OLG Düsseldorf, Beschluss vom 22.04.2020 – Verg 34/19

Mit Bekanntmachung vom … (Nr. …) schrieb die Antragsgegnerin die Vergabe eines „Rahmenvertrags für Schnittstellenkontrolle (SW+Pflege+DL)“ im offenen Verfahren europaweit aus. Gegenstand des Vertrags ist der Erwerb einer Software für Schnittstellenkontrolle (SSK), Unterstützungs-leistungen für Mitarbeiter sowie Pflege und Support für die Software mit dem Ziel, das Ausbringen von Schadsoftware auf externen Datenträgern zu unterbinden. Die Laufzeit des Vertrags beträgt 36 Monate mit einer einmaligen Verlängerungsoption um weitere 12 Monate. Den Zuschlag erhält das wirtschaftlichste Angebot, das nach Ziff. 5.13 des Leitfaden zum Vergabeverfahren Prüfung und Wertung der Angebote ermittelt wird.

In der Auftragsbekanntmachung, auf die wegen weiterer Einzelheiten Bezug genommen wird, sind unter Ziff. III.1.3) „Technische und berufliche Leistungsfähigkeit“ Eignungskriterien aufgestellt, die mit mindestens drei Referenzprojekten über mit dem Auftragsgegenstand gleichwertige Leistungen nachzuweisen sind. So heißt es dort neben Anforderungen an den Zeitraum, die Laufzeit und die Anzahl der Lizenzen:

„Die Referenzprojekte müssen die nachfolgenden Anforderungen an die Dienstleistungen mit mindestens 50 Personentagen pro Jahr nachweisen:

- Installation der Schnittstellenkontrolle inkl. betriebsbereites Einstellen der Grundkonfiguration und Troubleshooting im Rahmen der Erstinstallation,

- Durchführung einer Einführungsschulung im Umfang von mindestens 6 und maximal acht Unterrichtsstunden à 45 Minuten mit angemessenen Pausen am Sitz des Bedarfsträgers inkl. angemessenem Schulungsmaterial für bis zu 10 Personen,

- Coaching-Leistungen für maximal 3 Personen in Bezug auf den Umgang mit der Schnittstellenkontrolle unter Berücksichtigung der Funktionalitäten und von der Auftragnehmerin geschilderten Aufgabenstellungen.“

Zu den Vergabeunterlagen gehören die im Leitfaden zum Vergabeverfahren, Bewerbungsbedingungen und Vertragsunterlagen ZIB ...“ (dort Ziff. 2 Dokumentationsverzeichnis) aufgelisteten Unterlagen und Formulare. Hierzu zählt unter anderem der vom Bundesamt für Sicherheit in der Informationstechnik formulierte Mindeststandard des BSI für Schnittstellenkontrollen nach § 8 Abs. 1 Satz 1 BSIG (Anlage BF 3), auf den wegen weiterer Einzelheiten Bezug genommen wird. Es heißt dort unter der Überschrift „1 Einordung und Begründung“:

„Zur Umsetzung des Mindeststandards ist zu prüfen, ob die umgesetzten Maßnahmen zur Schnittstellenkontrolle alle Sicherheitsanforderungen (Siehe Kapitel2) vollständig erfüllen oder ob ggf. noch ergänzende Softwareprodukte beschafft werden müssen. Eigene Prüfungen nach Teststellung und Installation in einer dem geplanten Einsatzszenario entsprechenden Umgebung werden empfohlen.“

In der Leistungsbeschreibung sind unter Ziff. 3 die Ziele und Anforderungen an die ausgeschriebene und von den Bietern anzubietende Leistung beschrieben. Unter Ziff. 3.1. Allgemeine Beschreibung heißt es in Absatz 4:

„Die SSK (..) gewährt die Umsetzung einer Sicherheitsrichtlinie für Schnittstellen nach dem Stand der Technik unter Einhaltung des Mindeststandards des BSI für Schnittstellenkontrolle (siehe Mindeststandard des BSI für Schnittstellenkontrolle nach § 8 Absatz 1 Satz 1 BSIG - Version 1.1 vom 28.11.2017).“

Unter Ziff. 3.2. Anforderungen an die Software sind sodann auf mehr als fünf Seiten im Einzelnen die Kriterien benannt, die die SSK in jedem Fall erfüllen muss (A-Kriterien), und die Anforderungen, die sie erfüllen soll (B-Kriterien). Die B-Kriterien werden ausweislich des Dokuments „08_Kriterienkatalog Leistung“ anhand eines an Punkten orientierten Bewertungsmaßstabs bewertet und mit festgelegten Gewichtungspunkten gewichtet.

Innerhalb der bis zum 14.05.2019 laufenden Angebotsfrist gingen neben dem Angebot der Antragstellerin und der Beigeladenen noch zwei weitere Angebote ein.

Die Antragstellerin hatte ihrem Angebot insgesamt 12 Referenzen beigefügt, jedoch waren keine drei Referenzen vorhanden, die jeweils Dienstleistungen mit mindestens 50 Personentagen pro Jahr zum Gegenstand hatten. Die Antragsgegnerin schloss das Angebot der Antragstellerin und die Angebote von zwei weiteren Bietern auf der ersten Wertungsstufe aus. Den Zuschlag soll das Angebot der Beigeladenen erhalten. Hierüber unterrichtete die Antragsgegnerin die Antragstellerin mit Schreiben vom 12.06.2019 (Anl. Ast. 4). Die Antragstellerin reagierte hierauf mit Schreiben vom 17.06.2019 und 12.07.2019 und rügte den Ausschluss ihres Angebots als vergaberechtswidrig. Die Bekanntmachung verstoße in Bezug auf die Referenzanforderungen gegen das Transparenzgebot. Es sei unklar, ob sich die geforderten 50 Personentage pro Jahr auf die geforderten drei Referenzprojekte insgesamt beziehen oder auf jedes einzelne Referenzprojekt. Zudem beständen begründete Zweifel an der Zuschlagsfähigkeit des Angebots der Beigeladenen und insbesondere daran, ob die von der Beigeladenen angebotene Software die Mindeststandards des BSI für Schnittstellenkontrollen erfülle. Zu beanstanden sei ferner, dass die Antragsgegnerin keine Prüfung und Teststellung vorgesehen und bekannt gemacht habe, obwohl sie hierzu verpflichtet sei.

Da die Antragsgegnerin den Rügen nicht abhalf, beantragte die Antragstellerin unter dem 17.07.2019 Nachprüfung bei der Zuständigen Vergabekammer des Bundes.

Die Antragstellerin hat beantragt,

19das Vergabenachprüfungsverfahren über das Vergabeverfahren „Rahmenvertrag für Schnittstellenkontrolle (SW+Pflege+DL)“ (EU-Bekanntmachung vom …, Az…) gemäß §§ 160 ff. GWB einzuleiten und der Antragsgegnerin zu untersagen, den Zuschlag in der vorgesehenen Weise zu erteilen;

20die Antragsgegnerin zu verpflichten, bei fortbestehender Beschaffungsabsicht, das Vergabeverfahren „Rahmenvertrag für Schnittstellenkontrolle (SW+Pflege+DL)“ (EU-Bekanntmachung vom …, Az. …) in den Stand vor der Angebotsabgabe und Bekanntmachung zurückzuversetzen und unter Berücksichtigung der Rechtsauffassung der Vergabekammer zu wiederholen;

21hilfsweise andere geeignete Maßnahmen anzuordnen, um die Rechtmäßigkeit des Verfahrens herzustellen.

Die Antragsgegnerin und die mit Beschluss vom 23.07.2019 Beigeladene haben beantragt,

den Nachprüfungsantrag zurückzuweisen.

Mit Beschluss vom 13.09.2019, auf den zur Vermeidung von Wiederholungen Bezug genommen wird, hat die Vergabekammer den Nachprüfungsantrag zurückgewiesen und zur Begründung im Wesentlichen ausgeführt, es bestehe keine Pflicht der Antragsgegnerin vor Zuschlagserteilung eine Überprüfung oder Teststellung der angebotenen Software daraufhin durchzuführen, ob die gestellten Mindestanforderungen an die Software tatsächlich eingehalten werden. Es könne dahinstehen, ob die Referenzanforderungen intransparent und ihnen durch Auslegung kein eindeutiger Inhalt beigemessen werden könne. Jedenfalls sei der Antragstellerin hierdurch kein Schaden entstanden, weil sie nicht das wirtschaftlichste Angebote abgegeben habe.

Gegen diesen Beschluss wendet sich die Antragstellerin mit der sofortigen Beschwerde. Sie wiederholt und vertieft ihr Vorbringen zu dem geltend gemachten Verstoß gegen § 122 Abs. 4 S. 2 GWB, § 97 Abs. 1 u. 2 GWB durch intransparente Anforderungen an die einzureichenden Referenzen. Soweit sie einen Verstoß gegen § 127 Abs. 4 GWB, § 58 VgV darin sieht, dass die Antragsgegnerin keine Prüfung in Bezug auf die geforderte Einhaltung des Mindeststandards des BSI für Schnittstellenkontrollen vorgesehen hat, ergibt sich ihrer Meinung nach eine solche Pflicht zur Überprüfung daraus, dass sich die Antragsgegnerin in Ziff. 3.1 der Leistungsbeschreibung freiwillig zur Umsetzung des BSI Mindeststandard verpflichtet habe und von einer Selbstbindung der Verwaltung auszugehen sei. Darüber hinaus macht die Antragstellerin erstmals in der Beschwerdeschrift (dort Seite 46-48) und in ihrem Schriftsatz vom 20.02.2020 (dort Seiten 21 f) geltend, die Leistungsanforderungen und die Zuschlagskriterien seien unklar formuliert, weil die Antragsgegnerin die in dem BSI Mindeststandard als Mindestniveau festgelegten Sicherheitsanforderungen nicht vollständig in Ziff. 3.2 - 3.4 der Leistungsbeschreibung und dem Dokument „08_Kriterienkatalog Leistung“ umgesetzt habe und der Erfüllungsgrad der Leistungskriterien gemäß Ziff. 5.13 des „Leitfadens zum Vergabeverfahren“ (dort S. 12) und damit die Zuschlagskriterien unklar seien.

Die Antragstellerin wiederholt ihre vor der Vergabekammer gestellten Anträge.

Die Antragsgegnerin beantragt,

die sofortige Beschwerde zurückzuweisen.

Die Beigeladene stellt keinen Antrag.

Die sofortige Beschwerde hat keinen Erfolg.

Der Nachprüfungsantrag ist unzulässig, soweit die Antragstellerin erstmals im Beschwerdeverfahren (GA Bl. 47 ff. u. 215) geltend macht, die Leistungs-anforderungen und die Zuschlagskriterien seien unklar formuliert, weil die Antragsgegnerin die im BSI Mindeststandard als Mindestniveau festgelegten Sicherheitsanforderungen nicht vollständig in Ziff. 3.2 - 3.4 der Leistungsbeschreibung und dem Dokument „08_Kriterienkatalog Leistung“ umgesetzt habe und der Erfüllungsgrad der Leistungskriterien gemäß Ziff. 5.13 des „Leitfadens zum Vergabeverfahren“ (dort S. 12) und damit die Zuschlagskriterien unklar seien.

Die Antragstellerin ist mit dieser Rüge gemäß § 160 Abs. 3 S. 1 Nr. 1 GWB präkludiert. Der Nachprüfungsantrag ist nach dieser Vorschrift unzulässig, soweit der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat.

Voraussetzung für die erforderliche Kenntnis ist die positive Kenntnis des Antragstellers von den einen Vergaberechtsverstoß begründenden tatsächlichen Umständen und zugleich die zumindest aufgrund laienhafter vernünftiger Wertung gewonnene positive Vorstellung von einem Verstoß gegen Vergabevorschriften (BGH VergabeR 2007, 59 Rn. 35). Dabei ist ein mutwilliges Sich-der-Erkenntnis-Verschließen der positiven Kenntnis gleichgesetzt.

Der Inhalt der Vergabeunterlagen, zu denen neben der Leistungsbeschreibung auch der Mindeststandard BSI Schnittstellenkontrolle und das Dokument „08_Kriterienkatalog Leistung“ (siehe jeweils S. 5 Leitfaden zum Vergabeverfahren) gehören, war der Antragstellerin, die auf der Grundlage dieser Unterlagen fristgemäß ein Angebot abgegeben hat, bekannt und damit auch die von ihr geltend gemachten Unklarheiten. Spätestens nach anwaltlicher Beratung durch zwei Fachanwältinnen für Vergaberecht war der Antragstellerin positiv bekannt, dass es sich hierbei um einen Verstoß gegen den Transparenzgrundsatz und das Gebot der eindeutigen Leistungsbeschreibung handeln könnte. Die Rechtsanwältinnen waren von der Antragstellerin mit der Prüfung des Vergabeverfahrens auf Vergaberechtsfehler beauftragt worden. Ihr Wissen ist der Antragstellerin analog § 166 BGB zuzurechnen. Dieses Wissen lag spätestens am 17.06.2019 vor, als die Verfahrensbevollmächtigten im Namen der Antragstellerin das Rügeschreiben an die Antragsgegnerin verfassten. Spätestens innerhalb der Frist von 10 Kalendertagen hätten daher die oben genannten vermeintlichen Vergaberechtsverstöße gerügt werden müssen. Dies ist indes nicht geschehen. Erstmals im Rahmen der Beschwerdeschrift vom 26.09.2019 hat die Antragstellerin bezogen auf den BSI Mindeststandard und die Zuschlagskriterien einen Verstoß gegen das Transparenzgebot geltend gemacht.

Der Nachprüfungsantrag ist - soweit er zulässig ist - nicht begründet.

a.

Ein Verstoß gegen den Transparenzgrundsatz (§ 97 Abs. 1 S. 1 GWB) liegt nicht vor.

Die von der Antragsgegnerin gestellten inhaltlichen Anforderungen an die vorzulegenden Referenzen, wonach für die nachzuweisenden Dienstleistungen Installation der Schnittstellenkontrolle, Einführungsschulung und Coaching-Leistungen mindestens 50 Personentage pro Jahr angefallen sein müssen, sind nicht unklar und damit nicht intransparent.

Ein Verstoß gegen den Transparenzgrundsatz liegt vor, wenn die in den Vergabeunterlagen zum Ausdruck gebrachten intransparenten Anforderungen wegen ihrer Mehrdeutigkeit nicht von allen Bietern im gleichen Sinn verstanden werden mussten (EuGH NZBau 2015, 301 Rn. 54 - eVigilo; EuGH NZBau 2016, 445 Rn. 36 - Pizzo; Ziekow in Ziekow/Völlink, Vergaberecht, 3. Aufl., GWB § 97 Rn. 48 m.w.Nachw.). Aus den Vergabeunterlagen muss für die Bieter eindeutig und unmissverständlich hervorgehen, welche Erklärungen von ihnen verlangt werden. Die Vergabestellen trifft insoweit die Verpflichtung, die Vergabeunterlagen klar und eindeutig zu formulieren und Widersprüchlichkeiten zu vermeiden (BGH, Urteil v. 03.04.2012, X ZR 130/10 - Straßenausbau, juris Rn. 9; BGH, Urteil v. 10.06.2008, X ZR 78/07, juris Rn. 10 - Nachunternehmererklärung). Ob die in vorformulierten Vergabeunterlagen vorgesehenen Erklärungen diesen Anforderungen genügen, richtet sich nach dem objektiven Empfängerhorizont der potentiellen Bieter, also eines abstrakt bestimmten Adressatenkreises (BGHZ 124, 64; (BGH, Urteil v. 03.04.2012, X ZR 130/10 - Straßenausbau, juris Rn. 10; BGH Urteil v. 15.01.2013, X ZR 155/10 - Parkhaussanierung, juris Rn. 9 jeweils m.w.Nachw.)

Ausgehend von diesen Voraussetzungen ist den Vergabeunterlagen mit der gebotenen Deutlichkeit zu entnehmen, dass jede einzelne der vorzulegenden Referenz sich über mindestens 50 Personentage pro Jahr für Einführungs- und Unterstützungsleistungen gemäß Ziff. 3.3 der Leistungsbeschreibung verhalten muss. Die von der Antragstellerin beanstandete Formulierung in Ziff. III.1.3) der Bekanntmachung ist nicht mehrdeutig, vielmehr kommt ihr nicht zuletzt durch eine Auslegung der Vergabeunterlagen ein eindeutiger Inhalt zu. Die relevante Passage lautet wie folgt:

„Die Referenzprojekte müssen die nachfolgenden Anforderungen an die Dienstleistungen mit mindestens 50 Personentagen pro Jahr nachweisen:

- Installation der Schnittstellenkontrolle inkl. betriebsbereites Einstellen der Grundkonfiguration und Troubleshooting im Rahmen der Erstinstallation,

- Durchführung einer Einführungsschulung im Umfang von mindestens 6 und maximal acht Unterrichtsstunden à 45 Minuten mit angemessenen Pausen am Sitz des Bedarfsträgers inkl. angemessenem Schulungsmaterial für bis zu 10 Personen,

- Coaching-Leistungen für maximal 3 Personen in Bezug auf den Umgang mit der Schnittstellenkontrolle unter Berücksichtigung der Funktionalitäten und von der Auftragnehmerin geschilderten Aufgabenstellungen.“

Entgegen den Ausführungen der Antragstellerin kann diese Formulierung nicht dahingehend verstanden werden, dass die geforderte Mindestzahl an Personentagen pro Jahr nicht in jeder einzelnen der insgesamt vorzulegenden mindestens drei Referenzen nachgewiesen sein muss, sondern es ausreichend ist, dass die geforderten 50 Personentage pro Jahr kumulativ durch drei Referenzen zusammen nachgewiesen werden können. Nach dem objektiven Empfängerhorizont der potentiellen Bieter hat die Forderung vielmehr den eindeutigen Inhalt, dass jedes einzelne Referenzprojekt mindestens 50 Personentage pro Jahr nachweisen muss. Dass nach dem Wortlaut der Bestimmung die inhaltlichen Anforderungen nicht im Singular für ein Referenzprojekt formuliert worden sind, sondern im Plural für mehrere Referenzprojekte, führt ebenso wenig zu einer unüberwindbaren Mehrdeutigkeit wie die Tatsache, dass mindestens 50 Personentage pro Jahr nachzuweisen sind. Die gesamten unter Ziff. 1.3) der Bekanntmachung geforderten Referenzangaben sind bezogen auf die Referenzprojekte im Plural formuliert. So heißt es u.a. „Die Referenzprojekte müssen eine Laufzeit von mehr als 3 Monaten haben.“, „Die Referenzen müssen Lieferungen von mindestens 5.000 Lizenzen für Schnittstellenkontrollen aufweisen.“ Auch nach dem Verständnis der Antragstellerin beziehen sich diese Anforderungen auf jede einzelne Referenz und können nicht kumulativ durch mehrere Referenzen gemeinsam nachgewiesen werden. Es sind keinerlei Anhaltspunkte dafür vorhanden, dass für die Forderung nach mindestens 50 Personentagen pro Jahr für erbrachte Einführungs- und Unterstützungsleistungen etwas anderes gelten soll. Dies wird bestätigt durch die Darstellung in Ziff. 5.7.1 Leitfaden zum Vergabeverfahren (dort Seite 10). Dort sind Anforderungen „an die benannten Referenzen“ unter fünf Bullet-Points aufgelistet. An fünfter Stelle der Auflistung heißt es: „Die Referenzprojekte müssen die Anforderungen an die Dienstleistungen gemäß Abschnitt 3.3 der Leistungsbeschreibung mit mindestens 50 Personentagen pro Jahr aufweisen.“ Diese gleichrangige Auflistung würde keinen Sinn machen, wenn im Gegensatz zu den übrigen unter den vorangegangenen vier Bullet-Points formulierten Anforderungen ausnahmsweise der Nachweis nicht für jede einzelne Referenz nachzuweisen ist, sondern ausreichend sein soll, dass die Anforderung durch mehrere Referenzen gemeinsam erfüllt werden kann. Hiermit konform geht das vom Bieter für jede einzelne Referenz auszufüllende Formular „Unternehmensreferenzen“. Dort finden sich keinerlei Anhaltspunkte oder Verweise, die darauf hindeuten könnten, dass die hier in Rede stehende Anforderung an die Personentage (auch) dadurch nachgewiesen werden kann, dass alle drei Referenzen zusammen, dh die dort genannten Personentage addiert, auf die Mindestzahl von 50 Personentagen kommen.

Schließlich spricht auch der Sinn und Zweck, der mit der Vorlage der Referenzen verfolgt wird, eindeutig dafür, dass sich jede einzelne der vorzulegenden Referenzen über mindestens 50 Personentage pro Jahr für Einführungs- und Unterstützungsleistungen gemäß Ziff. 3.3 der Leistungsbeschreibung verhalten muss. Die nach § 47 Abs. 3 Nr. 1 VgV verlangten Nachweise über in der Vergangenheit ausgeführte Aufträge sollen Auskunft über Erfahrungen der Bieter mit Aufträgen geben, die mit dem ausgeschriebenen Auftrag nach Art, Inhalt und Umfang vergleichbar sind. Dies betrifft auch die Einführungs- und Unterstützungsleistungen nach Ziff. 3.3 der Leistungsbeschreibung, für die die Antragsgegnerin in ihrem Preisblatt zur Ermittlung des Angebotsvergleichspreises 1.600 Personaltage für einen Zeitraum von 4 Jahren geschätzt hat. Geht die Antragsgegnerin aber somit geschätzt für 1 Jahr von 400 Personaltagen für Einführungs- und Unterstützungsleistungen aus, dann muss im Hinblick auf die Aussagekraft der geforderten Referenzen und des vergleichbaren Umfangs der bereits erbrachten Leistungen der geforderte Mindestumfang von 50 Personaltagen pro Jahr von jedem einzelnen Referenzprojekt erfüllt werden. Bei einer kumulativen Betrachtung wäre der Leistungsumfang für die einzelne Referenz so gering, dass es an der Vergleichbarkeit zwischen der erbrachten und der ausgeschriebenen (Teil-)Leistung fehlt. Ein tragfähiger Rückschluss auf die Leistungsfähigkeit des Bieters bezogen auf die Einführungs- und Unterstützungsleistungen wäre nicht möglich.

b.

Die Vergabeunterlagen sind auch nicht deshalb vergaberechtlich zu beanstanden, weil die Antragsgegnerin vor der Entscheidung über den Zuschlag keine Überprüfung oder Teststellung der angebotenen Software auf Einhaltung der nach Ziff. 3.2 der Leistungsbeschreibung gestellten Anforderungen an die Software vorgesehen hat. Die Antragsgegnerin ist zur Durchführung einer Teststellung vor Zuschlagsentscheidung nicht verpflichtet, so dass es keiner weiteren Ausführungen zu der umstrittenen Frage bedarf, ob und wann die Durchführung einer Teststellung in der Bekanntmachung und den Vergabeunterlagen bekannt gemacht werden muss (vgl. Senat, Beschluss v. 15.01.2020, Verg 20/19 m.w.Nachw.).

Der öffentliche Auftraggeber ist grundsätzlich frei in seiner Entscheidung, ob er eine Teststellung durchführt oder nicht. Es liegt in seinem Ermessen, ob und wie er die Erfüllungskriterien überprüft und welche konkreten Leistungskriterien er ansetzt (Dreher/Aschoff, NZBau 2006, 144, 147; Jennert/Werner, VergabeR 2016, 174). Nur ausnahmsweise besteht eine Rechtspflicht zur Durchführung einer Teststellung. Dies ist etwa dann der Fall, wenn die Durchführung einer verifizierenden Teststellung in den Verdingungsunterlagen verbindlich vorgesehen ist oder der Auftraggeber Zuschlagskriterien benannt hat, die sich nur anhand eigener Anschauung feststellen lassen (Dreher/Aschoff, NZBau 2006, 144, 147; Jennert/Werner, VergabeR 2016, 174). Gleiches gilt, wenn (ausnahmsweise) konkrete Anhaltspunkte das Leistungsversprechen des Zuschlagsprätendeten nicht als plausibel erscheinen lassen (Senat, Beschluss v. 15.01.2020, Verg 20/19 m.w.Nachw.). Hier liegt keine der genannten Ausnahmen vor.

aa.

Die Antragsgegnerin war nicht verpflichtet, vor der Entscheidung über den Zuschlag mittels einer sog. verifizierenden Teststellung zu überprüfen, ob die angebotene Software die formulierten Mindestanforderungen erfüllt.

Aus den Vergabeunterlagen ergibt sich eine solche Verpflichtung nicht. Sie kann insbesondere nicht daraus hergeleitet werden, dass die zu beschaffende Software SSK nach der allgemeinen Beschreibung der Leistungsanforderung (S. 4 der Leistungsbeschreibung) die Umsetzung einer Sicherheitsrichtlinie für Schnittstellen nach dem Stand der Technik unter Einhaltung des Mindeststandard des BSI Schnittstellenkontrolle gewährleisten soll und der genannte Mindeststandard zu den Vergabeunterlagen gehört. Die genannte Passage in der Leistungsbeschreibung formuliert - wie sich im Übrigen bereits zwanglos aus der Überschrift Leistungsanforderung (Soll-Beschreibung) ergibt - Anforderungen an die zu erbringende Leistung, mithin an die anzubietende Software. Sie soll die genannte Sicherheits-Richtlinie umsetzen und den darin festgelegten Mindeststandard erfüllen. Pflichten des Auftraggebers werden dort nicht geregelt und damit auch keine Überprüfungspflichten. Aus diesem Grund kommt auch keine Selbstbindung der Antragsgegnerin an den BSI-Mindeststandard und in dessen Folge an eine sich daraus nach Auffassung der Antragstellerin ergebende Prüfpflicht vor Zuschlagserteilung in Betracht. Aus Ziff. 3.1 der Leistungsbeschreibung ergibt sich allein, dass die angebotene SSK die Umsetzung des Mindeststandards gewährleisten soll. Eine Verpflichtung der Antragsgegnerin etwaige sich aus dem BSI-Mindeststandard ergebende Prüfpflichten zu erfüllen, folgt daraus nicht. Dies gilt unabhängig davon, dass der Formulierung auf Seite 5 des Mindeststandards eine Verpflichtung des öffentlichen Auftraggebers, die angebotene Software vor Zuschlagserteilung mittels einer Teststellung daraufhin zu überprüfen, ob der Mindeststandard eingehalten wird, nicht entnommen werden kann. Es heißt dort:

„Zur Umsetzung des Mindeststandards ist zu prüfen, ob die umgesetzten Maßnahmen zur Schnittstellenkontrolle alle Sicherheitsanforderungen (siehe Kapitel 2) vollständig erfüllen oder ob ggf. noch ergänzende Softwareprodukte beschafft werden müssen. Eigene Prüfungen nach Teststellung und Installation in einer dem geplanten Einsatzszenario entsprechenden Umgebung werden empfohlen.“

Zu welchem Zeitpunkt die nach Satz 1 für erforderlich gehaltene Prüfung durchzuführen ist, ergibt sich aus der genannten Formulierung nicht. Sie kann daher vor oder auch nach Zuschlagserteilung durchgeführt werden. Gleiches gilt für die eigenen Prüfungen nach Teststellung und Installation, die im Übrigen nicht verpflichtend sind, sondern lediglich empfohlen werden.

b.

Die Antragsgegnerin ist nicht zur Durchführung einer (wertenden) Teststellung verpflichtet. Ausnahmsweise besteht eine solche Verpflichtung, wenn der Auftraggeber Zuschlagskriterien benannt hat, die sich ausschließlich anhand eigener Anschauung feststellen lassen (zB Bedienungs- oder Nutzerfreundlichkeit). Bei der wertenden Teststellung wird das Ergebnis des praktischen Tests zum maßgeblichen Bestandteil der Wertungsentscheidung, indem das Ergebnis zur Bewertung der Qualität der Leistung eingesetzt und dem Ergebnis ein bestimmtes Gewicht beigemessen wird. Dabei fließen in aller Regel subjektive Einflüsse in das Wertungsergebnis mit ein.

Die Voraussetzungen für eine solche Ausnahme liegen hier nicht vor. Die Antragsgegnerin hat keine Zuschlagskriterien festgelegt, die sich ausschließlich anhand eigener Anschauung feststellen lassen. Der Preis ist vorliegend nicht das alleinige Zuschlagskriterium, vielmehr wird gemäß Ziff. 5.13 Leitfaden zum Vergabeverfahren das wirtschaftlichste Angebot ermittelt, indem die Leistungskennzahl (L) und die Preiskennzahl (P) in ein Verhältnis zueinander gesetzt werden und das Angebot mit dem besten Preis-Leistungs-Verhältnis den Zuschlag erhalten soll. Die Leistungskennzahl wird auf der Grundlage der Angaben im Dokument „08_Kriterienkatalog Leistung“ ermittelt. Daraus ergibt sich, dass die B-Kriterien mit Punkten in einer Spannbreite von 0-10 Punkten bewertet und mit einem festgelegten Faktor gewichtet werden. Die Höhe der zu erzielenden Punkte hängt davon ab, ob das jeweils geforderte Feature vollständig, teilweise oder gar nicht vorhanden ist, bzw. bezüglich des Kriteriums B K. 1.2.1 Barrierefreiheit, wie hoch die Punktzahl der angebotenen SSK gemäß des BIK BITV ist. Die Feststellung, ob und in welchem Umfang die B-Kriterien angeboten werden, setzt jedoch nicht zwingend eine eigene Anschauung der angebotenen Software bzw. Teststellung voraus.

c.

Die Antragsgegnerin musste die angebotene Software auch nicht deshalb ausnahmsweise einer verifizierenden Teststellung unterziehen, weil - so der Vortrag der Antragstellerin in ihrem nachgelassenen Schriftsatz vom 31.03.2020 (dort Seite 9) - konkrete Tatsachen vorlagen, die die Leistungsversprechen aller Bieter als nicht plausibel erscheinen liessen. Die Antragstellerin beruft sich in diesem Zusammenhang auf die Bieterfrage 19, die sie im Rahmen des vorangegangenen und aufgehobenen Verfahrens (EU-Auftragsbekanntmachung v. …: …) gestellt und in der sie „deutliche Unterschiede in der Mechanismusstärke zwischen Lösungen auf Basis von Systemdiensten zu solchen auf Basis von Treibern“ angesprochen hat. Dass die Antragstellerin unter Berufung auf nicht näher spezifizierte unabhängige Tests solche Unterschiede behauptet, bedeutet indes nicht das Vorliegen konkreter Tatsachen, die darauf hindeuten, dass die jeweils angebotene Software für Schnittstellenkontrolle (SSK) die an sie gestellten Mindestanforderungen möglicherweise nicht erfüllt. Die Antragstellerin hat ihre Behauptung zum damaligen Zeitpunkt durch keine belastbaren und von der Antragsgegnerin nachprüfbaren Tatsachen belegt. Erstmals mit Schriftsatz vom 20.02.2020 legt die Antragstellerin eine von ihr selbst in Auftrag gegebene Sicherheitsanalyse vom 05.02.2020 (Anl. BF6) vor, die aber aus den von der Antragsgegnerin in ihrem Schriftsatz vom 10.03.2020 genannten Gründen nicht aussagekräftig ist. Auch ihre Behauptung, die Vorgängerorganisation …. habe als Dienstleister des Bundesministeriums der Finanzen 2015/2016 vergleichende Tests zur Qualitätsprüfung der SSK von zwei Herstellern durchgeführt und Feststellungen mit dem von ihr behaupteten Inhalt getroffen, ist durch nichts belegt. Dies gilt auch und vor allem vor dem Hintergrund des Vorbringens der Antragsgegnerin, wonach es allein Zweck und Ergebnis der durchgeführten Tests war, ob und dass es mehrere grundsätzlich geeignete Softwareanwendungen zur Schnittstellenkontrolle gibt.

Die Kostenentscheidung folgt aus § 175 Abs. 2 GWB iVm § 78 GWB. Danach entspricht es der Billigkeit, dass die Antragstellerin als mit ihrem Rechtsmittel unterlegene Partei die Kosten des Beschwerdeverfahrens zu tragen hat, allerdings mit Ausnahme der Kosten, die der Beigeladenen entstanden sind. Es entspricht der Billigkeit, dass die Beigeladene ihre Kosten selber trägt, da sie sich an dem Beschwerdeverfahren lediglich mit einem kurzen Wortbeitrag ihres Verfahrensbevollmächtigten in der mündlichen Verhandlung beteiligt hat.

Die Festsetzung des Beschwerdewerts beruht auf § 50 Abs. 2 GKG, wobei für die einmalige Verlängerungsoption für 1 Jahr ein Abschlag von 50 % vorgenommen worden ist.