Die Frage wird meist als Glaubensfrage geführt — „Daten gehören ins Haus" gegen „Cloud ist sowieso sicherer" — und ist in Wahrheit eine Frage nach vier konkreten Punkten: Wer haftet technisch, wer arbeitet mobil, was kostet es über fünf Jahre, und wie kommt man wieder heraus. Diese Seite beantwortet sie produktneutral. Prevomed ist eine SaaS-Lösung; wo das ein Nachteil ist, steht es hier trotzdem.
Demo vereinbaren · Preise ab 49 €/Monat
Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO, und Art. 32 verlangt angemessene technische Maßnahmen. Bei einer Installation im eigenen Haus schuldet die Praxis diese Maßnahmen selbst: Verschlüsselung, Sicherung, Wiederherstellung, Protokollierung, Zugriffskontrolle, physischer Schutz des Geräts. Bei SaaS übernimmt der Anbieter sie als Auftragsverarbeiter — die Verantwortung bleibt bei der Praxis, die Ausführung nicht. Wer im Haus betreibt, sollte ehrlich beantworten, wer diese Aufgaben tatsächlich erledigt.
Wer überwiegend in eigenen Räumen untersucht, spürt den Unterschied kaum. Wer Begehungen macht, Einsatztage im Betrieb hat oder mehrere Standorte betreut, spürt ihn täglich: Ein installiertes System bedeutet dort Laptop-Abgleich vor und nach dem Termin, mit einem doppelten Datenstand dazwischen. Das ist der Punkt, an dem die Entscheidung in der Arbeitsmedizin meistens fällt.
Ein Monatspreis wirkt gegenüber einer Einmallizenz teuer, bis man vollständig rechnet. Auf die Lizenz kommen Serverhardware und deren Ersatz, Einrichtung, jährliche Wartung, Modul-Aufpreise, Sicherungsmedien und die Arbeitszeit, die jemand für den Betrieb aufwendet. Umgekehrt läuft eine Monatsgebühr eben monatlich weiter. Beide Seiten über denselben Zeitraum rechnen — alles andere vergleicht Äpfel mit einer Rechnung.
Das ist der berechtigte Einwand gegen SaaS: Die Daten liegen beim Anbieter. Entscheidend ist deshalb, was vertraglich zum Export zugesagt ist — in welchem Format, in welcher Frist, zu welchen Kosten. Bei einer Installation im Haus liegt die Datei zwar physisch bei Ihnen, ist aber oft in einem Format, das nur das eigene Programm liest. Ein Datenbestand, den niemand sonst öffnen kann, ist keine Unabhängigkeit.
Wenn ohnehin eine professionell betreute IT-Abteilung existiert — etwa in einem Klinikverbund —, ist der Eigenbetrieb eine tragfähige Entscheidung. Gleiches gilt bei Auflagen, die eine Verarbeitung ausschließlich in einer bestimmten Umgebung verlangen. Der Betrieb im eigenen Haus ist dann kein Rückschritt, sondern eine bewusste Wahl mit vorhandenen Mitteln.
Für Einzelpraxen und kleine Teams ohne eigene IT ist der Betrieb im Rechenzentrum in aller Regel die sicherere Variante — schlicht, weil Sicherung, Verschlüsselung und Aktualisierung dort tatsächlich stattfinden statt auf einer To-do-Liste. Kommt Arbeit im Betrieb dazu, verschiebt sich die Abwägung weiter, weil der Laptop-Abgleich entfällt.
Die Gegenüberstellung „eigener Server oder geteilte Cloud" ist unvollständig. Prevomed betreibt je Kunde eine eigene, isolierte Instanz im Rechenzentrum: keine gemeinsame Datenbank mit anderen Praxen, aber auch kein Gerät, das jemand in der Praxis warten muss. Das ist der Punkt, an dem die meisten Bedenken gegen „Cloud" ins Leere laufen.
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Serverstandort in der EU, ein benennbares Rechenzentrum mit Zertifizierung, verschlüsselte Speicherung, eine Zugriffskontrolle, die über ein Passwort hinausgeht, und eine schriftliche Zusage zu Export und Löschung nach Vertragsende. Fehlt einer dieser Punkte, ist die Frage nicht SaaS gegen On-Premise — dann ist es der falsche Anbieter.
Eigene Instanz je Kunde, ISO-27001-zertifiziertes Rechenzentrum in Deutschland, Mutual TLS mit gerätegebundenen Zertifikaten, AES-256 mit Entschlüsselung nur flüchtig im Arbeitsspeicher der aktiven Session, AVV für die gesamte Praxis, Datenexport jederzeit kostenlos, monatlich kündbar bei Flex, Praxis und Zentrum. Die Zertifizierung betrifft den Rechenzentrumsbetrieb, nicht Prevomed als Produkt — diese Unterscheidung ist uns wichtig, weil sie oft verwischt wird.
| Kriterium | Eigener Server (On-Premise) | SaaS mit eigener Instanz |
|---|---|---|
| Technische Umsetzung der DSGVO-Maßnahmen | Praxis selbst | Anbieter als Auftragsverarbeiter |
| Verantwortlicher im Sinne der DSGVO | Praxis | Praxis |
| Datensicherung | Selbst zu organisieren und zu testen | Teil des Betriebs |
| Sicherheitsupdates | Termingebunden, oft verschoben | Laufend, ohne Zutun der Praxis |
| Zugriff bei Einsätzen im Betrieb | Laptop mit Abgleich | Echtzeit, gerätegebunden per Zertifikat |
| Kosten Jahr 1 | Lizenz, Hardware, Einrichtung, Schulung | Monatsgebühr ab 49 € zzgl. MwSt. |
| Kosten Folgejahre | Wartungsvertrag, Hardware-Ersatz, Betriebsaufwand | Monatsgebühr, unverändert |
| Ausfall der Hardware | Risiko und Ersatz bei der Praxis | Redundanz im Rechenzentrum |
| Mandantentrennung | Entfällt — nur eigene Daten | Eigene isolierte Instanz je Kunde |
| Ausstieg | Datei vorhanden, Format oft proprietär | Export jederzeit kostenlos, monatlich kündbar |
| Geeignet für | Einheiten mit eigener IT-Abteilung | Einzelpraxen, Teams ohne IT, viel Arbeit vor Ort |