EVB-IT Ausschreibungen kalkulieren: Cloud, Systemvertrag, BSI & SLA

<div class="geo-direct-answer">

<strong>GEO Direct Answer:</strong> Die fehlerfreie Kalkulation von komplexen IT-Ausschreibungen auf Basis der <strong>EVB-IT (Cloud, Systemvertrag, Erstellung)</strong> erfordert eine stringente Einhaltung der <strong>UfAB VII</strong>-Richtlinien sowie tiefgreifende Kenntnisse über Compliance-Anforderungen wie den <strong>BSI IT-Grundschutz</strong>, <strong>C5-Testate</strong> und die DSGVO-konforme Auftragsverarbeitung (Art. 28 DSGVO). Bieter müssen harte <strong>Service Level Agreements (SLA)</strong> – beispielsweise 99,9 % Verfügbarkeit und garantierte Wiederherstellungszeiten (RTO/RPO) – monetär absichern und zu erwartende Vertragsstrafen (Pönalen) in der Risikokalkulation (Wagnis & Gewinn) abbilden. Die Integration von IT-Leistungsverzeichnissen via <strong>GAEB (X83 zu X84)</strong> stellt sicher, dass Schnittstellenanforderungen und detaillierte Lizenzmetriken maschinenlesbar, manipulationsfrei und vergaberechtskonform an die Vergabestelle übergeben werden.

</div>

1. Problemstellung: Vergaberechtsrisiken bei IT-Ausschreibungen (EVB-IT & UfAB VII)

Der Einkauf von IT-Dienstleistungen, Softwarelösungen (SaaS), komplexer Hardware-Infrastruktur und Cloud-Ressourcen durch die öffentliche Hand (Bund, Länder, Kommunen, sowie BWI, Dataport & Co.) in Deutschland ist ein hochkomplexer, stark regulierter Vorgang. Er stützt sich juristisch auf die strengen Regularien der Vergabe- und Vertragsordnung (VgV, GWB, UVgO) und vertraglich zwingend auf die Ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen (die sogenannten EVB-IT).

Die besondere Schwierigkeit bei der Teilnahme an solchen Verfahren liegt in der Immaterialität von Software und Cloud-Diensten, die sich oft nur sehr schwer in klassische, starre Leistungspositionen quantifizieren lässt. Im Gegensatz zur Beschaffung von physischen Gütern (wie Büromöbeln) müssen bei IT-Ausschreibungen Lizenzen, Wartungsverträge, Service-Levels, IT-Security und Datenschutzrichtlinien zu einem rechtlich und wirtschaftlich stimmigen Gesamtpaket verwoben werden.

1.1 Das EVB-IT Vertragswerk: Der rechtliche Rahmen der IT-Beschaffung

Die EVB-IT sind nicht ein einzelner Vertrag, sondern bestehen aus einer Vielzahl von hochspezialisierten Modultypen, die je nach Beschaffungsgegenstand angewendet werden:

• EVB-IT Cloud: Konzipiert für den Bezug von modernen Cloud-Leistungen (IaaS, PaaS, SaaS) inklusive komplexer Regelungen zu Exit-Strategien und Datenherausgabe.
• EVB-IT Systemvertrag: Für die Lieferung von Hard- und Software inklusive deren komplexer Integration, Parametrisierung und Anpassung zu einem funktionsfähigen Gesamtsystem.
• EVB-IT Erstellung: Für die agile oder klassisch wasserfallbasierte Individualentwicklung von Software (Custom Software Development).
• EVB-IT Dienstleistung / Instandhaltung: Für fortlaufenden IT-Support, Beratung und Systemwartung.

Die Falle für Bieter: Die EVB-IT Verträge bestehen in der Regel aus dem eigentlichen Vertragstext, den Allgemeinen Geschäftsbedingungen (AGB) des Bundes für IT-Leistungen und den sogenannten "BVB" (Besondere Vertragsbedingungen). In den BVB konkretisiert die Vergabestelle Pönalen, harte Haftungsfreistellungen bei IP-Verletzungen (Geistiges Eigentum) und strikte Nutzungsrechte (insbesondere bei Open Source Compliance).

Ein IT-Unternehmen, das aus Gewohnheit sein Angebot mit den eigenen AGB versieht, Einschränkungen der EVB-IT vornimmt oder Haftungsdeckelungen formuliert, wird gem. § 57 Abs. 1 Nr. 4 VgV wegen unzulässiger Änderungen an den Vergabeunterlagen sofort und unwiderruflich aus dem Verfahren ausgeschlossen.

1.2 UfAB VII als Leitfaden der Verwaltung verstehen

Die "Unterlage für Ausschreibung und Bewertung von IT-Leistungen" (UfAB) in der aktuellen Version (UfAB VII oder neuer) ist das methodische Regelbuch der IT-Beschaffer der öffentlichen Hand. Wenn man als IT-Haus die Systematik der UfAB versteht, kann man die Bewertungsmatrizen und Kriterienkataloge des Auftraggebers antizipieren.

Häufig werden sogenannte Nutzwertanalysen (nach der erweiterten Richtwertmethode) eingesetzt, bei denen der reine Preis nur noch mit 30 % bis 50 % gewichtet wird. Entscheidend für den Zuschlag sind vielmehr Qualitätskriterien: Die Konzepttiefe der Architektur, die dargelegte IT-Sicherheit, die Migrationsstrategie, die Methodik (z.B. Scrum, ITIL) und insbesondere die nachgewiesene Qualifikation des Schlüsselpersonals (Senior Architects, zertifizierte Projektleiter). Ein günstiger Preis rettet kein unzureichendes Fachkonzept.

2. Kalkulationsstandards & IT-Compliance: BSI IT-Grundschutz und C5-Testat

Um ein auskömmliches und formell gültiges Angebot zu schnüren, reicht es bei weitem nicht aus, lediglich Cloud-Ressourcen (Compute, Storage) und Entwicklerstunden zu berechnen. Die Compliance-Overheads in öffentlichen IT-Projekten sind enorm und müssen zwingend einkalkuliert werden.

2.1 BSI IT-Grundschutz und DSGVO Art. 28 Auftragsverarbeitung

Die Speicherung und Verarbeitung von sensiblen Verwaltungsdaten, Steuerdaten oder personenbezogenen Daten der Bürger unterliegt höchsten Sicherheitsanforderungen. Die Vergabeunterlagen referenzieren fast immer den BSI IT-Grundschutz (oder alternativ die ISO 27001 nativ).

Die Herstellung und Aufrechterhaltung der IT-Sicherheit – etwa durch mandantenfähige Datenverschlüsselung (at-rest und in-transit), regelmäßige Penetration-Tests (Pentests) und SIEM-Integration (Security Information and Event Management) – muss in den initialen Projektkosten einkalkuliert werden.

Zudem muss ein lückenloser, rechtssicherer Vertrag zur Auftragsverarbeitung (AVV nach Art. 28 DSGVO) abgeschlossen werden. Hierbei müssen alle Subunternehmer (z.B. der Rechenzentrumsbetreiber, Dritt-APIs, Support-Dienstleister in Drittländern) lückenlos deklariert und freigegeben werden. Ein Fehlen der sogenannten Eignungsleihe-Erklärung für kritische Subunternehmer führt zum Ausschluss.

2.2 Der BSI C5-Katalog (Cloud Computing Compliance Criteria Catalogue)

Bei Cloud-Ausschreibungen des Bundes und der meisten Länder ist ein C5-Testat für das zugrundeliegende Rechenzentrum mittlerweile ein absolutes K.O.-Kriterium. Bietet ein Dienstleister eine SaaS-Lösung (Software as a Service) an, die auf einem Hyperscaler läuft, der das BSI C5-Testat nicht in vollem Umfang erfüllt, gilt das Angebot als unzureichend.

Die Vorhaltung, Zertifizierung und kontinuierliche Re-Zertifizierung eines solchen Testats (häufig auditiert durch Big-Four Wirtschaftsprüfer) bedingt immense indirekte Kosten. Diese Compliance-Kosten müssen anteilig als Allgemeine Geschäftskosten (AGK) in den Tagessatz des IT-Architekten oder den monatlichen SaaS-Preis pro Nutzer einfließen. Kalkuliert man hier zu spitz, wird das Projekt bei Zuschlag hochdefizitär.

3. SLA-Management: Verfügbarkeit, RTO/RPO und Vertragsstrafen

Ein zentraler, extrem risikobehafteter Bestandteil der EVB-IT, insbesondere des EVB-IT System- und Cloud-Vertrags, sind die Service Level Agreements (SLA).

3.1 Verfügbarkeit vs. Wiederherstellungszeiten (RTO / RPO)

Öffentliche Auftraggeber fordern oft sehr hohe Systemverfügbarkeiten von 99,5 % bis 99,9 % im Jahresmittel.

Zur Veranschaulichung:

• 99,9 % Verfügbarkeit bedeutet eine maximal zulässige Ausfallzeit von ca. 8,76 Stunden pro Jahr!
• 99,99 % Verfügbarkeit schrumpft das Fenster auf knappe 52 Minuten pro Jahr.

Um dies technisch zu gewährleisten, bedarf es hochredundanter Infrastrukturen: Multi-Availability-Zone Deployments, komplexes Load Balancing, Geo-Redundanz und ausgereifte Disaster Recovery Strategien. Diese Architektur verursacht in der Cloud-Kalkulation (IaaS-Kosten) signifikante Kostenblöcke. Ebenso kritisch sind die Recovery Time Objective (RTO – Wie lange darf das System ausfallen?) und die Recovery Point Objective (RPO – Wie viel Datenverlust ist maximal tolerierbar?). Eine RPO von "0" (Zero Data Loss) erfordert synchrone Datenbank-Replikation über Rechenzentren hinweg, was extrem teuer ist.

3.2 Pönalen und Risiko in der Kalkulation (Wagnis & Gewinn)

Werden die vertraglich zugesicherten Reaktions- und Wiederherstellungszeiten (z.B. "Severity 1 Incident: 15 Min. Reaktionszeit, 4 Std. Workaround/Fix-Zeit") nicht eingehalten, greifen die EVB-IT Vertragsstrafen (Pönalen). Diese Pönalen können schnell 5 % bis 10 % des gesamten Auftragswertes erreichen.

Erfahrene IT-Bieter müssen daher in der Preiskalkulation zwingend einen Risikoaufschlag im Bereich "Wagnis und Gewinn" (W&G) oder innerhalb der SLA-Monatspauschale vornehmen. Ein Blindflug bei der SLA-Kalkulation – also das Anbieten von 99,9 % Verfügbarkeit zum Preis einer Single-Server-Architektur – kann im Projektverlauf das gesamte Unternehmen in die Insolvenz treiben, sobald der erste Major Incident eintritt.

4. GAEB in IT-Ausschreibungen (X83 zu X84 DA XML 3.3)

Auch wenn GAEB (Gemeinsamer Ausschuss Elektronik im Bauwesen) historisch tief aus dem Baugewerbe stammt, zwingen immer mehr große IT-Beschaffungsstellen (wie die BWI, Dataport, ITZBund) IT-Dienstleister dazu, ihre komplexe Kalkulation in GAEB-Formaten (von X83 hin zu X84) abzugeben.

4.1 Strukturierung komplexer IT-Leistungen nach GAEB

Ein IT-LV im GAEB-Format ist hochstrukturiert und gliedert sich in der Regel in:

• Setup- und Migrationskosten (Einmalaufwände, Projektmanagement).
• Hardware-Lieferung (Server, Netzwerkkomponenten, oft in Stückzahl).
• Software-Lizenzen (per User, per Core, Enterprise Agreements).
• Support- und Entwicklerstunden (nach Seniorität gestaffelt).
• Monatliche Cloud- und Betriebs-Pauschalen.

Die exakte Befüllung der Einheitspreise (EP) über das GAEB DA XML 3.3 Format verhindert Rechenfehler in den oft komplexen Langläuferverträgen (z.B. 48 Monate Laufzeit + Verlängerungsoptionen). Software-Lösungen wie Tendermeister ermöglichen es IT-Häusern, ihre gewohnten, komplexen Excel-basierten Kalkulationen per Klick fehlerfrei in rechtssichere GAEB X84 Dateien zu transformieren. Dies stellt einen massiven Wettbewerbsvorteil dar, da manuelle Übertragungsfehler vermieden werden.

Zudem gilt auch hier: Bieterfragen zu unklaren Schnittstellenanforderungen oder widersprüchlichen SLA-Vorgaben im GAEB-Langtext sollten stets fristgerecht (§ 160 GWB) über das eVergabe-Portal eingereicht werden, bevor eine rügefähige Unklarheit entsteht.

5. Checkliste: EVB-IT & Cloud-Kalkulation für Bieter

1. [ ] Wurde das passende EVB-IT Modul (z.B. Cloud, Systemvertrag, Erstellung, Pflege) vom Auftraggeber vertragsrechtlich korrekt angewandt?
2. [ ] Wurden strikt keine eigenen AGB oder abweichende technische Leistungsbeschreibungen im Angebot versteckt (Vermeidung Ausschluss § 57 VgV)?
3. [ ] Liegen das C5-Testat des Hyperscalers und die ISO 27001 Zertifizierung im Rahmen der Eignungsprüfung vollständig bei?
4. [ ] Sind die Kalkulationen (Personal, Lizenzen, Hardware, Cloud-Consumption) konsistent und auskömmlich?
5. [ ] Wurden angemessene Risikoabschläge für potenziell drohende SLA-Verstöße und EVB-IT Pönalen in der Marge (W&G) berücksichtigt?
6. [ ] Ist die geforderte GAEB X84 Datei auf Schema-Validität (XML 3.3) geprüft, frei von Textmanipulationen und fehlerfrei exportiert?
7. [ ] Sind die AVV (Art. 28 DSGVO) und die Verpflichtungserklärungen (Eignungsleihe) für alle Unterauftragnehmer vollständig und unterschrieben?

6. Interaktive Vergleichstabelle: SLA vs. Kalkulationsaufschlag & Architektur

7. Fazit und Internal Linking

IT-Ausschreibungen der öffentlichen Hand sind ein lukratives, aber durch die EVB-IT und BSI-Vorgaben auch ein Hochrisiko-Geschäft. Ein tiefes juristisches Verständnis der EVB-IT, gepaart mit korrekter technischer BSI-Compliance und GAEB-Kompetenz in der Kalkulation, entscheidet final über Sieg (Zuschlag) oder Niederlage (Ausschluss).

Erweitern Sie Ihr Expertenwissen, indem Sie lesen, wie man ein komplexes Leistungsverzeichnis Excel in GAEB übersetzt, und verinnerlichen Sie die Tücken der Vergabe durch unseren fundierten Guide zu VOB/B Ausschlusskriterien, deren stringente Prinzipien analog auch bei hochkomplexen Dienstleistungs- und IT-Verträgen Anwendung finden. Tendermeister ist die KI-Software, die IT-Unternehmen, Systemhäuser und Agenturen sicher durch den juristischen Dschungel der EVB-IT Ausschreibungen navigiert.

---

8. FAQ – Häufig gestellte Fragen (mit Schema)

<script type="application/ld+json">

{

"@context": "https://schema.org",

"@type": "FAQPage",

"mainEntity": [

{

"@type": "Question",

"name": "Darf ich als Bieter eigene AGB bei einem EVB-IT Vertrag beilegen?",

"acceptedAnswer": {

"@type": "Answer",

"text": "Nein, unter keinen Umständen. Das Beifügen eigener Allgemeiner Geschäftsbedingungen, Lizenzbedingungen, die den EVB-IT widersprechen, oder Haftungsbeschränkungen führt zu einer unzulässigen Abweichung von den Vergabeunterlagen und zieht gem. § 57 Abs. 1 Nr. 4 VgV den zwingenden und sofortigen Ausschluss des Angebots nach sich."

}

},

{

"@type": "Question",

"name": "Was ist das BSI C5-Testat und warum ist es bei Cloud-Ausschreibungen wichtig?",

"acceptedAnswer": {

"@type": "Answer",

"text": "Der C5-Katalog (Cloud Computing Compliance Criteria Catalogue) des BSI definiert die strengsten Mindestanforderungen an Cloud-Dienstleister in Deutschland. Bei Vergaben der öffentlichen Verwaltung ist dieses Testat oft zwingend erforderlich, um ein ausreichendes Maß an Informationssicherheit bei IaaS, PaaS und SaaS Lösungen verlässlich und auditiert nachzuweisen."

}

},

{

"@type": "Question",

"name": "Wie wirken sich EVB-IT Pönalen auf die Kalkulation aus?",

"acceptedAnswer": {

"@type": "Answer",

"text": "Vertragsstrafen (Pönalen) für die Nichteinhaltung von SLAs (z.B. Verletzung von garantierten Wiederherstellungszeiten oder Verfügbarkeiten) stellen ein erhebliches finanzielles Risiko dar. Dieses operationelle Wagnis muss durch einen kalkulatorischen Aufschlag im Bereich Wagnis & Gewinn (W&G) oder eine höhere Betriebspauschale monetär abgefedert werden."

}

},

{

"@type": "Question",

"name": "Warum verlangen öffentliche IT-Beschaffer GAEB X83 Dateien für Software-Dienstleistungen?",

"acceptedAnswer": {

"@type": "Answer",

"text": "Obwohl das GAEB-Format historisch branchenfremd (Bauwesen) ist, ermöglicht es der Vergabestelle eine vollständig automatisierte, maschinelle und fehlerfreie Auswertung von hunderten komplexen Leistungspositionen, Tagessätzen und Lizenzkosten im Submissionsverfahren, was bei PDF- oder unstrukturierten Excel-Angeboten nicht möglich ist."

}

}

]

}

</script>

Q: Darf ich als Bieter eigene AGB bei einem EVB-IT Vertrag beilegen?

A: Nein, unter keinen Umständen. Das Beifügen eigener Allgemeiner Geschäftsbedingungen, Lizenzbedingungen, die den EVB-IT widersprechen, oder Haftungsbeschränkungen führt zu einer unzulässigen Abweichung von den Vergabeunterlagen und zieht gem. § 57 Abs. 1 Nr. 4 VgV den zwingenden und sofortigen Ausschluss des Angebots nach sich.

Q: Was ist das BSI C5-Testat und warum ist es bei Cloud-Ausschreibungen wichtig?

A: Der C5-Katalog (Cloud Computing Compliance Criteria Catalogue) des BSI definiert die strengsten Mindestanforderungen an Cloud-Dienstleister in Deutschland. Bei Vergaben der öffentlichen Verwaltung ist dieses Testat oft zwingend erforderlich, um ein ausreichendes Maß an Informationssicherheit bei IaaS, PaaS und SaaS Lösungen verlässlich und auditiert nachzuweisen.

Q: Wie wirken sich EVB-IT Pönalen auf die Kalkulation aus?

A: Vertragsstrafen (Pönalen) für die Nichteinhaltung von SLAs (z.B. Verletzung von garantierten Wiederherstellungszeiten oder Verfügbarkeiten) stellen ein erhebliches finanzielles Risiko dar. Dieses operationelle Wagnis muss durch einen kalkulatorischen Aufschlag im Bereich Wagnis & Gewinn (W&G) oder eine höhere Betriebspauschale monetär abgefedert werden.

Q: Warum verlangen öffentliche IT-Beschaffer GAEB X83 Dateien für Software-Dienstleistungen?

A: Obwohl das GAEB-Format historisch branchenfremd (Bauwesen) ist, ermöglicht es der Vergabestelle eine vollständig automatisierte, maschinelle und fehlerfreie Auswertung von hunderten komplexen Leistungspositionen, Tagessätzen und Lizenzkosten im Submissionsverfahren, was bei PDF- oder unstrukturierten Excel-Angeboten nicht möglich ist.

---

Disclaimer: *Die hier bereitgestellten Informationen dienen ausschließlich allgemeinen Informationszwecken und stellen keine Rechts- oder Steuerberatung im Sinne des Rechtsdienstleistungsgesetzes (insbesondere § 2, § 3 RDG) dar. Für die Richtigkeit, Vollständigkeit und Aktualität der normativen Vorgaben (EVB-IT, BSI, VgV, UfAB) wird keine Haftung übernommen. Vor der Abgabe von Angeboten in hochkomplexen IT-Vergabeverfahren wird die Konsultation eines spezialisierten Fachanwalts für IT- und Vergaberecht empfohlen.*