DMS-Hosting: Cloud, On-Premises oder Managed Services

Die Einführung eines Dokumentenmanagementsystems (DMS) wirft unweigerlich die Frage nach dem passenden Speicherort für Ihre sensiblen Unternehmensdaten auf. Dabei stehen in der Regel drei grundlegende Betriebsmodelle zur Auswahl: Cloud, On-Premises oder Managed Services. Die Entscheidung für eines dieser Modelle geht jedoch weit über bloße IT-Aspekte und Kostenfragen hinaus; sie ist maßgeblich von rechtlichen und regulatorischen Vorgaben geprägt. In diesem Beitrag geben wir Ihnen einen fundierten Überblick über die verschiedenen Hosting-Varianten, erläutern die wichtigsten gesetzlichen Rahmenbedingungen und helfen Ihnen dabei, das rechtssichere und passende Modell für Ihr Unternehmen zu finden. 

Warum die Hosting-Frage beim DMS keine reine IT-Entscheidung ist

Wo Ihre Dokumente liegen, entscheidet nicht die IT-Abteilung allein. Bei einem Dokumentenmanagementsystem hängt am Speicherort die Frage, ob Sie Ihre steuerlichen Aufbewahrungspflichten erfüllen, ob Sie im Prüfungsfall Zugriff gewähren können und ob Sie im Ernstfall gegenüber einer Aufsichtsbehörde nachweisfähig sind. Die Wahl zwischen Cloud, On-Premises und Managed Services ist damit in erster Linie eine Compliance-Entscheidung und erst danach eine technische. 

Der deutsche Mittelstand steht dabei vor einem Zielkonflikt, den der Bitkom Cloud Report 2026 in bemerkenswerter Deutlichkeit zeigt: 71 Prozent der befragten Unternehmen beziehen Cloud-Angebote aus den USA. Bevorzugen würden dies allerdings nur 8 Prozent. 91 Prozent würden lieber mit deutschen Anbietern arbeiten, und 85 Prozent halten Deutschland für zu abhängig von US-Cloud-Anbietern. Für die Erhebung wurden im Frühjahr 2026 603 Unternehmen ab 20 Beschäftigten befragt. 

Diese Lücke zwischen Nutzung und Präferenz ist kein Zufall. Sie entsteht, weil die Hosting-Frage oft entlang von Lizenzkosten und Bequemlichkeit entschieden wird und nicht entlang der rechtlichen Anforderungen. Dieser Beitrag dreht die Reihenfolge um. 

Die drei Betriebsmodelle im Überblick 

Bevor wir zu den Kriterien kommen, eine saubere Abgrenzung. In der Praxis werden die Begriffe häufig vermischt, was die Entscheidung unnötig erschwert. 

On-Premises

Das DMS läuft auf eigener Hardware im eigenen Rechenzentrum oder Serverraum. Sie besitzen die Lizenzen, betreiben die Server, verantworten Updates, Backups und Wiederanlauf. Die volle Kontrolle liegt bei Ihnen, und damit auch die volle Betriebslast. 

Typisch für: Unternehmen mit eigener IT-Mannschaft, hohen Individualisierungsanforderungen oder tiefer Integration in bestehende Systeme. 

Cloud (Software as a Service)

Das DMS wird vom Anbieter betrieben und über das Netz bereitgestellt. Sie zahlen nutzungsabhängig, Updates kommen automatisch, Skalierung ist eine Vertragsfrage statt einer Beschaffungsfrage. Der Betrieb liegt vollständig beim Anbieter. 

Typisch für: Unternehmen ohne eigene IT-Ressourcen, verteilte Standorte, schnell wachsende Nutzerzahlen. 

Managed Services

Der oft übersehene dritte Weg. Die Software läuft in einem definierten Rechenzentrum, häufig beim Dienstleister oder in einer dedizierten Umgebung, und wird von einem Partner betrieben, überwacht und gewartet. Anders als bei reiner Cloud-Standardsoftware bleiben Individualisierung, Schnittstellen und Betriebsparameter verhandelbar. Anders als bei On-Premises tragen Sie die Betriebslast nicht selbst. 

Typisch für: Unternehmen mit regulatorischen Anforderungen, die weder die Kontrolle vollständig abgeben noch den Betrieb selbst stemmen wollen. 

Was der Gesetzgeber vorgibt und was daraus für den Speicherort folgt

Hier liegt der eigentliche Kern der Entscheidung. Vier Regelwerke bestimmen, was zulässig ist. 

GoBD: Die Verantwortung bleibt immer bei Ihnen

Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form, kurz GoBD, gelten aktuell in der Fassung des BMF-Schreibens vom 14. Juli 2025. Diese zweite Änderung des ursprünglichen Schreibens von 2019 wurde vor allem durch die E-Rechnungspflicht ausgelöst. 

Für die Hosting-Frage sind zwei Passagen entscheidend. Zum einen stellen die GoBD ausdrücklich klar, dass das Betriebsmodell für die Ordnungsmäßigkeit unerheblich ist. Es kommt nicht darauf an, ob die Systeme als eigene Hardware betrieben oder in einer Cloud genutzt werden. Zum anderen, und das wird in Anbietergesprächen gerne überhört: Für die Ordnungsmäßigkeit elektronischer Bücher ist allein der Steuerpflichtige verantwortlich. Das gilt laut GoBD ausdrücklich auch bei einer teilweisen oder vollständigen organisatorischen und  technischen Auslagerung von Buchführungs- und Aufzeichnungsaufgaben auf Dritte. 

Im Klartext: Sie können den Betrieb auslagern, die Verantwortung nicht. Wer ein DMS in die Cloud gibt, muss weiterhin nachweisen können, dass Unveränderbarkeit, Nachvollziehbarkeit und maschinelle  Auswertbarkeit gewährleistet sind. Das macht die Auswahl des Anbieters und die Ausgestaltung des Vertrags zu einem Teil Ihrer eigenen Compliance. 

Der Serverstandort entscheidet über die Genehmigungspflicht

Ein Punkt, der in Vergleichslisten fast immer fehlt. Nach § 146 der Abgabenordnung gilt eine klare Zweiteilung: 

• Innerhalb der EU beziehungsweise des EWR: Sie dürfen elektronische Bücher dort führen. Erforderlich ist die Mitteilung des Standorts an die Finanzbehörde und die Sicherstellung des vollen Datenzugriffs. Eine Genehmigung brauchen Sie nicht. 

• In einem Drittstaat: Hier ist eine echte Bewilligung der zuständigen Finanzbehörde erforderlich. Voraussetzung sind unter anderem die Mitteilung von Standort und Systemverantwortlichen sowie der  uneingeschränkte Datenzugriff. 

Wer diese Bewilligung nicht einholt, riskiert ein Verzögerungsgeld, das sich zwischen 2.500 Euro und 250.000 Euro bewegen kann. Die praktische Konsequenz ist einfach: Ein Rechenzentrum in Deutschland oder der EU ist anzeigepflichtig, aber unkompliziert. Ein Speicherort außerhalb der EU ist ein Genehmigungsverfahren. 

Aufbewahrungsfristen: Seit 2025 gilt nicht mehr pauschal zehn Jahre

Das Vierte Bürokratieentlastungsgesetz hat die Fristen zum 1. Januar 2025 neu sortiert. Wer sein Archivkonzept seither nicht angefasst hat, arbeitet mit veralteten Annahmen: 

Eine wichtige Rückausnahme kam 2025 hinzu: Für Kreditinstitute, Versicherungsunternehmen und Wertpapierinstitute wurde die Verkürzung  wieder zurückgenommen. Dort bleibt es bei zehn Jahren für Buchungsbelege. 

Für die Hosting-Entscheidung heißt das: Ihr System muss unterschiedliche Fristen pro Dokumentart sauber abbilden und Löschfristen automatisiert durchsetzen können. Ein Archiv, das alles pauschal zehn Jahre hält, ist datenschutzrechtlich angreifbar. Eines, das pauschal acht Jahre hält, verletzt bei Jahresabschlüssen die Aufbewahrungspflicht. Wie eine saubere revisionssichere Archivierung das abbildet, haben wir an anderer Stelle ausführlich beschrieben. 

E-Rechnung: Was ab 2027 zwingend im Archiv liegen muss

Die Empfangspflicht für elektronische Rechnungen im B2B-Bereich gilt bereits seit dem 1. Januar 2025. Ab dem 1. Januar 2027 kommt die Versandpflicht für Unternehmen mit mehr als 800.000 Euro Vorjahresumsatz hinzu, ab dem 1. Januar 2028 gilt sie für alle. Details dazu finden Sie in unserem Beitrag zur E-Rechnungspflicht und ihren Fristen. 

Die GoBD-Änderung vom Juli 2025 regelt die Archivierungsfolge dieser Pflicht. Aufzubewahren ist der strukturierte Datenteil der E-Rechnung. Bei Hybridformaten wie ZUGFeRD muss der menschenlesbare PDF-Teil nur dann zusätzlich archiviert werden, wenn er abweichende oder ergänzende  besteuerungsrelevante Informationen enthält, etwa Buchungsvermerke. Ausdrücklich unzulässig ist es, den strukturierten Teil durch eine Formatumwandlung, beispielsweise in ein Bildformat, zu  vernichten. 

Das ist eine handfeste Systemanforderung. Ein Archiv, das eingehende E-Rechnungen in TIFF wandelt, weil das seit zwanzig Jahren so läuft, erfüllt die GoBD in der aktuellen Fassung nicht mehr. Prüfen Sie das bei jeder Hosting-Variante gleichermaßen, und denken Sie die digitale Eingangsrechnungsverarbeitung gleich mit. 

Datenhoheit: Warum ein EU-Rechenzentrum nicht automatisch genügt

Dieser Punkt wird in Anbieterunterlagen regelmäßig verkürzt dargestellt, und die Verkürzung ist teuer. 

Der US CLOUD Act greift über den Standort hinaus

Der US CLOUD Act von 2018 knüpft nicht am Speicherort an, sondern an der Kontrolle über die Daten. Ein US-amerikanisches Unternehmen kann danach zur Herausgabe von Daten verpflichtet werden, auch  wenn diese in einem Rechenzentrum innerhalb der EU liegen. 

Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben in ihrer gemeinsamen Bewertung festgehalten, dass Anbieter, die dem EU-Recht unterliegen, eine Offenlegung personenbezogener Daten gegenüber US-Behörden nicht rechtmäßig auf solche Anfragen stützen können. Datenschutzkonform wäre ein  solcher Zugriff grundsätzlich nur über das Rechtshilfeabkommen zwischen EU und USA. 

Die Formel "Unsere Daten liegen in Frankfurt" beantwortet die Frage nach der Datenhoheit also nur zur Hälfte. Die zweite Hälfte lautet: Wer betreibt, wem gehört der Betreiber, und wer hält die Schlüssel? Wenn der Anbieter über keine Entschlüsselungsmöglichkeit verfügt, kann er auch keine lesbaren Inhalte  herausgeben. Das ist der technische Hebel, der die rechtliche Lücke schließt. 

Data Privacy Framework: Gültig, aber unter erheblichem Druck

Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework ist derzeit weiterhin in Kraft. Zertifizierte US-Unternehmen können sich darauf berufen. Allerdings steht die Konstruktion unter spürbarem Druck. 

Das Gericht der Europäischen Union hat eine Nichtigkeitsklage gegen das Framework im September 2025 abgewiesen, gegen diese Entscheidung wurde jedoch Rechtsmittel eingelegt, das beim Europäischen Gerichtshof anhängig ist. Zusätzlich hat eine Entscheidung des US Supreme Court vom Juni 2026 zur Unabhängigkeit der Federal Trade Commission neue Diskussionen ausgelöst, weil diese Behörde eine der zentralen Aufsichtsinstanzen des Frameworks ist. Datenschutzorganisationen haben angekündigt, den Angemessenheitsbeschluss deshalb erneut anzugreifen. 

Eine unmittelbare Rechtsfolge gibt es derzeit nicht. Für die Planung eines Archivs, das Sie acht oder zehn Jahre betreiben, ist die Lage dennoch relevant. Ein Archivkonzept, dessen Zulässigkeit von einem politisch umstrittenen Angemessenheitsbeschluss abhängt, trägt ein Risiko, das über die Laufzeit hinweg schwer kalkulierbar bleibt. 

Sozialdaten und Berufsgeheimnisse: Ein eigener Maßstab

Für einen Teil unserer Kunden gilt eine zusätzliche Schicht, die über die DSGVO hinausgeht. Wer Sozialdaten verarbeitet, etwa in Einrichtungen der Sozialwirtschaft,  unterliegt dem Sozialgeheimnis nach § 35 SGB I. Die Vorschriften des Sozialgesetzbuchs regeln die Verarbeitung dieser Daten weitgehend  abschließend und erstrecken die Geheimhaltungspflichten ausdrücklich auf Auftragsverarbeiter. 

Hinzu kommt §203 StGB. Wer als Berufsgeheimnisträger tätig ist, darf externe Dienstleister nur so  weit einbeziehen, wie es für deren Mitwirkung erforderlich ist. Entscheidend ist die Pflichtenlage, die daraus folgt: Der Schweigepflichtige muss sicherstellen, dass die mitwirkenden Personen zur Geheimhaltung  verpflichtet wurden, und er haftet, wenn diese Geheimnisse unbefugt offenbaren. 

Damit verschiebt sich der Maßstab für die Anbieterauswahl spürbar. Es genügt nicht, einen Auftragsverarbeitungsvertrag zu unterschreiben. Sie müssen die Verpflichtung der handelnden Personen nachweisen können, und zwar auch dann, wenn Ihr Anbieter seinerseits Subunternehmer einsetzt. Bei einem Standard-Cloud-Produkt mit wechselnden Subdienstleistern in mehreren Ländern ist dieser Nachweis kaum zu  führen. Bei einem benannten Betreiberteam ist er eine Frage der Dokumentation. 

NIS2: Für Versorger und Entsorger ist die Frage weitgehend entschieden

Für einen Teil des Mittelstands hat sich die Hosting-Frage seit Dezember 2025 deutlich verschärft. Das deutsche Umsetzungsgesetz zur NIS2-Richtlinie ist in Kraft, eine Übergangsfrist gibt es nicht. Die Registrierungsfrist beim BSI ist bereits im März 2026 abgelaufen. 

Wer betroffen ist 

Maßgeblich sind Sektor und Unternehmensgröße: 

• Besonders wichtige Einrichtungen: in der Regel ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Umsatz bei gleichzeitig mehr als 43 Millionen Euro Bilanzsumme 

• Wichtige Einrichtungen: ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme 

Für unsere Branchenschwerpunkte ist das unmittelbar relevant. Die Energieversorgung mit Strom, Gas sowie Fernwärme und Fernkälte zählt zu den Sektoren hoher Kritikalität. Die Abfallbewirtschaftung ist ebenfalls erfasst. Ein Stadtwerk oder ein Entsorgungsbetrieb mit fünfzig Beschäftigten fällt damit regelmäßig unter dieneuen Pflichten, während ein gleich großer Betrieb aus einer nicht gelisteten Branche außen vor  bleibt. 

Zu den Pflichten gehören unter anderem ein dokumentiertes Risikomanagement und gestufte  Meldepflichten mit einer Frühwarnung binnen 24 Stunden, einer Meldung binnen 72 Stunden und  einem Abschlussbericht binnen eines Monats. 

Die Pflicht wirkt auf Ihre Dienstleister durch

Der entscheidende Punkt für die Hosting-Frage: NIS2 verlangt ausdrücklich die Absicherung der Lieferkette. Ihre Betroffenheit erstreckt sich auf die Dienstleister, die geschäftskritische Systeme für Sie betreiben. Ein DMS, in dem Verträge, Anlagendokumentation und Rechnungen liegen, ist ein solches System. 

Praktisch bedeutet das: Sie müssen die Sicherheitsorganisation Ihres DMS-Betreibers bewerten und nachweisen können. Bei einem anonymen Standardprodukt ist das schwer. Bei einem Partner, der Ihnen Prozesse, Zertifizierungen und Ansprechpartner offenlegt, ist es machbar. Genau hier spielen Managed Services ihre Stärke aus. Wie wir Dokumentenprozesse in der Grundversorgung und in der Entsorgungswirtschaft abbilden, zeigen unsere Branchenseiten. 

H3: Die Kostenfrage wird meist falsch gerechnet 

"Cloud ist günstiger" und "On-Premises rechnet sich ab Jahr drei" sind beides Aussagen, die ohne Kontext wenig taugen. Seriös wird der Vergleich erst über eine Gesamtkostenbetrachtung von mindestens fünf Jahren, besser über die geplante Aufbewahrungsdauer. 

Was bei On-Premises regelmäßig fehlt

• Hardware-Ersatzbeschaffung nach vier bis fünf Jahren 

• Betriebssystem- und Datenbanklizenzen samt Wartung 

• Personalaufwand für Betrieb, Updates und Störungsbeseitigung, inklusive Vertretungsregelung 

• Backup-Infrastruktur und regelmäßige, dokumentierte Wiederherstellungstests 

• Redundanz und Notfallkonzept, ohne die Revisionssicherheit nicht belastbar ist 

• Sicherheitsmaßnahmen, die bei NIS2-Betroffenheit ohnehin nachzuweisen sind 

Was bei Cloud regelmäßig fehlt 

• Kosten für Datenvolumen, das über die Jahre wächst statt konstant zu bleiben 

• Aufwände für Anbindung an ERP, Fachverfahren oder Warenwirtschaft 

• Aufwand für die Migration in das System und, entscheidend, wieder heraus 

• Preisanpassungen über die Vertragslaufzeit 

• Zusatzmodule, die im Grundpreis nicht enthalten sind 

Ein Archiv ist eine kontinuierlicher Betriebsprozess über acht bis zehn Jahre. Rechnen Sie entsprechend. 

Der Umstieg aus einem bestehenden Archiv

Die meisten Unternehmen haben bereits einen Dokumentenbestand. Dieser Umstand wird in Vergleichsrechnungen fast nie berücksichtigt, obwohl er den Aufwand dominiert. Drei Punkte sind erfahrungsgemäß kritisch: 

• Metadaten statt Dateien. Der Wert eines Archivs steckt nicht in den Dokumenten allein, sondern in Verschlagwortung, Zuordnung zu Akten und Vorgängen sowie in den Verknüpfungen zum ERP. Eine Migration, die nur Dateien überträgt, erzeugt eine Sammlung, kein Archiv. 

• Die Nachweiskette darf nicht reißen. Revisionssicherheit bedeutet, dass die Unveränderbarkeit über den gesamten Aufbewahrungszeitraum belegbar bleibt. Beim Wechsel des Systems muss dokumentiert sein, wie der Bestand übernommen wurde und dass dabei nichts verändert wurde. Diese Verfahrensdokumentation ist Teil der GoBD-Pflichten und nicht optional. 

• Altbestände mit abweichenden Fristen. Dokumente, die vor dem 1. Januar 2025 entstanden sind, unterliegen den neu sortierten Fristen ebenfalls, sofern ihre Aufbewahrungsfrist zum Jahresende 2024 noch nicht abgelaufen war. Ein Migrationsprojekt ist deshalb ein guter Anlass, das Löschkonzept zu prüfen, statt Altlasten unbesehen zu übernehmen. 

Planen Sie den Umstieg als eigenes Vorhaben mit eigenem Budget. Wer ihn als Nebenaufgabe der Systemeinführung behandelt, unterschätzt ihn regelmäßig um ein Vielfaches. Für strukturierte Bestände wie eine gewachsene digitale Akte gilt das in besonderem Maß. 

Lock-in: Der EU Data Act entschärft das stärkste Gegenargument

Die häufigste Sorge bei der Cloud-Entscheidung lautet: Wie komme ich wieder heraus? Der EU Data Act, seit September 2025 anwendbar, adressiert genau das. 

Die Verordnung begrenzt die Kündigungsfristen für Datenverarbeitungsdienste, verpflichtet Anbieter zur Unterstützung beim Wechsel und regelt die Entgelte dafür. Der für die Planung wichtigste Stichtag: Ab dem 12. Januar 2027 sind Wechselentgelte vollständig untersagt. In der Übergangszeit bis dahin dürfen Anbieter nur noch die tatsächlichen Kosten in Rechnung stellen, ohne Gewinnaufschlag. 

Für Ihre Vertragsverhandlung ergibt sich daraus eine konkrete Handlungsempfehlung: Lassen Sie sich die Exit-Bedingungen schriftlich geben, und zwar mit Format, Umfang und Zeitraum der Datenrückgabe. Ein Anbieter, der Ihre Dokumente nur als Bilddateien ohne Metadaten und Verschlagwortung herausgibt, erfüllt vielleicht den Buchstaben, aber nicht den Zweck. Für ein Archiv mit mehreren Millionen Dokumenten ist der Unterschied erheblich. 

Entscheidungskriterien: Welches Modell zu welchem Unternehmen passt

Nachdem die rechtlichen und wirtschaftlichen Rahmenbedingungen geklärt sind, geht es an die praktische Umsetzung. Da es kein pauschal „bestes“ Betriebsmodell gibt, ist die Wahl eine sehr individuelle Abwägung aus vorhandenen IT-Ressourcen, spezifischen Compliance-Pflichten und gewünschter Flexibilität. Die folgenden Checklisten dienen Ihnen als kompakte Orientierungshilfe. Prüfen Sie, in welchem der drei Szenarien Sie Ihr Unternehmen am ehesten Wiederfinden, um die Weichen für Ihr künftiges Archiv richtig zu stellen. 

Wann On-Premises die richtige Wahl bleibt

• Sie verfügen über eine eigene IT-Mannschaft mit Vertretungsregelung, nicht über einen einzelnen Administrator 

• Ihre Anforderungen an Individualisierung und Schnittstellentiefe sind hoch 

• Es bestehen vertragliche oder behördliche Vorgaben, die eine eigene Infrastruktur verlangen 

• Bestehende Investitionen in Rechenzentrum und Redundanz sind vorhanden und aktuell 

Wann die Cloud überzeugt

• Sie haben keine oder nur sehr knappe eigene IT-Ressourcen 

• Mehrere Standorte oder mobile Mitarbeitende brauchen gleichmäßigen Zugriff 

• Die Nutzerzahl schwankt oder wächst absehbar 

• Standardprozesse überwiegen, der Individualisierungsbedarf ist gering 

• Der Anbieter betreibt nachweislich in der EU und legt die Eigentümerstruktur offen 

Wann Managed Services das Beste aus beidem verbinden

• Sie unterliegen NIS2 oder verarbeiten besonders schutzbedürftige Daten, etwa Sozialdaten in der Sozialwirtschaft 

• Sie brauchen Individualisierung und Schnittstellen, wollen aber keinen eigenen Betrieb aufbauen 

• Sie müssen gegenüber Prüfern oder Aufsichtsbehörden nachweisen können, wer was betreibt 

• Ihre Fachverfahren erfordern Anbindungen, die Standardprodukte nicht abbilden, etwa eine Archivierung direkt aus SAP heraus 

• Sie wollen einen Ansprechpartner statt einer Supportnummer, wie ihn unser Service- und Supportkonzept vorsieht 

Zehn Fragen für das Anbietergespräch

1. In welchem Land steht das Rechenzentrum, und wer betreibt es?

2. Wem gehört der Betreiber, und unterliegt er dem Zugriff durch Drittstaaten?

3. Wer hält die Verschlüsselungsschlüssel? 

4. Wie werden unterschiedliche Aufbewahrungsfristen je Dokumentart abgebildet? 

5. Wie wird der strukturierte Teil von E-Rechnungen unverändert vorgehalten? 

6. Welche Nachweise zur Revisionssicherheit gibt es, und wer hat sie erstellt? 

7. Wie erfolgt der Datenzugriff im Rahmen einer steuerlichen Außenprüfung? 

8. Welche Sicherheitszertifizierungen liegen vor, und wie alt sind sie? 

9. Wie sehen die Exit-Bedingungen aus, in welchem Format und in welcher Frist? 

10. Wer ist im Störungsfall erreichbar, und in welcher Zeit wird reagiert? 

Achtung: Wenn ein Anbieter bei den Fragen 1 bis 3 ausweicht, ist das bereits die Antwort. 

Die Hosting-Frage ist eine Compliance-Frage

Es gibt kein Betriebsmodell, das grundsätzlich das beste wäre. Es gibt aber eine Reihenfolge, in der die Entscheidung getroffen werden sollte, und die beginnt nicht beim Preis. 

Klären Sie zuerst, welche rechtlichen Anforderungen für Sie gelten: Fallen Sie unter NIS2? Welche Aufbewahrungsfristen betreffen welche Dokumentarten? Verarbeiten Sie besonders schutzbedürftige Daten? Erst wenn dieser Rahmen steht, lässt sich sinnvoll über Betriebsmodelle und Kosten sprechen. Wer umgekehrt vorgeht, baut ein Archiv, das im Prüfungsfall nachgebessert werden muss, und Nachbesserungen an einem gewachsenen Dokumentenbestand sind erfahrungsgemäß der teuerste Weg. 

Für viele mittelständische Unternehmen führt dieser Weg zu Managed Services, weil sie die regulatorische Nachweisbarkeit eines kontrollierten Betriebs mit der Entlastung einer betreuten Lösung verbinden. Zwingend ist das nicht. Entscheidend ist, dass Sie die Wahl bewusst treffen und begründen können. 

Sie möchten wissen, welches Modell zu Ihren Anforderungen passt? Sprechen Sie uns an. Wir schauen uns Ihre Dokumentenprozesse gemeinsam an und ordnen ein, was in Ihrem Fall trägt. Wenn Sie zunächst die Begriffe sortieren möchten, hilft unser Beitrag zum Unterschied zwischen DMS, ECS und ECM.