Gesundheits-Apps, Diagnosesoftware und Plattformen für Praxen und Kliniken unterliegen gleichzeitig Medizinprodukterecht, Sozialrecht, Datenschutz und zunehmend der KI-Verordnung. Wir beraten Hersteller, Start-ups und Leistungserbringer bei Einordnung, Marktzugang und Verträgen.
Ist meine Software ein Medizinprodukt?
Nach der Medizinprodukteverordnung (Verordnung (EU) 2017/745, MDR) ist Software ein Medizinprodukt, wenn der Hersteller sie für einen medizinischen Zweck bestimmt, etwa zur Diagnose, Überwachung, Vorhersage, Prognose oder Behandlung von Krankheiten. Maßgeblich ist die Zweckbestimmung, wie sie sich aus Gebrauchsanweisung, Werbung und Website ergibt. Eine Fitness-App, die Schritte zählt, ist kein Medizinprodukt; eine App, die aus Messwerten Therapieempfehlungen ableitet, regelmäßig schon.
Software als Medizinprodukt wird nach Regel 11 des Anhangs VIII MDR klassifiziert. Software, die Informationen für diagnostische oder therapeutische Entscheidungen liefert, fällt mindestens in Klasse IIa und braucht damit eine Konformitätsbewertung durch eine Benannte Stelle. Schon die Werbung kann die Einordnung verändern; Marketing und Regulatory müssen sich deshalb abstimmen.
Reform von MDR und KI-Verordnung
Die EU-Kommission hat im Dezember 2025 eine Überarbeitung von MDR und IVDR vorgeschlagen. Sie sieht unter anderem Änderungen der Klassifizierungsregeln vor, durch die bestimmte Software niedriger eingestuft werden könnte, und will KI-gestützte Medizinprodukte weitgehend aus dem unmittelbaren Anwendungsbereich der Hochrisiko-Pflichten der KI-Verordnung herausnehmen. Stand November 2026 ist das Gesetzgebungsverfahren nicht abgeschlossen. Bis dahin gelten MDR und KI-Verordnung in ihrer aktuellen Fassung; KI-basierte Medizinprodukte, die eine Benannte Stelle durchlaufen, sind danach Hochrisiko-KI-Systeme.
DiGA: Digitale Gesundheitsanwendungen auf Rezept
Digitale Gesundheitsanwendungen können von Ärzten und Psychotherapeuten verordnet und von den gesetzlichen Krankenkassen erstattet werden, wenn das BfArM sie in das DiGA-Verzeichnis aufgenommen hat (§§ 33a, 139e SGB V). Voraussetzungen sind ein CE-gekennzeichnetes Medizinprodukt der Klasse I oder IIa (für bestimmte Anwendungen auch IIb), Anforderungen an Sicherheit, Datenschutz, Interoperabilität und Barrierefreiheit sowie der Nachweis positiver Versorgungseffekte. Eine vorläufige Aufnahme zur Erprobung ist möglich.
Seit 2026 gelten verschärfte Regeln:
- Seit dem 1. Januar 2026 müssen mindestens 20 Prozent der Vergütung erfolgsabhängig sein; bestehende Vergütungsvereinbarungen sind anzupassen.
- Die geänderte DiGA-Verordnung gilt seit dem 1. Februar 2026. Dauerhaft gelistete DiGA müssen ab dem dritten Quartal 2026 Daten zu Nutzungsdauer und -häufigkeit, Patientenzufriedenheit und Gesundheitszustand erheben. Die erste Übermittlung an das BfArM ist zum 15. April 2027 fällig.
- Enthält eine DiGA KI, sind Angaben zur KI-Verordnung zu machen.
Gesundheitsdaten und Datenschutz
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung braucht eine besondere Rechtsgrundlage, in der Regel eine ausdrückliche Einwilligung oder eine gesetzliche Grundlage. Hinzu kommen § 203 StGB bei Berufsgeheimnisträgern, das Patientendaten-Schutz-Gesetz, die Datenschutzanforderungen des BfArM für DiGA und die Vorgaben zur Cloud-Nutzung im Gesundheitswesen nach § 393 SGB V. Für die Forschung mit Gesundheitsdaten schafft das Gesundheitsdatennutzungsgesetz Grundlagen.
European Health Data Space (EHDS)
Die Verordnung (EU) 2025/327 über den Europäischen Gesundheitsdatenraum ist am 26. März 2025 in Kraft getreten und gilt im Wesentlichen ab dem 26. März 2027, einzelne Teile gestaffelt bis 2029 und 2031. Sie bringt drei Bereiche:
- Primärnutzung: Rechte von Patienten auf Zugriff, Download und Weitergabe ihrer elektronischen Gesundheitsdaten
- Sekundärnutzung: Zugang zu Gesundheitsdaten für Forschung, Innovation und KI-Training über Datengenehmigungen nationaler Zugangsstellen
- Anforderungen an Systeme für elektronische Gesundheitsakten (EHR-Systeme) mit Interoperabilitäts- und Protokollierungskomponenten, Selbstzertifizierung und CE-Kennzeichnung; zusätzliche Pflichten für Wellness-Anwendungen, die Interoperabilität mit EHR-Systemen beanspruchen
Hersteller von Praxis- und Kliniksoftware sollten ihre Produktplanung jetzt auf den EHDS ausrichten.
Typische Mandate
- Abgrenzung Medizinprodukt oder Lifestyle-Produkt und Prüfung der Zweckbestimmung
- Regulatorische Strategie für Klassifizierung, Benannte Stelle und KI-Verordnung
- DiGA-Antrag, Datenschutzkonzept und Vergütungsverhandlungen
- Verträge mit Kliniken, Praxen, Krankenkassen, Entwicklern und Cloud-Anbietern
- Werbung für Medizinprodukte nach dem Heilmittelwerbegesetz
Häufige Fragen
Kann ich mit einer Klasse-I-Software starten?
Nur, wenn die Software nach Regel 11 tatsächlich in Klasse I fällt. Das ist für Software mit diagnostischer oder therapeutischer Funktion seit der MDR selten.
Wie lange dauert die Aufnahme ins DiGA-Verzeichnis?
Das BfArM entscheidet innerhalb von drei Monaten nach vollständigem Antrag. Die Vorbereitung von Studien und Unterlagen dauert deutlich länger.
Gilt der EHDS auch für Gesundheits-Apps ohne Medizinproduktstatus?
Wellness-Anwendungen fallen nur unter bestimmte Pflichten, wenn sie Interoperabilität mit EHR-Systemen beanspruchen.
Verwandte Themen
Ihr Ansprechpartner
Sie entwickeln Gesundheitssoftware oder eine DiGA und möchten Einordnung und Marktzugang klären? Rufen Sie uns an unter 0511 35 73 56-0 oder schreiben Sie an info@itrechtler.de.