Compliance & Normen im Facility Management für Finanzinstitute

Die Ebenen dürfen nicht isoliert betrachtet werden. Eine technische Anlage kann gleichzeitig bauordnungsrechtlichen Anforderungen, arbeitsschutzrechtlichen Pflichten, Herstellervorgaben, technischen Regeln, Normen, Versicherungsbedingungen und vertraglichen Wartungsanforderungen unterliegen.

Öffentlich-rechtliche Anforderungen können nicht durch Vertrag aufgehoben werden. Verträge können Pflichten zwar zwischen Parteien verteilen, ändern jedoch nicht automatisch die Verantwortung gegenüber Behörden, Beschäftigten oder geschädigten Dritten.

Eine Rechtsnorm ist unmittelbar verbindlich, sofern ihr Anwendungsbereich erfüllt ist. Technische Regeln konkretisieren gesetzliche Anforderungen und besitzen häufig eine Vermutungswirkung: Wer sie einhält, kann regelmäßig davon ausgehen, das zugehörige Schutzziel erfüllt zu haben. Abweichende Lösungen können zulässig sein, müssen jedoch mindestens ein gleichwertiges Sicherheitsniveau erreichen und nachvollziehbar bewertet werden.

DIN-, EN-, ISO- und VDI-Dokumente sind nicht allein aufgrund ihrer Veröffentlichung automatisch gesetzlich verpflichtend. Verbindlichkeit kann jedoch entstehen durch:

• eine ausdrückliche gesetzliche Verweisung,

• eine Nebenbestimmung in einer Genehmigung,

• eine behördliche Anordnung,

• eine vertragliche Vereinbarung,

• eine interne verbindliche Vorgabe,

• ihre Bedeutung als anerkannte Regel der Technik,

• ihre Heranziehung bei der Beurteilung eines fachgerechten Vorgehens.

Anerkannte Regeln der Technik beschreiben Lösungen, die in der Fachwelt überwiegend anerkannt und praktisch erprobt sind. Der Stand der Technik beschreibt einen fortgeschritteneren Entwicklungsstand geeigneter Verfahren und Einrichtungen. Welche Anforderung maßgeblich ist, ergibt sich aus der jeweiligen Rechtsvorschrift, Genehmigung oder vertraglichen Regelung.

Das Normenmanagement muss außerdem zwischen veröffentlichten Normen, Änderungen, Entwürfen und zurückgezogenen Ausgaben unterscheiden. Entwürfe können zur Vorbereitung sinnvoll sein, dürfen aber nicht ohne Kennzeichnung wie eine geltende Ausgabe behandelt werden.

Für jeden Standort ist zunächst der genehmigte baurechtliche Sollzustand festzustellen. Grundlage sind insbesondere die Landesbauordnung, einschlägige Sonderbauvorschriften, die Baugenehmigung, genehmigte Pläne, Nutzungsbeschreibungen, Brandschutzkonzepte, Prüfberichte, Abnahmen und objektspezifische Auflagen.

Der tatsächliche Gebäudebetrieb muss mit diesem genehmigten Zustand übereinstimmen. Relevante Abweichungen können entstehen, wenn Flächen anders genutzt, Trennwände versetzt, Technikräume eingerichtet, Sicherheitszonen eingebaut oder Personenzahlen wesentlich verändert werden.

Vor Umbauten oder Nutzungsänderungen ist zu klären:

• ob eine Genehmigung oder Anzeige erforderlich ist,

• welche Fachplanungen und Nachweise benötigt werden,

• ob das Brandschutzkonzept angepasst werden muss,

• ob Fluchtwege, Barrierefreiheit oder Stellplatzanforderungen betroffen sind,

• welche Prüfungen und Abnahmen vor Wiederinbetriebnahme erforderlich sind,

• wie Änderungen in Bestands- und Revisionsunterlagen übernommen werden.

Bei Finanzinstituten entstehen bauordnungsrechtliche Risiken häufig durch die Umwandlung klassischer Filialen in Beratungs-, Büro-, Veranstaltungs- oder Fremdnutzungsflächen. Auch die Einrichtung von Bargeld-, Archiv-, Sicherheits-, Server-, Batterie- oder Technikbereichen kann eine bauliche oder genehmigungsrelevante Änderung darstellen.

Besondere Aufmerksamkeit ist erforderlich, wenn Zutrittskontrollen, Vereinzelungsanlagen, Sicherheitsschleusen oder verschlossene Bereichstrennungen in Flucht- und Rettungswege eingreifen. Sicherheitsmaßnahmen müssen so geplant sein, dass die bauordnungsrechtlich geforderte Selbstrettung und der Zugang für Einsatzkräfte erhalten bleiben.

Flexible Arbeitsplatzkonzepte, erhöhte Flächenbelegung, neue Kundenbereiche und zusätzliche technische Lasten können Auswirkungen auf Raumgrößen, Rettungswegbreiten, Lüftung, Kühlung, elektrische Versorgung und Brandschutz haben. Facility Management, Sicherheitsmanagement, Arbeitsschutz, Fachplanung und Bauverantwortliche müssen Änderungen deshalb vor der Umsetzung gemeinsam bewerten.

Abweichungen zwischen Genehmigung, Planunterlagen und tatsächlichem Zustand sind risikobasiert zu bewerten. Sicherheitsrelevante Abweichungen erfordern unverzügliche Schutzmaßnahmen und eine geregelte Eskalation.

Betreiberverantwortung bezeichnet die Verantwortung für einen sicheren, bestimmungsgemäßen und rechtskonformen Betrieb von Gebäuden und technischen Anlagen. Sie umfasst den Schutz von Beschäftigten, Kunden, Besuchern, Dienstleistern und sonstigen Dritten sowie die Einhaltung aller anwendbaren Prüf-, Wartungs-, Kontroll-, Verkehrssicherungs- und Dokumentationspflichten.

Die Betreiberrolle ergibt sich nicht ausschließlich aus dem Eigentum. Maßgeblich können auch die tatsächliche Verfügungsgewalt, die Arbeitgeberstellung, die Betriebsführung, vertraglich übernommene Aufgaben und die konkrete Einflussmöglichkeit auf den sicheren Zustand sein.

Eine ordnungsgemäße Betreiberorganisation benötigt:

• klare Rollen und Zuständigkeiten,

• ausreichende Fachkunde,

• geeignete personelle und technische Ressourcen,

• belastbare Betriebs- und Instandhaltungsprozesse,

• geregelte Kontrollen,

• eine nachvollziehbare Dokumentation,

• wirksame Eskalationswege.

Je nach Eigentums- und Nutzungsmodell können mehrere Beteiligte Betreiberpflichten tragen. Dazu gehören Eigentümer oder Immobiliengesellschaften, Vermieter, Mieter, das Finanzinstitut als Nutzer und Arbeitgeber, die interne FM-Organisation, technisch verantwortliche Personen sowie externe Betriebs- und Wartungsdienstleister.

Für jede Pflicht ist konkret zu klären:

• Wer besitzt die tatsächliche Entscheidungs- und Verfügungsgewalt?

• Wer kann den sicheren Zustand herstellen oder beeinflussen?

• Wer ist gesetzlich oder vertraglich verpflichtet?

• Wer führt die operative Tätigkeit aus?

• Wer kontrolliert die ordnungsgemäße Ausführung?

• Wer entscheidet bei Mängeln über Sperrung, Reparatur oder Investition?

Allgemeine Formulierungen wie „Der Vermieter ist für das Gebäude verantwortlich“ reichen nicht aus. Die Zuordnung muss nach Bauteil, Anlage, Fläche, Prozess und Pflicht erfolgen.

Eine Delegation beseitigt nicht sämtliche Verantwortung der übertragenden Stelle. Auswahl-, Organisations-, Ausstattungs- und Überwachungspflichten bleiben grundsätzlich bestehen.

Ein wirksames Betreiberpflichtenmanagement basiert auf einem standort- und anlagenbezogenen Pflichtenregister. Jede Pflicht wird mindestens einer Rechtsgrundlage, einem Gebäude oder einer Anlage, einer verantwortlichen Rolle, einem Termin oder Intervall und einem erforderlichen Nachweis zugeordnet.

Das System muss überfällige Prüfungen, offene Mängel und fehlende Dokumente sichtbar machen. Bei sicherheitsrelevanten Abweichungen sind Sofortmaßnahmen, Nutzungseinschränkungen oder Sperrungen zu prüfen. Änderungen von Gesetzen, Nutzung, Technik, Verträgen oder Organisationsstrukturen müssen einen geregelten Aktualisierungsprozess auslösen.

Das Arbeitsschutzgesetz verpflichtet den Arbeitgeber, Sicherheit und Gesundheit der Beschäftigten durch eine geeignete Organisation und wirksame Schutzmaßnahmen zu gewährleisten. Zentrales Instrument ist die Gefährdungsbeurteilung. Sie muss Tätigkeiten, Arbeitsplätze, Arbeitsmittel, Arbeitsumgebung, psychische Belastungen und besondere Personengruppen berücksichtigen.

Für das Facility Management bedeutet dies insbesondere:

• gebäudebezogene Gefährdungen systematisch zu erfassen,

• geeignete Schutzmaßnahmen nach dem Stand der Technik festzulegen,

• Zuständigkeiten zu übertragen,

• Beschäftigte und Fremdfirmen zu unterweisen,

• die Wirksamkeit der Maßnahmen zu kontrollieren,

• Ergebnisse und Entscheidungen nachvollziehbar zu dokumentieren.

Arbeiten mehrere Arbeitgeber an einem Standort zusammen, müssen sie sich über Gefährdungen und Schutzmaßnahmen abstimmen. Dies betrifft beispielsweise Sicherheitsdienste, Reinigung, technische Wartung, Bauleistungen, Catering und interne Nutzerbereiche.

Die Arbeitsstättenverordnung regelt das sichere Einrichten und Betreiben von Arbeitsstätten. Die Technischen Regeln für Arbeitsstätten konkretisieren die Anforderungen und unterstützen den Arbeitgeber bei deren Umsetzung.

Zu den FM-relevanten Themen gehören:

• ausreichende Raumabmessungen und Bewegungsflächen,

• sichere Verkehrswege, Treppen und Türen,

• geeignete Beleuchtung und Sichtverbindungen,

• gesundheitlich zuträgliche Raumtemperatur und Lüftung,

• Begrenzung störender Lärmeinwirkungen,

• sichere Fluchtwege und Notausgänge,

• Maßnahmen gegen Entstehungsbrände,

• Sanitärräume, Pausenräume und Erste-Hilfe-Einrichtungen,

• ergonomische Bildschirmarbeitsplätze,

• barrierefreie Gestaltung, soweit erforderlich.

Abweichungen von Technischen Regeln müssen fachlich begründet werden. Das alternative Konzept muss mindestens das gleiche Schutzniveau erreichen und in der Gefährdungsbeurteilung dokumentiert sein.

Die Betriebssicherheitsverordnung betrifft die sichere Verwendung von Arbeitsmitteln und den Betrieb überwachungsbedürftiger Anlagen. Der Arbeitgeber muss auf Grundlage einer Gefährdungsbeurteilung festlegen, welche Prüfungen erforderlich sind, wer sie durchführen darf und welche Fristen gelten.

Zu steuern sind insbesondere:

• sichere Beschaffung und Inbetriebnahme,

• Prüfungen vor erstmaliger Verwendung,

• wiederkehrende Prüfungen,

• Prüfungen nach Änderungen oder außergewöhnlichen Ereignissen,

• Auswahl befähigter Personen oder zugelassener Überwachungsstellen,

• Umgang mit festgestellten Mängeln,

• sichere Außerbetriebnahme,

• Aufbewahrung der Prüfaufzeichnungen.

Prüffristen dürfen nicht pauschal aus Wartungsverträgen übernommen werden. Sie müssen aus Rechtsvorgaben, technischen Regeln, Herstellerinformationen, Nutzung und Gefährdungsbeurteilung abgeleitet werden.

Das DGUV-Regelwerk konkretisiert Anforderungen der gesetzlichen Unfallversicherung. Für das Facility Management sind insbesondere elektrische Anlagen und Betriebsmittel, sichere Arbeitsverfahren, persönliche Schutzausrüstung, Erste Hilfe, Qualifikation und Unterweisung relevant.

Bei elektrischen Anlagen muss beispielsweise geregelt sein, wer elektrotechnische Arbeiten ausführen, schalten, prüfen oder freigeben darf. Rollen wie Elektrofachkraft, elektrotechnisch unterwiesene Person und verantwortliche Elektrofachkraft dürfen nicht nur formal benannt werden. Aufgaben, Befugnisse, Anlagenbereiche und Vertretungen müssen eindeutig dokumentiert sein.

Ein wirksamer Brandschutz verbindet bauliche, anlagentechnische und organisatorische Maßnahmen. Der tatsächliche Betrieb muss mit Baugenehmigung, Brandschutzkonzept und genehmigter Nutzung übereinstimmen.

Das Facility Management muss insbesondere sicherstellen, dass:

• Brandabschnitte und feuerwiderstandsfähige Bauteile wirksam bleiben,

• Brandschutztüren nicht unzulässig offengehalten werden,

• Brandmelde-, Alarmierungs-, Rauchabzugs- und Löschanlagen funktionsfähig sind,

• Flucht- und Rettungswege freigehalten und gekennzeichnet werden,

• Feuerwehrzufahrten und Aufstellflächen nutzbar bleiben,

• Brandschutzordnungen aktuell sind,

• Beschäftigte und Fremdfirmen unterwiesen werden,

• Räumungsübungen geplant und ausgewertet werden,

• Mängel fristgerecht beseitigt und dokumentiert werden.

Änderungen an Raumaufteilungen, Möblierung, Technik, Zutrittskontrollen oder Nutzung dürfen erst nach brandschutztechnischer Bewertung umgesetzt werden.

Physische Sicherheitsmaßnahmen dürfen die Selbstrettung und den Zugang für Einsatzkräfte nicht beeinträchtigen. Elektronische Zutrittskontrollen, Vereinzelungsanlagen, Schleusen und verschlossene Sicherheitsbereiche benötigen deshalb definierte Notfallfunktionen.

Notwendige Regelungen umfassen:

• automatische oder manuelle Freigaben im Alarmfall,

• sichere Notöffnung bei Strom- oder Systemausfall,

• klare Zuständigkeiten für Notfallentscheidungen,

• Berücksichtigung von Besuchern und mobilitätseingeschränkten Personen,

• Einbindung von Bargeld- und Wertbereichen in Räumungskonzepte,

• abgestimmte Funktionen zwischen Sicherheits-, Brandmelde- und Gebäudeleittechnik.

Notfallpläne müssen konkrete Rollen, Kontaktdaten, Entscheidungsschwellen, technische Maßnahmen und Kommunikationswege enthalten. Übungen und Tests sind auszuwerten; erkannte Schwächen müssen zu dokumentierten Verbesserungsmaßnahmen führen.

Grundlage ist ein vollständiges Anlagenregister mit eindeutiger Kennzeichnung, Standort, technischen Stammdaten, Betreiberzuordnung und Kritikalität. Jeder Anlage sind die einschlägigen Rechtsanforderungen, Prüfungen, Wartungen, Qualifikationen und Nachweise zuzuordnen.

Ein belastbarer Steuerungsprozess umfasst:

• Ermittlung aller anwendbaren Pflichten.

• Festlegung von Prüfart, Umfang und Frist.

• Beauftragung ausreichend qualifizierter Personen.

• Terminüberwachung und Zugangssicherung.

• Fachliche Prüfung der Berichte.

• Bewertung und Priorisierung von Mängeln.

• Dokumentation der Beseitigung.

• Freigabe zur uneingeschränkten Nutzung.

Ein vorhandener Prüfbericht ist kein ausreichender Compliance-Nachweis, wenn darin festgestellte Mängel nicht bewertet und beseitigt wurden. Sicherheitsrelevante Mängel können eine sofortige Sperrung, Ersatzmaßnahmen oder einen eingeschränkten Betrieb erfordern.

CAFM- und Dokumentenmanagementsysteme müssen Fristen, Verantwortlichkeiten, Status und Nachweise transparent abbilden. Zugriffsrechte, Versionierung und Aufbewahrung sind so zu gestalten, dass die Unterlagen auch bei Personal- oder Dienstleisterwechsel verfügbar bleiben.

Das Gebäudeenergiegesetz stellt Anforderungen an Gebäude und technische Anlagen. Für das Facility Management sind insbesondere Betriebs-, Nachrüst-, Inspektions-, Dokumentations- und Nachweispflichten relevant.

Bei Eigentum, Vermietung und Anlagenbetrieb muss eindeutig festgelegt werden, wer:

• gesetzlich erforderliche Inspektionen veranlasst,

• Nachrüstpflichten bewertet und umsetzt,

• Energiekennwerte und Anlagendaten bereitstellt,

• Maßnahmen bei Sanierung oder Anlagenaustausch plant,

• Ausnahmen und Übergangsregelungen dokumentiert,

• Nachweise aufbewahrt und gegenüber zuständigen Stellen vorlegt.

Energetische Maßnahmen dürfen nicht isoliert betrachtet werden. Änderungen an Lüftung, Heizung, Kühlung oder Gebäudeautomation müssen weiterhin Arbeitsschutz, Raumklima, Brandschutz, Hygiene, Betriebssicherheit und Verfügbarkeit erfüllen.

Umwelt-Compliance im Facility Management umfasst unter anderem:

• ordnungsgemäßen Umgang mit Kältemitteln,

• Dichtheitskontrollen und Leckagedokumentation,

• hygienischen Betrieb von Trinkwasseranlagen,

• sichere Lagerung von Heizöl, Kraftstoffen und wassergefährdenden Stoffen,

• Gefahrstoffmanagement bei Reinigung und Instandhaltung,

• Abfalltrennung, Entsorgung und Nachweisführung,

• Vermeidung unzulässiger Einleitungen oder Emissionen,

• standortbezogene Prüfung zusätzlicher Genehmigungen und Auflagen.

Für Gefahrstoffe sind aktuelle Verzeichnisse, Sicherheitsdatenblätter, Betriebsanweisungen und Unterweisungsnachweise erforderlich. Stoffe müssen eindeutig gekennzeichnet und entsprechend ihren Eigenschaften gelagert werden. Fremdfirmen sind in die standortbezogenen Schutz- und Entsorgungsprozesse einzubeziehen.

Die ordnungsgemäße Geschäftsorganisation eines Kreditinstituts umfasst Risikomanagement, interne Kontrollen, Notfallmanagement, Auslagerungssteuerung, Dokumentation und Berichterstattung. Facility Management ist betroffen, wenn Gebäude, technische Infrastruktur oder FM-Dienstleister die Verfügbarkeit kritischer oder wichtiger Geschäftsprozesse unterstützen.

FM-relevante Anforderungen betreffen insbesondere:

• Identifikation kritischer Standorte und Infrastrukturen,

• technische Vorsorge für Strom, Kühlung, Zutritt und Brandschutz,

• Notfall- und Wiederanlaufplanung,

• Steuerung wesentlicher oder risikorelevanter Dienstleister,

• kontrollierte Zugänge zu sensiblen Bereichen,

• vertraglich geregelte Prüf-, Informations- und Auditrechte,

• Managementberichte über kritische Mängel und Ausfälle.

Die fachliche Verantwortung für aufsichtsrechtliche Anforderungen liegt nicht allein beim Facility Management. FM muss jedoch belastbare technische Daten, Kontrollen, Testnachweise und Störungsinformationen für Risk, Compliance, Informationssicherheit und Business Continuity bereitstellen.

Versicherungsunternehmen benötigen eine wirksame Geschäftsorganisation mit Risikomanagement, internen Kontrollen, klaren Verantwortlichkeiten und geregelten Ausgliederungen. FM-Schnittstellen entstehen insbesondere bei Standortresilienz, physischer Sicherheit, Notfallvorsorge und dem Betrieb kritischer technischer Infrastruktur.

Bei ausgelagerten FM-Leistungen muss das Versicherungsunternehmen die Leistung weiterhin angemessen steuern und überwachen. Dazu gehören klare Leistungsanforderungen, Risikobewertungen, Kontrollrechte, Berichtspflichten, Notfallregelungen und geordnete Ausstiegs- oder Übergangsszenarien.

Die DORA-Verordnung gilt seit dem 17. Januar 2025. Ihre Bedeutung für das Facility Management entsteht dort, wo Gebäude, Energieversorgung, Kühlung, Brandschutz, physischer Zutritt oder technische Dienstleister die Verfügbarkeit und Sicherheit von IKT-Systemen unterstützen.

Nicht jede FM-Leistung ist automatisch eine IKT-Leistung. Erforderlich ist eine konkrete Schnittstellen- und Kritikalitätsbewertung.

FM-bezogene Tests müssen realistische Szenarien, klare Erfolgskriterien und dokumentierte Ergebnisse enthalten. Festgestellte Schwächen sind nach Kritikalität zu priorisieren und bis zur wirksamen Behebung nachzuverfolgen.

Interne Richtlinien, Kontrollkataloge und Verträge müssen auf veraltete oder aufgehobene regulatorische Verweise geprüft werden. Dies betrifft insbesondere die Berücksichtigung aufgehobener VAIT-Vorgaben sowie die Bewertung, welche BAIT-Anforderungen noch anzuwenden sind oder durch DORA und zugehörige Regelungen ersetzt wurden.

Der Übergang sollte versioniert dokumentiert werden. Erforderlich sind:

• ein Verzeichnis betroffener Dokumente und Verträge,

• eine Zuordnung alter und neuer Anforderungen,

• fachliche Freigaben durch zuständige Funktionen,

• angepasste Kontroll- und Nachweisanforderungen,

• Schulung betroffener Rollen,

• dokumentierte Außerkraftsetzung überholter Vorgaben.

DIN EN ISO 41001 kann als Rahmen für ein systematisches FM-Management dienen. Sie ersetzt keine einzelnen Rechtsvorschriften, unterstützt jedoch dabei, Verantwortlichkeiten, Prozesse, Ziele, Risiken, Kontrollen und Verbesserungen konsistent zu organisieren.

Normenregister müssen für jedes Dokument den vollständigen Titel, die Ausgabe, den nationalen Übernahmestatus, das Ausgabedatum und den internen Anwendungsbereich enthalten. Weißdrucke, Änderungen, Entwürfe und zurückgezogene Fassungen sind eindeutig zu kennzeichnen.

Für DIN EN ISO 41011 ist der im Jahr 2026 veröffentlichte oder vorgesehene Stand im betrieblichen Normenzugang zu verifizieren. Auch Revisionsentwürfe zu ISO 41001 oder ISO 41012 dürfen erst nach formeller Veröffentlichung und interner Bewertung als verbindlicher Normenstand übernommen werden.

Änderungen an Normen lösen nicht automatisch eine sofortige technische Anpassung jeder Bestandsanlage aus. Zunächst sind rechtliche Verweisungen, Verträge, Gefährdungen, Genehmigungen, Bestandsschutz und das erforderliche Sicherheitsniveau zu prüfen.

Normen dürfen nicht pauschal einem gesamten Portfolio zugeordnet werden. Ihre Anwendung ist für jedes Gebäude, jede Anlage und jede Nutzung zu prüfen.

Ein professioneller Auswahlprozess umfasst:

• Feststellung des konkreten Anwendungsbereichs.

• Prüfung gesetzlicher, behördlicher oder vertraglicher Verweisungen.

• Ermittlung der aktuellen veröffentlichten Ausgabe.

• Bewertung bestehender Anlagen und Übergangsregelungen.

• Dokumentation zulässiger Abweichungen und Ersatzmaßnahmen.

• Übernahme konkreter Normenstände in Leistungsbeschreibungen und Prüfpläne.

Formulierungen wie „Ausführung nach allen einschlägigen DIN-Normen“ sind für Verträge und Ausschreibungen zu unbestimmt. Relevante Normen, Ausgaben und Abgrenzungen sollten konkret benannt werden. Für die Instandhaltung kann beispielsweise DIN 31051:2019-06 als dokumentierter Normenstand geführt werden, sofern sie für den jeweiligen Prozess weiterhin fachlich und vertraglich maßgeblich ist.

VDI-Richtlinien unterstützen die technische und organisatorische Konkretisierung des Gebäudebetriebs. Für ihre Anwendung muss geprüft werden, ob sie vertraglich vereinbart, in anderen Regelwerken in Bezug genommen oder als anerkannte fachliche Vorgehensweise relevant sind.

Bei hygienerelevanten Anlagen genügt es nicht, Inspektionsintervalle in einem Vertrag zu nennen. Auch Qualifikation, Prüfumfang, Probenahme, Bewertung von Befunden und Maßnahmen bei Abweichungen müssen geregelt sein.

GEFMA-Richtlinien behandeln unter anderem Betreiberverantwortung, Pflichtenübertragung, Vorschriftenmanagement, Leistungsbeschreibungen, FM-Verträge, CAFM-Strukturen, Prozessmodelle und Dokumentation.

Sie können als praktische Umsetzungshilfe dienen, um:

• Pflichtenregister aufzubauen,

• Verantwortlichkeiten zu strukturieren,

• Leistungen eindeutig zu beschreiben,

• Dienstleisterkontrollen zu standardisieren,

• Nachweise nachvollziehbar zu organisieren,

• Audits und Managementberichte vorzubereiten.

Private Regelwerke sind fachlich zu bewerten, dürfen jedoch nicht automatisch einer gesetzlichen Pflicht gleichgesetzt werden. Vor der Anwendung sind folgende Fragen zu klären:

• Ist das Regelwerk für die konkrete Anlage oder Nutzung relevant?

• Besteht eine gesetzliche, behördliche oder vertragliche Inbezugnahme?

• Ist die verwendete Ausgabe aktuell?

• Widerspricht die Regelung einer höherrangigen Anforderung?

• Wird sie als verbindliche Vorgabe oder nur als Orientierung eingesetzt?

• Wie werden Abweichungen bewertet und genehmigt?

Die Entscheidung ist im Normen- oder Pflichtenregister zu dokumentieren.

Facility-Management-Prozesse verarbeiten regelmäßig personenbezogene Daten. Maßgeblich sind insbesondere die Datenschutz-Grundverordnung, das Bundesdatenschutzgesetz und interne Datenschutzvorgaben.

Jede Verarbeitung benötigt einen eindeutigen Zweck und eine geeignete Rechtsgrundlage. Es dürfen nur die Daten erhoben werden, die für den festgelegten Zweck erforderlich sind. Speicherfristen müssen begrenzt, Zugriffe geschützt und Löschprozesse technisch wie organisatorisch umgesetzt werden.

Facility Management muss gemeinsam mit Datenschutz, Informationssicherheit und Fachbereichen klären:

• wer für die Verarbeitung verantwortlich ist,

• welche Dienstleister als Auftragsverarbeiter tätig werden,

• welche Datenkategorien verarbeitet werden,

• wer Zugriff erhält,

• wie lange Daten gespeichert werden,

• wie Betroffenenrechte erfüllt werden,

• welche technischen und organisatorischen Maßnahmen erforderlich sind.

Der Datenschutzbeauftragte sollte frühzeitig eingebunden werden, insbesondere bei Videoüberwachung, biometrischen Zutrittssystemen, detaillierten Bewegungsprofilen oder umfassenden Arbeitsplatzbuchungssystemen.

Erforderliche Kontrollen umfassen:

• dokumentierte Zwecke und Rechtsgrundlagen,

• Rollen- und Berechtigungskonzepte,

• regelmäßige Überprüfung aktiver Zugänge,

• Aufbewahrungs- und Löschfristen,

• Protokollierung administrativer Zugriffe,

• Datenschutzvereinbarungen mit Dienstleistern,

• Sicherheitsmaßnahmen für mobile Geräte und Fernzugriffe,

• Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko.

Videoüberwachung öffentlich zugänglicher Bereiche ist besonders sorgfältig zu prüfen. Zweck, Erforderlichkeit, räumlicher Erfassungsbereich, Speicherdauer, Hinweisinformationen und Zugriffsrechte müssen dokumentiert und regelmäßig neu bewertet werden.

Haftungsrisiken entstehen häufig nicht durch das vollständige Fehlen eines Prozesses, sondern durch unklare oder unwirksame Organisation. Typische Ursachen sind:

• nicht eindeutig definierte Zuständigkeiten,

• Beauftragung ungeeigneter Personen oder Unternehmen,

• fehlende Fachkunde,

• unzureichende Ressourcen und Befugnisse,

• nicht durchgeführte Kontrollen,

• ignorierte Mängel und Terminüberschreitungen,

• fehlende Eskalationen,

• unvollständige oder nachträglich nicht belastbare Nachweise.

Ein Managementsystem ist nur wirksam, wenn es in der betrieblichen Praxis angewendet wird. Formale Rollenbeschreibungen ohne Zeit, Budget, Datenzugang oder Entscheidungskompetenz bieten keinen ausreichenden Schutz.

Aufgaben dürfen nur übertragen werden, wenn sie klar definiert und tatsächlich übertragbar sind. Die übertragende Stelle bleibt für eine sorgfältige Auswahl, angemessene Organisation und regelmäßige Überwachung verantwortlich.

Bei externen Dienstleistern müssen Auftraggeber- und Auftragnehmerpflichten eindeutig abgegrenzt sein. Das Finanzinstitut benötigt ausreichende Kontroll-, Informations-, Zutritts- und Auditmöglichkeiten. Erkannte Pflichtverletzungen sind unverzüglich zu bewerten und mit konkreten Korrekturmaßnahmen, Fristen und Eskalationen zu versehen.

Fachinformationen zum Facility Management dienen der allgemeinen Orientierung und ersetzen keine rechtliche Prüfung des Einzelfalls. Für konkrete Gebäude, Anlagen, Verträge oder Ereignisse sind die zuständigen Fach-, Genehmigungs-, Compliance- oder Rechtsstellen einzubeziehen.

Für veröffentlichte Inhalte sollte stets gelten:

• Vorrang der aktuellen Rechtsvorschriften und Genehmigungsauflagen,

• Berücksichtigung standortabhängigen Landes- und Kommunalrechts,

• Prüfung des konkreten Eigentums- und Vertragsmodells,

• Angabe eines klaren Rechts- und Redaktionsstands,

• regelmäßige Aktualisierung der Inhalte.

Das Rollenmodell ist durch Vertretungsregelungen, Kompetenzgrenzen und Eskalationswege zu ergänzen. Für kritische Aufgaben muss auch bei Urlaub, Krankheit, Dienstleisterwechsel oder Großstörung eine handlungsfähige Vertretung bestehen.

Eine Schnittstellenmatrix beschreibt nicht nur, wer beteiligt ist, sondern auch, wer entscheidet, ausführt, prüft, informiert und dokumentiert. Wesentliche Schnittstellen bestehen zwischen:

• Eigentümer, Vermieter, Mieter und Betreiber,

• FM, Risk, Compliance und interner Revision,

• Informationssicherheit, Datenschutz und physischer Sicherheit,

• Einkauf, Vertragsmanagement und Dienstleistersteuerung,

• Arbeitsschutz, Brandschutz und Notfallmanagement,

• zentraler Organisation und dezentralen Standorten.

Für jede wesentliche Schnittstelle sollten Auslöser, Informationswege, Reaktionsfristen und Nachweise definiert werden. Beispiele sind die Meldung eines prüfpflichtigen Mangels, die Freigabe eines Umbaus, die Sperrung einer Anlage oder die Eskalation eines Dienstleisterausfalls.

Ein Rechtskataster, das lediglich Titel von Gesetzen enthält, ist für die operative Steuerung nicht ausreichend. Die Anforderungen müssen in konkrete, ausführbare Pflichten übersetzt werden.

Der Aktualisierungsprozess umfasst:

• Beobachtung neuer und geänderter Vorschriften.

• Prüfung der Anwendbarkeit auf Portfolio, Anlagen und Organisation.

• Bewertung der Auswirkungen auf Prozesse, Verträge und Dokumentation.

• Festlegung und Freigabe erforderlicher Änderungen.

• Aktualisierung von CAFM, Prüfplänen und Arbeitsanweisungen.

• Information und Unterweisung betroffener Rollen.

• Nachverfolgung der Umsetzung.

• Kontrolle der Wirksamkeit.

Änderungen sollten nach Kritikalität priorisiert werden. Neue sicherheitsrelevante Pflichten benötigen gegebenenfalls sofortige Übergangsmaßnahmen, während rein redaktionelle Anpassungen im regulären Dokumentenprozess umgesetzt werden können.

FM-Verträge müssen Pflichten so konkret beschreiben, dass Leistung, Verantwortung und Nachweis objektiv überprüfbar sind. Wesentliche Regelungen sind:

• eindeutiger Leistungs- und räumlicher Geltungsbereich,

• konkrete Betreiber-, Prüf-, Wartungs- und Meldepflichten,

• Qualifikationsanforderungen für eingesetztes Personal,

• Anforderungen an Prüfberichte und technische Dokumentation,

• Zustimmungspflichten für Nachunternehmer,

• Datenschutz-, Vertraulichkeits- und Sicherheitsvorgaben,

• Melde-, Eskalations- und Notfallpflichten,

• Zutritts-, Kontroll- und Auditrechte,

• Aufbewahrung und Herausgabe von Dokumentationen,

• Unterstützung bei Vertragsende oder Dienstleisterwechsel,

• Regelungen für Pflichtverletzungen und wiederholte Qualitätsmängel.

Verträge sollten außerdem bestimmen, welche Leistungen im Pauschalpreis enthalten sind, welche Freigaben zusätzliche Arbeiten benötigen und wer bei unmittelbarer Gefahr Sofortmaßnahmen veranlassen darf.

Die Verantwortung endet nicht mit der Beauftragung. Vor Aufnahme kritischer Tätigkeiten sind Eignung, Fachkunde, Versicherungen, erforderliche Berechtigungen und Sicherheitsunterweisungen zu prüfen.

Während der Vertragslaufzeit sind insbesondere zu kontrollieren:

• fristgerechte Prüf- und Wartungsleistungen,

• Vollständigkeit und fachliche Qualität der Berichte,

• Einhaltung von Zutritts- und Sicherheitsvorgaben,

• Qualifikation des tatsächlich eingesetzten Personals,

• Nutzung freigegebener Nachunternehmer,

• fristgerechte Mängelbeseitigung,

• Häufigkeit wiederkehrender Fehler,

• Umsetzung vereinbarter Korrekturmaßnahmen.

Kontrollen können durch Dokumentenprüfungen, Leistungskennzahlen, Stichproben, Standortbegehungen und Audits erfolgen. Kritische Abweichungen müssen in die Managementberichterstattung aufgenommen werden.

Ein Compliance-Audit prüft, ob Anforderungen nicht nur dokumentiert, sondern im Betrieb wirksam umgesetzt werden. Auditumfang und Prüfkriterien müssen vorab festgelegt und nach Rechtsrelevanz sowie Kritikalität priorisiert werden.

Ein vollständiges Audit kann umfassen:

• Prüfung von Richtlinien, Verträgen und Pflichtenübertragungen,

• Abgleich von Anlagenregister und tatsächlichem Bestand,

• Standortbegehungen,

• Stichproben aus Prüf-, Wartungs- und Mängelnachweisen,

• Interviews mit verantwortlichen Rollen,

• Kontrolle von Qualifikationen und Unterweisungen,

• Bewertung von Eskalationen und Managemententscheidungen,

• Nachverfolgung früherer Feststellungen.

Feststellungen sind nach Schweregrad zu klassifizieren. Bei unmittelbarer Gefahr oder überfälligen gesetzlichen Prüfungen sind Sofortmaßnahmen erforderlich. Für jede Abweichung müssen Ursache, Maßnahme, Verantwortlicher, Frist und Wirksamkeitskontrolle dokumentiert werden.

Nachweise müssen lesbar, vollständig, eindeutig zuordenbar, geschützt und innerhalb der festgelegten Aufbewahrungsfrist verfügbar sein. Nicht nachvollziehbare Fotos, unvollständige Checklisten oder Berichte ohne Anlagenbezug sind regelmäßig nicht ausreichend.

Der Managementbericht sollte die Entscheidungsebene auf wesentliche Risiken und Handlungsbedarfe konzentrieren. Er enthält insbesondere:

• überfällige gesetzliche oder behördlich geforderte Prüfungen,

• kritische und wiederkehrende Mängel,

• Abweichungen von Genehmigungen oder Betreiberpflichten,

• fehlende Pflichtenübertragungen,

• Qualifikations- und Ressourcenlücken,

• Datenschutz- und Informationssicherheitsabweichungen,

• Status von Korrekturmaßnahmen,

• wesentliche Dienstleisterprobleme,

• erforderliche Investitions- oder Managemententscheidungen.

Neben absoluten Zahlen sollten Trends, Ursachen und Risikoveränderungen dargestellt werden. Eine sinkende Zahl offener Mängel ist nur dann positiv, wenn kritische Mängel tatsächlich beseitigt und nicht lediglich administrativ geschlossen wurden.

Ein professionelles Linkmanagement verwendet vorrangig Primärquellen und dokumentiert, welche Fassung geprüft wurde. Für jede veröffentlichte Fundstelle sollten Titel, Ausgabe, Rechtsstand und letztes redaktionelles Prüfdatum hinterlegt sein.

Erforderlich sind insbesondere:

• Verlinkung auf offizielle Primärquellen,

• Kennzeichnung kostenpflichtiger Normen,

• Trennung geltender Dokumente von Entwürfen und aufgehobenen Fassungen,

• regelmäßige technische und fachliche Linkprüfung,

• dokumentierte Korrektur ungültiger Verweise,

• Berücksichtigung standortabhängigen Landes- und Kommunalrechts,

• geregelte Verantwortung für Aktualisierung und Freigabe.

Ein funktionierender Link allein bestätigt nicht, dass die verlinkte Fassung weiterhin gilt. Deshalb muss neben der Erreichbarkeit stets auch der fachliche und rechtliche Status geprüft werden.