Spezifikation der Datenpfade

Facility Management: FM-Software » Ausschreibung » ÖFFENTLICHE / AN BIETER AUSGEGEBENE VERGABEUNTERLAGEN » Spezifikation der Datenpfade

Spezifikation der Datenpfade im CAFM-System

Zweck und Geltungsbereich
Definition des Begriffs "Datenpfad"
Zwingend einzureichende Unterlagen
Datenpfadregister
Vorlage für die Erfassung durch den Bieter
Zwingende Mindestabdeckung der Datenobjekte
Instandhaltung und Betrieb
Dokumente und Medien
Reporting und Analytik
Logs und Audit Trails
Erforderliche Schnittstellenkategorien (Mindestumfang)
Anforderungen an Datenpfade (Regelwerk)
Sicherheit
Datenqualität und Validierung
Verfügbarkeit und Resilienz auf Schnittstellenebene
Umgang mit personenbezogenen Daten (falls anwendbar)
Abnahmekriterien für die Dokumentation im Vergabeverfahren
Optionale, empfohlene Ergänzungen

Zweck und Geltungsbereich

Diese Spezifikation definiert die Mindestanforderungen an die Dokumentation von Datenpfaden innerhalb der vorgeschlagenen CAFM-Lösung und zwischen dem CAFM-System und angebundenen Drittsystemen. Sie schafft die Grundlage für Transparenz, Nachvollziehbarkeit, Informationssicherheit, Interoperabilität und Prüfbarkeit.

Der Geltungsbereich umfasst sämtliche Datenbewegungen, die für Bereitstellung, Migration, Stamm- und Bewegungsdatenverarbeitung, operative Prozesse, Reporting, Protokollierung, Archivierung, Rückgabe und Löschung relevant sind. Dies gilt unabhängig davon, ob die Verarbeitung in einer Cloud-Umgebung, On-Premise oder in einer hybriden Architektur erfolgt.

Der Bieter hat darzustellen, welche Datenpfade produktiv, administrativ, temporär, batch-orientiert, ereignisgesteuert oder nur für Sonderfälle vorgesehen sind. Ebenso ist kenntlich zu machen, welche Pfade vom Auftraggeber betrieben, vom Bieter betrieben oder gemeinsam verantwortet werden.

Definition des Begriffs "Datenpfad"

Ein Datenpfad ist der Ende-zu-Ende-Verlauf eines definierten Datenobjekts von einer Quelle zu einem Ziel. Er umfasst nicht nur die Übertragung selbst, sondern auch alle fachlich und technisch relevanten Zwischenstationen und Kontrollmechanismen.

Als eigenständiger Datenpfad gelten insbesondere Kommunikationsbeziehungen, die sich hinsichtlich Quelle, Ziel, Richtung, Sicherheitskontrollen, Speicherdauer, Protokollierung oder Betriebsverantwortung wesentlich unterscheiden.

Element	Erforderliche Beschreibung
Datenobjekt	Fachlich eindeutig benannte Information, Nachricht oder Datei gemäß [OBJEKTKATALOG EINFUEGEN].
Quelle	Auslösendes System, Modul, Gerät oder Datenbestand gemäß [QUELLSYSTEM EINFUEGEN].
Ziel	Empfangendes System, Modul, Gerät oder Datenbestand gemäß [ZIELSYSTEM EINFUEGEN].
Verarbeitungsschritte	Kurze Beschreibung von Validierung, Transformation, Speicherung, Weiterleitung oder sonstiger Verarbeitung.
Schnittstelle / Transport	Technischer Übertragungsweg einschließlich Methode, Protokoll oder Dateimechanismus.
Sicherheitskontrollen	Verschlüsselung, Authentisierung, Autorisierung, Integritätsschutz und Protokollierung.
Speicherung	Ort und Form der Zwischen- oder Endspeicherung gemäß [CLOUD-REGION / SITE / SUB-PROCESSOR EINFUEGEN].
Aufbewahrung / Löschung	Zeitpunkt und Regelung für Rückhaltung, Archivierung, Rückgabe oder Löschung.
Monitoring / Fehlerbehandlung	Überwachung, Alarmierung, Retry-Logik und Vorgehen bei Störungen.
Verantwortlichkeit	Zuständigkeit für Betrieb, Überwachung, Fehleranalyse und Freigaben.

Zwingend einzureichende Unterlagen

Der Bieter hat mindestens die nachfolgend aufgeführten Unterlagen mit dem Angebot einzureichen oder auf eindeutig bezeichnete Angebotsanlagen zu verweisen. Die Unterlagen müssen inhaltlich konsistent zueinander sein.

Nr.	Einzureichende Unterlage	Mindestinhalt	Nachweis / Format	Bieterangabe / Verweis
1	Datenpfadregister	Vollständige Liste aller relevanten Datenpfade einschließlich Quelle, Ziel, Verarbeitung, Sicherheit, Speicherung, Aufbewahrung und Verantwortlichkeit.	[PLATZHALTER FUER DATEI / ANLAGE / ABSCHNITT EINFUEGEN]	[VERWEIS DURCH BIETER EINFUEGEN]
2	Schnittstellenkarte	Übersicht über alle Integrationen, beteiligten Systeme, Vertrauensgrenzen und Kommunikationsbeziehungen.	[PLATZHALTER FUER DATEI / DIAGRAMM / ANLAGE EINFUEGEN]	[VERWEIS DURCH BIETER EINFUEGEN]
3	Beschreibung der Sicherheitsgrenzen	Darstellung von Trust Zones, Authentisierung, Verschlüsselung, administrativen Zugriffen und relevanten Sicherheitsannahmen.	[PLATZHALTER FUER DOKUMENT EINFUEGEN]	[VERWEIS DURCH BIETER EINFUEGEN]
4	DSGVO-Teilmenge	Kennzeichnung der Datenpfade mit Personenbezug einschließlich Speicherort, Löschpunkt und beteiligten Verarbeitern, soweit anwendbar.	[PLATZHALTER FUER DOKUMENT EINFUEGEN]	[VERWEIS DURCH BIETER EINFUEGEN]
5	Evidenzpaket	Architekturhinweise, konfigurative Auszüge, schematische Beispiele oder bereinigte Protokollauszüge als nachvollziehbare Belegunterlagen.	[PLATZHALTER FUER DOKUMENT EINFUEGEN]	[VERWEIS DURCH BIETER EINFUEGEN]

Vertrauliche Inhalte dürfen geschwärzt werden, sofern Aussagekraft, Nachvollziehbarkeit und Bewertbarkeit erhalten bleiben.
Fehlende Unterlagen sind ausdrücklich zu kennzeichnen und mit einer belastbaren Begründung zu versehen.
Tabellen dürfen durch den Bieter erweitert werden, sofern die vorgegebenen Mindestfelder vollständig erhalten bleiben.

Datenpfadregister

Das Datenpfadregister ist das zentrale Verzeichnis aller relevanten Datenbewegungen. Es ist so auszufüllen, dass jeder Pfad einzeln identifiziert, bewertet und im späteren Projektverlauf geprüft werden kann.

Für die praktische Lesbarkeit wird die verpflichtende Registerstruktur nachfolgend in Feldbeschreibung sowie in zwei zusammengehörige Erfassungstabellen aufgeteilt. Beide Tabellen zusammen bilden das vollständige Datenpfadregister.

Feldbeschreibung für das Datenpfadregister

Feld	Mindestbeschreibung	Vom Bieter zu befuellen / Verweis
Path ID	Eindeutige Kennung je Datenpfad nach [NAMENSSCHEMA EINFUEGEN].	[PLATZHALTER]
Data Object	Fachliche Bezeichnung des Datenobjekts oder Nachrichtentyps.	[PLATZHALTER]
Source	Quellsystem, Quellmodul oder auslösendes Gerät.	[PLATZHALTER]
Target	Zielsystem, Zielmodul oder empfangender Datenbestand.	[PLATZHALTER]
Processing Steps (summary)	Kurzbeschreibung der fachlichen und technischen Verarbeitung in logischer Reihenfolge.	[PLATZHALTER]
Method / Protocol	Verwendete Schnittstelle, Methode oder Transporttechnik einschließlich Protokoll.	[PLATZHALTER]
Direction	Richtung der Datenübertragung gemäß [PUSH / PULL / BIDIREKTIONAL / SONSTIGES EINFUEGEN].	[PLATZHALTER]
Frequency	Ausführungsfrequenz gemäß [ECHTZEIT / ZEITGESTEUERT / EREIGNISGESTEUERT / BEDARFSGESTEUERT EINFUEGEN].	[PLATZHALTER]
Trigger	Auslösendes Ereignis, Job, Benutzeraktion oder Zeitplan.	[PLATZHALTER]
Data Format	Daten- oder Dateiformat einschließlich relevanter Schemainformation.	[PLATZHALTER]
Security Controls	Verschlüsselung in Transit, Authentisierung, Autorisierung, Integritätsschutz und gegebenenfalls Verschlüsselung im Ruhezustand.	[PLATZHALTER]
Storage Location	Cloud-Region, Rechenzentrum, On-Premise-Standort oder beteiligter Unterauftragsverarbeiter.	[PLATZHALTER]
Retention / Deletion Point	Zeitpunkt, Regel und Verantwortlichkeit für Aufbewahrung, Archivierung, Rückgabe oder Löschung.	[PLATZHALTER]
Monitoring / Logs	Überwachungsumfang, Log-Arten, Log-Speicherort und Aufbewahrungsdauer der Protokolle.	[PLATZHALTER]
Error Handling / Retry	Mechanismus für Fehlerbehandlung, Wiederholung, Eskalation und manuelle Nachverarbeitung.	[PLATZHALTER]
Owner (Client/Vendor)	Verantwortliche Partei für Betrieb, Incident-Bearbeitung und Freigaben.	[PLATZHALTER]

Teil A - Prozess- und Schnittstellenangaben

Path ID	Data Object	Source	Target	Processing Steps (summary)	Method / Protocol	Direction	Frequency	Trigger	Data Format
[DP-XX]	[DATENOBJEKT]	[QUELLE]	[ZIEL]	[VERARBEITUNGSSCHRITTE]	[METHODE / PROTOKOLL]	[RICHTUNG]	[FREQUENZ]	[AUSLOESER]	[FORMAT]
[DP-XX]	[DATENOBJEKT]	[QUELLE]	[ZIEL]	[VERARBEITUNGSSCHRITTE]	[METHODE / PROTOKOLL]	[RICHTUNG]	[FREQUENZ]	[AUSLOESER]	[FORMAT]
[DP-XX]	[DATENOBJEKT]	[QUELLE]	[ZIEL]	[VERARBEITUNGSSCHRITTE]	[METHODE / PROTOKOLL]	[RICHTUNG]	[FREQUENZ]	[AUSLOESER]	[FORMAT]

Path ID	Security Controls	Storage Location	Retention / Deletion Point	Monitoring / Logs	Error Handling / Retry	Personal Data (Y/N)	Owner (Client/Vendor)
[DP-XX]	[SICHERHEITSKONTROLLEN]	[SPEICHERORT]	[AUFBEWAHRUNG / LOESCHUNG]	[MONITORING / LOGS]	[FEHLERBEHANDLUNG / RETRY]	[J / N]	[AUFTRAGGEBER / BIETER]
[DP-XX]	[SICHERHEITSKONTROLLEN]	[SPEICHERORT]	[AUFBEWAHRUNG / LOESCHUNG]	[MONITORING / LOGS]	[FEHLERBEHANDLUNG / RETRY]	[J / N]	[AUFTRAGGEBER / BIETER]
[DP-XX]	[SICHERHEITSKONTROLLEN]	[SPEICHERORT]	[AUFBEWAHRUNG / LOESCHUNG]	[MONITORING / LOGS]	[FEHLERBEHANDLUNG / RETRY]	[J / N]	[AUFTRAGGEBER / BIETER]

Regeln für die Befüllung

Jeder produktive, administrative oder auditrelevante Datenpfad ist separat zu dokumentieren.
Unterschiedliche Sicherheitsmechanismen, Speicherorte oder Verantwortlichkeiten sind als getrennte Pfade auszuweisen, auch wenn fachlich dasselbe Datenobjekt betroffen ist.
Temporäre Dateien, Exporte, Massenimporte, Reportschnittstellen, Archivierungs- und Löschläufe sind zu berücksichtigen, sofern sie im Leistungsumfang enthalten sind.
Leere Felder sind unzulässig. Nicht anwendbare Inhalte sind als "nicht anwendbar" oder "nicht im Leistungsumfang" mit Begründung zu kennzeichnen.
Der Bieter ergänzt die Tabellen um weitere Zeilen oder Anhänge, sobald der vorgegebene Platz nicht ausreicht.

Zwingende Mindestabdeckung der Datenobjekte

Der Bieter muss Datenpfade mindestens für die nachfolgend aufgeführten Datenobjekte dokumentieren, soweit diese im Leistungsumfang enthalten sind. Für nicht enthaltene Objekte ist jeweils eine Begründung anzugeben.

Stammdaten

Datenobjekt / Objektgruppe	Im Leistungsumfang (J/N)	Quellsystem	Zielsystem	Relevante Path ID(s)	Bemerkung / Begruendung
Standorte / Gebäudestruktur (Standort, Gebäude, Ebene, Raum)	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Anlagen- und Asset-Register (IDs, Attribute, Lebenszyklusstatus)	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Benutzer / Rollen / Organisationsstruktur	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Lieferanten / Verträge	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]

Instandhaltung und Betrieb

Datenobjekt / Objektgruppe	Im Leistungsumfang (J/N)	Quellsystem	Zielsystem	Relevante Path ID(s)	Bemerkung / Begruendung
Service Requests / Tickets	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Arbeitsaufträge (Erzeugung, Zuordnung, Statusänderungen)	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Präventive Wartungspläne und Termine	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Wartungshistorie / Aktivitätsprotokolle	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Ersatzteile / Bestandsbewegungen	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]

Dokumente und Medien

Datenobjekt / Objektgruppe	Im Leistungsumfang (J/N)	Quellsystem	Zielsystem	Relevante Path ID(s)	Bemerkung / Begruendung
Handbücher, Zertifikate, Zeichnungen, Fotos	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Anhänge zu Assets oder Arbeitsaufträgen	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]

Reporting und Analytik

Datenobjekt / Objektgruppe	Im Leistungsumfang (J/N)	Quellsystem	Zielsystem	Relevante Path ID(s)	Bemerkung / Begruendung
KPI-Datensätze / Dashboards	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Export in BI-Plattform oder Data Warehouse	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]

Logs und Audit Trails

Datenobjekt / Objektgruppe	Im Leistungsumfang (J/N)	Quellsystem	Zielsystem	Relevante Path ID(s)	Bemerkung / Begruendung
Benutzerzugriffsprotokolle	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Protokolle administrativer Aktionen	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]
Integrations- / Schnittstellenprotokolle	[J / N]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]	[PLATZHALTER]

Erforderliche Schnittstellenkategorien (Mindestumfang)

Für jede der nachfolgend genannten Kategorien, die in der Systemlandschaft des Auftraggebers vorhanden oder vorgesehen ist, muss der Bieter mindestens einen expliziten Datenpfad benennen und dokumentieren.

Schnittstellenkategorie	Mindestinhalt der Beschreibung	Vorhanden / im Umfang (J/N)	Dokumentierte Path ID(s)	Bieterangabe / Bemerkung
Identity & Access (SSO / IAM)	Authentisierung, Provisionierung, Rollenabbildung, Benutzerlebenszyklus.	[J / N]	[PLATZHALTER]	[PLATZHALTER]
ERP / Finance	Kostenstellen, Aufträge, Rechnungen, Budgets oder weitere kaufmännische Bezüge, soweit anwendbar.	[J / N]	[PLATZHALTER]	[PLATZHALTER]
BMS / IoT	Alarme, Zählerdaten, Zustandswerte oder weitere technische Signale, soweit anwendbar.	[J / N]	[PLATZHALTER]	[PLATZHALTER]
HR	Organisationsstruktur, Rollen, personelle Zuordnungen, soweit anwendbar.	[J / N]	[PLATZHALTER]	[PLATZHALTER]
E-Mail / SMS	Benachrichtigungsflüsse, Versandereignisse, Rückmeldungen, soweit genutzt.	[J / N]	[PLATZHALTER]	[PLATZHALTER]
Dokumentenmanagement	Ablageverweise, Berechtigungen, Versionierung oder Übergabe von Dokumenten, soweit genutzt.	[J / N]	[PLATZHALTER]	[PLATZHALTER]

Interoperabilität

Schnittstellen müssen eindeutig beschrieben sein. Der Bieter hat aufzuzeigen, welche Spezifikation, welches Schema und welche fachliche Zuordnung je Datenpfad gilt. Transformationsregeln sind mindestens auf hohem Niveau darzustellen.

Erforderliche Angabe	Vom Bieter zu beschreiben / Verweis
Schnittstellenbeschreibung / Spezifikation	[PLATZHALTER]
Schema- oder Dateibeschreibung / Versionierung	[PLATZHALTER]
Mapping-Regeln zwischen Quelle und Ziel	[PLATZHALTER]
Transformationslogik / Validierungslogik	[PLATZHALTER]
Abhängigkeiten / Vorbedingungen	[PLATZHALTER]
Umgang mit Schemaänderungen	[PLATZHALTER]

Sicherheit

Für jeden Datenpfad sind die eingesetzten Sicherheitsmechanismen konsistent zu beschreiben. Die Beschreibung muss erkennen lassen, wie Vertraulichkeit, Integrität, Authentizität und Nachvollziehbarkeit sichergestellt werden.

Erforderliche Angabe	Vom Bieter zu beschreiben / Verweis
Verschlüsselung in Transit	[PLATZHALTER]
Authentisierung	[PLATZHALTER]
Autorisierungsdurchsetzung	[PLATZHALTER]
Integritätskontrollen	[PLATZHALTER]
Verschlüsselung im Ruhezustand, soweit relevant	[PLATZHALTER]
Protokollierung / Log-Inhalte / Log-Aufbewahrung	[PLATZHALTER]
Verwaltung von Schlüsseln, Zertifikaten oder Secrets	[PLATZHALTER]
Absicherung administrativer Zugriffe	[PLATZHALTER]

Datenqualität und Validierung

Der Bieter hat darzustellen, wie die fachliche und technische Qualität der übertragenen Daten vor, während und nach der Verarbeitung sichergestellt wird.

Erforderliche Angabe	Vom Bieter zu beschreiben / Verweis
Prüfung von Pflichtfeldern und Formaten	[PLATZHALTER]
Schlüssel-, Dubletten- oder Referenzprüfungen	[PLATZHALTER]
Abgleichs- oder Reconciliation-Verfahren	[PLATZHALTER]
Ausnahmeberichte / Fehlerprotokolle	[PLATZHALTER]
Verantwortlichkeit für Korrektur und Datenbereinigung	[PLATZHALTER]
Vorgehen bei manueller Nachverarbeitung	[PLATZHALTER]

Verfügbarkeit und Resilienz auf Schnittstellenebene

Kritische Integrationen müssen so beschrieben werden, dass Wiederanlauf, Störungserkennung und kontrollierte Nachbearbeitung nachvollziehbar sind.

Erforderliche Angabe	Vom Bieter zu beschreiben / Verweis
Wiederholungsstrategie / Retry-Logik	[PLATZHALTER]
Queueing, Pufferung oder Zwischenspeicherung	[PLATZHALTER]
Fehlermeldung / Alarmierung	[PLATZHALTER]
Manuelle Wiederverarbeitung	[PLATZHALTER]
Abhängigkeiten von Drittservices oder Netzverbindungen	[PLATZHALTER]
Eskalationsweg / Verantwortlichkeit	[PLATZHALTER]

Umgang mit personenbezogenen Daten (falls anwendbar)

Datenpfade mit Personenbezug sind ausdrücklich zu kennzeichnen. Der Bieter hat offenzulegen, wo personenbezogene Daten verarbeitet, gespeichert, zurückgegeben oder gelöscht werden und wie diese Schritte verifiziert werden.

Erforderliche Angabe	Vom Bieter zu beschreiben / Verweis
Personenbezug vorhanden (J/N)	[PLATZHALTER]
Betroffene Datenkategorien	[PLATZHALTER]
Verarbeitungs- und Speicherort	[PLATZHALTER]
Beteiligte Unterauftragsverarbeiter / Sub-Processor	[PLATZHALTER]
Rückgabe- oder Löschpunkt	[PLATZHALTER]
Nachweis der Lösch- / Rückgabeverifikation	[PLATZHALTER]
Verarbeitung außerhalb freigegebener Orte (J/N)	[PLATZHALTER]
Zuständige Rolle / Ansprechpartner	[PLATZHALTER]

Abnahmekriterien für die Dokumentation im Vergabeverfahren

Die Dokumentation gilt nur dann als vollständig und bewertbar, wenn die nachfolgenden Mindestkriterien erfüllt sind.

Bewertungskriterium	Mindestanforderung	Bieterselbsteinschätzung	Verweis
Abdeckung der Pflichtobjekte	Alle zwingenden Datenobjekte sind dokumentiert oder als nicht im Leistungsumfang mit Begründung gekennzeichnet.	[ERFUELLT / TEILWEISE / NICHT ANWENDBAR]	[PLATZHALTER]
Abdeckung der Schnittstellen	Für jede vorhandene Schnittstellenkategorie ist mindestens ein Datenpfad dokumentiert.	[ERFUELLT / TEILWEISE / NICHT ANWENDBAR]	[PLATZHALTER]
Konsistenz der Sicherheitsangaben	Sicherheitskontrollen sind über alle relevanten Datenpfade hinweg nachvollziehbar beschrieben.	[ERFUELLT / TEILWEISE / NICHT ANWENDBAR]	[PLATZHALTER]
Angabe von Speicherort und Verantwortung	Speicherort sowie verantwortliche Partei sind je Datenpfad benannt.	[ERFUELLT / TEILWEISE / NICHT ANWENDBAR]	[PLATZHALTER]
Monitoring und Fehlerbehandlung	Für kritische Integrationen sind Monitoring, Logik für Wiederholung und Verfahren bei Fehlern definiert.	[ERFUELLT / TEILWEISE / NICHT ANWENDBAR]	[PLATZHALTER]

Optionale, empfohlene Ergänzungen

Die nachfolgenden Angaben sind nicht in jedem Fall zwingend, werden jedoch für die Bewertung, Implementierungsplanung und spätere Betriebsführung empfohlen.

Empfohlene Zusatzangabe	Nutzen für Bewertung und Betrieb	Bieterangabe / Verweis
Kritikalitätsbewertung je Datenpfad (hoch / mittel / niedrig)	Unterstützt Priorisierung von Sicherheits-, Verfügbarkeits- und Testanforderungen.	[PLATZHALTER]
RACI je Schnittstelle	Klarstellung von Betreiben, Überwachen, Fehlerbehebung und Freigabe.	[PLATZHALTER]
Datenlinie für Reporting	Nachvollziehbarkeit von Quelle über Transformation bis KPI oder Bericht.	[PLATZHALTER]