IT- und Cloud-Beschaffung im Vergaberecht

IT-Projekte verbinden Vergaberecht, Vertragsrecht und technische Anforderungen. Wer Software, Hardware, IT-Dienstleistungen oder Cloud-Angebote beschafft, muss den Bedarf so beschreiben, dass vergleichbare Angebote entstehen und die spätere Nutzung abgesichert ist. Für Bieter entscheidet sich häufig schon bei der Prüfung der Vergabeunterlagen, welche Leistungs- und Haftungsrisiken sie übernehmen.

Bedarf und Vertragsumfang frühzeitig festlegen

Vor der Ausschreibung sollten Fachabteilung, Vergabestelle, IT-Sicherheit und Datenschutz gemeinsam klären, welche Leistungen benötigt werden. Zum Gesamtvorhaben können Einrichtung, Migration, Lizenzen, Betrieb, Schulung, Pflege und ein späterer Anbieterwechsel gehören. Bei der Schätzung des Auftragswerts sind die vergaberechtlichen Regeln zu Laufzeiten, Optionen und zusammengehörenden Leistungen zu beachten. Die Aufteilung in einzelne Bestellungen darf nicht dazu dienen, Vergabepflichten zu umgehen.

Technische Abhängigkeiten sollten bereits in der Bedarfsanalyse sichtbar werden: Welche Schnittstellen sind zwingend? Welche Daten müssen übernommen werden? Gibt es dokumentierte Alternativen zur bestehenden Lösung? Ein bestehendes System begründet für sich genommen noch keine zulässige Direktvergabe an dessen Hersteller.

Leistungsbeschreibung und Nutzungsrechte

§ 31 VgV ermöglicht Leistungs- und Funktionsanforderungen. Sie sollten die benötigten Ergebnisse, Schnittstellen, Verfügbarkeit und Nachweise konkret beschreiben. Hersteller- und Produktvorgaben können den Wettbewerb beschränken und benötigen eine tragfähige gesetzliche Grundlage. Ob ein Gleichwertigkeitszusatz genügt oder eine weitergehende Begründung erforderlich ist, hängt vom jeweiligen Ausnahmetatbestand ab.

Für Software sind die Rechte mindestens ebenso wichtig wie die Funktionen: Wer darf das Programm nutzen, bearbeiten, weitergeben oder durch Dritte betreuen lassen? Benötigt der Auftraggeber Quellcode, Dokumentation oder Rechte an Individualentwicklungen? Open-Source-Komponenten sind mit ihren Lizenzpflichten zu erfassen. Eine pauschale Forderung nach sämtlichen Rechten kann unnötig Angebote ausschließen oder die Kosten erhöhen.

EVB-IT, Cloud-Vertrag und Open Source

Die EVB-IT sind Vertragsmuster für unterschiedliche IT-Leistungen; sie ersetzen weder die Verfahrenswahl noch die Leistungsbeschreibung. Der passende Vertragstyp hängt etwa davon ab, ob Standardsoftware überlassen, Individualsoftware erstellt, ein Gesamtsystem geliefert oder eine Cloud-Leistung bereitgestellt wird.

Die 2026 modernisierten Muster berücksichtigen Open-Source-Software stärker. Gleichwohl ist für jeden Vertragstyp zu prüfen, welche Fassung und welche Optionen zum Projekt passen. Bei Cloud-Angeboten sind insbesondere Leistungsbeschreibung, Anbieterbedingungen, Service-Level und ergänzende Vereinbarungen auf Widersprüche und ihre Rangfolge zu prüfen.

Datenschutz, Sicherheit und Anbieterwechsel

Bei personenbezogenen Daten sind Verantwortlichkeiten, eine gegebenenfalls erforderliche Auftragsverarbeitung, technische und organisatorische Maßnahmen sowie mögliche Drittlandübermittlungen zu prüfen. Ein Rechenzentrumsstandort in der EU beantwortet nicht automatisch sämtliche Fragen zu Supportzugriffen, Unterauftragnehmern und Datenverwendung.

Für den Betrieb sollten Wiederherstellung, Sicherheitsvorfälle, Updates und Mitwirkungspflichten geregelt werden. Ebenso wichtig ist das Vertragsende: Datenformate, Exportmöglichkeiten, Übergangsleistungen, Löschung und deren Nachweis sollten vor dem Zuschlag feststehen. So lassen sich spätere Abhängigkeiten und ungeplante Wechselkosten besser begrenzen.

Angebote nachvollziehbar vergleichen

Die Wertung sollte zum Beschaffungsziel passen. Neben dem Preis können beispielsweise Qualität, Bedienbarkeit, Sicherheit oder Betriebskonzepte relevant sein, soweit die gesetzlichen Voraussetzungen erfüllt sind. Tests und Präsentationen brauchen vorab festgelegte Maßstäbe und gleiche Bedingungen. Kosten für Migration, Speicher, Zusatznutzer, Schnittstellen und Vertragsende sollten im Bewertungsmodell berücksichtigt werden, soweit sie vorhersehbar und sachgerecht vergleichbar sind.

Prüfliste für IT-Vergaben

• Bedarf, Leistungsgrenzen, Laufzeit und Optionen abgestimmt?
• Leistungsbeschreibung verständlich und technisch begründet?
• Lizenzen, Quellcode und Nutzungsrechte passend geregelt?
• Vertragstyp, Anlagen und Anbieterbedingungen widerspruchsfrei?
• Datenschutz, Sicherheitsnachweise und Unterauftragnehmer geprüft?
• Wertung, Abnahme, Service-Level und spätere Migration konkret beschrieben?

Müssen Bieter eigene Vertragsbedingungen beifügen?

Bieter sollten die Vorgaben der Ausschreibung beachten. Eigene abweichende Geschäftsbedingungen können als Änderung der Vergabeunterlagen zum Ausschluss führen. Unklare oder nicht erfüllbare Anforderungen sollten rechtzeitig durch eine Bieterfrage und gegebenenfalls eine gesonderte Rüge geklärt werden.

Beratung bei IT- und Cloud-Vergaben

Sie möchten eine Beschaffung vorbereiten, Vergabeunterlagen prüfen oder ein Angebot rechtlich absichern? Über unser Kontaktformular können Sie uns Ihr Anliegen und laufende Fristen mitteilen.

Stand: 1. November 2026.

Quellen und Rechtsgrundlagen: § 31 VgV – Leistungsbeschreibung; § 3 VgV – Auftragswert; EVB-IT – amtliche Vertragsmuster; BMDS: Modernisierung der EVB-IT 2026; DSGVO, insbesondere Art. 28, 32 und 44 ff..

Weitere Grundlagen und Praxisthemen finden Sie in unserer Übersicht zum Vergaberecht.