ERP für Medizin – Praxen, MVZ, Labore und Medizintechnik

Medizintechnik-Hersteller benötigen Prozesse, die EU-MDR, ISO 13485, Risikomanagement nach ISO 14971 sowie eine durchgängige UDI-Vergabe und Chargen-Rückverfolgbarkeit abbilden, da hier produktbezogene Haftung und Zulassung im Vordergrund stehen. Arztpraxen, MVZ und Labore brauchen dagegen vor allem die Abrechnung nach EBM (gesetzlich Versicherte) und GOÄ (Privatpatienten und Selbstzahler) sowie Schnittstellen zu Krankenkassen und zur Telematikinfrastruktur. Diese administrativen Praxisaufgaben übernimmt in der Regel ein spezialisiertes Praxisverwaltungssystem (PVS), während das ERP eher Einkauf, Warenwirtschaft, Materialfluss und Finanzbuchhaltung steuert. In vielen Häusern arbeiten beide Systemwelten daher parallel und werden über definierte Schnittstellen gekoppelt.

Das Praxisverwaltungssystem (PVS) in der Praxis und das Krankenhausinformationssystem (KIS) in der Klinik decken die klinisch-administrativen Kernprozesse wie Patientenverwaltung, Dokumentation und Abrechnung ab, sind aber keine vollwertigen kaufmännischen Systeme. Ein ERP ergänzt sie um Einkauf, Lager- und Warenwirtschaft, Lieferantenmanagement, Anlagenbuchhaltung und Controlling, die in größeren Häusern und Verbünden zunehmend an Bedeutung gewinnen. Größere KIS-Plattformen enthalten bereits ERP-nahe Module für Logistik und Beschaffung, sodass die Grenzen fließend sind. Ob ein eigenständiges ERP sinnvoll ist, hängt damit vor allem von Einrichtungsgröße, Materialvolumen und der gewünschten Tiefe der kaufmännischen Steuerung ab.

Für Hersteller von Medizinprodukten ist die UDI-Vergabe nach EU-MDR zentral, wobei die ersten EUDAMED-Module – darunter die UDI-/Produktregistrierung – seit dem 28. Mai 2026 verpflichtend zu nutzen sind und das ERP die Daten für diese Registrierung sauber bereitstellen sollte. Im ambulanten Bereich ist die Anbindung an die Telematikinfrastruktur für die vertragsärztliche Versorgung Pflicht; seit der ePA-Einführung 2025 (verpflichtende Nutzung in Praxen seit Oktober 2025) müssen Systeme die elektronische Patientenakte unterstützen, und reine RSA-only-Konnektoren mussten zum Jahreswechsel 2025/2026 ersetzt werden, da ihre Zertifikate nicht verlängerbar waren. Hinzu kommen Anforderungen aus der DSGVO an besonders schützenswerte Gesundheitsdaten sowie steigende Cybersecurity-Vorgaben, etwa aus der inzwischen in deutsches Recht überführten NIS-2-Regulierung für betroffene Einrichtungen. Ein passendes System sollte diese Pflichten ohne manuelle Doppelpflege und mit revisionssicherem Audit-Trail abbilden.

Die GAMP-5-Computer-System-Validierung folgt einem risikobasierten Ansatz und umfasst typischerweise eine Anforderungsspezifikation (URS) sowie die Qualifizierungsphasen IQ, OQ und PQ mit entsprechender Dokumentation. Während einfache Anwendungen niedriger Kategorie in wenigen Wochen validiert sind, kann ein komplexes ERP in einer GxP-Umgebung je nach Umfang grob in der Größenordnung mehrerer Monate bis über ein Jahr beanspruchen und die Projektkosten deutlich erhöhen. Lizenzgebühren machen dabei meist nur einen kleineren Teil der Gesamtkosten aus; der größere Anteil entfällt auf Implementierung, Customizing, Validierung, Schulung und Datenmigration. Konkrete Beträge und Laufzeiten hängen stark von Systemkomplexität, Schnittstellen und regulatorischem Geltungsbereich ab, weshalb belastbare Zahlen nur projektspezifisch ermittelt werden können.

Gesundheitsdaten gelten nach Artikel 9 DSGVO als besondere Kategorie personenbezogener Daten und dürfen nur unter strengen Auflagen und mit hohen technischen und organisatorischen Schutzmaßnahmen verarbeitet werden. Ein Cloud-ERP ist grundsätzlich zulässig, wenn ein Auftragsverarbeitungsvertrag mit klaren Maßnahmen geschlossen wird und das Hosting in der EU beziehungsweise in Deutschland erfolgt. Bei US-Anbietern besteht durch das Schrems-II-Urteil und den US CLOUD Act ein Spannungsfeld, da US-Behörden auch auf in der EU gespeicherte Daten US-amerikanischer Unternehmen zugreifen können, weshalb für sensible Patientendaten EU-Hosting empfohlen wird. Mehrere große Anbieter stellen hierfür dedizierte EU-Cloud-Regionen bereit, sodass die konkrete Konfiguration und der Vertrag entscheidend für die Rechtskonformität sind.