Tyskland · DSGVO · § 203 StGB · § 630f BGB · NIS2 · SGB V
Tyska mottagningar omfattas av de europeiska regler alla känner till, och sedan av ett andra lager som är specifikt tyskt. En av de tyska reglerna är inte alls en dataskyddsregel – den är straffrätt, och den försätter terapeuten personligen i riskzonen när det gäller valet av programvaruleverantör.
Den här sidan förklarar det tyska lagret med vanliga ord, säger vad vi kan åta oss skriftligt, och är lika tydlig med den del av den tyska marknaden vi inte kan betjäna. Det sista avsnittet är kort och det är inte gömt.
Nästan varje artikel som skrivs om hälsouppgifter i Tyskland handlar egentligen om DSGVO – det tyska namnet på GDPR. Den delen är europeisk och gäller på samma sätt i Wien, Amsterdam och Berlin. Den täcks på GDPR-sidan, och allt där gäller här oförändrat.
Det som gör Tyskland annorlunda är det andra lagret ovanpå: nationell rätt som går längre än GDPR, på sätt som ändrar vad en mottagning får köpa. Det har fyra delar, och den första är den ingen räknar med.
Konfidentialitet inom tysk vård är inte bara en yrkesplikt. Att bryta den är ett brott. Och sedan en reform 2017 begår även utövaren ett brott om hen släpper in en IT-leverantör till patientuppgifter utan att först ha bundit den leverantören till tystnadsplikt skriftligen.
Varför det spelar roll för ett programvarubeslut: det här är regeln som avgör om en mottagning över huvud taget lagligen får köpa av oss. Avsnitt 02.
Patientjournaler måste sparas i tio år efter att behandlingen avslutats – inte tio år efter att akten skapades. Psykoterapeuternas yrkesregler säger detsamma.
Varför det spelar roll: en lagringsregel som räknas från fel datum blir fel varje gång. Vår lagring utgår från behandlingens slut, vilket är rätt ankare. Avsnitt 05.
I kraft i Tyskland sedan december 2025. Vården omfattas, och tröskeln är ungefär 50 anställda eller 10 miljoner euro i omsättning. Den för med sig ett program för riskhantering, incidentrapportering inom 24 och 72 timmar, skyldigheter i leveranskedjan – och personligt ansvar för ledningen.
Varför det spelar roll: en enskild mottagning omfattas inte; en växande grupp gör det. Avsnitt 06.
För att fakturera de lagstadgade försäkringskassorna via en Kassenärztliche Vereinigung måste en mottagning köra ett system som klarat gematiks KOB-bedömning av överensstämmelse och är anslutet till Telematikinfrastruktur.
Varför det spelar roll: vi har inte den certifieringen, så lagstadgad fakturering är stängd för oss. Det är en gräns, inte en eftersläpning, och avsnitt 07 säger det rakt ut.
Om du driver en privat mottagning – Privatpraxis, Selbstzahler, privat försäkring eller Beihilfe – är allt på den här sidan genomförbart och § 203 är samtalet att ha. Har du ett Kassensitz och fakturerar en KV behöver du ett KOB-certifierat system, och vi är inte ett sådant; det ärliga svaret är att vi inte är ditt mottagningssystem, och avsnitt 07 förklarar vad vi ändå skulle kunna vara.
Det här är sidans viktigaste avsnitt, och det är värt att läsa även om du delegerar varje annan fråga om regelefterlevnad. Det är kort, det är ovanligt, och det avgör om ett köp är lagligt.
En tysk psykoterapeut som låter fel person se en patients akt bryter inte bara mot en yrkesregel. Hen begår ett brott.
Så har det alltid varit. Det som ändrades 2017 är hur det tillämpas på den vardagliga verkligheten att någon måste underhålla programvaran.
Lagen skapade en kategori som kallas sonstige mitwirkende Personen – andra medverkande personer. En IT-leverantör får släppas in i tystnadspliktens krets, i den mån det är nödvändigt för arbetet, och inte längre. Lagens ord är erforderlich.
Så en leverantör som ser patientuppgifter under ett supportärende är inte automatiskt ett brott. Det är lagligt – om villkoret nedan är uppfyllt.
Utövaren måste binda leverantören till tystnadsplikt skriftligen, och måste uttryckligen informera dem om de straffrättsliga följderna av ett brott mot den, innan åtkomst ges.
Gör hen inte det har utövaren begått brottet – upp till ett års fängelse eller böter. Inte leverantören. Utövaren.
Det är den delen som förvånar folk. Det felaktiga är underlåtenheten att binda, inte läckan. En mottagning som gav en leverantör åtkomst utan åtagandet har redan begått brottet, en dag då ingenting alls gick fel.
Det är därför en tysk mottagnings jurist ber om det här dokumentet före undertecknandet, och stoppar köpet om det inte finns.
Dr. Weber, mottagning med fyra terapeuter, München
Samma mottagning, samma tisdag
Ett Auftragsverarbeitungsvertrag (AVV) är personuppgiftsbiträdesavtalet enligt GDPR. Varje leverantör har ett, och det skyddar mot böter från dataskyddsmyndigheten.
Ett § 203 Verpflichtungserklärung är ett separat dokument enligt straffrätten. Det skyddar utövaren mot åtal. Ett AVV uppfyller inte § 203, och en leverantör som bara erbjuder ett AVV har inte besvarat frågan. Båda behövs.
En § 203 Verpflichtungserklärung är kort – två till tre sidor. Nedan är vad ett sådant innehåller, och bredvid varje klausul vad vi ärligt kan lova mot den. Några av dem är starkare för oss än för en molnleverantör, och en av dem är ett rakt medgivande.
Läs statuskolumnen noga. Arkitekturen som gör de här löftena trovärdiga finns i dag. Själva dokumentet finns ännu inte, och den här sidan tänker inte låtsas något annat.
| Klausul i åtagandet | Status | Vad den säger, och vad vi kan lova |
|---|---|---|
| 1 · Vem och vad | — | Namnger båda parter och anger vilket tjänsteavtal den kompletterar. Den är ett tillägg till huvudavtalet, aldrig ett fristående dokument, och den står bredvid AVV:t snarare än inuti det. |
| 2 · Erkännande av ställning | — | Vi bekräftar skriftligt att vi agerar som en sonstige mitwirkende Person enligt § 203 Abs. 3 – det vill säga att vi accepterar att vara inne i tystnadspliktens krets snarare än en utomstående med ett avtal. Att acceptera den ställningen är det som gör mottagningens anlitande av oss lagligt. |
| 3 · Löftet om konfidentialitet | — | Vi håller hemligt allt vi får veta: namn, tider, samtalens innehåll – och själva det faktum att en namngiven person är patient. Inom psykoterapi är det sista ofta hela hemligheten, och en klausul som utelämnar det har missat poängen. |
| 4 · Åtkomst bara i den mån det är nödvändigt | ✓ | Lagens test är erforderlich – nödvändigt. Det är här vår arkitektur gör sig förtjänt av sin plats. Vi har ingen kopia av era data: systemet körs på er server. Vi har ingen stående åtkomst. Supportåtkomst begärs, beviljas för ett jobb och dras tillbaka. Det är ingen riktlinje vi ber er att lita på; det är vad egen drift innebär. |
| 5 · Belehrung – information om straffrättsliga följder | — | Dokumentet måste uttryckligen ange att ett brott är straffbart enligt § 203 Abs. 4 Satz 1 StGB med upp till ett års fängelse eller böter. En sekretessklausul utan den varningen uppfyller inte lagen – det är det enskilt vanligaste felet i leverantörers dokumentation, eftersom vanliga sekretessavtal aldrig innehåller den. |
| 6 · Vår egen personal, bunden var för sig | — | Det räcker inte att ett företag lovar. Varje tekniker som skulle kunna nå ert system måste personligen förpliktas skriftligen. Åtagandet ålägger oss att göra det och att föra register över det. |
| 7 · Underleverantörer | ⚙ | Den vi tar in – drift, säkerhetskopiering, en extern utvecklare – måste vara godkänd av er i förväg och bunden på samma sätt innan de rör något. Kedjan måste vara obruten och ni måste veta vilka som ingår i den. Eftersom ni driftar systemet själva är den kedjan normalt mycket kort eller tom, och ni styr driftänden av den. |
| 8 · Plikten överlever avtalet | — | Inte fem år. På obestämd tid. En tekniker som lämnar oss är fortfarande bunden 2040, och det är vi också efter att ni slutat vara kund. |
| 9 · Återlämnande eller förstörelse vid slutet | ✓ | Bekräftas skriftligt när relationen upphör. Lättare för oss än för de flesta: det finns normalt inget på vår sida att lämna tillbaka, eftersom data aldrig lämnade er server. Där en diagnostisk export gjordes för ett supportärende bekräftas att den förstörts. |
| 10 · Omedelbar uppsägning | — | Ni får avsluta avtalet på stående fot om efterlevnaden inte längre är säkrad. Det är ert skydd, inte vårt, och det hör hemma i dokumentet. |
| 11 · Form | — | Textform räcker – en undertecknad PDF via e-post är nog för läkare och psykoterapeuter. Bara notarier kräver full skriftlig form. Så det är inget hinder för ett köp på distans. |
| 12 · Belägg för att klausulerna följts | ✓ | Ingen standardklausul, men värd att lägga till. Varje öppning av en journal skrivs till en logg innan innehållet visas – även våra öppningar under support. Loggen är endast tillägg och kedjad, så poster kan inte ändras eller tas bort, varken av er administratör eller av oss. Om någon någonsin frågar vem som såg en akt och när, backas åtagandet upp av en post i stället för en försäkran. |
Raderna markerade ✓ beskriver hur plattformen fungerar nu och kan visas för dig vid en demonstration. Dokumentet är inte skrivet. Det behöver skrivas och det behöver granskas av en tysk Fachanwalt für Medizinrecht innan det går till någon mottagning, eftersom ansvaret det gäller är straffrättsligt och en mall man hittat på nätet inte räcker.
Om du utvärderar oss och det här dokumentet står på din checklista, säg det tidigt. Det är ett kort arbete och inget tekniskt beroende – men det bör inte improviseras under veckan för undertecknandet.
En molntjänst för mottagningsadministration har era patientjournaler på sin egen infrastruktur, och dess personal kan nå dem av design. Dess exponering enligt § 203 är permanent och bred, och ingen formulering ändrar det.
Vårt svar på ”hur mycket behöver leverantören se?” är normalt ingenting alls – och när svaret är ”under nästa timme” beviljas åtkomsten av er, registreras och dras tillbaka. Lagens test är nödvändighet, och det är en arkitekturfråga innan det är en formuleringsfråga.
§ 203 hänger på en fråga: hur mycket behövde leverantören se, och kan ni visa det. Så här är förloppet, steg för steg, för det vanliga fallet där något går sönder och ni ber oss titta.
Systemet körs på er server, i er byggnad eller ert datacenter. Det finns ingen permanent anslutning från oss till det och ingen kopia av era data hos oss. Det är i det läget systemet befinner sig nästan hela tiden.
Oftast med en beskrivning och en skärmbild, vilket ofta räcker i sig.
Många ärenden löses från loggar och feltexter utan åtkomst till patientuppgifter. Det är både det billigaste svaret enligt § 203 och det snabbaste.
Inget stående konto. Ett konto för just det här arbetet, som ni kan avsluta när som helst.
Det finns ingen bakdörr för leverantören och ingen underhållsöverstyrning. Ett supportkonto omfattas av samma kontroller som en behandlares konto.
det finns ingen generell överstyrningKrypterade journaler öppnas bara för någon med en registrerad vårdrelation till den klienten. En supporttekniker har ingen, så det vanliga svaret är nej – och det vanliga supportärendet behöver dem aldrig.
Innan innehållet visas. Endast tillägg och kedjat, så en post kan inte i tysthet tas bort efteråt – inte av oss och inte av er egen administratör.
Och registret över vad som gick att nå, och hur länge, finns kvar.
Vem som anslöt, när, vad som öppnades. Det är beviset för att nödvändighetstestet uppfylldes – vilket är exakt vad en jurist, en revisor eller en patient som klagar kommer att fråga efter.
§ 630f Abs. 3 BGB kräver att patientjournaler sparas i tio år efter att behandlingen avslutats. Psykoterapeuternas yrkesregler säger detsamma. Det låter enkelt och det är där förvånansvärt många system i tysthet har fel.
| Vad regeln kräver | Status | Så går det till här |
|---|---|---|
| Tio år från behandlingens slut§ 630f Abs. 3 BGB | ✓ | Klockan löper från ett sparat datum – behandlingsrelationens slut – i stället för från när ett dokument råkade skapas. En anteckning skriven vid första samtalet och en skriven vid det sista sparas till samma dag, vilket är vad regeln menar och inte vad en regel om filernas ålder skulle ge. |
| Den tyska tiden, klar att använda | ⚙ | Mekanismen är byggd och den tyska tioårsperioden anges som en inställning. Vi levererar NHS:s schema färdigt för brittiska kunder men levererar ännu ingen tysk motsvarighet, så det här är en rad konfiguration vid installationen snarare än något som redan är ifyllt. Vi säger hellre det än låter er upptäcka det. |
| Gallring som går att bevisa | ✓ | När tiden löper ut förstörs krypteringsnyckeln i stället för raden. Innehållet blir permanent oläsbart medan ett tomt skal och granskningskedjan finns kvar – så ni kan visa att en journal fanns och gallrades enligt plan, vilket en raderad rad inte kan. |
| Inget förstörs medan ett kvarhållande gäller | ✓ | Ett rättsligt kvarhållande stoppar gallringen. En rättsprocess, ett klagomål eller en försäkringstvist stoppar klockan utan att någon behöver komma ihåg att ingripa. |
| Längre tider där de gäller | ⚙ | En del material sparas i trettio år enligt andra bestämmelser – oftast inte relevant för psykoterapi, men om er mottagning har sådant anges tiden per dokumenttyp i stället för för hela akten. |
NIS2 är EU:s direktiv om cybersäkerhet. Tyskland satte det i kraft i december 2025, och vården är en av sektorerna det omfattar. Tröskeln är ungefär 50 anställda eller 10 miljoner euro i omsättning.
En enskild mottagning omfattas inte och kan sluta läsa här. En grupp med sex enheter och sextio anställda är inom tillämpningsområdet – och skyldigheterna är verkliga: ett dokumenterat program för riskhantering, en tidig incidentrapport inom 24 timmar och en fullständigare inom 72timmar, kontroller av era egna leverantörer, och personligt ansvar för ledningen.
De flesta mottagningssystem har inget att säga om det här, eftersom det inte är en journalfunktion. Det har vi, eftersom samma maskineri redan byggts för amerikanska regler inom vården och de två listorna överlappar nästan helt.
| Vad NIS2 kräver av er | Status | Vad plattformen redan har |
|---|---|---|
| Ett program för riskhantering, nedskrivet | ✓ | Ett riskregister: varje risk med sin tillgång, sitt hot, sin svaghet, sannolikhet, konsekvens, den kontroll som redan finns, den kvarvarande risken, en ägare och ett datum för översyn. En bedömning kan inte godkännas medan en risk saknar bedömning, och en utan risker kan inte godkännas alls – ett tomt register är ett fynd, inte ett friskintyg. |
| Incidenthantering | ✓ | En incidentpost med ögonblicket då ni fick kännedom, vad som berördes, vilka som påverkades och besluten som fattades. 24- och 72-timmarsklockorna har samma form som den 72-timmarsklocka för GDPR som redan är byggd, räknade från kännedom snarare än från händelsen. |
| Kontinuitet och säkerhetskopiering | ✓ | En kontinuitetsplan, dess tester med deras resultat, och en analys av vilka system och data som är viktigast. Testposterna är den del revisorer frågar efter, eftersom en säkerhetskopia som ingen har återställt är en förhoppning snarare än en kontroll. |
| Säkerhet i leveranskedjan | ✓ | Ett leverantörsregister med avtal och deras datum – och ett utlämnande till en leverantör nekas om avtalet har löpt ut. Det hjälper också att er känsligaste leverantör, programvaruleverantören, inte har några av era data. |
| Åtkomstkontroll, nyanställda och avgående | ✓ | Ett behörighetsregister som anger vem som beviljats vad och när det senast sågs över, och en avslutspost – beviset för att åtkomsten upphörde den dag någon slutade och inte tre månader senare. |
| Utbildning och medvetenhet | ✓ | Utbildningsposter per person, vid sidan av de kvalifikationer och utgångsdatum mottagningen redan följer. |
| Kryptografi och åtkomst till data | ✓ | Kliniska dokument krypteras var för sig under nycklar som förvaras utanför databasen, med varje öppning registrerad. Se sidan om säkra dokument för hur det fungerar och var dess gränser går. |
| Uppföljning av effektivitet | ✓ | En post för periodisk utvärdering med ett datum på, så att ”när kontrollerade ni senast om något av det här fortfarande fungerar?” har ett svar. |
| Registrering hos BSI | — | Er uppgift, inte vår. Det tyska registreringsfönstret öppnade med lagen och stängde i mars 2026; om ni omfattas och inte har registrerat er är det ett samtal för er jurist snarare än för en programvaruleverantör. |
Varje rad ovan är ett ställe att föra en post. Ett riskregister utan innehåll belägger ingenting, och en revisor tittar på posterna snarare än på om programvaran har någonstans att hålla dem. Det plattformen tar bort är ursäkten att det inte fanns någonstans att skriva ner det – och kostnaden för att köpa ett separat styrningsverktyg för att göra det.
Det här avsnittet finns för att ni kommer att ta reda på det ändå, och att ta reda på det sent är värre för oss båda. Det är kort.
Privat verksamhet är verkligen öppen. Privatpraxis, Selbstzahler, privat försäkring och Beihilfe behöver inget av ovanstående, och de tyska lagstadgade väntelistorna har gjort privat betald psykoterapi till en stor och växande del av marknaden.
Och en mottagning med ett Kassensitz är inte nödvändigtvis utanför samtalet. Den lagstadgade infrastrukturen är en del av att driva en mottagning. Verksamhet på flera orter, schemaläggning av personal, utbetalningar till behandlare, avtal, säkra kliniska dokument och styrningsprogrammet i avsnitt 06 är de delar de certifierade tyska systemen hanterar sämst, eftersom de byggdes för mottagningar med en till fem personer. Vissa grupper kör oss vid sidan av ett certifierat PVS snarare än i stället för det. Det är en verklig form av driftsättning, och den är värd att diskutera öppet snarare än att låtsas att certifieringen inte spelar roll.
Ingen funktionslista – de tyska systemen har gott om funktioner. Det här är ställena där sättet den här plattformen är byggd på ger ett svar som de etablerade aktörerna strukturellt inte kan ge.
Driftad av er själva på er egen server. Vi har ingen kopia. Det är det kortaste möjliga svaret på nödvändighetstestet i § 203, och ingen molntjänst kan ge det.
En begäran om radering förstör krypteringsnyckeln, inte bara raden. Innehållet blir permanent oläsbart medan beviset för gallringen finns kvar. Att radera en databasrad går att ångra från en säkerhetskopia; det här går inte.
Varje öppning av en journal, skriven innan innehållet visas, i en kedja där en borttagen post går att upptäcka. Inte ens er egen administratör kan ändra den i tysthet.
Inte yrkestiteln. En terapeut når sina egna klienter, inte mottagningens, och åtkomsten upphör när relationen gör det. Det är minsta nödvändiga inbyggt i lagringen i stället för skrivet i en riktlinje.
Det finns ingen underhållsöverstyrning och ingen superanvändare för support. Ett administratörskonto öppnar inte heller något kliniskt innehåll i sig.
Schemaläggning på flera orter, utbetalningar till behandlare, avtal och rapportering för grupper. De etablerade tyska systemen byggdes för mottagningar med en till fem personer och det märks så snart en grupp växer.
Riskregister, incidentposter, kontinuitetstester, utbildning, översyn av åtkomst. Inget separat verktyg och inget konsultkalkylark.
Byggd på Odoo Community. Ert eget säkerhetsfolk, eller testare ni anlitar, kan läsa varje rad i stället för att ta en leverantörs ord för det.
Samtyckesblanketter och behandlingsavtal undertecknas i ert eget system med en egen granskningskedja. Inget skickas till en extern signeringstjänst för att kontrasigneras.
Tysk rätt lägger sina skyldigheter på utövaren och mottagningen, inte på programvaran. En leverantör kan hålla underlaget och göra arbetsflödet verkligt. Den kan inte vara Berufsgeheimnisträger.
Inget här är juridisk rådgivning, och ingen programvara är ”DSGVO-zertifiziert” eller ”§ 203-konform” – sådana certifikat finns inte för produkter. Allt nedan är ert, och varje påstående på den här sidan bör bekräftas med en tysk Fachanwalt für Medizinrecht innan det hamnar i ett avtal. Det gäller särskilt § 203, eftersom ansvaret där är straffrättsligt.
De europeiska reglerna gäller här som överallt och täcks på GDPR-sidan. Ovanpå dem lägger Tyskland straffrättslig tystnadsplikt, vilket gör valet av leverantör till en rättslig fråga för utövaren snarare än en inköpsfråga – och egen drift är det starkaste tillgängliga svaret på den. Journaler sparas i tio år från behandlingens slut, vilket våra lagringsankare hanterar korrekt. Större grupper omfattas nu av NIS2, och styrningsprogrammet plattformen redan har täcker det mesta av vad det kräver. Det vi inte har är den lagstadgade infrastrukturen: ingen KOB-certifiering, ingen Telematikinfrastruktur, ingen KV-fakturering, ingen certifierad videotjänst. Privat verksamhet är öppen för oss; ett Kassensitz behöver ett certifierat system, antingen vid sidan av oss eller i stället för oss.
