Ein entscheidender Faktor für die Verschreibung einer DiGA ist die Datensicherheit. Zweifel an der Datensicherheit sind für Ärzte gleich nach den Kosten der wesentliche Faktor, der ihre Haltung zu DiGA bestimmt: In einer repräsentativen Befragung der Stiftung Gesundheit gaben 40% der Ärzte an, dass Fragen des Datenschutzes ihre Ablehnung steigere.¹

Abb 1: In einer Umfrage der Stiftung Gesundheit gaben Ärzte diese beeinflussenden Faktoren für ihre Haltung gegenüber DiGA an (n=1790 bis 1809 für die einzelnen Faktoren)¹

Grundlegend müssen DiGA den Schutzstandard der Datenschutzgrundverordnung (DSGVO) einhalten, wozu Risikoanalysen, der Grundsatz der Datenminimierung und strenge Löschungsfristen zählen. Die Digitale Gesundheitsanwendungen-Verordnung (DiGAV) legt jedoch noch deutlich schärfere Maßstäbe für DiGA an, insbesondere was den Zweck und die Rechtsgrundlage der Datenverarbeitung und den Standort der Datenverarbeitung angeht.² Eine kommerzielle Nutzung von Gesundheitsdaten ist ausdrücklich untersagt.

Insgesamt müssen Hersteller weit über 100 vorgegebenen Einzelmaßnahmen umsetzen, um die Anforderungen an Sicherheit, Funktionstauglichkeit, Qualität, Datenschutz und Datensicherheit zu erfüllen.³ Ein zentrales Element dabei ist die zweckgebundene Nutzung von Daten. Diese dürfen nur zum bestimmungsgemäßen Gebrauch, zum Nachweis positiver Versorgungseffekte und zur dauerhaften Gewährleistung der technischen Funktionalität überhaupt erhoben werden. Insgesamt ist die Datenverarbeitung durch DiGA nur in einem engen Rechtsrahmen gestattet.

Das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) überprüft die Plausibilität der vom Hersteller gemachten Angaben, über Testzugänge die Datenschutzerklärungen, die Authentisierungsmethoden und die Datenverbindungen.⁴ Der IT-Sicherheitsberater Martin Tschirsich schätzt, dass die Mehrheit der DiGA sicher sind.⁵

Seit 2023 gelten noch höhere Standards: Das BfArM prüfte einerseits jährlich die Kriterien, welche die Hersteller von DiGA zu erfüllen haben. Andererseits ist seit Anfang April 2023 eine Regelung in Kraft, wonach der Nachweis seitens der Hersteller durch ein Zertifikat nach Paragraf 42 DSGVO zu belegen ist.⁶ Nur wenn alle der strengen Anforderungen nachweislich erfüllt sind, darf eine DiGA im offiziellen Verzeichnis gelistet werden.⁷