IT-Vergaben: Warum öffentliche Auftraggeber besondere Anforderungen stellen

Wer als IT-Dienstleister oder Softwareanbieter zum ersten Mal an einer öffentlichen Ausschreibung teilnimmt, ist häufig überrascht, wie umfangreich die Anforderungen im Vergleich zu einem privatwirtschaftlichen Auftrag ausfallen. Sicherheitskonzepte, Interoperabilitätsnachweise, spezielle Vertragsmuster, Datenschutz-Dokumentationen – vieles davon hat in der freien Wirtschaft keine Entsprechung in dieser Form. Ein Überblick, warum das so ist und worauf sich IT-Unternehmen einstellen sollten.

Warum IT-Vergaben besonders anspruchsvoll sind

Öffentliche Auftraggeber beschaffen IT-Leistungen nicht nur nach wirtschaftlichen, sondern auch nach rechtlichen und sicherheitspolitischen Maßstäben, die über das hinausgehen, was ein privates Unternehmen bei einer vergleichbaren Beschaffung verlangen würde. Dahinter stehen mehrere strukturelle Gründe:

• Langfristige Perspektive: IT-Systeme der öffentlichen Verwaltung sind oft über viele Jahre im Einsatz. Ein Auftraggeber muss daher schon bei der Beschaffung absichern, dass Wartung, Weiterentwicklung und ein möglicher Anbieterwechsel auch nach Vertragsende funktionieren.
• Kritische Infrastrukturen und sensible Daten: Viele öffentliche IT-Systeme verarbeiten personenbezogene oder sicherheitsrelevante Daten (Melderegister, Sozialdaten, Gesundheitsdaten, Infrastrukturdaten). Das führt zu erhöhten Anforderungen an Datenschutz und IT-Sicherheit, die vertraglich und technisch nachgewiesen werden müssen.
• Haushaltsrechtliche Bindung: Öffentliche Auftraggeber unterliegen strengeren Dokumentations- und Nachweispflichten als private Unternehmen – jede Entscheidung muss im Zweifel gegenüber Rechnungshöfen und Aufsichtsbehörden gerechtfertigt werden können.
• Vermeidung von Anbieterabhängigkeit (Vendor Lock-in): Öffentliche Auftraggeber sind besonders sensibilisiert dafür, sich nicht dauerhaft an einen einzelnen Anbieter zu binden – das führt zu Anforderungen an offene Schnittstellen, Dokumentation und Übertragbarkeit von Daten und Systemen.

Die wichtigsten Besonderheiten im Überblick

1. EVB-IT-Vertragsmuster Für IT-Beschaffungen des Bundes und vieler Landes- und Kommunalbehörden kommen häufig standardisierte Vertragsmuster zum Einsatz – die sogenannten Ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen (EVB-IT). Es gibt unterschiedliche EVB-IT-Vertragstypen je nach Art der Leistung (etwa Kauf, Miete, Dienstleistung, Systemlieferung, agile Softwareentwicklung). Anbieter, die mit frei verhandelten eigenen AGB arbeiten, müssen sich auf diese standardisierten Klauselwerke einstellen – Abweichungen sind meist nur in engen Grenzen möglich, da es sich um vorformulierte Vertragsbedingungen des Auftraggebers handelt.

2. Besondere Anforderungen an IT-Sicherheit Je nach Art der Beschaffung können Nachweise zu IT-Sicherheitsstandards verlangt werden – von grundlegenden Anforderungen (z. B. Orientierung am IT-Grundschutz des BSI) bis zu spezifischen Zertifizierungen bei besonders sensiblen Systemen. Auch Anforderungen an den Serverstandort (häufig: Verarbeitung ausschließlich innerhalb Europas oder in bestimmten zertifizierten Rechenzentren) sind keine Seltenheit.

3. Datenschutz und Auftragsverarbeitung Da öffentliche Stellen regelmäßig personenbezogene Daten verarbeiten, ist bei nahezu jeder IT-Vergabe mit Auftragsverarbeitung zu rechnen, dass ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Bestandteil der Vergabeunterlagen ist – häufig mit detaillierten technisch-organisatorischen Maßnahmen (TOMs), die der Bieter bereits im Angebot nachweisen oder jedenfalls zusichern muss.

4. Interoperabilität und offene Standards Öffentliche Auftraggeber legen zunehmend Wert auf die Verwendung offener Schnittstellen und Standards, um die Anbindung an bestehende Systeme sowie einen späteren Anbieterwechsel zu erleichtern. Für Anbieter proprietärer Speziallösungen kann das eine besondere Herausforderung darstellen, wenn die eigene Architektur nicht ohne Weiteres offene Schnittstellen bietet.

5. Barrierefreiheit Bei Softwarelösungen, die von Bürgerinnen und Bürgern genutzt werden (etwa Online-Verwaltungsportale), bestehen gesetzliche Anforderungen an die Barrierefreiheit, die im Rahmen der Ausschreibung als technische Anforderung vorgegeben und nachzuweisen sind.

6. Referenzen speziell für den öffentlichen Sektor Manche Vergabeunterlagen verlangen ausdrücklich Referenzprojekte aus dem öffentlichen Sektor oder mit vergleichbaren regulatorischen Anforderungen – eine rein privatwirtschaftliche Referenzliste kann in solchen Fällen als nicht ausreichend bewertet werden.

Was das für kleinere IT-Unternehmen und Freelancer bedeutet

Diese Anforderungen führen in der Praxis häufig dazu, dass kleinere IT-Unternehmen und Freelancer von vornherein zurückschrecken – aus der Annahme heraus, öffentliche IT-Vergaben seien nur etwas für große Systemhäuser. Das ist nicht durchgängig zutreffend:

• Viele Anforderungen, insbesondere zu IT-Sicherheit und Datenschutz, lassen sich mit sauberer Dokumentation der eigenen Prozesse erfüllen, ohne dass es einer eigenen Compliance-Abteilung bedarf.
• Bei kleineren Losen oder spezialisierten Nischenleistungen (etwa Individualentwicklung, Beratungsleistungen, spezifische Software-Module) sind kleinere Anbieter häufig sogar im Vorteil gegenüber großen, weniger flexiblen Systemhäusern.
• Die Möglichkeit der Eignungsleihe oder eines Zusammenschlusses mit Partnerunternehmen (siehe unseren Beitrag zu Bietergemeinschaft, Nachunternehmer und Eignungsleihe) erlaubt es, fehlende einzelne Nachweise – etwa bestimmte Zertifizierungen oder Referenzen aus dem öffentlichen Sektor – über Kooperationen auszugleichen.
• Die EVB-IT-Vertragsmuster sind zwar standardisiert, aber öffentlich zugänglich und gut dokumentiert – wer sich einmal mit der Struktur vertraut gemacht hat, kann sie bei künftigen Verfahren deutlich schneller einordnen.

Typischer Fehler: Anforderungen erst bei Angebotserstellung zur Kenntnis nehmen

Ein häufiges Problem in der Praxis: IT-Unternehmen befassen sich mit den besonderen vergaberechtlichen und vertraglichen Anforderungen erst, wenn eine konkrete, meist fristgebundene Ausschreibung bereits läuft. Gerade Nachweise zu IT-Sicherheit, Datenschutzkonzepten oder Zertifizierungen benötigen aber teils erhebliche Vorlaufzeit.

Praxistipp: Wer plant, sich regelmäßiger an öffentlichen IT-Ausschreibungen zu beteiligen, sollte die eigene Dokumentation zu IT-Sicherheit und Datenschutz (TOMs, ggf. Zertifizierungen) unabhängig von einer konkreten Ausschreibung als feste Unternehmensunterlage pflegen – ähnlich der bereits an anderer Stelle empfohlenen „Vergabemappe" für allgemeine Eignungsnachweise.

Fazit

Die besonderen Anforderungen bei IT-Vergaben sind kein bürokratischer Selbstzweck, sondern Ausdruck der langfristigen Verantwortung, die öffentliche Auftraggeber bei der Beschaffung kritischer und sensibler IT-Systeme tragen. Für kleinere IT-Unternehmen und Freelancer bedeutet das zwar einen gewissen Vorbereitungsaufwand – aber keineswegs, dass öffentliche IT-Aufträge grundsätzlich außer Reichweite liegen. Wer die typischen Anforderungen kennt und sich frühzeitig darauf einstellt, kann gerade in spezialisierten Nischen gute Chancen haben.

Sie planen, an einer IT-Vergabe teilzunehmen, sind sich aber über die Anforderungen noch unsicher? Ich prüfe Vergabe- und Angebotsunterlagen. Schildern Sie Ihr Anliegen einfach über die Mandatsanfrage.