CAFM-/IT-/SaaS-Vertrag

Der Leistungsumfang eines CAFM-, IT- oder SaaS-Vertrags geht in der Regel deutlich über eine reine Softwarelizenz hinaus. Er umfasst technische, funktionale, betriebliche, sicherheitsbezogene und unterstützende Leistungen. Der Vertrag muss eindeutig festlegen, welche Leistungen vom Anbieter erbracht werden und welche Aufgaben beim Auftraggeber verbleiben.

• Implementierungsberatung und Projektmanagement

• Datenmigration aus Altsystemen

• Konfiguration von Workflows, Rollen und Berechtigungen

• Erstellung von Berichten, Dashboards und Auswertungen

• Schulung von Administratoren und Endanwendern

• Anpassung von Formularen, Checklisten und mobilen Anwendungen

• Qualitätssicherung von Datenbeständen

• Unterstützung bei Audits und Compliance-Nachweisen

• Erstellung technischer und funktionaler Dokumentation

Besonders wichtig ist die klare Abgrenzung zwischen Standardleistungen und kostenpflichtigen Zusatzleistungen. Beispielsweise sollte geregelt werden, ob neue Schnittstellen, kundenspezifische Reports, zusätzliche Schulungen, Datenbereinigungen oder individuelle Anpassungen im Grundpreis enthalten sind oder gesondert beauftragt werden müssen.

Der Vertrag sollte außerdem festlegen, welche Pflichten der Auftraggeber hat. Dazu gehören etwa die Bereitstellung korrekter Stammdaten, die Benennung fachlicher Ansprechpartner, die Mitwirkung bei Tests, die Prüfung von Migrationsergebnissen, die Verwaltung interner Benutzerrollen oder die Freigabe von Änderungen.

Digitale Plattformen unterstützen zahlreiche Facility-Management-Funktionen. Sie dienen nicht nur der Datenspeicherung, sondern auch der Prozesssteuerung, Dokumentation, Auswertung und Qualitätssicherung.

Ein CAFM- oder SaaS-System sollte immer an den tatsächlichen betrieblichen Anforderungen ausgerichtet werden. Die bloße Verfügbarkeit vieler Funktionen ist nicht ausreichend. Entscheidend ist, dass die Software die relevanten Prozesse des Auftraggebers abbildet und die tägliche Arbeit der Facility-Management-Organisation unterstützt.

Für das Asset Management bedeutet dies beispielsweise, dass Anlagen eindeutig identifiziert, klassifiziert und mit Wartungsplänen verknüpft werden können. Für das Maintenance Management müssen Arbeitsaufträge nachvollziehbar geplant, zugewiesen, dokumentiert und abgeschlossen werden können. Im Flächenmanagement sind verlässliche Flächendaten, Raumzuordnungen und Belegungsinformationen erforderlich.

Der Vertrag sollte daher nicht nur einzelne Softwaremodule auflisten, sondern die fachlichen Anwendungsfälle beschreiben. Dazu gehören Prozessanforderungen, Rollen, Datenfelder, mobile Nutzung, Berichtspflichten, Freigabeprozesse und Schnittstellen zu anderen Systemen.

Ein CAFM-, IT- oder SaaS-Vertrag kombiniert technische, operative, rechtliche und kommerzielle Regelungen. Eine klare Vertragsstruktur reduziert Missverständnisse und stellt sicher, dass die digitale Lösung langfristig zuverlässig betrieben werden kann.

• Projektphasen und Implementierungsplan

• Abnahmeverfahren und Testkriterien

• Datenmigration und Datenqualität

• Schnittstellen und Integrationsverantwortung

• Informationssicherheit und Notfallmanagement

• Rechte an Konfigurationen, Reports und kundenspezifischen Anpassungen

• Schulungsleistungen und Wissensübergabe

• Änderungsmanagement und Release Management

• Preisstruktur, Zusatzkosten und Indexierungen

• Vertragslaufzeit, Verlängerung und Kündigung

• Haftung, Gewährleistung und Eskalationsmechanismen

• Audit- und Kontrollrechte des Auftraggebers

Eine belastbare Vertragsstruktur ist besonders wichtig, weil CAFM- und SaaS-Systeme häufig über viele Jahre genutzt werden und tief in operative Abläufe integriert sind. Unklare Regelungen können später zu erhöhten Kosten, Datenabhängigkeit, Leistungsproblemen oder Schwierigkeiten bei der Migration führen.

Da CAFM-Systeme häufig kritische operative Prozesse unterstützen, müssen Service Levels und Leistungsanforderungen klar definiert werden. Diese Anforderungen werden üblicherweise in einem Service Level Agreement (SLA) festgelegt. Das SLA beschreibt, welche Servicequalität geschuldet ist, wie sie gemessen wird und welche Folgen bei Nichterfüllung gelten.

Service Levels sollten nach Kritikalität differenziert werden. Ein Totalausfall der CAFM-Plattform ist anders zu behandeln als ein Darstellungsfehler in einem Bericht. Deshalb sollte der Vertrag Incident-Klassen definieren, zum Beispiel kritisch, hoch, mittel und niedrig. Für jede Klasse sind Reaktionszeiten, Kommunikationspflichten, Eskalationsstufen und Lösungsziele festzulegen.

Bei SaaS-Lösungen sind Wartungsfenster besonders zu beachten. Der Anbieter sollte geplante Wartungen rechtzeitig ankündigen und möglichst außerhalb kritischer Betriebszeiten durchführen. Der Vertrag sollte außerdem regeln, ob geplante Wartungszeiten in die Verfügbarkeitsberechnung einbezogen werden oder nicht.

Für Facility Management sind Leistungsanforderungen nicht nur technisch, sondern auch operativ relevant. Wenn ein Helpdesk-Modul ausfällt, können Störungsmeldungen nicht bearbeitet werden. Wenn Wartungspläne nicht verfügbar sind, kann die Einhaltung von Prüf- und Betreiberpflichten gefährdet sein. Deshalb müssen Service Levels auf die tatsächliche Bedeutung der Prozesse abgestimmt werden.

Daten gehören zu den wertvollsten Ressourcen in CAFM- und SaaS-Umgebungen. Sie bilden die Grundlage für Anlagenmanagement, Wartungssteuerung, Kostenkontrolle, Compliance, Flächenmanagement, Energieanalyse und strategische Entscheidungen. Deshalb müssen Datenrechte, Datenzugriff, Datenqualität, Datensicherung und Datenportabilität eindeutig geregelt werden.

Der Vertrag sollte eindeutig festlegen, dass operative und anlagenbezogene Daten Eigentum des Auftraggebers bleiben. Dazu gehören insbesondere Anlagenstammdaten, Wartungshistorien, Prüfberichte, Flächendaten, Gebäudepläne, Nutzerinformationen, Serviceaufträge, Mängelberichte, Energieverbrauchsdaten und Dokumente.

Der Anbieter erhält nur die Rechte, die zur Vertragserfüllung erforderlich sind. Eine Nutzung der Daten für eigene Zwecke, Auswertungen, Produktentwicklung oder Weitergabe an Dritte sollte nur erlaubt sein, wenn dies ausdrücklich vereinbart und rechtlich zulässig ist.

Berechtigte Nutzer müssen während der Vertragslaufzeit sicheren und zuverlässigen Zugriff auf die Daten haben. Der Vertrag sollte regeln, wie Benutzerkonten eingerichtet, geändert und gelöscht werden, welche Rollen und Berechtigungen bestehen und wie Zugriffe protokolliert werden.

Ein rollenbasiertes Berechtigungskonzept ist erforderlich, damit Nutzer nur auf die Informationen zugreifen können, die sie für ihre Aufgaben benötigen. Dies gilt besonders bei sensiblen Daten wie Sicherheitsinformationen, Zutrittsdaten, personenbezogenen Nutzerinformationen oder kritischer technischer Infrastruktur.

Bei Vertragsende, Anbieterwechsel oder Systemmigration muss der Anbieter den Datenexport in einem nutzbaren Format unterstützen. Datenportabilität bedeutet nicht nur, dass Daten irgendwie heruntergeladen werden können. Sie müssen vollständig, strukturiert, nachvollziehbar und für ein Folgesystem verwertbar sein.

Der Vertrag sollte Exportformate, Exportzeitpunkte, Datenumfang, Dokumentenübergabe, Metadaten, Datenbeziehungen und Unterstützungspflichten des Anbieters festlegen. Auch Konfigurationen, Workflows, Berichte und Schnittstellendokumentationen sollten berücksichtigt werden, soweit sie für den Weiterbetrieb erforderlich sind.

Aufbewahrungsfristen und Löschverfahren müssen klar definiert sein. Bestimmte Daten, etwa Prüfberichte, Wartungsnachweise oder Compliance-Dokumente, können für Audits, Betreiberpflichten oder rechtliche Nachweise über längere Zeiträume erforderlich sein.

Der Vertrag sollte regeln, wie lange Daten gespeichert werden, wann sie archiviert werden, wie Backups behandelt werden und wie eine sichere Löschung nach Vertragsende erfolgt. Die Löschung muss nachvollziehbar dokumentiert werden, insbesondere wenn personenbezogene oder sicherheitsrelevante Daten betroffen sind.

Digitale Facility-Management-Systeme müssen rechtliche, technische und organisatorische Sicherheitsanforderungen erfüllen. Da CAFM- und SaaS-Plattformen sensible Gebäude-, Anlagen-, Nutzer- und Betriebsdaten verarbeiten, sind Cybersicherheit und Compliance zentrale Vertragsbestandteile.

• Datenschutzvorgaben

• Anforderungen an Informationssicherheit

• Zugriffs- und Berechtigungsmanagement

• Audit- und Protokollierungspflichten

• Business-Continuity-Planung

• Management von Cybersicherheitsvorfällen

• Schutz von Cloud- und Netzwerkumgebungen

• Umgang mit Unterauftragnehmern und Rechenzentrumsstandorten

• Sicherheitsanforderungen bei mobilen Anwendungen

• Nachweis- und Meldepflichten bei Sicherheitsereignissen

Der Vertrag sollte Mindeststandards für technische und organisatorische Sicherheitsmaßnahmen definieren. Dazu gehören Verschlüsselung, sichere Authentifizierung, rollenbasierte Zugriffe, regelmäßige Sicherheitsupdates, Schwachstellenmanagement, Protokollierung, Datensicherung, Zugriffskontrolle und Notfallwiederherstellung.

Besonders wichtig ist die Regelung von Sicherheitsvorfällen. Der Anbieter muss verpflichtet sein, relevante Vorfälle unverzüglich zu analysieren, einzugrenzen, zu beheben und den Auftraggeber zu informieren. Der Vertrag sollte definieren, welche Informationen in einer Incident-Meldung enthalten sein müssen, welche Fristen gelten und wie die Zusammenarbeit bei forensischer Analyse, Behördenkommunikation oder Nutzerinformation erfolgt.

Auch Compliance-Anforderungen müssen dauerhaft überwacht werden. Wenn sich rechtliche oder technische Anforderungen ändern, muss der Vertrag Verfahren für Anpassungen, Prüfungen und Nachweise enthalten. Facility Manager, IT-Abteilung und Datenschutzverantwortliche sollten deshalb eng zusammenarbeiten.

Moderne Facility-Management-Plattformen arbeiten selten isoliert. Sie sind häufig Teil einer größeren digitalen Systemlandschaft. Deshalb sind Integration und Interoperabilität entscheidend für die Praxistauglichkeit eines CAFM-, IT- oder SaaS-Vertrags.

• Gebäudeleittechnik und Building Management Systems

• Enterprise Resource Planning-Systeme

• HR- und Arbeitsplatzsysteme

• BIM-Plattformen

• Energiemanagementsysteme

• IoT-Geräte und Sensoren

• Dokumentenmanagementsysteme

• Finanz- und Beschaffungssysteme

• Zutrittskontroll- und Sicherheitssysteme

• Mobile Anwendungen und Field-Service-Lösungen

Der Vertrag sollte klar regeln, wer für Schnittstellenentwicklung, Datenmodellierung, Tests, Betrieb, Überwachung, Fehlerbehebung und Weiterentwicklung verantwortlich ist. Schnittstellen sind häufig kritische Abhängigkeiten, weil sie Daten zwischen Systemen übertragen. Fehlerhafte oder instabile Schnittstellen können zu falschen Anlageninformationen, unvollständigen Arbeitsaufträgen, fehlerhaften Kostenbuchungen oder unzuverlässigen Energieauswertungen führen.

• Beschreibung der Schnittstellen und Datenflüsse

• Verantwortlichkeiten für Quell- und Zielsysteme

• Datenformate, Übertragungsintervalle und Validierungsregeln

• Sicherheitsanforderungen für Datenübertragung

• Test- und Abnahmeverfahren

• Monitoring und Störungsbehebung

• Dokumentation der Schnittstellen

• Regelungen bei Änderungen an Dritt- oder Quellsystemen

• Kosten für neue oder geänderte Integrationen

Interoperabilität bedeutet, dass Systeme nicht nur technisch verbunden sind, sondern Daten sinnvoll austauschen und weiterverarbeiten können. Dafür sind einheitliche Stammdaten, klare Datenverantwortung und definierte Qualitätsstandards erforderlich.

Der langfristige Erfolg einer CAFM- oder SaaS-Lösung hängt wesentlich von wirksamem Support und einem strukturierten Änderungsmanagement ab. Software im Facility Management bleibt nicht statisch. Gebäude, Prozesse, Nutzeranforderungen, regulatorische Vorgaben, Schnittstellen und Organisationsstrukturen verändern sich regelmäßig.

Ein professioneller Supportprozess sollte über ein Ticketsystem gesteuert werden. Der Vertrag sollte festlegen, wie Anfragen eingereicht werden, welche Informationen erforderlich sind, wie Prioritäten vergeben werden, welche Reaktionszeiten gelten und wie der Status kommuniziert wird.

Change Requests müssen kontrolliert bearbeitet werden. Nicht jede gewünschte Änderung sollte sofort umgesetzt werden. Zunächst sind Nutzen, Aufwand, Kosten, Auswirkungen auf Prozesse, Schnittstellen, Datenqualität, Sicherheit und Schulungsbedarf zu bewerten. Danach sollte eine Freigabe durch definierte Rollen erfolgen.

Softwareupdates und Releases sollten planbar und transparent sein. Der Anbieter muss rechtzeitig informieren, welche Änderungen eingeführt werden, ob bestehende Funktionen betroffen sind und ob Tests erforderlich sind. Bei kritischen Systemen sollten Updates zunächst in einer Testumgebung geprüft werden, bevor sie produktiv eingesetzt werden.

Schulungen sind ein wichtiger Erfolgsfaktor. Viele CAFM-Projekte scheitern nicht an der Software selbst, sondern an mangelnder Nutzerakzeptanz, unklaren Prozessen oder unzureichender Datenpflege. Daher sollten Schulungskonzepte, Key-User-Strukturen und regelmäßige Auffrischungen Teil des Vertrags- oder Betriebsmodells sein.

Die kommerzielle Struktur von CAFM- und SaaS-Verträgen unterscheidet sich von klassischen Facility-Management-Verträgen. Während traditionelle FM-Verträge häufig auf Personal, Leistungsmengen oder Servicepauschalen basieren, beruhen SaaS-Modelle oft auf wiederkehrenden Gebühren, Benutzerlizenzen, Modulen, Datenvolumen oder Servicepaketen.

• Abonnementbasierte Preisgestaltung: Regelmäßige monatliche oder jährliche Gebühren für die Nutzung der Software und der Plattformdienste.

• Benutzerbasierte Lizenzmodelle: Kosten abhängig von der Anzahl der Nutzer, Administratoren, mobilen Anwender, gleichzeitigen Zugriffe oder Rollen.

• Infrastrukturkosten: Kosten für Hosting, Cloud-Ressourcen, Speicher, Datenverkehr, Testsysteme oder zusätzliche Umgebungen.

• Professional-Services-Gebühren: Kosten für Implementierung, Beratung, Konfiguration, Schnittstellenentwicklung, Projektmanagement und individuelle Anpassungen.

• Implementierungs- und Migrationskosten: Aufwand für Datenübernahme, Datenbereinigung, Systemeinrichtung, Tests, Schulungen und Go-live-Unterstützung.

• Optionale Module und zukünftige Erweiterungen: Zusätzliche Funktionen wie Energie, Nachhaltigkeit, BIM-Integration, mobile Apps, IoT-Anbindung oder erweitertes Reporting können separate Kosten verursachen.

• Kosten für Supportstufen: Erweiterter Support, 24/7-Betreuung, dedizierte Ansprechpartner oder verkürzte Reaktionszeiten können zusätzliche Gebühren auslösen.

• Preisänderungen und Indexierungen: Langfristige Verträge sollten klare Regelungen zu Preissteigerungen, Lizenzänderungen und Erweiterungskosten enthalten.

CAFM-, IT- und SaaS-Verträge berühren zentrale Betriebsprozesse des Facility Managements. Daher müssen Risiken frühzeitig identifiziert und vertraglich abgesichert werden.

• klare Service Levels und Eskalationsverfahren

• belastbare Backup- und Wiederherstellungskonzepte

• eindeutige Datenrechte und Exportpflichten

• definierte Sicherheitsstandards und Auditmöglichkeiten

• Regelungen zu Unterauftragnehmern

• strukturierte Exit- und Migrationsklauseln

• regelmäßige Sicherheits- und Performanceberichte

• Abnahmeverfahren für Schnittstellen und Änderungen

• Notfall- und Business-Continuity-Verfahren

• transparente Haftungs- und Gewährleistungsregelungen

Ein professionelles Risikomanagement betrachtet nicht nur technische Risiken. Auch organisatorische Risiken sind relevant. Dazu zählen unklare Systemverantwortung, fehlende Key User, mangelnde Datenqualität, unzureichende Schulung, zu geringe Nutzerakzeptanz und unklare Prozesse. Der Facility Manager muss diese Risiken gemeinsam mit IT, Einkauf, Recht, Datenschutz und den Fachbereichen steuern.

Wirksame Governance ist über den gesamten Vertragslebenszyklus erforderlich. Ein CAFM-, IT- oder SaaS-Vertrag endet nicht mit der Implementierung. Nach dem Go-live müssen Systemleistung, Datenqualität, Nutzerakzeptanz, Supportqualität, Sicherheit, Kosten und Weiterentwicklung kontinuierlich gesteuert werden.

• Systemspezifikationen

• SLA-Dokumentation

• Vereinbarungen zur Datenverarbeitung

• Sicherheitsrichtlinien

• Verfahren zur Benutzeradministration

• Aufzeichnungen zum Änderungsmanagement

• Business-Continuity-Pläne

• Schnittstellendokumentationen

• Datenmodelle und Stammdatenrichtlinien

• Test- und Abnahmeprotokolle

• Schulungsunterlagen

• Betriebshandbücher

• Backup- und Wiederherstellungskonzepte

• Protokolle von Service-Review-Meetings

Regelmäßige Governance-Meetings helfen, die Systemleistung mit den geschäftlichen Anforderungen abzugleichen. In diesen Meetings sollten offene Incidents, SLA-Erfüllung, geplante Releases, Änderungsanträge, Datenqualität, Schnittstellenverfügbarkeit, Sicherheitsereignisse, Nutzerfeedback und Kostenentwicklung überprüft werden.

• Wer fachlicher Systemverantwortlicher ist

• Wer technische Systemverantwortung trägt

• Wer Benutzer und Berechtigungen freigibt

• Wer Änderungen priorisiert und genehmigt

• Wer Datenqualität überwacht

• Wer Sicherheits- und Compliance-Themen prüft

• Wer Berichte erhält und Entscheidungen trifft

• Wie Eskalationen behandelt werden

Die Dokumentation muss aktuell gehalten werden. Veraltete Schnittstellenbeschreibungen, unklare Rollenmodelle oder nicht gepflegte Systemhandbücher erhöhen das Risiko von Fehlern, Sicherheitslücken und Betriebsunterbrechungen. Für Facility Manager ist Governance deshalb ein zentraler Bestandteil der digitalen Betriebsführung.

Der Facility Manager definiert die fachlichen und operativen Anforderungen an das System. Er stellt sicher, dass die Software die tatsächlichen FM-Prozesse unterstützt, etwa Instandhaltung, Helpdesk, Flächenmanagement, Prüfpflichten, Energieauswertungen und Berichtswesen. Außerdem fördert er die Systemakzeptanz, überwacht die Datenqualität und sorgt dafür, dass Nutzer die Plattform korrekt anwenden.

Die IT-Abteilung verantwortet technische Integration, Informationssicherheit, Netzwerk- und Systemarchitektur, Identitäts- und Zugriffsmanagement sowie die technische Abstimmung mit bestehenden Unternehmenssystemen. Sie prüft Hosting-Modelle, Sicherheitskonzepte, Schnittstellen, Authentifizierungsverfahren und Notfallkonzepte.

Der Contract Manager überwacht vertragliche Einhaltung, Service Levels, Fristen, Kosten, Leistungsnachweise, Eskalationen und Änderungsprozesse. Er stellt sicher, dass vertragliche Regelungen praktisch angewendet und Abweichungen strukturiert behandelt werden.

Der Softwareanbieter ist verantwortlich für Hosting, Support, Wartung, Updates, technische Verfügbarkeit, Fehlerbehebung und die Einhaltung vereinbarter Service Levels. Bei SaaS-Modellen trägt er häufig auch Verantwortung für Plattformbetrieb, Systemüberwachung, Sicherheitsupdates, Datensicherung und technische Weiterentwicklung.

Datenschutz- und Compliance-Funktionen stellen sicher, dass regulatorische Anforderungen eingehalten werden. Sie prüfen Datenverarbeitung, Auftragsverarbeitungsregelungen, Zugriffsrechte, Löschkonzepte, Protokollierung, Sicherheitsmaßnahmen und Nachweispflichten.

Zusätzlich können Key User eine wichtige Rolle übernehmen. Sie verbinden die Fachbereiche mit dem Systembetrieb, unterstützen Endanwender, sammeln Verbesserungsbedarf und helfen bei Tests neuer Funktionen. Für größere Organisationen ist eine klare Rollenmatrix empfehlenswert, damit Verantwortlichkeiten für Systembetrieb, Datenpflege, Support, Änderungen und Compliance eindeutig geregelt sind.