkl. deren Fremdkosten) sind nicht in diesem Budget enthalten. Hierfür existiert eine separate Ausschreibung ("Agenturleistungen - Mediaagentur"), die parallel veröffentlicht wurde.

c) Die Angabe basiert sowohl auf Erfahrungswerten als auch auf aktuellen Annahmen.

Es handelt sich um eine Schätzung - ein Anspruch auf eine Mindestabnahme besteht nicht.

Zu Frage 2:
Zum aktuellen Zeitpunkt ist keine Überarbeitung des Dokuments "Fragebogen zur Eignungsprüfung im Teilnahmewettbewerb" vorgesehen.
Die Beantwortung der Bewerberfragen dient ausschließlich der Konkretisierung und Klarstellung der Ausschreibungsunterlagen. Diese Konkretisierungen gelten als Bestandteil der Vergabeunterlagen und sind für alle Bieter verbindlich.

Hinweis zur Beantwortung:
Sollten Sie ergänzende Hinweise zu Ihren Angaben im Teilnahmeantrag haben, die sich nicht direkt im Fragebogen erfassen lassen (z. B. Erläuterungen zu Ausschlusskriterien), können Sie diese in einem separaten, klar gekennzeichneten Dokument mit Bezug zu den jeweiligen Ziffern des Fragebogens zusammen mit Ihrem Teilnahmeantrag einreichen.

Zu Frage 3:
Ja, wir behalten uns vor, im Laufe des Verfahrens eine aktualisierte Leistungsbeschreibung zu veröffentlichen.
Eine solche Anpassung würde ausschließlich der Klarstellung oder Präzisierung dienen und nur erfolgen, sofern dies für die Gleichbehandlung aller Bieter und die Einhaltung der Vergabebestimmungen erforderlich ist.
Bitte beachten Sie, dass eine Aktualisierung keine inhaltliche Erweiterung des Leistungsgegenstands darstellt.

Zu Frage 4:
Vielen Dank für Ihre ausführliche Begründung. Wir nehmen Ihre Anfrage zur Kenntnis und verstehen die Komplexität der Prüfung.
Aktuell sehen wir keine Veranlassung, die Frist für die Einreichung der Teilnahmeanträge zu verlängern.
Die ursprüngliche Frist von 30 Tagen wurde unter Berücksichtigung der EU-Vergaberichtlinien und der üblichen Bearbeitungszeiten festgelegt.
Sollten sich im weiteren Verlauf des Verfahrens unvorhergesehene Umstände ergeben, die eine Anpassung der Fristen erfordern, werden wir dies im Rahmen der vergaberechtlichen Bestimmungen prüfen und die Bieter entsprechend informieren.
Bitte beachten Sie, dass eine spätere Fristverlängerung keinen automatischen Anspruch darstellt und ausschließlich im Ermessen der Vergabestelle liegt.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Wir bitten um Klarstellung, wie die Anforderungen an Informationssicherheit bei einer Bewerbergemeinschaft zu erfüllen und nachzuweisen sind.

Nach den bisherigen Bieterantworten kann bei fehlender ISO-27001-Zertifizierung grundsätzlich ein glaubhafter Zertifizierungsplan vorgesehen werden. Unklar ist jedoch, wie diese Regelung auf die einzelnen Mitglieder einer Bewerbergemeinschaft anzuwenden ist:

Frage 1: Muss jedes Mitglied der Bewerbergemeinschaft ein eigenes ISO-27001-Zertifikat beziehungsweise einen eigenen Zertifizierungsplan und ein eigenes ISMS nachweisen. Oder genügt die Erfüllung durch dasjenige Mitglied, das die betreffenden sicherheitsrelevanten Leistungen tatsächlich erbringt?

Frage 2: Falls die Anforderungen funktional zugeordnet werden können: Nach welchen Kriterien bestimmt sich, welches Mitglied welche Anforderungen erfüllen muss? Ist hierfür insbesondere maßgeblich,

- welches Mitglied personenbezogene Daten oder Sozialdaten verarbeitet,
- Zugriff auf Systeme oder Daten der Auftraggeberin erhält,
- technische, Hosting-, Cloud- oder CRM-Leistungen erbringt oder
- für den jeweiligen Prozess verantwortlich ist?

Frage 3: Können Mitglieder, die ausschließlich strategische, beratende, konzeptionelle, redaktionelle oder gestalterische Leistungen ohne Zugriff auf relevante Daten und Systeme erbringen, von einzelnen Informationssicherheitsanforderungen ausgenommen sein?

Frage 4: Wie gilt die arbeitsteilige Erfüllung innerhalb der Bewerbergemeinschaft insbesondere für:

- ISO 27001 und ISMS,
- BSI C5 Typ 2,
- B3S GKV/PV,
- technische und organisatorische Maßnahmen (TOMs) sowie
- Nachweise zu Cloud- und Hosting-Providern, Services, Regionen, Datenflüssen und Betriebsmodellen?

Frage 5: Können diese Anforderungen beziehungsweise Nachweise auch durch ein anderes Mitglied der Bewerbergemeinschaft, ein verbundenes Unternehmen, einen Unterauftragnehmer, einen Eignungsleihgeber oder den tatsächlich eingesetzten Cloud-/Hosting-Provider erfüllt werden? Welche Erklärungen und Nachweise sind hierfür erforderlich?

Frage 6: Wie ist die Aufteilung im Teilnahmeantrag zu dokumentieren? Genügt eine eindeutige Zuordnung der Leistungsanteile, Daten- und Systemzugriffe sowie der jeweils verantwortlichen Mitglieder und eingebundenen Unternehmen?

Frage 7: Welche Unterlagen müssen bereits mit dem Teilnahmeantrag vorgelegt werden und zu welchem Zeitpunkt müssen die jeweiligen Anforderungen tatsächlich erfüllt sein - bei Vertragsschluss, zum Leistungsbeginn oder innerhalb der genannten Umsetzungsfristen von neun beziehungsweise zwölf Monaten?

Frage 8: Falls zunächst ein Zertifizierungsplan genügt: Welche Mindestanforderungen gelten an dessen Verbindlichkeit? Reichen eine verbindliche interne Entscheidung, ein Zeit- und Maßnahmenplan sowie die Benennung der Verantwortlichen aus, oder müssen bereits eine Beratungsgesellschaft beziehungsweise Zertifizierungsstelle beauftragt und erste Umsetzungsschritte nachgewiesen werden? Darf eine kostenwirksame Beauftragung erst nach Erreichen der nächsten Verfahrensstufe oder nach Zuschlag erfolgen?

---------------

Antworten der Vergabestelle:

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir hiermit beantworten:

Zu Frage 1:
Es genügt die Erfüllung durch dasjenige Mitglied, das die betreffenden sicherheitsrelevanten Leistungen tatsächlich erbringt.

Zu Frage 2:
Im Wesentlichen geht es um die Verarbeitung von personenbezogenen Daten, Sozialdaten, Geschäftsgeheimnissen.

Zu Frage 3:
Ja.

Zu Frage 4:
- ISO 27001 und ISMS: Die einzelnen Teilnehmer der Bewerbergemeinschaft bearbeiten die für sie zutreffenden Anforderungen aus dem SBK-Leistungsgegenstand und unter der Koordination des Haupt-AN.

- BSI C5 Typ 2: ist ausschließlich für den Cloud-Dienst Anbieter bei der Verarbeitung von personenbezogenen Daten relevant.

- B3S GKV/PV, analog zu ISO 27001 ISMS. Hier besteht eine hohe Kongruenz der Anforderungen.

- technische und organisatorische Maßnahmen (TOMs) sowie Bearbeitung erfolgt durch alle Teilnehmer, die in die Verarbeitung der personenbezogenen Daten involviert sind. Der Fokus bezieht sich hier primär auf das Unternehmen (Erfüllung der DS-Anforderungen - TOMs) und sekundär auf den Leistungsgegenstand (es werden nur die relevanten TOMs für den Leistungsgegenstand bearbeitet).

- Nachweise zu Cloud- und Hosting-Providern, Services, Regionen, Datenflüssen und Betriebsmodellen? Gilt für den jeweiligen Dienstleister (Cloud Provider oder eigenes bzw. externes on-Premise Hosting-Provider).

Zu Frage 5:
Die Nachweise müssen sich auf die zu erbringende Leistung beziehen. Beispiel: Sofern ein Partnerunternehmen die technische Verarbeitung von personenbezogenen Daten in seinem IT-System verantwortet, muss sein ISO 27001-Zertifikat sich im Geltungsbereich auf dieses System beziehen und nicht auf die Softwareentwicklung. Die Erklärungen und Nachweise sind bitte den Ausschreibungsunterlagen sowie den bereits getätigten Antworten zu entnehmen.

Zu Frage 6:
Ja.

Zu Frage 7:
Siehe bitte die Antwort auf die Bewerberfrage "Bewerberfragen Anforderungen an Informations- und IT-Sicherheit", am 05.08.2026 um 11:16 Uhr.

Zu Frage 8:
Siehe bitte die Antwort auf die Bewerberfrage "Bewerberfragen Anforderungen an Informations- und IT-Sicherheit", am 05.08.2026 um 11:16 Uhr.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Sehr geehrte Damen und Herren,

wir haben noch eine Rückfrage zu der Referenz Nr. 7 "Marktforschung":
gilt auch hier, dass die beiden aufgeführten Einzelkompetenzen
- klassische Marktforschung qualitativ ODER quantitativ
- synthetische Zielgruppen
jeweils über Projekte belegt werden müssen? Die Frage stellen wir vor dem Hintergrund, dass die Angaben zu diesem Kompetenzfeld lediglich "informativer Art" sind. Wie wird hier bewertet?

--------------

Antwort der Vergabestelle:

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Frage, die wir gerne beantworten:

Die Referenzen 1-6 sind als Muss-Anforderungen (Ausschlusskriterien) definiert. Referenz 7 ("Marktforschung") ist rein informativ und kein Ausschlusskriterium.

Das bedeutet:
Die beiden genannten Einzelkompetenzen ("klassische Marktforschung qualitativ oder quantitativ" und "synthetische Zielgruppen") müssen nicht zwingend durch Projektbelege nachgewiesen werden.

Die Angaben zu Referenz 7 dienen der Information und fließen nicht in die Eignungsbewertung ein.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Sehr geehrte Damen und Herren,

vielen Dank nochmals für die Beantwortung unserer Rückfragen.

Nach Überprüfung der Vergabeunterlagen sowie Ihrer Antworten ergaben sich durch unseren Datenschutzbeauftragten noch folgende Rückfragen, wozu wir um baldmöglichste Beantwortung bitten möchten:

Frage 1:
Rückfrage zu B3S GKV/PV Standard in Bezug auf folgende Information hierzu, welche wir von unserem Datenschutzbeauftragten erhalten haben:
"Der B3S-GKV/PV unterstützt bei der Umsetzung der vom BSIG zum Schutz der Kritischen Infrastrukturen geforderten Sicherheitsmaßnahmen gemäß "Stand der Technik". Im Fokus steht das Verwaltungs- und Zahlungssystem der gesetzlichen Kranken- und Pflegeversicherung in Form eines integrierten Anwendungssystems (im Folgenden genannt), sowie in ihm vorhandenen Normen und Regelwerken (IT-Anwendung oder (IT-)System genannt)."

Frage 1a)
Wir gehen aufgrund der auftragsgegenständlichen Leistungen davon aus, dass wir als Dienstleister für "Lead-Agentur" weder Gesundheits-, Versicherten- und Zahlungsdaten von der SBK erhalten werden.
Können dies bestätigen und deshalb bitte überprüfen, ob im Rahmen der in diesem Verfahren zu erbringenden Leistungen, der B3S GKV/PV Standard überhaupt relevant ist bzw. Gegenstand der Leistungserbringung?

Frage 1b)
Sollte dies von Ihnen - nach erneuter Überprüfung - bestätigt werden, könnten Sie dann bitte auch bestätigen, dass der B3S GKV/PV Standard folglich auch nicht benötigt wird und dieses Kriterium somit von den Bewerbern nicht bestätigt werden muss.

Frage 2:
Rückfrage zu BSI-C5-Testat Typ 2:
Wird das C5-Testat pauschal von allen Auftragnehmern bzw. Unternehmen einer Bewerberkonstellation verlangt, oder nur von den an der Bewerbung beteiligten Unternehmen, welche gegenüber der SBK auch tatsächlich Cloud-Leistungen erbringen?

Hintergrund: Da wir - nach aktuellem Kenntnisstand - kein Cloud-Umfeld zur Leistungserbringung benötigen bzw. nicht zur Verfügung stellen bzw. keine Cloud-Leistungen erbringen werden, dürfte unserer Auffassung nach das erforderliche C5-Cloud-Testat auch nicht erforderlich sein und somit im vergaberechtlichen Sinne eine unverhältnismäßige und wettbewerbseinschränkende Anforderung darstellen.

Vielen Dank für Ihr Verständnis für unsere erneuten Rückfragen sowie auch um Ihre Beantwortung.

Mit freundlichen Grüßen

---------------

Antworten der Vergabestelle:

Zu Frage 1a):
Ihre Perspektive verstehen wir. Bei dem vorliegenden Leistungsgegenstand (Lead-Agentur) sind in der Tat keine kritischen Prozesse gemäß B3S GKV/ PV tangiert. Der Bezugspunkt für die Anforderung des B3S orientiert sich an dem §392 SGB V Satz 3 und 6. Danach muss eine Krankenkasse nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen. Die zu verwendende Methodik orientiert sich am B3S GKV/ PV (Satz 6).

Zu Frage 1b):
Zusätzlich zur Antwort aus 1a)
Im Eignungskriterium fordern wir eine grundsätzliche Erfüllung des B3S GKV/ PV. Das bedeutet, dass ausschließlich für die Leistungserbringung relevante Anforderungen aus dem B3S anzuwenden sind und nicht die Anforderungen in ihrer Gesamtheit aus dem B3S GKV/ PV Teil 2. Im Rahmen der Implementierungsphase nach der Vertragsunterzeichnung werden die Anforderungen konkretisiert.
Sofern eine Zertifizierung nach ISO 27001 besteht, bzw. ein ausgereiftes ISMS bereits vorhanden ist, kann die Umsetzung der Gaps gegenüber dem B3S mit relativ geringem Aufwand umgesetzt werden.
Um den Auftragnehmern entgegenzukommen, wird eine Frist von 9 Monaten zur Schließung der Gaps aus dem B3S gewährt.

Zu Frage 2:
Das C5 Typ 2 Testat ist nur in Verbindung mit einer Cloud Umgebung relevant.
In Ihrem Fall ist diese Anforderung für Ihr Unternehmen nicht relevant und stellt daher keine Benachteiligung dar.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Sehr geehrte Damen und Herren,

vielen Dank für die am 5. August 2026 veröffentlichten Antworten auf die bisherigen Bieterfragen. Unter Berücksichtigung dieser Antworten bitten wir noch um Klärung der folgenden offenen Punkte:

Frage 1:
Mit dem Teilnahmeantrag einzureichende IT-Sicherheitsnachweise.

Welche konkreten Unterlagen beziehungsweise Nachweise zu ISO/IEC 27001 beziehungsweise ISMS, C5 und B3S sind bereits mit dem Teilnahmeantrag einzureichen?

Bitte bestätigen Sie zudem, dass entsprechend Ihrer veröffentlichten Antwort ein eigenes C5-Testat des Bewerbers nicht erforderlich ist und die Anforderung - soweit einschlägig - durch den eingesetzten Cloud-Betreiber, ein Mitglied der Bietergemeinschaft oder einen Unterauftragnehmer erfüllt werden kann.

Gilt diese Klarstellung auch, falls die formalen Vergabeunterlagen ein eigenes C5-Testat des Bewerbers vorsehen?

Frage 2:
Umfang und Zeitpunkt der B3S-Erfüllung

Die veröffentlichten Antworten erscheinen hinsichtlich des B3S nicht vollständig eindeutig. Einerseits sollen die Anforderungen bereits zum Beginn der Leistungserbringung erfüllt sein, andererseits wird für die vollständige Umsetzung von Teil 2 eine Frist von neun Monaten eingeräumt. Zudem wird ausgeführt, dass nur die für die ausgeschriebene Leistung relevanten Anforderungen gelten.

Wir bitten daher um Klarstellung:

- Welche konkreten B3S-Anforderungen müssen zum Beginn der Leistungserbringung erfüllt sein?

- Welche Anforderungen dürfen innerhalb der eingeräumten neun Monate umgesetzt werden?

- Ist Teil 2 vollständig oder ausschließlich hinsichtlich der für die ausgeschriebene Leistung relevanten Anforderungen zu erfüllen?

Frage 3:
Mindestzahl fest angestellter Mitarbeitender

Kann die geforderte Zahl von mehr als 30 fest angestellten Mitarbeitenden durch die Mitglieder einer Bietergemeinschaft gemeinsam erfüllt werden?

Falls nicht: Muss jedes Mitglied der Bietergemeinschaft oder lediglich der federführende Bewerber diese Anforderung eigenständig erfüllen?

Frage 4:
Zeitliche Grenzen der Referenzen

Welche zeitlichen Grenzen gelten für

- die Unternehmens- beziehungsweise Projektreferenzen und

- die personenbezogenen Referenzen in den Mitarbeiterprofilen?

Ist jeweils der Leistungszeitraum, der Projektabschluss oder ein anderer Zeitpunkt für die zeitliche Einordnung maßgeblich?

Frage 5:
Langjährige Kundenbeziehungen

Müssen die zehn anzugebenden langjährigen Kundenbeziehungen zum Zeitpunkt der Bewerbung noch bestehen, oder können auch bereits abgeschlossene Geschäftsbeziehungen berücksichtigt werden?

Welche Mindestdauer ist unter einer "langjährigen" Kundenbeziehung zu verstehen?

Frage 6:
Mehrfachrollen, Vertretungen und Festanstellung

- Darf dieselbe Person mehrere der geforderten Rollenprofile abdecken?

- Welche Rollen müssen zwingend mit unterschiedlichen Personen besetzt werden?

- Ist bereits mit dem Teilnahmeantrag für jede Rolle eine namentliche Vertretung beziehungsweise Zweitbesetzung nachzuweisen?

- Kann die geforderte Festanstellung einer Person auch bei demjenigen Mitglied einer Bietergemeinschaft bestehen, das diese Person für die Leistungserbringung einsetzt?

Frage 7:
Personenbezogene Rollenreferenzen

Müssen die in den Mitarbeiterprofilen genannten Referenzerfahrungen je Rolle zwingend einen Bezug zu einem oder mehreren der folgenden Bereiche aufweisen?

- Gesundheitswesen

- öffentliche Auftraggeber

- Kommunikation erklärungsbedürftiger Produkte und Dienstleistungen

Oder genügt der Nachweis der jeweils geforderten fachlichen Kompetenz unabhängig von Branche und Auftraggeber?

Frage 8:
Lizenzierte DAM-Plattform

Zu welchem Zeitpunkt muss die geforderte lizenzierte DAM-Plattform vorhanden sein und nachgewiesen werden?

Kann diese Anforderung auch durch ein Mitglied der Bietergemeinschaft oder einen eingebundenen Unterauftragnehmer erfüllt werden?

Vielen Dank für die Beantwortung unserer Fragen.

Mit freundlichen Grüßen

--------------------

Antworten der Vergabestelle

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir gerne beantworten:

Zu Frage 1:
ISO/IEC 27001: Bestätigung, dass Sie ein entsprechendes Zertifikat mit Bezug auf den Leistungsgegenstand besitzen.
C5 Typ 2 Testat: Bestätigung, dass Sie bzw. Ihr Cloud Provider ein entsprechendes Testat mit Bezug auf den Leistungsgegenstand besitzen.
B3S: Schriftliche Bestätigung, dass Sie die relevanten Anforderungen aus dem Teil 2 in Bezug auf den Leistungsgegenstand erfüllen können.

Ja, ein eigenes C5-Testat des Bewerbers ist nicht erforderlich und die Anforderung - soweit einschlägig - kann durch den eingesetzten Cloud-Betreiber, ein Mitglied der Bietergemeinschaft oder einen Unterauftragnehmer erfüllt werde, sofern dieser in die Erbringung des Leistungsgegenstands eingebunden ist.

Diese Klarstellung gilt auch, falls die formalen Vergabeunterlagen ein eigenes C5-Testat des Bewerbers vorsehen.

Zu Frage 2:
Umfang und Zeitpunkt der B3S-Erfüllung

- Welche konkreten B3S-Anforderungen müssen zum Beginn der Leistungserbringung erfüllt sein? -> Der Bieter muss in der Lage sein, generell den Teil 2 des B3S GKV / PV umsetzen zu können. Der Bieter muss die entsprechenden Abweichungen identifizieren und deren Beseitigung für eine Zeitspanne von 9 Monaten nach der Vertragsunterzeichnung einplanen. Der Schweregrad der Abweichungen sowie die Planung zu deren Umsetzung wird in der Verhandlungsrunde thematisiert und überprüft.

- Welche Anforderungen dürfen innerhalb der eingeräumten neun Monate umgesetzt werden? -> Alle identifizierten Abweichungen können innerhalb v. 9 Monaten beseitigt werden.

- Ist Teil 2 vollständig oder ausschließlich hinsichtlich der für die ausgeschriebene Leistung relevanten Anforderungen zu erfüllen? -> ausschließlich mit dem Bezug auf den Leistungsgegenstand und die dabei verwendeten Daten.

Zu Frage 3:
Mindestzahl fest angestellter Mitarbeitender

Die geforderte Zahl von mehr als 30 fest angestellten Mitarbeitenden kann durch die Mitglieder einer Bietergemeinschaft gemeinsam bzw. mittels Eignungsleihe erfüllt werden.

Zu Frage 4:
Zeitliche Grenzen der Referenzen

Folgende zeitliche Grenzen gelten für die Unternehmens- beziehungsweise Projektreferenzen:
Es muss sich um abgeschlossene Projekte / Erfahrungen in den letzten 5 Jahren handeln. Ausschlaggebend ist der Leistungszeitraum. Der Leistungszeitraum muss mindestens teilweise in den letzten 5 Jahren (ab dem Tag der Veröffentlichung der Bekanntmachung) liegen.

Für die personenbezogenen Referenzen in den Mitarbeiterprofilen gelten analog zu den Unternehmens- bzw. Projektreferenzen folgende zeitliche Grenzen:

Es müssen abgeschlossene Projekte/Erfahrungen sein.
Der Leistungszeitraum muss mindestens teilweise in den letzten 5 Jahren (ab dem Tag der Veröffentlichung der Bekanntmachung) liegen.

Zu Frage 5:
Langjährige Kundenbeziehungen

Bestand der Kundenbeziehungen:
Es können sowohl noch bestehende als auch bereits abgeschlossene Geschäftsbeziehungen angegeben werden, sofern diese zum Zeitpunkt der Leistungserbringung langjährig waren.

Mindestdauer:
Es gibt keine festgelegte Mindestdauer für den Begriff "langjährig". Die Bieter werden aufgefordert, die zehn Kundenbeziehungen mit der längsten Dauer anzugeben.

Zu Frage 6:
Mehrfachrollen, Vertretungen und Festanstellung

- Darf dieselbe Person mehrere der geforderten Rollenprofile abdecken? Ja, dieselbe Person darf mehrere der geforderten Rollenprofile abdecken. Bei einer Mehrfachabdeckung sind die Maßnahmen zur Sicherstellung der Vertretung im Rahmen der schriftlichen Angebote im Konzept Personal und Vertretung darzulegen.

- Welche Rollen müssen zwingend mit unterschiedlichen Personen besetzt werden?
Es gibt keine Anforderung, die generell ausschließt, dass eine Person mehrere geforderte Rollen abdeckt. Im Rahmen der schriftlichen Angebotsphase ist ein Personalkonzept einzureichen, das die geschätzten Volumina realistisch abbildet.
Ergänzender Hinweis: Unsere Erfahrung hat gezeigt, dass der Key Accounter / Berater nebenbei keine weitere Rolle innehaben sollte.

- Ist bereits mit dem Teilnahmeantrag für jede Rolle eine namentliche Vertretung beziehungsweise Zweitbesetzung nachzuweisen?
Nein, es ist nicht bereits mit dem Teilnahmeantrag für jede Rolle eine namentliche Vertretung beziehungsweise Zweitbesetzung nachzuweisen.

- Kann die geforderte Festanstellung einer Person auch bei demjenigen Mitglied einer Bietergemeinschaft bestehen, dass diese Person für die Leistungserbringung einsetzt?
Ja, die geforderte Festanstellung einer Person kann auch bei demjenigen Mitglied einer Bietergemeinschaft bestehen, dass diese Person für die Leistungserbringung einsetzt.

Zu Frage 7:
Personenbezogene Rollenreferenzen

Ja, die in den Mitarbeiterprofilen genannten Referenzerfahrungen je Rolle müssen zwingend einen Bezug zu einem oder mehreren der folgenden Bereiche aufweisen:
- Gesundheitswesen
- öffentliche Auftraggeber
- Kommunikation erklärungsbedürftiger Produkte und Dienstleistungen.

Zu Frage 8:
Lizenzierte DAM-Plattform

Zu welchem Zeitpunkt muss die geforderte lizenzierte DAM-Plattform vorhanden sein und nachgewiesen werden?

Kann diese Anforderung auch durch ein Mitglied der Bietergemeinschaft oder einen eingebundenen Unterauftragnehmer erfüllt werden?

Hier ist ein Fehler in der Leistungsbeschreibung. Unter Ziffer 3.6 Zusammenarbeit - Abläufe steht auf Seite 23/26: " - Die AN hat eine Digital Asset Management-Plattform lizenziert, die für Corporate Design Vorlagen, Grafikprozesse und ggfs. den Transfer von Assets an die Mediaagentur zu verwenden ist."

Es muss heißen: " - Die AG hat eine Digital Asset Management-Plattform lizenziert, die für Corporate Design Vorlagen, Grafikprozesse und ggfs. den Transfer von Assets an die Mediaagentur zu verwenden ist."

Der Satz wird entsprechend angepasst in der Leistungsbeschreibung.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Sehr geehrte Damen und Herren,

im Folgenden finden Sie unsere Rückfragen zum "Fragebogen zur Eignungsprüfung im Teilnahmewettbewerb". Wir freuen uns auf die Rückmeldung.

Frage 1: Referenzprojekte // Abdeckung der Einzelkompetenzen
Kann eine Projektreferenz mehrere Kompetenzfelder und Einzelkompetenzen abdecken? Falls ja: Ist eine Referenz in diesem Fall mehrfach dem jeweiligen Kompetenzfeld zuzuordnen, oder soll sie nur einmal eingereicht und entsprechend gekennzeichnet werden?

Frage 2: Referenzprojekte // Mehrere Referenzen je Kompetenzfeld
Ist es zulässig, für den Nachweis einzelner Kompetenzfelder mehrere Projektreferenzen einzureichen, wenn die geforderten Einzelkompetenzen nicht vollständig in einer einzigen Referenz abgebildet werden können?
Oder muss jede einzelne Referenz sämtliche Einzelkompetenzen des jeweiligen Kompetenzfelds abdecken?

Frage 3: Datenschutzvereinbarung // "Datenschutz-Datensicherheitserklaerung_fuer_Ausschreibungen_SGB"
Muss das Datenschutzerklärung "Datenschutz-Datensicherheitserklaerung_fuer_Ausschreibungen_SGB" bereits vollständig ausgefüllt und mit dem Teilnahmeantrag eingereicht werden?

Frage 4: C5-Testat und Cloud-Dienste
In Bezug auf das geforderte C5-Testat bitten wir um Klärung, welche Nachweise bereits mit dem Teilnahmeantrag einzureichen sind. Muss eine vollständige Liste aller eingesetzten Cloud-Dienste eingereicht werden? Oder reicht die Bestätigung in der Excel-Datei zur Eignungsprüfung, dass die entsprechende Anforderung erfüllt wird beziehungsweise erfüllt werden kann?
Falls eine Liste erforderlich ist: Welche Angaben werden je Cloud-Dienst erwartet?

Frage 5: Mitarbeiterprofile // Aufteilung einer Rolle auf mehrere Personen
Ist es zulässig, eine ausgeschriebene Rolle auf zwei Personen aufzuteilen, wenn die Leistungsbeschreibung unterschiedliche fachliche Schwerpunkte innerhalb einer Rolle zusammenfasst?
Falls eine Aufteilung möglich ist: Wie ist sie im Mitarbeiterprofil darzustellen?

Frage 6: CRM-System und technische Voraussetzungen // Bestehendes CRM-System der SBK
Mit welchem CRM-System beziehungsweise welchen relevanten CRM- und Marketing-Automation-Systemen arbeitet die SBK aktuell?

Vielen Dank und herzliche Grüße

---------------------

Antworten der Vergabestelle

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir hiermit gerne beantworten.

Zu Frage 1:
Referenzprojekte // Abdeckung der Einzelkompetenzen

Ja, eine Projektreferenz kann mehrere Kompetenzfelder und Einzelkompetenzen abdecken.
In diesem Fall Ist die Referenz mehrfach einzureichen. Jede Referenz ist einzeln auf Basis der Vorlage "Anlage Projektreferenz - Agenturleistungen - Leadagentur" einzureichen und klar dem jeweiligen Kompetenzfeld sowie den abgedeckten Einzelkompetenzen zuzuordnen.

Zu Frage 2:
Referenzprojekte // Mehrere Referenzen je Kompetenzfeld

Ja es ist zulässig, für den Nachweis einzelner Kompetenzfelder mehrere Projektreferenzen einzureichen, wenn die geforderten Einzelkompetenzen nicht vollständig in einer einzigen Referenz abgebildet werden können.

Wichtig ist, in Summe müssen alle geforderten Einzelkompetenzen durch Referenzen belegt werden, die Aufteilung ist nicht relevant.


Zu Frage 3:
Datenschutzvereinbarung // "Datenschutz-Datensicherheitserklaerung_fuer_Ausschreibungen_SGB"

Nein, das Dokument "Datenschutz-Datensicherheitserklaerung_fuer_Ausschreibungen_SGB" ist erst zu einem späteren Zeitpunkt im Verfahren, wenn explizit dazu aufgefordert wird, ausgefüllt einzureichen.

Zu Frage 4:
C5-Testat und Cloud-Dienste

Sofern Sozialdaten im Rahmen der Leistungserbringung in der Cloud in Ihrem Unternehmen oder bei Ihren Cloud-Providern verarbeitet werden, muss der Betreiber der jeweiligen Cloud-Plattform nach dem BSI C5 Typ 2 Testat zertifiziert sein. Es reicht im Teilnahmewettbewerb eine übergreifende Angabe, dass Ihr Unternehmen die Anforderung erfüllt, aus. Im späteren Ausschreibungsverlauf können Sie die Zertifizierungsnachweise (nicht den Nachweisbericht) einreichen.

Zu Frage 5:
Mitarbeiterprofile // Aufteilung einer Rolle auf mehrere Personen

Ja es ist zulässig, eine ausgeschriebene Rolle auf zwei Personen aufzuteilen, wenn die Leistungsbeschreibung unterschiedliche fachliche Schwerpunkte innerhalb einer Rolle zusammenfasst.
Bitte machen Sie in diesem Fall einen Hinweis zur vorgesehenen Gestaltung der Aufteilung und erfassen Sie die Angaben zu beiden Personen in den Mitarbeiterprofilen.

Zu Frage 6:
CRM-System und technische Voraussetzungen // Bestehendes CRM-System der SBK

Unser CRM ist die spezifische Kassensoftware der Bitmarck 21c ng. Für das E-Mail-Marketing nutzen wir aktuell Optimizely.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Liebes Team,

wir haben noch ein paar Rückfragen zu den Referenzen.

In den Unterlagen wird ausgeführt, dass für jedes der sechs relevanten Kompetenzfelder mindestens eine Projektreferenz einzureichen ist und durch die eingereichten Referenzen sämtliche dem jeweiligen Kompetenzfeld zugeordneten Einzelkompetenzen nachgewiesen werden sollen.

Frage 1: Muss eine einzelne Projektreferenz alle Einzelkompetenzen eines Kompetenzfeldes vollständig abdecken, oder dürfen die Einzelkompetenzen durch mehrere Projektreferenzen nachgewiesen werden, etwa durch eine gesonderte Referenz je Einzelkompetenz?

Dies betrifft beispielsweise das Kompetenzfeld "Produktion Print & Digital" mit den Einzelkompetenzen "Corporate Publishing ODER Broschüren" sowie "Bewegtbild", die gegebenenfalls anhand unterschiedlicher Projekte belegt werden müssen.

Frage 2: Bitte erläutern Sie außerdem, wie die Bewertung erfolgt, wenn mehrere Referenzen für ein Kompetenzfeld eingereicht werden: Werden die Einzelkompetenzen jeweils anhand der zugeordneten Referenz bewertet und anschließend zu einer Gesamtbewertung des Kompetenzfeldes zusammengeführt, oder wird nur eine Referenz je Kompetenzfeld berücksichtigt?

Vielen Dank!

------------------

Antworten der Vergabestelle

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir hiermit gerne beantworten.

Zu Frage 1:
Die Einzelkompetenzen eines Kompetenzfeldes müssen nicht durch eine einzelne Projektreferenz abgedeckt werden.

Es ist zulässig, mehrere Projektreferenzen pro Kompetenzfeld einzureichen, um die geforderten Einzelkompetenzen nachzuweisen.

Beispiel: Für das Kompetenzfeld "Produktion Print & Digital" können Sie eine Referenz für "Corporate Publishing" und eine weitere für "Bewegtbild" einreichen, sofern damit alle geforderten Einzelkompetenzen des Feldes abgedeckt sind.

Wichtig ist, in Summe müssen alle geforderten Einzelkompetenzen durch Referenzen belegt werden, die Aufteilung ist nicht relevant.

Zu Frage 2:
Für die Eignungsprüfung gilt:

- Alle als Ausschlusskriterium gekennzeichneten Einzelkompetenzen müssen durch geeignete Referenzen nachgewiesen werden.
- Die Anzahl der Referenzen pro Kompetenzfeld ist nicht begrenzt - es zählt allein, dass sämtliche Einzelkompetenzen des Feldes abgedeckt sind.
- Es wird keine Gewichtung oder Auswahl vorgenommen (z. B. "nur eine Referenz pro Feld"). Stattdessen wird geprüft, ob alle geforderten Einzelkompetenzen durch die eingereichten Referenzen belegt sind.

Mit freundlichen Grüßen
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Sehr geehrte Damen und Herren,

vielen Dank für die Beantwortung unserer Rückfragen.
Wir prüfen diese umgehend hinsichtlich der Möglichkeit zur Teilnahme.

Frage :
Erlauben Sie mir eine Rückfrage:
haben Ihre Antworten zu den IT-Sicherheitsthemen, wie ISO 27001, C5-Testat Typ 2 bzw. B3SGKV/PV auch Gültigkeit für die Ausschreibung für Medialeistungen oder müssen die Fragen ggf. hier erneut eingestellt werden?

Vielen Dank für die Beantwortung.

--------------------

Antworten der Vergabestelle

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir gerne beantworten:

Es gelten generell die gleichen Antworten. Der Unterschied zwischen den beiden Ausschreibungen besteht in der Verwendung der Personenbezogenen Daten (in der Ausschreibung Agenturleistungen - Mediaagentur) und nicht der Sozialdaten (wie in der Ausschreibung Agenturleistungen - Leadagentur).

Bitte stellen Sie weitere spezifische Fragen über die Bieterkommunikation ggf. in der Ausschreibung Agenturleistungen - Mediaagentur.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Sehr geehrte Damen und Herren,

ergänzend zu den Fragen bzgl. der Eignungsnachweise BSI-C5-Testat Typ 2 und B3S-GKV/PV möchten wir Ihnen noch weitere Informationen geben, woraus ggf. ersichtlich ist, dass das zwingende Erfordernis dieser Nachweise im Rahmen von "Lead-Agentur" Leistungen nicht erforderlich und - in vergleichbaren öffentlichen Ausschreibungen - auch nicht üblich ist:

Frage 1:
BSI-C5-Testat Typ 2
Der C5-Katalog des BSI wurde primär für Cloud-Dienstleister entwickelt. Für eine Kommunikations- und Leadagentur ist nicht unmittelbar erkennbar, weshalb zwingend ein C5-Testat Typ 2 erforderlich sein soll.
Die ausgeschriebenen Leistungen sind überwiegend Strategie-, Kreativ-, Beratungs-, Kommunikations- und Marketingleistungen. Der Auftrag beinhaltet nach der Ausschreibungsbeschreibung keinen Betrieb kritischer Cloud-Infrastrukturen.
Darüber hinaus stellt das C5-Testat Typ 2 eine sehr hohe und kostenintensive Anforderung dar und diese Anforderung schränkt den Wettbewerb folglich erheblich ein, was ggf. vergaberechtlich eine unnötige Benachteiligung kleinerer KMU-Unternehmen sein könnte.
Es bestehen mildere Nachweismöglichkeiten (ISO 27001, TOMs, Datenschutzkonzepte, Hosting über zertifizierte Subunternehmer), welche bei vergleichbaren öffentlichen Ausschreibungsverfahren von GKVs in aller Regel angewendet werden.

Frage 2:
B3S-GKV/PV-Standards
Der B3S für die gesetzliche Krankenversicherung richtet sich eigentlich an Betreiber kritischer Infrastrukturen bzw. an Einrichtungen mit besonderen Anforderungen an Informationssicherheit.
Für eine Marketing- bzw. Kommunikationsagentur stellt sich die Frage:
Welchen konkreten Bezug hat die Erfüllung des B3S-GKV/PV zur vertragsgegenständlichen "LEAD-AGENTUR"?
Da im Rahmen der konkreten Leistungserbringung "LEAD-AGENTUR" keine kritischen IT-Systeme der SBK betrieben werden, sehen wir diese Forderung eines B3S-GKV/PV-Standards als vergaberechtlich unverhältnismäßig und auch wettbewerbseinschränkend. sein.

Im Sinne der des vergaberechtlichen Grundsatzes der Verhältnismäßigkeit und Wettbewerbsöffnung, halten wir diese ergänzenden Informationen für wesentlich relevant und bitten um entsprechende Korrektur der Anforderungen zu den Eignungsnachweisen, da diese - in Bezug auf den Leistungsgegenstand einer "Lead-Agentur" unserer Auffassung nach als unverhältnismäßig anzusehen sind.

Wir bitten um Berücksichtigung dieser Informationen bzw. Ausführungen als rein, ergänzende Informationen zu unseren Bewerberfragen anzusehen.
Es handelt sich hierbei explizit NICHT um eine Verfahrensrüge.

Vielen Dank für Ihr Verständnis für unsere Rückfragen sowie die Übermittlung weiterer Informationen sowie auch für die Beantwortung bzw. Korrektur der Anforderungen an die Eignungsnachweise im Verfahren "Lead-Agentur".

Mit freundlichen Grüßen

--------------------

Antworten der Vergabestelle

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir gerne beantworten:

Frage 1:
Ihre Einschätzung ist korrekt. Sofern Sozialdaten im Rahmen der Leistungserbringung in der Cloud verarbeitet werden, muss der Betreiber der Cloud-Plattform nach dem BSI C5 Testat zertifiziert sein. Wenn in Bezug auf den Leistungsgegenstand die Sozialdaten nicht in einer Cloudumgebung, sondern on-Premise verarbeitet werden ist kein Zertifikat (seitens des Dienstleisters) notwendig.

Definition Sozialdaten in Bezug auf ges. Krankenversicherung siehe Sozialgesetzbuch (§ 67 Abs. 2 SGB X).

Ja, die Anforderungen können durch ein Mitglied einer Bietergemeinschaft, einen Unterauftragnehmer oder den jeweils eingesetzten Cloud- beziehungsweise IT-Dienstleister erfüllt werden, sofern dieser den betreffenden Leistungsbereich vollständig abdeckt. In der Regel werden diese Anforderungen durch einen Cloud-Dienstleister erbracht.

Frage 2:
Ihre Perspektive verstehen wir. Bei dem vorliegenden Leistungsgegenstand (Lead-Agentur) sind in der Tat keine kritischen Prozesse gemäß B3S GKV/ PV tangiert. Der Bezugspunkt für die Anforderung des B3S orientiert sich an dem §392 SGB V Satz 3 und 6. Danach muss eine Krankenkasse nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen. Die zu verwendende Methodik orientiert sich am B3S GKV/ PV (Satz 6).

Im Eignungskriterium fordern wir eine grundsätzliche Erfüllung des B3S GKV/ PV. Das bedeutet, dass ausschließlich für die Leistungserbringung relevante Anforderungen aus dem B3S anzuwenden sind und nicht die Anforderungen in ihrer Gesamtheit aus dem B3S GKV/ PV Teil 2. Im Rahmen der Implementierungsphase nach der Vertragsunterzeichnung werden die Anforderungen konkretisiert.
Sofern eine Zertifizierung nach ISO 27001 besteht, bzw. ein ausgereiftes ISMS bereits vorhanden ist, kann die Umsetzung der Gaps gegenüber dem B3S mit relativ geringem Aufwand umgesetzt werden.
Um den Auftragnehmern entgegenzukommen, wird eine Frist von 9 Monaten zur Schließung der Gaps aus dem B3S gewährt.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Sehr geehrte Damen und Herren,

In der Datei "CSX 42 Angebotswertungsmethoden und -kriterien" ist das "Konzept Geheimhaltung und Umgang mit direkten Wettbewerbern" erläutert. Unter Punkt 1.3 sowie unter 1.4.
Frage 1:
Handelt es sich unter beiden Punkten um dasselbe Konzept?

Frage 2: Sie schreiben, dass die Vorlage "Geheimhaltung und Umgang mit direkten Wettbewerbern" (siehe Vergabeunterlagen/ Sonstiges) verwendet werden soll. Eine so bezeichnete Datei findet sich allerdings nicht in dem genannten Ordner der Vergabeunterlagen. Falls dem so ist, könnten Sie diese bitte nachreichen?

Frage 3: Soll dieses Konzept bereits mit dem Teilnahmeantrag eingereicht werden?

Frage 4:
In den Unterlagen finden sich "Allgemeine Bewerbungsbedingungen".
Frage: Gibt es auch noch "Besonderen Bewerbungsbedingungen"? Oder handelt es sich hierbei um die Datei "CSX 42"?

Frage 5:
In der Datei "CSX 42 Angebotswertungsmethoden und -kriterien" ist unter Punkt 1.2 ein "Feste*n Ansprechpartner*in und Vertreter*in" genannt mit dem Hinweis "Bitte geben Sie die Informationen im Textfeld ein".
Frage: In welchem Dokument sollen die beiden Personen benannt werden? In dem Fragebogen fehlt dazu ein Textfeld. Oder ist damit die Anlage Mitarbeiterprofile gemeint, wo alle Rolle eingetragen werden müssen.

Frage 6:
Sind die weiteren in der Datei "CSX 42 Angebotswertungsmethoden und -kriterien" genannten Konzepte "Personal und Vertretung", "Informationssicherheit (ISMS)", "Positionierung" erst alle nach Aufforderung zur Angebotsangabe zu erstellen?
--------------------

Antworten der Vergabestelle

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir gerne beantworten:

Frage 1:
In der Datei "CSX 42 Angebotswertungsmethoden und -kriterien" ist die Anzahl an Zeichen pro Kriterium beschränkt, Aus diesem Grund sind Angaben zu den Konzepten teilweise auf mehrere Kriterien verteilt. Die Angaben zum "Konzept Geheimhaltung und Umgang mit direkten Wettbewerbern" erläutert finden Sie unter Punkt 1.3 sowie unter Punkt 1.4.

Frage 2:
Bei der Datei "CSX 42 Angebotswertungsmethoden und -kriterien" handelt es sich im Teilnahmewettbewerb um informatorische Angaben für die Bewerber. Nach Abschluss des Teilnahmewettbewerbs, erhalten die erfolgreichen Bewerber eine Aufforderung zur Angebotsabgabe. In diesem Verfahrensschritt wird eine beschreibbare Datei des Fragebogens zur Bewertung der Leistung zur Verfügung gestellt. Mit der Abgabe des initialen, schriftlichen Angebots sind die Angaben und Konzepte zur Leistungsbewertung dann einzureichen.

Frage 3:
Nein, das Konzept ist im Rahmen der initialen schriftlichen Angebotsphase, nach Abschluss des Teilnahmewettbewerbs einzureichen.

Frage 4:
Es gibt neben den "Allgemeinen Bewerbungsbedingungen" kein separates Dokument "Besonderen Bewerbungsbedingungen", alle Anforderungen aus dem Fragebogen zur Eignungsprüfung und die Leistungskriterien (CSX 42) gelten unabhängig davon.

Frage 5:
Bei der Datei "CSX 42 Angebotswertungsmethoden und -kriterien" handelt es sich im Teilnahmewettbewerb um informatorische Angaben für die Bewerber. Nach Abschluss des Teilnahmewettbewerbs, erhalten die erfolgreichen Bewerber eine Aufforderung zur Angebotsabgabe. In diesem Verfahrensschritt wird eine beschreibbare Datei des Fragebogens zur Bewertung der Leistung zur Verfügung gestellt. Mit der Abgabe des initialen, schriftlichen Angebots sind die Angaben und Konzepte zur Leistungsbewertung einzureichen.

Frage 6:
Ja, die in der Datei "CSX 42 Angebotswertungsmethoden und -kriterien" genannten Konzepte "Personal und Vertretung", "Informationssicherheit (ISMS)", "Positionierung" sind alle erst nach Aufforderung zur Angebotsangabe einzureichen.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Bewerberfragen Eignung

Sehr geehrte Damen und Herren,

wir bitten um die Beantwortung der nachfolgenden Bewerberfragen:

Frage 1: Eignungskriterium 4:
"Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001 oder einem ähnlichen Rahmenwerk.
Die AN muss ein Informationssicherheitsmanagementsystem nach ISO IEC 27001 für den Leistungsgegenstand etabliert haben.

Die AN hat dies durch ein gültiges Zertifikat nach ISO IEC 27001 nachzuweisen. Das Zertifikat muss von einer hierfür akkreditierten Zertifizierungsstelle ausgestellt sein."

Hintergrund / unsere Frage:
Unser Agenturnetzwerk bzw. unsere Muttergesellschaft ist zertifiziert gemäß ISO/IEC 27001:2022.

Ergänzend hierzu gibt es ein ausführliches (IT-Sicherheitskonzept. Alle Unternehmen des Agenturnetzwerkes nutzen eine zentrale IT-Infrastruktur.

Das Sicherheitskonzept wurde für die Muttergesellschaft erstellt. Es etabliert das Mindestschutzniveau für die Datenverarbeitung nach den Anforderungen von Art. 24 und 32 DSGVO und findet auf alle Unternehmen des Agenturnetzwerkes im In- und Ausland Anwendung. Folglich ist auch die ISO/IEC 27001:2022-Zertifizierung für unser Unternehmen als Tochterunternehmen gültig bzw. findet entsprechende Anwendung.

Wir bitten somit um Bestätigung, dass - aufgrund der o.a. Ausführungen - das Zertifikat ISO/IEC 27001-Zertifizierung der Muttergesellschaft, ggfs. ergänzt um das IT-Sicherheitskonzept als Nachweis der ISO/IEC 27001 ausreichend ist und die von Ihnen geforderte Anforderung vollumfänglich als Ausschlusskriterium erfüllt.

Frage 2: Auswahl Agenturen

Können Sie bitte eine Auskunft erteilen wie viele Bewerber maximal zur Angebotsphase eingeladen werden?

Frage 3: Fragebogen zur Eignungspruefung im Teilnahmewettbewerb

Im Fragebogen sind die Spalten "Gewichtung" und "Messwert" aufgeführt. Jedoch ohne Inhalt.
a) Können Sie deshalb bitte eine Auskunft erteilen zu den einzelnen Gewichtungen der "Informationselemente", wie Unternehmensdarsstellung, Kundenbeziehungen, Projekteferenzen, Mitarbeiterprofile und Nachhaltigkeit?
b) Können Sie ergänzend weitere Informationen erteilen, anhand welcher Kriterien die Eignungsnachweise für die Auswahl bewertet werden (= Auswahlkriterien)?

Besten Dank und freundliche Grüße

--------------------

Antworten der Vergabestelle

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir gerne beantworten:

zu Frage 1:
Ja, die Zertifizierung der Muttergesellschaft kann, soweit diese sich auf den relevanten Leistungsgegenstand bezieht, verwendet werden.

Zu Frage 2:
Alle Bewerber, welche alle Anforderungen der Eignungsprüfung im Rahmen des Teilnahmewettbewerbs erfüllen, werden zur initialen, schriftlichen Angebotsphase eingeladen.

Nach Eingang und Wertung der Erstangebote werden Präsentationstermine geführt.
Die SBK behält sich das Recht vor, nicht mit allen Bietern, welche ein form- und fristgerechtes Erstangebot abgegeben haben, einen Präsentations- und Verhandlungstermin durchzuführen. Für weitere Details siehe die Verfahrensangaben im Rahmen der Veröffentlichung.

Zu Frage 3:
Im Fragebogen zur Eignungspruefung im Teilnahmewettbewerb sind alle Kriterien Muss-Anforderungen bzw. Informationskriterien. Die Muss-Anforderungen müssen alle erfüllt sein für eine erfolgreiche Teilnahme. Es gibt hier also keine Gewichtung und keinen Messwert, aus diesem Grund sind die Spalten leer.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Sehr geehrte Damen und Herren,

In den Vergabeunterlagen werden unter anderem Anforderungen an ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001, an Cloud-Dienste mit BSI-C5-Typ-2-Testat, an die Einhaltung des B3S GKV/PV einschließlich Security-Audits sowie an umfassende technische und organisatorische IT-Sicherheitskontrollen gestellt.

Wir bitten um Klarstellung,

Frage 1:
Welche dieser Anforderungen bereits zum Zeitpunkt der Einreichung des Teilnahmeantrags vollständig umgesetzt und nachgewiesen sein müssen?

Frage 2:
Welche Anforderungen erst bis zum Leistungsbeginn beziehungsweise während der Vertragslaufzeit aufgebaut oder vervollständigt werden dürfen?

Frage 3:
Ob bei derzeit noch nicht vollständig bestehenden Strukturen ein verbindlicher Umsetzungs- oder Zertifizierungsplan als Nachweis ausreicht und welche Mindestinhalte und Fristen hierfür gelten?

Frage 4:
Ob die Anforderungen durch ein Mitglied einer Bietergemeinschaft, einen Unterauftragnehmer oder den jeweils eingesetzten Cloud- beziehungsweise IT-Dienstleister erfüllt werden können, sofern dieser den betreffenden Leistungsbereich vollständig abdeckt?

Bitte teilen Sie außerdem mit, welche konkreten Nachweise jeweils im Teilnahmeantrag, im späteren Angebot und erst vor Leistungsbeginn vorzulegen sind.

--------------------

Antworten der Vergabestelle

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir gerne beantworten:

Frage 1:
A) ISO/IEC 27001:
Es muss ein Informationssicherheitsmanagement System bei Vertragsschluss vorhanden sein.
Sollte die AN bzw. ihre Partnerinnen, Unterauftragnehmerinnen, Systemzulieferer, die in die Leistungserbringung maßgeblich involviert sind, nicht im Besitz eines Informationssicherheitszertifikats sein, muss glaubhaft nachgewiesen werden können, dass innerhalb der nächsten 12 Monate ein Informationssicherheitszertifikat angestrebt wird. Dazu müssen die inhaltlichen und zeitlichen Planungen der AG vorgelegt werden.
B) BSI C5 Testat Typ 2:
Sofern Sozialdaten im Rahmen der Leistungserbringung in der Cloud verarbeitet werden, muss der Betreiber der Cloud-Plattform nach dem BSI C5 Testats zertifiziert sein. Wenn in Bezug auf den Leistungsgegenstand die Sozialdaten nicht in einer Cloudumgebung, sondern on-Premise verarbeitet werden, ist kein Zertifikat (seitens des Dienstleisters) notwendig.
Falls zum Zeitpunkt des Beginns der Datenverarbeitung noch keine C5-Testierung vorliegt, kann für eine Übergangszeit der Nachweis der Einhaltung eines zum C5-Kriterienkatalog äquivalenten Sicherheitsniveaus durch alternative Zertifikate und Testate erbracht werden, wenn der Vertragsnehmer und seine Cloud-Computing-Subdienstleister eine stufenweise Migration der internen Sicherheitskontrollen auf den C5-Standard sicherstellen.
Für die Einhaltung eines zu einem Typ2- Testat nach dem Kriterienkatalog C5 des Bundesamtes für Sicherheit in der Informationstechnik gleichwertigen Sicherheitsniveaus im Sinne des § 393 Absatz 4 Satz 3 des Fünften Buches Sozialgesetzbuch gelten folgende Nachweise:

1. DIN EN ISO/IEC 27001:2022
2. ISO 27001 auf der Basis von IT-Grundschutz durch das Bundesamt für Sicherheit in der Informationstechnik (BSI)
3. Cloud Controls MatrixVersion 4.0

Ergänzend zu den vorgenannten Nachweisen muss für einen Cloud-Computing-Dienst ein Maßnahmenplan vorliegen, der mindestens folgendes enthält:
1. eine Dokumentation, die sich an den einzelnen Basiskriterien des C5-Kriterienkatalogs ausrichtet und diejenigen Basiskriterien hervorhebt, die materiell nicht durch das bestehende Testat oder Zertifikat zugrundeliegenden Standard abgedeckt werden,
2. eine Dokumentation der individuellen technischen und organisatorischen Vorkehrungen, die ergriffen werden, um die unter Nummer 1 gekennzeichneten materiellen Lücken zwischen den Anforderungen des C5-Kriterienkatalogs und den Anforderungen des alternativen Standards zu beheben,
3. eine Meilensteinplanung, aus der hervorgeht, bis wann die einzelnen Vorkehrungen nach Nummer 2 derart umgesetzt sein sollen, dass die unter Nummer 1 gekennzeichneten materiellen Lücken zu den Anforderungen der Basiskriterien des C5-Kriterienkatalogs behoben sind; hierbei darf ein Zeitraum von zwölf Monaten ab der Erstellung der Meilensteinplanung nicht überschritten werden und
4. eine Dokumentation von Maßnahmen zur Erlangung eines C5-Typ-2-Testats für den Cloud-Computing-Dienst innerhalb von 18 Monaten ab Erstellung der Meilensteinplanung; hierunter fallen auch vertragliche Vereinbarungen mit einem Auditor zur Durchführung eines C5-Typ-2-Audits oder die Aufnahme von Vertragsverhandlungen hierzu

Der Maßnahmenplan und das Testat oder Zertifikat sind dem Auftraggeber, sowie dessen zuständiger Aufsichtsbehörde zur Einsichtnahme vorzuhalten.

C) B3S:
Die Anforderungen im B3S-Kontext müssen zum Beginn der Leistungserbringung erfüllt sein. Jedoch gewähren wir dem Auftragnehmer eine Zeitspanne von 9 Monaten zur vollständigen Umsetzung der Anforderungen des B3S Standards (Teil 2).

Frage 2:
Siehe Beantwortung Frage 1.

Frage 3:
Siehe Beantwortung Frage 1.

Frage 4:
Ja, die Anforderungen können durch ein Mitglied einer Bietergemeinschaft, einen Unterauftragnehmer oder den jeweils eingesetzten Cloud- beziehungsweise IT-Dienstleister erfüllt werden, sofern dieser den betreffenden Leistungsbereich vollständig abdeckt.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge:

Nachricht:

Sehr geehrte Damen und Herren,

im Zusammenhang mit den Ausschlusskriterien (Fragebogen zur Eignungspruefung im Teilnahmewettbewerb) haben wir folgende Rückfragen:

Nutzung von Cloud-Diensten (Ausschlusselement)
B3S-Standard für gesetzliche Kranken- und Pflegeversicherer (Ausschlusselement)

Frage 1:
Unser Unternehmen verfügt über ein umfangreiches IT-Sicherheitskonzept in welchem sehr hohe Sicherheitsstands definiert sind.
Jedoch verfügen wir aktuell nicht über die von Ihnen geforderten Nachweise eines BSC-C5-Testat Typ 2 bzw. B3S-GKV/PV.
Unser IT-System kann aber - diesem Standard vergleichbare - Sicherheitsmaßnahmen weitestgehend erfüllen.

Wir bitten deshalb um Ihre Zustimmung, anstatt der beiden o.a. Testate als Eignungsnachweis ersatzweise unser IT-Sicherheitskonzept sowie ergänzend ggf. eine Stellungnahme unseres Datenschutzbeauftragen als Nachweis hierfür beizufügen.
Können Sie dieser Vorgehensweise zustimmen?

Frage 2:
Nutzung von Cloud-Diensten
Da es bei dem Verfahren um Lead-Agentur-Leistungen geht, ist die Nutzung von Cloud-Diensten unserer Einschätzung nach nicht zwingend Leistungsgegenstand des Auftrages.
Auch aus der Leistungsbeschreibung ist dies lediglich optional zu entnehmen.

Frage 2.1 Können Sie bestätigen, dass im Rahmen der Auftragsausführung nicht zwingend Cloud-Dienste genutzt werden?

Frage 2.2 Sofern Cloud-Dienste nicht zwingend Gegenstand der zu erbringenden Leistungen sind, kann folglich dann auf die Anforderung des Nachweises zu Ausschlusskriterium "Nutzung von Cloud-Diensten" verzichtet werden, bzw. kann dieser Nachweis ggf. erst bei konkretem Bedarf erbracht werden?

Vielen Dank für Ihre Antworten.

--------------------

Antworten der Vergabestelle

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Fragen, die wir gerne beantworten:

Frage 1:
BSI C5 Testat Typ 2:
Sofern Sozialdaten im Rahmen der Leistungserbringung in der Cloud verarbeitet werden, muss der Betreiber der Cloud-Plattform nach dem BSI C5 Testat Typ 2 zertifiziert sein. Wenn in Bezug auf den Leistungsgegenstand die Sozialdaten nicht in einer Cloudumgebung, sondern on-Premise verarbeitet werden, ist kein Zertifikat (seitens des Dienstleisters) notwendig.

Definition Sozialdaten in Bezug auf ges. Krankenversicherung siehe Sozialgesetzbuch (§ 67 Abs. 2 SGB X).

B3S GKV/PV
Die Anforderungen im B3S-Kontext müssen zum Beginn der Leistungserbringung erfüllt sein. Jedoch gewähren wir dem Auftragnehmer eine Zeitspanne von 9 Monaten zur vollständigen Umsetzung der Anforderungen des B3S Standards (Teil 2).

Frage 2.1:
Für die Erfüllung des Leistungsgegenstands müssen nicht zwingend Clouddienste eingesetzt werden. Für die Erbringung des Leistungsgegenstands kann eine on-Premise Lösung eingesetzt werden. In diesem Fall ist keine Zertifizierung nach BSI C5 Typ 2 erforderlich. Sollten Clouddienste zur Erbringung der Leistung eingesetzt werden, so gilt die Antwort 1.

Frage 2.2:
Siehe Beantwortung 2.1.

Freundliche Grüße
Einkauf und Vergabemanagement der SBK

Dateianhänge: