Eine Gesundheits-App erbt von Tag eins die strengste Datenkategorie der DSGVO. Das prägt die Architektur, nicht nur die Datenschutzerklärung: Datenbank und Hosting in der EU, Verschlüsselung in Ruhe und Transport, Row-Level-Security für strikte Mandantentrennung, vollständige Audit-Logs und ein Datenexport, der dem Betroffenenrecht in Sekunden nachkommt. Wir bauen genau das in Penday, und die Entscheidungen sind bewusst konservativ.
Dieser Leitfaden ordnet Architektur für Health-Tech-Anwendungen in sieben Abschnitten ein: Kontext, Rahmen, die konkreten Anforderungen, die Umsetzung in der Praxis, typische Fehler, der DACH-Kontext und die nächsten Schritte.
Wir schreiben aus der Praxis: Innopulse Consulting berät DACH-Unternehmen und betreibt ein eigenes SaaS-Portfolio unter denselben Bedingungen, die wir empfehlen.
Worum es geht
Eine Gesundheits-App erbt von Tag eins die strengste Datenkategorie der DSGVO. Das prägt die Architektur, nicht nur die Datenschutzerklärung: Datenbank und Hosting in der EU, Verschlüsselung in Ruhe und Transport, Row-Level-Security für strikte Mandantentrennung, vollständige Audit-Logs und ein Datenexport, der dem Betroffenenrecht in Sekunden nachkommt. Wir bauen genau das in Penday, und die Entscheidungen sind bewusst konservativ. Die praktische Frage lautet: Was bedeutet das konkret für ein Team oder ein Produkt im DACH-Raum? Der Kern lässt sich in wenigen Punkten fassen:
- Datenbank und Hosting ausschliesslich in der EU
- Verschlüsselung at-rest und in-transit als Baseline
- Row-Level-Security für strikte Mandantentrennung
- Vollständige, unveränderliche Audit-Logs
Technische Grundlagen und Referenz-Architektur
Für SaaS hat sich im Jahr 2026 ein Stack als Default etabliert: Next.js 15 mit App Router, PostgreSQL mit Row-Level-Security, Stripe für Zahlungen, EU-Hosting für Datenresidenz. Diese Basis deckt einen Grossteil der Anforderungen DSGVO-freundlich ab. Für spezialisierte Domänen — FinTech, Health-Tech, KI-Features — kommen domänenspezifische Disziplinen dazu, die man nicht improvisieren kann. Wir betreiben mehrere Produkte auf dieser Architektur und die Entscheidungen, die wir hier beschreiben, tragen unsere eigene kommerzielle Realität.
Die konkreten Anforderungen
Im Zentrum von Architektur für Health-Tech-Anwendungen stehen die folgenden Punkte. Jeder hat unmittelbare Konsequenzen für Architektur, Prozess oder Organisation:
- Datenbank und Hosting ausschliesslich in der EU
- Verschlüsselung at-rest und in-transit als Baseline
- Row-Level-Security für strikte Mandantentrennung
- Vollständige, unveränderliche Audit-Logs
- Datenexport als JSON in Sekunden — Betroffenenrecht
- Vollständige Kontolöschung ohne Restbestände
Umsetzung in der Praxis
Von der Theorie zur Umsetzung führt ein klarer Pfad. Für Architektur für Health-Tech-Anwendungen bewährt sich ein Vorgehen in drei Phasen:
- Bestandsaufnahme (1-2 Wochen): Ist-Zustand erfassen, Beteiligte identifizieren, die grössten Lücken oder Risiken benennen.
- Konzeption (2-4 Wochen): Zielbild definieren, Verantwortlichkeiten zuweisen, technische und organisatorische Massnahmen festlegen.
- Umsetzung und Betrieb (laufend): Implementieren, messen, nachsteuern. Die meisten Initiativen scheitern nicht am Start, sondern am Ausbleiben der Phase drei.
Typische Fehler
Aus der Praxis wiederholen sich dieselben Fehler:
- Architektur für Health-Tech-Anwendungen als einmaliges Projekt behandeln statt als laufende Disziplin
- Werkzeuge wählen, bevor der Prozess verstanden ist
- Den DACH-Kontext ignorieren und US-Vorlagen unverändert übernehmen
- Dokumentation aufschieben, bis sie unter Druck entsteht
- Erfolg an Aktivität messen statt an Wirkung
DACH-Kontext
Schweiz, Deutschland und Österreich unterscheiden sich in Recht und Marktrealität. Die Schweiz steht oft ausserhalb der EU-Regime, ist aber über Marktzugang und Datenflüsse faktisch eingebunden; Deutschland setzt am strengsten um; Österreich folgt eng den EU-Standards. Wer in allen drei Märkten arbeitet, baut sinnvollerweise nach dem strengsten gemeinsamen Nenner und passt regionale Details gezielt an.
Nächste Schritte
Der pragmatische Einstieg in Architektur für Health-Tech-Anwendungen ist eine ehrliche Standortbestimmung: Wo stehen wir, wo wollen wir hin, was sind die drei wirkungsvollsten nächsten Schritte? Innopulse Consulting begleitet DACH-Unternehmen bei genau diesen Fragen — von der Analyse über die Konzeption bis zur Umsetzung. Erreichbar unter info@innopulse.io. Die ersten 30 Minuten kosten nichts.