Abschnitt 2 - Digitale Pflegeanwendungen-Verordnung (DiPAV)

V. v. 29.09.2022 BGBl. I S. 1568 (Nr. 35); zuletzt geändert durch Artikel 4a G. v. 22.03.2024 BGBl. 2024 I Nr. 101
Geltung ab 07.10.2022; FNA: 860-11-14 Sozialgesetzbuch

Abschnitt 2 Anforderungen an Sicherheit, Funktionstauglichkeit, Qualität sowie Datenschutz und -sicherheit digitaler Pflegeanwendungen

§ 3 Anforderungen an Sicherheit und Funktionstauglichkeit digitaler Pflegeanwendungen als Nicht-Medizinprodukte

(1) Digitale Pflegeanwendungen, die keine Medizinprodukte im Sinne der geltenden medizinprodukterechtlichen Vorschriften sind, sind so zu gestalten, dass sie die Anforderungen an Sicherheit und Funktionstauglichkeit nach Maßgabe der Anlage 1 umsetzen.

(2) ¹Der Hersteller fügt seinem Antrag eine Erklärung nach Maßgabe der Anlage 1 bei. ²Der Hersteller kann im Einzelfall von den Anforderungen nach Anlage 1 abweichen, wenn durch die abweichende Gestaltung die Sicherheit und Funktionstauglichkeit gleichermaßen gewährleistet wird. ³Der Hersteller begründet die Abweichung.

(3) ¹Das Bundesinstitut für Arzneimittel und Medizinprodukte darf aus begründetem Anlass weitere Prüfungen durchführen. ²Hierzu kann es vom Hersteller der digitalen Pflegeanwendung die Vorlage geeigneter Nachweise verlangen. ³Geeignete Nachweise nach Satz 2 sind insbesondere:

1. eine Dokumentation der Sicherheit und Funktionstauglichkeit,

2. Unterlagen und Ergebnisse zur Durchführung technischer Prüfungen,

3. eine Risikoanalyse und -bewertung für die digitale Pflegeanwendung in ihrer erwarteten Nutzung oder

4. Gebrauchsanweisungen.

§ 4 Anforderungen an Sicherheit und Funktionstauglichkeit digitaler Pflegeanwendungen als Medizinprodukte

(1) Für digitale Pflegeanwendungen, die Medizinprodukte im Sinne der jeweils geltenden medizinprodukterechtlichen Vorschriften sind, gilt der Nachweis der Sicherheit und Funktionstauglichkeit, vorbehaltlich des Absatzes 2, durch die CE-Konformitätskennzeichnung des Medizinproduktes grundsätzlich als erbracht.

(2) ¹Aus begründetem Anlass darf das Bundesinstitut für Arzneimittel und Medizinprodukte zusätzliche Prüfungen vornehmen. ²Hierzu kann es vom Hersteller der digitalen Pflegeanwendung die Vorlage der erforderlichen Nachweise, insbesondere die für das Konformitätsbewertungsverfahren notwendigen Erklärungen und Bescheinigungen, verlangen. ³§ 3 Absatz 3 Satz 3 gilt entsprechend.

§ 5 Anforderungen an Datenschutz und Datensicherheit

(1) Digitale Pflegeanwendungen müssen die gesetzlichen Vorgaben des Datenschutzes und die Anforderungen an die Datensicherheit nach dem Stand der Technik unter Berücksichtigung der Art der verarbeiteten Daten und der damit verbundenen Schutzstufen sowie des Schutzbedarfs gewährleisten.

(2) Digitale Pflegeanwendungen müssen zudem

1. die nach § 78a Absatz 7 des Elften Buches Sozialgesetzbuch vom Bundesamt für Sicherheit in der Informationstechnik festgelegten Anforderungen an die Datensicherheit erfüllen und

2. die von dem Bundesinstitut für Arzneimittel und Medizinprodukte nach § 78a Absatz 8 des Elften Buches Sozialgesetzbuch festgelegten Prüfkriterien für die von digitalen Pflegeanwendungen nachzuweisenden Anforderungen an den Datenschutz umsetzen.

(3) ¹Die personenbezogenen Daten, die im Rahmen der Nutzung einer digitalen Pflegeanwendung und der sie erforderlichenfalls ergänzenden Unterstützungsleistungen verarbeitet werden, dürfen nur aufgrund einer Einwilligung nach Artikel 9 Absatz 2 Buchstabe a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1) und ausschließlich zu den folgenden Zwecken verarbeitet werden:

1. zur Gewährung und Erbringung der ergänzenden Unterstützungsleistungen nach § 39a des Elften Buches Sozialgesetzbuch sowie der bestimmungsgemäßen Versorgung mit der digitalen Pflegeanwendung nach § 40a des Elften Buches Sozialgesetzbuch,

2. zur dauerhaften Gewährleistung der Sicherheit, Funktionstauglichkeit, der altersgerechten Nutzbarkeit und der qualitätsorientierten Weiterentwicklung der Versorgung mit der digitalen Pflegeanwendung.

²Die Einwilligung zu der Datenverarbeitung nach Satz 1 Nummer 2 ist getrennt von einer Einwilligung in die Datenverarbeitung für Zwecke nach Satz 1 Nummer 1 einzuholen. ³Soweit die Verarbeitung personenbezogener Daten Dritter, die eine ergänzende Unterstützungsleistung erbringen, nicht besondere Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 zum Gegenstand hat, darf die Verarbeitung nur aufgrund einer Einwilligung nach Artikel 6 Absatz 1 Buchstabe a der Verordnung (EU) 2016/679 und zu den Zwecken nach Satz 1 Nummer 1 und 2 erfolgen. ⁴Für die Einwilligung nach Satz 3 gelten die Anforderungen von Satz 2 entsprechend. ⁵Gesetzliche Datenverarbeitungsbefugnisse bleiben unberührt.

(4) Die Verarbeitung personenbezogener Daten zu den Zwecken nach Absatz 3 Satz 1 darf im Rahmen der Versorgung mit einer digitalen Pflegeanwendung oder sie erforderlichenfalls ergänzenden Unterstützungsleistungen durch die digitale Pflegeanwendung selbst sowie bei einer Verarbeitung personenbezogener Daten im Auftrag nur im Inland, in einem Mitgliedstaat der Europäischen Union oder in einem diesem nach § 35 Absatz 7 des Ersten Buches Sozialgesetzbuch gleichgestellten Staat oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat erfolgen.

(5) Eine Verarbeitung personenbezogener Daten zu anderen als den in Absatz 3 Satz 1 genannten Zwecken, insbesondere zu Werbezwecken, ist ausgeschlossen; Absatz 3 Satz 5 gilt entsprechend.

§ 6 Anforderungen an Qualität

(1) ¹Digitale Pflegeanwendungen sind so zu gestalten, dass sie die Anforderungen der technischen, syntaktischen und semantischen Interoperabilität erfüllen. ²Insbesondere muss die digitale Pflegeanwendung ermöglichen, dass von ihr verarbeitete Daten in geeigneten interoperablen Formaten exportiert und im Rahmen der Versorgung mit weiteren digitalen Pflegeanwendungen genutzt werden können und dass die digitale Pflegeanwendung Daten mit vom Pflegebedürftigen genutzten Medizingeräten oder mit vom Pflegebedürftigen getragenen Sensoren zur Messung und Übertragung von Vitalwerten (Wearables) austauschen kann, sofern dies im Rahmen der Zweckbestimmung der digitalen Pflegeanwendung erforderlich oder zuträglich ist.

(2) Digitale Pflegeanwendungen sind so zu gestalten, dass sie robust gegen Störungen und Fehlbedienungen sind.

(3) ¹Digitale Pflegeanwendungen sind so zu gestalten, dass die Anforderungen des Verbraucherschutzes umgesetzt werden. ²Insbesondere müssen digitale Pflegeanwendungen den Pflegebedürftigen und sonstigen Nutzern vor Beginn der Nutzung einen Zugang zur Gebrauchsanweisung und zu kurzen, einfachen sowie allgemeinverständlichen Informationen zu Funktionsumfang und Zweckbestimmung der digitalen Pflegeanwendung, zu Einweisungen, Anleitungen und Schulungen sowie zu den vertraglichen Bedingungen der Zurverfügungstellung und Nutzung geben.

(4) Digitale Pflegeanwendungen müssen frei von Werbung sein.

(5) ¹Digitale Pflegeanwendungen sind so zu gestalten, dass sie einer altersgerechten Nutzbarkeit Rechnung tragen. ²Pflegebedürftige und sonstige Nutzer müssen die digitale Pflegeanwendung leicht und intuitiv bedienen können. ³Für digitale Pflegeanwendungen müssen durch den Hersteller während der Dauer der Führung der digitalen Pflegeanwendung im Verzeichnis für digitale Pflegeanwendungen Maßnahmen zur Unterstützung der Pflegebedürftigen und sonstigen Nutzer sowie in die Versorgung mit digitalen Pflegeanwendungen einbezogenen Dritten vorgesehen werden.

(6) Digitale Pflegeanwendungen setzen die Anforderungen an die Barrierefreiheit um.

(7) ¹Ist es nach der Zweckbestimmung der digitalen Pflegeanwendung erforderlich, dass Dritte in die Nutzung der digitalen Pflegeanwendung einbezogen werden und ihnen insofern eine Rolle und Aufgabe zugeordnet wird, ohne die der pflegerische Nutzen nicht erreicht werden kann, gewährleistet die digitale Pflegeanwendung, dass die einbezogenen Dritten in geeigneter Weise informiert, geschult, eingewiesen und regelhaft unterstützt werden. ²Für die Einbeziehung der Dritten ist das Einverständnis der Pflegebedürftigen erforderlich.

(8) ¹Die von einer digitalen Pflegeanwendung verwendeten pflegebezogenen Inhalte müssen qualitätsgesichert sein und dem allgemein anerkannten Stand der pflegerisch-medizinischen Erkenntnisse entsprechen. ²Sofern die digitale Pflegeanwendung die Pflegebedürftigen, pflegenden Angehörigen oder sonstigen ehrenamtlich Pflegenden mit Gesundheitsinformationen unterstützt, müssen die Gesundheitsinformationen ebenfalls dem allgemein anerkannten fachlichen Stand entsprechen und zielgruppengerecht aufbereitet sein.

(9) Digitale Pflegeanwendungen müssen Maßnahmen zur Gewährleistung der Sicherheit der Pflegebedürftigen vorsehen.

(10) ¹Das Nähere zu den Anforderungen nach den Absätzen 1 bis 9 bestimmt sich nach Anlage 2. ²Erweisen sich die Vorgaben der Anlage 2 im Hinblick auf die Eigenschaften, Funktionen und Inhalte der digitalen Pflegeanwendung als ungeeignet, kann die digitale Pflegeanwendung im Einzelfall von den Vorgaben der Anlage 2 abweichen, wenn die jeweilige Anforderung durch eine abweichende Umsetzung gleichermaßen erreicht wird. ³In seinem Antrag legt der Hersteller die Abweichung von den Vorgaben der Anlage 2 dar und begründet diese.

(11) Der Hersteller fügt seinem Antrag eine Erklärung nach Maßgabe der Anlage 2 bei.

§ 7 Anforderungen an Interoperabilität

¹Als interoperable Formate nach § 6 Absatz 1 gelten offene, international anerkannte Standards und vom Hersteller der digitalen Pflegeanwendung bereitgestellte Profile über offene, international anerkannte Standards. ²Der Hersteller muss von ihm bereitgestellte Profile nach Satz 1 zur freien Nutzung in einem anerkannten Verzeichnis veröffentlichen. ³Sobald Festlegungen für die semantische und syntaktische Interoperabilität von Daten in der elektronischen Patientenakte nach § 355 Absatz 2a des Fünften Buches Sozialgesetzbuch getroffen worden sind, kann der Hersteller auch diese verwenden.

§ 8 Nachweis durch Zertifikate

(1) ¹Das Bundesinstitut für Arzneimittel und Medizinprodukte kann von dem Hersteller die Vorlage von Zertifikaten verlangen, die die Erfüllung der Anforderungen nach den §§ 3, 4 und 6 ganz oder teilweise nachweisen, insbesondere, sofern entsprechende Zertifikate aufgrund von Sicherheits-, Qualitäts- oder Umweltnormen bereits vorgesehen sind oder sonstige anerkannte Zertifikate zum Nachweis der Anforderungen nach den §§ 3, 4 und 6 geeignet sind. ²Die nach Satz 1 vorzulegenden Zertifikate sollen zum Zeitpunkt der Übermittlung an das Bundesinstitut für Arzneimittel und Medizinprodukte in der Regel nicht älter als zwölf Monate sein. ³Durch die Vorlage eines Zertifikates nach Satz 1 gilt der Nachweis der Anforderungen nach den §§ 3, 4 und 6 in dem durch das Zertifikat angegebenen Umfang grundsätzlich als erbracht. ⁴§ 3 Absatz 3 und § 4 Absatz 2 bleiben unberührt.

(2) ¹Der Nachweis nach Absatz 1 erfolgt unter Vorlage eines Zertifikates einer nach den Vorgaben der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates vom 9. Juli 2008 über die Vorschriften für die Akkreditierung und Marktüberwachung im Zusammenhang mit der Vermarktung von Produkten und zur Aufhebung der Verordnung (EWG) Nr. 339/93 des Rates (ABl. L 218 vom 13.8.2008, S. 30) für diese Tätigkeit akkreditierten Zertifizierungsstelle. ²Das Bundesinstitut für Arzneimittel und Medizinprodukte darf auf seinen Internetseiten bekannt machen, welche Zertifikate geeignet sind, die Erfüllung der Anforderungen nach den §§ 3, 4 und 6 zu belegen.

(3) ¹Der Hersteller weist die Erfüllung der Anforderungen an die Datensicherheit nach § 5 Absatz 2 Nummer 1 ab dem in § 139e Absatz 10 Satz 3 des Fünften Buches Sozialgesetzbuch genannten Datum durch Vorlage eines Zertifikates nach § 78a Absatz 7 des Elften Buches Sozialgesetzbuch nach. ²Das Bundesinstitut für Arzneimittel und Medizinprodukte kann zum Nachweis der Erfüllung der Anforderungen an die Datensicherheit zudem ergänzend die Vorlage eines geeigneten Zertifikates oder Nachweises über ein Informationssicherheitsmanagementsystem verlangen. ³Der Hersteller ist verpflichtet, das Zertifikat nach Satz 1 unverzüglich vorzulegen, wenn die Verfahren nach § 78a Absatz 7 des Elften Buches Sozialgesetzbuch zur Verfügung stehen. ⁴Bis zum Vorliegen der Verfahren weist der Hersteller abweichend von Satz 1 die Erfüllung der zu gewährleistenden Anforderungen an die Datensicherheit durch eine Erklärung nach § 4 Absatz 6 Satz 2 der Digitale Gesundheitsanwendungen-Verordnung nach. ⁵Erfolgt der Nachweis der Erfüllung der Anforderungen an die Datensicherheit abweichend von Satz 1 zunächst durch eine Erklärung nach Satz 4, kann das Bundesinstitut für Arzneimittel und Medizinprodukte ergänzend die Vorlage von Berichten über die Durchführung von Penetrationstests oder die Vorlage von Sicherheitsgutachten über die Komponenten und Dienste der digitalen Pflegeanwendung verlangen.

(4) ¹Der Hersteller weist die Erfüllung der Anforderungen an den Datenschutz nach § 5 Absatz 2 Nummer 2 durch ein Zertifikat nach § 78a Absatz 8 des Elften Buches Sozialgesetzbuch nach. ²Die Zertifizierungsstelle nach § 78a Absatz 8 des Elften Buches Sozialgesetzbuch muss für die Erstellung des Zertifikates nach § 39 des Bundesdatenschutzgesetzes akkreditiert und zugelassen sein. ³Der Hersteller ist verpflichtet, das Zertifikat nach Satz 1 unverzüglich vorzulegen, wenn ein Zertifikat nach § 78a Absatz 8 des Elften Buches Sozialgesetzbuch zur Verfügung steht. ⁴Bis zum Vorliegen der Verfahren weist der Hersteller abweichend von Satz 1 die Erfüllung der zu gewährleistenden Anforderungen an den Datenschutz durch eine Erklärung nach § 4 Absatz 6 Satz 2 der Digitale Gesundheitsanwendungen-Verordnung nach. ⁵Erfolgt der Nachweis der Erfüllung der Anforderungen an den Datenschutz abweichend von Satz 1 zunächst durch eine Erklärung nach Satz 4, kann das Bundesinstitut für Arzneimittel und Medizinprodukte ergänzend die Vorlage von weiteren Nachweisen oder Gutachten verlangen.