Deutschland · DSGVO · § 203 StGB · § 630f BGB · NIS2 · SGB V
Tyske praksiser er bundet av de europeiske reglene alle kjenner, og deretter av et annet lag som er spesifikt tysk. Én av de tyske reglene er ikke en personvernregel i det hele tatt — den er strafferett, og den setter terapeuten personlig i fare for valget av programvareleverandør.
Denne siden forklarer det tyske laget i vanlige ord, sier hva vi kan sette på papiret, og er like klar om den delen av det tyske markedet vi ikke kan tjene. Det siste avsnittet er kort, og det er ikke gjemt bort.
Nesten hver artikkel som skrives om helseopplysninger i Tyskland handler egentlig om DSGVO — det tyske navnet på GDPR. Den delen er europeisk og gjelder likt i Wien, Amsterdam og Berlin. Den er dekket på GDPR-siden, og alt der gjelder her uendret.
Det som gjør Tyskland annerledes, er det andre laget som ligger oppå: nasjonal rett som går lenger enn GDPR, på måter som endrer hva en praksis kan kjøpe. Det har fire deler, og den første er den ingen venter.
Fortrolighet i tysk helsetjeneste er ikke bare en yrkesplikt. Å bryte den er en straffbar handling. Og siden en lovendring i 2017 begår utøveren også en straffbar handling hvis de slipper en IT-leverandør nær pasientopplysninger uten først å binde leverandøren til taushet skriftlig.
Derfor betyr det noe for et programvarevalg: dette er regelen som avgjør om en praksis i det hele tatt lovlig kan kjøpe av oss. Avsnitt 02.
Pasientjournaler må bevares i ti år etter at behandlingen er avsluttet — ikke ti år etter at journalen ble opprettet. Yrkesetikken for psykoterapeuter sier det samme.
Derfor betyr det noe: en oppbevaringsregel som regnes fra feil dato er feil hver gang. Vår oppbevaring regner fra behandlingens slutt, som er riktig anker. Avsnitt 05.
I kraft i Tyskland siden desember 2025. Helse er omfattet, og terskelen er omtrent 50 ansatte eller 10 mill. euro i omsetning. Den gir et program for risikostyring, hendelsesrapportering innen 24 og 72 timer, plikter i leverandørkjeden — og personlig ansvar for ledelsen.
Derfor betyr det noe: en enkeltstående praksis er utenfor; en gruppe i vekst er ikke. Avsnitt 06.
For å fakturere de lovpålagte forsikringene gjennom en Kassenärztliche Vereinigung må en praksis kjøre et system som har bestått gematiks KOB-samsvarsvurdering og er koblet til Telematikinfrastruktur.
Derfor betyr det noe: vi har ikke den sertifiseringen, så offentlig fakturering er stengt for oss. Dette er en grense, ikke en restanse, og avsnitt 07 sier det rett ut.
Om du driver en privat praksis — Privatpraxis, Selbstzahler, privat forsikring eller Beihilfe — er alt på denne siden gjennomførbart, og § 203 er samtalen å ta. Har du en Kassensitz og fakturerer en KV, trenger du et KOB-sertifisert system, og vi er ikke ett; det ærlige svaret er at vi ikke er praksissystemet ditt, og avsnitt 07 forklarer hva vi likevel kunne være.
Dette er det viktigste avsnittet på siden, og det er verdt å lese selv om du delegerer hvert annet etterlevelsesspørsmål. Det er kort, det er uvanlig, og det avgjør om et kjøp er lovlig.
En tysk psykoterapeut som lar feil person se en pasientjournal bryter ikke bare en yrkesregel. De begår en straffbar handling.
Det har alltid vært sant. Det som endret seg i 2017, er hvordan det slår inn i den vanlige virkeligheten at noen må vedlikeholde programvaren.
Loven skapte en kategori som heter sonstige mitwirkende Personen — andre medvirkende personer. En IT-leverandør kan slippes inn i taushetskretsen, så langt det er nødvendig for arbeidet, og ikke lenger. Lovens ord er erforderlich.
At en leverandør ser pasientopplysninger under en støttesesjon er derfor ikke automatisk et brudd. Det er lovlig — hvis vilkåret under er oppfylt.
Utøveren må binde leverandøren til taushet skriftlig, og må uttrykkelig opplyse dem om de strafferettslige følgene av et brudd, før tilgang gis.
Gjør de det ikke, har utøveren begått den straffbare handlingen — inntil ett års fengsel eller bot. Ikke leverandøren. Utøveren.
Dette er delen som overrasker folk. Det urette er unnlatelsen av å binde, ikke lekkasjen. En praksis som ga en leverandør tilgang uten erklæringen har allerede begått handlingen, på en dag da ingenting som helst gikk galt.
Derfor vil advokaten til en tysk praksis be om dette dokumentet før signering, og stanse kjøpet hvis det ikke finnes.
Dr. Weber, praksis med fire terapeuter, München
Samme praksis, samme tirsdag
Auftragsverarbeitungsvertrag (AVV) er databehandleravtalen etter DSGVO. Hver leverandør har en, og den verner mot gebyrer fra personverntilsynet.
§ 203 Verpflichtungserklärung er et eget dokument etter strafferetten. Det verner utøveren mot straffeforfølgning. En AVV oppfyller ikke § 203, og en leverandør som bare tilbyr en AVV har ikke svart på spørsmålet. Begge trengs.
En § 203 Verpflichtungserklärung er kort — to til tre sider. Under står hva en slik inneholder, og ved siden av hvert punkt hva vi ærlig kan love opp mot det. Noen av dem er sterkere for oss enn for en skyleverandør, og ett av dem er en rett innrømmelse.
Les statuskolonnen nøye. Arkitekturen som gjør disse løftene troverdige finnes i dag. Selve dokumentet finnes ennå ikke, og denne siden skal ikke gi inntrykk av noe annet.
| Punkt i erklæringen | Status | Hva det sier, og hva vi kan love |
|---|---|---|
| 1 · Hvem og hva | — | Navngir begge parter og sier hvilken tjenestekontrakt den utfyller. Den er et tillegg til hovedavtalen, aldri et frittstående dokument, og den ligger ved siden av AVV framfor inne i den. |
| 2 · Erkjennelse av status | — | Vi bekrefter skriftlig at vi opptrer som en sonstige mitwirkende Person etter § 203 Abs. 3 — det vil si at vi godtar å være inne i taushetskretsen framfor å være en utenforstående med en kontrakt. At vi godtar den statusen, er det som gjør praksisens bruk av oss lovlig. |
| 3 · Taushetsløftet | — | Vi holder alt vi får vite hemmelig: navn, avtaler, innhold i timer — og selve det at en navngitt person er pasient. I psykoterapi er det siste ofte hele hemmeligheten, og et punkt som utelater det har mistet poenget. |
| 4 · Tilgang bare så langt det er nødvendig | ✓ | Lovens test er erforderlich — nødvendig. Her gjør arkitekturen vår seg fortjent til plassen sin. Vi har ingen kopi av opplysningene dine: systemet kjører på din server. Vi har ingen stående tilgang. Støttetilgang bes om, gis for en oppgave, og trekkes tilbake. Det er ikke en policy vi ber deg stole på; det er hva egen drift betyr. |
| 5 · Belehrung — opplysning om de strafferettslige følgene | — | Dokumentet må uttrykkelig si at et brudd straffes etter § 203 Abs. 4 Satz 1 StGB med inntil ett års fengsel eller bot. Et taushetspunkt uten denne advarselen oppfyller ikke loven — det er den enkeltvis vanligste mangelen i leverandørpapirer, fordi vanlige konfidensialitetsavtaler aldri inneholder den. |
| 6 · Våre egne ansatte, bundet hver for seg | — | Det er ikke nok at et selskap lover. Hver utvikler som kan nå systemet ditt må forpliktes personlig og skriftlig. Erklæringen pålegger oss å gjøre det og å beholde dokumentasjonen. |
| 7 · Underleverandører | ⚙ | Enhver vi trekker inn — drift, sikkerhetskopi, en utvikler utenfra — må være avtalt med deg på forhånd og bundet på samme måte før de berører noe som helst. Kjeden må være ubrutt, og du må vite hvem som er i den. Fordi du drifter systemet selv, er denne kjeden normalt svært kort eller tom, og du kontrollerer driftsenden av den. |
| 8 · Plikten overlever kontrakten | — | Ikke fem år. På ubestemt tid. En utvikler som slutter hos oss er fortsatt bundet i 2040, og det er vi også etter at du har sluttet å være kunde. |
| 9 · Tilbakelevering eller destruksjon ved slutten | ✓ | Bekreftet skriftlig når forholdet avsluttes. Lettere for oss enn for de fleste: det er normalt ingenting på vår side å levere tilbake, fordi opplysningene aldri forlot serveren din. Der en diagnoseeksport ble laget for en støttesak, bekreftes destruksjonen av den. |
| 10 · Umiddelbar oppsigelse | — | Du kan avslutte kontrakten på stedet hvis etterlevelsen ikke lenger er sikret. Dette er ditt vern, ikke vårt, og det hører hjemme i dokumentet. |
| 11 · Form | — | Textform er nok — en signert PDF på e-post er tilstrekkelig for helsepersonell. Bare notarius krever full skriftlig form. Dette er derfor ikke en hindring for et fjernkjøp. |
| 12 · Bevis for at punktene ble holdt | ✓ | Ikke et standardpunkt, og verdt å legge til. Hver åpning av en klinisk journal skrives til en logg før innholdet vises — også vår under støtte. Loggen kan bare skrives til og er lenket, så oppføringer kan ikke endres eller fjernes, verken av din administrator eller av oss. Spør noen noen gang hvem som så en journal og når, er erklæringen støttet av en oppføring i stedet for av en forsikring. |
Radene merket ✓ beskriver hvordan plattformen virker nå, og kan vises fram for deg i en demonstrasjon. Dokumentet er ikke utformet. Det må skrives, og det må gjennomgås av en tysk Fachanwalt für Medizinrecht før det går til noen praksis, fordi ansvaret det håndterer er strafferettslig, og en mal funnet på nettet er ikke god nok.
Vurderer du oss og dette dokumentet står på sjekklisten din, så si det tidlig. Det er et kort stykke arbeid og det er ingen teknisk avhengighet — men det bør ikke improviseres i uken før signering.
En skybasert praksistjeneste har pasientjournalene dine på sin egen infrastruktur, og de ansatte der kan nå dem ved design. Eksponeringen etter § 203 er varig og bred, og ingen formulering endrer det.
Vårt svar på «hvor mye må leverandøren se?» er normalt ingenting — og når svaret er «den neste timen», gis tilgangen av deg, registreres, og trekkes tilbake. Lovens test er nødvendighet, og det er et arkitekturspørsmål før det er et formuleringsspørsmål.
§ 203 dreier seg om ett spørsmål: hvor mye måtte leverandøren se, og kan du vise det. Så her er rekkefølgen, steg for steg, for det vanlige tilfellet der noe går i stå og du ber oss se på det.
Systemet kjører på din server, i din bygning eller ditt datasenter. Det finnes ingen permanent forbindelse fra oss til det, og ingen kopi av opplysningene dine på vår side. Det er tilstanden systemet er i nesten hele tiden.
Vanligvis med en beskrivelse og et skjermbilde, som ofte er nok i seg selv.
Mange saker løses ut fra logger og feilmeldinger uten tilgang til pasientopplysninger. Det er det billigste svaret etter § 203 så vel som det raskeste.
Ikke en stående konto. En konto for dette stykket arbeid, som du kan avslutte når som helst.
Det finnes ingen bakdør for leverandøren og ingen vedlikeholdsoverstyring. En støttekonto er underlagt de samme kontrollene som en klinikers konto.
det finnes ingen generell overstyringKrypterte journaler åpnes bare for noen med en registrert behandlingsrelasjon til den klienten. En støtteutvikler har ingen, så det vanlige svaret er avvisning — og den vanlige støttesaken trenger dem aldri.
Før innholdet vises. Bare-skriv og lenket, så en oppføring kan ikke fjernes i stillhet etterpå — verken av oss eller av din egen administrator.
Og oppføringen av hva som var tilgjengelig, og hvor lenge, består.
Hvem som koblet seg til, når, hva som ble åpnet. Dette er beviset for at nødvendighetstesten var oppfylt — som er nettopp hva en advokat, en revisor eller en klagende pasient vil ha.
§ 630f Abs. 3 BGB krever at pasientjournaler bevares i ti år etter at behandlingen er avsluttet. Yrkesetikken for psykoterapeuter sier det samme. Det lyder enkelt, og det er der overraskende mange systemer er stille feil.
| Hva regelen krever | Status | Slik gjøres det her |
|---|---|---|
| Ti år fra behandlingens slutt§ 630f Abs. 3 BGB | ✓ | Klokken løper fra en lagret dato — slutten på behandlingsrelasjonen — framfor fra da et dokument tilfeldigvis ble opprettet. Et notat skrevet i første time og ett skrevet i den siste bevares til samme dag, som er hva regelen betyr og ikke hva en regel basert på filalder ville gitt. |
| Den tyske perioden, klar til bruk | ⚙ | Mekanismen er bygget, og den tyske tiårsperioden legges inn som en innstilling. Vi leverer NHS-planen ferdig for britiske kunder og leverer ennå ikke en tysk motsvarighet, så dette er én linje konfigurasjon ved installasjon framfor noe som allerede er utfylt. Vi vil heller si det enn å la deg oppdage det. |
| Sletting som kan vises fram | ✓ | Når perioden løper ut, ødelegges krypteringsnøkkelen framfor raden. Innholdet blir permanent uleselig mens et tomt skall og revisjonssporet består — så du kan vise at en journal fantes og ble slettet etter planen, noe en slettet rad ikke kan. |
| Ingenting ødelegges mens en sperre står | ✓ | En rettslig sperre suspenderer sletting. En rettssak, en klage eller en forsikringstvist stanser klokken uten at noen må huske å gripe inn. |
| Lengre perioder der de gjelder | ⚙ | Noe materiale bevares i tretti år etter andre bestemmelser — vanligvis ikke relevant for psykoterapi, men holder praksisen din noe slikt, settes perioden per dokumenttype framfor for hele mappen. |
NIS2 er det europeiske cybersikkerhetsdirektivet. Tyskland satte det i kraft i desember 2025, og helse er en av sektorene det dekker. Terskelen er omtrent 50 ansatte eller 10 millioner euro i omsetning.
En enkeltstående praksis er utenfor og kan slutte å lese her. En gruppe med seks steder og seksti ansatte er innenfor — og pliktene er reelle: et dokumentert program for risikostyring, en tidlig hendelsesrapport innen 24 timer og en fyldigere innen 72, kontroll av dine egne leverandører, og personlig ansvar for ledelsen.
De fleste praksissystemer har ingenting å si om dette, fordi det ikke er en journalfunksjon. Vi har det, fordi det samme maskineriet allerede var bygget for amerikanske helseregler og de to listene overlapper nesten fullstendig.
| Hva NIS2 krever av deg | Status | Hva plattformen allerede fører |
|---|---|---|
| Et program for risikostyring, skrevet ned | ✓ | Et risikoregister: hver risiko med sin verdi, trussel, svakhet, sannsynlighet, konsekvens, kontrollen som alt er på plass, risikoen som blir igjen, en eier og en dato for ny gjennomgang. En vurdering kan ikke godkjennes mens en risiko er uvurdert, og en uten risikoer i det hele tatt kan ikke godkjennes — et tomt register er et funn, ikke en helseattest. |
| Hendelseshåndtering | ✓ | En hendelsespost med øyeblikket du ble kjent med det, hva som var omfattet, hvem som ble berørt, og beslutningene som ble tatt. 24-timers- og 72-timersklokkene har samme form som GDPRs 72-timersklokke som alt er bygget, regnet fra du ble kjent med hendelsen framfor fra selve hendelsen. |
| Kontinuitet og sikkerhetskopi | ✓ | En beredskapsplan, testene av den med resultatene, og en analyse av hvilke systemer og opplysninger som betyr mest. Testoppføringene er den delen revisorer spør om, for en sikkerhetskopi ingen har gjenopprettet er et håp og ikke en kontroll. |
| Sikkerhet i leverandørkjeden | ✓ | Et leverandørregister med avtaler og datoene deres — og en utlevering til en leverandør avvises hvis avtalen er utløpt. Det hjelper også at din mest følsomme leverandør, programvareleverandøren, ikke har noen av opplysningene dine. |
| Tilgangsstyring, nyansatte og avganger | ✓ | Et fullmaktsregister som sier hvem som fikk hva og når det sist ble gjennomgått, og en post for avgang — beviset for at tilgangen tok slutt den dagen noen sluttet framfor tre måneder senere. |
| Opplæring og bevissthet | ✓ | Opplæringsposter per person, ved siden av kvalifikasjonene og utløpsdatoene praksisen allerede følger. |
| Kryptografi og tilgang til opplysninger | ✓ | Kliniske dokumenter kryptert hver for seg under nøkler som ligger utenfor databasen, med hver åpning registrert. Se siden om sikre dokumenter for hvordan det virker og hvor grensene går. |
| Gjennomgang av virkning | ✓ | En periodisk evalueringspost med en dato på, slik at «når kontrollerte du sist om noe av dette fortsatt virker?» har et svar. |
| Registrering hos BSI | — | Din å gjøre, ikke vår. Det tyske registreringsvinduet åpnet med loven og lukket i mars 2026; er du omfattet og ikke registrert, er det en samtale for din advokat framfor for en programvareleverandør. |
Hver rad over er et sted å føre en post. Et risikoregister uten noe i det beviser ingenting, og en revisor ser på postene framfor på om programvaren har et sted å holde dem. Det plattformen fjerner, er unnskyldningen om at det ikke fantes noe sted å skrive det ned — og kostnaden ved å kjøpe et eget styringsverktøy for å gjøre det.
Dette avsnittet finnes fordi du kommer til å finne det ut uansett, og å finne det ut sent er verre for oss begge. Det er kort.
Privat praksis er reelt åpen. Privatpraxis, Selbstzahler, privat forsikring og Beihilfe trenger ingenting av det over, og tyske offentlige ventelister har gjort privatbetalt psykoterapi til en stor og voksende del av markedet.
Og en praksis med en Kassensitz er ikke nødvendigvis ute av samtalen. Det offentlige sporet er én del av å drive en praksis. Drift på flere steder, bemanningsplan, utbetaling til behandlere, kontrakter, sikre kliniske dokumenter og styringsprogrammet i avsnitt 06 er delene de sertifiserte tyske systemene håndterer dårligst, fordi de ble bygget for praksiser med én til fem personer. Noen grupper kjører oss ved siden av et sertifisert PVS framfor i stedet for det. Det er en reell løsningsform, og det er verdt å drøfte åpent framfor å late som om sertifiseringen ikke betyr noe.
Ikke en funksjonsliste — de tyske systemene har rikelig med funksjoner. Dette er stedene der måten plattformen er bygget på gir et svar de etablerte strukturelt ikke kan gi.
Egen drift på din egen server. Vi har ingen kopi. Det er det korteste mulige svaret på nødvendighetstesten i § 203, og ingen skytjeneste kan gi det.
Et slettekrav ødelegger krypteringsnøkkelen, ikke bare raden. Innholdet blir permanent uleselig mens beviset for slettingen består. Å slette en databaserad kan reverseres fra en sikkerhetskopi; dette kan ikke.
Hver åpning av en klinisk journal, skrevet før innholdet vises, i en kjede der en fjernet oppføring kan oppdages. Ikke engang din egen administrator kan endre den i stillhet.
Ikke stillingstittelen. En terapeut når sine egne klienter, ikke praksisens, og tilgangen opphører når relasjonen gjør det. Dette er minste nødvendige bygget inn i lagringen framfor skrevet i en policy.
Det finnes ingen vedlikeholdsoverstyring og ingen superbruker for støtte. En administratorkonto åpner heller ikke klinisk innhold av seg selv.
Timeplan på flere steder, utbetaling til behandlere, kontrakter og rapportering for gruppen. De etablerte tyske systemene ble bygget for praksiser med én til fem personer, og det viser seg så snart en gruppe vokser.
Risikoregister, hendelsesposter, kontinuitetstester, opplæring, tilgangsgjennomganger. Ikke et eget verktøy og ikke en konsulents regneark.
Bygget på Odoo Community. Dine egne sikkerhetsfolk, eller testere du leier inn, kan lese hver linje framfor å ta en leverandørs ord for det.
Samtykkeskjemaer og behandlingsavtaler signeres på ditt eget system med sitt eget revisjonsspor. Ingenting sendes til en signeringstjeneste utenfor for å bli medsignert.
Tysk rett legger pliktene på utøveren og praksisen, ikke på programvaren. En leverandør kan holde bevisene og gjøre arbeidsflyten virkelig. Den kan ikke være Berufsgeheimnisträger.
Ingenting her er juridisk rådgivning, og ingen programvare er «DSGVO-zertifiziert» eller «§ 203-konform» — de sertifikatene finnes ikke for produkter. Alt under er ditt, og hver påstand på denne siden bør bekreftes med en tysk Fachanwalt für Medizinrecht før den havner i en kontrakt. Det gjelder med særlig tyngde for § 203, fordi ansvaret der er strafferettslig.
De europeiske reglene gjelder her som de gjør over alt, og er dekket på GDPR-siden. Oppå dem legger Tyskland strafferettslig yrkesmessig taushetsplikt, som gjør valget av leverandør til et juridisk spørsmål for utøveren framfor et innkjøpsspørsmål — og egen drift er det sterkeste svaret som finnes på det. Journaler bevares ti år fra behandlingens slutt, som oppbevaringsankrene våre håndterer riktig. Større grupper faller nå under NIS2, og styringsprogrammet plattformen allerede bærer dekker det meste av hva det krever. Hva vi ikke har, er det offentlige sporet: ingen KOB-sertifisering, ingen Telematikinfrastruktur, ingen KV-fakturering, ingen sertifisert videotjeneste. Privat praksis er åpen for oss; en Kassensitz trenger et sertifisert system, enten ved siden av oss eller i stedet for oss.
