Halten Sie Ihre RFP-Response vertraulich, Teil für Teil

Die Vertraulichkeit eines Bids bleibt gewahrt, wenn Sie für jeden Teil einzeln darüber entscheiden. Kennzeichnen Sie nur die Teile Ihrer Response, deren Zurückhaltung der Auftraggeber begründen könnte, nennen Sie für jeden Teil einen Grund, den der Auftraggeber dokumentieren kann, und halten Sie fest, welche Personen, Partner und Tools die Unterlagen des Auftraggebers erhalten haben. Ein pauschaler Vertraulichkeitsvermerk und ein unterzeichnetes NDA decken jeweils höchstens die Hälfte des Problems ab. Dieser Leitfaden folgt der Reihenfolge der Arbeitsschritte bei einer RFP-Response: Bedingungen prüfen, auf Partner ausweiten, Tools freigeben, die Response mit Blick auf eine Veröffentlichung kennzeichnen und den Bid abschließen.

Bevor Sie beginnen: Verantwortliche, Inputs und Richtlinien

Stellen Sie vier Grundlagen zusammen, bevor die Ausschreibungsunterlagen eingehen, und benennen Sie für jede darauf basierende Entscheidung einen Verantwortlichen. Haken Sie Folgendes ab:

• Das NDA oder die Vertraulichkeitsbestimmungen des Auftraggebers, ob als separate Vereinbarung oder als Klauseln in den Ausschreibungsunterlagen.
• Die Vorgaben der Ausschreibung zur Kennzeichnung vertraulicher Informationen, etwa in einer vorgeschriebenen Anlage oder einem Formular.
• Die Richtlinie Ihres Unternehmens für KI und den Umgang mit Informationen, einschließlich der Liste zugelassener Tools.
• Die Partner, Unterauftragnehmer und Berater, die voraussichtlich einen Teil oder die gesamten Unterlagen benötigen.

Benennen Sie dann die Verantwortlichen. Die Rechtsabteilung prüft jede Bestimmung, die das Unternehmen über diesen Bid hinaus bindet. Die für Ihre Informationsrichtlinie, IT oder Informationssicherheit verantwortliche Person bestätigt beispielsweise, in welchen Tools und auf welchen Laufwerken die Unterlagen gespeichert werden dürfen. Der Bid-Manager entscheidet, welche Inhalte in der Response als vertraulich gekennzeichnet werden, und trägt dafür die Verantwortung, wie für alle anderen Inhalte der Response.

PAS 360:2023 von BSI, der Verhaltenskodex für Bid- und Proposal-Management, betrachtet Rollen und Verantwortlichkeiten als Teil guter Arbeitspraxis. Bei der Vertraulichkeit fällt eine fehlende Zuständigkeit am ehesten auf. Eine Entscheidung, für die niemand zuständig ist, trifft die Person, die zuerst die Ausschreibungsunterlagen herunterlädt. Wenn Sie es bemerken, liegen die Dateien bereits auf drei Laptops und in einem Chatverlauf.

Lesen Sie die Vertraulichkeitsvereinbarung zum RFP, bevor jemand die Unterlagen öffnet

Leiten Sie die Vertraulichkeitsvereinbarung des Auftraggebers an die Person weiter, die sie unterzeichnet, bevor jemand die Ausschreibungsunterlagen herunterlädt. Die Annahme der Bedingungen ist in der Regel Voraussetzung für den Zugriff. Was Sie darin vereinbaren, gilt für jeden weiteren Schritt.

Lesen Sie die Vereinbarung in zwei Teilen. Der erste Teil regelt den Bid selbst: was als vertrauliche Information gilt, wer sie erhalten darf, wofür sie verwendet werden darf (ausschließlich zur Erstellung Ihres Angebots), wo sie gespeichert werden darf und was am Ende damit geschieht, ob Rückgabe, Vernichtung oder eine schriftliche Bestätigung darüber. Mit diesen Bedingungen kann der Bid-Manager arbeiten. Sie legen die Regeln für die nachfolgenden Schritte zu Partnern, Tools und Abschluss fest.

Die zweite Hälfte geht über den Bid hinaus und gehört in die Rechtsabteilung. Achten Sie auf Formulierungen zu Exklusivität oder Wettbewerbsverboten, Abwerbeverbote für Mitarbeitende des Auftraggebers, Ansprüche auf geistiges Eigentum an Ihrer Response oder an Ideen, die Sie im Rahmen von Bieterfragen einbringen, Freistellungen oder eine unbeschränkte Haftung bei Verstößen sowie Verpflichtungen, die noch Jahre nach dem Zuschlag gelten. Eine Abwerbeverbotsklausel kann beispielsweise Ihr gesamtes Unternehmen statt nur das Bid-Team binden. Ob Sie diese akzeptieren, muss daher jemand entscheiden, dessen Befugnisse über den Bid hinausgehen. Wenn Sie nicht sicher sind, welche Unterlagen des Auftraggebers Sie bereits vor dem Zuschlag binden, erläutert dieser Leitfaden zur Rechtsverbindlichkeit eines RFP den Unterschied.

Lesen Sie die Bedingungen für Speicherung und Verarbeitung noch einmal. Eine Klausel, die den Speicherort von Dokumenten einschränkt oder die Weitergabe an Dritte ohne Zustimmung untersagt, entscheidet später darüber, ob ein Cloud-Speicher oder ein KI-Tool als zulässiger Speicherort oder als unbefugter Dritter gilt. Ist eine Bedingung unklar, sprechen Sie sie vor der Unterzeichnung beim Auftraggeber an. Eine Bieterfrage zu einer Vertraulichkeitsbestimmung lässt sich vor der Unterzeichnung ohne großen Aufwand klären, wird aber problematisch, sobald die Ausschreibungsunterlagen weitergegeben wurden.

Weiten Sie die Bedingungen auf jeden Partner aus, der die Unterlagen einsehen kann

Prüfen Sie, ob die Definition der zulässigen Empfänger im NDA Ihre Unterauftragnehmer, Berater und Konsortialpartner umfasst, bevor Sie ihnen Unterlagen zusenden. Denn Sie sind an die Bedingungen des Auftraggebers gebunden, nicht Ihre Partner.

Vereinbarungen gestatten es üblicherweise, Informationen nach dem Need-to-know-Prinzip an „Vertreter“ weiterzugeben, doch die Definitionen unterscheiden sich. Manche erfassen nur Beschäftigte, professionelle Berater und verbundene Unternehmen. Manche verlangen für jeden Dritten die schriftliche Zustimmung des Auftraggebers. Manche machen Sie für jeglichen Umgang eines Vertreters mit den Informationen haftbar. Gleichen Sie die Klausel Name für Name mit Ihrer tatsächlichen Partnerliste ab.

Wenn die Bedingungen eine Weitergabe zulassen, geben Sie diese Verpflichtungen an Ihre Partner weiter, bevor Sie die Dateien versenden. Das bedeutet eine inhaltsgleiche Vertraulichkeitsvereinbarung oder eine unterzeichnete Verpflichtungserklärung jedes Partners, die den Bedingungen des Auftraggebers für Nutzung, Speicherung und Rückgabe entspricht. Verlassen Sie sich nicht auf Ihr übliches NDA für die Zusammenarbeit, dessen Bestimmungen weniger streng sein können als die, die Sie gerade akzeptiert haben. Wenn die Bedingungen eine Zustimmung verlangen, holen Sie diese unter Nennung der Partner beim Auftraggeber ein.

Führen Sie ab der ersten Weitergabe ein Empfängerprotokoll. Übernehmen Sie darin folgende Felder:

• Name und Organisation
• Rolle im Bid
• Erhaltene Dateien oder Abschnitte mit Versionsangabe
• Datum der Weitergabe und Übermittlungsweg (Portal, Drive-Link, E-Mail)
• Für sie geltende Bedingungen: das NDA des Auftraggebers, eine Weitergabevereinbarung oder ein Verweis auf eine Einwilligung
• Datum der Rückgabe oder Vernichtung sowie Eingang der Bestätigung

Dasselbe Protokoll erfüllt auch beim Abschluss seinen Zweck, wenn die Bedingungen des Auftraggebers verlangen, dass jede Kopie zurückgegeben oder vernichtet wird. Ohne dieses Protokoll müssen Sie sich auf Ihr Gedächtnis verlassen. Geben Sie Unterlagen nach Möglichkeit auch nur abschnittsweise weiter: Ein Unterauftragnehmer, der den Preis für ein Los kalkuliert, benötigt möglicherweise nicht die vollständigen Ausschreibungsunterlagen. Und jede Datei, die Sie nicht versenden, müssen Sie später auch nicht zurückfordern.

Geben Sie jedes KI-Tool und jedes gemeinsam genutzte Laufwerk frei, bevor Sie die Unterlagen dort ablegen

Prüfen Sie jedes KI-Tool und jedes gemeinsam genutzte Laufwerk nach zwei Kriterien, bevor Sie Teile der Unterlagen dort ablegen: zuerst anhand der Bedingungen des Auftraggebers, dann anhand der Richtlinie Ihres Unternehmens. Die Bedingungen des Auftraggebers legen fest, wo seine Dokumente gespeichert und verarbeitet werden dürfen und ob Dritte sie bearbeiten dürfen. Ihre Unternehmensrichtlinie legt fest, welche Tools genehmigt sind. Ein Tool kann eine Prüfung bestehen und bei der anderen durchfallen.

Viele Sicherheitsverantwortliche vermuten bereits oder haben Belege dafür, dass dieses Risiko in ihrer eigenen Organisation besteht. Eine Gartner-Umfrage unter 302 Cybersicherheitsverantwortlichen, die zwischen März und Mai 2025 durchgeführt wurde, ergab, dass 69% der Organisationen vermuten oder Belege dafür haben, dass Beschäftigte verbotene öffentliche generative KI nutzen. Bei einem Bid könnte beispielsweise ein Bid-Writer eine lange Spezifikation in ein persönliches Konto bei einem Chat-Assistenten einfügen, um sie zusammenfassen zu lassen. Gartner empfiehlt CIOs, klare unternehmensweite Richtlinien für die Nutzung von KI-Tools festzulegen und regelmäßig auf Schatten-KI zu prüfen. Ein Bid-Team kann nicht auf das Audit warten und wendet die Richtlinie daher bereits beim Hochladen an.

Die Prüfung ist unabhängig von der Form der KI dieselbe: ein Chat-Assistent wie ChatGPT, Claude oder Gemini, Microsoft Copilot in Office, KI in Ihrer Content-Library oder eine intern entwickelte Lösung. Allzweck-KI erstellt zügig einen brauchbaren ersten Entwurf, doch darum geht es hier nicht. Entscheidend ist, ob die Bedingungen des Auftraggebers es Ihnen erlauben, Dokumente dort zu speichern und zu verarbeiten, wo das Tool sie speichert und verarbeitet, und ob Ihr Unternehmen das Tool für vertrauliches Material freigegeben hat, das Sie von Dritten erhalten haben. Prüfen Sie jedes Tool in dieser Reihenfolge:

1. Wo das Tool hochgeladene Dateien speichert und verarbeitet, abgeglichen mit etwaigen Standortvorgaben in den Bedingungen des Auftraggebers.
2. Ob der Anbieter des Tools gemäß den Bedingungen des Auftraggebers als Dritter gilt und Sie in diesem Fall die Zustimmung des Auftraggebers benötigen.
3. Ob Ihre KI-Richtlinie das Tool für vertrauliche Unterlagen freigibt, die Sie im Rahmen eines NDA erhalten haben.

Für gemeinsam genutzte Laufwerke gilt dieselbe Prüfung, ergänzt um einen weiteren Schritt. Richten Sie für jeden Bid einen zugriffsbeschränkten Ordner ein, auf den nur die Personen in Ihrem Empfängerprotokoll zugreifen können. Legen Sie die Unterlagen nicht im allgemeinen Bid-Bereich des Teams ab, wo alle Personen mit Zugriff auf frühere Bids sie öffnen können. Teilen Sie den Bid-Writern und Fachexperten beim Kick-off namentlich mit, welche Tools für diesen Bid freigegeben sind.

Vertrauliche Informationen in einer Ausschreibungs-Response Abschnitt für Abschnitt kennzeichnen

Kennzeichnen Sie nur die Teile Ihrer Response, deren Zurückhaltung ein öffentlicher Auftraggeber begründen könnte, und geben Sie jeweils den Grund an. Denn wenn ein öffentlicher Auftraggeber zur Offenlegung Ihrer Informationen aufgefordert wird, entscheidet er selbst, und eine klare Begründung bietet ihm eine Abwägungsgrundlage. In England heißt es in den Leitlinien des Cabinet Office für öffentliche Auftraggeber zur Veröffentlichung, dass Informationen aus Gründen der geschäftlichen Vertraulichkeit erst nach einer Prüfung des öffentlichen Interesses zurückgehalten werden dürfen. Zudem sollen öffentliche Auftraggeber ihre Begründung dokumentieren und aufbewahren. Ihre Kennzeichnung entscheidet nicht über das Ergebnis, sondern die dokumentierte Begründung des öffentlichen Auftraggebers. Ein pauschaler Vertraulichkeitshinweis auf jeder Seite bietet dem öffentlichen Auftraggeber nichts, was er dokumentieren könnte. Und wenn Sie eindeutig öffentliche Angaben wie Ihre Unternehmensgeschichte kennzeichnen, können die wirklich relevanten Kennzeichnungen wie reine Routine wirken.

Was ein öffentlicher Auftraggeber begründet zurückhalten kann

Dieselben Leitlinien nennen Beispiele für Geschäftsinformationen, die möglicherweise zurückgehalten werden können: Finanzmodelle und Geschäftspläne einschließlich Angaben zu Gewinnmargen und Gemeinkosten, einzelne Preiselemente sowie geschützte Details Ihrer Lösung. Diese Auswahlliste ist ein sinnvoller Ausgangspunkt, denn eine Offenlegung dieser Bestandteile würde Wettbewerbern verwertbare Informationen liefern. Bei einer typischen Response betrifft das die Preisaufschlüsselung nach Satz oder Einzelposition, das zugrunde liegende Kostenmodell sowie die Leistungsbeschreibungen oder das technische Konzept, durch die sich Ihre Lösung abhebt.

Rechnen Sie damit, dass bestimmte Angaben veröffentlicht werden, unabhängig davon, wie Sie sie kennzeichnen. Laut den Leitlinien ist die wirtschaftliche Sensibilität kein Grund, den Auftragswert selbst zurückzuhalten. Gehen Sie daher davon aus, dass der Gesamtwert auch dann veröffentlicht wird, wenn Ihre Preisaufschlüsselung geschwärzt ist. In der EU untersagt die Richtlinie 2014/24/EU einem öffentlichen Auftraggeber, Informationen offenzulegen, die ein Anbieter als vertraulich gekennzeichnet hat. Dazu gehören technische Geheimnisse, Geschäftsgeheimnisse und vertrauliche Aspekte von Angeboten. Maßgeblich ist dabei das nationale Recht, insbesondere zum Informationszugang. Die Kennzeichnung begründet somit die Pflicht zur Vertraulichkeit, ohne damit über jedes Auskunftsersuchen zu entscheiden. Nach dem Procurement Act 2023 muss ein Auftraggeber in England, Wales und Nordirland, der Informationen zurückhält, veröffentlichen oder mitteilen, dass und aus welchem Grund er dies tut. Damit ist selbst eine Schwärzung für Ihre Wettbewerber sichtbar.

Die Begründung zu jeder Kennzeichnung

Begründen Sie jede Kennzeichnung so, dass der Auftraggeber die Begründung direkt in seine Unterlagen übernehmen kann. Eine zweckmäßige Begründung besteht aus drei Teilen: was gekennzeichnet ist, mit Verweis auf den Abschnitt oder die Tabelle; welcher Schaden durch eine Offenlegung entstehen würde und wem; und wie lange die Vertraulichkeit erforderlich ist.

Eine Begründung für eine Preisliste könnte beispielsweise lauten, dass die Tagessätze in der zweiten Tabelle des Preisverzeichnisses Ihre aktuelle Margenstruktur widerspiegeln, dass ein Wettbewerber sie nutzen könnte, um Sie beim nächsten Auftrag zu unterbieten, und dass sie während der gesamten Vertragslaufzeit vertraulich bleiben. Der letzte Punkt ist wichtig. Ein Satz, der während der Vertragslaufzeit vertraulich ist, muss es Jahre später nicht mehr sein. Wenn Sie das angeben, wirkt auch Ihre übrige Begründung glaubwürdiger.

Fassen Sie die Begründungen in einer Übersicht am Anfang des Angebots oder in der von den Ausschreibungsunterlagen verlangten Form zusammen und kennzeichnen Sie die entsprechenden Seiten. Gleichen Sie die Kennzeichnungen vor der Einreichung einmal mit der Übersicht ab, damit nichts ohne Begründung gekennzeichnet ist und nichts mit Begründung ungekennzeichnet bleibt. Benennen Sie die Person, die die Begründungen verfasst hat, als Kontakt, falls der Auftraggeber Fragen zu einer Kennzeichnung hat.

Schließen Sie den Bid ab und halten Sie Kundenmaterial aus anderen Bids heraus

Wenn der Zuschlag erteilt oder das Angebot abgelehnt wurde, geben Sie die Unterlagen des Auftraggebers gemäß dessen Bedingungen zurück oder vernichten Sie sie. Gehen Sie das Empfängerprotokoll durch, um sämtliche Kopien zu erfassen, einschließlich der Kopien bei Partnern. Jeder Partner gibt die erhaltenen Unterlagen zurück oder vernichtet sie, bestätigt dies schriftlich und Sie vermerken das Datum in der entsprechenden Zeile. Auch Ihre eigenen Kopien zählen dazu: der zugriffsbeschränkte Ordner, lokale Downloads, E-Mail-Anhänge und alle Dateien, die in ein genehmigtes Tool hochgeladen wurden. Wenn die Bedingungen Ihnen gestatten, eine Kopie für rechtliche oder Compliance-Zwecke aufzubewahren, dokumentieren Sie, was Sie wo und aus welchem Grund aufbewahrt haben.

Nehmen Sie die Unterlagen des Auftraggebers nicht in Ihre Content-Library auf. Ihre eigenen Antworten können Sie wieder aufnehmen, sobald sie zur Wiederverwendung freigegeben sind. Die Leistungsbeschreibung und Preisvorlagen des Auftraggebers sowie alle Informationen, die er Ihnen im Rahmen der Bieterfragen mitgeteilt hat, haben Sie zu seinen Bedingungen erhalten, und diese gelten weiterhin.

Dieselbe Sorgfalt gilt umgekehrt auch gegenüber Ihren eigenen Kunden. Eine Fallstudie, die einen Kunden und seine Ergebnisse nennt, wurde möglicherweise nur für einen bestimmten Bid oder Zweck freigegeben. Wenn Sie sie ohne Zustimmung dieses Kunden anderweitig wiederverwenden, gefährden Sie genau die Beziehung, die sie belegen sollte. Erfassen Sie jede Freigabe beim jeweiligen Eintrag in der Content-Library: wer sie erteilt hat, für welche Verwendung und bis wann. So kann ein Bid-Writer auf einen Blick erkennen, ob eine namentliche Fallstudie für diese Response freigegeben ist. Wie Sie eine Content-Library einrichten, deren Einträge jeweils einen Verantwortlichen und einen Wiederverwendungsstatus haben, erfahren Sie unter Eine revisionssichere Antwortbibliothek aufbauen.

In SEQUESTO: Ihr Team kennzeichnet jedes Dokument im Knowledge Hub des agentic operating system (aOS) von SEQUESTO entsprechend seiner Vertraulichkeit. Für die Wiederverwendung einer kundenspezifischen Fallstudie kann eine Genehmigung erforderlich sein. Für eine externe Einreichung werden nur Dokumente vorgeschlagen, die als teilbar gekennzeichnet sind.

Vertraulichkeitscheckliste für jeden Bid

Gehen Sie diese Liste beim Kick-off und erneut beim Abschluss durch. Jede Zeile trifft entweder auf den Bid zu oder nicht:

• Das NDA des Auftraggebers wurde gelesen, bevor die Ausschreibungsunterlagen geöffnet wurden, und die Rechtsabteilung hat jede Bestimmung freigegeben, die über den Bid hinausgeht.
• Für alle Partner, Unterauftragnehmer und Berater, die Dateien erhalten haben, gelten die Bedingungen. Soweit erforderlich, wurden sie entsprechend weitergegeben, und alle Empfänger sind im Empfängerprotokoll aufgeführt.
• Jedes Tool und jedes Laufwerk, auf dem die Ausschreibungsunterlagen gespeichert sind, wurde auf die Bedingungen des Auftraggebers und die KI-Richtlinie des Unternehmens geprüft. Die Unterlagen befinden sich in einem zugriffsbeschränkten Ordner für diesen Bid.
• Jede Vertraulichkeitskennzeichnung in der Response ist mit einer Begründung versehen, die den betreffenden Abschnitt, den möglichen Schaden und die Dauer der Vertraulichkeit nennt. Das Verzeichnis stimmt mit den gekennzeichneten Seiten überein.
• Der Bid-Manager weiß, welche Informationen ein öffentlicher Auftraggeber dennoch veröffentlichen darf, einschließlich des Gesamtauftragswerts in England, und hat dies vor der Einreichung akzeptiert.
• Alle Exemplare der Unterlagen des Auftraggebers, einschließlich der Exemplare bei Partnern, wurden zurückgegeben oder vernichtet und im Protokoll bestätigt. Weder Unterlagen des Auftraggebers noch nicht freigegebene Kundenmaterialien befinden sich in der Content-Library.

Beginnen Sie bei Ihrem nächsten Bid mit der ersten Zeile, noch bevor Sie auf den Download-Link klicken. Zu diesem Zeitpunkt lassen sich die anderen fünf Zeilen noch gut richtig umsetzen.