Facility Management ist heute ohne digitale Systeme kaum noch steuerbar. CAFM, Gebäudeautomation, Service Desk, mobile Instandhaltung, Zutrittsmanagement, IoT-Sensorik, digitale Dokumentation und Cloud-Dienste erzeugen eine enge Verbindung zwischen vertraglicher Leistung, Betriebsdaten und IT-Infrastruktur. Entsprechend müssen FM-Verträge neben der fachlichen Leistung auch eindeutig regeln, welche Systeme genutzt werden, wem Daten gehören, wer welche Zugriffe erhält und wie Informationssicherheit, Verfügbarkeit und Vertragsende organisiert werden.
Die FM-Connect-Vertragsstruktur berücksichtigt hierfür bereits CAFM-/IT-Dienstleistungsverträge, SaaS- und Hostingverträge, Auftragsverarbeitungsverträge sowie IT-Sicherheitsanforderungen als eigenständige Vertragsbausteine.
Wer stellt und betreibt CAFM, Apps und Schnittstellen?
Datenhoheit
Wem gehören Stamm-, Betriebs- und Leistungsdaten?
Berechtigungen
Wer erhält welche Lese-, Schreib- und Administrationsrechte?
Schnittstellen
Welche Systeme müssen Daten austauschen?
Verfügbarkeit
Welche Betriebs- und Wiederherstellungszeiten gelten?
Cybersecurity
Welche Sicherheitsmaßnahmen und Meldewege sind einzuhalten?
Datenschutz
Welche personenbezogenen Daten werden wie verarbeitet?
Änderungen
Wie werden Releases, Updates und Schnittstellenänderungen gesteuert?
Exit
Wie werden Daten und Dokumentationen bei Vertragsende übergeben?
Datenhoheit ausdrücklich festlegen
Besonders kritisch ist die Frage, wer nach mehreren Vertragsjahren über die erzeugten Betriebsdaten verfügen kann. Ein Dienstleister sollte nicht faktisch zum alleinigen Informationsinhaber werden, nur weil das von ihm eingesetzte System die Daten speichert.
Vertraglich sollten daher mindestens geregelt werden:
Datenformate und Datenstrukturen,
Exportmöglichkeiten,
regelmäßige Datenübergaben,
Eigentums- beziehungsweise Nutzungsrechte,
Dokumentationsqualität,
Lösch- und Aufbewahrungsregeln,
Übergabe bei Providerwechsel,
Unterstützung bei Migration und Exit.
Für Cloud- und andere Datenverarbeitungsdienste gewinnt dies zusätzlich durch den EU Data Act an Bedeutung. Die Verordnung gilt seit dem 12. September 2025 und enthält insbesondere Regelungen, die den Wechsel zwischen Datenverarbeitungsdiensten und die Übertragbarkeit exportierbarer Daten erleichtern sollen.
Datenschutzrollen sauber abgrenzen
FM-Systeme können personenbezogene Informationen enthalten, beispielsweise Nutzer- und Kontaktdaten, Zutrittsinformationen oder personenbezogene Service-Tickets. Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag des Auftraggebers, verlangt Art. 28 DSGVO eine entsprechende vertragliche Regelung. Diese muss unter anderem Gegenstand und Dauer der Verarbeitung, Datenarten, Weisungsbindung, Vertraulichkeit, Unterauftragnehmer und Unterstützungspflichten festlegen.
Art. 32 DSGVO verlangt zudem ein dem Risiko angemessenes Sicherheitsniveau und nennt unter anderem Vertraulichkeit, Integrität, Verfügbarkeit, Wiederherstellbarkeit und die regelmäßige Überprüfung der Sicherheitsmaßnahmen.
Zugriffsrechte rollenbezogen steuern
Nicht jeder FM-Beteiligte benötigt Administrationsrechte. Sinnvoll ist ein Rollenmodell nach dem Prinzip:
Besonders zu unterscheiden sind Auftraggeberadministration, Objektleitung, Techniker, Service Desk, Nachunternehmer und reine Auswertungsnutzer.
Verfügbarkeit und Störungsmanagement vertraglich definieren
Für betriebsrelevante IT-Systeme sollten SLA nicht nur die allgemeine Systemverfügbarkeit beschreiben.
Zu klären sind auch:
Support- und Servicezeiten,
Prioritätsklassen,
Reaktions- und Wiederherstellungszeiten,
Backup und Restore,
Not- und Ersatzverfahren,
Cyber- und Datenschutzvorfälle,
Schnittstellenausfälle,
Eskalationskontakte.
Ein CAFM-Ausfall darf beispielsweise nicht dazu führen, dass kritische Störungen oder Betreiberpflichten organisatorisch nicht mehr bearbeitet werden können.
Exit bereits bei Vertragsbeginn planen
IT-Abhängigkeiten zeigen sich häufig erst beim Dienstleisterwechsel. Deshalb sollte jeder digital geprägte FM-Vertrag bereits zu Beginn ein belastbares Exit-Modell enthalten.
Damit werden IT-Aspekte nicht zu technischen Nebenbedingungen des FM-Vertrags. Sie bilden vielmehr eine wesentliche Voraussetzung dafür, dass der Auftraggeber über die gesamte Vertragslaufzeit datenfähig, steuerungsfähig und bei einem späteren Providerwechsel unabhängig handlungsfähig bleibt.
