(1) Digital health applications shall ensure compliance with the statutory data protection rules and with the data security requirements in accordance with the state of the art, taking into account the type of data processed and the associated levels of protection as well as the protection needs.
(1) Digitale Gesundheitsanwendungen müssen die gesetzlichen Vorgaben des Datenschutzes und die Anforderungen an die Datensicherheit nach dem Stand der Technik unter Berücksichtigung der Art der verarbeiteten Daten und der damit verbundenen Schutzstufen sowie des Schutzbedarfs gewährleisten.
(2) Within the framework of a digital health application, personal data may be processed only on the basis of the consent of the insured persons under Article 9(2)(a) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 4.5.2016, p. 1) and exclusively for the following purposes:
(2) Im Rahmen einer digitalen Gesundheitsanwendung dürfen personenbezogene Daten nur aufgrund einer Einwilligung der Versicherten nach Artikel 9 Absatz 2 Buchstabe a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG) (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1) und ausschließlich zu den folgenden Zwecken verarbeitet werden:
1. the intended use of the digital health application by the users,
1. zu dem bestimmungsgemäßen Gebrauch der digitalen Gesundheitsanwendung durch die Nutzer,
2. the demonstration of positive care effects in the context of a trial (testing) under section 139e subsection (4) of Book V of the Social Code,
2. zu dem Nachweis positiver Versorgungseffekte im Rahmen einer Erprobung nach § 139e Absatz 4 des Fünften Buches Sozialgesetzbuch,
2a. the demonstration of the maintenance of earning capacity in the context of a trial (testing) under section 139e subsections (4) and (12) of Book V of the Social Code,
2a. zu dem Nachweis des Erhalts der Erwerbsfähigkeit im Rahmen einer Erprobung nach § 139e Absatz 4 und 12 des Fünften Buches Sozialgesetzbuch,
3. the compilation of the data set in the context of outcome measurement accompanying use under section 139e subsection (13) sentence 2 of Book V of the Social Code and the provision of evidence regarding the agreements under section 134 subsection (1) sentence 3 of Book V of the Social Code,
3. zu der Erstellung des Datensatzes im Rahmen der anwendungsbegleitenden Erfolgsmessung nach § 139e Absatz 13 Satz 2 des Fünften Buches Sozialgesetzbuch und zu der Nachweisführung der Vereinbarungen nach § 134 Absatz 1 Satz 3 des Fünften Buches Sozialgesetzbuch,
4. ensuring, on a lasting basis, the technical functionality, user-friendliness and further development of the digital health application.
4. zu der dauerhaften Gewährleistung der technischen Funktionsfähigkeit, der Nutzerfreundlichkeit und der Weiterentwicklung der digitalen Gesundheitsanwendung.
Consent to data processing under sentence 1 item 4 shall be obtained separately from consent to data processing for the purposes under sentence 1 items 1 to 3.
Die Einwilligung zu der Datenverarbeitung nach Satz 1 Nummer 4 ist getrennt von einer Einwilligung in die Datenverarbeitung für Zwecke nach Satz 1 Nummer 1 bis 3 einzuholen.
Powers to process data under other provisions shall remain unaffected.
Datenverarbeitungsbefugnisse nach anderen Vorschriften bleiben unberührt.
(3) The processing of personal data for the purposes under subsection (2) within the framework of a digital health application, by the digital health application itself and in the case of processing of personal data on behalf of a controller, may take place only in Germany, in a Member State of the European Union, in a state treated as equivalent thereto under section 35 subsection (7) of Book I of the Social Code or, where an adequacy decision pursuant to Article 45 of Regulation (EU) 2016/679 exists, in a third country.
(3) Die Verarbeitung von personenbezogenen Daten zu den Zwecken nach Absatz 2 darf im Rahmen einer digitalen Gesundheitsanwendung durch die digitale Gesundheitsanwendung selbst sowie bei einer Verarbeitung personenbezogener Daten im Auftrag nur im Inland, in einem Mitgliedstaat der Europäischen Union oder in einem diesem nach § 35 Absatz 7 des Ersten Buches Sozialgesetzbuch gleichgestellten Staat oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat erfolgen.
(4) Processing of personal data for purposes other than those specified in subsection (2) sentence 1, in particular for advertising purposes, is prohibited.
(4) Eine Verarbeitung von personenbezogenen Daten zu anderen als den in Absatz 2 Satz 1 genannten Zwecken, insbesondere zu Werbezwecken, ist ausgeschlossen.
The power to process data under other provisions in accordance with subsection (2) sentence 3 shall remain unaffected.
Die Befugnis zur Datenverarbeitung nach anderen Vorschriften nach Absatz 2 Satz 3 bleibt unberührt.
(5) The manufacturer of digital health applications shall bind all persons working for it who have access to personal data of the insured persons to confidentiality.
(5) Der Hersteller digitaler Gesundheitsanwendungen verpflichtet alle für ihn tätigen Personen, die Zugang zu personenbezogenen Daten der Versicherten haben, auf Verschwiegenheit.
(6) The details of the requirements under the preceding subsections are governed by Annex 1.
(6) Das Nähere zu den Anforderungen nach den vorstehenden Absätzen bestimmt sich nach Anlage 1.
The manufacturer shall enclose the declaration under Annex 1 with its application.
Der Hersteller fügt seinem Antrag die Erklärung nach Anlage 1 bei.
If the specifications of Annex 1 prove unsuitable with regard to the characteristics of the digital health application, the digital health application may, in individual cases, deviate from the specifications of Annex 1 if the statutory data protection rules and the data security requirements in accordance with the state of the art are implemented equally well by means of a different implementation.
Erweisen sich die Vorgaben der Anlage 1 im Hinblick auf die Eigenschaften der digitalen Gesundheitsanwendung als ungeeignet, kann die digitale Gesundheitsanwendung im Einzelfall von den Vorgaben der Anlage 1 abweichen, wenn die gesetzlichen Vorgaben des Datenschutzes und die Anforderungen an die Datensicherheit nach dem Stand der Technik durch eine abweichende Umsetzung gleichermaßen umgesetzt werden.
In its application, the manufacturer shall set out the deviation from the specifications of Annex 1 and state the reasons for it.
In seinem Antrag legt der Hersteller die Abweichung von den Vorgaben der Anlage 1 dar und begründet diese.
(7) From 1 January 2025, digital health applications shall, by way of derogation from the data security requirements under subsection (6), meet the data security requirements laid down by the Federal Office for Information Security (BSI) under section 139e subsection (10) of Book V of the Social Code.
(7) Ab dem 1. Januar 2025 müssen digitale Gesundheitsanwendungen abweichend von den Anforderungen an die Datensicherheit nach Absatz 6 die von dem Bundesamt für Sicherheit in der Informationstechnik nach § 139e Absatz 10 des Fünften Buches Sozialgesetzbuch festgelegten Anforderungen an die Datensicherheit erfüllen.
(8) From 1 August 2024, digital health applications shall, by way of derogation from the data protection requirements under subsection (6), implement the test criteria laid down by the Federal Institute for Drugs and Medical Devices (BfArM) under section 139e subsection (11) of Book V of the Social Code for the data protection requirements to be demonstrated by digital health applications.
(8) Ab dem 1. August 2024 müssen digitale Gesundheitsanwendungen, abweichend von den Anforderungen an den Datenschutz nach Absatz 6, die von dem Bundesinstitut für Arzneimittel und Medizinprodukte nach § 139e Absatz 11 des Fünften Buches Sozialgesetzbuch festgelegten Prüfkriterien für die von digitalen Gesundheitsanwendungen nachzuweisenden Anforderungen an den Datenschutz umsetzen.
Background: The DiGA fast-track · DiGA timeline and cost · Data security: GDPR and BSI. We explain what this provision means for your launch, price and timeline — fixed price, in writing.
Unofficial translation for information only. Only the German text is legally binding. German text: consolidated version from gesetze-im-internet.de, retrieved 29 October 2026. Where German statutes use “soll”, “shall” denotes an obligation that admits exceptions in atypical cases. Not legal advice.