SaaS für KMU und die Datensouveränität

SaaS (Software-as-a-Service) steht für ein Vorgehen, bei dem Software direkt über das Internet genutzt wird, statt sie auf dem eigenen Computer zu installieren. Software as a Service hat klare Vorteile, die kaum jemand ernsthaft bestreitet: keine eigene Infrastruktur, keine Installationen, automatische Updates, sofortige Verfügbarkeit. Für KMU ohne eigene IT-Abteilung ist das oft die pragmatischste Lösung.

Dem gegenüber nicht so oft diskutiert aber vorhanden sind die resultierenden Abhänigkeitsrisiken. Dur den so genannten "Vendor Lock-in" in der IT sind finanzielle Abhängigkeit, eingeschränkte Innovationsfähigkeit und gefährdete Datensouveränität eine mögliche Folge des Einsatzes von SaaS-Lösungen. Unternehmen, die zu stark an einen einzelnen Anbieter gebunden sind, verlieren die Kontrolle über ihre eigene IT-Strategie und zahlen langfristig deutlich mehr für Leistungen, die sie kaum noch wechseln können.

Im Einzelnen verstärken folgende Faktoren den Vendor Lock-in: Proprietäre Datenformate, wenn Daten nur in einem herstellerspezifischen Format gespeichert werden; anbieterspezifische APIs, die Integrationen ausschließlich über die API eines Anbieters ermöglichen; und starke Prozessintegration, bei der je tiefer eine SaaS-Lösung in interne Abläufe eingebettet ist, desto größer der Reorganisationsaufwand bei einem Anbieterwechsel wird.

Die Abhängikeit fällt häufig erst ins Gewicht, wenn, wenn der Anbieter die Preise erhöht, das Lizenzmodell umbaut oder ein Dienst eingestellt wird. Dann ist die Verhandlungsposition schwach, denn der Anbieter weiß so gut wie das Unternehmen: Ein Wechsel wäre teuer.

Und es gibt noch ein zweites, weniger diskutiertes Risiko: den Datenzugriff durch Dritte. Wer seine Unternehmensdaten in der Cloud eines US-amerikanischen Anbieters speichert, unterliegt dem CLOUD Act – unabhängig davon, ob der Server in Frankfurt oder Dublin steht. Wir haben dieses Thema bereits ausführlich im Kontext unseres Hinweisgebersystems beschrieben. Für Unternehmens-Software mit sensiblen Personal-, Kunden- und Finanzdaten gilt dasselbe Prinzip.

Das EP Enterprise Portal ist eine moderne, browserbasierte Cloud-Anwendung. Das bedeutet: keine Installation, kein lokaler Wartungsaufwand, Zugriff von überall. In dieser Hinsicht ähnelt es klassischen SaaS-Lösungen.

Der entscheidende Unterschied liegt darin, wo die Software läuft und wer die Infrastruktur kontrolliert.

Das EP bietet drei Hosting-Modelle, die je nach Anforderung gewählt werden können:

Der EU Data Act ist seit dem 12. September 2025 in Kraft – und er nimmt Cloud-Anbietern eines ihrer stärksten Druckmittel: Ab Anfang 2027 entfallen die gefürchteten Egress-Gebühren für den Datenexport. Das macht den Wechsel zu anderen Anbietern spürbar einfacher.

Ein Selbstläufer wird der Cloud-Wechsel dadurch aber nicht. Feste Vertragslaufzeiten gelten weiterhin, und wer vorzeitig aussteigt, muss nach wie vor eine angemessene Entschädigung zahlen.

Der EU Data Act verbessert die Situation für Unternehmen in klassischen SaaS-Modellen. Er löst das grundsätzliche Problem der Datensouveränität aber nicht: Daten, die auf fremden Servern liegen, bleiben auf fremden Servern – auch wenn der Export einfacher wird.

Wie kommen Ihre Daten im Zweifel wieder heraus? Eine klare Exit-Strategie und offene Datenformate gehören zur Auswahl dazu.

Das ist die Frage, die bei der Auswahl einer Unternehmenssoftware zu selten gestellt wird – und die sich bei klassischen SaaS-Lösungen oft unangenehm beantwortet.

Beim EP Enterprise Portal ist die Antwort klar: Die Datenbank liegt auf dem Server des Kunden. Bei einer Kündigung der Lizenz läuft die Software irgendwann nicht mehr – aber die Daten bleiben vollständig erhalten und zugänglich. Der Kunde kann seine Datenbank exportieren, sichern oder in ein anderes System überführen. Es gibt keinen Datenverlust durch Anbieterwechsel, keine erzwungene Datenübergabe unter Zeitdruck, keine Egress-Gebühren. Dasselbe gilt für alle im System erzeugten Dokumente – Ausgangsrechnungen, Eingangsrechnungen, Lieferscheine, Verträge und sonstige Geschäftsdokumente, die nach GoBD aufbewahrungspflichtig sind. Diese werden nicht in einer proprietären Datenstruktur versteckt, sondern als reguläre PDF-Dateien fest im Dateisystem des Servers gespeichert. Das bedeutet: Auch ohne laufende Softwarelizenz sind alle erzeugten Belege direkt im Dateisystem zugänglich – über einen einfachen Serverzugriff, ohne spezielle Software, ohne Exportprozess. Die zehnjährige Aufbewahrungspflicht nach HGB und AO lässt sich damit unabhängig vom Vertragsstatus mit dem Softwareanbieter vollständig erfüllen. Kein Dokument ist hinter einer funktionierenden Anwendung versteckt, auf die man nach Kündigung keinen Zugriff mehr hat.

Das ist strukturell ein anderer Ansatz als bei SaaS-Lösungen, bei denen Daten auf den Servern des Anbieters liegen und im Kündigungsfall in kurzen Fristen exportiert werden müssen – wenn ein Export überhaupt vollständig möglich ist.

Es gibt keine universell richtige Antwort auf die Frage SaaS vs. selbst gehostet. Aber es gibt Fragen, die vor einer Entscheidung beantwortet sein sollten:

Das EP Enterprise Portal beantwortet diese Fragen mit einem Modell, das die Vorteile moderner Cloud-Software – kein lokaler Wartungsaufwand, Zugriff von überall, automatische Updates – mit echter Datensouveränität verbindet. Kein Widerspruch, sondern eine Designentscheidung.

Digitale Souveränität hat drei Säulen: Datensouveränität, Betriebssouveränität und Technologiesouveränität. Für KMU, die eine Unternehmenssoftware wählen, bedeutet das konkret: Die beste Cloud-Lösung ist nicht zwingend die, die am wenigsten kostet oder am einfachsten zu starten ist. Es ist die, bei der man im Zweifelsfall – bei Preiserhöhungen, bei Anbieterwechsel, bei Kündigung – die Kontrolle behält.

Das EP Enterprise Portal ist in diesem Sinne kein klassisches SaaS. Es ist eine Cloud-fähige Unternehmenssoftware mit Hosting-Wahlfreiheit – und dem Grundsatz, dass Deine Daten Dir gehören.