Deutschland · DSGVO · § 203 StGB · § 630f BGB · NIS2 · SGB V
Gli studi tedeschi rispondono alle regole europee che tutti conoscono, e poi a un secondo strato specificamente tedesco. Una di quelle regole tedesche non è affatto una regola di protezione dei dati — è diritto penale, e mette personalmente a rischio il terapeuta per la scelta del fornitore di software.
Questa pagina spiega lo strato tedesco in parole ordinarie, dice che cosa possiamo mettere per iscritto, ed è altrettanto chiara sulla parte del mercato tedesco che non possiamo servire. Quest'ultima sezione è breve e non è nascosta.
Quasi ogni articolo scritto sui dati sanitari in Germania parla in realtà della DSGVO — il nome tedesco del GDPR. Quella parte è europea e si applica identica a Vienna, Amsterdam e Berlino. È trattata nella pagina sul GDPR, e tutto quanto vi è detto vale qui immutato.
Ciò che rende la Germania diversa è il secondo strato che vi si appoggia sopra: diritto nazionale che va oltre il GDPR, in modi che cambiano ciò che uno studio può acquistare. Ne fanno parte quattro pezzi, e il primo è quello che nessuno si aspetta.
Nella sanità tedesca la riservatezza non è solo un dovere deontologico. Violarla è un reato. E dalla riforma del 2017 il professionista commette un reato anche se lascia che un fornitore informatico si avvicini ai dati dei pazienti senza averlo prima vincolato al segreto per iscritto.
Perché conta per una decisione sul software: è la regola che decide se uno studio possa legittimamente acquistare da noi. Sezione 02.
Le cartelle dei pazienti vanno conservate per dieci anni dopo la fine del trattamento — non dieci anni dopo la formazione del fascicolo. Il codice deontologico degli psicoterapeuti dice lo stesso.
Perché conta: una regola di conservazione contata dalla data sbagliata è sbagliata ogni volta. La nostra conservazione parte dalla fine del trattamento, che è l'ancoraggio giusto. Sezione 05.
In vigore in Germania da dicembre 2025. La sanità rientra nell'ambito, e la soglia è all'incirca 50 dipendenti o 10 milioni di euro di fatturato. Porta con sé un programma di gestione del rischio, la segnalazione degli incidenti entro 24 e 72 ore, obblighi sulla catena di fornitura — e responsabilità personale della dirigenza.
Perché conta: uno studio singolo è fuori ambito; un gruppo che cresce no. Sezione 06.
Per fatturare alle casse malattia obbligatorie attraverso una Kassenärztliche Vereinigung, uno studio deve usare un sistema che abbia superato la valutazione di conformità KOB di gematik e sia collegato alla Telematikinfrastruktur.
Perché conta: non abbiamo quella certificazione, quindi la fatturazione convenzionata ci è preclusa. È un confine, non un arretrato, e la sezione 07 lo dice chiaramente.
Se gestite uno studio privato — Privatpraxis, Selbstzahler, assicurazione privata o Beihilfe — tutto ciò che è in questa pagina è praticabile e il § 203 è la conversazione da fare. Se avete un Kassensitz e fatturate a una KV, vi serve un sistema certificato KOB e noi non lo siamo; la risposta onesta è che non siamo il vostro gestionale di studio, e la sezione 07 spiega che cosa potremmo comunque essere.
È la sezione più importante della pagina, e vale la pena leggerla anche se delegate ogni altra questione di conformità. È breve, è insolita, e decide se un acquisto sia lecito.
Uno psicoterapeuta tedesco che lasci vedere il fascicolo di un paziente alla persona sbagliata non viola soltanto una regola deontologica. Commette un reato.
È sempre stato vero. Ciò che è cambiato nel 2017 è come si applica alla realtà ordinaria per cui qualcuno deve pur manutenere il software.
La legge ha creato una categoria chiamata sonstige mitwirkende Personen — altre persone che collaborano. Un fornitore informatico può essere ammesso dentro la cerchia del segreto, nella misura necessaria al lavoro, e non oltre. La parola della norma è erforderlich.
Quindi un fornitore che veda dati di pazienti durante una sessione di supporto non è automaticamente una violazione. È lecito — se è soddisfatta la condizione qui sotto.
Il professionista deve vincolare il fornitore al segreto per iscritto, e deve espressamente istruirlo sulle conseguenze penali di una violazione, prima che l'accesso sia dato.
Se non lo fa, il reato l'ha commesso il professionista — fino a un anno di reclusione o una pena pecuniaria. Non il fornitore. Il professionista.
È la parte che sorprende. L'illecito è il mancato vincolo, non la fuga di notizie. Uno studio che abbia dato accesso a un fornitore senza la dichiarazione ha già commesso il reato, in un giorno in cui non è andato storto assolutamente nulla.
Ecco perché l'avvocato di uno studio tedesco chiederà questo documento prima della firma, e bloccherà l'acquisto se non esiste.
La dott.ssa Weber, studio con quattro terapeuti, Monaco
Stesso studio, stesso martedì
L' Auftragsverarbeitungsvertrag (AVV) è il contratto di trattamento previsto dal GDPR. Ogni fornitore ne ha uno, e protegge dalle sanzioni dell'autorità per la protezione dei dati.
L' La Verpflichtungserklärung § 203 è un documento distinto di diritto penale. Protegge il professionista dall'azione penale. Un AVV non soddisfa il § 203, e un fornitore che offre solo un AVV non ha risposto alla domanda. Servono entrambi.
Una Verpflichtungserklärung § 203 è breve — due o tre pagine. Qui sotto c'è ciò che contiene, e accanto a ogni clausola ciò che possiamo onestamente promettere. Alcune di queste sono più forti per noi che per un fornitore cloud, e una è un'ammissione netta.
Leggete con attenzione la colonna dello stato. L'architettura che rende credibili queste promesse esiste oggi. Il documento in sé non esiste ancora, e questa pagina non farà finta del contrario.
| Clausola della dichiarazione | Stato | Che cosa dice, e che cosa possiamo promettere |
|---|---|---|
| 1 · Chi e che cosa | — | Nomina entrambe le parti e indica quale contratto di servizio integra. È un'appendice all'accordo principale, mai un documento a sé, e sta accanto all'AVV anziché dentro di esso. |
| 2 · Riconoscimento della qualifica | — | Confermiamo per iscritto di agire come sonstige mitwirkende Person ai sensi del § 203 comma 3 — cioè accettiamo di stare dentro la cerchia del segreto anziché essere un estraneo con un contratto. Accettare quella qualifica è ciò che rende lecito il coinvolgimento che lo studio fa di noi. |
| 3 · La promessa di riservatezza | — | Teniamo segreto tutto ciò che apprendiamo: nomi, appuntamenti, contenuto delle sedute — e il fatto stesso che una persona nominata sia un paziente. In psicoterapia quest'ultimo è spesso tutto il segreto, e una clausola che lo omette ha mancato il punto. |
| 4 · Accesso solo nella misura necessaria | ✓ | Il criterio della norma è erforderlich — necessario. È qui che la nostra architettura si guadagna il posto. Non deteniamo alcuna copia dei vostri dati : il sistema gira sul vostro server. Non abbiamo alcun accesso permanente. L'accesso del supporto si richiede, si concede per un lavoro e si ritira. Non è una politica che vi chiediamo di credere; è ciò che significa auto-ospitare. |
| 5 · La Belehrung — istruzione sulle conseguenze penali | — | Il documento deve dire espressamente che una violazione è punita dal § 203 comma 4 primo periodo StGB con la reclusione fino a un anno o con una pena pecuniaria. Una clausola di riservatezza priva di questo avvertimento non soddisfa la norma — è il difetto più comune nella documentazione dei fornitori, perché i normali accordi di riservatezza non lo contengono mai. |
| 6 · Il nostro personale, vincolato uno per uno | — | Non basta che una società prometta. Ogni tecnico che potrebbe raggiungere il vostro sistema deve essere impegnato personalmente per iscritto. La dichiarazione ci obbliga a farlo e a conservarne le prove. |
| 7 · Subappaltatori | ⚙ | Chiunque coinvolgiamo — hosting, backup, uno sviluppatore esterno — deve essere concordato con voi in anticipo e vincolato in modo identico prima prima di toccare qualsiasi cosa. La catena dev'essere ininterrotta e voi dovete sapere chi ne fa parte. Poiché ospitate il sistema voi stessi, questa catena è di norma molto corta o vuota, e l'estremità dell'hosting la controllate voi. |
| 8 · L'obbligo sopravvive al contratto | — | Non cinque anni. A tempo indeterminato. Un tecnico che ci lascia resta vincolato nel 2040, e lo restiamo noi dopo che avrete smesso di essere clienti. |
| 9 · Restituzione o distruzione alla fine | ✓ | Confermata per iscritto alla fine del rapporto. Per noi è più leggera che per la maggior parte: di norma dalla nostra parte non c'è nulla da restituire, perché i dati non hanno mai lasciato il vostro server. Dove sia stata fatta un'estrazione diagnostica per un caso di supporto, se ne conferma la distruzione. |
| 10 · Recesso immediato | — | Potete chiudere il contratto all'istante se la conformità cessa di essere assicurata. È una protezione vostra, non nostra, e va messa nel documento. |
| 11 · Forma | — | La Textform è sufficiente — un PDF firmato via email basta per i professionisti sanitari. Solo i notai richiedono la forma scritta piena. Non è quindi un ostacolo a un acquisto a distanza. |
| 12 · Prova che le clausole sono state rispettate | ✓ | Non è una clausola standard, e vale la pena aggiungerla. Ogni apertura di una cartella clinica è scritta in un registro prima che il contenuto sia mostrato — compresa la nostra durante il supporto. Il registro è in sola aggiunta e concatenato, quindi le voci non si possono modificare né rimuovere, né dal vostro amministratore né da noi. Se qualcuno chiedesse mai chi ha visto un fascicolo e quando, la dichiarazione è sostenuta da una registrazione anziché da un'assicurazione. |
Le righe contrassegnate ✓ descrivono come funziona la piattaforma oggi e ve lo si può mostrare in una dimostrazione. Il documento non è redatto. Va scritto e va rivisto da un Fachanwalt für Medizinrecht tedesco prima di arrivare a qualunque studio, perché la responsabilità di cui tratta è penale e un modello trovato in rete non basta.
Se ci state valutando e questo documento è nella vostra lista di controllo, ditelo presto. È un lavoro breve e non è una dipendenza tecnica — ma non va improvvisato nella settimana della firma.
Un gestionale di studio in cloud tiene le vostre cartelle dei pazienti sulla propria infrastruttura, e il suo personale può raggiungerle per come è progettato. La sua esposizione al § 203 è permanente e ampia, e nessuna formulazione la cambia.
La nostra risposta a « quanto ha bisogno di vedere il fornitore? » è di norma, nulla — e quando la risposta è « per la prossima ora », l'accesso lo concedete voi, viene registrato e viene ritirato. Il criterio di legge è la necessità, e questa è una questione di architettura prima che di redazione.
Il § 203 ruota attorno a una domanda: quanto ha avuto bisogno di vedere il fornitore, e potete dimostrarlo. Ecco quindi la sequenza, passo per passo, per il caso ordinario in cui qualcosa si rompe e ci chiedete di guardare.
Il sistema gira sul vostro server, nel vostro edificio o nel vostro centro dati. Non c'è alcuna connessione permanente da noi verso di esso e nessuna copia dei vostri dati dalla nostra parte. È lo stato in cui il sistema si trova quasi sempre.
Di solito con una descrizione e una schermata, che spesso basta da sola.
Molti problemi si risolvono dai log e dal testo dell'errore senza alcun accesso ai dati dei pazienti. È anche la risposta più economica sotto il § 203, oltre che la più rapida.
Non un account permanente. Un account per questo pezzo di lavoro, che potete chiudere in qualunque momento.
Non c'è alcuna porta di servizio per il fornitore né alcuna deroga di manutenzione. Un account di supporto è soggetto agli stessi controlli dell'account di una clinica.
non esiste alcuna deroga generaleLe cartelle cifrate si aprono solo per chi ha una relazione di cura registrata con quel paziente. Un tecnico del supporto non ne ha, quindi la risposta ordinaria è il rifiuto — e il caso di supporto ordinario non ne ha mai bisogno.
Prima che il contenuto compaia. In sola aggiunta e concatenato, così una voce non può essere rimossa in silenzio dopo — né da noi né dal vostro amministratore.
E la registrazione di ciò che era raggiungibile, e per quanto tempo, resta.
Chi si è collegato, quando, che cosa ha aperto. È la prova che il criterio di necessità è stato rispettato — esattamente ciò che chiederanno un avvocato, un auditor o un paziente che si lamenta.
Il § 630f comma 3 BGB impone di conservare le cartelle dei pazienti per dieci anni dopo la fine del trattamento. Il codice deontologico degli psicoterapeuti dice lo stesso. Sembra semplice ed è il punto in cui un numero sorprendente di sistemi sbaglia in silenzio.
| Che cosa chiede la regola | Stato | Come funziona qui |
|---|---|---|
| Dieci anni dalla fine del trattamento§ 630f comma 3 BGB | ✓ | L'orologio parte da una data memorizzata — la fine della relazione di cura — e non da quando un documento è stato creato. Un appunto scritto nella prima seduta e uno scritto nell'ultima si conservano fino allo stesso giorno, che è ciò che la regola intende e non ciò che produrrebbe una regola basata sull'età del file. |
| Il periodo tedesco, pronto all'uso | ⚙ | Il meccanismo è costruito e il periodo tedesco di dieci anni si inserisce come impostazione. Forniamo il calendario NHS già pronto per i clienti britannici e non forniamo ancora un equivalente tedesco, quindi è una riga di configurazione all'installazione anziché qualcosa di già compilato. Preferiamo dirlo piuttosto che lasciarvelo scoprire. |
| Una distruzione che si può dimostrare | ✓ | Alla scadenza del periodo viene distrutta la chiave di cifratura anziché la riga. Il contenuto diventa definitivamente illeggibile mentre restano un guscio vuoto e la pista di audit — così potete dimostrare che una cartella è esistita ed è stata distrutta nei tempi, cosa che una riga cancellata non consente. |
| Nulla viene distrutto mentre pende un blocco | ✓ | Un blocco legale sospende la distruzione. Un contenzioso, un reclamo o una controversia assicurativa fermano l'orologio senza che qualcuno debba ricordarsi di intervenire. |
| Periodi più lunghi dove si applicano | ⚙ | Certo materiale si conserva per trent'anni in base ad altre disposizioni — di solito non rilevante per la psicoterapia, ma se il vostro studio ne detiene, il periodo si imposta per tipo di documento e non per l'intero fascicolo. |
NIS2 è la direttiva europea sulla cibersicurezza. La Germania l'ha recepita nel dicembre 2025, e la sanità è uno dei settori che copre. La soglia è all'incirca 50 dipendenti o 10 milioni di euro di fatturato.
Uno studio singolo è fuori ambito e può smettere di leggere qui. Un gruppo di sei sedi con sessanta dipendenti è dentro l'ambito — e gli obblighi sono reali: un programma documentato di gestione del rischio, una prima segnalazione di incidente entro 24 ore e una più completa entro 72, verifiche sui vostri fornitori, e responsabilità personale della dirigenza.
La maggior parte dei gestionali di studio non ha nulla da dire in proposito, perché non è una funzione di gestione delle cartelle. Noi sì, perché la stessa macchina era già costruita per le regole sanitarie americane e i due elenchi si sovrappongono quasi del tutto.
| Che cosa NIS2 chiede a voi | Stato | Che cosa la piattaforma già contiene |
|---|---|---|
| Un programma di gestione del rischio, messo per iscritto | ✓ | Un registro dei rischi: ogni rischio con il suo bene, la minaccia, la debolezza, la probabilità, l'impatto, il controllo già in essere, il rischio residuo, un responsabile e una data di riesame. Una valutazione non può essere approvata finché un rischio non è valutato, e una senza alcun rischio dentro non può essere approvata affatto — un registro vuoto è un rilievo, non un certificato di buona salute. |
| Gestione degli incidenti | ✓ | Una scheda di incidente con il momento in cui ne siete venuti a conoscenza, che cosa era in gioco, chi era coinvolto e le decisioni prese. Gli orologi delle 24 e delle 72 ore hanno la stessa forma dell'orologio delle 72 ore del GDPR già costruito, contati dalla conoscenza e non dall'evento. |
| Continuità operativa e backup | ✓ | Un piano di continuità, le sue prove con i relativi esiti, e un'analisi di quali sistemi e quali dati contino di più. Le registrazioni delle prove sono la parte che gli auditor chiedono, perché un backup che nessuno ha mai ripristinato è una speranza e non un controllo. |
| Sicurezza della catena di fornitura | ✓ | Un registro dei fornitori con gli accordi e le loro date — e una comunicazione verso un fornitore è rifiutata se l'accordo è scaduto. Aiuta anche che il vostro fornitore più sensibile, quello del software, non detenga alcun vostro dato. |
| Controllo degli accessi, ingressi e uscite | ✓ | Un registro delle autorizzazioni che dice chi ha ricevuto che cosa e quando è stato riesaminato l'ultima volta, e una registrazione di cessazione — la prova che l'accesso è finito il giorno in cui qualcuno se n'è andato e non tre mesi dopo. |
| Formazione e consapevolezza | ✓ | Registrazioni di formazione per persona, accanto alle qualifiche e alle date di scadenza che lo studio già traccia. |
| Crittografia e accesso ai dati | ✓ | Documenti clinici cifrati singolarmente sotto chiavi tenute fuori dal database, con ogni apertura registrata. Si veda la pagina sui documenti sicuri per come funziona e dove sono i suoi limiti. |
| Riesame di efficacia | ✓ | Una registrazione di valutazione periodica con una data sopra, così che « quando avete verificato l'ultima volta se tutto questo funziona ancora? » abbia una risposta. |
| Registrazione presso il BSI | — | Spetta a voi, non a noi. La finestra di registrazione tedesca si è aperta con la legge e si è chiusa a marzo 2026; se rientrate nell'ambito e non vi siete registrati, è una conversazione per il vostro legale e non per un fornitore di software. |
Ogni riga qui sopra è un posto in cui tenere una registrazione. Un registro dei rischi senza nulla dentro non prova nulla, e un auditor guarda le registrazioni e non se il software abbia un posto in cui tenerle. Ciò che la piattaforma toglie è la scusa che non ci fosse dove scriverlo — e il costo di comprare uno strumento di governance a parte per farlo.
Questa sezione esiste perché lo scoprireste comunque, e scoprirlo tardi è peggio per entrambi. È breve.
Lo studio privato è davvero aperto. Privatpraxis, Selbstzahler, assicurazione privata e Beihilfe non hanno bisogno di nulla di quanto sopra, e le liste d'attesa del convenzionato tedesco hanno reso la psicoterapia privata una parte ampia e in crescita del mercato.
E uno studio con un Kassensitz non è necessariamente fuori dalla conversazione. Il binario convenzionato è una parte del gestire uno studio. Le attività multi-sede, la pianificazione del personale, i compensi ai professionisti, i contratti, i documenti clinici sicuri e il programma di governance della sezione 06 sono le parti che i sistemi tedeschi certificati gestiscono peggio, perché sono stati costruiti per studi da una a cinque persone. Alcuni gruppi ci usano accanto a un PVS certificato anziché al posto suo. È una forma di installazione reale, e vale la pena discuterne apertamente anziché fingere che la certificazione non conti.
Non un elenco di funzioni — i sistemi tedeschi di funzioni ne hanno molte. Questi sono i punti in cui il modo in cui la piattaforma è costruita produce una risposta che gli operatori storici non possono strutturalmente dare.
Auto-ospitato sul vostro server. Non ne deteniamo copia. È la risposta più breve possibile al criterio di necessità del § 203, e nessun servizio cloud può darla.
Una richiesta di cancellazione distrugge la chiave di cifratura, non solo la riga. Il contenuto diventa definitivamente illeggibile mentre la prova della distruzione sopravvive. Cancellare una riga di database è reversibile da un backup; questo no.
Ogni apertura di una cartella clinica, scritta prima che il contenuto compaia, in una catena in cui una voce rimossa si rileva. Nemmeno il vostro amministratore può cambiarla in silenzio.
Non la qualifica. Una terapeuta raggiunge i propri pazienti, non quelli dello studio, e l'accesso finisce quando finisce la relazione. È la necessità minima costruita nell'archiviazione anziché scritta in una politica.
Non c'è alcuna deroga di manutenzione né alcun super-utente del supporto. E nemmeno un account amministratore apre da solo contenuti clinici.
Pianificazione multi-sede, compensi ai professionisti, contratti e rendicontazione di gruppo. Gli operatori storici tedeschi sono stati costruiti per studi da una a cinque persone e lo si vede appena un gruppo cresce.
Registro dei rischi, schede di incidente, prove di continuità, formazione, riesami degli accessi. Non uno strumento a parte e non il foglio di calcolo di un consulente.
Costruito su Odoo Community. I vostri esperti di sicurezza, o dei collaudatori che ingaggiate, possono leggere ogni riga anziché credere sulla parola a un fornitore.
I moduli di consenso e i contratti di cura si firmano sul vostro sistema con una pista di audit propria. Nulla viene inviato a un servizio di firma esterno per essere controfirmato.
Il diritto tedesco pone i suoi obblighi in capo al professionista e allo studio, non al software. Un fornitore può custodire le prove e rendere reale il flusso di lavoro. Non può essere il Berufsgeheimnisträger.
Nulla qui è consulenza legale, e nessun software è « DSGVO-zertifiziert » o « § 203-konform » — quei certificati per i prodotti non esistono. Tutto ciò che segue spetta a voi, e ogni affermazione di questa pagina va confermata con un Fachanwalt für Medizinrecht tedesco prima di arrivare a un contratto. Vale con particolare forza per il § 203, perché lì la responsabilità è penale.
Le regole europee si applicano qui come ovunque e sono trattate nella pagina sul GDPR. Sopra di esse la Germania aggiunge il segreto professionale penale, che rende la scelta del fornitore una questione giuridica per il professionista anziché una questione di acquisti — e l'auto-ospitalità è la risposta più forte disponibile. Le cartelle si conservano dieci anni dalla fine del trattamento, cosa che i nostri ancoraggi di conservazione gestiscono correttamente. I gruppi più grandi ricadono ora sotto NIS2, e il programma di governance che la piattaforma già porta copre gran parte di ciò che quella chiede. Ciò che non abbiamo è il binario convenzionato: niente certificazione KOB, niente Telematikinfrastruktur, niente fatturazione alle KV, nessun servizio video certificato. Lo studio privato ci è aperto; un Kassensitz ha bisogno di un sistema certificato, accanto a noi o al posto nostro.
