Informationstechnik und Kommunikationstechnik sind inzwischen unmittelbare Bestandteile des Gebäudebetriebs. CAFM, Service Desk, Gebäudeautomation, mobile Instandhaltung, Zutrittskontrolle, Video, WLAN, Telekommunikation und Cloud-Anwendungen bilden miteinander vernetzte Betriebsstrukturen. Entsprechend müssen ITK-Verträge technische Leistung, Daten, Verfügbarkeit, Informationssicherheit und organisatorische Verantwortlichkeiten gemeinsam regeln.
Je nach Leistungsgegenstand sind unterschiedliche Vertragsarten erforderlich. Die ITK-Struktur von FM-Connect.com unterscheidet deshalb unter anderem Telekommunikationsverträge, CAFM-/IT-Dienstleistungsverträge, Software-Lizenz- und Pflegeverträge, Auftragsverarbeitungsvereinbarungen, Cloud-/Hostingverträge, Cybersecurity-Verträge sowie Internet- und CCTV-Systemverträge.
Systembetrieb, Verfügbarkeit, Daten und Zugriffsrechte
Oft reicht deshalb ein einzelner „IT-Vertrag“ nicht aus. Notwendig ist vielmehr eine konsistente Vertragsarchitektur, in der Hauptleistung, Lizenzen, Support, Datenschutz und Security widerspruchsfrei zusammenwirken.
SLA technisch und betrieblich definieren
ITK-Verträge sollten nicht nur eine abstrakte Systemverfügbarkeit vorgeben. Für kritische FM-Systeme sind insbesondere zu regeln:
Service- und Supportzeiten,
Prioritätsklassen,
Reaktionszeiten,
Wiederherstellungszeiten,
Wartungsfenster,
Backup und Restore,
Not- und Ersatzverfahren,
Eskalationskontakte,
geplante Updates und Releases.
Dabei sollte die Kritikalität der Anwendung berücksichtigt werden. Ein Ausfall eines Informationsportals besitzt regelmäßig andere Betriebsfolgen als der Ausfall eines CAFM-Service-Desks oder sicherheitsrelevanter Kommunikationssysteme.
Datenhoheit und Providerwechsel absichern
Von Beginn an muss geklärt sein, wem Betriebs-, Stamm- und Konfigurationsdaten zustehen und wie sie zurückgegeben beziehungsweise übertragen werden können. Besonders bei Cloud- und SaaS-Lösungen sind offene Exportformate, Schnittstellen, Migrationsunterstützung und Löschung verbleibender Daten nach Vertragsende zu regeln.
Der EU Data Act enthält inzwischen ausdrückliche Regelungen, die den Wechsel zwischen Datenverarbeitungsdiensten erleichtern und Vendor-Lock-in reduzieren sollen.
Datenschutz und Informationssicherheit integrieren
Verarbeitet ein ITK-Dienstleister personenbezogene Daten im Auftrag des Kunden, verlangt Art. 28 DSGVO grundsätzlich eine entsprechende vertragliche Regelung. Art. 32 DSGVO fordert zudem angemessene technische und organisatorische Maßnahmen für die Sicherheit der Verarbeitung.
Vertraglich sollten daher insbesondere geregelt werden:
Rollen- und Berechtigungskonzepte,
Unterauftragnehmer,
Verschlüsselung und Zugriffsschutz,
Protokollierung,
Sicherheitsvorfälle,
Schwachstellen- und Patchmanagement,
Backup und Wiederherstellung,
Audit- und Nachweisrechte.
Für Organisationen im Anwendungsbereich der seit Dezember 2025 in Deutschland umgesetzten NIS-2-Anforderungen kommen zusätzliche gesetzliche Cybersecurity-, Dokumentations- und Meldepflichten hinzu. Das BSI verlangt von betroffenen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen.
Exit bereits bei Vertragsbeginn planen
Ein ITK-Vertrag ist erst vollständig, wenn auch sein Ende beherrscht wird. Zu regeln sind deshalb:
Datenexport → Dokumentationsübergabe → Lizenzübergang → Wissenstransfer → Schnittstellenmigration → Entzug von Berechtigungen → Löschbestätigung → Unterstützung des Nachfolgeproviders.
Professionelle ITK-Vertragsgestaltung folgt damit der Logik:
Damit werden ITK-Verträge zu einem wesentlichen Bestandteil der FM-Governance. Ihr Ziel ist nicht nur funktionierende Informationstechnik, sondern ein verfügbarer, sicherer, interoperabler und auch bei einem späteren Providerwechsel beherrschbarer digitaler Gebäudebetrieb.
