Projektmanagement-Software für die öffentliche Verwaltung: Anforderungen, Vergaberecht & DSGVO-Checkliste

216.000 Euro. Das ist die Zahl, an der sich seit dem 1. Januar 2026 entscheidet, ob Ihre Kommune oder Ihre Hochschule eine Projektmanagement-Software unterhalb der EU-Schwelle nach Landesvergaberecht beschaffen kann oder ob ein EU-weites Vergabeverfahren mit TED-Bekanntmachung, Nachprüfungsrisiko und mehreren Monaten Vorlauf ansteht. Und sie ist gegenüber 2025 gesunken - von 221.000 auf 216.000 Euro netto.

Wer noch mit dem alten Wert kalkuliert, liegt bei einem 218.000-Euro-Vorhaben oberhalb der Schwelle statt darunter.

Das ist symptomatisch für dieses Thema. Projektmanagement-Software für die öffentliche Verwaltung ist kein Softwarethema mit ein bisschen Datenschutz obendrauf. Sie ist ein Beschaffungs-, Datenschutz-, Sicherheits-, Barrierefreiheits- und Personalvertretungsthema, an dessen Ende eine Software steht. Die Reihenfolge, in der Sie diese Fragen beantworten, entscheidet darüber, ob die Einführung in acht Monaten läuft oder zwei Jahre später noch im Nachprüfungsverfahren steckt.

Dieser Leitfaden beantwortet die Fragen in der Reihenfolge, in der sie in der Praxis auftreten. Er ist für Kommunen und Hochschulen geschrieben - die beiden Gruppen, in denen die Entscheidungsketten am wenigsten dem Lehrbuch folgen.

---

1. Warum Projektmanagement in der Verwaltung anders funktioniert

Es gibt einen Satz, den man in Digitalisierungsämtern und Kanzlerbüros in Varianten immer wieder hört. Der Landrat des Kreises Viersen, Dr. Andreas Coenen, hat ihn mit Blick auf die OZG-Umsetzung so formuliert:

Nicht die Planung. Nicht das Gantt-Diagramm. Die Übersicht. Das ist der eigentliche Ausgangspunkt fast jeder Toolentscheidung in der öffentlichen Hand - und der Grund, warum ein Aufgabenboard, das in einem jungen Softwareunternehmen gut funktioniert, im Rathaus scheitert.

Fünf Strukturmerkmale unterscheiden Verwaltungsprojekte von Projekten in der Privatwirtschaft:

Gremienlogik statt Führungsentscheidung. Ein Vorhaben wird nicht von einer Person freigegeben, sondern von einem Ausschuss, einem Rat, einem Senat, einem Hochschulrat. Zwischen Beschlussvorlage und Beschluss liegen Wochen. Zwischen Beschluss und Umsetzung liegt die Frage, wer den Beschluss eigentlich nachverfolgt. Ein Tool, das Beschlüsse nicht als eigene, dauerhaft nachverfolgbare Objekte kennt, verliert genau an dieser Stelle die Spur.

Haushaltsjährlichkeit. Nicht abgerufene Mittel verfallen zum Jahresende. Das erzwingt eine Mittelabflussprognose, die eine Tabellenkalkulation nicht liefert - und macht aus Projektcontrolling eine haushaltsrechtliche Notwendigkeit statt einer Managementkür.

Aktenmäßigkeit und Nachvollziehbarkeit. Verwaltungshandeln muss begründbar bleiben, oft Jahre später und gegenüber Rechnungshöfen, Aufsichtsbehörden oder der Öffentlichkeit. Ein Statusbericht, dessen Zahlen sich rückwirkend mit den Live-Daten mitverändern, hat die Optik eines Berichts und den Wert einer Momentaufnahme.

Zuständigkeit ist nicht Verantwortung. In einer Matrix aus Fachbereichen, Ämtern, Eigenbetrieben und Fakultäten gibt es für jede Aufgabe eine Zuständigkeit - aber nicht automatisch eine Person, die sie treibt. Rollenmodelle müssen das trennen können.

Mitbestimmung. Jede Software, die Leistung oder Verhalten von Beschäftigten auswertbar macht, berührt die Personalvertretung. Das ist kein Nebenschauplatz: Es ist der Punkt, an dem Einführungen regelmäßig ein Jahr länger dauern als geplant (dazu Abschnitt 11).

Zwei Zielgruppen, zwei völlig verschiedene Entscheidungsketten

Ein Punkt, den Anbieterseiten regelmäßig einebnen: Kommunen und Hochschulen kaufen nicht auf demselben Weg ein.

Die praktische Konsequenz für Hochschulen ist unbequem und wird selten ausgesprochen: Ein Institut kann eine Software wollen, ein Lehrstuhl kann sie bezahlen - wenn das Rechenzentrum sie nicht freigibt, zahlt die Finanzabteilung die Rechnung trotzdem nicht. An der FAU Erlangen-Nürnberg etwa gilt ausdrücklich, dass alle IT-Beschaffungen über die bestehenden Rahmenverträge abzuwickeln sind - unabhängig von der Finanzierungsquelle, also auch aus Drittmitteln. Abweichungen muss das Rechenzentrum genehmigen.

---

2. Die sechs harten Anforderungen auf einen Blick

Bevor es in die Details geht: Das sind die sechs Punkte, an denen Beschaffungen in der öffentlichen Hand tatsächlich scheitern. Nicht an fehlenden Features.

Wenn Sie diesen Artikel nur überfliegen: Die Punkte 2, 4 und 6 werden am häufigsten unterschätzt, und sie sind es, die ein Verfahren komplett zurückwerfen können.

---

3. Betriebsmodell: vier Wege - und ihre vergaberechtlichen Folgen

Die Betriebsmodellfrage wird meistens als IT-Frage behandelt. Sie ist zuerst eine Vergabe- und Datenschutzfrage, weil sie den Vertragstyp, den Nachweisbedarf und die Rollenverteilung nach Art. 28 DSGVO festlegt.

Zwei Hinweise, die in dieser Matrix nicht stehen, aber die Entscheidung oft kippen:

Der EU Data Act hat die Exit-Frage verschärft. Seit dem 12. September 2025 gelten die Regeln für Datenverarbeitungsdienste; nach Art. 25 müssen Wechselrechte, Mitwirkungspflichten und Übergangsbedingungen schriftlich im Vertrag stehen. Und ab dem 12. Januar 2027 entfallen Wechselentgelte und Egress-Gebühren vollständig. Wer heute einen Vierjahresvertrag schließt, sollte das jetzt schon abbilden - der Vertrag läuft in diese Rechtslage hinein.

„On-Premises" ist ein mehrdeutiges Wort. Fragen Sie im Verfahren nach, ob es sich um dieselbe Software mit demselben Funktionsumfang handelt oder um eine reduzierte Variante. Bei manchen Anbietern ist die On-Premises-Version ein Nebenprodukt mit Funktionsrückstand, längeren Update-Zyklen und eigener Preisliste. Das gehört in die Leistungsbeschreibung, nicht ins Vertriebsgespräch.

---

4. DSGVO-Checkliste: neun Prüffragen vor der Beschaffung

Zuständige Aufsichtsbehörde für Kommunen, Hochschulen und Landesbehörden ist die jeweilige Landesdatenschutzaufsicht, nicht der Bundesbeauftragte. Ergänzend zur DSGVO gilt das Landesdatenschutzgesetz Ihres Landes, für Hochschulen zusätzlich das Landeshochschulgesetz.

Ein Punkt vorweg, weil er in Anbietermaterial gern überzeichnet wird: Mit „drohenden Bußgeldern" sollte man in der öffentlichen Hand nicht argumentieren. Öffentliche Stellen sind nach den meisten Landesdatenschutzgesetzen und § 43 Abs. 3 BDSG weitgehend bußgeldprivilegiert. Eine förmliche Untersagungsverfügung gegenüber einer deutschen Kommune oder Hochschule wegen der Nutzung eines US-Cloud-Dienstes ist nicht bekannt geworden - im Schulbereich gab es hingegen sehr wohl Beanstandungen und Empfehlungen zur Nutzungseinstellung. Das reale Risiko liegt woanders: Rechtsunsicherheit, Beanstandungen, wiederkehrender Aufwand für Folgenabschätzungen, politischer Druck und Abhängigkeit.

Die neun Fragen

1. Wer ist Vertragspartner, und welchem Recht unterliegt er? Nicht: Wo stehen die Server. Sondern: Welche juristische Person schließt den Vertrag, in welchem Land ist sie ansässig, und gibt es eine Konzernmutter in einem Drittstaat? Ein US-Mutterkonzern bringt den CLOUD Act mit - unabhängig vom Speicherort. Der Konflikt zu Art. 48 DSGVO, der Herausgabeanordnungen von Drittstaatsbehörden nur bei völkerrechtlicher Übereinkunft anerkennt, ist strukturell und nicht wegvertragbar.

2. Auf welcher Grundlage findet ein Drittlandtransfer statt - und wie stabil ist die? Der EU-US-Angemessenheitsbeschluss (Data Privacy Framework) ist Stand August 2026 formell in Kraft. Aber: Das EuG hat die Klage Latombe am 3. September 2025 abgewiesen (T-553/23), das Rechtsmittel liegt beim EuGH (C-703/25 P). Am 29. Juni 2026 hat der US Supreme Court in Trump v. Slaughter entschieden, dass Beschränkungen der Abberufungsbefugnis des Präsidenten gegenüber FTC-Kommissaren verfassungswidrig sind. Die FTC beaufsichtigt die kommerzielle Seite des DPF; der Rechtsschutz gegen behördlichen Zugriff läuft über das Data Protection Review Court und ist von der Entscheidung nicht unmittelbar betroffen. Umstritten ist, ob die Aufsichtsarchitektur insgesamt noch trägt - und genau diese Unsicherheit ist Ihr Beschaffungsrisiko. Am 31. Juli 2026 hat die EDSA-Vorsitzende die Kommission per offenem Brief zur rechtlichen Überprüfung aufgefordert.

Übersetzt für eine Beschaffung mit vier Jahren Laufzeit: Das DPF jetzt als alleinige Transfergrundlage zu wählen, heißt, die Rechtsgrundlage Ihres Verfahrens an einen Beschluss zu binden, dessen Fortbestand über die Vertragslaufzeit offen ist. Wer bei einem deutschen Rechtsträger ohne Drittstaats-Konzernbindung hostet, umgeht diesen Konflikt strukturell statt vertraglich.

3. Liegt ein AVV nach Art. 28 DSGVO vor - und passt er zu Ihrem Landesrecht? Mehrere Landesdatenschutzbehörden stellen Muster-AVV für den öffentlichen Bereich bereit (u. a. Baden-Württemberg, Sachsen-Anhalt, Brandenburg). Prüfen Sie Weisungsbindung, Kontrollrechte, Löschkonzept, Unterrichtungspflichten. Kontrollrechte, die man faktisch nicht ausüben kann, sind keine.

4. Ist die Unterauftragsverarbeiter-Kette vollständig und aktuell? Nicht nur die Liste. Auch: Wie werden Sie über Änderungen informiert, und haben Sie ein Widerspruchsrecht? Achten Sie besonders auf Support-Tooling, Monitoring, E-Mail-Versand und KI-Dienste - dort sitzen die Drittstaatsbezüge, die in der Hauptliste fehlen.

5. Gibt es dokumentierte TOM nach Art. 32 DSGVO? Verschlüsselung im Transport (TLS) und at rest, Schlüsselverwaltung, Zugriffskonzept, Protokollierung, Backup- und Wiederherstellungskonzept, Trennung von Mandanten. Und: Wurden sie geprüft, von wem, wann?

6. Können Sie granular berechtigen - bis auf Feldebene? In der Verwaltung ist das keine Komfortfrage. Personalbezogene Vorgänge, Vergabeunterlagen vor Zuschlag, Gremienvorlagen vor Beschluss, Berufungsverfahren: Das sind Inhalte, die im selben System liegen müssen, aber nicht für dieselben Personen sichtbar sein dürfen. Rollen auf Projektebene reichen dafür oft nicht.

7. Existiert ein Löschkonzept, das zu Ihrer Aktenordnung passt? Kommunale Aufbewahrungsfristen und DSGVO-Löschpflichten ziehen in verschiedene Richtungen. Ein Tool, das nur „alles löschen" oder „nichts löschen" kennt, erzeugt Ihnen ein Problem, das Sie vorher nicht hatten.

8. Bekommen Sie Ihre Daten in einem verwertbaren Format zurück? Nicht PDF. Strukturierte Exporte mit Beziehungen: Projekte, Vorgänge, Abhängigkeiten, Zeitbuchungen, Dokumente, Protokolle. Prüfen Sie das im Verfahren, nicht am Vertragsende.

9. Ist eine Datenschutz-Folgenabschätzung erforderlich? Bei umfassender Auswertbarkeit von Beschäftigtendaten (Zeiterfassung, Auslastung, Aktivitätsprotokolle) ist die Antwort in der Regel ja. Planen Sie die DSFA parallel zum Vergabeverfahren ein, nicht danach - sie liefert Ihnen zugleich die Argumentationsgrundlage für die Personalvertretung.

---

5. BSI C5 und IT-Grundschutz: was ein Testat wirklich aussagt

Kaum ein anderer Abschnitt einer Leistungsbeschreibung wird so häufig unpräzise formuliert. Vier Punkte, die den Unterschied machen:

C5 ist kein Zertifikat. Es ist ein Testat - ein Prüfungsurteil eines Wirtschaftsprüfers nach ISAE 3000. Das BSI selbst zertifiziert nicht. Wer in der Leistungsbeschreibung „C5-Zertifizierung" fordert, fordert etwas, das es nicht gibt, und handelt sich Rügen ein.

Typ 1 und Typ 2 sind nicht dasselbe. Typ 1 beurteilt die Angemessenheit der Ausgestaltung der Kontrollen zu einem Stichtag. Typ 2 prüft zusätzlich ihre Wirksamkeit über einen Berichtszeitraum (üblicherweise zwölf Monate). Nur Typ 2 sagt etwas über den gelebten Betrieb aus. Wenn Sie den Typ nicht benennen, bekommen Sie unvergleichbare Angebote.

Ein Testat gilt für benannte Dienste in benannten Regionen - nicht für einen Anbieter als Ganzes. Fordern Sie deshalb: Testat, Typ, Berichtszeitraum, Geltungsbereich (welche Services, welche Standorte) und die Zusage fortlaufender Folgeberichte über die gesamte Vertragslaufzeit.

Die Version wechselt. Der C5:2026 wurde Ende März 2026 finalisiert und vom BSI am 7. April 2026 bekanntgegeben - mit neuen Kriterien unter anderem zu Container-Management, Post-Quanten-Kryptografie und Confidential Computing sowie enger Angleichung an EUCS und NIS2. Anzuwenden ist er für Testierungen ab dem 1. Juni 2027. Bis zum 28. Februar 2027 bleibt C5:2020 uneingeschränkt nutzbar; für Berichte mit Stichtag oder Zeitraumende zwischen dem 28. Februar und dem 1. Juni 2027 muss der Anbieter zusätzlich die geplanten Änderungen zur Erfüllung der neuen Anforderungen in seiner Systembeschreibung dokumentieren. Wenn Ihr Vertrag über 2027 hinausläuft, gehört diese Umstellung in die Vertragspflichten.

ISO 27001 nativ oder auf Basis IT-Grundschutz?

Für Kommunen ist zusätzlich das BSI-IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung" (Stand 13.11.2023) der praktikable Einstieg, ergänzt um den Baustein APP.6 „Allgemeine Software" als Andockpunkt für die Software-Beschaffung. Das ist die Sprache, die Ihr kommunaler Informationssicherheitsbeauftragter spricht - und ein sehr viel besserer Ausgangspunkt als eine generische Sicherheitsanforderungsliste.

Und NIS2? Kommunalverwaltungen sind vom Bundesgesetz (NIS2UmsuCG, verkündet am 5., in Kraft seit dem 6. Dezember 2025) nicht automatisch erfasst - die Zuständigkeit für Cybersicherheit in Landes- und Kommunalverwaltungen liegt bei Ländern und Kommunen selbst und muss über Landesrecht geregelt werden. Kommunale Eigenbetriebe und Unternehmen (Stadtwerke, Kliniken, Wasserversorger) können dagegen sehr wohl erfasst sein, wenn sie in einen Sektor nach den Anlagen zum BSIG fallen. Prüfen Sie das für die konkrete Einheit, nicht pauschal für „die Kommune".

---

6. VS-NfD, SÜG und die Frage, die fast immer falsch gestellt wird

Dieser Abschnitt wird Ihnen wahrscheinlich Arbeit ersparen, weil er eine Anforderung auflöst, die häufiger gestellt als gebraucht wird.

Die Einstufungen

Der Unterschied zwischen den vier Geheimhaltungsgraden liegt allein im Schadensmaß (§ 4 Abs. 2 SÜG):

VS-NfD ist die niedrigste Stufe.

Die Korrektur, die am meisten spart

Es kursiert hartnäckig die Annahme, VS-NfD verlange eine Sicherheitsüberprüfung der beteiligten Personen. Das ist nicht der Fall.

§ 1 Abs. 2 Nr. 1 SÜG knüpft die „sicherheitsempfindliche Tätigkeit" an den Zugang zu Verschlusssachen, die STRENG GEHEIM, GEHEIM oder VS-VERTRAULICH eingestuft sind. VS-NfD ist dort nicht genannt. Damit setzt die Sicherheitsüberprüfung tatbestandlich gar nicht an. (Die weiteren Tatbestände des § 1 Abs. 2 SÜG betreffen den vorbeugenden personellen Sabotageschutz in lebens- oder verteidigungswichtigen Einrichtungen - für kommunale Eigenbetriebe wie Stadtwerke oder Kliniken durchaus relevant, aber ein anderer Sachverhalt.)

Was die Verschlusssachenanweisung für VS-NfD stattdessen verlangt, ist deutlich schlanker: Belehrung und schriftliche Verpflichtung, Zugriff nach dem Grundsatz „Kenntnis nur, wenn nötig", Dokumentation - und die Weitergabe derselben Pflichten an Unterauftragnehmer.

Auch die Geheimschutzbetreuung eines Dienstleisters durch das zuständige Bundesministerium wird erst ab VS-VERTRAULICH erforderlich. Für reine VS-NfD-Arbeit braucht ein Softwareanbieter weder Sicherheitsbescheid noch Sicherheitsbevollmächtigten.

Zur Terminologie, weil sie in Ausschreibungstexten regelmäßig verrutscht: Die korrekten Kürzel der Behördenpraxis sind Ü1, Ü2 und Ü3 - nicht „SÜ1/SÜ2". Das Gesetz selbst kennt die Kürzel überhaupt nicht, es spricht von der einfachen Sicherheitsüberprüfung (§ 8 SÜG, Ü1), der erweiterten (§ 9 SÜG, Ü2) und der erweiterten mit Sicherheitsermittlungen (§ 10 SÜG, Ü3). Ü1 knüpft an VS-VERTRAULICH an, Ü2 an GEHEIM, Ü3 an STRENG GEHEIM.

Gibt es VS-NfD-zugelassene Projektmanagement-Software?

Nein - und das ist keine Marktlücke, sondern eine Kategorienfrage.

Nach §§ 51, 52 VSA werden IT-Sicherheitsprodukte zugelassen, die Sicherheitsgrundfunktionen zum Schutz von Verschlusssachen umsetzen: Verschlüsselungssysteme, VPN-Clients und -Gateways, Firewalls, Festplattenverschlüsselung, Schlüsselmanagement, mobile Sicherheitsplattformen. Diese Produkte stehen in der BSI-Schrift 7164. Eine Fachanwendung wie eine Projektmanagement-Software ist dort strukturell nicht adressiert.

Drei Klarstellungen, die Ihnen im Verfahren helfen:

• „VS-NfD-konform" und „für VS-NfD geeignet" sind Marketingbegriffe ohne Rechtswirkung. Wenn ein Anbieter damit wirbt, fragen Sie nach der konkreten Zulassungsaussage. Für Fachanwendungen gibt es sie nicht - zugelassen werden IT-Sicherheitsprodukte, nicht Projektsoftware.
• Eine BSI-Zertifizierung nach Common Criteria ist etwas anderes als eine Zulassung und hat keinen direkten Bezug zu Verschlusssachen.
• BSI TL-03305 ist nicht die Zulassungsliste, sondern die Liste abstrahlgeprüfter Produkte nach dem Nationalen Zonenmodell - also TEMPEST/Abstrahlsicherheit. Die Verwechslung ist verbreitet.

Der Weg führt nicht über das Produkt, sondern über das System. Der Einsatz einer Fachanwendung im VS-NfD-Kontext erfolgt über die Freigabe des Gesamtsystems durch die Dienststelle, in einer entsprechend abgesicherten Umgebung mit BSI-zugelassener Kryptografie und Netztrennung. Die Verantwortung dafür trägt die Behörde, nicht der Softwarehersteller.

Was 2026 neu ist: Die pauschale Aussage „VS-NfD darf nicht in die Cloud" ist überholt. Das BSI hat am 14. Januar 2026 den „Leitfaden für den Einsatz von Cloud-Lösungen im VS-Kontext der Bundesverwaltung" veröffentlicht - mit acht Szenarien über Private, Community und Public Cloud, einem Paradigmenwechsel vom Perimeterschutz zur datenzentrischen Sicherheit und einem verpflichtenden Risikomanagement, das technische Maßnahmen ausdrücklich nicht ersetzt. Und im Juni 2026 hat SAP für die SAP Cloud Infrastructure eine Einsatzerlaubnis für VS-NfD erhalten - ausdrücklich eine Einsatzerlaubnis, nicht eine Zulassung; SAP selbst bezeichnet sie als Zwischenschritt auf dem Weg zur vollständigen BSI-Zulassung.

Der praktische Rat

Für die allermeisten kommunalen und hochschulischen Vorhaben ist VS-NfD gar nicht einschlägig. Echte Verschlusssachen sind dort die Ausnahme. Bevor Sie VS-NfD in eine Leistungsbeschreibung schreiben, klären Sie mit Ihrem VS-Beauftragten, ob überhaupt Verschlusssachen im Sinne Ihrer Landes-VSA anfallen. Meist lautet die Antwort nein - und dann ersparen Sie sich eine Anforderung, die den Bieterkreis ohne Sicherheitsgewinn faktisch leerlaufen lässt.

Falls doch Verschlusssachen im Spiel sind, ist die saubere Architektur: VS-Inhalte bleiben im zugelassenen Netz. Das Projektmanagement-System führt die Vorgangsklammer, Termine, Zuständigkeiten und Metadaten - ohne VS-Inhalt. Das ist praktikabel, prüfbar und wird von Aufsicht und Rechnungshof getragen.

---

7. Barrierefreiheit: das übersehene Ausschlusskriterium

Auf den Seiten für den öffentlichen Sektor spielt Barrierefreiheit bei den großen Anbietern von Projektmanagement-Software praktisch keine Rolle. In realen Ausschreibungen ist sie ein K.-o.-Kriterium.

Die Rechtslage ist eindeutig:

• § 121 Abs. 2 GWB (oberhalb der EU-Schwelle) und § 23 Abs. 4 UVgO (unterhalb) sind wortgleich: „Bei der Beschaffung von Leistungen, die zur Nutzung durch natürliche Personen vorgesehen sind, sind bei der Erstellung der Leistungsbeschreibung außer in ordnungsgemäß begründeten Fällen die Zugänglichkeitskriterien für Menschen mit Behinderungen oder die Konzeption für alle Nutzer zu berücksichtigen."
• Zusätzlich lässt sich Zugänglichkeit nach § 58 Abs. 2 Nr. 1 VgV als Zuschlagskriterium ausgestalten.
• Fachrechtlich verlangen §§ 12, 12a bis 12d BGG barrierefreie IT öffentlicher Stellen bereits bei Planung und Entwicklung. § 3 BITV 2.0 verweist auf EN 301 549 als maßgeblichen Standard.
• Für Software ist Kapitel 11 der EN 301 549 einschlägig, nicht nur Kapitel 9 (Webinhalte). Genau das wird fast immer übersehen.

Stand August 2026 ist EN 301 549 V3.2.1 (März 2021, referenziert WCAG 2.1, Konformitätsstufen A und AA) die im EU-Amtsblatt harmonisierte und damit rechtlich maßgebliche Fassung. Eine Ablösung durch V4.1.1 mit WCAG 2.2 ist angekündigt; solange sie nicht harmonisiert ist, gilt V3.2.1.

Wichtig für Kommunen und Hochschulen: Die BITV 2.0 gilt für öffentliche Stellen des Bundes. Länder, Kommunen und Hochschulen unterliegen den Landesverordnungen über barrierefreie Informationstechnik (etwa BITV NRW oder BayBITV) - inhaltlich weitgehend vergleichbar, weil auch sie auf EN 301 549 verweisen, aber formal eine andere Rechtsgrundlage.

Was Sie fordern sollten, statt „barrierefrei": Konformität mit EN 301 549 unter ausdrücklicher Nennung von Kapitel 11, WCAG 2.1 Stufe AA, Vorlage eines Prüfberichts (BITV-Test oder gleichwertiges Audit) mit Prüfdatum und Prüfstelle, sowie die Verpflichtung, den Konformitätsstand über die Vertragslaufzeit zu erhalten. Fertige Formulierungen finden Sie in Abschnitt 14.

---

8. Vergaberecht 2026: Schwellenwerte, Auftragswert, Verfahrensarten

Die Schwellenwerte

Gültig vom 1. Januar 2026 bis 31. Dezember 2027, Rechtsgrundlage sind die Delegierten Verordnungen (EU) 2025/2150, 2025/2151 und 2025/2152 vom 22. Oktober 2025; in Deutschland dynamisch über § 106 GWB.

Der Auftragswert - hier wird am häufigsten falsch gerechnet

Maßgeblich ist nach § 3 VgV der geschätzte Gesamtwert ohne Umsatzsteuer über die gesamte Laufzeit, einschließlich aller Optionen und Verlängerungen. Bei Verträgen ohne feste Laufzeitangabe oder mit einer Laufzeit von mehr als 48 Monaten ist zusätzlich der 48-Monats-Wert anzusetzen (§ 3 Abs. 11 Nr. 2 VgV). Und § 3 Abs. 2 VgV verbietet, einen Auftrag zu zerlegen, um unter die Schwelle zu kommen.

Rechenbeispiel: Eine Stadtverwaltung will 300 Beschäftigte mit einer Projektmanagement-Software ausstatten. Vertragslaufzeit 48 Monate, Option auf 12 weitere.

Ergebnis: deutlich oberhalb von 216.000 €. EU-weites Verfahren nach VgV, Bekanntmachung auf TED, Nachprüfungsmöglichkeit vor der Vergabekammer.

Weil hier kein Gesamtpreis, sondern ein Monatspreis vereinbart wird und die Höchstlaufzeit 48 Monate übersteigt, ist § 3 Abs. 11 Nr. 2 VgV mitzudenken. Auch nach der engeren Rechnung mit 48 Monatswerten (180.000 € + 47.000 € = 227.000 €) liegt das Vorhaben über der Schwelle - an der Verfahrensart ändert sich also nichts.

Wer dagegen nur den Jahreswert (45.000 €) ansetzt oder die Verlängerungsoption vergisst, landet rechnerisch im Unterschwellenbereich und wählt ein Verfahren nach Landesvergaberecht. Das Ergebnis ist angreifbar - und es ist der teuerste Rechenfehler in dieser Nische.

Unterhalb der Schwelle: die UVgO gilt nicht automatisch

Ein weit verbreiteter Irrtum: Die UVgO ist kein unmittelbar geltendes Recht. Sie wird erst durch einen Anwendungsbefehl von Bund oder Land verbindlich. Für Kommunen gilt Landesrecht - Landesvergabegesetze, kommunale Haushaltsverordnungen, Vergabeerlasse auf Basis der Landeshaushaltsordnung. Für Hochschulen § 55 LHO des jeweiligen Landes.

Die Wertgrenzen für Direktaufträge unterscheiden sich zwischen den Ländern erheblich - die Spanne reicht von wenigen tausend Euro bis in den unteren sechsstelligen Bereich, und mehrere Länder haben ihre Grenzen 2025/2026 befristet angehoben.

Auf Bundesebene wurde die Direktauftragsgrenze mit dem Vergabebeschleunigungsgesetz zum 1. Juli 2026 in § 55 BHO auf 50.000 € netto angehoben; die zuvor bis Ende 2027 befristete 15.000-€-Regelung ist damit überholt. Die Gesetzesbegründung stellt zugleich klar, dass Direktaufträge keine Vergabeverfahren sind - die Pflicht zur Abfrage des Wettbewerbsregisters entfällt unterhalb von 50.000 €. Der Referentenentwurf zur UVgO-Neufassung vom 30. Juni 2026 zieht mit derselben Grenze nach, ist aber noch nicht in Kraft.

Die Neuigkeit des Jahres: digitale Souveränität ist bepunktbar

Am 1. Juli 2026 ist das Vergabebeschleunigungsgesetz in Kraft getreten. Für die Beschaffung von Software ist vor allem ein Punkt relevant, der in der allgemeinen Berichterstattung untergeht:

• § 58 Abs. 2 Nr. 4 VgV nennt „Aspekte der digitalen Souveränität" ausdrücklich als zulässiges Zuschlagskriterium.
• § 128 Abs. 2 GWB erlaubt „Belange der Versorgungssicherheit oder der digitalen Souveränität" als Ausführungsbedingung - also als laufende, durchsetzbare Vertragspflicht.
• § 107 GWB erweitert die Sicherheitsausnahmen vom Vergaberecht auf Cybersicherheit und digitale Souveränität.

Bis Mitte 2026 war es eine rechtliche Grauzone, ob Vergabestellen Datenlokalisierung, offene Schnittstellen und Nachvollziehbarkeit der Datenverarbeitung bepunkten dürfen - viele haben aus Angst vor Rügen darauf verzichtet. Das ist jetzt ausdrücklich zulässig. Die Gewichtung muss weiterhin auftragsbezogen, verhältnismäßig und dokumentiert sein; aber die Grundfrage ist entschieden.

Eine Grenze bleibt: Open Source darf man nicht pauschal vorschreiben. Nach einem Gutachten des Wissenschaftlichen Dienstes des Bundestages (März 2026) braucht eine solche Vorgabe objektive, auftragsbezogene sachliche Gründe - IT-Sicherheit, Infrastrukturkompatibilität, Fähigkeit zur eigenständigen Pflege. Rein politische Motive genügen nicht, und die Darlegungslast liegt beim Auftraggeber. Produktspezifische Festlegungen erfordern nach § 31 VgV weiterhin den Zusatz „oder gleichwertig".

Welches Verfahren passt?

---

9. EVB-IT: welcher Vertragstyp zu welchem Betriebsmodell passt

Die Ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen sind kein Formalismus. Sie sind die Stelle, an der Betriebsmodell, Haftung, Service Level und Exit zusammenkommen:

Der häufigste Fehler: SaaS wird über EVB-IT Überlassung Typ A beschafft, weil „ist ja Miete". Das passt nicht - der Überlassungsvertrag regelt die Überlassung von Software zur Nutzung auf eigener Infrastruktur, nicht den Betrieb durch den Anbieter mit Verfügbarkeit, Reaktionszeiten, Datenschutz und Exit. Genau dafür wurde der EVB-IT Cloud 2022 eingeführt.

Was der EVB-IT Cloud von Ihrem Anbieter verlangt

Eine Besonderheit, die Sie kennen sollten: Der EVB-IT Cloud ist der erste EVB-IT-Typ, der anbieterseitige AGB über Anhänge einbezieht. Das ist eine bewusste Öffnung - und für Sie als Auftraggeber der Punkt, an dem Sie besonders genau lesen sollten, was da eigentlich einbezogen wird.

Die EVB-IT-Reform vom 1. März 2026

Zum 1. März 2026 wurden acht EVB-IT-Vertragstypen grundlegend neu gefasst: Überlassung Typ A, Dienstleistung, Pflege S, Rahmenvereinbarung, System, Erstellung, Systemlieferung und Service. Grundlage ist ein Beschluss des IT-Planungsrats vom 26. November 2025.

Zwei inhaltliche Änderungen, die Sie kennen müssen:

Open Source wird vom Sonderfall zum Regelfall. Wichtig, weil es oft falsch wiedergegeben wird: Das ist keine Beschaffungspflicht. Open-Source-Software wird als gleichwertige, in Teilen bevorzugte Option behandelt, mit Ankreuzoptionen in mehreren Vertragstypen, Regeln zur Lizenzwahl und, im Erstellungsvertrag, Quellcode-Bereitstellung auf Open CoDE als Standard.

Die SBOM wird vertraglicher Regelbestandteil. Eine fehlende oder unvollständige Software Bill of Materials kann künftig einen Sachmangel begründen - auch dann, wenn die Software technisch einwandfrei funktioniert. Das ist ein scharfes Schwert und für Ihre Lieferkettensicherheit ein echter Gewinn. Nehmen Sie die SBOM-Anforderung in Ihre Leistungsbeschreibung auf, auch unterhalb der Schwelle.

Nicht überarbeitet wurden bislang: EVB-IT Cloud, EVB-IT Überlassung Typ B, EVB-IT Instandhaltung und EVB-IT Kauf. Eine umfassende Überarbeitung ist angekündigt. Für SaaS-Beschaffungen heißt das: Sie arbeiten weiterhin mit der Cloud-Fassung von 2022 - und sollten die Punkte, die dort noch nicht abgebildet sind (SBOM, Exit-Rechte nach dem Data Act, Nutzung von KI-Diensten), ergänzend in die Leistungsbeschreibung schreiben.

---

10. Der Weg über den kommunalen IT-Dienstleister

Ein Punkt, den Softwareanbieter ungern ansprechen, weil er gegen sie arbeitet: Der stärkste Wettbewerber im Kommunalmarkt ist oft kein anderes Produkt, sondern die Inhouse-Vergabe.

Nach § 108 GWB können öffentliche Auftraggeber Aufträge vergaberechtsfrei an eine kontrollierte juristische Person vergeben, wenn drei Voraussetzungen kumulativ vorliegen:

1. Kontrollkriterium - Kontrolle wie über eine eigene Dienststelle
2. Wesentlichkeitskriterium - mehr als 80 % der Tätigkeit dienen der Ausführung übertragener Aufgaben
3. keine direkte private Kapitalbeteiligung (mit engen Ausnahmen)

Für die horizontale interkommunale Zusammenarbeit gelten spiegelbildliche Anforderungen: gemeinsame Zielverfolgung, ausschließlich öffentliches Interesse, weniger als 20 % Markttätigkeit.

Praktisch heißt das: Wenn Ihre Kommune Mitglied bei AKDB, ekom21, KRZN, KDN, citeq oder Dataport ist, prüfen Sie zuerst, ob die gewünschte Lösung dort im Portfolio liegt oder aufgenommen werden kann. Das kann ein komplettes Vergabeverfahren ersparen. Für Hochschulen ist das Äquivalent der Landes- oder Verbundrahmenvertrag - etwa über die Rahmenverträge des DFN-Vereins oder landesweite Konstruktionen wie den Digitalverbund Bayern, der für die staatlichen bayerischen Hochschulen mehr als 20 Rahmenverträge bündelt.

Umgekehrt gilt: Fragen Sie einen Anbieter, ob und über welche kommunalen IT-Dienstleister seine Lösung beziehbar ist. Die Antwort sagt Ihnen mehr über seine Verwaltungserfahrung als jedes Referenzlogo.

---

11. Personalrat und Mitbestimmung: die eigentliche Bremse

Das ist die Stelle, an der Einführungen am häufigsten hängenbleiben - und zwar meistens erst nach dem Zuschlag, wenn der Zeitplan schon steht.

Der Tatbestand steht für Bundesdienststellen in § 80 Abs. 1 Nr. 21 BPersVG: mitbestimmungspflichtig ist die „Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen."

Zwei Präzisierungen, die den Unterschied machen:

Erstens: Der Gesetzeswortlaut sagt „bestimmt" - die Rechtsprechung liest „geeignet". Nach ständiger Rechtsprechung genügt die objektive Eignung zur Überwachung; eine Überwachungsabsicht muss nicht vorliegen. Das BVerwG hat diese weite Auslegung zuletzt im Beschluss vom 4. Mai 2023 (5 P 16.21) bestätigt - dort ging es um Kommentarfunktionen in sozialen Medien, nicht um Projektsoftware, aber die Auslegungslinie ist dieselbe.

Zweitens - und für Sie wichtiger: Das BPersVG gilt nur für Dienststellen des Bundes. Für Kommunen, Landesbehörden und Hochschulen gelten die Landespersonalvertretungsgesetze mit abweichender Nummerierung. Für privatrechtlich organisierte Träger (kommunale GmbH, Eigengesellschaft, Anstalt in privater Rechtsform) greift § 87 Abs. 1 Nr. 6 BetrVG. Wer in einer kommunalen Dienstvereinbarung das BPersVG zitiert, zitiert die falsche Norm.

Welche Funktionen den Tatbestand auslösen

Der pragmatische Weg: Beziehen Sie die Personalvertretung vor der Leistungsbeschreibung ein, nicht nach dem Zuschlag. Machen Sie aus der Mitbestimmung eine Anforderung: Ein Tool, dessen Auswertungen sich rollenbasiert und feldgenau einschränken lassen, ist mitbestimmungsfähig konfigurierbar. Eines, bei dem Auswertungen fest verdrahtet sind, ist es nicht - und das merken Sie besser im Verfahren als im Rollout.

Der Audit-Trail ist dabei kein Widerspruch zur Mitbestimmung, sondern deren Gegenstand: Sie brauchen ihn für Revisionssicherheit und Rechnungshof. Was zu regeln ist, ist nicht sein Vorhandensein, sondern wer ihn zu welchem Zweck auswerten darf. Genau das gehört in die Dienstvereinbarung.

---

12. Hochschulen: Drittmittel, Trennungsrechnung, Rechenzentrum

Hochschulen sind als Körperschaften des öffentlichen Rechts regelmäßig öffentliche Auftraggeber nach § 99 GWB - oberhalb von 216.000 € gilt also das volle Vergaberecht. Aber die eigentlichen Anforderungen an ein Projektmanagement-System kommen woanders her.

Drittmittel sind Projektcontrolling mit Fristendruck

Drittmittelbewirtschaftung unterliegt den Drittmittelrichtlinien des jeweiligen Landeshochschulgesetzes, soweit der Geldgeber nichts anderes regelt. Die konkreten Pflichten sind unspektakulär und trotzdem der Grund, warum Tabellenkalkulationen hier versagen:

• Projektscharfe Belegzuordnung - jeder Beleg trägt Projektnummer und Bestätigung der sachlichen Richtigkeit
• Mittelabruffristen - Mittel dürfen nur angefordert werden, soweit sie innerhalb der einschlägigen Frist für fällige Zahlungen benötigt werden; bei Zuwendungen des Bundes auf Ausgabenbasis sind es nach ANBest-P zwei Monate, bei anderen Gebern gelten abweichende Fristen. Maßgeblich sind immer die Nebenbestimmungen Ihres Bescheids.
• Bindung an den Bewilligungszeitraum - Mittel, die nicht fristgerecht verausgabt und nachgewiesen werden, fallen an den Geber zurück; bei Landesmitteln kommt die Haushaltsjährlichkeit hinzu
• Verwendungsnachweis gegenüber dem Fördergeber, oft mit Zwischenberichten

Wer Mittel nur für einen eng begrenzten Vorlauf abrufen darf und ihren Verfall am Ende des Bewilligungszeitraums riskiert, braucht eine belastbare Mittelabflussprognose - also Plan-Ist-Vergleich auf Kostenarten, Forecast und Frühwarnung. Das ist der stärkste fachliche Grund für ein echtes Projektcontrolling an einer Hochschule, und er hat mit Gantt-Diagrammen nichts zu tun.

Trennungsrechnung

Nach EU-Beihilferecht müssen Hochschulen wirtschaftliche und nicht-wirtschaftliche Tätigkeiten rechnerisch trennen. Für ein PM-System heißt das: Kostenarten und Buchungen müssen dieser Trennung folgen können - mit einem Kostenartenkatalog, der die Zuordnung erzwingt, statt sie der Disziplin der Buchenden zu überlassen.

Weitere hochschultypische Anwendungsfälle

• Berufungsverfahren - mehrstufig, terminkritisch, mit stark eingeschränktem Personenkreis. Ein Paradebeispiel für Berechtigungen auf Feldebene.
• Bauunterhalt und Landesbau - lange Laufzeiten, externe Beteiligte, Gremienbindung.
• Digitalisierungs- und Campus-Management-Programme - Multiprojektsteuerung mit Schnittstellen zum Campus-Management-System.
• Akkreditierungsverfahren - Fristen, Nachweise, Gremienbeschlüsse.

Und wieder: das Rechenzentrum

Es lohnt sich zu wiederholen, weil es so oft übersehen wird: Das Rechenzentrum ist nicht der Dienstleister, sondern die Stelle, die den Zugang kontrolliert. Hochschulrechenzentren veröffentlichen eigene „Leitfäden Softwarebeschaffung", und dort beginnt der Prozess faktisch. Wer sie erst nach der Toolauswahl einbindet, fängt von vorne an.

---

13. Fördermittel: was förderfähig ist - und was nicht

Kurz, weil die Regel simpel ist und die Ausnahmen im Zuwendungsbescheid stehen:

• In der Regel förderfähig: Lizenzen und Beschaffungskosten im Förderzeitraum, Einführung, Datenmigration, Schnittstellen, Schulung, externe Projektbegleitung.
• In der Regel nicht förderfähig: laufende Betriebskosten nach Projektende, Personalkosten der eigenen Stammbelegschaft (außer bei ausdrücklicher Förderung), Ersatzbeschaffungen.

Relevante Programme sind unter anderem der KfW-Zuschuss „Modellprojekte Smart Cities" (Programm 436) sowie Landesprogramme zur Verwaltungsdigitalisierung. Beachten Sie ANBest-K beziehungsweise ANBest-P, die Zweckbindungsfrist und die Verwendungsnachweispflicht.

Ein Nebeneffekt, den man mitnehmen sollte: Wenn das Projektmanagement-System die geförderte Maßnahme selbst steuert, kann es den Verwendungsnachweis weitgehend aus Live-Daten erzeugen - Meilensteine, Mittelabfluss, Statusberichte, Belegzuordnung. Das amortisiert die Lizenzkosten oft schneller als jede Effizienzrechnung.

---

14. Formulierungsbausteine für Ihre Leistungsbeschreibung

Diese Bausteine sind so gebaut, dass sie sich in eine Leistungsbeschreibung oder ein Kriterienraster übernehmen lassen. Passen Sie sie an Ihre Vergabeordnung an und lassen Sie sie vor Veröffentlichung durch Ihre Vergabestelle prüfen.

Ein Hinweis in eigener Sache: Baustein A formuliert eine Anforderung, die WORKSPACE.PM erfüllt und die nicht jeder Wettbewerber erfüllt. Prüfen Sie, ob sie für Ihr Vorhaben sachlich geboten ist - und streichen Sie sie, wenn nicht. Das gilt für jeden Textbaustein, den Sie von einem Anbieter übernehmen.

A. Betriebsmodell und Datenhaltung

B. Datenschutz

C. Berechtigungen und Nachvollziehbarkeit

D. Sicherheitsnachweise

E. Barrierefreiheit

F. Lieferkette, Exit und Souveränität

G. Personalvertretung

H. Nachweisführung und Berichtswesen

Die Checkliste als Arbeitsmappe

Alle Prüfschritte dieses Leitfadens gibt es auch als Excel-Datei — mit Formeln, die rechnen, statt nur Häkchen zu sammeln:

• Auftragswert-Rechner nach § 3 VgV. Nutzerzahl, Monatspreis, Laufzeit und Optionen eintragen; die Mappe sagt Ihnen, ob Sie ober- oder unterhalb der 216.000 Euro liegen — samt Vergleichsrechnung über 48 Monate und Warnung, wenn der Abstand zur Schwelle zu knapp wird.
• EVB-IT-Zuordnung. Betriebsmodell auswählen, der passende Vertragstyp steht daneben.
• Zehn Ausschlusskriterien mit automatischer Auswertung je Bieter.
• Gewichtete Bewertungsmatrix für bis zu drei Bieter, mit Preis-Leistungs-Verrechnung und Rangfolge.
• 23 Bieterfragen als fertiger Fragebogen — darunter die eine, die zuverlässig aufdeckt, ob ein Anbieter fremde Nachweise als eigene ausgibt.
• Zeitplan, der aus Ihrem Startdatum den frühesten und spätesten Produktivstart berechnet.

Elf Arbeitsblätter, Rechtsstand August 2026, kostenlos und ohne Registrierung.

→ Vergabe-Checkliste herunterladen

---

15. Wie WORKSPACE.PM diese Anforderungen abbildet

Bis hierher war der Artikel weitgehend produktneutral. Ab hier nicht mehr - aber mit denselben Maßstäben, die wir oben von jedem Anbieter gefordert haben. Prüfen Sie das gegen jedes andere Angebot.

Betrieb und Datenhaltung

WORKSPACE.PM ist in drei Betriebsmodellen verfügbar - SaaS, dediziertes Managed Hosting und On-Premises in Ihrer eigenen Infrastruktur - mit identischem Funktionsumfang. Es gibt keine Editionen und keine Funktionen hinter höheren Tarifstufen: Portfoliomanagement, Ressourcenplanung, SSO, Audit-Trail und Risikomanagement sind Bestandteil des Produkts. Für eine Vergabestelle ist das relevant, weil es die Auftragswertschätzung und den Angebotsvergleich erheblich vereinfacht.

Das Cloud- und Managed-Hosting läuft in deutschen Rechenzentren. Betreiber ist die Hetzner Online GmbH - eine deutsche Gesellschaft ohne Konzernbindung in Drittstaaten - im Rechenzentrumspark Falkenstein im Vogtland. Der Standort Falkenstein liegt im Geltungsbereich der ISO/IEC-27001:2022-Zertifizierung des Betreibers (Zertifikat ZN-2025-35, ausgestellt durch SOCOTEC Certification Deutschland, gültig bis September 2028). Für den Betreiber liegt außerdem ein BSI-C5-Testat vom Typ 2 gegen den Kriterienkatalog C5:2020 vor, erteilt nach ISAE 3000 mit uneingeschränktem Prüfungsurteil. Prüfer, Berichtszeitraum und den vollständigen Geltungsbereich nach Services und Standorten legen wir im Verfahren schriftlich vor; das Testat selbst wird vom Rechenzentrumsbetreiber ausgestellt und ist öffentlich abrufbar.

Ein Wort dazu, das im Sinne des gesamten Artikels ehrlich sein soll: Diese Nachweise beziehen sich auf den Rechenzentrumsbetrieb, nicht auf die Anwendung. Genau diese Unterscheidung sollten Sie bei jedem Anbieter einfordern - bei uns wie bei allen anderen. Wer ein C5-Testat als Eigenschaft seiner Software darstellt, ohne den Geltungsbereich zu nennen, beantwortet Ihre Frage nicht.

Auf Anwendungsseite: TLS 1.3 mit erzwungenem HSTS, AES-256 auf verschlüsselten Datenträgern im Ruhezustand, verschlüsselte und vom Produktivsystem getrennte Backups mit Point-in-Time-Recovery, Passwörter ausschließlich als Hash. Ein Verfügbarkeits-SLA von 99,9 % sagen wir für das Managed Hosting zu; für den SaaS-Betrieb und für On-Premises gelten abweichende Regelungen, die wir im Verfahren offenlegen. AVV nach Art. 28 DSGVO, TOM-Übersicht nach Art. 32, Subunternehmerliste, Lösch- und Rückgabekonzepte sowie Sicherheitsfragebögen stellen wir für Vergabeverfahren bereit - Details unter Sicherheit & Compliance.

Falls digitale Souveränität bei Ihnen nach § 58 Abs. 2 Nr. 4 VgV bepunktet wird: Die On-Premises-Variante ist die direkteste Antwort, die wir anbieten können. Vollständiger Funktionsumfang, vollständig in Ihrem Netz, kein Datenabfluss.

Verwaltungslogik statt Aufgabenboard

Die Funktionen, die in Verwaltungsprojekten den Unterschied machen, sind nicht die, die auf Produktseiten oben stehen:

• Beschlussverfolgung und Gremienarbeit. Sitzungsserien mit Agenda, Live-Protokoll im Fokus-Modus, Verlinkung von Personen und Vorgängen direkt im Protokolltext, Beschlüsse als eigene nachverfolgbare Objekte mit Verantwortlichem und Frist.
• Statusberichte, die halten, was sie berichten. Dreistufiger Freigabeworkflow vom Entwurf über die Einreichung bis zur Freigabe; ausgewählte Kennzahlen werden je Bericht als Schnappschuss zum Stichtag festgehalten und sind ab der Freigabe gesperrt. Nachträgliche Änderungen an den Projektdaten verändern einen freigegebenen Bericht nicht mehr. Fällige und überfällige Berichte erscheinen als Dashboard-Widget, automatische Erinnerungen laufen vor Fälligkeit.
• Berechtigungen bis auf Feldebene, mit projektspezifischen Rollen abweichend von der globalen Systemrolle - die Voraussetzung dafür, Berufungsverfahren, Vergabeunterlagen und Gremienvorlagen im selben System zu führen, ohne sie allen zugänglich zu machen.
• Systemweiter Audit-Trail über alle Entitätstypen, filterbar nach Datum, Nutzer, Aktion und Objekt, mit Detailansicht je Eintrag. Zusätzlich ein Änderungsverlauf je Rolle - also die Nachvollziehbarkeit, wer wann welche Berechtigung vergeben hat.
• Dokumentengenerierung aus Live-Projektdaten: Statusbericht, Projektauftrag, Abschlussbericht oder Änderungsantrag als fertiges Word-Dokument aus einer hinterlegten Vorlage, mit Prüfung auf unbefüllte Platzhalter vor der Erzeugung. Für Verwendungsnachweise und Gremienvorlagen erspart das die manuelle Übertragung.
• Zeiterfassung mit konfigurierbarem Genehmigungsverfahren - ein- oder zweistufig, mit Toleranzgrenzen, Einreichungsfristen und Massenfreigabe. Genau die Stellschrauben, die eine Dienstvereinbarung braucht.
• Kostenartenkatalog mit Kontonummer, Geltungsbereich, Richtung und Capex/Opex-Klassifikation, Personalkosten automatisch aus Aufwand mal Satz, Budgetwarnungen am Container, Earned-Value-Auswertung je Stichtag. Das ist die Basis für Mittelabflussprognosen im Drittmittel- und Förderkontext.
• Freigabe- und Workflow-Engine mit Genehmigungsknoten, Timern und Eskalation - für Verfahren, die an Werktagsfristen hängen.
• Import bestehender Pläne aus MS Project, Primavera P6 und Asta Powerproject inklusive Abhängigkeiten und Ressourcenzuweisungen.

Referenzen aus dem öffentlichen Sektor

• Hochschule Hamm-Lippstadt
• Stadt Springe - in allen Fachbereichen im Einsatz
• Kassenärztliche Vereinigung Thüringen - 50 Nutzer; Auslöser der Einführung war ein extern gefördertes Innovationsfondsprojekt mit definiertem Zeitrahmen und umfangreichen administrativen Anforderungen. Als Körperschaft des öffentlichen Rechts unterliegt die KVT denselben Rahmenbedingungen, die dieser Artikel beschreibt: Vergaberecht, hohe Anforderungen an Datenschutz und IT-Sicherheit, Umgang mit besonders sensiblen Daten. Der vollständige Anwenderbericht steht hier zum Download.

Mehr zur Abbildung öffentlicher Vorhaben finden Sie auf der Seite Öffentliche Vorhaben und zu Betriebsmodellen unter Enterprise.

Was wir nicht behaupten

Vier Punkte, weil sie im Verfahren ohnehin gefragt werden und ein „weiß ich nicht" später teurer ist als ein „nein" jetzt:

• Wir haben keine VS-NfD-Zulassung - und wie in Abschnitt 6 erläutert, hat sie kein Anbieter von Projektmanagement-Software, weil das Zulassungsverfahren auf IT-Sicherheitsprodukte zielt. Wenn ein Anbieter das anders darstellt, lassen Sie sich die Zulassungsurkunde zeigen.
• Das C5-Testat gehört dem Rechenzentrumsbetreiber, nicht der Anwendung. Für den EVB-IT Cloud, der den Nachweis der C5-Basiskriterien verlangt, ist die Frage, welche Kriterien in Ihrer Konstellation auf welcher Ebene erfüllt werden - das klären wir im Verfahren transparent und schriftlich.
• Zur Barrierefreiheit legen wir den aktuellen Prüfstand nach EN 301 549 offen, statt pauschal „barrierefrei" zu behaupten. Fordern Sie das von jedem Bieter.
• Wir sind nicht Open Source. Wenn Ihre Vergabestelle eine tragfähige sachliche Begründung für eine OSS-Vorgabe hat, sind wir nicht Ihr Anbieter. Wenn es um Datenhoheit, Exit-Fähigkeit und offene Schnittstellen geht - also um das, was mit Open Source eigentlich gemeint ist - reden wir gern über die On-Premises-Variante.

---

16. Häufige Fragen (FAQ)

Ab welchem Auftragswert muss eine Kommune Projektmanagement-Software EU-weit ausschreiben? Ab 216.000 € netto geschätztem Gesamtauftragswert (gültig 1.1.2026–31.12.2027). Für oberste und obere Bundesbehörden liegt die Schwelle bei 140.000 €. Maßgeblich ist der Wert über die gesamte Laufzeit inklusive aller Optionen, nicht der Jahreswert.

Wie schätze ich den Auftragswert bei einem Softwarevertrag richtig? Nach § 3 VgV: Gesamtwert netto über die volle Laufzeit einschließlich Verlängerungsoptionen, zuzüglich Einführung, Migration, Schulung und Support. Bei Verträgen ohne feste Laufzeitangabe oder mit einer Laufzeit von mehr als 48 Monaten ist zusätzlich der 48-Monats-Wert anzusetzen (§ 3 Abs. 11 Nr. 2 VgV). Eine künstliche Aufteilung zur Unterschreitung der Schwelle ist nach § 3 Abs. 2 VgV unzulässig.

Welcher EVB-IT-Vertrag gilt für SaaS-Projektmanagement-Software? Der EVB-IT Cloud. Für On-Premises mit dauerhaften Nutzungsrechten ist es EVB-IT Überlassung Typ B, bei zeitlich befristeter Nutzung Typ A, jeweils ergänzt um Pflege S und Dienstleistung.

Was hat sich 2026 bei den EVB-IT geändert? Zum 1. März 2026 wurden acht Vertragstypen neu gefasst. Open Source wird als gleichwertige, teils bevorzugte Option behandelt (keine Pflicht), und die SBOM wird vertraglicher Regelbestandteil - eine fehlende oder unvollständige SBOM kann einen Sachmangel begründen. Der EVB-IT Cloud war nicht Teil dieser Überarbeitung.

Darf ich digitale Souveränität als Kriterium bewerten? Ja. Seit dem 1. Juli 2026 nennt § 58 Abs. 2 Nr. 4 VgV „Aspekte der digitalen Souveränität" ausdrücklich als zulässiges Zuschlagskriterium; § 128 Abs. 2 GWB erlaubt sie als Ausführungsbedingung.

Darf ich Open Source zwingend vorschreiben? Nicht pauschal. Es braucht objektive, auftragsbezogene sachliche Gründe wie IT-Sicherheit, Infrastrukturkompatibilität oder eigene Pflegefähigkeit; die Darlegungslast liegt bei Ihnen. Produktspezifische Festlegungen erfordern nach § 31 VgV den Zusatz „oder gleichwertig".

Reicht ein Serverstandort in Deutschland für DSGVO-Konformität? Nein. Der Standort ist ein Baustein. Entscheidend sind zusätzlich Rechtsträgerschaft und Konzernbindung des Vertragspartners, die Unterauftragsverarbeiter-Kette, die Rechtsgrundlage etwaiger Drittlandtransfers, ein tragfähiger AVV und dokumentierte TOM.

Braucht ein PM-Tool für Behörden ein BSI-C5-Testat? Es ist keine allgemeine gesetzliche Pflicht, wird aber im EVB-IT Cloud über den Nachweis der C5-Basiskriterien verlangt und ist in Cloud-Ausschreibungen die Regel. Fordern Sie Typ 2, benennen Sie Version, Berichtszeitraum und Geltungsbereich.

Was ist der Unterschied zwischen C5 Typ 1 und Typ 2? Typ 1 prüft die Angemessenheit der Kontrollen zu einem Stichtag. Typ 2 prüft zusätzlich ihre Wirksamkeit über einen Zeitraum, üblicherweise zwölf Monate. Nur Typ 2 sagt etwas über den gelebten Betrieb aus.

Gibt es VS-NfD-zugelassene Projektmanagement-Software? Nein. Das Zulassungsverfahren nach §§ 51, 52 VSA zielt auf IT-Sicherheitsprodukte - Verschlüsselung, VPN, Firewalls, Schlüsselmanagement. Fachanwendungen werden dort nicht adressiert. Der Einsatz im VS-NfD-Kontext erfolgt über die Freigabe des Gesamtsystems durch die Dienststelle.

Brauchen Mitarbeitende für VS-NfD eine Sicherheitsüberprüfung? Nein. § 1 Abs. 2 SÜG erfasst nur STRENG GEHEIM, GEHEIM und VS-VERTRAULICH. Für VS-NfD verlangt die Verschlusssachenanweisung Belehrung und schriftliche Verpflichtung, nicht mehr. Eine Ü1 nach § 8 SÜG knüpft erst an VS-VERTRAULICH an. Und die korrekte Schreibweise ist Ü1/Ü2/Ü3, nicht SÜ1/SÜ2.

Muss ein PM-Tool barrierefrei sein? Ja. § 121 Abs. 2 GWB und § 23 Abs. 4 UVgO verlangen, Zugänglichkeitskriterien in der Leistungsbeschreibung zu berücksichtigen. Maßgeblicher Standard ist EN 301 549 in der harmonisierten Fassung, für Software insbesondere Kapitel 11, mit WCAG-Konformitätsstufe AA.

Muss der Personalrat der Einführung zustimmen? In aller Regel ja, sobald die Software Verhalten oder Leistung auswertbar macht - was bei Zeiterfassung, Auslastungsauswertungen und Audit-Trails der Fall ist. Rechtsgrundlage ist für Kommunen und Hochschulen das jeweilige Landespersonalvertretungsgesetz, nicht das BPersVG. Binden Sie die Vertretung vor der Leistungsbeschreibung ein.

Kann ich die Software über meinen kommunalen IT-Dienstleister beziehen? Häufig ja - und das kann ein Vergabeverfahren ersparen. Nach § 108 GWB ist die Inhouse-Vergabe an einen kontrollierten Dienstleister vergaberechtsfrei, wenn Kontroll- und Wesentlichkeitskriterium erfüllt sind und keine private Kapitalbeteiligung besteht. Prüfen Sie das Portfolio Ihres Dienstleisters vor dem Verfahren.

Betrifft NIS2 meine Kommune? Kommunalverwaltungen sind vom Bundesgesetz nicht automatisch erfasst; die Regelung obliegt den Ländern. Kommunale Eigenbetriebe und Unternehmen können erfasst sein, wenn sie in einen Sektor nach den Anlagen zum BSIG fallen. Prüfen Sie das für die konkrete Einheit.

Wie bilde ich Drittmittelprojekte ab? Über projektscharfe Kostenarten mit Kontonummer, Plan-Ist-Vergleich, Forecast und Mittelabflussprognose. Berücksichtigen Sie die Mittelabruffristen aus den Nebenbestimmungen Ihres Zuwendungsbescheids, die Bindung an den Bewilligungszeitraum und die Anforderungen der Trennungsrechnung nach EU-Beihilferecht.

---

Fazit: die Reihenfolge ist die halbe Miete

Wenn Sie aus diesem Artikel eine einzige Sache mitnehmen, dann diese Reihenfolge:

1. Übersicht schaffen - welche Vorhaben gibt es überhaupt, wer verantwortet sie, welche Fristen hängen daran?
2. Betriebsmodell entscheiden - das legt Vertragstyp, Nachweisbedarf und Datenschutzrolle fest.
3. Auftragswert schätzen - über die volle Laufzeit, inklusive Optionen. Das bestimmt Ihr Verfahren.
4. Personalvertretung einbinden - vor der Leistungsbeschreibung, nicht nach dem Zuschlag.
5. Leistungsbeschreibung schreiben - mit Barrierefreiheit, benannten Sicherheitsnachweisen und Exit-Regelungen.
6. Erst dann Produkte anschauen.

Wer diese Reihenfolge umdreht - und das ist der Normalfall - bewertet Produkte gegen Kriterien, die er noch gar nicht kennt, und schreibt die Leistungsbeschreibung anschließend rückwärts auf das Wunschprodukt zu. Genau daran scheitern Verfahren.

Sie stehen vor einer Beschaffung? Wir stellen für Vergabeverfahren ein vollständiges Nachweispaket bereit - AVV-Entwurf, TOM-Übersicht nach Art. 32 DSGVO, Subprozessorenliste, Sicherheitsfragebogen, Lösch- und Rückgabekonzept sowie die Angaben zu Rechenzentrumsbetreiber, Standort und Prüfnachweisen. Und wenn Sie zuerst nur wissen wollen, wie sich Ihr Vorhaben rechnet: Der ROI-Rechner liefert eine erste Größenordnung, bevor Sie den Auftragswert schätzen.

→ Vergabe-Checkliste herunterladen · Preise und Testzugang · Sicherheit & Compliance · Öffentliche Vorhaben

---

Rechtlicher Hinweis

Dieser Beitrag gibt den Rechtsstand vom 11. August 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung im Einzelfall. Schwellenwerte, Wertgrenzen und Vertragsmuster ändern sich; insbesondere die landesrechtlichen Wertgrenzen im Unterschwellenbereich sind volatil. Prüfen Sie vor jeder Beschaffung die für Sie geltende Landesvergabeordnung beziehungsweise Vergabedienstanweisung sowie die aktuellen Fassungen der zitierten Regelwerke.

Quellen

Vergaberecht: Delegierte Verordnungen (EU) 2025/2150, 2025/2151, 2025/2152 vom 22.10.2025 · § 3, § 14, § 31, § 58 VgV · § 97, § 106, § 107, § 108, § 121, § 128 GWB · § 23 UVgO · § 55 BHO · Vergabebeschleunigungsgesetz, in Kraft 1.7.2026 · Vergabe.NRW: EU-Schwellenwerte ab 1.1.2026 · DStGB: Neue EU-Schwellenwerte 2026/2027 · Wolters Kluwer: Vergabebeschleunigungsgesetz - zentrale Änderungen · IHK Schwerin: Vergabebeschleunigungsgesetz ab 01.07.2026 · cosinex: UVgO-Reform 2026 · cosinex: Digitale Souveränität in der öffentlichen Beschaffung · cosinex: Zulässigkeit von Open-Source-Vorgaben · cosinex: § 108 GWB · Auftragsberatungsstellen: Wertgrenzen der Länder

EVB-IT: Aktuelle EVB-IT (digitale-verwaltung.de) · IT-Recht Kanzlei: EVB-IT umfassend überarbeitet · Luther: Neue EVB-IT-Vertragsmuster 2026 und Open Source · BTL Rechtsanwälte: EVB-IT Cloud · PwC: Anforderungen des EVB-IT Cloud an Anbieter · OSB Alliance: Neue EVB-IT-Vorlagen

Sicherheit: BSI: Kriterienkatalog C5 · BSI-Pressemitteilung C5:2026 vom 7.4.2026 · BSI: C5-FAQ (Übergangsfristen) · BSI: IT-Grundschutz-Profil Basis-Absicherung Kommunalverwaltung · BSI: Baustein APP.6 Allgemeine Software · BSI: NIS-2 für Land und Kommune

Geheimschutz: SÜG (Volltext) · Verschlusssachenanweisung (VSA), Fassung 13.03.2023 · VS-NfD-Merkblatt (BMWK-Sicherheitsforum) · BSI: Zulassung nach §§ 51, 52 VSA · BSI: Liste zugelassener Produkte (Schrift 7164) · BSI: Leitfaden Cloud-Lösungen im VS-Kontext, 14.01.2026 · SAP: VS-NfD-Einsatzerlaubnis für SAP Cloud Infrastructure · BfV: Die Sicherheitsüberprüfung

Datenschutz: EuG, Urteil vom 03.09.2025, T-553/23 (Latombe) · Luther: Transatlantische Datentransfers nach Trump v. Slaughter · LfDI Baden-Württemberg: AVV-Muster · HBDI: Bericht zu Microsoft 365, 15.11.2025 · EDPB/EDPS: Joint Response US CLOUD Act

Barrierefreiheit: Portal Barrierefreiheit: EN 301 549 · Bundesfachstelle Barrierefreiheit: Barrierefreie Software · Uni Bielefeld: Rechtsgrundlagen barrierefreie Beschaffung (PDF)

Personalvertretung: § 80 Abs. 1 Nr. 21 BPersVG · Landespersonalvertretungsgesetze · BVerwG, Beschluss vom 04.05.2023 – 5 P 16.21

Verwaltungspraxis: Organisationshandbuch des Bundes, Kap. 3.4 Projektmanagement · BMI: Praxisleitfaden Projektmanagement · Landkreistag NRW: OZG-Umsetzung in der Praxis · IT-Planungsrat: Beschluss B-2026/03-IT Deutschland-Stack · RRZE: Richtlinien für IT-Beschaffungen an der FAU · KfW: Modellprojekte Smart Cities (436)

Betreiber-Nachweise: Hetzner Online GmbH: Zertifizierungen · Hetzner: Zertifikate und Testate