Checkliste zur Einführung einer Software

Auf den Webseiten des HRZs gibt es eine Übersicht mit allen Softwareverträgen, die vom HRZ verwaltet werden.

https://www.uni-giessen.de/de/fbz/svc/hrz/svc/services/softwarelizenzen/uebersicht

Hinweis: Es gibt viele verschiedene Vertragsformen (Campusverträge, Teilcampusverträge, Fachbereichsverträge. Volumenverträge, etc.) und dadurch auch unterschiedliche Bezugsberechtigungen.

https://www.uni-giessen.de/de/fbz/svc/hrz/svc/services/softwarelizenzen/bezugsberechtigungen

Falls Ihre gesuchte Software gelistet ist, finden Sie dort auch Informationen zum Lizenzbezug und eine Sammlung häufig gestellter Fragen (FAQ).

Ist Ihr Bereich bezugsberechtigt, beziehen Sie Ihre gewünschte Software über den jeweiligen Rahmenvertrag.

Vor der Beschaffung neuer oder bislang nicht eingesetzter Softwareprodukte müssen die Lizenz- und Nutzungsbedingungen geprüft werden. Dies stellt sicher, dass:

• die Lizenzform zum geplanten Anwendungsfall passt (z.B. die Anzahl und Geräte der Nutzenden und der Nutzungszeitraum),

• keine problematischen Klauseln enthalten sind (z. B. Nutzungseinschränkungen, rechtliche Risiken).

Das HRZ unterstützt diese Prüfung auf Anfrage: Bitte richten Sie Ihre Anfragen an software-manage@hrz.uni-giessen.de

Bitte fügen Sie die zu prüfenden Lizenzunterlagen bei. Diese werden üblicherweise vom Hersteller bereitgestellt (z. B. mit Angebotsunterlagen oder auf dessen Website).

Grundlage hierfür ist die Dienstvereinbarung Software Asset Management (SAM), abrufbar im MUG-Archiv.

Bevorzugt wird der Kauf auf Rechnung, da dieser eine klare Trennung zwischen Erwerb und Nutzung sicherstellt und der Standard an der JLU ist.

Bietet der Hersteller keine Rechnungsstellung an oder lehnt diese ab, kann bei Einmalkäufen oder Kauflizenzen eine Abwicklung über die zentrale Kreditkarte des HRZ erfolgen. Bitte richten Sie Ihre Anfragen an software-manage@hrz.uni-giessen.de

Herausfordernd wird es bei Abonnementmodellen, insbesondere wenn der zahlende Account zugleich der nutzende Account ist. In solchen Fällen dürfen die Kreditkartendaten der JLU nicht in dezentral verwalteten Nutzerkonten hinterlegt werden.

Nur wenn der Anbieter eine technische Trennung von Erwerb und Nutzung ermöglicht, ist eine saubere Abwicklung möglich. Andernfalls sind alternative Zahlungswege zu prüfen.

• Persönliche Vorleistung mit anschließender Erstattung (nur in vertretbarem finanziellen Rahmen praktikabel, mit zusätzlichem Aufwand verbunden) 

Vorlagenrechnungen für den Erwerb von Software werden von der Finanzbuchhaltung stets dem HRZ zur Prüfung vorgelegt.

Die Zuständigkeit für die Bestellung richtet sich nach dem Netto-Beschaffungswert des Softwareprodukts. Grundlage ist die Beschaffungsordnung der JLU Gießen, die auch für Softwarekäufe verbindlich ist.

• Bis zu einem Nettowert von 7.500 € besteht eine dezentrale Bestellbefugnis, d.h. Sie können die Bestellung der Software in Ihrem Arbeitsbereich auslösen.

• Software oberhalb dieser Grenze wird im Beschaffungsprozess gemeinsam mit dem Dezernat D6 Materialwirtschaft abgewickelt.

Unabhängig vom Beschaffungsweg ist eine Prüfung der Lizenzbestimmungen durch das HRZ erforderlich (siehe "2. Welche Lizenzbestimmungen sind zu beachten?").

Bei der Einführung neuer Software ist zu prüfen, ob die angebotene Lösung die gesetzlich vorgeschriebenen Anforderungen an die Barrierefreiheit erfüllt. Als öffentliche Stelle ist auch die JLU verpflichtet, digitale Angebote barrierefrei zu gestalten und einzusetzen.

Grundlage hierfür sind das Hessische Behindertengleichstellungsgesetz (HessBGG) und die Hessische Verordnung über barrierefreie Informationstechnik (BITV HE 2019). Diese setzen die Vorgaben der EU-Richtlinie 2016/2102 über barrierefreie Websites und mobile Apps öffentlicher Stellen in nationales Recht um.

Auch Programme mit grafischer Benutzeroberfläche (Desktopsoftware) sind barrierefrei zu gestalten, damit sie für alle zugänglich und nutzbar sind.

Vor der Beschaffung sollte daher geklärt werden:

• Welche barrierefreien Funktionen (z. B. Screenreader-Unterstützung, Tastaturbedienbarkeit) bietet die Software?

• Liegen Ergebnisse eines Accessibility-Tests (z. B. BITV-Konformität) des Herstellers vor?

• Gibt es bekannte Einschränkungen oder Ausnahmen, die dokumentiert sind?

Bei Webanwendungen ist der Einsatz von BITV-konformen Komponenten zwingend erforderlich.

Das HRZ bietet hierzu Beratung an (Koordination Barrierefreie Studieninformationssysteme / Inklusive IT, Dr. Steffen Puhl).

Falls die Software:

• nur mit einem persönlichen Benutzerkonto verwendet werden kann,

• personenbezogene Daten verarbeitet (z. B. durch Texteingaben, im Rahmen von KI-Auswertungen, etc.),

sind besondere Datenschutzaspekte zu beachten.

Darüber hinaus sind Firmensitz des Softwareherstellers und Server-Standort von besonderer Bedeutung:

• Hosting im EU-/DSGVO-Raum → bevorzugt

• Hosting in den USA/Drittländern → sorgfältige Prüfung erforderlich

Vor der Einführung solcher Software ist eine Abstimmung mit dem Datenschutzbeauftragten der JLU erforderlich. Dabei sind die Datenschutzbestimmungen und die Dokumentation zur Datenverarbeitung des Anbieters zur Prüfung vorzulegen.

Sollen personenbezogene Daten von JLU-Beschäftigten verarbeitet werden (dies ist z.B. bei einer personalisierten Anmeldung an einer Software-Anwendung der Fall) ist nach der Abstimmung mit dem Datenschutzbeauftragten in der Regel auch die Beteiligung des Personalrats erforderlich.

Die Einführung neuer Software an der JLU kann erhebliche Auswirkungen auf die Informationssicherheit haben. Daher ist es entscheidend, den Informationssicherheitsbeauftragten (ISB) frühzeitig in den Beschaffungsprozess einzubinden. Der ISB ist zu beteiligen, wenn:

• Neue Software beschafft werden soll, die nicht öffentliche Informationen verarbeitet.
• Anforderungen für den sicheren Betrieb oder die sichere Nutzung geklärt werden müssen.
• Informationen geschützt werden müssen und deren Vertraulichkeit, Integrität oder Verfügbarkeit gewährleistet sein muss.
• Neue Prozesse oder Anwendungen eingeführt werden, die Informationen verarbeiten, und es notwendig ist, den Schutzbedarf dieser Informationen zu erfassen.
• Bestehende Anwendungen oder Prozesse neue Informationen verarbeiten und sich der Schutzbedarf dadurch ändert.
• Die Erstellung eines Sicherheits- oder Betriebskonzepts unter Berücksichtigung von Informations- und IT-Sicherheit erforderlich ist.

Eine Prüfung durch die Informationssicherheit kann über folgendes Formular erfolgen: Antrag zur Beurteilung der Informationssicherheit bei Einführung neuer Software — JLU.

Weitere Informationen unter Informationssicherheitsbeauftragter — JLU

Die Einführung einer neuen Software muss vorab mit dem Enterprise Architecture Management (EAM) abgestimmt werden. Kontakt: Dr. Matthias Stenke, Leiter EAM: matthias.stenke@hrz.uni-giessen.de. 

Folgende Fragestellungen sind dabei relevant:

• Welche Tragweite hat die Einführung der neuen Software/Anwendung?

• Entspricht sie den Architekturprinzipien der JLU?

• Wie beeinflusst es die bestehende Anwendungslandschaft?

• Entstehen Redundanzen oder Konflikte mit bestehenden Lösungen?

• Wer übernimmt die Systembetreuung und Wartung?

• Ist die Betreuung auch langfristig personell und organisatorisch gesichert?

Diese Abstimmung dient dazu, Wechselwirkungen frühzeitig zu erkennen und die Anwendungslandschaft der JLU nachhaltig zu steuern.