Gesundheitswesen: Fintech-Unternehmer über Sicherheit, Skepsis bei EU-ID & mehr

Viele Arzt- und Zahnarztpraxen stehen vor ähnlichen Problemen: Die technische Basis reicht von Jahrzehnte alten Praxisverwaltungssystemen bis hin zu neueren oder verschiedenen Cloud-Diensten. Gleichzeitig steigen die Anforderungen an den Datenschutz, durch die Anbindung an das Gesundheitsnetz und komplexe Abrechnungswege.

Vor Nelly Solutions hat Lukas Eichner „Klarna Ident“ gegründet.

(Bild: Nelly Solutions)

Anbieter wie Nelly Solutions werben damit, die „komplette Patientenreise“ zu digitalisieren – von der Anamnese über Dokumente bis hin zur Bezahlung. Im Gespräch erläutert Mitgründer Lukas Eicher, wie sich das Angebot einordnen lässt und wo das Start-up bewusst Grenzen zieht.

Nelly wird als FinTech-Startup bezeichnet. Auf Ihrer Website ist allerdings auch von der „Digitalisierung der kompletten Patientenreise“ die Rede, zugleich betonen Sie, dass Nelly weder ein Praxisverwaltungssystem ist noch direkt an die TI angebunden wird. Was ist Nelly also konkret?

Lukas Eicher: Wir verstehen uns nicht als reines FinTech. Ja, wir haben Finanzprodukte und bewegen uns im klassischen deutschen Factoring-Markt – das ist ein wesentlicher Teil. Aber der Kern ist: Wir entwickeln Software für Praxen. Unsere größte technische Abteilung heißt „Automation“ – dort entstehen die Produkte, die Praxisprozesse automatisieren, etwa digitale Patientenaufnahme, Einwilligungen, Prüfprozesse vor der Rechnungserstellung, Dokumentation und Patientenkommunikation inklusive Terminerinnerungen. Die zweitgrößte Abteilung ist „Integrationen und Core Data“ – da geht es um Schnittstellen zu Praxisverwaltungssystemen (PVS) und Datenvereinheitlichung. Die Finanzprodukte sind technisch gesehen die kleinsten der drei Einheiten.

Für Patientinnen und Patienten bedeutet das: Sie bekommen zum Beispiel einen Link oder QR-Code, füllen Anamnese- und Einwilligungsdokumente auf dem eigenen Smartphone aus, unterschreiben digital und erhalten Rechnungen später digital, die sie online oder per Kartenzahlung begleichen können. Wir ersetzen also weder die Praxisverwaltungssysteme noch die TI, sondern legen uns wie eine zusätzliche Schicht darum herum und automatisieren die Abläufe vor und nach diesen Systemen.

Trotzdem sind Sie kein Praxisverwaltungssystem?

Nein, wir sind kein PVS. Wir hängen uns an bestehende Systeme an und integrieren diese. Für uns ist Integration elementar: Nur wenn Daten nicht manuell von einem Portal in das PVS übertragen werden müssen, schaffen wir echten Mehrwert. Die Herausforderung ist, dass viele PVS noch on-premise laufen und technisch sehr heterogen sind.

Gibt es Systeme, bei denen Sie sagen: „Da fassen wir aus Sicherheitsgründen nichts an“?

Es gibt schon Systeme, die sehr „alt“ unterwegs sind – zum Beispiel mit dBASE-Datenbanken und eigenen Dialekten, bei denen heute kaum noch jemand versteht, was da im Detail passiert. Das sind oft historische Konstrukte, stark gewachsene Altlasten. Auch große Marktteilnehmer haben da noch Altsysteme, die aus unserer Sicht sehr schwer zukunftsfähig sind – teilweise versucht man seit Jahren, moderne Cloud-Varianten zu etablieren und kommt nicht richtig voran.

Für ein junges Unternehmen ist IT-Sicherheit ja überlebenswichtig. Ein großer Vorfall könnte Nelly schnell zerstören. Wie sichern Sie sich ab?

Das ist absolut existenziell. Wir haben eine eigene IT-Sicherheitsabteilung und eine Compliance-Abteilung, die die Policies definiert. Die technische Umsetzung erfolgt dann im Produkt- und Plattformteam. Wir machen interne und externe Penetrationstests und haben bislang keine gravierenden Nichtkonformitäten gehabt, nur kleinere Findings.

Parallel dazu setzen wir auf Zertifizierungen und Prüfungen: Wir sind im Prozess für eine C5-Testierung, hatten zuvor TÜV-Datenschutzprüfungen – das ist eher Signaleffekt, aber bei Gesundheits- und Finanzdaten wird dort schon strenger geschaut. Wir haben ein internes Kontrollsystem, und sowohl unser CTO als auch ich bringen langjährige Erfahrung aus regulierten Umfeldern wie Finanzdienstleistungen, qualifizierter elektronischer Signatur und ISO-27k-nahen Setups mit.

Technisch setzen wir auf Industriestandards: sichere Softwareentwicklung, definierte Test- und QA-Prozesse, saubere Verschlüsselung „at rest“ und „in transit“ und regelmäßige Überprüfung unserer Sicherheitsarchitektur.

Wie wirken sich neue EU-Regulierungen und Vorhaben wie die EU-ID-Wallet oder eIDAS-Weiterentwicklungen auf Ihr Unternehmen aus?

Wir verfolgen das natürlich sehr genau, insbesondere alles rund um digitale Identitäten. Ich habe eIDAS schon in früheren Rollen kommentiert und eng mit Identitätslösungen gearbeitet. Grundsätzlich wünsche ich mir, dass die ID-Wallet gelingt, bin aber eher skeptisch, ob das politisch und organisatorisch wirklich sauber umgesetzt wird.

Was Datenschutz- und IT-Sicherheitsvorgaben der EU angeht, mussten wir unsere Prozesse bislang nicht grundlegend anpassen, weil wir vieles schon vorher so umgesetzt hatten, dass wir uns im Rahmen der verschärften Anforderungen bewegen.

Viele werben offensiv mit Datenschutz und Sicherheit. Sie auch?

In gewissem Umfang ja – etwa mit Siegeln wie TÜV oder künftig C5. Für uns ist das Einhalten internationaler, nationaler und branchenspezifischer Vorschriften, um die höchsten Datenschutzstandards zu wahren, essenziell.

Ein Teil des Marktes schreit laut nach Datenschutz, lebt ihn aber in entscheidenden Bereichen nicht wirklich. Bei Themen wie Auskunfteien würde man in anderen EU-Ländern manche Praktiken gar nicht zulassen, die hier gang und gäbe sind.

Und in der Praxis: Manche Praxen haben kein großes Interesse, sich tief in Datenschutz- oder Sicherheitskonzepte einzuarbeiten, andere schon. Für diese Fälle haben wir Datenschutz-Folgenabschätzungen, detaillierte Unterlagen und Prozesse, aber die Nachfrage ist weniger flächendeckend, als man glauben könnte.

Sie sind im Factoring, bei privaten und teils auch Kassenleistungen aktiv. Haben Sie direkte Schnittstellen in die Telematikinfrastruktur (TI)?

Nein, direkte TI-Schnittstellen haben wir nicht. Alles läuft über das PVS. Wir bereiten Daten für Praxen strukturiert auf, die dann über das PVS in TI-Prozesse und etwa in die elektronische Patientenakte einfließen. In Einzelfällen finanzieren wir auch Kassenleistungen vor; am Ende basieren wir aber immer auf dem Output der Praxen aus dem PVS.

Ich bin nicht unglücklich darüber, dass wir selbst keine unmittelbaren TI-Schnittstellen betreiben. Ebenso versuchen wir, soweit möglich, Zulassungen als Medizinprodukt zu vermeiden – die regulatorische Komplexität steigt enorm, sobald man tief in medizinische Kernprozesse hineingeht. Unser Schwerpunkt liegt bewusst auf administrativen Prozessen, Kommunikation und Abrechnung.

Ihre Hauptkundengruppe sind Zahnärztinnen und Zahnärzte. Warum gerade sie?

Das hat mehrere Gründe. Zum einen kamen wir ursprünglich mit einem klaren Fokus auf Zahnarztpraxen auf den Markt – Fokus ist in der Produktentwicklung extrem wichtig. Zweitens ist der Dentalbereich groß: Rund 40.000 Zahnarztpraxen in Deutschland, gemessen an der Praxisanzahl liegen darüber im Wesentlichen nur Hausärztinnen und Hausärzte. Drittens ist der Selbstzahleranteil im Dentalbereich hoch. Es gibt zwar ein Nord-Süd- und West-Ost-Gefälle bei Privatversicherten, aber vor allem gesetzlich Versicherte zahlen hier häufig zusätzliche Leistungen selbst.

Unser Vertriebsmodell setzt auf viel persönliche Interaktion. Wir haben lokale Büros in München, Köln, Hamburg und Heidelberg, jeweils mit etwa fünf bis zehn Personen für Vertrieb, Onboarding und Betreuung vor Ort. Das lohnt sich nur, wenn pro Praxis ein gewisser Umsatz möglich ist. In Fachbereichen, in denen das Softwarebudget bei 49 Euro im Monat gedeckelt ist, rechnet sich dieser Aufwand schlicht nicht.

Wir haben im letzten Jahr in einigen anderen Fachbereichen experimentiert, sind aber seit diesem Jahr strategisch wieder stärker auf Tiefe im Dentalbereich gegangen. Wenn man nicht nur Finanzprodukte, sondern auch Software zur Prozessautomatisierung anbietet, muss man sehr tief in die fachbereichsspezifischen Abläufe und Dokumentation einsteigen – inklusive angepasster Schnittstellen und Logik. Das ist pro Fachrichtung ein erhebliches Investment und das müssen wir uns daher gut überlegen.

Nelly ist stark risikokapitalfinanziert. Gerade im Gesundheitsbereich löst das bei manchen Vorbehalte aus – Stichwort aggressives Wachstum, Dumpingpreise, Verdrängung. Wie gehen Sie damit um?

Ich verstehe diese Vorbehalte. Im Factoring- und Inkassobereich gibt es Player, die sich ihren Ruf über teils sehr harte Inkassopraktiken aufgebaut haben. Das ist nicht unser Ansatz. Unser Geschäftsmodell basiert nicht darauf, kleine Unternehmen mit Dumpingpreisen aus dem Markt zu drängen. Es gibt meines Wissens auch kein Unternehmen, das macht, was wir machen.

Wir verwenden das Kapital, um Software, Integrationen und eine starke, regionale Betreuung aufzubauen. Das führt zu schnellem Wachstum – heute sind wir am Berliner Hauptstandort zwischen 90 und 100 Personen, dazu kommen die lokalen Büros. Aber unser Ziel ist, nachhaltige, besser organisierte Prozesse in Praxen zu etablieren, nicht kurzfristig Marktanteile um jeden Preis einzusammeln.

(mack)