SaaS-Shop oder Self-Hosting: Entscheidung nach Aufwand und Kontrolle
Kurz gesagt
Ein selbst betriebenes Shopsystem lohnt sich, wenn Sie IT-Personal für Betrieb und Updates haben, häufige Anpassungen brauchen und strenge Anforderungen an Datenhoheit stellen. Andernfalls ist eine Cloud-Lösung (SaaS) der Standardweg. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist erforderlich, wenn ein Anbieter Kundendaten im Auftrag eines Verantwortlichen verarbeitet – das betrifft SaaS-Anbieter und beauftragte Self-Hosting-Hoster; die DSGVO erfasst auch Schweizer Anbieter, die Personen in der EU Waren anbieten (Art. 3 DSGVO).
Das Wichtigste
- SaaS: Der Anbieter betreibt die Software; Sie sind Verantwortlicher, der Anbieter Auftragsverarbeiter, soweit er Kundendaten im Auftrag verarbeitet.
- Self-Hosting: Sie oder ein beauftragter Hoster betreiben die Software auf eigener Infrastruktur; der Hoster kann Auftragsverarbeiter sein.
- Verarbeitung von Kundendaten im Auftrag eines Verantwortlichen erfordert einen Vertrag nach Art. 28 DSGVO – unabhängig vom Hostingmodell; die DSGVO gilt auch für Schweizer Anbieter, die Personen in der EU Waren anbieten (Art. 3 DSGVO).
- CH: Art. 9 DSG (in Kraft seit 1. September 2023) regelt die Bearbeitung durch Auftragsbearbeiter: vertragliche Übertragung, Datensicherheit, Unterbeauftragung nur mit vorgängiger Genehmigung.
- BSI C5: Kriterienkatalog; die C5-Testierung ist ein Prüf- und Testierungsverfahren durch externe Stellen, das Ergebnis ein Testat – keine BSI-Zertifizierung.
Ein SaaS-Shop wird vom Anbieter auf dessen Infrastruktur betrieben; Sie greifen per Browser zu. Ein selbst betriebenes Shopsystem (Self-Hosting) läuft auf einem Server, den Sie oder ein Hoster betreiben. Die Entscheidung ist keine Frage der Leistung, sondern der Betriebsverantwortung: Wer führt Updates aus, wer sichert Daten, wer trägt die Sicherheitspflichten? Dieser Artikel liefert die Kriterien und einen Entscheidungsweg; Produkte oder Anbieter nennt er nicht.
Worum es bei der Entscheidung geht
Beide Betriebsformen lösen dasselbe Problem: Produkte pflegen, Bestellungen abwickeln, Zahlarten und Versand verwalten. Der Unterschied liegt in der Verantwortung. Beim SaaS-Shop trägt der Anbieter den Betrieb der Software, die Verfügbarkeit und die technische Sicherheit der Plattform. Sie tragen die Verantwortung für Ihre Daten, Ihre Rechtstexte und die Konfiguration. Beim Self-Hosting tragen Sie beides: den Betrieb der Infrastruktur und die Konfiguration der Software.
Die Frage ist also nicht, welche Form besser ist, sondern welche Verantwortung Sie übernehmen wollen und können. Die drei Kriterien unten entscheiden: die Fähigkeiten Ihres Teams, die Änderungsfrequenz Ihres Shops und Ihre Anforderungen an die Datenhoheit.
Die drei entscheidenden Fragen
Beantworten Sie die drei Fragen in dieser Reihenfolge. Die Kombination der Antworten führt zur Entscheidung.
1. Team-Fähigkeiten: Können Sie einen Server betreiben?
- Ja, Sie haben IT-Personal, das Linux, Webserver, Datenbank und Sicherheitspatches pflegt → Self-Hosting ist betrieblich möglich.
- Nein, Sie haben kein solches Personal → SaaS ist der Standardweg. Self-Hosting ist nur mit einem Managed-Hosting-Anbieter sinnvoll, der den Betrieb übernimmt.
2. Änderungsfrequenz: Wie oft passen Sie den Shop an?
- Häufig (neue Funktionen, eigene Logik, Integrationen) → Self-Hosting bietet mehr Flexibilität, weil Sie auf die Infrastruktur zugreifen und die Software anpassen können, sofern der Quellcode verfügbar ist (etwa bei Open-Source-Systemen).
- Selten (Standardfunktionen genügen) → SaaS reicht aus; der Anbieter führt Updates aus.
3. Datenhoheit: Wo müssen Ihre Daten liegen?
- Strikt (Daten müssen in einem bestimmten Land bleiben) → prüfen, ob ein SaaS-Anbieter den Standort vertraglich zusagt; nur wenn kein Anbieter zusagt, ist Self-Hosting der Weg.
- Standard (Cloud mit Rechenzentren in der EU genügt) → SaaS.
Standort und Betriebsform sind getrennte Dimensionen: NIST SP 800-145 unterscheidet drei Servicemodelle (SaaS, PaaS, IaaS) von vier Bereitstellungsmodellen (private, community, public, hybrid cloud). Ein Länderstandort erzwingt daher kein Self-Hosting.
Die Kombination:
- Alle drei Antworten sprechen für SaaS → SaaS.
- Mindestens eine Antwort spricht für Self-Hosting → Self-Hosting, sofern die betrieblichen Voraussetzungen aus Frage 1 erfüllt sind.
- Frage 1 ist Nein, aber Frage 2 oder 3 spricht für Self-Hosting → Self-Hosting mit Managed-Hosting-Anbieter, der den Betrieb übernimmt.
Diese Kriterien zählen
Die Tabelle zeigt Kriterien, die für jede Betriebsform zu klären sind. Die Spalte „Frage an den Anbieter” lässt sich unverändert in einen Fragebogen übernehmen.
| Kriterium | Warum es zählt | So prüfen Sie es | Frage an den Anbieter |
|---|---|---|---|
| Betrieb und Updates | Wer führt Updates aus, wer trägt Ausfallzeiten | Vertragstext zu Verfügbarkeit und Wiederherstellung lesen | Wer führt Updates aus, wie oft, mit welchen Zeitfenstern? |
| Datensicherung | Ohne Sicherung gehen Daten verloren | Sicherungsintervall und Wiederherstellungstest nachfragen | Wie oft werden Daten gesichert, wie lange werden Backups aufbewahrt? |
| Datenexport und Ausstieg | Ohne Export wird ein späterer Wechsel teuer | Probeexport aller Kunden, Bestellungen und Produkte | In welchem Format erhalte ich meine Daten bei Vertragsende, zu welchen Kosten? |
| Datenstandort | Datenhoheit und Datenschutz hängen vom Standort ab | Rechenstandorte im Vertrag nachlesen | In welchen Ländern liegen die Rechenzentren, wo werden Daten verarbeitet? |
| Sicherheit und Zertifizierung | Sicherheitspflichten treffen beide Seiten | Zertifizierungen und Testate anfordern | Welche Zertifizierungen (z. B. ISO 27001) liegen vor, und liegt ein C5-Testat vor? |
| Auftragsverarbeitung | Vertragliche Pflicht, wenn Kundendaten im Auftrag verarbeitet werden (Art. 28 DSGVO; in der Schweiz Art. 9 DSG) | Vertragstext auf Art. 28 DSGVO bzw. Art. 9 DSG prüfen | Liegt ein Auftragsverarbeitungsvertrag vor, welche Pflichten sind geregelt? |
| Anpassbarkeit | Bestimmt, ob Sie den Shop an Ihre Prozesse anpassen können | Testshop mit eigenen Anforderungen durchspielen | Welche Funktionen lassen sich ohne Zusatzprogrammierung anpassen? |
| Support | Bei einem Fehler im Verkauf zählt die Antwortzeit | Supportzeiten und Kanäle im Vertrag nachlesen | Welche Reaktionszeiten sind schriftlich zugesagt? |
Vertiefungen zu einzelnen Zeilen: Sicherheitsanforderungen, Standort und Datenschutz, Datenexport und Vendor-Lock-in.
Woraus sich die Kosten zusammensetzen
Vergleichen Sie Kosten über die Laufzeit, die Sie planen, etwa drei Jahre, und trennen Sie einmalige von laufenden Posten. Preise nennt dieser Artikel nicht; sie stehen im Angebot.
| Kostenart | Einmalig oder laufend | Frage |
|---|---|---|
| Lizenz oder Miete | laufend | Wovon hängt der Preis ab: Umsatz, Artikelzahl, Funktionsstufe? |
| Einrichtung und Design | einmalig | Was ist im Festpreis, was wird nach Aufwand berechnet? |
| Hosting und Betrieb | laufend | Ist der Betrieb im Preis enthalten, wer trägt Lastspitzen? |
| Updates und Anpassungen | laufend | Wer führt Updates aus, wer bezahlt Anpassungen nach einem Update? |
| Datensicherung und Ausstieg | laufend und einmalig | Was kostet der Export am Vertragsende, wie oft werden Backups erstellt? |
| Support | laufend | Welche Reaktionszeiten sind schriftlich zugesagt, was kostet Überstundensupport? |
Eine Gesamtrechnung zeigen Total Cost of Ownership beim Shopsystem und Transaktionsgebühren und Provisionen.
Warnsignale in Angebot und Vertrag
- Eine Antwort ist mündlich, aber nicht schriftlich zugesagt.
- Der Datenexport ist im Vertrag nicht beschrieben.
- Die Rechenstandorte sind nicht angegeben oder liegen außerhalb der EU, ohne dass das erklärt wird.
- Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO fehlt, obwohl der Anbieter Kundendaten im Auftrag verarbeitet, oder ist unvollständig.
- Eine Mindestlaufzeit oder Kündigungsfrist steht nur in einem anderen Dokument als dem Angebot.
- Der Anbieter beantwortet Ihre Fragen nur mit Funktionsnamen statt mit dem Ablauf, den Sie testen können.
So entscheiden Sie in fünf Schritten
- Beantworten Sie die drei Fragen aus dem Abschnitt oben: Team-Fähigkeiten, Änderungsfrequenz, Datenhoheit.
- Tragen Sie die Kriterien aus der Tabelle in einen Fragebogen ein und schicken Sie allen Anbietern dieselben Fragen.
- Halten Sie die Antworten schriftlich fest und prüfen Sie den Vertragstext auf die Zeilen Betrieb, Datensicherung, Datenexport, Datenstandort und Auftragsverarbeitung.
- Rechnen Sie die Gesamtkosten über die geplante Laufzeit und trennen Sie einmalige von laufenden Posten.
- Testen Sie die zwei besten Optionen im Pilotbetrieb und prüfen Sie den Datenexport, bevor Sie den Vertrag unterschreiben.