Software package and information systems (Германия - Тендер #39063337)

Biometrieprüfung des Porträtbildes und die Prüfung des Unterschriftenbildes eines Bürgers bei der Online-Beantragung von Dokumenten bei Online-Antragsstrecke EfA-Führerschein

Die ekom21 wurde vom Land Hessen mit zahlreichen OZG-Umsetzungsleistungen als sog. „Einer-für-Alle-“ (EfA-) Leistung beauftragt. Hierbei ist die Bereitstellung von OZG-Leistungen innerhalb des eigenen Bundeslandes sowie die Schaffung der Möglichkeit zur Nachnutzung durch andere Bundesländer im Fokus. Die ekom21 hat mehrere EfA-Leistungen im Themenfeld „Mobilität und Reisen“ umgesetzt, hierzu gehört u.a. auch der Digitale Führerscheinantrag. Um den Online-Antrag zu verbessern, arbeitete das Land bereits in der Vergangenheit mit der Bundesdruckerei zusammen. Gegenstand des Auftrags ist die Bereitstellung der Serverkomponente "Biometrieprüfung Bild" (nachfolgend auch nur „Biometrieprüfung Bild“ genannt) zur ausschließlichen Einbindung in die OZG-Leistung „Führerschein“ durch den Auftragnehmer an den Aufraggeber als Software-as-a-Service (nachfolgend „SaaS“ genannt). Die Serverkomponente „Biometrieprüfung Bild“ ermöglicht die Biometrieprüfung des Porträtbildes und die Prüfung des Unterschriftenbildes eines Bürgers bei der Online-Beantragung von Dokumenten. Die Anforderungen an die Serverkomponente "Biometrieprüfung Bild" resultieren aus dem Projekt zur Umsetzung der OZG Leistung Führerschein.

Ferner erbringt der Auftragnehmer Leistungen hinsichtlich Betrieb, Softwarepflege und Support in Bezug auf die Software „Biometrieprüfung Bild“.

Die ekom21 erwägt, den Auftrag für die gewünschten Leistungen an den in Abschnitt V.2.3) der Bekanntmachung bezeichneten Auftragnehmer („vorgesehene Auftragnehmer“) zu vergeben.

Folgende Leistungen werden von ekom21 benötigt und sollen vom Anbieter erbracht werden:

Der Dienst "Biometrics-as-a-Service" (BaaS) bietet Schnittstellen zur Bewertung und Aufbereitung von Gesichts- und Unterschriftenaufnahmen an. Diese Aufgaben werden von den zwei folgenden Usecases übernommen:

• Gesichtsbildbewertung: Biometrische Bewertung von Gesichtbildern,

• Unterschriftenbewertung: Extraktion von Unterschriften aus digitalisierten Aufnahmen sowie

deren Aufbereitung und Bewertung.

Zum Schutz der Daten kommen sowohl Transportverschlüsselung als auch Inhaltsdatenverschlüsselung zum Einsatz.

Im Rahmen des OZG-Projekts Führerscheinantrag (nachfolgend „Online-Dienst“ genannt) ergeben sich durch die Verarbeitung von hochgeladenen Bildern des Antragstellers (nachfolgend „Bürger“ genannt), d.h. Porträtbild und Unterschrift, an einem zentralen Dienst neue Anforderungen an die Biometrieprüfung des Lichtbildes und der Verarbeitbarkeit des Unterschriftsbildes.

Die Serverkomponente "Biometrieprüfung Bild" stellt eine Weiterentwicklung zur Digitalisierung dar, die der Authentifizierung von Personen Möglichkeiten bietet. Der Bürger bekommt direkt das Bewertungsergebnis seines hochgeladenen Gesichtsbildes und ggf. Hinweise zur Korrektur dieses Bildes für eine erneute Aufnahme angezeigt. Des Weiteren wird das hochgeladene Unterschriftsbild auf Verarbeitbarkeit geprüft und für die weitere Verwendung aufbereitet an den Web-Service zurückgegeben. Nachdem die Bilder für den Onlineantrag im Web-Service angezeigt werden, werden diese an das Fachverfahren zur weiteren Bearbeitung durch den Sachbearbeiter der zuständigen Stelle weitergeleitet. Zielstellung ist es dabei, einen komplett digitalen Antragsprozess für Bürger abzubilden. Ohne die serverbasierte Biometrieprüfung des Gesichtsbildes gem. ICAO-Vorgaben kann dieser Prozess nicht effektiv, benutzerfreundlich und medienbruchfrei umgesetzt werden. Weiterhin muss das Bild der Unterschrift im korrekten Format und entsprechender Qualität für eine weitere Verarbeitung vorliegen.

Die ekom21 hat festgestellt, dass die Besonderheiten der beabsichtigen Auftragsvergabe dazu führen, dass zu den vorgesehenen Zeitpunkten nur ein Unternehmen die Anforderungen der ekom21 erfüllen kann, nämlich der ausgewählte Anbieter, da dieser bereits über die Expertise verfügt und die hohen Standards an Datenschutz und Verschlüsselung vorweisen kann, gerade in seiner Expertise für die öffentliche Hand. Zusätzlich zur Anwendung der oben genannten kryptographischen Funktionen muss das Fachverfahren auch sicherstellen, dass es kein kompromittiertes Schlüsselmaterial verwendet.

Auf Inhaltsdatenebene umfasst dies folgende Punkte:

• Prüfung des vom Auftragnehmer bereitgestellten Verschlüsselungszertifikats für den Request auf Gültigkeit sowie Abgleich gegen die im Zertifikat genannte Certificate Revocation List (CRL)

• Prüfung des für die Signatur der Response verwendeten Signaturzertifikats auf Gültigkeit sowie Abgleich gegen die im Zertifikat genannte Certificate Revocation List (CRL)

Auf Transportebene umfasst dies folgende Punkte:

• Prüfung des Serverzertifikats des BaaS-Service auf Gültigkeit der gesamten Zertifikatskette, Ursprung aus der CA des durch den Auftragnehmer bereitgestellten Truststores sowie Abgleich gegen die im Zertifikat genannte CRL.

Bei den vom vorgesehenen Auftrag kann aus technischen Gründen und aufgrund des Schutzes von ausschließlichen Rechten einschließlich Rechten des geistigen Eigentums (§ 14 Abs. 4 Nr. 2 lit. b und c VgV) nur der jeweilige Hersteller der Software die benötigen Leistungen erbringen.

Technisch liegen folgende Gründe vor:

Es muss eine möglichst hohe Automatisation und Integration für die betreffenden Verwaltungsvorgänge sichergestellt sein. Um die Vertraulichkeit und Integrität der Daten zu gewährleisten und gleichzeitig die Nutzungsberechtigung für die Serverkomponente "Biometrieprüfung Bild" zu prüfen, wurde eine gegenseitige TLS-Authentifizierung für die Absicherung implementiert. Zusätzlich erfolgt eine kryptographische Absicherung von Integrität und Vertraulichkeit der Daten auf Inhaltsebene. Dies entspricht den Empfehlungen der BSI-TR-03116 für behördenübergreifende Kommunikation.

Deshalb wird diese Veröffentlichung gemäß § 135 Abs. 3 Nr. 2 GWB vorgenommen.

Biometrieprüfung des Porträtbildes und die Prüfung des Unterschriftenbildes eines Bürgers bei der Online-Beantragung von Dokumenten bei Online-Antragsstrecke EfA-Führerschein

1. Es handelt sich vorliegend um eine freiwillige Ex-ante-Transparenzbekanntmachung mit der durch den Auftraggeber seine Absicht zum Vertragsabschluss mit dem vorgesehenen Auftragnehmer bekundet. Ein Vertragsschluss ist daher noch nicht erfolgt.

2. Der Abschluss des Vertrages erfolgt gemäß § 135 Abs. 3 Nr. 3 GWB frühestens zehn Kalendertage nach dem Tag nach der Veröffentlichung dieser Bekanntmachung. Es wird daher darauf hingewiesen, dass es sich bei dem in Abschnitt V.2.1) der Bekanntmachung angegebenen Datum um das heutige handelt, da technisch keine späteren Termine zugelassen werden.

3. Der Gesamtwert der Beschaffung unter Abschnitt II.1.7) und Abschnitt V.2.4 entspricht nicht den tatsächlichen Werten und wird zur Wahrung der Betriebsgeheimnisse gem. §°165 GWB nicht bekanntgegeben. Die tatsächlichen Werte werden nicht bekanntgemacht, weil die berechtigten geschäftlichen Interessen des vorgesehenen Auftragnehmers betroffen sind und die Veröffentlichung den lauteren Wettbewerb zwischen Wirtschaftsteilnehmern beeinträchtigen würde (vgl. Artikel 50 Abs. 4 der Richtlinie 2014/24/EU). Daher ist der fiktive Wert 0.01 EUR angegeben. An dieser Stelle wird darauf hingewiesen, dass aus dem gleichen Grund auch an den übrigen Stellen dieser Bekanntmachung keine weitergehenden Angaben bezüglich des Gesamtwerts der Beschaffung erfolgen.

Der Auftraggeber ist gemäß § 135 Abs. 3 GWB verpflichtet, vor dem Zuschlag eine Wartefrist von mindestens zehn Kalendertagen, gerechnet ab dem Tag nach der Veröffentlichung dieser Bekanntmachung, einzuhalten, bevor er den Vertrag abschließt. Innerhalb dieser Zeit kann die Zuschlagsentscheidung der Auftraggeberin, den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union zu vergeben, auf Antrag eines Betroffenen bei der zuständigen Vergabekammer nachgeprüft werden.

§ 135 GWB lautet:

(1) Ein öffentlicher Auftrag ist von Anfang an unwirksam, wenn der öffentliche Auftraggeber

1. gegen § 134 verstoßen hat oder

2. den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union vergeben hat, ohne dass dies aufgrund Gesetzes gestattet ist,

und dieser Verstoß in einem Nachprüfungsverfahren festgestellt worden ist.

(2) Die Unwirksamkeit nach Absatz 1 kann nur festgestellt werden, wenn sie im Nachprüfungsverfahren innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und Bewerber durch den öffentlichen Auftraggeber über den Abschluss des Vertrags, jedoch nicht später als sechs Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30 Kalendertage nach Veröffentlichung der Bekanntmachung der Auftragsvergabe im Amtsblatt der Europäischen Union.

(3) Die Unwirksamkeit nach Absatz 1 Nummer 2 tritt nicht ein, wenn

1. der öffentliche Auftraggeber der Ansicht ist, dass die Auftragsvergabe ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union zulässig ist,

2. der öffentliche Auftraggeber eine Bekanntmachung im Amtsblatt der Europäischen Union veröffentlicht hat, mit der er die Absicht bekundet, den Vertrag abzuschließen, und

3. der Vertrag nicht vor Ablauf einer Frist von mindestens zehn Kalendertagen, gerechnet ab dem Tag nach der Veröffentlichung dieser Bekanntmachung, abgeschlossen wurde.

Die Bekanntmachung nach Satz 1 Nummer 2 muss den Namen und die Kontaktdaten des öffentlichen Auftraggebers, die Beschreibung des Vertragsgegenstands, die Begründung der Entscheidung des Auftraggebers, den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union zu vergeben, und den Namen und die Kontaktdaten des Unternehmens, das den Zuschlag erhalten soll, umfassen.