Title: Anlage 1 Fragebogen gemäß § 4 Absatz 6

Description:
Verordnung über das Verfahren und die Anforderungen zur Prüfung der Erstattungsfähigkeit digitaler Gesundheitsanwendungen in der gesetzlichen Krankenversicherung (DiGAV)
Abschnitt 9 - Schlussbestimmungen
Anlage 1 Fragebogen gemäß § 4 Absatz 6

Paragraph: 4

Content:
Verordnung über das Verfahren und die Anforderungen zur Prüfung der Erstattungsfähigkeit digitaler Gesundheitsanwendungen in der gesetzlichen Krankenversicherung (DiGAV)
Abschnitt 9 - Schlussbestimmungen
Anlage 1 Fragebogen gemäß § 4 Absatz 6

(Fundstelle: BGBl. I 2020, 779 - 792)

Im nachfolgend aufgeführten Fragenbogen ist durch den Hersteller die
Erfüllung der Anforderungen nach § 4 zu erklären. Der Hersteller
bestätigt die Erfüllung der Anforderungen durch Kennzeichnung in der
Spalte „zutreffend“. Die Vorschriften des Datenschutzes und die
Anforderungen an die Datensicherheit – Basisanforderungen sind von
allen digitalen Gesundheitsanwendungen zu erfüllen. Die Anforderungen
Datensicherheit – Zusatzanforderungen bei digitalen
Gesundheitsanwendungen mit sehr hohem Schutzbedarf sind von digitalen
Gesundheitsanwendungen zu erfüllen, für die im Rahmen der geforderten
Schutzbedarfsanalyse ein sehr hoher Schutzbedarf festgestellt wurde.

*    *   Nr.

    *   Themenfeld

    *   Anforderung

    *   zutreffend

    *   nicht
        zutreffend

    *   zulässige Begründung
        für „nicht zutreffend“

*    *   Datenschutz ****

*    *   1.

    *   Datenschutz-Grundverordnung als anzuwendendes Recht

    *   Die Verarbeitung personenbezogener Daten durch die digitale
        Gesundheitsanwendung und deren Hersteller unterfällt der Verordnung
        (EU) 2016/679 sowie ggf. weiteren Datenschutzregelungen.

    *
    *
    *

*    *   2.

    *   Einwilligung

    *   Wird vor der Verarbeitung von personenbezogenen und -beziehbaren Daten
        eine freiwillige, spezifische und informierte Einwilligung der
        betroffenen Person zu den in § 4 Absatz 2 benannten Zwecken der
        Verarbeitung dieser Daten eingeholt?

    *
    *
    *   Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung
        aus einer rechtlichen Verpflichtung des Herstellers der digitalen
        Gesundheitsanwendung resultiert.

*    *   3.

    *   Einwilligung

    *   Erfolgt die Abgabe von Einwilligungen und Erklärungen der betroffenen
        Person durchgängig ausdrücklich, d. h. durch eine aktive, eindeutige
        Handlung der betroffenen Person?

    *
    *
    *   Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung
        aus einer rechtlichen Verpflichtung des Herstellers der digitalen
        Gesundheitsanwendung resultiert.

*    *   4.

    *   Einwilligung

    *   Kann die betroffene Person erteilte Einwilligungen einfach,
        barrierefrei, jederzeit und auf einem einfach verständlichen Weg mit
        Wirkung für die Zukunft widerrufen?

    *
    *
    *   Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung
        aus einer rechtlichen Verpflichtung des Herstellers der digitalen
        Gesundheitsanwendung resultiert.

*    *   5.

    *   Einwilligung

    *   Wird die betroffene Person vor Abgabe der Einwilligung auf das Recht
        und die Möglichkeiten zum Widerruf der Einwilligung hingewiesen?

    *
    *
    *   Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung
        aus einer rechtlichen Verpflichtung des Herstellers der digitalen
        Gesundheitsanwendung resultiert.

*    *   6.

    *   Einwilligung

    *   Wurde die betroffene Person vor Abgabe einer Einwilligung in klarer,
        verständlicher, nutzerfreundlicher und der Zielgruppe angemessener
        Form darüber informiert, welche Kategorien von Daten zu welchen
        Zwecken durch die digitale Gesundheitsanwendung bzw. den Hersteller
        der digitalen Gesundheitsanwendung verarbeitet werden?

    *
    *
    *   Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung
        aus einer rechtlichen Verpflichtung des Herstellers der digitalen
        Gesundheitsanwendung resultiert.

*    *   7.

    *   Einwilligung

    *   Kann die betroffene Person die Texte der abgegebenen Einwilligungen
        und Erklärungen jederzeit aus der digitalen Gesundheitsanwendung oder
        über eine aus der digitalen Gesundheitsanwendung referenzierten Quelle
        abrufen?

    *
    *
    *   Es wird keine Einwilligung eingeholt, da der Zweck der Verarbeitung
        aus einer rechtlichen Verpflichtung des Herstellers der digitalen
        Gesundheitsanwendung resultiert.

*    *   8.

    *   Zweckbindung

    *   Erfolgt die Verarbeitung von personenbezogenen Daten durch die
        digitale Gesundheitsanwendung ausschließlich zu in § 4 Absatz 2 Satz 1
        genannten Zwecken oder auf Grundlage sonstiger gesetzlicher
        Datenverarbeitungsbefugnisse nach § 4 Absatz 2 Satz 3?

    *
    *
    *

*    *   9.

    *   Datenminimierung und Angemessenheit

    *   Sind die über die digitale Gesundheitsanwendung verarbeiteten
        personenbezogenen Daten dem Zweck angemessen sowie auf das für die
        Zwecke der Verarbeitung notwendige Maß beschränkt?

    *
    *
    *

*    *   10.

    *   Datenminimierung und Angemessenheit

    *   Hat der Hersteller der digitalen Gesundheitsanwendung sichergestellt,
        dass die Zwecke der Verarbeitung personenbezogener Daten durch die
        digitale Gesundheitsanwendung nicht in zumutbarer Weise durch andere,
        datensparsamere Mittel in gleichem Maße erreicht werden können?

    *
    *
    *

*    *   11.

    *   Datenminimierung und Angemessenheit

    *   Werden gesundheitsbezogene Daten getrennt von ausschließlich für die
        Leistungsabrechnung erforderlichen Daten gespeichert?

    *
    *
    *

*    *   12.

    *   Datenminimierung und Angemessenheit

    *   Stellt der Hersteller der digitalen Gesundheitsanwendung sicher, dass
        mit nicht-produktbezogenen Aufgaben betraute Mitarbeiterinnen und
        Mitarbeiter keinen Zugriff auf gesundheitsbezogene Daten haben?

    *
    *
    *

*    *   13.

    *   Datenminimierung und Angemessenheit

    *   Sofern die Nutzung der digitalen Gesundheitsanwendung nicht auf ein
        privates IT-System der nutzenden Person beschränkt ist:

        –   wurden entsprechende Einsatzszenarien in der
            Datenschutzfolgenabschätzung explizit berücksichtigt?

        –   wird der Versicherte ausdrücklich darauf hingewiesen, dass die Nutzung
            der digitalen Gesundheitsanwendung in einer potenziell unsicheren
            Umgebung mit Sicherheitsrisiken einhergeht, die durch den Hersteller
            der digitalen Gesundheitsanwendung nicht vollständig adressiert werden
            können?

    *
    *
    *   Die Nutzung der digitalen Gesundheitsanwendung ist auf ein privates
        IT-System der nutzenden Person beschränkt.

*    *
    *
    *
        –   wird bei Nutzung der digitalen Gesundheitsanwendung auf einem nicht
            nur von dem Versicherten verwendeten IT-System vollständig die – auch
            temporäre – Speicherung von gesundheitsbezogenen Daten auf diesem IT-
            System unterbunden?

    *
    *
    *

*    *   14.

    *   Integrität und Vertraulichkeit

    *   Sieht die digitale Gesundheitsanwendung angemessene technische und
        organisatorische Maßnahmen vor, um personenbezogene Daten gegen
        unbeabsichtigte oder unzulässige Zerstörung, Löschung, Verfälschung,
        Offenbarung oder nicht legitimierte Verarbeitungsformen zu schützen?

    *
    *
    *

*    *   15.

    *   Integrität und Vertraulichkeit

    *   Ist der durch die digitale Gesundheitsanwendung gesteuerte Austausch
        von Daten zwischen dem Endgerät der betroffenen Person und externen
        Systemen durchgängig gemäß dem Stand der Technik verschlüsselt?

    *
    *
    *   Es werden keine personenbezogenen Daten zwischen dem Endgerät der
        betroffenen Person und externen Systemen ausgetauscht.

*    *   16.

    *   Richtigkeit

    *   Sieht die digitale Gesundheitsanwendung technische und
        organisatorische Maßnahmen vor, die sicherstellen, dass die über die
        digitale Gesundheitsanwendung verarbeiteten personenbezogenen Daten
        sachlich richtig und auf dem neuesten Stand sind?

    *
    *
    *

*    *   17.

    *   Richtigkeit

    *   Trifft der Hersteller alle angemessenen Maßnahmen, damit
        personenbezogene Daten, die im Hinblick auf die Zwecke ihrer
        Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt
        werden?

    *
    *
    *

*    *   18.

    *   Erforderlichkeit

    *   Werden über die digitale Gesundheitsanwendung erhobene
        personenbezogene Daten nur so lange gespeichert, wie sie für die
        Erbringung der zugesagten Funktionalitäten der digitalen
        Gesundheitsanwendung oder zu anderen, unmittelbar aus rechtlichen
        Verpflichtungen resultierenden Zwecken zwingend erforderlich sind?

    *
    *
    *

*    *   19.

    *   Erforderlichkeit

    *   Werden personenbezogene Daten nach Erfüllung der Zwecke nach § 4
        Absatz 2 Satz 1 Nummer 1 bis 4 nicht weiter gespeichert?

    *
    *
    *   Die Zwecke der Speicherung und die maximale Speicherdauer sind unter
        Angabe der Gründe, warum diese Zwecke eine Legitimation der weiteren
        Speicherung personenbezogener Daten darstellen, durch den Hersteller
        gesondert zu begründen.

*    *   20.

    *   Datenportabilität

    *   Stellt der Hersteller der digitalen Gesundheitsanwendung Mechanismen
        bereit, über die die betroffene Person aus der digitalen
        Gesundheitsanwendung heraus das Recht auf Datenportabilität wahrnehmen
        und die von ihr, der betroffenen Person, der digitalen
        Gesundheitsanwendung bereitgestellten, sie betreffenden
        personenbezogenen Daten in einem geeigneten Format abrufen bzw. in
        eine andere digitale Gesundheitsanwendung überführen kann?

    *
    *
    *

*    *   21.

    *   Informationspflichten

    *   Ist die Datenschutzerklärung der digitalen Gesundheitsanwendung über
        die Anwendungswebseite einfach auffindbar, barrierefrei zugänglich und
        frei einsehbar?

    *
    *
    *

*    *   22.

    *   Informationspflichten

    *   Enthält die Datenschutzerklärung der digitalen Gesundheitsanwendung
        alle relevanten Informationen zum Hersteller und dessen
        Datenschutzbeauftragtem, zu dem Zweck der digitalen
        Gesundheitsanwendung, zu den dazu verarbeiteten Datenkategorien, zum
        Umgang des Herstellers mit diesen Daten, zum Recht auf Widerruf
        gegebener Einwilligungen und zu den Möglichkeiten zur Wahrnehmung der
        Betroffenenrechte und setzt der Hersteller der digitalen
        Gesundheitsanwendung darüber hinausgehende Informationspflichten nach
        den Artikeln 13 und 14 der Verordnung (EU) 2016/679 angemessen um?

    *
    *
    *

*    *   23.

    *   Informationspflichten

    *   Ist die Datenschutzerklärung der digitalen Gesundheitsanwendung auch
        nach der Installation der digitalen Gesundheitsanwendung aus der
        digitalen Gesundheitsanwendung heraus bzw. in der digitalen
        Gesundheitsanwendung einfach auffindbar?

    *
    *
    *

*    *   24.

    *   Informationspflichten

    *   Kann die betroffene Person vom Hersteller der digitalen
        Gesundheitsanwendung Auskunft zu den über sie gespeicherten
        personenbezogenen Daten in dem in Artikel 15 der Verordnung (EU)
        2016/679 festgelegten Umfang erhalten?

    *
    *
    *

*    *   25.

    *   Informationspflichten

    *   Ist in der Datenschutzerklärung der digitalen Gesundheitsanwendung ein
        nachvollziehbares Löschkonzept enthalten, das das Vorgehen bei
        Widerruf der Einwilligung und Deinstallation der digitalen
        Gesundheitsanwendung sowie den Umgang mit Ansprüchen auf Löschung von
        Daten sowie auf Einschränkung ihrer Verarbeitung regelt und den
        Anforderungen nach den Artikeln 17 bis 19 der Verordnung (EU) 2016/679
        entspricht?

    *
    *
    *

*    *   26.

    *   Informationspflichten

    *   Kann die betroffene Person vom Hersteller der digitalen
        Gesundheitsanwendung die Berichtigung von sie betreffenden unrichtigen
        personenbezogenen Daten und die Vervollständigung von sie betreffenden
        unvollständigen personenbezogenen Daten verlangen?

    *
    *
    *

*    *   27.

    *   Informationspflichten

    *   Wird die betroffene Person vor der Löschung des Benutzerkontos auf
        damit möglicherweise verlorengehende Daten und auf das Recht auf
        Datenübertragung gemäß Artikel 20 der Verordnung (EU) 2016/679
        hingewiesen?

    *
    *
    *

*    *   28.

    *   Datenschutz-Management

    *   Hat der Hersteller der digitalen Gesundheitsanwendung ein Verfahren
        zur regelmäßigen Überprüfung, Bewertung und Evaluierung der
        Wirksamkeit der technischen und organisatorischen Maßnahmen zur
        Gewährleistung der Sicherheit der Verarbeitung umgesetzt, mit dem alle
        im Zusammenhang mit der digitalen Gesundheitsanwendung eingesetzten
        Systeme und Prozesse erfasst sind?

    *
    *
    *

*    *   29.

    *   Datenschutz-Management

    *   Hat der Hersteller der digitalen Gesundheitsanwendung alle Personen,
        die aus ihrer Tätigkeit heraus Zugang zu personenbezogenen Daten
        haben, auf die Verschwiegenheit verpflichtet?

    *
    *
    *

*    *   30.

    *   Datenschutz-Folgenabschätzung und Risikomanagement

    *   Hat der Hersteller der digitalen Gesundheitsanwendung für die digitale
        Gesundheitsanwendung eine Datenschutz-Folgenabschätzung durchgeführt
        und die hierbei durchgeführte Risikoanalyse in die dokumentierten
        Prozesse eines Risikomanagements überführt, nachdem eine
        kontinuierliche Neubewertung von Bedrohungen und Risiken erfolgt?

    *
    *
    *

*    *   31.

    *   Datenschutz-Folgenabschätzung und Risikomanagement

    *   Stellt der Hersteller der digitalen Gesundheitsanwendung sicher, dass
        die Meldung von Verletzungen des Schutzes personenbezogener Daten
        innerhalb von 72 Stunden nachdem ihm die Verletzung bekannt wurde, an
        die Aufsichtsbehörde erfolgt?

    *
    *
    *

*    *   32.

    *   Datenschutz-Folgenabschätzung und Risikomanagement

    *   Setzt der Hersteller der digitalen Gesundheitsanwendung die Vorgaben
        nach Artikel 34 der Verordnung (EU) 2016/679 zur Information
        Betroffener bei Datenschutzvorfällen um?

    *
    *
    *

*    *   33.

    *   Nachweispflicht

    *   Hat der Hersteller die für das Unternehmen geltenden
        Datenschutzleitlinien dokumentiert und seine Mitarbeiter in deren
        Umsetzung geschult?

    *
    *
    *

*    *   34.

    *   Nachweispflicht

    *   Realisiert der Hersteller der digitalen Gesundheitsanwendung
        Maßnahmen, die gewährleisten, dass nachträglich überprüft und
        festgestellt werden kann, ob und von wem bei dem Hersteller
        gespeicherte personenbezogene Daten eingegeben, verändert oder
        entfernt worden sind?

    *
    *
    *

*    *   35.

    *   Nachweispflicht

    *   Kann der Hersteller der digitalen Gesundheitsanwendung jederzeit
        nachweisen, dass zu einer durchgeführten Verarbeitung
        personenbezogener Daten die erforderliche Einwilligung der betroffenen
        Person vorlag, soweit die Datenverarbeitung nicht auf anderer
        rechtlicher Grundlage erfolgt?

    *
    *
    *

*    *   36.

    *   Verarbeitung im Auftrag

    *   Werden über die digitale Gesundheitsanwendung oder den Hersteller der
        digitalen Gesundheitsanwendung personenbezogene Daten gar nicht an
        Auftragsverarbeiter oder ausschließlich an Auftragsverarbeiter
        weitergegeben, die über eine ausreichende Vertrauenswürdigkeit und
        Haftbarkeit verfügen, angemessene Mechanismen zum Schutz übernommener
        Daten realisieren und mit dem Hersteller in einem verpflichtenden
        vertraglichen Verhältnis stehen, das eine Abschwächung der dem
        Versicherten gegenüber gemachten Zusagen ausschließt?

    *
    *
    *

*    *   37.

    *   Datenweitergabe an Dritte

    *   Werden über die digitale Gesundheitsanwendung oder den Hersteller der
        digitalen Gesundheitsanwendung keine personenbezogenen Daten an Dritte
        weitergegeben, sofern dies nicht unmittelbar für die Erfüllung von
        Zwecken nach § 4 Absatz 2 Satz 1 Nummer 1 oder die Erfüllung
        gesetzlicher Vorschriften erforderlich und auf diese Zwecke beschränkt
        ist?

    *
    *
    *

*    *   38.

    *   Verarbeitung im Ausland

    *   Erfolgt die Verarbeitung von Gesundheitsdaten sowie
        personenidentifizierbaren Bestands- und Verkehrsdaten ausschließlich
        im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in
        einem diesem nach § 35 Absatz 7 des Ersten Buches Sozialgesetzbuch
        gleichgestellten Staat, oder auf Grundlage eines
        Angemessenheitsbeschlusses gemäß Artikel 45 der Verordnung (EU)
        2016/679?

    *
    *
    *

*    *   39.

    *   Weitere
        Gewährleistungsziele

    *   Ist die Verkettung von personenbezogenen Daten über zwei oder mehr
        digitale Gesundheitsanwendungen hinweg technisch ausgeschlossen oder
        muss die betroffene Person für eine Verkettung von Daten über zwei
        oder mehr digitale Gesundheitsanwendungen hinweg eine explizite,
        gesondert eingeholte, informierte Einwilligung abgeben?

    *
    *
    *   Die digitale Gesundheitsanwendung bietet keine technische Möglichkeit
        einer Verknüpfung oder eines Datenaustauschs mit anderen digitalen
        Gesundheitsanwendungen.

*    *   40.

    *   Weitere
        Gewährleistungsziele

    *   Ist sichergestellt, dass eine Offenbarung von Informationen der
        betroffenen Person oder über die betroffene Person für die
        Öffentlichkeit oder eine für die betroffene Person nicht eingrenzbare
        Personengruppe gar nicht oder immer nur infolge einer expliziten,
        aktiven Handlung der betroffenen Person erfolgt, der eine
        zielgruppengerechte Information über die Art der offenbarten
        Informationen und den möglichen Kreis der Empfänger zugrunde liegt?

    *
    *
    *   Die digitale Gesundheitsanwendung unterstützt keine Offenbarung von
        Informationen der betroffenen Person oder über die betroffene Person
        für die Öffentlichkeit oder eine für die betroffene Person nicht
        eingrenzbare Personengruppe.

*    *   Datensicherheit ****

*    *   **Basisanforderungen, die für alle digitalen Gesundheitsanwendungen
        gelten**

    *
    *

*    *   1.

    *   Informationssicherheits- und Servicemanagement

    *   Hat der Hersteller der digitalen Gesundheitsanwendung ein
        Informationssicherheitsmanagementsystem (ISMS) gemäß ISO 27001 oder
        gemäß ISO 27001 auf der Basis von IT-Grundschutz (BSI-Standard 200-2:
        IT-Grundschutz-Methodik) umgesetzt und kann ab dem 1. April 2022 auf
        Verlangen des Bundesinstituts für Arzneimittel und Medizinprodukte ein
        entsprechendes anerkanntes Zertifikat vorlegen?

    *
    *
    *

*    *   2.

    *   Informationssicherheits- und Service-Management

    *   Hat der Hersteller der digitalen Gesundheitsanwendung eine
        strukturierte Schutzbedarfsanalyse unter Betrachtung der
        Schadensszenarien „Verstoß gegen Gesetze/Vorschriften/Verträge“,
        „Beeinträchtigung des informationellen Selbstbestimmungsrechts“,
        „Beeinträchtigung der persönlichen Unversehrtheit“, „Beeinträchtigung
        der Aufgabenerfüllung“ und „negative Innen- oder Außenwirkung“
        durchgeführt und dokumentiert, in deren Ergebnis für die digitale
        Gesundheitsanwendung ein normaler, hoher oder sehr hoher Schutzbedarf
        gemäß der Definition des BSI-Standards 200-2 festgestellt wurde, und
        kann er die Dokumentation der Schutzbedarfsanalyse auf Verlangen des
        Bundesinstituts für Arzneimittel und Medizinprodukte vorlegen?

    *
    *
    *

*    *   3.

    *   Informationssicherheits- und Service-Management

    *   Hat der Hersteller der digitalen Gesundheitsanwendung Prozesse eines
        Release-, Change- und Configuration-Managements unter Berücksichtigung
        der Vorgaben der Verordnung (EU) 2017/745 umgesetzt und dokumentiert,
        die sicherstellen, dass Erweiterungen und Anpassungen der digitalen
        Gesundheitsanwendung, die selbst oder im Auftrag entwickelt wurden,
        ausreichend getestet und explizit freigegeben wurden, bevor sie
        produktiv gestellt werden?

    *
    *
    *

*    *   4.

    *   Verhinderung von Datenabfluss

    *   Hat der Hersteller der digitalen Gesundheitsanwendung sichergestellt,
        dass die Kommunikation der digitalen Gesundheitsanwendung mit anderen
        Diensten technisch soweit eingeschränkt ist, dass aus der digitalen
        Gesundheitsanwendung heraus keine ungewollte Datenkommunikation
        erfolgen kann, über die personenbezogene Daten versendet werden?

    *
    *
    *

*    *   5.

    *   Verhinderung von Datenabfluss

    *   Wird bei jeder über offene Netze stattfindenden Datenkommunikation
        zwischen verschiedenen Systembestandteilen der digitalen
        Gesundheitsanwendung zumindest eine Transportverschlüsselung gemäß des
        Mindeststandards des BSI zur Verwendung von Transport Layer Security
        (TLS) nach § 8 Absatz 1 Satz 1 des BSI-Gesetzes eingesetzt?

    *
    *
    *   Die digitale Gesundheitsanwendung löst keine über offene Netze
        stattfindende Datenkommunikation aus.

*    *   6.

    *   Verhinderung von Datenabfluss

    *   Prüft die digitale Gesundheitsanwendung bei jedem Zugriff auf über das
        Internet aufrufbare Funktionalitäten der digitalen
        Gesundheitsanwendung die Authentizität der aufgerufenen Dienste, bevor
        personenbezogene Daten mit diesen Diensten ausgetauscht werden?

    *
    *
    *   Die digitale Gesundheitsanwendung umfasst keine über das Internet
        aufrufbare Funktionalität.

*    *   7.

    *   Verhinderung von Datenabfluss

    *   Hat der Hersteller der digitalen Gesundheitsanwendung sichergestellt,
        dass die digitale Gesundheitsanwendung keine ungewollten Log- oder
        Hilfsdateien schreibt?

    *
    *
    *

*    *   8.

    *   Verhinderung von Datenabfluss

    *   Hat der Hersteller der digitalen Gesundheitsanwendung sichergestellt,
        dass die digitale Gesundheitsanwendung keine Fehlermeldungen ausgibt,
        die möglicherweise vertrauliche Informationen offenbaren?

    *
    *
    *

*    *   9.

    *   Authentisierung

    *   Müssen sich alle die digitale Gesundheitsanwendung nutzenden Personen
        über eine dem Schutzbedarf der durch die digitale Gesundheitsanwendung
        verarbeiteten Daten angemessene Methode authentisieren, bevor Zugriffe
        auf über die digitale Gesundheitsanwendung zugängliche Daten erfolgen
        können?

    *
    *
    *

*    *   10.

    *   Authentisierung

    *   Ist durch geeignete technische Maßnahmen sichergestellt, dass zur
        Authentisierung einer die digitale Gesundheitsanwendung nutzenden
        Person verwendete Daten niemals über ungesicherte
        Transportverbindungen ausgetauscht werden?

    *
    *
    *

*    *   11.

    *   Authentisierung

    *   Verwendet bzw. beinhaltet die digitale Gesundheitsanwendung eine
        zentrale Authentisierungskomponente, die mit etablierten
        Standardkomponenten umgesetzt wurde, die alleinig für die initiale
        Authentisierung zulässig ist und deren Vertrauenswürdigkeit durch
        Dienste der digitalen Gesundheitsanwendung verifizierbar ist?

    *
    *
    *

*    *   12.

    *   Authentisierung

    *   Erzwingt die digitale Gesundheitsanwendung, dass eine die digitale
        Gesundheitsanwendung nutzende Person die für ihre Authentisierung
        genutzten Daten nur ändern kann, wenn hierbei für die Prüfung der
        Authentizität dieser Person ausreichende Informationen beigegeben
        werden?

    *
    *
    *

*    *   13.

    *   Authentisierung

    *   Sofern die Authentisierung unter Nutzung eines Passworts erfolgt:

        –   Zwingt die digitale Gesundheitsanwendung alle die digitale
            Gesundheitsanwendung nutzenden Personen, sichere Passwörter gemäß
            einer Passwort-Richtlinie zu benutzen, die u. a. eine Mindestlänge für
            Passwörter vorgibt und Grenzwerte für fehlgeschlagene Anmeldeversuche
            definiert?

        –   Ist sichergestellt, dass Passwörter niemals im Klartext übertragen
            oder gespeichert werden?

        –   Wird das Ändern oder Zurücksetzen von Passwörtern protokolliert und
            wird die betroffene Person – sofern geeignete Kontaktdaten vorliegen –
            sofort über das Zurücksetzen oder Ändern des Passworts informiert?

    *
    *
    *   Die Authentisierung erfolgt nicht unter Nutzung eines Passworts

*    *   14.

    *   Authentisierung

    *   Sofern die digitale Gesundheitsanwendung Authentisierungsdaten auf
        einem Endgerät oder in einer darauf befindlichen Softwarekomponente
        speichert: Wird die explizite Zustimmung der die digitale
        Gesundheitsanwendung nutzenden Person abgefragt („Opt-In“) und wird
        diese auf die Risiken der Funktion hingewiesen?

    *
    *
    *   Die digitale Gesundheitsanwendung speichert keine
        Authentisierungsdaten auf einem Endgerät oder in einer darauf
        befindlichen Softwarekomponente

*    *   15.

    *   Authentisierung

    *   Sofern Informationen zur Identität oder Authentizität der die digitale
        Gesundheitsanwendung nutzenden Person oder zur Authentizität von
        Komponenten der digitalen Gesundheitsanwendung über dedizierte
        Sitzungen („Sessions“) zwischen Komponenten der digitalen
        Gesundheitsanwendung geteilt werden:

    *
    *
    *   Die digitale Gesundheitsanwendung nutzt keine Sessions.

*    *
    *
    *
        –   Werden alle Sitzungsdaten sowohl beim Austausch als auch bei der
            Speicherung mit technischen Maßnahmen, die dem Schutzbedarf der
            digitalen Gesundheitsanwendung angemessenen, sind geschützt und werden
            ggf. genutzte Session-IDs zufällig, mit ausreichender Entropie und
            über etablierte Verfahren erzeugt?

        –   Werden alle in einer Instanz einer digitalen Gesundheitsanwendung
            aufgebauten Sitzungen mit dem Abbruch oder der Beendigung der Nutzung
            der digitalen Gesundheitsanwendung invalidiert?

        –   Kann die die digitale Gesundheitsanwendung nutzende Person auch die
            explizite Invalidierung einer Sitzung erzwingen?

        –   Besitzen Sitzungen eine maximale Gültigkeitsdauer und werden inaktive
            oder unterbrochene Sitzungen automatisch nach einer bestimmten Zeit
            invalidiert?

        –   Resultiert die Invalidierung einer Sitzung im Löschen aller
            Sitzungsdaten und ist sichergestellt, dass eine einmal ungültig
            gewordene Sitzung auch bei Kenntnis einzelner Sitzungsdaten nicht
            wieder aktiviert werden kann?

    *
    *
    *

*    *   15a.

    *   Authentisierung

    *   Kann die digitale Gesundheitsanwendung bis spätestens zum 1. Januar
        2024 eine Authentisierung von GKV-Versicherten als die die digitale
        Gesundheitsanwendung nutzenden Personen über die sichere digitale
        Identität nach § 291 Absatz 8 des Fünften Buches Sozialgesetzbuch
        unterstützen?

    *
    *
    *

*    *   16.

    *   Zugriffskontrolle

    *   Stellt die digitale Gesundheitsanwendung sicher, dass jeder Zugriff
        auf geschützte Daten und Funktionen eine Berechtigungsprüfung
        durchläuft („complete mediation“), für die bei Zugriffen durch
        Betriebspersonal des Herstellers einer digitalen Gesundheitsanwendung
        eine dedizierte, alle geschützten Daten einschließende
        Autorisierungskomponente zum Einsatz kommt („reference monitor“ bzw.
        „secure node/application“), die eine vorherige sichere Authentisierung
        der zugreifenden Person erfordert?

    *
    *
    *

*    *   17.

    *   Zugriffskontrolle

    *   Werden alle Berechtigungen initial und per default restriktiv
        zugewiesen und können Berechtigungen ausschließlich über kontrollierte
        Verfahren ausgeweitet werden, die bei Änderungen der Berechtigungen
        für Betriebspersonal des Herstellers einer digitalen
        Gesundheitsanwendung wirksame Prüf- und Kontrollmechanismen nach einem
        Mehraugenprinzip beinhalten?

    *
    *
    *

*    *   18.

    *   Zugriffskontrolle

    *   Sofern die digitale Gesundheitsanwendung verschiedene Nutzerrollen
        vorsieht: Kann jede Rolle nur mit den für die Ausführung der mit der
        Rolle verbundenen Funktionalitäten erforderlichen Rechten auf
        Funktionen der digitalen Gesundheitsanwendung zugreifen?

    *
    *
    *   Die digitale Gesundheitsanwendung sieht keine unterschiedlichen
        Nutzerrollen vor.

*    *   19.

    *   Zugriffskontrolle

    *   Stellt der Hersteller der digitalen Gesundheitsanwendung sicher, dass
        Zugriffe auf Funktionen und Daten der digitalen Gesundheitsanwendung
        durch Betriebspersonal des Herstellers nur über sichere Netze und
        Zugangspunkte möglich sind?

    *
    *
    *

*    *   20.

    *   Zugriffskontrolle

    *   Resultieren alle Fehler und Fehlfunktionen der Zugriffskontrolle in
        einer Ablehnung von Zugriffen?

    *
    *
    *

*    *   21.

    *   Einbinden von Daten und Funktionen

    *   Kann sich der Versicherte ausschließlich innerhalb der
        Vertrauensdomäne der digitalen Gesundheitsanwendung bewegen bzw.
        können aus der digitalen Gesundheitsanwendung heraus nur
        vertrauenswürdige, durch den Hersteller der digitalen
        Gesundheitsanwendung geprüfte externe Inhalte genutzt werden und wird
        der Versicherte in diesem Fall informiert, wenn die Vertrauensdomäne
        der digitalen Gesundheitsanwendung verlassen wird?

    *
    *
    *

*    *   22.

    *   Einbinden von Daten und Funktionen

    *   Sofern die digitale Gesundheitsanwendung der nutzenden Person den
        Upload von Dateien erlaubt: Ist diese Funktion so weit wie möglich
        eingeschränkt (z. B. Ausschließen aktiver Inhalte), findet eine
        Sicherheitsprüfung der Inhalte statt und ist sichergestellt, dass
        Dateien nur im vorgegebenen Pfad gespeichert werden können?

    *
    *
    *   Die digitale Gesundheitsanwendung erlaubt keinen Upload von Dateien.

*    *   23.

    *   Protokollierung

    *   Führt die digitale Gesundheitsanwendung eine vollständige,
        nachvollziehbare, verfälschungssichere Protokollierung aller
        sicherheitsrelevanten – d. h. die sichere Identifizierung,
        Authentisierung und Autorisierung von Personen und Organisationen
        betreffenden – Ereignisse durch?

    *
    *
    *

*    *   24.

    *   Protokollierung

    *   Werden Protokollierungsdaten automatisiert ausgewertet, um
        sicherheitsrelevante Ereignisse zu erkennen bzw. proaktiv zu
        verhindern?

    *
    *
    *

*    *   25.

    *   Protokollierung

    *   Ist der Zugriff auf Protokollierungsdaten durch ein geeignetes
        Berechtigungsmanagement abgesichert und auf wenige befugte Personen
        und definierte Zwecke eingeschränkt?

    *
    *
    *

*    *   26.

    *   Regelmäßige und sichere Aktualisierung

    *   Informiert der Hersteller die betroffene Person (z. B. über Push-
        Mechanismen oder vor dem Start der digitalen Gesundheitsanwendung),
        wenn ein sicherheitsrelevantes Update der digitalen
        Gesundheitsanwendung zur Installation bereitgestellt oder durchgeführt
        wurde?

    *
    *
    *

*    *   27.

    *   Sichere Deinstallation

    *   Werden bei Deinstallation der digitalen Gesundheitsanwendung alle auf
        IT-Systemen in der Verfügung der betroffenen Person gespeicherten,
        durch die digitale Gesundheitsanwendung angelegten Daten und Dateien –
        einschließlich Caches und temporärer Dateien – gelöscht?

    *
    *
    *   Bei der digitalen Gesundheitsanwendung handelt es sich um eine rein
        webbasierte Anwendung.

*    *   28.

    *   Härtung

    *   Sofern Dienste der digitalen Gesundheitsanwendung über Web-Protokolle
        aufrufbar sind:

        –   Sind nicht benötigte Methoden der genutzten Protokolle bei allen über
            offene Netze aufrufbaren Diensten deaktiviert?

        –   Sind die zulässigen Zeichenkodierungen so restriktiv wie möglich
            eingeschränkt?

    *
    *
    *   Die digitale Gesundheitsanwendung umfasst keine über Web-Protokolle
        aufrufbaren Dienste.

*    *
    *
    *
        –   Sind für alle über offene Netze aufrufbaren Dienste Grenzwerte für
            Zugriffsversuche festgelegt?

        –   Ist sichergestellt, dass keine sicherheitsrelevanten Kommentare oder
            Produkt- und Versionsangaben preisgegeben werden?

        –   Werden nicht benötigte Dateien regelmäßig gelöscht?

        –   Ist sichergestellt, dass diese Dienste durch Suchmaschinen nicht
            erfasst werden?

        –   Wird auf absolute lokale Pfadangaben verzichtet?

        –   Wird ein Abruf von Quelltexten ausgeschlossen?

    *
    *
    *

*    *   29.

    *   Härtung

    *   Sofern die digitale Gesundheitsanwendung Daten verarbeitet, die durch
        die nutzende Person oder durch nicht durch die digitale
        Gesundheitsanwendung kontrollierte Quellen bereitgestellt werden:

        –   Werden diese Daten als potenziell gefährlich behandelt und
            entsprechend validiert und gefiltert?

        –   Erfolgt die Prüfung dieser Daten auf einem vertrauenswürdigen IT-
            System?

        –   Werden Fehleingaben möglichst nicht automatisch behandelt bzw. werden
            entsprechende Funktionalitäten sicher umgesetzt, damit ein Missbrauch
            ausgeschlossen ist?

        –   Werden diese Daten in einer Form kodiert, die sicherstellt, dass ein
            schadhafter Code nicht interpretiert oder ausgeführt wird?

        Erfolgt eine Trennung dieser Daten von konkreten Anfragen an
        datenhaltende Systeme (z. B. über Stored Procedures) bzw. werden
        Datenanfragen explizit gegen aus solchen Daten begünstigte
        Angriffsvektoren gesichert?

    *
    *
    *   Die digitale Gesundheitsanwendung verarbeitet keine Daten, die durch
        die nutzende Person oder durch nicht durch die digitale
        Gesundheitsanwendung kontrollierte Quellen bereitgestellt werden.

*    *   30.

    *   Härtung

    *   Ist durchgängig sichergestellt, dass Fehlerfälle in der digitalen
        Gesundheitsanwendung behandelt werden und zum Abbruch und ggf.
        Zurückrollen der angestoßenen Funktionen führen?

    *
    *
    *

*    *   31.

    *   Härtung

    *   Ist die digitale Gesundheitsanwendung durch geeignete
        Schutzmechanismen vor automatisierten Zugriffen geschützt, sofern
        diese nicht gewollte Nutzungsmöglichkeiten der digitalen
        Gesundheitsanwendung realisieren?

    *
    *
    *

*    *   32.

    *   Härtung

    *   Werden für den sicheren Betrieb der digitalen Gesundheitsanwendung
        relevante Konfigurationsdateien durch geeignete technische Maßnahmen
        vor Verlust und Verfälschung geschützt?

    *
    *
    *   Die digitale Gesundheitsanwendung nutzt keine Konfigurationsdateien
        bzw. diese sind für den sicheren Betrieb der digitalen
        Gesundheitsanwendung nicht relevant.

*    *   32a.

    *   Penetrationstests

    *   Hat der Hersteller der digitalen Gesundheitsanwendung für die im
        Verzeichnis nach § 139e Absatz 1 des Fünften Buches Sozialgesetzbuch
        aufzunehmende Version der digitalen Gesundheitsanwendung –
        einschließlich aller Backend-Komponenten – einen Penetrationstest
        durchgeführt, der dem vom Bundesamt für Sicherheit in der
        Informationstechnik empfohlenen Durchführungskonzept für
        Penetrationstests folgt, und – soweit die Anwendbarkeit gegeben ist –
        auch die jeweils aktuellen OWASP Top-10 Sicherheitsrisiken
        berücksichtigt, und kann er auf Nachfrage entsprechende Nachweise für
        die Durchführung der Penetrationstests und die Behebung der dabei
        gefundenen Schwachstellen vorlegen?

    *
    *
    *

*    *   33.

    *   Nutzung
        von Sensoren und externen Geräten

    *   Sofern die digitale Gesundheitsanwendung direkt auf Sensoren eines
        mobilen Endgeräts und/oder externe Hardware (z. B. körpernahe
        Sensorik) zugreift:

        –   Hat der Hersteller der digitalen Gesundheitsanwendung festgelegt,
            unter welchen Rahmenbedingungen Sensoren oder angebundene Geräte
            installiert, aktiviert, konfiguriert und verwendet werden können und
            wird das Bestehen dieser Rahmenbedingungen vor der Ausführung
            entsprechender Funktionalitäten soweit als möglich sichergestellt?

        –   Stellt die digitale Gesundheitsanwendung sicher, dass Sensoren und
            angebundene Geräte bei der Installation bzw. erstmaligen Aktivierung
            für die digitale Gesundheitsanwendung in eine Grundeinstellung
            versetzt werden, die einer dokumentierten Sicherheitsrichtlinie
            entspricht?

        –   Kann der Versicherte von der digitalen Gesundheitsanwendung direkt
            angesteuerte Sensoren und Geräte in eine Grundeinstellung
            zurücksetzen, die einer dokumentierten Sicherheitsrichtlinie
            entspricht?

        Ist ein Datenaustausch zwischen der digitalen Gesundheitsanwendung und
        direkt angesteuerten Sensoren oder Geräten erst dann möglich, wenn die
        Installation und Konfiguration der Sensoren bzw. Geräte vollständig
        abgeschlossen ist?

    *
    *
    *   Die digitale Gesundheitsanwendung greift weder auf Sensoren eines
        mobilen Endgeräts noch auf externe Hardware zu.

*    *   34.

    *   Nutzung
        von Sensoren und externen Geräten

    *   Sofern die digitale Gesundheitsanwendung Daten mit externer Hardware
        (z. B. körpernahe Sensorik) austauscht:

        –   Sind die Abläufe zur Installation, Konfiguration, Aktivierung und
            Deaktivierung dieser Hardware zielgruppengerecht beschrieben und
            soweit als möglich gegen Fehlbedienungen gesichert?

        –   Erfolgt eine wechselseitige Authentisierung zwischen der digitalen
            Gesundheitsanwendung und externer Hardware?

        –   Werden Daten zwischen der digitalen Gesundheitsanwendung und externer
            Hardware nach einem initialen Handshake nur noch verschlüsselt
            ausgetauscht?

        –   Ist sichergestellt, dass bei einer Deinstallation der digitalen
            Gesundheitsanwendung oder bei einer Beendigung von deren Nutzung alle
            auf externer Hardware gespeicherten Daten gelöscht werden?

        –   Hat der Hersteller der digitalen Gesundheitsanwendung dokumentiert,
            wie eine angebundene Hardware sicher deaktiviert werden kann, so dass
            keine Daten verloren gehen und keine sensiblen Daten auf dem Gerät
            verbleiben?

    *
    *
    *   Die digitale Gesundheitsanwendung tauscht keine Daten mit externer
        Hardware aus.

*    *   35.

    *   Nutzung von Fremdsoftware

    *   Führt der Hersteller eine vollständige Aufstellung aller in der
        digitalen Gesundheitsanwendung verwendeten Bibliotheken und anderen
        Software-Produkte, die nicht durch den Hersteller der digitalen
        Gesundheitsanwendung selbst entwickelt wurden?

    *
    *
    *

*    *   36.

    *   Nutzung von Fremdsoftware

    *   Stellt der Hersteller durch geeignete Verfahren der Marktbeobachtung
        sicher, dass von diesen Bibliotheken bzw. Produkten ausgehende,
        bislang nicht bekannte Risiken für den Datenschutz, die
        Datensicherheit oder die Patientensicherheit zeitnah erkannt werden?

    *
    *
    *

*    *   37.

    *   Nutzung von Fremdsoftware

    *   Hat der Hersteller Verfahren etabliert, um im Fall solcher erkannten
        Risiken geeignete Maßnahmen wie z. B. eine Sperrung der App und
        Benachrichtigungen der Nutzer unmittelbar umsetzen zu können?

    *
    *
    *

*    *   **Zusatzanforderungen bei digitalen Gesundheitsanwendungen mit sehr
        hohem Schutzbedarf**

*    *   1.

    *   Verschlüsselung gespeicherter Daten

    *   Werden auf nicht in der persönlichen Verfügung der nutzenden Person
        stehenden IT-Systemen verarbeitete personenbezogene Daten auf diesen
        Systemen nur verschlüsselt gespeichert?

    *
    *
    *

*    *   2.

    *   (weggefallen)

    *
    *
    *
    *

*    *   3.

    *   (weggefallen)

    *
    *
    *
    *

*    *   4.

    *   Authentisierung

    *   Wird zumindest für die initiale Authentisierung aller die digitale
        Gesundheitsanwendung nutzenden Personen eine Zwei-Faktor-
        Authentisierung erzwungen?

    *
    *
    *

*    *   5.

    *   Authentisierung

    *   Sofern die digitale Gesundheitsanwendung eine Rückfalloption auf eine
        Ein-Faktor-Authentisierung erlaubt:

        –   Wird die die digitale Gesundheitsanwendung nutzende Person auf die
            damit verbundenen Risiken hingewiesen und wird ein solcher Rückfall
            erst nach einer, über eine aktive Handlung bestätigten, Zustimmung der
            nutzenden Person aktiviert?

        –   Kann die die digitale Gesundheitsanwendung nutzende Person diese
            Rückfall-Option jederzeit aus der digitalen Gesundheitsanwendung
            heraus wieder deaktivieren?

    *
    *
    *   Die digitale Gesundheitsanwendung erlaubt keine Rückfalloption auf
        eine Ein-Faktor-Authentisierung.

*    *   6.

    *   (weggefallen)

    *
    *
    *
    *

*    *   7.

    *   Authentisierung

    *   Sofern die digitale Gesundheitsanwendung eine Nutzerrolle für
        Leistungserbringer vorsieht:
        Kann die digitale Gesundheitsanwendung bis spätestens zum 31. Dezember
        2020 eine Authentisierung von Leistungserbringern als die die digitale
        Gesundheitsanwendung nutzende Personen über einen elektronischen
        Heilberufsausweis mit kontaktloser Schnittstelle unterstützen?

    *
    *
    *   Die digitale Gesundheitsanwendung sieht keine Nutzung durch
        Leistungserbringer vor.

*    *   8.

    *   Maßnahmen gegen DoS und DDoS

    *   Werden an über offene Netze zugängliche Dienste der digitalen
        Gesundheitsanwendung gesandte Nachrichten (XML, JSON, etc.) und Daten
        gegen definierte Schemata geprüft?

    *
    *
    *   Die digitale Gesundheitsanwendung tauscht keine Daten mit bzw.
        zwischen über offene Netze zugänglichen Diensten aus.

*    *   9.

    *   Eingebettete Webserver

    *   Sofern zu der digitalen Gesundheitsanwendung gehörende Komponenten
        Webserver – z. B. zur Administration oder Konfiguration – nutzen:

        –   Ist der Webserver möglichst restriktiv konfiguriert?

        –   Sind nur die benötigten Komponenten und Funktionen des Webservers
            installiert bzw. aktiviert?

        –   Wird der Webserver soweit möglich nicht unter einem privilegierten
            Konto betrieben?

        –   Werden sicherheitsrelevante Ereignisse protokolliert?

        –   Ist der Zugang nur nach Authentisierung möglich?

        –   Ist jegliche Kommunikation mit dem Webserver verschlüsselt?

    *
    *
    *   Die digitale Gesundheitsanwendung nutzt keinen Webserver.

Source: https://www.gesetze-im-internet.de/digav/__4.html
Directory: digav
Level: 3.0