Cloud-Service- und Hosting-Verträge im Facility Management
Cloud- und Hostingdienste bilden zunehmend die technische Grundlage für CAFM, Service Desk, Dokumentenmanagement, mobile Instandhaltung, IoT-Anwendungen und andere digitale Facility-Management-Prozesse. Fallen solche Dienste aus oder können Betriebsdaten nicht mehr zuverlässig bereitgestellt werden, betrifft dies unmittelbar die Steuerungsfähigkeit des Facility Managements.
Ein Cloud-Service- oder Hostingvertrag sollte deshalb nicht lediglich Speicherplatz, Benutzerzahlen und monatliche Entgelte regeln. Er muss definieren, welche Leistung verfügbar sein muss, wie Daten geschützt werden und wie der Auftraggeber auch bei Störungen, Providerwechsel oder Vertragsende handlungsfähig bleibt.
Cloud-Service- und Hosting-Verträge klar gestalten
Welche Reaktions- und Antwortzeiten werden geschuldet?
Backup
Wie häufig und wie lange werden Sicherungen vorgehalten?
Wiederherstellung
Innerhalb welcher Zeit müssen Systeme und Daten wieder verfügbar sein?
Daten
Wem stehen Betriebs- und Konfigurationsdaten zu?
Security
Welche technischen und organisatorischen Schutzmaßnahmen gelten?
Subprovider
Welche weiteren Cloud- und Infrastrukturprovider werden eingesetzt?
Exit
Wie werden Daten, Dokumentation und Konfiguration übertragen?
Verfügbarkeit differenziert vereinbaren
Eine allgemeine Zusage wie „99,9 % Verfügbarkeit“ genügt für betriebsrelevante FM-Systeme häufig nicht. Vertraglich sollten zusätzlich geregelt werden:
Messpunkt und Berechnungsmethode,
vereinbarte Betriebszeit,
geplante Wartungsfenster,
zulässige Ausschlusszeiten,
Prioritätsklassen bei Störungen,
Reaktions- und Wiederherstellungszeiten,
Eskalationsverfahren,
Servicegutschriften oder andere Folgen von SLA-Abweichungen.
Besonders wichtig ist die Unterscheidung zwischen Systemverfügbarkeit und Wiederherstellbarkeit der Daten.
Datenhoheit vertraglich absichern
Der Auftraggeber sollte jederzeit Zugriff auf diejenigen Daten behalten, die während der Vertragslaufzeit für seinen Gebäudebetrieb entstehen. Dazu gehören beispielsweise:
Asset- und Anlagenstammdaten,
Wartungs- und Prüfhistorien,
Tickets und Störungsdaten,
Dokumente und Nachweise,
Benutzer- und Berechtigungsstrukturen,
Konfigurations- und Schnittstellendaten.
Der EU Data Act verpflichtet Anbieter von Datenverarbeitungsdiensten zu Maßnahmen, die den Wechsel zu einem anderen Provider oder zu einer eigenen IT-Infrastruktur erleichtern. Vertragsgestaltung und Exit-Konzept sollten diese Wechselbarkeit aktiv unterstützen.
Datenschutz und Informationssicherheit integrieren
Werden personenbezogene Daten im Auftrag verarbeitet, sind zusätzlich die Anforderungen des Art. 28 DSGVO und ein entsprechender Auftragsverarbeitungsvertrag zu beachten. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau.
Für höhere Sicherheitsanforderungen kann der BSI-Kriterienkatalog C5:2020 als Orientierungs- und Nachweisrahmen für die Informationssicherheit von Cloud-Diensten berücksichtigt werden. Das BSI nutzt C5 auch in seinem Mindeststandard zur Nutzung externer Cloud-Dienste.
Vendor Lock-in bereits bei Vertragsbeginn vermeiden
Ein Providerwechsel darf nicht erst kurz vor Vertragsende geplant werden. Bereits bei Vertragsschluss sollten festgelegt werden:
Ein guter Cloud-Service- und Hostingvertrag beschafft damit nicht lediglich IT-Kapazität. Er stellt sicher, dass digitale FM-Prozesse verfügbar, sicher, nachvollziehbar und providerunabhängig weiterführbar bleiben – auch dann, wenn sich Technologie, Dienstleister oder Betriebsmodell während der Vertragslaufzeit verändern.
