Fünfzehn Sätze, die im Anbieter-Erstgespräch fallen
Daniel Kleiboldt — Legal Engineer
Auf einen Blick
- 01Die Store-Deklaration bildet den Medizinprodukte-Status ab, sie stellt ihn nicht her. Maßgeblich bleibt die Zweckbestimmung.
- 02Hashing, flüchtige Verarbeitung und ein Häkchen bei der Registrierung senken das faktische Risiko, ändern aber nichts an der Frage, ob Gesundheitsdaten verarbeitet werden.
- 03Ein C5-Testat gilt nur für die Schicht und die Gesellschaft, für die es erteilt wurde. Wer selbst gegenüber Leistungserbringern auftritt, braucht ein eigenes.
- 04Das Muster hinter allen fünfzehn Sätzen: eine zutreffende technische Aussage wird zur regulatorischen Entlastung erklärt, obwohl die Norm an einem anderen Merkmal ansetzt.
Kurzantwort
Die folgenden fünfzehn Sätze sind in Erstgesprächen mit Anbietern von Gesundheitssoftware gefallen. Keiner ist böswillig, jeder ist technisch nachvollziehbar, und keiner trägt regulatorisch.
Das Muster dahinter ist in allen drei Gruppen dasselbe. Eine zutreffende technische Aussage wird zur regulatorischen Entlastung erklärt, obwohl die Norm an einem anderen Merkmal ansetzt. Wer das Muster einmal kennt, erkennt die eigenen Annahmen darin wieder.
Anbieter kommen selten uninformiert in ein Erstgespräch. Sie haben ihre Architektur im Kopf, kennen ihre Datenflüsse und haben sich Gedanken gemacht. Genau deshalb sind die Sätze unten so hartnäckig: Sie stimmen als technische Beschreibung, und sie werden trotzdem an der falschen Stelle eingesetzt.
Gruppe 1: „Wir sind doch kein Medizinprodukt“
Die Qualifikation als Medizinprodukt ist die teuerste Weiche im ganzen Verfahren, und sie fällt früher, als die meisten Anbieter annehmen. Maßgeblich ist die Zweckbestimmung und die tatsächliche Funktion, nicht die Selbsteinschätzung.
Die fünf Sätze dieser Gruppe eint, dass sie eine Instanz benennen, die angeblich an die Stelle der Regulierung tritt: die Store-Deklaration, den bewertenden Arzt, das analoge Vorbild, das Papier, den zertifizierten Hoster. In jedem Fall existiert diese Instanz wirklich, und in keinem Fall übernimmt sie die Rolle, die ihr zugeschrieben wird.
„Wenn wir im App Store Nein ankreuzen, ist nichts weiter nötig.“
Die Deklaration bildet den Status ab, sie stellt ihn nicht her. Maßgeblich bleibt die Zweckbestimmung, die sich aus Kennzeichnung, Gebrauchsanweisung und Werbematerial ergibt.
„Der Kliniker bewertet das doch selbst.“
Regel 11 der MDR erfasst gerade die Entscheidungsunterstützung. Der Mensch in der Schleife ist Regelungsgegenstand und keine Ausnahme von der Regel.
„Das ist doch wie ein Blutbild.“
Laborbefunde unterliegen ebenfalls dem Medizinprodukterecht. Das Argument arbeitet gegen den Anbieter, der es vorbringt.
„Wir digitalisieren nur einen Papierfragebogen.“
Der computerisierte Auswertungsalgorithmus ist eine Aktion jenseits von Speicherung, Archivierung und einfacher Suche. Genau daran scheitert die Analogie zum Papier.
„Unser Hoster ist ISO-zertifiziert, also haben wir ein QMS.“
Die Zertifizierung des Hosters sagt nichts über das Qualitätsmanagementsystem des Herstellers aus. Für die Konformitätsbewertung zählt ausschließlich das eigene.
Gruppe 2: „Die Daten sind unkritisch“
Die zweite Gruppe dreht sich um den Personenbezug und um Art. 9 DSGVO. Die Sätze verbindet, dass sie eine technische Maßnahme mit einer rechtlichen Entlastung verwechseln. Hashing, flüchtige Verarbeitung, eine Einwilligungsabfrage bei der Registrierung und ein Anonymisierungsschritt vor der Auswertung sind sinnvolle Maßnahmen, und jede einzelne davon senkt das faktische Risiko.
Der Fehler liegt eine Ebene darüber. Keine dieser Maßnahmen ändert etwas an der Frage, ob überhaupt personenbezogene Gesundheitsdaten verarbeitet werden, und genau daran hängt der Pflichtenkatalog. Wer diese Frage bejahen muss, kommt an einer Datenschutz-Folgenabschätzung und an einer belastbaren Rechtsgrundlage nicht vorbei, unabhängig davon, wie gut die technischen Maßnahmen sind.
„Wir speichern ja gar nichts.“
Verarbeitung nach Art. 4 Nr. 2 DSGVO umfasst auch das flüchtige Erheben und Verwenden. Entlastend wirkt allein echte Anonymität, nicht die fehlende Speicherung.
„Wir erfassen keine privaten Daten, nur Name und E-Mail.“
Bei Gesundheitsanwendungen liegt der Kern der Daten nach Art. 9 DSGVO in den Freitexten der Nutzer, nicht in den Stammdaten des Kontos.
„Wenn wir die Daten hashen, liegen bei uns keine Patientendaten mehr.“
Hashing ist einbahnig und nimmt dem Produkt Wiederaufnahme, Auswertung, Suche und Ausdruck. Gemeint ist meist Verschlüsselung oder Pseudonymisierung, und beides ist rechtlich etwas anderes. Der Gesundheitsdatencharakter steckt ohnehin in den Antworten und nicht in der Kennung.
„Die Nutzer haben bei der Registrierung zugestimmt.“
Ein pauschales Häkchen genügt für Art. 9 DSGVO nicht, und die Frage betrifft den gesamten Bestand, nicht nur die künftigen Registrierungen.
„Unsere Studien laufen anonymisiert, das ist unkritisch.“
Die Anonymisierung von Freitextverläufen ist selten belastbar, und die Forschungsregulatorik wird bei dieser Antwort meist gar nicht erst geprüft.
Gruppe 3: „Die Infrastruktur ist geklärt“
Die dritte Gruppe ist die technisch anspruchsvollste und die mit den teuersten Korrekturen. Sie betrifft Hosting, Vertragsketten und die Frage, wessen Testat welche Schicht deckt.
Der gemeinsame Denkfehler ist die Annahme, eine Aussage über eine Schicht gelte für den ganzen Stapel. Tatsächlich hat jede Schicht ihren eigenen Vertragspartner, ihre eigene Region und ihr eigenes Testat, und die regulatorische Bewertung läuft über alle Schichten einzeln. Praktisch beginnt die Prüfung deshalb immer damit, die Dienstleisterliste aus der Architektur zu rekonstruieren, statt sie beim Anbieter abzufragen. Was abgefragt wird, ist die Liste der Verträge, die jemand geschlossen zu haben glaubt.
„Wir haben kein serverseitiges Rendering, also berührt die Plattform keine Daten.“
Auch eine API-Route oder ein Proxy der eigenen Anwendung liegt im Datenpfad. Der Pfad wird aus dem Betrieb rekonstruiert, nicht aus dem Architekturdiagramm gelesen.
„Die Verarbeitung bleibt in der EU, unser Workflow-Server steht in Frankfurt.“
Das gilt für diese eine Schicht. Der Modellaufruf geht dorthin, wo das Modell steht, und das ist regelmäßig eine andere Region.
„Wenn wir zu einem deutschen Hoster migrieren, ist die C5-Frage gelöst.“
Das Testat des Hosters deckt dessen Schicht. Wer selbst als Anbieter einer Softwarelösung gegenüber Leistungserbringern auftritt, braucht nach § 393 SGB V ein eigenes.
„Unser Betreiber hat ein C5-Testat.“
Zu prüfen ist, wessen Testat mit welchem Geltungsbereich. Häufig gehört es der Muttergesellschaft und deckt deren Plattform, nicht den konkret gebuchten Dienst.
„Wir buchen die Datenbank einfach über unsere Plattform mit.“
Bei Marktplatz-Modellen ist die Plattform nur Handelsvertreterin. Der Vertrag und damit der Auftragsverarbeitungsvertrag kommt unmittelbar mit dem Anbieter zustande, und die Marktplatz-Bedingungen enthalten typischerweise keinen.
Was die fünfzehn Sätze gemeinsam haben
In jedem der fünfzehn Fälle stimmt die technische Aussage. Es wird tatsächlich nichts dauerhaft gespeichert, der Server steht wirklich in Frankfurt, der Kliniker bewertet den Vorschlag wirklich selbst. Falsch ist der Schluss, der daraus gezogen wird, weil die einschlägige Norm an einem anderen Merkmal ansetzt als das, was der Satz beschreibt.
Daraus folgt eine praktische Konsequenz für die eigene Vorbereitung. Jede Entlastungsannahme lässt sich mit einer einzigen Frage prüfen, nämlich an welches Tatbestandsmerkmal die Norm anknüpft und ob der eigene Satz tatsächlich dieses Merkmal adressiert. Wer diese Frage bei den eigenen fünf Lieblingsargumenten durchspielt, findet die Lücke meist vor dem ersten Termin.
Der zweite gemeinsame Nenner ist unangenehmer. Alle fünfzehn Sätze stammen von Anbietern, die ihre Regulierung ernst genommen und Zeit investiert haben. Die Sätze sind kein Zeichen von Nachlässigkeit, sondern das erwartbare Ergebnis davon, dass technische und regulatorische Kompetenz in getrennten Köpfen sitzen. Genau an dieser Nahtstelle entstehen die Befunde, nach denen niemand fragt.
Reicht es, die Zweckbestimmung anzupassen, um unter der Medizinprodukteschwelle zu bleiben?
Der Zuschnitt unterhalb der Schwelle ist kurzfristig günstig und verbaut regelmäßig die Erstattungs- und Klinikschiene. Anbieter sehen das selten, weil beide Themen in ihrem Kopf getrennt sind und die Erstattungsambition beiläufig in einem Zukunftskapitel steht. Die Entscheidung gehört deshalb an den Anfang und nicht ans Ende der Roadmap.
Ersetzt eine regulatorische Standortbestimmung die anwaltliche Prüfung?
Nein. Die Prüfung konkreter Auftragsverarbeitungsverträge und Standardvertragsklauseln, die Gestaltung von Verträgen und die rechtsverbindliche Endfassung gehören zu einem zugelassenen Anwalt. Geliefert wird das Anforderungsprofil und die regulatorische Standortbestimmung mit benannten Risiken und einer Reihenfolge.
Welcher der fünfzehn Punkte kostet am meisten, wenn er zu spät auffällt?
Regelmäßig die Hosting- und Testatfrage, weil ihre Auflösung Monate braucht und in die Produktarchitektur eingreift. Am billigsten zu korrigieren sind identifizierende Felder im Prompt oder im Payload, die für die Funktion gar nicht erforderlich sind.
Regulatorische Standortbestimmung für Ihr Produkt
Weiterlesen
Solche Analysen direkt ins Postfach
CAVEAT, mein Newsletter zu KI-Compliance im Gesundheitswesen. Alle zwei Wochen, kostenlos, jederzeit abbestellbar.