Apps auf Rezept: Neue Prüfkriterien für besseren Datenschutz

Die Kriterien werden künftig Grundlage für neue Zertifikate sein, mit denen Hersteller von Gesundheits-Apps nachweisen, dass ihre Anwendungen datenschutzkonform sind. Sie umfassen sowohl die Anforderungen der europäischen Datenschutz-Grundverordnung als auch die erweiterten Anforderungen für digitale Anwendungen.

Zwei Jahre App auf Rezept

Seit rund zwei Jahren können in Deutschland digitale Gesundheitsanwendungen von Ärzten und Psychotherapeuten verschrieben und von den gesetzlichen Krankenkassen erstattet werden. Damit Patientinnen und Patienten solche Anwendungen sicher nutzen können, werden sie vom BfArM unter anderem auf Einhaltung der Datenschutzanforderungen geprüft.

Strengere Regelungen

Fallen Mängel auf, müssen Hersteller nachbessern. Mit der Ersten Verordnung zur Änderung der Digitale Gesundheitsanwendungen-Verordnung (1. DiGAVÄndV) und der Änderung des § 139e Fünftes Buch Sozialgesetzbuch (SGB V) hat der Gesetzgeber erweiterte Regelungen geschaffen, welche künftig eine noch intensivere Prüfung und die Vorlage eines Datenschutzzertifikats vorsehen.

Die Zertifizierung erfolgt künftig durch eine akkreditierte Stelle. Nach erfolgreicher Umsetzung, Prüfung und Auditierung wird das Zertifikat ausgestellt und dem BfArM vorgelegt, wenn DiGA-Hersteller die Aufnahmen ins DiGA-Verzeichnis beantragen.

Im Rahmen des europäischen Abstimmungsprozesses können sich noch Änderungen der Prüfkriterien ergeben.

Die Anforderungen werden perspektivisch auch im Bereich der digitalen Pflegeanwendungen (DiPA) Anwendung finden.

Das DiGA-Verzeichnis

Insgesamt wurden bisher rund 150 DiGA-Anträge zur Prüfung beim BfArM eingereicht. Davon wurden 33 DiGA nach erfolgreicher Prüfung ins DiGA-Verzeichnis aufgenommen, darunter beispielsweise solche, die bei Angststörungen, Tinnitus oder Schlafproblemen unterstützen.

Rund zehn Prozent der Anträge wurden vom BfArM negativ beschieden. Über die Hälfte der Anträge wurden hingegen von den Antragstellern selbst zurückgezogen, weil sich im Prüfungsverfahren zeigte, dass zum Beispiel wesentliche Datenschutzanforderungen nicht erfüllt werden und die Hersteller dies auch nicht im Zeitrahmen des Prüfverfahrens beheben konnten.