In the questionnaire set out below, the manufacturer shall declare that the requirements under section 4 are met.
Im nachfolgend aufgeführten Fragenbogen ist durch den Hersteller die Erfüllung der Anforderungen nach § 4 zu erklären.
The manufacturer shall confirm that the requirements are met by marking the column “applicable”.
Der Hersteller bestätigt die Erfüllung der Anforderungen durch Kennzeichnung in der Spalte „zutreffend“.
The data protection provisions and the requirements for data security – basic requirements shall be met by all digital health applications.
Die Vorschriften des Datenschutzes und die Anforderungen an die Datensicherheit – Basisanforderungen sind von allen digitalen Gesundheitsanwendungen zu erfüllen.
The requirements for data security – additional requirements for digital health applications with very high protection needs shall be met by digital health applications for which very high protection needs have been established in the course of the required protection needs analysis.
Die Anforderungen Datensicherheit – Zusatzanforderungen bei digitalen Gesundheitsanwendungen mit sehr hohem Schutzbedarf sind von digitalen Gesundheitsanwendungen zu erfüllen, für die im Rahmen der geforderten Schutzbedarfsanalyse ein sehr hoher Schutzbedarf festgestellt wurde.
No. | Subject area | Requirement | applicable | not applicable | Permissible justification for “not applicable”
Nr. | Themenfeld | Anforderung | zutreffend | nicht zutreffend | zulässige Begründung für „nicht zutreffend“
1. | General Data Protection Regulation as applicable law | The processing of personal data by the digital health application and its manufacturer is subject to Regulation (EU) 2016/679 and, where applicable, to further data protection rules.
1. | Datenschutz-Grundverordnung als anzuwendendes Recht | Die Verarbeitung personenbezogener Daten durch die digitale Gesundheitsanwendung und deren Hersteller unterfällt der Verordnung (EU) 2016/679 sowie ggf. weiteren Datenschutzregelungen.
2. | Consent | Before personal data and data relatable to a person are processed, is freely given, specific and informed consent of the data subject obtained for the purposes of processing of such data specified in section 4 subsection (2)? | No consent is obtained, since the purpose of the processing results from a legal obligation of the manufacturer of the digital health application.
2. | Einwilligung | Wird vor der Verarbeitung von personenbezogenen und -beziehbaren Daten eine freiwillige, spezifische und informierte Einwilligung der betroffenen Person zu den in § 4 Absatz 2 benannten Zwecken der Verarbeitung dieser Daten eingeholt? | Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digitalen Gesundheitsanwendung resultiert.
3. | Consent | Are consents and declarations of the data subject given expressly in all cases, i.e. by an active, unambiguous action of the data subject? | No consent is obtained, since the purpose of the processing results from a legal obligation of the manufacturer of the digital health application.
3. | Einwilligung | Erfolgt die Abgabe von Einwilligungen und Erklärungen der betroffenen Person durchgängig ausdrücklich, d. h. durch eine aktive, eindeutige Handlung der betroffenen Person? | Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digitalen Gesundheitsanwendung resultiert.
4. | Consent | Can the data subject withdraw consents given easily, in an accessible manner, at any time and by an easily understandable means, with effect for the future? | No consent is obtained, since the purpose of the processing results from a legal obligation of the manufacturer of the digital health application.
4. | Einwilligung | Kann die betroffene Person erteilte Einwilligungen einfach, barrierefrei, jederzeit und auf einem einfach verständlichen Weg mit Wirkung für die Zukunft widerrufen? | Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digitalen Gesundheitsanwendung resultiert.
5. | Consent | Before giving consent, is the data subject informed of the right and the means to withdraw consent? | No consent is obtained, since the purpose of the processing results from a legal obligation of the manufacturer of the digital health application.
5. | Einwilligung | Wird die betroffene Person vor Abgabe der Einwilligung auf das Recht und die Möglichkeiten zum Widerruf der Einwilligung hingewiesen? | Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digitalen Gesundheitsanwendung resultiert.
6. | Consent | Before giving consent, was the data subject informed in a clear, comprehensible, user-friendly form appropriate to the target group of which categories of data are processed for which purposes by the digital health application or by the manufacturer of the digital health application? | No consent is obtained, since the purpose of the processing results from a legal obligation of the manufacturer of the digital health application.
6. | Einwilligung | Wurde die betroffene Person vor Abgabe einer Einwilligung in klarer, verständlicher, nutzerfreundlicher und der Zielgruppe angemessener Form darüber informiert, welche Kategorien von Daten zu welchen Zwecken durch die digitale Gesundheitsanwendung bzw. den Hersteller der digitalen Gesundheitsanwendung verarbeitet werden? | Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digitalen Gesundheitsanwendung resultiert.
7. | Consent | Can the data subject retrieve the texts of the consents and declarations given at any time from within the digital health application or via a source referenced from within the digital health application? | No consent is obtained, since the purpose of the processing results from a legal obligation of the manufacturer of the digital health application.
7. | Einwilligung | Kann die betroffene Person die Texte der abgegebenen Einwilligungen und Erklärungen jederzeit aus der digitalen Gesundheitsanwendung oder über eine aus der digitalen Gesundheitsanwendung referenzierten Quelle abrufen? | Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digitalen Gesundheitsanwendung resultiert.
8. | Purpose limitation | Is personal data processed by the digital health application exclusively for the purposes specified in section 4 subsection (2) sentence 1 or on the basis of other statutory powers to process data under section 4 subsection (2) sentence 3?
8. | Zweckbindung | Erfolgt die Verarbeitung von personenbezogenen Daten durch die digitale Gesundheitsanwendung ausschließlich zu in § 4 Absatz 2 Satz 1 genannten Zwecken oder auf Grundlage sonstiger gesetzlicher Datenverarbeitungsbefugnisse nach § 4 Absatz 2 Satz 3?
9. | Data minimisation and adequacy | Is the personal data processed via the digital health application adequate in relation to the purpose and limited to what is necessary for the purposes of the processing?
9. | Datenminimierung und Angemessenheit | Sind die über die digitale Gesundheitsanwendung verarbeiteten personenbezogenen Daten dem Zweck angemessen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt?
10. | Data minimisation and adequacy | Has the manufacturer of the digital health application ensured that the purposes of the processing of personal data by the digital health application cannot reasonably be achieved to the same extent by other means involving less data?
10. | Datenminimierung und Angemessenheit | Hat der Hersteller der digitalen Gesundheitsanwendung sichergestellt, dass die Zwecke der Verarbeitung personenbezogener Daten durch die digitale Gesundheitsanwendung nicht in zumutbarer Weise durch andere, datensparsamere Mittel in gleichem Maße erreicht werden können?
11. | Data minimisation and adequacy | Is health-related data stored separately from data required exclusively for billing of services?
11. | Datenminimierung und Angemessenheit | Werden gesundheitsbezogene Daten getrennt von ausschließlich für die Leistungsabrechnung erforderlichen Daten gespeichert?
12. | Data minimisation and adequacy | Does the manufacturer of the digital health application ensure that employees entrusted with tasks not related to the product have no access to health-related data?
12. | Datenminimierung und Angemessenheit | Stellt der Hersteller der digitalen Gesundheitsanwendung sicher, dass mit nicht-produktbezogenen Aufgaben betraute Mitarbeiterinnen und Mitarbeiter keinen Zugriff auf gesundheitsbezogene Daten haben?
13. | Data minimisation and adequacy | Where use of the digital health application is not limited to a private IT system of the user: – have corresponding deployment scenarios been explicitly taken into account in the data protection impact assessment? – is the insured person expressly informed that using the digital health application in a potentially insecure environment entails security risks that cannot be fully addressed by the manufacturer of the digital health application? | Use of the digital health application is limited to a private IT system of the user.
13. | Datenminimierung und Angemessenheit | Sofern die Nutzung der digitalen Gesundheitsanwendung nicht auf ein privates IT-System der nutzenden Person beschränkt ist: – wurden entsprechende Einsatzszenarien in der Datenschutzfolgenabschätzung explizit berücksichtigt? – wird der Versicherte ausdrücklich darauf hingewiesen, dass die Nutzung der digitalen Gesundheitsanwendung in einer potenziell unsicheren Umgebung mit Sicherheitsrisiken einhergeht, die durch den Hersteller der digitalen Gesundheitsanwendung nicht vollständig adressiert werden können? | Die Nutzung der digitalen Gesundheitsanwendung ist auf ein privates IT-System der nutzenden Person beschränkt.
– when the digital health application is used on an IT system not used solely by the insured person, is any storage of health-related data on that IT system, including temporary storage, completely prevented?
– wird bei Nutzung der digitalen Gesundheitsanwendung auf einem nicht nur von dem Versicherten verwendeten IT-System vollständig die – auch temporäre – Speicherung von gesundheitsbezogenen Daten auf diesem IT-System unterbunden?
14. | Integrity and confidentiality | Does the digital health application provide for appropriate technical and organisational measures to protect personal data against accidental or unlawful destruction, erasure, falsification, disclosure or unauthorised forms of processing?
14. | Integrität und Vertraulichkeit | Sieht die digitale Gesundheitsanwendung angemessene technische und organisatorische Maßnahmen vor, um personenbezogene Daten gegen unbeabsichtigte oder unzulässige Zerstörung, Löschung, Verfälschung, Offenbarung oder nicht legitimierte Verarbeitungsformen zu schützen?
15. | Integrity and confidentiality | Is the exchange of data controlled by the digital health application between the data subject’s end device and external systems encrypted throughout in accordance with the state of the art? | No personal data is exchanged between the data subject’s end device and external systems.
15. | Integrität und Vertraulichkeit | Ist der durch die digitale Gesundheitsanwendung gesteuerte Austausch von Daten zwischen dem Endgerät der betroffenen Person und externen Systemen durchgängig gemäß dem Stand der Technik verschlüsselt? | Es werden keine personenbezogenen Daten zwischen dem Endgerät der betroffenen Person und externen Systemen ausgetauscht.
16. | Accuracy | Does the digital health application provide for technical and organisational measures ensuring that the personal data processed via the digital health application is accurate and kept up to date?
16. | Richtigkeit | Sieht die digitale Gesundheitsanwendung technische und organisatorische Maßnahmen vor, die sicherstellen, dass die über die digitale Gesundheitsanwendung verarbeiteten personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind?
17. | Accuracy | Does the manufacturer take every reasonable step to ensure that personal data that is inaccurate, having regard to the purposes for which it is processed, is erased or rectified without delay?
17. | Richtigkeit | Trifft der Hersteller alle angemessenen Maßnahmen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden?
18. | Necessity | Is personal data collected via the digital health application stored only for as long as is strictly necessary for providing the promised functionalities of the digital health application or for other purposes resulting directly from legal obligations?
18. | Erforderlichkeit | Werden über die digitale Gesundheitsanwendung erhobene personenbezogene Daten nur so lange gespeichert, wie sie für die Erbringung der zugesagten Funktionalitäten der digitalen Gesundheitsanwendung oder zu anderen, unmittelbar aus rechtlichen Verpflichtungen resultierenden Zwecken zwingend erforderlich sind?
19. | Necessity | Is personal data no longer stored once the purposes under section 4 subsection (2) sentence 1 items 1 to 4 have been fulfilled? | The purposes of storage and the maximum storage period shall be separately justified by the manufacturer, stating the reasons why these purposes legitimise the further storage of personal data.
19. | Erforderlichkeit | Werden personenbezogene Daten nach Erfüllung der Zwecke nach § 4 Absatz 2 Satz 1 Nummer 1 bis 4 nicht weiter gespeichert? | Die Zwecke der Speicherung und die maximale Speicherdauer sind unter Angabe der Gründe, warum diese Zwecke eine Legitimation der weiteren Speicherung personenbezogener Daten darstellen, durch den Hersteller gesondert zu begründen.
20. | Data portability | Does the manufacturer of the digital health application provide mechanisms by which the data subject can, from within the digital health application, exercise the right to data portability and retrieve the personal data concerning him or her which he or she, the data subject, has provided to the digital health application in a suitable format or transfer it to another digital health application?
20. | Datenportabilität | Stellt der Hersteller der digitalen Gesundheitsanwendung Mechanismen bereit, über die die betroffene Person aus der digitalen Gesundheitsanwendung heraus das Recht auf Datenportabilität wahrnehmen und die von ihr, der betroffenen Person, der digitalen Gesundheitsanwendung bereitgestellten, sie betreffenden personenbezogenen Daten in einem geeigneten Format abrufen bzw. in eine andere digitale Gesundheitsanwendung überführen kann?
21. | Information obligations | Is the privacy policy of the digital health application easy to find via the application’s website, accessible without barriers and freely viewable?
21. | Informationspflichten | Ist die Datenschutzerklärung der digitalen Gesundheitsanwendung über die Anwendungswebseite einfach auffindbar, barrierefrei zugänglich und frei einsehbar?
22. | Information obligations | Does the privacy policy of the digital health application contain all relevant information on the manufacturer and its data protection officer, on the purpose of the digital health application, on the categories of data processed for that purpose, on the manufacturer’s handling of such data, on the right to withdraw consents given and on the means of exercising the rights of the data subject, and does the manufacturer of the digital health application appropriately implement further information obligations under Articles 13 and 14 of Regulation (EU) 2016/679?
22. | Informationspflichten | Enthält die Datenschutzerklärung der digitalen Gesundheitsanwendung alle relevanten Informationen zum Hersteller und dessen Datenschutzbeauftragtem, zu dem Zweck der digitalen Gesundheitsanwendung, zu den dazu verarbeiteten Datenkategorien, zum Umgang des Herstellers mit diesen Daten, zum Recht auf Widerruf gegebener Einwilligungen und zu den Möglichkeiten zur Wahrnehmung der Betroffenenrechte und setzt der Hersteller der digitalen Gesundheitsanwendung darüber hinausgehende Informationspflichten nach den Artikeln 13 und 14 der Verordnung (EU) 2016/679 angemessen um?
23. | Information obligations | Is the privacy policy of the digital health application also easy to find from within or in the digital health application after the digital health application has been installed?
23. | Informationspflichten | Ist die Datenschutzerklärung der digitalen Gesundheitsanwendung auch nach der Installation der digitalen Gesundheitsanwendung aus der digitalen Gesundheitsanwendung heraus bzw. in der digitalen Gesundheitsanwendung einfach auffindbar?
24. | Information obligations | Can the data subject obtain from the manufacturer of the digital health application access to the personal data stored about him or her to the extent laid down in Article 15 of Regulation (EU) 2016/679?
24. | Informationspflichten | Kann die betroffene Person vom Hersteller der digitalen Gesundheitsanwendung Auskunft zu den über sie gespeicherten personenbezogenen Daten in dem in Artikel 15 der Verordnung (EU) 2016/679 festgelegten Umfang erhalten?
25. | Information obligations | Does the privacy policy of the digital health application contain a comprehensible erasure concept that governs the procedure upon withdrawal of consent and uninstallation of the digital health application and the handling of claims to erasure of data and to restriction of their processing, and that complies with the requirements under Articles 17 to 19 of Regulation (EU) 2016/679?
25. | Informationspflichten | Ist in der Datenschutzerklärung der digitalen Gesundheitsanwendung ein nachvollziehbares Löschkonzept enthalten, das das Vorgehen bei Widerruf der Einwilligung und Deinstallation der digitalen Gesundheitsanwendung sowie den Umgang mit Ansprüchen auf Löschung von Daten sowie auf Einschränkung ihrer Verarbeitung regelt und den Anforderungen nach den Artikeln 17 bis 19 der Verordnung (EU) 2016/679 entspricht?
26. | Information obligations | Can the data subject obtain from the manufacturer of the digital health application the rectification of inaccurate personal data concerning him or her and the completion of incomplete personal data concerning him or her?
26. | Informationspflichten | Kann die betroffene Person vom Hersteller der digitalen Gesundheitsanwendung die Berichtigung von sie betreffenden unrichtigen personenbezogenen Daten und die Vervollständigung von sie betreffenden unvollständigen personenbezogenen Daten verlangen?
27. | Information obligations | Before the user account is deleted, is the data subject informed of data that may be lost as a result and of the right to data portability pursuant to Article 20 of Regulation (EU) 2016/679?
27. | Informationspflichten | Wird die betroffene Person vor der Löschung des Benutzerkontos auf damit möglicherweise verlorengehende Daten und auf das Recht auf Datenübertragung gemäß Artikel 20 der Verordnung (EU) 2016/679 hingewiesen?
28. | Data protection management | Has the manufacturer of the digital health application implemented a process for regularly testing, assessing and evaluating the effectiveness of the technical and organisational measures for ensuring the security of the processing, covering all systems and processes used in connection with the digital health application?
28. | Datenschutz-Management | Hat der Hersteller der digitalen Gesundheitsanwendung ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung umgesetzt, mit dem alle im Zusammenhang mit der digitalen Gesundheitsanwendung eingesetzten Systeme und Prozesse erfasst sind?
29. | Data protection management | Has the manufacturer of the digital health application committed all persons who have access to personal data by virtue of their activities to confidentiality?
29. | Datenschutz-Management | Hat der Hersteller der digitalen Gesundheitsanwendung alle Personen, die aus ihrer Tätigkeit heraus Zugang zu personenbezogenen Daten haben, auf die Verschwiegenheit verpflichtet?
30. | Data protection impact assessment and risk management | Has the manufacturer of the digital health application carried out a data protection impact assessment for the digital health application and transferred the risk analysis performed in that context into the documented processes of a risk management system according to which threats and risks are continuously reassessed?
30. | Datenschutz-Folgenabschätzung und Risikomanagement | Hat der Hersteller der digitalen Gesundheitsanwendung für die digitale Gesundheitsanwendung eine Datenschutz-Folgenabschätzung durchgeführt und die hierbei durchgeführte Risikoanalyse in die dokumentierten Prozesse eines Risikomanagements überführt, nachdem eine kontinuierliche Neubewertung von Bedrohungen und Risiken erfolgt?
31. | Data protection impact assessment and risk management | Does the manufacturer of the digital health application ensure that personal data breaches are notified to the supervisory authority within 72 hours after it has become aware of the breach?
31. | Datenschutz-Folgenabschätzung und Risikomanagement | Stellt der Hersteller der digitalen Gesundheitsanwendung sicher, dass die Meldung von Verletzungen des Schutzes personenbezogener Daten innerhalb von 72 Stunden nachdem ihm die Verletzung bekannt wurde, an die Aufsichtsbehörde erfolgt?
32. | Data protection impact assessment and risk management | Does the manufacturer of the digital health application implement the requirements under Article 34 of Regulation (EU) 2016/679 on communicating data protection incidents to data subjects?
32. | Datenschutz-Folgenabschätzung und Risikomanagement | Setzt der Hersteller der digitalen Gesundheitsanwendung die Vorgaben nach Artikel 34 der Verordnung (EU) 2016/679 zur Information Betroffener bei Datenschutzvorfällen um?
33. | Accountability (obligation to provide evidence) | Has the manufacturer documented the data protection policies applicable to the company and trained its employees in their implementation?
33. | Nachweispflicht | Hat der Hersteller die für das Unternehmen geltenden Datenschutzleitlinien dokumentiert und seine Mitarbeiter in deren Umsetzung geschult?
34. | Accountability (obligation to provide evidence) | Does the manufacturer of the digital health application implement measures ensuring that it can subsequently be verified and established whether and by whom personal data stored by the manufacturer has been entered, altered or removed?
34. | Nachweispflicht | Realisiert der Hersteller der digitalen Gesundheitsanwendung Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem bei dem Hersteller gespeicherte personenbezogene Daten eingegeben, verändert oder entfernt worden sind?
35. | Accountability (obligation to provide evidence) | Can the manufacturer of the digital health application demonstrate at any time that the required consent of the data subject existed for any processing of personal data carried out, unless the data processing takes place on another legal basis?
35. | Nachweispflicht | Kann der Hersteller der digitalen Gesundheitsanwendung jederzeit nachweisen, dass zu einer durchgeführten Verarbeitung personenbezogener Daten die erforderliche Einwilligung der betroffenen Person vorlag, soweit die Datenverarbeitung nicht auf anderer rechtlicher Grundlage erfolgt?
36. | Processing by a processor | Is personal data either not passed on at all to processors via the digital health application or by the manufacturer of the digital health application, or passed on exclusively to processors that have sufficient trustworthiness and liability, implement appropriate mechanisms to protect the data taken over and are bound to the manufacturer by a binding contractual relationship that rules out any weakening of the commitments made to the insured person?
36. | Verarbeitung im Auftrag | Werden über die digitale Gesundheitsanwendung oder den Hersteller der digitalen Gesundheitsanwendung personenbezogene Daten gar nicht an Auftragsverarbeiter oder ausschließlich an Auftragsverarbeiter weitergegeben, die über eine ausreichende Vertrauenswürdigkeit und Haftbarkeit verfügen, angemessene Mechanismen zum Schutz übernommener Daten realisieren und mit dem Hersteller in einem verpflichtenden vertraglichen Verhältnis stehen, das eine Abschwächung der dem Versicherten gegenüber gemachten Zusagen ausschließt?
37. | Disclosure of data to third parties | Is no personal data passed on to third parties via the digital health application or by the manufacturer of the digital health application unless this is directly necessary for fulfilling purposes under section 4 subsection (2) sentence 1 item 1 or for complying with statutory provisions, and is limited to those purposes?
37. | Datenweitergabe an Dritte | Werden über die digitale Gesundheitsanwendung oder den Hersteller der digitalen Gesundheitsanwendung keine personenbezogenen Daten an Dritte weitergegeben, sofern dies nicht unmittelbar für die Erfüllung von Zwecken nach § 4 Absatz 2 Satz 1 Nummer 1 oder die Erfüllung gesetzlicher Vorschriften erforderlich und auf diese Zwecke beschränkt ist?
38. | Processing abroad | Is the processing of data concerning health and of personally identifiable subscriber and traffic data carried out exclusively in Germany, in another Member State of the European Union, in a state treated as equivalent thereto under section 35 subsection (7) of Book I of the Social Code, or on the basis of an adequacy decision pursuant to Article 45 of Regulation (EU) 2016/679?
38. | Verarbeitung im Ausland | Erfolgt die Verarbeitung von Gesundheitsdaten sowie personenidentifizierbaren Bestands- und Verkehrsdaten ausschließlich im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches Sozialgesetzbuch gleichgestellten Staat, oder auf Grundlage eines Angemessenheitsbeschlusses gemäß Artikel 45 der Verordnung (EU) 2016/679?
39. | Further protection goals | Is the linking of personal data across two or more digital health applications technically ruled out, or must the data subject give explicit, separately obtained, informed consent for data to be linked across two or more digital health applications? | The digital health application offers no technical means of linking or exchanging data with other digital health applications.
39. | Weitere Gewährleistungsziele | Ist die Verkettung von personenbezogenen Daten über zwei oder mehr digitale Gesundheitsanwendungen hinweg technisch ausgeschlossen oder muss die betroffene Person für eine Verkettung von Daten über zwei oder mehr digitale Gesundheitsanwendungen hinweg eine explizite, gesondert eingeholte, informierte Einwilligung abgeben? | Die digitale Gesundheitsanwendung bietet keine technische Möglichkeit einer Verknüpfung oder eines Datenaustauschs mit anderen digitalen Gesundheitsanwendungen.
40. | Further protection goals | Is it ensured that information of or about the data subject is disclosed to the public or to a group of persons that the data subject cannot delimit either not at all or only ever as a result of an explicit, active action of the data subject based on information, appropriate to the target group, about the nature of the information disclosed and the possible range of recipients? | The digital health application does not support any disclosure of information of or about the data subject to the public or to a group of persons that the data subject cannot delimit.
40. | Weitere Gewährleistungsziele | Ist sichergestellt, dass eine Offenbarung von Informationen der betroffenen Person oder über die betroffene Person für die Öffentlichkeit oder eine für die betroffene Person nicht eingrenzbare Personengruppe gar nicht oder immer nur infolge einer expliziten, aktiven Handlung der betroffenen Person erfolgt, der eine zielgruppengerechte Information über die Art der offenbarten Informationen und den möglichen Kreis der Empfänger zugrunde liegt? | Die digitale Gesundheitsanwendung unterstützt keine Offenbarung von Informationen der betroffenen Person oder über die betroffene Person für die Öffentlichkeit oder eine für die betroffene Person nicht eingrenzbare Personengruppe.
Basic requirements applicable to all digital health applications
Basisanforderungen, die für alle digitalen Gesundheitsanwendungen gelten
1. | Information security and service management | Has the manufacturer of the digital health application implemented an information security management system (ISMS) in accordance with ISO 27001 or in accordance with ISO 27001 on the basis of IT-Grundschutz (BSI Standard 200-2: IT-Grundschutz Methodology), and can it present a corresponding recognised certificate at the request of the Federal Institute for Drugs and Medical Devices (BfArM)?
1. | Informationssicherheits- und Servicemanagement | Hat der Hersteller der digitalen Gesundheitsanwendung ein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO 27001 oder gemäß ISO 27001 auf der Basis von IT-Grundschutz (BSI-Standard 200-2: IT-Grundschutz-Methodik) umgesetzt und kann auf Verlangen des Bundesinstituts für Arzneimittel und Medizinprodukte ein entsprechendes anerkanntes Zertifikat vorlegen?
2. | Information security and service management | Has the manufacturer of the digital health application carried out and documented a structured protection needs analysis considering the damage scenarios “violation of laws/regulations/contracts”, “impairment of the right to informational self-determination”, “impairment of personal integrity”, “impairment of the performance of tasks” and “negative internal or external effects”, as a result of which normal, high or very high protection needs as defined in BSI Standard 200-2 were established for the digital health application, and can it present the documentation of the protection needs analysis at the request of the Federal Institute for Drugs and Medical Devices?
2. | Informationssicherheits- und Service-Management | Hat der Hersteller der digitalen Gesundheitsanwendung eine strukturierte Schutzbedarfsanalyse unter Betrachtung der Schadensszenarien „Verstoß gegen Gesetze/Vorschriften/Verträge“, „Beeinträchtigung des informationellen Selbstbestimmungsrechts“, „Beeinträchtigung der persönlichen Unversehrtheit“, „Beeinträchtigung der Aufgabenerfüllung“ und „negative Innen- oder Außenwirkung“ durchgeführt und dokumentiert, in deren Ergebnis für die digitale Gesundheitsanwendung ein normaler, hoher oder sehr hoher Schutzbedarf gemäß der Definition des BSI-Standards 200-2 festgestellt wurde, und kann er die Dokumentation der Schutzbedarfsanalyse auf Verlangen des Bundesinstituts für Arzneimittel und Medizinprodukte vorlegen?
3. | Information security and service management | Has the manufacturer of the digital health application implemented and documented release, change and configuration management processes, taking into account the requirements of Regulation (EU) 2017/745, which ensure that extensions and modifications of the digital health application developed in-house or on its behalf have been adequately tested and explicitly approved before they are put into production?
3. | Informationssicherheits- und Service-Management | Hat der Hersteller der digitalen Gesundheitsanwendung Prozesse eines Release-, Change- und Configuration-Managements unter Berücksichtigung der Vorgaben der Verordnung (EU) 2017/745 umgesetzt und dokumentiert, die sicherstellen, dass Erweiterungen und Anpassungen der digitalen Gesundheitsanwendung, die selbst oder im Auftrag entwickelt wurden, ausreichend getestet und explizit freigegeben wurden, bevor sie produktiv gestellt werden?
4. | Prevention of data leakage | Has the manufacturer of the digital health application ensured that the communication of the digital health application with other services is technically restricted to such an extent that no unintended data communication by which personal data is sent can take place from within the digital health application?
4. | Verhinderung von Datenabfluss | Hat der Hersteller der digitalen Gesundheitsanwendung sichergestellt, dass die Kommunikation der digitalen Gesundheitsanwendung mit anderen Diensten technisch soweit eingeschränkt ist, dass aus der digitalen Gesundheitsanwendung heraus keine ungewollte Datenkommunikation erfolgen kann, über die personenbezogene Daten versendet werden?
5. | Prevention of data leakage | For every data communication taking place over open networks between different system components of the digital health application, is at least transport encryption in accordance with the BSI minimum standard for the use of Transport Layer Security (TLS) under section 44 subsection (1) sentence 1 of the BSI Act (BSI-Gesetz) used? | The digital health application does not initiate any data communication taking place over open networks.
5. | Verhinderung von Datenabfluss | Wird bei jeder über offene Netze stattfindenden Datenkommunikation zwischen verschiedenen Systembestandteilen der digitalen Gesundheitsanwendung zumindest eine Transportverschlüsselung gemäß des Mindeststandards des BSI zur Verwendung von Transport Layer Security (TLS) nach § 44 Absatz 1 Satz 1 des BSI-Gesetzes eingesetzt? | Die digitale Gesundheitsanwendung löst keine über offene Netze stattfindende Datenkommunikation aus.
6. | Prevention of data leakage | Upon every access to functionalities of the digital health application that can be called up via the internet, does the digital health application verify the authenticity of the services called up before personal data is exchanged with those services? | The digital health application does not include any functionality that can be called up via the internet.
6. | Verhinderung von Datenabfluss | Prüft die digitale Gesundheitsanwendung bei jedem Zugriff auf über das Internet aufrufbare Funktionalitäten der digitalen Gesundheitsanwendung die Authentizität der aufgerufenen Dienste, bevor personenbezogene Daten mit diesen Diensten ausgetauscht werden? | Die digitale Gesundheitsanwendung umfasst keine über das Internet aufrufbare Funktionalität.
7. | Prevention of data leakage | Has the manufacturer of the digital health application ensured that the digital health application does not write any unintended log or auxiliary files?
7. | Verhinderung von Datenabfluss | Hat der Hersteller der digitalen Gesundheitsanwendung sichergestellt, dass die digitale Gesundheitsanwendung keine ungewollten Log- oder Hilfsdateien schreibt?
8. | Prevention of data leakage | Has the manufacturer of the digital health application ensured that the digital health application does not output any error messages that might reveal confidential information?
8. | Verhinderung von Datenabfluss | Hat der Hersteller der digitalen Gesundheitsanwendung sichergestellt, dass die digitale Gesundheitsanwendung keine Fehlermeldungen ausgibt, die möglicherweise vertrauliche Informationen offenbaren?
9. | Authentication | Must all persons using the digital health application authenticate themselves by a method appropriate to the protection needs of the data processed by the digital health application before data accessible via the digital health application can be accessed?
9. | Authentisierung | Müssen sich alle die digitale Gesundheitsanwendung nutzenden Personen über eine dem Schutzbedarf der durch die digitale Gesundheitsanwendung verarbeiteten Daten angemessene Methode authentisieren, bevor Zugriffe auf über die digitale Gesundheitsanwendung zugängliche Daten erfolgen können?
10. | Authentication | Is it ensured by suitable technical measures that data used to authenticate a person using the digital health application are never exchanged over unsecured transport connections?
10. | Authentisierung | Ist durch geeignete technische Maßnahmen sichergestellt, dass zur Authentisierung einer die digitale Gesundheitsanwendung nutzenden Person verwendete Daten niemals über ungesicherte Transportverbindungen ausgetauscht werden?
11. | Authentication | Does the digital health application use or contain a central authentication component that has been implemented using established standard components, that is the only component permitted for initial authentication and whose trustworthiness can be verified by services of the digital health application?
11. | Authentisierung | Verwendet bzw. beinhaltet die digitale Gesundheitsanwendung eine zentrale Authentisierungskomponente, die mit etablierten Standardkomponenten umgesetzt wurde, die alleinig für die initiale Authentisierung zulässig ist und deren Vertrauenswürdigkeit durch Dienste der digitalen Gesundheitsanwendung verifizierbar ist?
12. | Authentication | Does the digital health application enforce that a person using the digital health application can change the data used for his or her authentication only if information sufficient to verify the authenticity of that person is supplied in the process?
12. | Authentisierung | Erzwingt die digitale Gesundheitsanwendung, dass eine die digitale Gesundheitsanwendung nutzende Person die für ihre Authentisierung genutzten Daten nur ändern kann, wenn hierbei für die Prüfung der Authentizität dieser Person ausreichende Informationen beigegeben werden?
13. | Authentication | Where authentication takes place using a password: – Does the digital health application force all persons using the digital health application to use secure passwords in accordance with a password policy which, among other things, prescribes a minimum password length and defines thresholds for failed login attempts? – Is it ensured that passwords are never transmitted or stored in plain text? – Is the changing or resetting of passwords logged, and is the data subject – provided suitable contact details are available – informed immediately of the resetting or changing of the password? | Authentication does not take place using a password
13. | Authentisierung | Sofern die Authentisierung unter Nutzung eines Passworts erfolgt: – Zwingt die digitale Gesundheitsanwendung alle die digitale Gesundheitsanwendung nutzenden Personen, sichere Passwörter gemäß einer Passwort-Richtlinie zu benutzen, die u. a. eine Mindestlänge für Passwörter vorgibt und Grenzwerte für fehlgeschlagene Anmeldeversuche definiert? – Ist sichergestellt, dass Passwörter niemals im Klartext übertragen oder gespeichert werden? – Wird das Ändern oder Zurücksetzen von Passwörtern protokolliert und wird die betroffene Person – sofern geeignete Kontaktdaten vorliegen – sofort über das Zurücksetzen oder Ändern des Passworts informiert? | Die Authentisierung erfolgt nicht unter Nutzung eines Passworts
14. | Authentication | Where the digital health application stores authentication data on an end device or in a software component located on it: Is the explicit agreement of the person using the digital health application requested (“opt-in”), and is that person informed of the risks of the function? | The digital health application does not store any authentication data on an end device or in a software component located on it
14. | Authentisierung | Sofern die digitale Gesundheitsanwendung Authentisierungsdaten auf einem Endgerät oder in einer darauf befindlichen Softwarekomponente speichert: Wird die explizite Zustimmung der die digitale Gesundheitsanwendung nutzenden Person abgefragt („Opt-In“) und wird diese auf die Risiken der Funktion hingewiesen? | Die digitale Gesundheitsanwendung speichert keine Authentisierungsdaten auf einem Endgerät oder in einer darauf befindlichen Softwarekomponente
15. | Authentication | Where information on the identity or authenticity of the person using the digital health application or on the authenticity of components of the digital health application is shared between components of the digital health application via dedicated sessions: | The digital health application does not use sessions.
15. | Authentisierung | Sofern Informationen zur Identität oder Authentizität der die digitale Gesundheitsanwendung nutzenden Person oder zur Authentizität von Komponenten der digitalen Gesundheitsanwendung über dedizierte Sitzungen („Sessions“) zwischen Komponenten der digitalen Gesundheitsanwendung geteilt werden: | Die digitale Gesundheitsanwendung nutzt keine Sessions.
– Are all session data protected, both when exchanged and when stored, by technical measures appropriate to the protection needs of the digital health application, and are any session IDs used generated randomly, with sufficient entropy and by means of established procedures? – Are all sessions established in an instance of a digital health application invalidated when use of the digital health application is aborted or terminated? – Can the person using the digital health application also force the explicit invalidation of a session? – Do sessions have a maximum period of validity, and are inactive or interrupted sessions automatically invalidated after a specified time? – Does the invalidation of a session result in the deletion of all session data, and is it ensured that a session, once invalidated, cannot be reactivated even if individual session data are known?
– Werden alle Sitzungsdaten sowohl beim Austausch als auch bei der Speicherung mit technischen Maßnahmen, die dem Schutzbedarf der digitalen Gesundheitsanwendung angemessenen, sind geschützt und werden ggf. genutzte Session-IDs zufällig, mit ausreichender Entropie und über etablierte Verfahren erzeugt? – Werden alle in einer Instanz einer digitalen Gesundheitsanwendung aufgebauten Sitzungen mit dem Abbruch oder der Beendigung der Nutzung der digitalen Gesundheitsanwendung invalidiert? – Kann die die digitale Gesundheitsanwendung nutzende Person auch die explizite Invalidierung einer Sitzung erzwingen? – Besitzen Sitzungen eine maximale Gültigkeitsdauer und werden inaktive oder unterbrochene Sitzungen automatisch nach einer bestimmten Zeit invalidiert? – Resultiert die Invalidierung einer Sitzung im Löschen aller Sitzungsdaten und ist sichergestellt, dass eine einmal ungültig gewordene Sitzung auch bei Kenntnis einzelner Sitzungsdaten nicht wieder aktiviert werden kann?
16. | Access control | Does the digital health application ensure that every access to protected data and functions undergoes an authorisation check (“complete mediation”), for which, in the case of access by operating personnel of the manufacturer of a digital health application, a dedicated authorisation component covering all protected data is used (“reference monitor” or “secure node/application”) that requires prior secure authentication of the person accessing?
16. | Zugriffskontrolle | Stellt die digitale Gesundheitsanwendung sicher, dass jeder Zugriff auf geschützte Daten und Funktionen eine Berechtigungsprüfung durchläuft („complete mediation“), für die bei Zugriffen durch Betriebspersonal des Herstellers einer digitalen Gesundheitsanwendung eine dedizierte, alle geschützten Daten einschließende Autorisierungskomponente zum Einsatz kommt („reference monitor“ bzw. „secure node/application“), die eine vorherige sichere Authentisierung der zugreifenden Person erfordert?
17. | Access control | Are all permissions assigned restrictively initially and by default, and can permissions be extended exclusively by means of controlled procedures which, in the case of changes to the permissions of operating personnel of the manufacturer of a digital health application, include effective review and control mechanisms based on a multiple-eyes principle?
17. | Zugriffskontrolle | Werden alle Berechtigungen initial und per default restriktiv zugewiesen und können Berechtigungen ausschließlich über kontrollierte Verfahren ausgeweitet werden, die bei Änderungen der Berechtigungen für Betriebspersonal des Herstellers einer digitalen Gesundheitsanwendung wirksame Prüf- und Kontrollmechanismen nach einem Mehraugenprinzip beinhalten?
18. | Access control | Where the digital health application provides for different user roles: Can each role access functions of the digital health application only with the rights required to execute the functionalities associated with that role? | The digital health application does not provide for different user roles.
18. | Zugriffskontrolle | Sofern die digitale Gesundheitsanwendung verschiedene Nutzerrollen vorsieht: Kann jede Rolle nur mit den für die Ausführung der mit der Rolle verbundenen Funktionalitäten erforderlichen Rechten auf Funktionen der digitalen Gesundheitsanwendung zugreifen? | Die digitale Gesundheitsanwendung sieht keine unterschiedlichen Nutzerrollen vor.
19. | Access control | Does the manufacturer of the digital health application ensure that access to functions and data of the digital health application by the manufacturer’s operating personnel is possible only via secure networks and access points?
19. | Zugriffskontrolle | Stellt der Hersteller der digitalen Gesundheitsanwendung sicher, dass Zugriffe auf Funktionen und Daten der digitalen Gesundheitsanwendung durch Betriebspersonal des Herstellers nur über sichere Netze und Zugangspunkte möglich sind?
20. | Access control | Do all errors and malfunctions of access control result in access being denied?
20. | Zugriffskontrolle | Resultieren alle Fehler und Fehlfunktionen der Zugriffskontrolle in einer Ablehnung von Zugriffen?
21. | Integration of data and functions | Can the insured person move exclusively within the trust domain of the digital health application, or can only trustworthy external content verified by the manufacturer of the digital health application be used from within the digital health application, and in that case is the insured person informed when the trust domain of the digital health application is left?
21. | Einbinden von Daten und Funktionen | Kann sich der Versicherte ausschließlich innerhalb der Vertrauensdomäne der digitalen Gesundheitsanwendung bewegen bzw. können aus der digitalen Gesundheitsanwendung heraus nur vertrauenswürdige, durch den Hersteller der digitalen Gesundheitsanwendung geprüfte externe Inhalte genutzt werden und wird der Versicherte in diesem Fall informiert, wenn die Vertrauensdomäne der digitalen Gesundheitsanwendung verlassen wird?
22. | Integration of data and functions | Where the digital health application allows the user to upload files: Is this function restricted as far as possible (e.g. by excluding active content), is the content subjected to a security check, and is it ensured that files can be stored only in the specified path? | The digital health application does not allow files to be uploaded.
22. | Einbinden von Daten und Funktionen | Sofern die digitale Gesundheitsanwendung der nutzenden Person den Upload von Dateien erlaubt: Ist diese Funktion so weit wie möglich eingeschränkt (z. B. Ausschließen aktiver Inhalte), findet eine Sicherheitsprüfung der Inhalte statt und ist sichergestellt, dass Dateien nur im vorgegebenen Pfad gespeichert werden können? | Die digitale Gesundheitsanwendung erlaubt keinen Upload von Dateien.
23. | Logging | Does the digital health application carry out complete, traceable, tamper-proof logging of all security-relevant events, i.e. events concerning the secure identification, authentication and authorisation of persons and organisations?
23. | Protokollierung | Führt die digitale Gesundheitsanwendung eine vollständige, nachvollziehbare, verfälschungssichere Protokollierung aller sicherheitsrelevanten – d. h. die sichere Identifizierung, Authentisierung und Autorisierung von Personen und Organisationen betreffenden – Ereignisse durch?
24. | Logging | Are log data evaluated automatically in order to detect or proactively prevent security-relevant events?
24. | Protokollierung | Werden Protokollierungsdaten automatisiert ausgewertet, um sicherheitsrelevante Ereignisse zu erkennen bzw. proaktiv zu verhindern?
25. | Logging | Is access to log data secured by suitable permission management and restricted to a small number of authorised persons and defined purposes?
25. | Protokollierung | Ist der Zugriff auf Protokollierungsdaten durch ein geeignetes Berechtigungsmanagement abgesichert und auf wenige befugte Personen und definierte Zwecke eingeschränkt?
26. | Regular and secure updating | Does the manufacturer inform the data subject (e.g. via push mechanisms or before the digital health application is started) when a security-relevant update of the digital health application has been made available for installation or has been carried out?
26. | Regelmäßige und sichere Aktualisierung | Informiert der Hersteller die betroffene Person (z. B. über Push-Mechanismen oder vor dem Start der digitalen Gesundheitsanwendung), wenn ein sicherheitsrelevantes Update der digitalen Gesundheitsanwendung zur Installation bereitgestellt oder durchgeführt wurde?
27. | Secure uninstallation | When the digital health application is uninstalled, are all data and files created by the digital health application and stored on IT systems at the disposal of the data subject – including caches and temporary files – deleted? | The digital health application is a purely web-based application.
27. | Sichere Deinstallation | Werden bei Deinstallation der digitalen Gesundheitsanwendung alle auf IT-Systemen in der Verfügung der betroffenen Person gespeicherten, durch die digitale Gesundheitsanwendung angelegten Daten und Dateien – einschließlich Caches und temporärer Dateien – gelöscht? | Bei der digitalen Gesundheitsanwendung handelt es sich um eine rein webbasierte Anwendung.
28. | Hardening | Where services of the digital health application can be called up via web protocols: – Are methods of the protocols used that are not required deactivated for all services that can be called up via open networks? – Are the permissible character encodings restricted as far as possible? | The digital health application does not include any services that can be called up via web protocols.
28. | Härtung | Sofern Dienste der digitalen Gesundheitsanwendung über Web-Protokolle aufrufbar sind: – Sind nicht benötigte Methoden der genutzten Protokolle bei allen über offene Netze aufrufbaren Diensten deaktiviert? – Sind die zulässigen Zeichenkodierungen so restriktiv wie möglich eingeschränkt? | Die digitale Gesundheitsanwendung umfasst keine über Web-Protokolle aufrufbaren Dienste.
– Are thresholds for access attempts set for all services that can be called up via open networks? – Is it ensured that no security-relevant comments or product and version information are disclosed? – Are files that are not required deleted regularly? – Is it ensured that these services are not indexed by search engines? – Are absolute local path specifications avoided? – Is retrieval of source code ruled out?
– Sind für alle über offene Netze aufrufbaren Dienste Grenzwerte für Zugriffsversuche festgelegt? – Ist sichergestellt, dass keine sicherheitsrelevanten Kommentare oder Produkt- und Versionsangaben preisgegeben werden? – Werden nicht benötigte Dateien regelmäßig gelöscht? – Ist sichergestellt, dass diese Dienste durch Suchmaschinen nicht erfasst werden? – Wird auf absolute lokale Pfadangaben verzichtet? – Wird ein Abruf von Quelltexten ausgeschlossen?
29. | Hardening | Where the digital health application processes data provided by the user or by sources not controlled by the digital health application: – Are these data treated as potentially dangerous and validated and filtered accordingly? – Are these data checked on a trustworthy IT system? – Are erroneous inputs, as far as possible, not handled automatically, or are corresponding functionalities implemented securely so that misuse is ruled out? – Are these data encoded in a form that ensures that malicious code is not interpreted or executed? Are these data separated from specific queries to data-holding systems (e.g. via stored procedures), or are data queries explicitly secured against attack vectors facilitated by such data? | The digital health application does not process any data provided by the user or by sources not controlled by the digital health application.
29. | Härtung | Sofern die digitale Gesundheitsanwendung Daten verarbeitet, die durch die nutzende Person oder durch nicht durch die digitale Gesundheitsanwendung kontrollierte Quellen bereitgestellt werden: – Werden diese Daten als potenziell gefährlich behandelt und entsprechend validiert und gefiltert? – Erfolgt die Prüfung dieser Daten auf einem vertrauenswürdigen IT-System? – Werden Fehleingaben möglichst nicht automatisch behandelt bzw. werden entsprechende Funktionalitäten sicher umgesetzt, damit ein Missbrauch ausgeschlossen ist? – Werden diese Daten in einer Form kodiert, die sicherstellt, dass ein schadhafter Code nicht interpretiert oder ausgeführt wird? Erfolgt eine Trennung dieser Daten von konkreten Anfragen an datenhaltende Systeme (z. B. über Stored Procedures) bzw. werden Datenanfragen explizit gegen aus solchen Daten begünstigte Angriffsvektoren gesichert? | Die digitale Gesundheitsanwendung verarbeitet keine Daten, die durch die nutzende Person oder durch nicht durch die digitale Gesundheitsanwendung kontrollierte Quellen bereitgestellt werden.
30. | Hardening | Is it ensured throughout that error cases in the digital health application are handled and lead to the termination and, where applicable, rollback of the functions initiated?
30. | Härtung | Ist durchgängig sichergestellt, dass Fehlerfälle in der digitalen Gesundheitsanwendung behandelt werden und zum Abbruch und ggf. Zurückrollen der angestoßenen Funktionen führen?
31. | Hardening | Is the digital health application protected by suitable protection mechanisms against automated access, insofar as such access does not implement intended uses of the digital health application?
31. | Härtung | Ist die digitale Gesundheitsanwendung durch geeignete Schutzmechanismen vor automatisierten Zugriffen geschützt, sofern diese nicht gewollte Nutzungsmöglichkeiten der digitalen Gesundheitsanwendung realisieren?
32. | Hardening | Are configuration files relevant to the secure operation of the digital health application protected against loss and falsification by suitable technical measures? | The digital health application does not use any configuration files, or these are not relevant to the secure operation of the digital health application.
32. | Härtung | Werden für den sicheren Betrieb der digitalen Gesundheitsanwendung relevante Konfigurationsdateien durch geeignete technische Maßnahmen vor Verlust und Verfälschung geschützt? | Die digitale Gesundheitsanwendung nutzt keine Konfigurationsdateien bzw. diese sind für den sicheren Betrieb der digitalen Gesundheitsanwendung nicht relevant.
32a. | Penetration tests | Has the manufacturer of the digital health application carried out, for the version of the digital health application to be included in the directory under section 139e subsection (1) of Book V of the Social Code – including all backend components – a penetration test that follows the implementation concept for penetration tests recommended by the Federal Office for Information Security (BSI) and – where applicable – also takes into account the current OWASP Top 10 security risks, and can it, upon request, present corresponding evidence that the penetration tests were carried out and that the vulnerabilities found in the process were remedied?
32a. | Penetrationstests | Hat der Hersteller der digitalen Gesundheitsanwendung für die im Verzeichnis nach § 139e Absatz 1 des Fünften Buches Sozialgesetzbuch aufzunehmende Version der digitalen Gesundheitsanwendung – einschließlich aller Backend-Komponenten – einen Penetrationstest durchgeführt, der dem vom Bundesamt für Sicherheit in der Informationstechnik empfohlenen Durchführungskonzept für Penetrationstests folgt, und – soweit die Anwendbarkeit gegeben ist – auch die jeweils aktuellen OWASP Top-10 Sicherheitsrisiken berücksichtigt, und kann er auf Nachfrage entsprechende Nachweise für die Durchführung der Penetrationstests und die Behebung der dabei gefundenen Schwachstellen vorlegen?
33. | Use of sensors and external devices | Where the digital health application directly accesses sensors of a mobile end device and/or external hardware (e.g. body-worn sensors): – Has the manufacturer of the digital health application specified the framework conditions under which sensors or connected devices can be installed, activated, configured and used, and is the existence of these framework conditions ensured as far as possible before corresponding functionalities are executed? – Does the digital health application ensure that sensors and connected devices are set, upon installation or first activation for the digital health application, to a default setting that complies with a documented security policy? – Can the insured person reset sensors and devices directly controlled by the digital health application to a default setting that complies with a documented security policy? Is data exchange between the digital health application and directly controlled sensors or devices possible only once the installation and configuration of the sensors or devices has been fully completed? | The digital health application accesses neither sensors of a mobile end device nor external hardware.
33. | Nutzung von Sensoren und externen Geräten | Sofern die digitale Gesundheitsanwendung direkt auf Sensoren eines mobilen Endgeräts und/oder externe Hardware (z. B. körpernahe Sensorik) zugreift: – Hat der Hersteller der digitalen Gesundheitsanwendung festgelegt, unter welchen Rahmenbedingungen Sensoren oder angebundene Geräte installiert, aktiviert, konfiguriert und verwendet werden können und wird das Bestehen dieser Rahmenbedingungen vor der Ausführung entsprechender Funktionalitäten soweit als möglich sichergestellt? – Stellt die digitale Gesundheitsanwendung sicher, dass Sensoren und angebundene Geräte bei der Installation bzw. erstmaligen Aktivierung für die digitale Gesundheitsanwendung in eine Grundeinstellung versetzt werden, die einer dokumentierten Sicherheitsrichtlinie entspricht? – Kann der Versicherte von der digitalen Gesundheitsanwendung direkt angesteuerte Sensoren und Geräte in eine Grundeinstellung zurücksetzen, die einer dokumentierten Sicherheitsrichtlinie entspricht? Ist ein Datenaustausch zwischen der digitalen Gesundheitsanwendung und direkt angesteuerten Sensoren oder Geräten erst dann möglich, wenn die Installation und Konfiguration der Sensoren bzw. Geräte vollständig abgeschlossen ist? | Die digitale Gesundheitsanwendung greift weder auf Sensoren eines mobilen Endgeräts noch auf externe Hardware zu.
34. | Use of sensors and external devices | Where the digital health application exchanges data with external hardware (e.g. body-worn sensors): – Are the procedures for installing, configuring, activating and deactivating this hardware described in a manner appropriate to the target group and safeguarded as far as possible against operating errors? – Does mutual authentication take place between the digital health application and external hardware? – After an initial handshake, are data exchanged between the digital health application and external hardware only in encrypted form? – Is it ensured that all data stored on external hardware are deleted when the digital health application is uninstalled or its use is terminated? – Has the manufacturer of the digital health application documented how connected hardware can be securely deactivated so that no data are lost and no sensitive data remain on the device? | The digital health application does not exchange any data with external hardware.
34. | Nutzung von Sensoren und externen Geräten | Sofern die digitale Gesundheitsanwendung Daten mit externer Hardware (z. B. körpernahe Sensorik) austauscht: – Sind die Abläufe zur Installation, Konfiguration, Aktivierung und Deaktivierung dieser Hardware zielgruppengerecht beschrieben und soweit als möglich gegen Fehlbedienungen gesichert? – Erfolgt eine wechselseitige Authentisierung zwischen der digitalen Gesundheitsanwendung und externer Hardware? – Werden Daten zwischen der digitalen Gesundheitsanwendung und externer Hardware nach einem initialen Handshake nur noch verschlüsselt ausgetauscht? – Ist sichergestellt, dass bei einer Deinstallation der digitalen Gesundheitsanwendung oder bei einer Beendigung von deren Nutzung alle auf externer Hardware gespeicherten Daten gelöscht werden? – Hat der Hersteller der digitalen Gesundheitsanwendung dokumentiert, wie eine angebundene Hardware sicher deaktiviert werden kann, so dass keine Daten verloren gehen und keine sensiblen Daten auf dem Gerät verbleiben? | Die digitale Gesundheitsanwendung tauscht keine Daten mit externer Hardware aus.
35. | Use of third-party software | Does the manufacturer maintain a complete list of all libraries and other software products used in the digital health application that were not developed by the manufacturer of the digital health application itself?
35. | Nutzung von Fremdsoftware | Führt der Hersteller eine vollständige Aufstellung aller in der digitalen Gesundheitsanwendung verwendeten Bibliotheken und anderen Software-Produkte, die nicht durch den Hersteller der digitalen Gesundheitsanwendung selbst entwickelt wurden?
36. | Use of third-party software | Does the manufacturer ensure, by means of suitable market monitoring procedures, that previously unknown risks to data protection, data security or patient safety arising from these libraries or products are identified promptly?
36. | Nutzung von Fremdsoftware | Stellt der Hersteller durch geeignete Verfahren der Marktbeobachtung sicher, dass von diesen Bibliotheken bzw. Produkten ausgehende, bislang nicht bekannte Risiken für den Datenschutz, die Datensicherheit oder die Patientensicherheit zeitnah erkannt werden?
37. | Use of third-party software | Has the manufacturer established procedures enabling it, in the event that such risks are identified, to implement suitable measures immediately, such as blocking the app and notifying users?
37. | Nutzung von Fremdsoftware | Hat der Hersteller Verfahren etabliert, um im Fall solcher erkannten Risiken geeignete Maßnahmen wie z. B. eine Sperrung der App und Benachrichtigungen der Nutzer unmittelbar umsetzen zu können?
Additional requirements for digital health applications with very high protection needs
Zusatzanforderungen bei digitalen Gesundheitsanwendungen mit sehr hohem Schutzbedarf
1. | Encryption of stored data | Is personal data processed on IT systems not at the personal disposal of the user stored on those systems only in encrypted form?
1. | Verschlüsselung gespeicherter Daten | Werden auf nicht in der persönlichen Verfügung der nutzenden Person stehenden IT-Systemen verarbeitete personenbezogene Daten auf diesen Systemen nur verschlüsselt gespeichert?
4. | Authentication | Is two-factor authentication enforced at least for the initial authentication of all persons using the digital health application?
4. | Authentisierung | Wird zumindest für die initiale Authentisierung aller die digitale Gesundheitsanwendung nutzenden Personen eine Zwei-Faktor-Authentisierung erzwungen?
5. | Authentication | Where the digital health application allows a fallback option to single-factor authentication: – Is the person using the digital health application informed of the associated risks, and is such a fallback activated only after the user has given agreement confirmed by an active action? – Can the person using the digital health application deactivate this fallback option again at any time from within the digital health application? | The digital health application does not allow a fallback option to single-factor authentication.
5. | Authentisierung | Sofern die digitale Gesundheitsanwendung eine Rückfalloption auf eine Ein-Faktor-Authentisierung erlaubt: – Wird die die digitale Gesundheitsanwendung nutzende Person auf die damit verbundenen Risiken hingewiesen und wird ein solcher Rückfall erst nach einer, über eine aktive Handlung bestätigten, Zustimmung der nutzenden Person aktiviert? – Kann die die digitale Gesundheitsanwendung nutzende Person diese Rückfall-Option jederzeit aus der digitalen Gesundheitsanwendung heraus wieder deaktivieren? | Die digitale Gesundheitsanwendung erlaubt keine Rückfalloption auf eine Ein-Faktor-Authentisierung.
7. | Authentication | Where the digital health application provides for a user role for service providers: Can the digital health application, by 31 December 2020 at the latest, support authentication of service providers as persons using the digital health application by means of an electronic health professional card with a contactless interface? | The digital health application does not provide for use by service providers.
7. | Authentisierung | Sofern die digitale Gesundheitsanwendung eine Nutzerrolle für Leistungserbringer vorsieht: Kann die digitale Gesundheitsanwendung bis spätestens zum 31. Dezember 2020 eine Authentisierung von Leistungserbringern als die die digitale Gesundheitsanwendung nutzende Personen über einen elektronischen Heilberufsausweis mit kontaktloser Schnittstelle unterstützen? | Die digitale Gesundheitsanwendung sieht keine Nutzung durch Leistungserbringer vor.
8. | Measures against DoS and DDoS | Are messages (XML, JSON, etc.) and data sent to services of the digital health application accessible via open networks checked against defined schemas? | The digital health application does not exchange any data with or between services accessible via open networks.
8. | Maßnahmen gegen DoS und DDoS | Werden an über offene Netze zugängliche Dienste der digitalen Gesundheitsanwendung gesandte Nachrichten (XML, JSON, etc.) und Daten gegen definierte Schemata geprüft? | Die digitale Gesundheitsanwendung tauscht keine Daten mit bzw. zwischen über offene Netze zugänglichen Diensten aus.
9. | Embedded web servers | Where components belonging to the digital health application use web servers – e.g. for administration or configuration: – Is the web server configured as restrictively as possible? – Are only the required components and functions of the web server installed or activated? – Is the web server, as far as possible, not operated under a privileged account? – Are security-relevant events logged? – Is access possible only after authentication? – Is all communication with the web server encrypted? | The digital health application does not use a web server.
9. | Eingebettete Webserver | Sofern zu der digitalen Gesundheitsanwendung gehörende Komponenten Webserver – z. B. zur Administration oder Konfiguration – nutzen: – Ist der Webserver möglichst restriktiv konfiguriert? – Sind nur die benötigten Komponenten und Funktionen des Webservers installiert bzw. aktiviert? – Wird der Webserver soweit möglich nicht unter einem privilegierten Konto betrieben? – Werden sicherheitsrelevante Ereignisse protokolliert? – Ist der Zugang nur nach Authentisierung möglich? – Ist jegliche Kommunikation mit dem Webserver verschlüsselt? | Die digitale Gesundheitsanwendung nutzt keinen Webserver.
Background: The DiGA fast-track · DiGA timeline and cost · Data security: GDPR and BSI. We explain what this provision means for your launch, price and timeline — fixed price, in writing.
Unofficial translation for information only. Only the German text is legally binding. German text: consolidated version from gesetze-im-internet.de, retrieved 29 October 2026. Where German statutes use “soll”, “shall” denotes an obligation that admits exceptions in atypical cases. Not legal advice.