Was CGM Praxissoftware ist

CGM Praxissoftware steht hier für die Arztinformationssysteme der CompuGroup Medical, darunter CGM M1 PRO, CGM ALBIS, CGM MEDISTAR und CGM TURBOMED. Praxen führen damit Patientenakte, Dokumentation und Abrechnung mit der Kassenärztlichen Vereinigung und nutzen die Dienste der Telematikinfrastruktur wie E-Rezept und ePA.

CompuGroup Medical sitzt in Koblenz und gehört mehrheitlich der Gründerfamilie Gotthardt. Der Finanzinvestor CVC hält rund 28 Prozent, seit Juni 2025 ist das Unternehmen nicht mehr an der Börse. Laut Hersteller nutzen allein CGM MEDISTAR über 9.000 Praxen.

Wofür es eingesetzt wird

Haus- und Fachärzte nutzen die Systeme als zentrale Software ihrer Praxis, meist auf einem Server in der Praxis. CGM ergänzt sie zunehmend um Clouddienste unter der Marke CGM ONE, etwa Telefonassistent und Online-Terminbuchung. Diese laufen auf Microsoft Azure in der EU, in Ausnahmefällen sind Zugriffe aus den USA möglich.

Für einen Wechsel schreibt die KBV eine Archiv- und Wechselschnittstelle vor, verpflichtend sind bisher aber nur Basisdaten. Weil die Abrechnung eine zertifizierte und laufend aktualisierte Software verlangt, bleibt die Praxis auf die Softwarepflege des Herstellers angewiesen.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz der Praxissoftware im Praxisbetrieb, überwiegend lokal installiert; Fragen zum Rechtsraum sind für eine im eigenen Haus betriebene Software sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	Hersteller ist die CompuGroup Medical SE & Co. KGaA mit Sitz in Koblenz. Mehrheitseigner ist die Gründerfamilie Gotthardt mit rund 50,12 %, der Finanzinvestor CVC hält über die Caesar BidCo GmbH rund 27,78 %. Eine Konzernmutter außerhalb der EU gibt es nicht. Beleg: CVC schließt öffentliches Delisting-Angebot für… · Successful year 2025: CGM back on growth path · Vertrag zur Auftragsverarbeitung CGM ONE Telefon… · CompuGroup Medical and CVC Capital Partners begi…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Auslegung: Bewertet ist der Praxisbetrieb. Bei lokaler Installation liegen die Daten in der Praxis, der Hersteller unterliegt keinem Drittstaatsrecht. Zusatzdienste unter CGM ONE laufen aber auf Microsoft Azure; laut AVV sind in Ausnahmefällen Verarbeitungen aus den USA möglich, weitere Unterauftragsverarbeiter wie ElevenLabs und FullStory sitzen in den USA. Fernwartung erfolgt über AnyDesk. Beleg: Praxissoftware (Übersicht) · Vertrag zur Auftragsverarbeitung CGM ONE Telefon…
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Schutz gegen Zugriff durch Betreiber und Behörden. Bei lokalem Betrieb liegen Server und Datenbank in der Praxis. Die Verschlüsselung der Datenbank liegt laut CGM in der Verantwortung der Praxis und war am Beispiel der Zahnarztsoftware CGM Z1 in vielen Installationen nicht aktiviert. Für Cloud-Zusatzdienste ist eine Schlüsselhaltung bei der Praxis nicht dokumentiert. Beleg: Praxissoftware (Übersicht) · Reaktionen von CGM auf Meldung der Sicherheitslü… · Vertrag zur Auftragsverarbeitung CGM ONE Telefon…
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Nach Abschluss des Übernahme- und Delisting-Angebots 2025 hält die Gründerfamilie Gotthardt 50,12 % der Stimmrechte der CompuGroup Medical SE & Co. KGaA, Koblenz, die Caesar BidCo GmbH als Holding von CVC-Fonds 27,78 %. Laut Mitteilung behält die Familie die Kontrolle; CVC erhält drei von sechs Sitzen im erweiterten Verwaltungsrat. Welche CVC-Fonds beteiligt sind und wo die kontrollierende Gesellschaft sitzt, nennen die Mitteilungen nicht. Beleg: CVC schließt öffentliches Delisting-Angebot für… · Final regulatory approval for voluntary public t… · Successful year 2025: CGM back on growth path

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Auslegung: Bei lokaler Installation in der Praxis bestimmt die Praxis den Speicherort der Patientendaten und Sicherungen. Für die berücksichtigten Cloud-Zusatzdienste (CGM ONE TelefonAssistent/OnlineRezeption) legt der AVV (Version vom 27.04.2026, § 1.3) die Verarbeitung in EU oder EWR fest, nennt aber in Anlage 1 Ausnahmen für Inhalte: Twilio speichert Daten in EU und USA mit möglicher Weiterverarbeitung u. a. in Indien, Microsoft Azure lässt in Ausnahmefällen Verarbeitung aus den USA zu. Zu Backups der Cloud-Dienste enthält der AVV keine Angabe. Beleg: Vertrag zur Auftragsverarbeitung CGM ONE Telefon… · CGM MEDISTAR
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	CGM bietet die Praxissoftware lokal mit Daten auf eigenen Servern, hybrid oder im CGM-Rechenzentrum an. Den Praxisserver kann die Praxis selbst oder über einen Dienstleister betreiben. Beleg: Praxissoftware (Übersicht) · CGM MEDISTAR · MVZ-Pakete mit CGM M1 PRO NEXT (Produktbroschüre)
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	nicht belegbar	Eine Dokumentation, welche Nutzungs- oder Diagnosedaten die Arztinformationssysteme an CGM senden und ob sich das abschalten lässt, wurde nicht gefunden. Für den Cloud-Zusatzdienst ist FullStory zur Interaktionsanalyse als Unterauftragsverarbeiter gelistet. Beleg: Vertrag zur Auftragsverarbeitung CGM ONE Telefon…
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nein	Auslegung: Die Arztinformationssysteme laufen überwiegend lokal; für die Cloud-Zusatzdienste liegt der Auftragsverarbeitungsvertrag zu CGM ONE TelefonAssistent und OnlineRezeption (27.04.2026) vor. Er schließt Training nur beim Unterauftragsverarbeiter ElevenLabs aus; CGM selbst darf anonymisierte Datensätze zur Validierung der KI-Qualität und anonymisierte Daten zur Qualitätsverbesserung und Softwareentwicklung nutzen (§ 8.6, Anlage 1 Nr. 2 d). Einen Ausschluss des Trainings eigener Modelle enthält der Vertrag nicht. Beleg: Vertrag zur Auftragsverarbeitung CGM ONE Telefon…

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Die Arztinformationssysteme sind proprietäre Software; ein öffentlicher Quellcode wurde nicht gefunden. Beleg: Praxissoftware (Übersicht) · MVZ-Pakete mit CGM M1 PRO NEXT (Produktbroschüre)
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt proprietäre CGM-Software voraus; für CGM M1 PRO wird eine Oracle-Datenbank genannt. Beleg: MVZ-Pakete mit CGM M1 PRO NEXT (Produktbroschüre)
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Auslegung: Seit 1. Januar 2026 darf eine Praxissoftware ohne gültige Zertifizierung nicht mehr für die Abrechnung mit der Kassenärztlichen Vereinigung genutzt werden, und die KBV-Vorgaben ändern sich mit regelmäßigen Quartalsupdates. Ohne laufende Softwarepflege des Herstellers fällt damit die Abrechnung weg. Das Lizenzmodell selbst wurde nicht eingesehen. Beleg: Abrechnung mit Praxissoftware ohne KOB-Zertifika… · IT in der Arztpraxis: Informationen für Software…

Betrieb & Nachweise nicht erfüllt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	CGM hat 2024 ein BSI-C5-Testat nach Typ 1 für Cloud-Produkte in Deutschland erhalten (Stichtag 31.05.2024); welche Dienste es umfasst, nennt die Mitteilung nicht. Ein ISO-27001-Zertifikat wurde nicht gefunden, die Seite zur Informationssicherheit nennt nur ein konzernweites ISMS. Auslegung: Für lokal betriebene Software belegt ein Cloud-Testat die Entwicklung nicht. Beleg: CGM receives C5 attestation according to BSI cri… · Vulnerability Management Policy / Information Se…
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	CGM hat Seiten zu einem Vulnerability Disclosure Program und zu Security Advisories. Laut Richtlinie gibt CGM Sicherheitsprobleme nicht öffentlich bekannt und wertet unautorisierte Veröffentlichung als Verstoß; ein öffentliches Verzeichnis von Sicherheitshinweisen mit CVE-Nummern war nicht lesbar. Beleg: Vulnerability Management Policy / Information Se… · Security Advisory
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist die CompuGroup Medical Deutschland AG in Koblenz, Support erfolgt aus Deutschland. Die Vertragsbedingungen für die Arztinformationssysteme und das anwendbare Recht wurden nicht eingesehen. Beleg: Vertrag zur Auftragsverarbeitung CGM ONE Telefon… · Praxissoftware (Übersicht)
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	nicht belegbar	Auslegung: Bewertet wird der lokale Praxisbetrieb mit Wartung und Fernwartung durch CGM bzw. Vertriebspartner. Für diese Leistungen wurde kein öffentlicher Auftragsverarbeitungsvertrag und keine Liste der Unterauftragsverarbeiter gefunden. Der Vertrag zu CGM ONE TelefonAssistent nennt seine Unterauftragsverarbeiter mit Standorten und Vorabinformation, betrifft aber nur diese Cloud-Dienste.
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nicht belegbar	Auslegung: Im lokalen Betrieb administriert die Praxis bzw. ihr Systempartner; CGM greift über Fernwartung zu. Öffentliche Primärangaben der CompuGroup Medical Deutschland AG, ob Fernwartung zu CGM M1 PRO, ALBIS, MEDISTAR und TURBOMED nur auf Freigabe der Praxis im Einzelfall erfolgt und wo das Personal sitzt, wurden nicht gefunden.

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Praxissoftware muss die von der KBV festgelegte Archiv- und Wechselschnittstelle auf Basis von FHIR R4 unterstützen; beim Export ist alles auszugeben, was in der Hoheit des Systems liegt. Verpflichtend zertifiziert sind bisher nur administrative Basisprofile, und das Bundesgesundheitsministerium stellte 2024 fest, dass die Schnittstelle ihre Ziele nur eingeschränkt erreicht. Für Geräte und Kliniksysteme gibt es GDT und HL7. Beleg: FAQ Archiv- und Wechselschnittstelle (AW-SST) · Schreiben zur Rezertifizierung der Archiv- und W… · IT in der Arztpraxis: Informationen für Software… · MVZ-Pakete mit CGM M1 PRO NEXT (Produktbroschüre)
5.2 Offene Standards für Anmeldung und Schnittstellen?	teilweise	Dokumentierte Branchenstandards wie GDT, HL7 und die Dienste der Telematikinfrastruktur werden unterstützt. Single Sign-on über SAML oder OpenID Connect und eine öffentlich dokumentierte API wurden nicht gefunden. Beleg: CGM MEDISTAR · MVZ-Pakete mit CGM M1 PRO NEXT (Produktbroschüre)
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Bei lokalem Betrieb liegen die Daten beim Praxisbetreiber, und die Archiv- und Wechselschnittstelle ist Teil der zertifizierten Software. Ob der Export alle Daten vollständig abdeckt, ist wegen der bisher nur verpflichtenden Basisprofile offen. Für den Kalender ClickDoc ist eine Rückkehr zum alten Kalender nur mit manuellem Aufwand auf Kosten der Praxis möglich. Beleg: FAQ Archiv- und Wechselschnittstelle (AW-SST) · Schreiben zur Rezertifizierung der Archiv- und W… · Hinweisblatt zur ClickDoc-Vereinbarung

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welche der Systeme lokal, hybrid oder im CGM-Rechenzentrum betrieben werden können. Die Herstellerseiten nennen das nur allgemein.
Welche Daten bei Fernwartung und Support an CGM gehen.
Welche Dienste das C5-Testat umfasst und ob CGM nach ISO 27001 zertifiziert ist.
Wie CGM über Sicherheitslücken informiert. Die Seite mit Sicherheitshinweisen war nicht lesbar.
Welche Daten die Wechselschnittstelle der CGM-Systeme über die Basisdaten hinaus ausgibt.
Welches Lizenzmodell gilt und welches Recht im Vertrag vereinbart ist.
Welche CVC-Fonds über die Caesar BidCo GmbH beteiligt sind und wo die kontrollierende Gesellschaft sitzt, weil die Mitteilungen das nicht nennen.
Ob die Investorenvereinbarung CVC bei paritätischer Besetzung des Verwaltungsrats Vetorechte gibt, weil sie nicht veröffentlicht ist.
Ob CGM für Wartung und Fernwartung der Arztinformationssysteme einen Auftragsverarbeitungsvertrag mit Unterauftragsverarbeiterliste veröffentlicht, weil keiner auffindbar war.
Wo Support- und Fernwartungspersonal für die lokalen Systeme sitzt, weil CGM das nicht dokumentiert.
Ob Fernwartungssitzungen der CompuGroup Medical Deutschland AG für die Arztinformationssysteme nur von der Praxis gestartet bzw. je Sitzung freigegeben werden und von welchen Standorten das Support- und Fernwartungspersonal arbeitet, weil kein AVV oder Pflegevertrag zur Softwarepflege öffentlich auffindbar war.

Fragen vor einer Entscheidung

Ist die Datenbank auf Ihrem Praxisserver verschlüsselt, und wer kennt die Zugangsdaten?
Welche CGM-ONE-Dienste nutzen Sie, und ist die mögliche Verarbeitung aus den USA für Ihre Patientendaten tragbar?
Haben Sie einmal einen Export über die Archiv- und Wechselschnittstelle erstellt und geprüft, welche Daten fehlen?
Wie gelangen Sie bei Fernwartung durch CGM oder Ihren Dienstleister an ein Protokoll der Zugriffe?

CGM Praxissoftware