Änderung Anlage 1 DiGAV vom 09.06.2021

Anlage 1 DiGAV a.F. (alte Fassung)
in der vor dem 09.06.2021 geltenden Fassung

Anlage 1 DiGAV n.F. (neue Fassung)
in der am 09.06.2021 geltenden Fassung
durch Artikel 7 G. v. 03.06.2021 BGBl. I S. 1309

(Textabschnitt unverändert)

Anlage 1 Fragebogen gemäß § 4 Absatz 6

Im nachfolgend aufgeführten Fragenbogen ist durch den Hersteller die Erfüllung der Anforderungen nach § 4 zu erklären. Der Hersteller bestätigt die Erfüllung der Anforderungen durch Kennzeichnung in der Spalte 'zutreffend'. Die Vorschriften des Datenschutzes und die Anforderungen an die Datensicherheit - Basisanforderungen sind von allen digitalen Gesundheitsanwendungen zu erfüllen. Die Anforderungen Datensicherheit - Zusatzanforderungen bei digitalen Gesundheitsanwendungen mit sehr hohem Schutzbedarf sind von digitalen Gesundheitsanwendungen zu erfüllen, für die im Rahmen der geforderten Schutzbedarfsanalyse ein sehr hoher Schutzbedarf festgestellt wurde.


Nr. | Themenfeld | Anforderung | zutreffend | nicht
zutreffend | zulässige Begründung
für 'nicht zutreffend'

Datenschutz

1. | Datenschutz-
Grundverord-
nung als anzu-
wendendes
Recht | Die Verarbeitung personenbezogener Daten
durch die digitale Gesundheitsanwendung
und deren Hersteller unterfällt der Verordnung
(EU) 2016/679 sowie ggf. weiteren Daten-
schutzregelungen. | | |

2. | Einwilligung | Wird vor der Verarbeitung von personenbezo-
genen und -beziehbaren Daten eine freiwillige,
spezifische und informierte Einwilligung der
betroffenen Person zu den in § 4 Absatz 2
benannten Zwecken der Verarbeitung dieser
Daten eingeholt? | | | Es wird keine Ein-
willigung eingeholt,
da der Zweck der
Verarbeitung aus
einer rechtlichen
Verpflichtung des
Herstellers der digi-
talen Gesundheits-
anwendung resul-
tiert.

3. | Einwilligung | Erfolgt die Abgabe von Einwilligungen und
Erklärungen der betroffenen Person durch-
gängig ausdrücklich, d. h. durch eine aktive,
eindeutige Handlung der betroffenen Person? | | | Es wird keine Ein-
willigung eingeholt,
da der Zweck der
Verarbeitung aus
einer rechtlichen
Verpflichtung des
Herstellers der digi-
talen Gesundheits-
anwendung resul-
tiert.

4. | Einwilligung | Kann die betroffene Person erteilte Einwilli-
gungen einfach, barrierefrei, jederzeit und
auf einem einfach verständlichen Weg mit
Wirkung für die Zukunft widerrufen? | | | Es wird keine Ein-
willigung eingeholt,
da der Zweck der
Verarbeitung aus
einer rechtlichen
Verpflichtung des
Herstellers der digi-
talen Gesundheits-
anwendung resul-
tiert.

5. | Einwilligung | Wird die betroffene Person vor Abgabe der
Einwilligung auf das Recht und die Möglich-
keiten zum Widerruf der Einwilligung hinge-
wiesen? | | | Es wird keine Ein-
willigung eingeholt,
da der Zweck der
Verarbeitung aus
einer rechtlichen
Verpflichtung des
Herstellers der digi-
talen Gesundheits-
anwendung resul-
tiert.

6. | Einwilligung | Wurde die betroffene Person vor Abgabe einer
Einwilligung in klarer, verständlicher, nutzer-
freundlicher und der Zielgruppe angemessener
Form darüber informiert, welche Kategorien
von Daten zu welchen Zwecken durch die di-
gitale Gesundheitsanwendung bzw. den Her-
steller der digitalen Gesundheitsanwendung
verarbeitet werden? | | | Es wird keine Ein-
willigung eingeholt,
da der Zweck der
Verarbeitung aus
einer rechtlichen
Verpflichtung des
Herstellers der digi-
talen Gesundheits-
anwendung resul-
tiert.

7. | Einwilligung | Kann die betroffene Person die Texte der ab-
gegebenen Einwilligungen und Erklärungen
jederzeit aus der digitalen Gesundheitsanwen-
dung oder über eine aus der digitalen Gesund-
heitsanwendung referenzierten Quelle ab-
rufen? | | | Es wird keine Ein-
willigung eingeholt,
da der Zweck der
Verarbeitung aus
einer rechtlichen
Verpflichtung des
Herstellers der digi-
talen Gesundheits-
anwendung resul-
tiert.

8. | Zweckbindung | Erfolgt die Verarbeitung von personenbezoge-
nen Daten durch die digitale Gesundheits-
anwendung ausschließlich zu in § 4 Absatz 2
Satz 1 genannten Zwecken oder auf Grund-
lage sonstiger gesetzlicher Datenverarbei-
tungsbefugnisse nach § 4 Absatz 2 Satz 3? | | |

9. | Datenminimie-
rung und Ange-
messenheit | Sind die über die digitale Gesundheitsanwen-
dung verarbeiteten personenbezogenen Daten
dem Zweck angemessen sowie auf das für die
Zwecke der Verarbeitung notwendige Maß be-
schränkt? | | |

10. | Datenminimie-
rung und Ange-
messenheit | Hat der Hersteller der digitalen Gesundheits-
anwendung sichergestellt, dass die Zwecke
der Verarbeitung personenbezogener Daten
durch die digitale Gesundheitsanwendung
nicht in zumutbarer Weise durch andere,
datensparsamere Mittel in gleichem Maße
erreicht werden können? | | |

11. | Datenminimie-
rung und Ange-
messenheit | Werden gesundheitsbezogene Daten getrennt
von ausschließlich für die Leistungsabrech-
nung erforderlichen Daten gespeichert? | | |

12. | Datenminimie-
rung und Ange-
messenheit | Stellt der Hersteller der digitalen Gesundheits-
anwendung sicher, dass mit nicht-produktbe-
zogenen Aufgaben betraute Mitarbeiterinnen
und Mitarbeiter keinen Zugriff auf gesundheits-
bezogene Daten haben? | | |

13. | Datenminimie-
rung und Ange-
messenheit | Sofern die Nutzung der digitalen Gesundheits-
anwendung nicht auf ein privates IT-System
der nutzenden Person beschränkt ist:
- wurden entsprechende Einsatzszenarien in
der Datenschutzfolgenabschätzung explizit
berücksichtigt?
- wird der Versicherte ausdrücklich darauf
hingewiesen, dass die Nutzung der digitalen
Gesundheitsanwendung in einer potenziell
unsicheren Umgebung mit Sicherheitsrisi-
ken einhergeht, die durch den Hersteller
der digitalen Gesundheitsanwendung nicht
vollständig adressiert werden können? | | | Die Nutzung der
digitalen Gesund-
heitsanwendung ist
auf ein privates IT-
System der nutzen-
den Person be-
schränkt.

| | - wird bei Nutzung der digitalen Gesund-
heitsanwendung auf einem nicht nur von
dem Versicherten verwendeten IT-System
vollständig die - auch temporäre - Spei-
cherung von gesundheitsbezogenen Daten
auf diesem IT-System unterbunden?
- werden lokal auf dem genutzten IT-System
abgelegte Daten und angelegte Dateien
nach Beendigung der Nutzungs-Session
der digitalen Gesundheitsanwendung sicher
gelöscht - auch wenn die nutzende Person
die Nutzungs-Session nicht explizit beendet
hat (z. B. durch Herunterfahren des genutz-
ten IT-Systems)? | | |

14. | Integrität und
Vertraulichkeit | Sieht die digitale Gesundheitsanwendung an-
gemessene technische und organisatorische
Maßnahmen vor, um personenbezogene Da-
ten gegen unbeabsichtigte oder unzulässige
Zerstörung, Löschung, Verfälschung, Offen-
barung oder nicht legitimierte Verarbeitungs-
formen zu schützen? | | |

15. | Integrität und
Vertraulichkeit | Ist der durch die digitale Gesundheitsanwen-
dung gesteuerte Austausch von Daten zwi-
schen dem Endgerät der betroffenen Person
und externen Systemen durchgängig gemäß
dem Stand der Technik verschlüsselt? | | | Es werden keine
personenbezogenen
Daten zwischen
dem Endgerät der
betroffenen Person
und externen Syste-
men ausgetauscht.

16. | Richtigkeit | Sieht die digitale Gesundheitsanwendung
technische und organisatorische Maßnahmen
vor, die sicherstellen, dass die über die digitale
Gesundheitsanwendung verarbeiteten perso-
nenbezogenen Daten sachlich richtig und auf
dem neuesten Stand sind? | | |

17. | Richtigkeit | Trifft der Hersteller alle angemessenen Maß-
nahmen, damit personenbezogene Daten, die
im Hinblick auf die Zwecke ihrer Verarbeitung
unrichtig sind, unverzüglich gelöscht oder be-
richtigt werden? | | |

18. | Erforderlichkeit | Werden über die digitale Gesundheitsanwen-
dung erhobene personenbezogene Daten nur
so lange gespeichert, wie sie für die Erbrin-
gung der zugesagten Funktionalitäten der
digitalen Gesundheitsanwendung oder zu
anderen, unmittelbar aus rechtlichen Verpflich-
tungen resultierenden Zwecken zwingend er-
forderlich sind? | | |

19. | Erforderlichkeit | Werden personenbezogene Daten nach Er-
füllung der Zwecke nach § 4 Absatz 2 Satz 1
Nummer 1 bis 4 nicht weiter gespeichert? | | | Die Zwecke der
Speicherung und die
maximale Speicher-
dauer sind unter
Angabe der Gründe,
warum diese Zwe-
cke eine Legitima-
tion der weiteren
Speicherung perso-
nenbezogener Da-
ten darstellen, durch
den Hersteller ge-
sondert zu begrün-
den.

20. | Datenportabili-
tät | Stellt der Hersteller der digitalen Gesundheits-
anwendung Mechanismen bereit, über die die
betroffene Person aus der digitalen Gesund-
heitsanwendung heraus das Recht auf Daten-
portabilität wahrnehmen und die von ihr, der
betroffenen Person, der digitalen Gesund-
heitsanwendung bereitgestellten, sie betref-
fenden personenbezogenen Daten in einem
geeigneten Format abrufen bzw. in eine an-
dere digitale Gesundheitsanwendung überfüh-
ren kann? | | |

21. | Informations-
pflichten | Ist die Datenschutzerklärung der digitalen Ge-
sundheitsanwendung über die Anwendungs-
webseite einfach auffindbar, barrierefrei zu-
gänglich und frei einsehbar? | | |

22. | Informations-
pflichten | Enthält die Datenschutzerklärung der digitalen
Gesundheitsanwendung alle relevanten Infor-
mationen zum Hersteller und dessen Daten-
schutzbeauftragtem, zu dem Zweck der digi-
talen Gesundheitsanwendung, zu den dazu
verarbeiteten Datenkategorien, zum Umgang
des Herstellers mit diesen Daten, zum Recht
auf Widerruf gegebener Einwilligungen und
zu den Möglichkeiten zur Wahrnehmung
der Betroffenenrechte und setzt der Hersteller
der digitalen Gesundheitsanwendung dar-
über hinausgehende Informationspflichten
nach den Artikeln 13 und 14 der Verordnung
(EU) 2016/679 angemessen um? | | |

23. | Informations-
pflichten | Ist die Datenschutzerklärung der digitalen Ge-
sundheitsanwendung auch nach der Installa-
tion der digitalen Gesundheitsanwendung aus
der digitalen Gesundheitsanwendung heraus
bzw. in der digitalen Gesundheitsanwendung
einfach auffindbar? | | |

24. | Informations-
pflichten | Kann die betroffene Person vom Hersteller der
digitalen Gesundheitsanwendung Auskunft zu
den über sie gespeicherten personenbezoge-
nen Daten in dem in Artikel 15 der Verordnung
(EU) 2016/679 festgelegten Umfang erhalten? | | |

25. | Informations-
pflichten | Ist in der Datenschutzerklärung der digitalen
Gesundheitsanwendung ein nachvollziehbares
Löschkonzept enthalten, das das Vorgehen
bei Widerruf der Einwilligung und Deinstalla-
tion der digitalen Gesundheitsanwendung
sowie den Umgang mit Ansprüchen auf Lö-
schung von Daten sowie auf Einschränkung
ihrer Verarbeitung regelt und den Anforde-
rungen nach den Artikeln 17 bis 19 der Verord-
nung (EU) 2016/679 entspricht? | | |

26. | Informations-
pflichten | Kann die betroffene Person vom Hersteller der
digitalen Gesundheitsanwendung die Berichti-
gung von sie betreffenden unrichtigen perso-
nenbezogenen Daten und die Vervollständi-
gung von sie betreffenden unvollständigen
personenbezogenen Daten verlangen? | | |

27. | Informations-
pflichten | Wird die betroffene Person vor der Löschung
des Benutzerkontos auf damit möglicherweise
verlorengehende Daten und auf das Recht auf
Datenübertragung gemäß Artikel 20 der Ver-
ordnung (EU) 2016/679 hingewiesen? | | |

28. | Datenschutz-
Management | Hat der Hersteller der digitalen Gesundheits-
anwendung ein Verfahren zur regelmäßigen
Überprüfung, Bewertung und Evaluierung der
Wirksamkeit der technischen und organisato-
rischen Maßnahmen zur Gewährleistung der
Sicherheit der Verarbeitung umgesetzt, mit
dem alle im Zusammenhang mit der digitalen
Gesundheitsanwendung eingesetzten Systeme
und Prozesse erfasst sind? | | |

29. | Datenschutz-
Management | Hat der Hersteller der digitalen Gesundheits-
anwendung alle Personen, die aus ihrer Tätig-
keit heraus Zugang zu personenbezogenen
Daten haben, auf die Verschwiegenheit ver-
pflichtet? | | |

30. | Datenschutz-
Folgenab-
schätzung und
Risiko-
management | Hat der Hersteller der digitalen Gesundheits-
anwendung für die digitale Gesundheitsan-
wendung eine Datenschutz-Folgenabschät-
zung durchgeführt und die hierbei durchge-
führte Risikoanalyse in die dokumentierten
Prozesse eines Risikomanagements überführt,
nachdem eine kontinuierliche Neubewertung
von Bedrohungen und Risiken erfolgt? | | |

31. | Datenschutz-
Folgenab-
schätzung und
Risikomanage-
ment | Stellt der Hersteller der digitalen Gesundheits-
anwendung sicher, dass die Meldung von Ver-
letzungen des Schutzes personenbezogener
Daten innerhalb von 72 Stunden nachdem
ihm die Verletzung bekannt wurde, an die Auf-
sichtsbehörde erfolgt? | | |

32. | Datenschutz-
Folgenab-
schätzung und
Risiko-
management | Setzt der Hersteller der digitalen Gesundheits-
anwendung die Vorgaben nach Artikel 34 der
Verordnung (EU) 2016/679 zur Information Be-
troffener bei Datenschutzvorfällen um? | | |

33. | Nachweispflicht | Hat der Hersteller die für das Unternehmen
geltenden Datenschutzleitlinien dokumentiert
und seine Mitarbeiter in deren Umsetzung ge-
schult? | | |

34. | Nachweispflicht | Realisiert der Hersteller der digitalen Gesund-
heitsanwendung Maßnahmen, die gewähr-
leisten, dass nachträglich überprüft und
festgestellt werden kann, ob und von wem per-
sonenbezogene Daten eingegeben, verändert
oder entfernt worden sind? | | |

35. | Nachweispflicht | Kann der Hersteller der digitalen Gesundheits-
anwendung jederzeit nachweisen, dass zu
einer durchgeführten Verarbeitung personen-
bezogener Daten die erforderliche Einwilligung
der betroffenen Person vorlag, soweit die Da-
tenverarbeitung nicht auf anderer rechtlicher
Grundlage erfolgt? | | |

36. | Verarbeitung
im Auftrag | Werden über die digitale Gesundheitsanwen-
dung oder den Hersteller der digitalen Gesund-
heitsanwendung personenbezogene Daten gar
nicht an Auftragsverarbeiter oder ausschließ-
lich an Auftragsverarbeiter weitergegeben, die
über eine ausreichende Vertrauenswürdigkeit
und Haftbarkeit verfügen, angemessene Me-
chanismen zum Schutz übernommener Daten
realisieren und mit dem Hersteller in einem ver-
pflichtenden vertraglichen Verhältnis stehen,
das eine Abschwächung der dem Versicherten
gegenüber gemachten Zusagen ausschließt? | | |

37. | Datenweiter-
gabe an Dritte | Werden über die digitale Gesundheitsanwen-
dung oder den Hersteller der digitalen Ge-
sundheitsanwendung keine personenbezoge-
nen Daten an Dritte weitergegeben, sofern
dies nicht unmittelbar für die Erfüllung von
Zwecken nach § 4 Absatz 2 Satz 1 Nummer 1
oder die Erfüllung gesetzlicher Vorschriften er-
forderlich und auf diese Zwecke beschränkt ist? | | |

38. | Verarbeitung im
Ausland | Erfolgt die Verarbeitung von Gesundheitsdaten
sowie personenidentifizierbaren Bestands- und
Verkehrsdaten ausschließlich im Inland, in
einem anderen Mitgliedstaat der Europäischen
Union, in einem diesem nach § 35 Absatz 7
des Ersten Buches Sozialgesetzbuch gleichge-
stellten Staat, oder auf Grundlage eines Ange-
messenheitsbeschlusses gemäß Artikel 45 der
Verordnung (EU) 2016/679? | | |

39. | Weitere
Gewährleis-
tungsziele | Ist die Verkettung von personenbezogenen
Daten über zwei oder mehr digitale Gesund-
heitsanwendungen hinweg technisch ausge-
schlossen oder muss die betroffene Person
für eine Verkettung von Daten über zwei oder
mehr digitale Gesundheitsanwendungen hin-
weg eine explizite, gesondert eingeholte, infor-
mierte Einwilligung abgeben? | | | Die digitale Gesund-
heitsanwendung
bietet keine tech-
nische Möglichkeit
einer Verknüpfung
oder eines Daten-
austauschs mit an-
deren digitalen Ge-
sundheitsanwendun-
gen.

40. | Weitere
Gewährleis-
tungsziele | Ist sichergestellt, dass eine Offenbarung von
Informationen der betroffenen Person oder
über die betroffene Person für die Öffentlich-
keit oder eine für die betroffene Person nicht
eingrenzbare Personengruppe gar nicht oder
immer nur infolge einer expliziten, aktiven
Handlung der betroffenen Person erfolgt, der
eine zielgruppengerechte Information über die
Art der offenbarten Informationen und den
möglichen Kreis der Empfänger zugrunde
liegt? | | | Die digitale Gesund-
heitsanwendung
unterstützt keine
Offenbarung von
Informationen der
betroffenen Person
oder über die be-
troffene Person für
die Öffentlichkeit
oder eine für die be-
troffene Person nicht
eingrenzbare Perso-
nengruppe.

Datensicherheit

Basisanforderungen, die für alle digitalen Gesundheitsanwendungen gelten | |

1. | Informations-
sicherheits-
und Service-
Management | Hat der Hersteller der digitalen Gesundheitsan-
wendung ein Informationssicherheitsmanage-
mentsystem (ISMS) gemäß ISO 27000-Reihe
oder BSI-Standard 200-2 oder ein vergleichba-
res System umgesetzt und kann auf Verlangen
des Bundesinstituts für Arzneimittel und Medi-
zinprodukte ein entsprechendes anerkanntes
Zertifikat oder einen vergleichbaren Nachweis
vorlegen? | | | Das Antragsdatum
liegt vor dem 1. Ja-
nuar 2022.

2. | Informations-
sicherheits-
und Service-
Management | Hat der Hersteller der digitalen Gesundheits-
anwendung eine strukturierte Schutzbedarfs-
analyse unter Betrachtung der Schadens-
szenarien 'Verstoß gegen Gesetze/Vorschrif-
ten/Verträge', 'Beeinträchtigung des informa-
tionellen Selbstbestimmungsrechts', 'Beein-
trächtigung der persönlichen Unversehrtheit',
'Beeinträchtigung der Aufgabenerfüllung' und
'negative Innen- oder Außenwirkung' durchge-
führt und dokumentiert, in deren Ergebnis für
die digitale Gesundheitsanwendung ein nor-
maler, hoher oder sehr hoher Schutzbedarf ge-
mäß der Definition des BSI-Standards 200-2
festgestellt wurde, und kann er die Dokumen-
tation der Schutzbedarfsanalyse auf Verlangen
des Bundesinstituts für Arzneimittel und Medi-
zinprodukte vorlegen? | | |

3. | Informations-
sicherheits-
und Service-
Management | Hat der Hersteller der digitalen Gesundheitsan-
wendung Prozesse eines Release-, Change-
und Configuration-Managements unter Be-
rücksichtigung der Vorgaben der Verordnung
(EU) 2017/745 umgesetzt und dokumentiert,
die sicherstellen, dass Erweiterungen und An-
passungen der digitalen Gesundheitsanwen-
dung, die selbst oder im Auftrag entwickelt
wurden, ausreichend getestet und explizit frei-
gegeben wurden, bevor sie produktiv gestellt
werden? | | |

4. | Verhinderung
von Daten-
abfluss | Hat der Hersteller der digitalen Gesundheits-
anwendung sichergestellt, dass die Kommuni-
kation der digitalen Gesundheitsanwendung
mit anderen Diensten technisch soweit einge-
schränkt ist, dass aus der digitalen Gesund-
heitsanwendung heraus keine ungewollte
Datenkommunikation erfolgen kann, über die
personenbezogene Daten versendet werden? | | |

5. | Verhinderung
von Daten-
abfluss | Wird bei jeder über offene Netze stattfindenden
Datenkommunikation zwischen verschiedenen
Systembestandteilen der digitalen Gesund-
heitsanwendung zumindest eine Transportver-
schlüsselung gemäß des Mindeststandards
des BSI zur Verwendung von Transport Layer
Security (TLS) nach § 8 Absatz 1 Satz 1 des
BSI-Gesetzes eingesetzt? | | | Die digitale Ge-
sundheitsanwen-
dung löst keine über
offene Netze statt-
findende Datenkom-
munikation aus.

6. | Verhinderung
von Datenab-
fluss | Prüft die digitale Gesundheitsanwendung bei
jedem Zugriff auf über das Internet aufrufbare
Funktionalitäten der digitalen Gesundheitsan-
wendung die Authentizität der aufgerufenen
Dienste, bevor personenbezogene Daten mit
diesen Diensten ausgetauscht werden? | | | Die digitale Ge-
sundheitsanwen-
dung umfasst keine
über das Internet
aufrufbare Funktio-
nalität.

7. | Verhinderung
von Datenab-
fluss | Hat der Hersteller der digitalen Gesundheits-
anwendung sichergestellt, dass die digitale
Gesundheitsanwendung keine ungewollten
Log- oder Hilfsdateien schreibt? | | |

8. | Verhinderung
von Daten-
abfluss | Hat der Hersteller der digitalen Gesundheits-
anwendung sichergestellt, dass die digitale
Gesundheitsanwendung keine Fehlermeldun-
gen ausgibt, die möglicherweise vertrauliche
Informationen offenbaren? | | |

9. | Authentisierung | Müssen sich alle die digitale Gesundheitsan-
wendung nutzenden Personen über eine dem
Schutzbedarf der durch die digitale Gesund-
heitsanwendung verarbeiteten Daten ange-
messene Methode authentisieren, bevor Zu-
griffe auf über die digitale Gesundheitsanwen-
dung zugängliche Daten erfolgen können? | | |

10. | Authentisierung | Ist durch geeignete technische Maßnahmen
sichergestellt, dass zur Authentisierung einer
die digitale Gesundheitsanwendung nutzen-
den Person verwendete Daten niemals über
ungesicherte Transportverbindungen ausge-
tauscht werden? | | |

11. | Authentisierung | Verwendet bzw. beinhaltet die digitale Ge-
sundheitsanwendung eine zentrale Authen-
tisierungskomponente, die mit etablierten
Standardkomponenten umgesetzt wurde, die
alleinig für die initiale Authentisierung zulässig
ist und deren Vertrauenswürdigkeit durch
Dienste der digitalen Gesundheitsanwendung
verifizierbar ist? | | |

12. | Authentisierung | Erzwingt die digitale Gesundheitsanwendung,
dass eine die digitale Gesundheitsanwendung
nutzende Person die für ihre Authentisierung
genutzten Daten nur ändern kann, wenn hier-
bei für die Prüfung der Authentizität dieser
Person ausreichende Informationen beigege-
ben werden? | | |

13. | Authentisierung | Sofern die Authentisierung unter Nutzung
eines Passworts erfolgt:
- Zwingt die digitale Gesundheitsanwendung
alle die digitale Gesundheitsanwendung
nutzenden Personen, sichere Passwörter
gemäß einer Passwort-Richtlinie zu benut-
zen, die u. a. eine Mindestlänge für Pass-
wörter vorgibt und Grenzwerte für fehlge-
schlagene Anmeldeversuche definiert?
- Ist sichergestellt, dass Passwörter niemals
im Klartext übertragen oder gespeichert
werden?
- Wird das Ändern oder Zurücksetzen von
Passwörtern protokolliert und wird die be-
troffene Person - sofern geeignete Kontakt-
daten vorliegen - sofort über das Zurück-
setzen oder Ändern des Passworts infor-
miert? | | | Die Authentisie-
rung erfolgt nicht
unter Nutzung eines
Passworts

14. | Authentisierung | Sofern die digitale Gesundheitsanwendung
Authentisierungsdaten auf einem Endgerät
oder in einer darauf befindlichen Software-
komponente speichert: Wird die explizite Zu-
stimmung der die digitale Gesundheitsanwen-
dung nutzenden Person abgefragt ('Opt-In')
und wird diese auf die Risiken der Funktion
hingewiesen? | | | Die digitale Ge-
sundheitsanwen-
dung speichert
keine Authentisie-
rungsdaten auf ei-
nem Endgerät oder
in einer darauf be-
findlichen Software-
komponente

15. | Authentisierung | Sofern Informationen zur Identität oder
Authentizität der die digitale Gesundheitsan-
wendung nutzenden Person oder zur Authen-
tizität von Komponenten der digitalen Gesund-
heitsanwendung über dedizierte Sitzungen
('Sessions') zwischen Komponenten der digi-
talen Gesundheitsanwendung geteilt werden: | | | Die digitale Ge-
sundheitsanwen-
dung nutzt keine
Sessions

| | - Werden alle Sitzungsdaten sowohl beim
Austausch als auch bei der Speicherung
mit dem Schutzbedarf der digitalen Ge-
sundheitsanwendung angemessenen tech-
nischen Maßnahmen geschützt und werden
ggf. genutzte Session-IDs zufällig, mit aus-
reichender Entropie und über etablierte Ver-
fahren erzeugt?
- Werden alle in einer Instanz einer digitalen
Gesundheitsanwendung aufgebauten Sit-
zungen mit dem Abbruch oder der Beendi-
gung der Nutzung der digitalen Gesund-
heitsanwendung invalidiert und kann die
die digitale Gesundheitsanwendung nut-
zende Person auch die explizite Invalidie-
rung einer Sitzung erzwingen?
- Besitzen Sitzungen eine maximale Gültig-
keitsdauer und werden inaktive Sitzungen
automatisch nach einer bestimmten Zeit
invalidiert?
- Resultiert die Invalidierung einer Sitzung im
Löschen aller Sitzungsdaten und ist sicher-
gestellt, dass eine einmal ungültig gewor-
dene Sitzung auch bei Kenntnis einzelner
Sitzungsdaten nicht wieder aktiviert werden
kann? | | |

16. | Zugriffskontrolle | Stellt die digitale Gesundheitsanwendung si-
cher, dass jeder Zugriff auf geschützte Daten
und Funktionen eine Berechtigungsprüfung
durchläuft ('complete mediation'), für die bei
Zugriffen durch Betriebspersonal des Herstel-
lers einer digitalen Gesundheitsanwendung
eine dedizierte, alle geschützten Daten ein-
schließende Autorisierungskomponente zum
Einsatz kommt ('reference monitor' bzw.
'secure node/application'), die eine vorherige
sichere Authentisierung der zugreifenden
Person erfordert? | | |

17. | Zugriffskontrolle | Werden alle Berechtigungen initial und per
default restriktiv zugewiesen und können Be-
rechtigungen ausschließlich über kontrollierte
Verfahren ausgeweitet werden, die bei Ände-
rungen der Berechtigungen für Betriebsperso-
nal des Herstellers einer digitalen Gesund-
heitsanwendung wirksame Prüf- und Kontroll-
mechanismen nach einem Mehraugenprinzip
beinhalten? | | |

18. | Zugriffskontrolle | Sofern die digitale Gesundheitsanwendung
verschiedene Nutzerrollen vorsieht: Kann jede
Rolle nur mit den für die Ausführung der mit
der Rolle verbundenen Funktionalitäten erfor-
derlichen Rechten auf Funktionen der digitalen
Gesundheitsanwendung zugreifen? | | | Die digitale Ge-
sundheitsanwen-
dung sieht keine
unterschiedlichen
Nutzerrollen vor.

19. | Zugriffskontrolle | Stellt der Hersteller der digitalen Gesund-
heitsanwendung sicher, dass Zugriffe auf
Funktionen und Daten der digitalen Gesund-
heitsanwendung durch Betriebspersonal des
Herstellers nur über sichere Netze und Zu-
gangspunkte möglich sind? | | |

20. | Zugriffskontrolle | Resultieren alle Fehler und Fehlfunktionen der
Zugriffskontrolle in einer Ablehnung von Zu-
griffen? | | |

21. | Einbinden von
Daten und
Funktionen | Kann sich der Versicherte ausschließlich inner-
halb der Vertrauensdomäne der digitalen Ge-
sundheitsanwendung bewegen bzw. können
aus der digitalen Gesundheitsanwendung
heraus nur vertrauenswürdige, durch den Her-
steller der digitalen Gesundheitsanwendung
geprüfte externe Inhalte genutzt werden und
wird der Versicherte in diesem Fall informiert,
wenn die Vertrauensdomäne der digitalen Ge-
sundheitsanwendung verlassen wird? | | |

22. | Einbinden von
Daten und
Funktionen | Sofern die digitale Gesundheitsanwendung
der nutzenden Person den Upload von Dateien
erlaubt: Ist diese Funktion so weit wie mög-
lich eingeschränkt (z. B. Ausschließen aktiver
Inhalte), findet eine Sicherheitsprüfung der In-
halte statt und ist sichergestellt, dass Dateien
nur im vorgegebenen Pfad gespeichert werden
können? | | | Die digitale Gesund-
heitsanwendung er-
laubt keinen Upload
von Dateien.

23. | Protokollierung | Führt die digitale Gesundheitsanwendung eine
vollständige, nachvollziehbare, verfälschungs-
sichere Protokollierung aller sicherheitsrele-
vanten - d. h. die sichere Identifizierung, Au-
thentisierung und Autorisierung von Personen
und Organisationen betreffenden - Ereignisse
durch? | | |

24. | Protokollierung | Werden Protokollierungsdaten automatisiert
ausgewertet, um sicherheitsrelevante Ereig-
nisse zu erkennen bzw. proaktiv zu verhin-
dern? | | |

25. | Protokollierung | Ist der Zugriff auf Protokollierungsdaten durch
ein geeignetes Berechtigungsmanagement
abgesichert und auf wenige befugte Personen
und definierte Zwecke eingeschränkt? | | |

26. | Regelmäßige
und sichere
Aktualisierung | Informiert der Hersteller die betroffene Person
(z. B. über Push-Mechanismen oder vor dem
Start der digitalen Gesundheitsanwendung),
wenn ein sicherheitsrelevantes Update der
digitalen Gesundheitsanwendung zur Installa-
tion bereitgestellt oder durchgeführt wurde? | | |

27. | Sichere Dein-
stallation | Werden bei Deinstallation der digitalen Ge-
sundheitsanwendung alle auf IT-Systemen
in der Verfügung der betroffenen Person ge-
speicherten, durch die digitale Gesundheits-
anwendung angelegten Daten und Dateien
- einschließlich Caches und temporärer Da-
teien - gelöscht? | | | Bei der digitalen
Gesundheitsan-
wendung handelt
es sich um eine
rein webbasierte
Anwendung.

28. | Härtung | Sofern Dienste der digitalen Gesundheitsan-
wendung über Web-Protokolle aufrufbar sind:
- Sind nicht benötigte Methoden der genutz-
ten Protokolle bei allen über offene Netze
aufrufbaren Diensten deaktiviert?
- Sind die zulässigen Zeichenkodierungen so
restriktiv wie möglich eingeschränkt? | | | Die digitale Ge-
sundheitsanwen-
dung umfasst keine
über Web-Protokolle
aufrufbaren
Dienste.

| | - Sind für alle über offene Netze aufrufbaren
Dienste Grenzwerte für Zugriffsversuche
festgelegt?
- Ist sichergestellt, dass keine sicherheitsre-
levanten Kommentare oder Produkt- und
Versionsangaben preisgegeben werden?
- Werden nicht benötigte Dateien regelmäßig
gelöscht?
- Ist sichergestellt, dass diese Dienste durch
Suchmaschinen nicht erfasst werden?
- Wird auf absolute lokale Pfadangaben ver-
zichtet?
- Wird ein Abruf von Quelltexten ausge-
schlossen? | | |

29. | Härtung | Sofern die digitale Gesundheitsanwendung
Daten verarbeitet, die durch die nutzende
Person oder durch nicht durch die digitale
Gesundheitsanwendung kontrollierte Quellen
bereitgestellt werden:
- Werden diese Daten als potenziell gefährlich
behandelt und entsprechend validiert
und gefiltert?
- Erfolgt die Prüfung dieser Daten auf einem
vertrauenswürdigen IT-System?
- Werden Fehleingaben möglichst nicht automatisch
behandelt bzw. werden entsprechende
Funktionalitäten sicher umgesetzt,
damit ein Missbrauch ausgeschlossen ist?
- Werden diese Daten in einer Form kodiert,
die sicherstellt, dass ein schadhafter Code
nicht interpretiert oder ausgeführt wird?
Erfolgt eine Trennung dieser Daten von konkreten
Anfragen an datenhaltende Systeme
(z. B. über Stored Procedures) bzw. werden
Datenanfragen explizit gegen aus solchen Daten
begünstigte Angriffsvektoren gesichert? | | | Die digitale Ge-
sundheitsanwen-
dung verarbeitet
keine Daten, die
durch die nutzende
Person oder durch
nicht durch die digi-
tale Gesundheitsan-
wendung kontrol-
lierte Quellen bereit-
gestellt werden.

30. | Härtung | Ist durchgängig sichergestellt, dass Fehlerfälle
in der digitalen Gesundheitsanwendung be-
handelt werden und zum Abbruch und ggf.
Zurückrollen der angestoßenen Funktionen
führen? | | |

31. | Härtung | Ist die digitale Gesundheitsanwendung durch
geeignete Schutzmechanismen vor automati-
sierten Zugriffen geschützt, sofern diese nicht
gewollte Nutzungsmöglichkeiten der digitalen
Gesundheitsanwendung realisieren? | | |

32. | Härtung | Werden für den sicheren Betrieb der digitalen
Gesundheitsanwendung relevante Konfigura-
tionsdateien durch geeignete technische
Maßnahmen vor Verlust und Verfälschung ge-
schützt? | | | Die digitale Ge-
sundheitsanwen-
dung nutzt keine
Konfigurationsda-
teien bzw. diese
sind für den siche-
ren Betrieb der digi-
talen Gesundheits-
anwendung nicht
relevant.

(Text neue Fassung)

32a. | Penetrations-
tests | Hat der Hersteller der digitalen Gesundheits-
anwendung für die im Verzeichnis nach
§ 139e Absatz 1 des Fünften Buches Sozial-
gesetzbuch aufzunehmende Version der digi-
talen Gesundheitsanwendung - einschließ-
lich aller Backend-Komponenten - einen
Penetrationstest durchgeführt, der dem vom
Bundesamt für Sicherheit in der Informa-
tionstechnik empfohlenen Durchführungs-
konzept für Penetrationstests folgt, und -
soweit die Anwendbarkeit gegeben ist - auch
die jeweils aktuellen OWASP Top-10 Sicher-
heitsrisiken berücksichtigt, und kann er auf
Nachfrage entsprechende Nachweise für die
Durchführung der Penetrationstests und die
Behebung der dabei gefundenen Schwach-
stellen vorlegen? | | |

(Textabschnitt unverändert)

33. | Nutzung
von Sensoren
und externen
Geräten | Sofern die digitale Gesundheitsanwendung di-
rekt auf Sensoren eines mobilen Endgeräts
und/oder externe Hardware (z. B. körpernahe
Sensorik) zugreift:
- Hat der Hersteller der digitalen Gesund-
heitsanwendung festgelegt, unter welchen
Rahmenbedingungen Sensoren oder ange-
bundene Geräte installiert, aktiviert, konfi-
guriert und verwendet werden können und
wird das Bestehen dieser Rahmenbedin-
gungen vor der Ausführung entsprechender
Funktionalitäten soweit als möglich sicher-
gestellt?
- Stellt die digitale Gesundheitsanwendung
sicher, dass Sensoren und angebundene
Geräte bei der Installation bzw. erstmaligen
Aktivierung für die digitale Gesundheitsan-
wendung in eine Grundeinstellung versetzt
werden, die einer dokumentierten Sicher-
heitsrichtlinie entspricht?
- Kann der Versicherte von der digitalen Ge-
sundheitsanwendung direkt angesteuerte
Sensoren und Geräte in eine Grundeinstel-
lung zurücksetzen, die einer dokumentier-
ten Sicherheitsrichtlinie entspricht?
Ist ein Datenaustausch zwischen der digitalen
Gesundheitsanwendung und direkt angesteu-
erten Sensoren oder Geräten erst dann mög-
lich, wenn die Installation und Konfiguration
der Sensoren bzw. Geräte vollständig abge-
schlossen ist? | | | Die digitale Ge-
sundheitsanwen-
dung greift weder
auf Sensoren eines
mobilen Endgeräts
noch auf externe
Hardware zu.

34. | Nutzung
von Sensoren
und externen
Geräten | Sofern die digitale Gesundheitsanwendung
Daten mit externer Hardware (z. B. körpernahe
Sensorik) austauscht:
- Sind die Abläufe zur Installation, Konfigura-
tion, Aktivierung und Deaktivierung dieser
Hardware zielgruppengerecht beschrieben
und soweit als möglich gegen Fehlbedie-
nungen gesichert?
- Erfolgt eine wechselseitige Authentisierung
zwischen der digitalen Gesundheitsanwen-
dung und externer Hardware?
- Werden Daten zwischen der digitalen Ge-
sundheitsanwendung und externer Hard-
ware nach einem initialen Handshake nur
noch verschlüsselt ausgetauscht?
- Ist sichergestellt, dass bei einer Deinstalla-
tion der digitalen Gesundheitsanwendung
oder bei einer Beendigung von deren Nut-
zung alle auf externer Hardware gespei-
cherten Daten gelöscht werden?
- Hat der Hersteller der digitalen Gesund-
heitsanwendung dokumentiert, wie eine an-
gebundene Hardware sicher deaktiviert
werden kann, so dass keine Daten verloren
gehen und keine sensiblen Daten auf dem
Gerät verbleiben? | | | Die digitale Ge-
sundheitsanwen-
dung tauscht keine
Daten mit externer
Hardware aus.

35. | Nutzung von
Fremdsoftware | Führt der Hersteller eine vollständige Aufstel-
lung aller in der digitalen Gesundheitsanwen-
dung verwendeten Bibliotheken und anderen
Software-Produkte, die nicht durch den Her-
steller der digitalen Gesundheitsanwendung
selbst entwickelt wurden? | | |

36. | Nutzung von
Fremdsoftware | Stellt der Hersteller durch geeignete Verfahren
der Marktbeobachtung sicher, dass von die-
sen Bibliotheken bzw. Produkten ausgehende,
bislang nicht bekannte Risiken für den Daten-
schutz, die Datensicherheit oder die Patien-
tensicherheit zeitnah erkannt werden? | | |

37. | Nutzung von
Fremdsoftware | Hat der Hersteller Verfahren etabliert, um im
Fall solcher erkannten Risiken geeignete Maß-
nahmen wie z. B. eine Sperrung der App und
Benachrichtigungen der Nutzer unmittelbar
umsetzen zu können? | | |

Zusatzanforderungen bei digitalen Gesundheitsanwendungen mit sehr hohem Schutzbedarf

1. | Verschlüsselung
gespeicherter
Daten | Werden auf nicht in der persönlichen Verfügung
der nutzenden Person stehenden IT-Systemen
verarbeitete personenbezogene Daten auf die-
sen Systemen nur verschlüsselt gespeichert? | | |

(Text alte Fassung)

2. | Penetrations-
tests | Hat der Hersteller der digitalen Gesundheitsan-
wendung für die im Verzeichnis nach § 139e
Absatz 1 des Fünften Buches Sozialgesetzbuch
aufzunehmende Version der digitalen Gesund-
heitsanwendung - einschließlich aller Backend-
Komponenten - einen Penetrationstest durch-
geführt, der gängige Angriffsvektoren wie z. B.
Clickjacking oder Cross-Site Request Forgery
berücksichtigt? | | |

3. | Penetrations-
tests | Hat der Hersteller der digitalen Gesundheits-
anwendung die Ergebnisse durchgeführter
Penetrationstests sowie die Ergebnisse der
Abarbeitung der Maßnahmen bzw. Empfeh-
lungen dokumentiert und ggf. in geeignete
Managementsysteme überführt? | | |

(Text neue Fassung)

2. und 3. | (aufgehoben)

(Textabschnitt unverändert)

4. | Authentisierung | Wird zumindest für die initiale Authentisierung
aller die digitale Gesundheitsanwendung nut-
zenden Personen eine Zwei-Faktor-Authenti-
sierung erzwungen? | | |

5. | Authentisierung | Sofern die digitale Gesundheitsanwendung
eine Rückfalloption auf eine Ein-Faktor-Au-
thentisierung erlaubt:
- Wird die die digitale Gesundheitsanwen-
dung nutzende Person auf die damit ver-
bundenen Risiken hingewiesen und wird
ein solcher Rückfall erst nach einer, über
eine aktive Handlung bestätigten, Zustim-
mung der nutzenden Person aktiviert?
- Kann die die digitale Gesundheitsanwen-
dung nutzende Person diese Rückfall-Op-
tion jederzeit aus der digitalen Gesundheits-
anwendung heraus wieder deaktivieren? | | | Die digitale Ge-
sundheitsanwen-
dung erlaubt keine
Rückfalloption auf
eine Ein-Faktor-Au-
thentisierung.

6. | Authentisierung | Kann die digitale Gesundheitsanwendung bis
spätestens zum 31. Dezember 2020 eine
Authentisierung von GKV-Versicherten als die
die digitale Gesundheitsanwendung nutzende
Personen über eine elektronische Gesund-
heitskarte mit kontaktloser Schnittstelle unter-
stützen? | | |

7. | Authentisierung | Sofern die digitale Gesundheitsanwendung
eine Nutzerrolle für Leistungserbringer vor-
sieht:
Kann die digitale Gesundheitsanwendung bis
spätestens zum 31. Dezember 2020 eine Au-
thentisierung von Leistungserbringern als die
die digitale Gesundheitsanwendung nutzende
Personen über einen elektronischen Heilbe-
rufsausweis mit kontaktloser Schnittstelle un-
terstützen? | | | Die digitale Gesund-
heitsanwendung
sieht keine Nutzung
durch Leistungser-
bringer vor.

8. | Maßnahmen
gegen DoS
und DDoS | Werden an über offene Netze zugängliche
Dienste der digitalen Gesundheitsanwendung
gesandte Nachrichten (XML, JSON, etc.) und
Daten gegen definierte Schemata geprüft? | | | Die digitale Ge-
sundheitsanwen-
dung tauscht keine
Daten mit bzw. zwi-
schen über offene
Netze zugänglichen
Diensten aus.

9. | Eingebettete
Webserver | Sofern zu der digitalen Gesundheitsanwendung
gehörende Komponenten Webserver - z. B. zur
Administration oder Konfiguration - nutzen:
- Ist der Webserver möglichst restriktiv kon-
figuriert?
- Sind nur die benötigten Komponenten und
Funktionen des Webservers installiert bzw.
aktiviert?
- Wird der Webserver soweit möglich nicht
unter einem privilegierten Konto betrieben?
- Werden sicherheitsrelevante Ereignisse
protokolliert?
- Ist der Zugang nur nach Authentisierung
möglich?
- Ist jegliche Kommunikation mit dem Web-
server verschlüsselt? | | | Die digitale Ge-
sundheitsanwen-
dung nutzt keinen
Webserver.