Cloud HR Software vs. On-Premise: Welche Loesung passt zu Ihrem Unternehmen?

Ist Cloud-HR wirklich sicher?

Ja, wenn der Anbieter belastbare Nachweise vorlegt und der Vertrag sorgfaeltig geprueft wird. Entscheidend sind eine Zertifizierung nach ISO/IEC 27001 mit passendem Geltungsbereich, der Standort der Rechenzentren, Verschluesselung bei Uebertragung und Speicherung sowie klare Regeln zu Supportzugriffen im AVV. Kein Modell ist von selbst sicher: Laut ENISA Threat Landscape 2025 war Phishing mit rund 60 Prozent der haeufigste Zugangsweg bei Vorfaellen in der EU. Rollenkonzept, Schulung und Patch-Disziplin zaehlen deshalb in beiden Modellen.

Welcher Cloud-HR-Anbieter hat Server in Deutschland?

Personio und HRworks geben als Serverstandort Deutschland an (Herstellerangabe). SAP SuccessFactors und Workday bieten EU-Rechenzentren an, darunter auch Standorte in Deutschland (Herstellerangabe). Fragen Sie bei der Anbieterevaluation stets nach einem schriftlichen Nachweis des Serverstandorts und lassen Sie ihn im Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO dokumentieren.

Was kostet On-Premise-HR-Software wirklich?

Der Listenpreis fuer Lizenzen ist nur ein Teil der Gesamtkosten. Hinzu kommen Server-Hardware, Netzwerkinfrastruktur, IT-Personal fuer Betrieb und Wartung, Strom und Kuehlung, Upgrade-Projekte und externer Support. Im Rechenbeispiel von Find-Your-HR (eigene Annahmen, Stand: Oktober 2026) liegen die On-Premise-Gesamtkosten fuer ein Unternehmen mit 200 Mitarbeitenden ohne eigene IT-Abteilung ueber fuenf Jahre bei rund 655.000 Euro, davon rund 302.000 Euro im ersten Jahr. Uebernimmt eine vorhandene IT-Abteilung den Betrieb, sinkt der Wert im Beispiel auf rund 415.000 Euro. Die Annahmen stehen in der TCO-Tabelle oben, Herstellerangebote weichen davon ab.

Kann ich von On-Premise in die Cloud migrieren?

Ja. Die Migration ist technisch moeglich, aber aufwaendig. Sie erfordert eine Bestandsaufnahme aller Daten, ein Datenmigrations- und Bereinigungsprojekt, die Neu-Implementierung von Anpassungen und Integrationen sowie ausfuehrliche Testphasen. SAP-Kunden muessen besonders dringlich handeln: Der Mainstream-Support fuer SAP ERP HCM endet am 31. Dezember 2027. Kunden auf Enhancement Packages 1 bis 5 haben diesen Termin bereits am 31. Dezember 2025 verpasst. Extended Support ist nur noch bis 31. Dezember 2030 verfuegbar. Moegliche Migrationsziele: SAP SuccessFactors, SAP S/4HANA HCM sowie alternative HR-Systeme wie Workday, Personio oder HRworks.

Welche HR-Daten darf ich in die Cloud geben?

Grundsaetzlich alle Mitarbeiterdaten, solange DSGVO- und BDSG-Anforderungen erfuellt sind. Die primaere nationale Rechtsgrundlage fuer die Verarbeitung von Beschaeftigtendaten in Deutschland ist §26 BDSG. Zusaetzlich ist ein AVV nach Art. 28 DSGVO abzuschliessen und Drittlandtransfers sind zu klaeren. Besondere Vorsicht gilt bei besonderen Datenkategorien nach Art. 9 DSGVO in Verbindung mit §26 Abs. 3 BDSG (Gesundheitsdaten, Gewerkschaftszugehoerigkeit, Schwerbehinderung). Diese erfordern eine spezifische gesetzliche Grundlage und erhoehte technische Schutzmassnahmen. Eine Datenschutz-Folgenabschaetzung (DSFA) ist bei systematischer Grossverarbeitung empfohlen oder verpflichtend.

Wie hoch ist der Vendor-Lock-in bei Cloud-HR?

Der Vendor-Lock-in bei Cloud-HR ist real und sollte in der Anbieterwahl beruecksichtigt werden. Pruefen Sie vor Vertragsabschluss: In welchem Format koennen Daten exportiert werden? Welche Exportfunktionen stehen zur Verfuegung? Gibt es offizielle Migrationspfade? Was regelt der Vertrag bei Vertragsende zur Datenuebergabe und -loeschung? Standardisierte Datenformate (CSV, XML, JSON) und dokumentierte APIs reduzieren das Lock-in-Risiko erheblich. Auch On-Premise hat Lock-in-Risiken, allerdings technischer Natur durch stark individualisierte Implementierungen.

Ist Cloud-HR fuer oeffentliche Einrichtungen geeignet?

Bedingt. Fuer Bundesbehoerden, Landesbehoerden und viele oeffentliche Einrichtungen gelten besondere Anforderungen ueber die DSGVO hinaus: Vergaberecht, BSI IT-Grundschutz (verbindliche Sicherheitsmanagement-Methodik fuer Bundesbehoerden, nicht zu verwechseln mit dem BSI C5-Zertifizierungsnachweis), Anforderungen an Datenhoheit und Betriebskontrolle. BSI C5-zertifizierte Anbieter mit Serverstandort Deutschland sind Mindestvoraussetzung fuer Cloud im oeffentlichen Bereich. Private Cloud oder Hybrid sind oft besser geeignet. Einige Einrichtungen nutzen Rechenzentren der oeffentlichen Hand wie Dataport oder govdigital.

Muss ich den Betriebsrat bei der Einfuehrung von Cloud-HR einbinden?

Ja, in mitbestimmten Unternehmen ist die Einbindung des Betriebsrats zwingend erforderlich. §87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein erzwingbares Mitbestimmungsrecht bei technischen Einrichtungen, die zur Ueberwachung von Verhalten oder Leistung der Arbeitnehmer geeignet sind. Das trifft auf nahezu jede HR-Software mit Zeiterfassung, Performance-Tracking oder Anwesenheitsauswertungen zu. Wird keine Betriebsvereinbarung vor der Einfuehrung abgeschlossen, kann der Betriebsrat die Einfuehrung per einstweiliger Verfuegung beim Arbeitsgericht stoppen. Fruehzeitige Einbindung spart Zeit und Kosten. In Dienststellen des oeffentlichen Dienstes gilt statt des BetrVG das Personalvertretungsrecht.

Was ist der Unterschied zwischen SaaS, PaaS und IaaS im HR-Kontext?

SaaS (Software as a Service): Der Anbieter stellt die vollstaendige HR-Anwendung bereit. Kunden konfigurieren, entwickeln aber nicht selbst. Personio, HRworks und SuccessFactors sind SaaS-Modelle und damit das gaengige Cloud-HR-Modell. PaaS (Platform as a Service) ist relevant, wenn Unternehmen eigene HR-Erweiterungen entwickeln wollen, zum Beispiel auf der SAP Business Technology Platform. IaaS (Infrastructure as a Service) bedeutet, dass nur die Infrastruktur aus der Cloud kommt und die HR-Software selbst betrieben und gewartet wird. Funktional entspricht das einem On-Premise-Modell, aber ohne eigene Hardware-Beschaffung. Die Begriffe stammen aus der NIST-Definition (SP 800-145).

Wie gut ist die Verfuegbarkeit von Cloud-HR-Systemen?

Verfuegbarkeitszusagen im Bereich von 99,5 bis 99,9 Prozent sind ein ueblicher Pruefpunkt in Cloud-HR-Vertraegen, massgeblich ist der konkrete Vertrag. Rechnerisch entsprechen 99,5 Prozent rund 44 Stunden Ausfall pro Jahr, 99,9 Prozent rund 8,8 Stunden. Laut IDG-Studie 2023 (DACH-Region, n=321) bewerteten 32 Prozent ihre Cloud-Erfahrung als sehr zufrieden und 46 Prozent als zufrieden. Entscheidend ist, was das SLA misst (Gesamtdienst oder Komponente, Monats- oder Jahreswert, mit oder ohne Wartung) und welche RPO und RTO gelten. Pruefen Sie die Klauseln gezielt auf Lohnzahlungstermine: Jahresdurchschnitte schuetzen nicht vor einem Ausfall am Monatsende.

Was gilt 2026 und 2027 fuer KI-Funktionen in Cloud-HR?

Die Hochrisiko-Pflichten des EU AI Acts (Verordnung (EU) 2024/1689) gelten fuer Systeme nach Anhang III durch die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, erst ab 2. Dezember 2027 statt ab 2. August 2026. KI zur Personalrekrutierung und -auswahl sowie zur Leistungsbeurteilung oder Ueberwachung von Beschaeftigten gilt als Hochrisiko nach Anhang III Nr. 4. Betreiber muessen dann unter anderem Konformitaet, Information der Beschaeftigten und menschliche Aufsicht sicherstellen. Bereits seit 2. Februar 2025 verboten ist Emotionserkennung am Arbeitsplatz. Klaeren Sie bei der Anbieterevaluation, welche Funktionen KI nutzen.

Was bedeutet geteilte Verantwortung bei Cloud-HR?

Der Anbieter betreibt Rechenzentrum und Plattform und spielt Patches ein. Sie verantworten Rollen und Rechte, Datenqualitaet, Loeschkonzept, Schnittstellen und das Verhalten der Nutzer. Datenschutzrechtlich bleibt der Arbeitgeber Verantwortlicher, der Anbieter handelt als Auftragsverarbeiter nach Art. 28 DSGVO auf Weisung. Art. 32 DSGVO verlangt von beiden Seiten angemessene technische und organisatorische Massnahmen. Die genaue Aufteilung steht in Leistungsbeschreibung und AVV und sollte vor Vertragsschluss schriftlich geklaert sein.

Welche Rolle spielt das EU-Zertifizierungsschema EUCS?

EUCS ist ein von der ENISA entwickeltes Zertifizierungsschema fuer Cloud-Dienste unter dem Cybersecurity Act (Verordnung (EU) 2019/881) mit den Stufen Basic, Substantial und High. Umstritten waren vor allem Souveraenitaetsanforderungen fuer die Stufe High. Nach den von uns geprueften Quellen ist das Schema nicht verbindlich eingefuehrt (Stand: Oktober 2026). Fuer die Anbieterauswahl zaehlen deshalb bestehende Nachweise wie ISO/IEC 27001 und BSI C5. Pruefen Sie den aktuellen Stand bei der ENISA.