Digitalisierung & Recht

Achtung beim Einsatz von TI, KI & Branchensoftware!

Branchen-Software ist längst nicht mehr nur ein Tool zur Lagerverwaltung oder Abrechnung. Wer heute im Hilfsmittel- oder Homecare-Markt wettbewerbsfähig bleiben will, braucht digitale Systeme, die mehr können: Verträge prüfen, Verordnungen digital empfangen, TI-Anbindungen sichern, Daten rechtskonform verwalten und Prozesse automatisieren. Doch damit steigt auch die Verantwortung. Datenschutz, IT-Sicherheit, regulatorische Vorgaben und neue Pflichten im Cloud-Bereich bringen neue Herausforderungen.

Branchensoftware ist heute das digitale Rückgrat von Hilfsmittelerbringern und Homecare-Unternehmen: Sie bildet die Versorgungskette vom Rezept über die Genehmigung bis zur Auslieferung und Abrechnung ab – und wächst zunehmend in Richtung Prozessautomatisierung, Vertragslogik und intelligenter Entscheidungsunterstützung. Damit rückt auch das IT-Vertragsrecht stärker in den Fokus: Wer Software als Dienstleistung (SaaS) nutzt oder externe Dienstleister für Hosting, Wartung oder Support beauftragt, sollte die vertraglichen Grundlagen gut kennen.

Typische Problemfelder sind unklare Leistungsbeschreibungen, fehlende Vereinbarungen zur Verfügbarkeit und Reaktionszeit (Service Level Agreement/SLA), unzureichende Regelungen zur Datensicherung und Datenrückgabe („Exit-Strategie“) sowie eine mangelhafte Steuerung der sogenannten Auftragsverarbeitung personenbezogener Daten nach Art. 28 DSGVO. Auch Gewährleistungsfragen und die Haftung bei Systemausfällen oder Datenverlusten sind regelmäßig Streitpunkte in der Praxis.

Ein gut gestalteter IT-Vertrag schafft hier Klarheit – vor allem durch eine genaue Definition der Leistungen, nachvollziehbare Supportregelungen, eine belastbare AV-Vereinbarung sowie durch transparente Rechte- und Pflichtenverteilungen im laufenden Betrieb. Sie sollten zudem darauf achten, dass Updates, Sicherheitspatches und TI-Schnittstellen als vertraglich geschuldete Leistungen definiert sind. Nur so lassen sich Risiken vermeiden und die digitale Versorgung langfristig absichern.

TI-Anbindung: Was Sie wissen müssen
Die für Sie verpflichtende Anbindung an die Telematikinfrastruktur (TI) tritt zum 1. Januar 2026 in Kraft. Bereits seit einiger Zeit war ein freiwilliger Anschluss möglich, etwa im Rahmen von Pilotprojekten zur eVerordnung. Bisher erfolgte der Zugang zur TI über sogenannte stationäre Konnektoren („TI-on-premise“), die physisch in den Betrieben installiert werden mussten.

Zukünftig wird die TI-Anbindung über das sogenannte TI-Gateway erfolgen – eine cloudbasierte, zentral administrierte Schnittstelle, die perspektivisch alle bisherigen TI-Zugangsarten ablösen wird. Während bisher im Regelfall jede Einrichtung einen eigenen Konnektor für den TI-Zugang besitzen musste, schließen die TI-Gateway-Anbieter nun mehrere Einrichtungen über einen zentral betriebenen Highspeed-Konnektor an die TI an. Updates und Wartungsarbeiten an den Konnektoren erfolgen zentral und nicht mehr vor Ort. Besonders kleinere Arztpraxen, Apotheken oder Reha- und Pflegeeinrichtungen haben so weniger Aufwand mit der Pflege der technischen Infrastruktur.

Das TI-Gateway ermöglicht den sicheren Zugang zur TI über das Internet und kommuniziert verschlüsselt über ein Security Gateway mit den zentralen Komponenten der TI. Über eine zertifizierte Software-Schnittstelle stellt es die Verbindung zwischen der Branchensoftware und den TI-Anwendungen her – und wird so zur zentralen Zugangstechnologie auf dem Weg zur TI 2.0. Die Branchensoftware muss entweder direkt TI-fähig sein oder über eine zusätzliche Komponente an das TI-Gateway angebunden werden, um die Funktionen der TI nutzen zu können.

Für den Anschluss an das TI-Gateway wird ein betriebsinternetzugang, ein zertifiziertes Kartenterminal, eine freigeschaltete SMC-B-Karte, ein eHBA und eine TI-fähige Software/Schnittstelle benötigt.

Sie sollten rechtzeitig mit ihren IT- und Softwarepartnern prüfen, ob ihre Systeme fit für die TI sind und welche technischen Umstellungen bis Ende 2025 notwendig sind.

Refinanzierung der TI-Kosten
Die Anbindung an die TI ist nicht nur verpflichtend, sondern auch mit laufenden Kosten verbunden. In § 3 Abs. 10 der Festlegung zur TI-Finanzierung ist geregelt, dass Sie eine monatliche Pauschale von 192,80 Euro erhalten können. Dieser Betrag kann sich pro Mitarbeiter mit einem elektronischen Heilberufsausweis (HBA) um monatlich 7,20 Euro erhöhen.

Für die konkrete Abrechnungsweise müssen die maßgeblichen Spitzenorganisationen auf Bundesebene gemeinsam mit dem GKV-Spitzenverband eine entsprechende Vereinbarung treffen. Erst auf dieser Basis kann die Erstattung in der Praxis erfolgen. Die aktuell gültigen Finanzierungsvereinbarungen sind auf der Website des GKV-Spitzenverbandes veröffentlicht. Sie sollten die Entwicklungen hierzu aufmerksam verfolgen, da in den Vereinbarungen auch Fristen geregelt werden, bis wann Anträge zu stellen und Nachweise beizubringen sind. Werden Fristen verpasst, bedeutet dies im schlimmsten Fall einen finanziellen Verlust.

Im Spannungsfeld von Datenschutz & IT-Sicherheit

Moderne Software muss heute mehr können als Bedarfsartikel zu verwalten. Sie muss in der Lage sein, sensible Gesundheitsdaten DSGVO-konform zu verarbeiten. Dazu zählen etwa Informationen über Diagnosen, Therapien, Pflegedienste, Verordnungen, Abrechnungsdaten, Medikationspläne oder auch bildgebende Untersuchungen. Diese Daten unterliegen einem besonders strengen Schutz, da sie gemäß Art. 9 DSGVO als besonders schützenswert gelten.

Damit Gesundheitsdaten rechtmäßig verarbeitet werden dürfen, muss mindestens eine der in Art. 9 Abs. 2 DSGVO genannten Voraussetzungen erfüllt sein. In der Praxis sind dies insbesondere: eine ausdrückliche Einwilligung der betroffenen Person, eine gesetzliche Verpflichtung (z. B. zur Abrechnung oder Dokumentation) oder ein erhebliches öffentliches Interesse im Gesundheitsbereich.

Besondere Aufmerksamkeit im Bereich der IT-Sicherheit verdient das C5-Testat gemäß § 393 SGB V: Wer personenbezogene Gesundheitsdaten in der Cloud verarbeitet, muss ein solches nachweisen.

Das betrifft alle, die externe Cloud-ERP- oder Dokumentationslösungen nutzen. Für Cloud-Anbieter, die Gesundheits- oder Sozialdaten verarbeiten, ist seit dem 1. Juli 2025 ein C5-Testat des Bundesamts für Sicherheit in der Informationstechnik (BSI) in Form eines Typ-2-Testats verpflichtend. Bis zum 30. Juni 2025 war ein Typ-1-Testat – also eine reine Stichtagsprüfung – noch ausreichend. Der Gesetzgeber hatte das Bundesgesundheitsministerium dazu ermächtigt, eine Verordnung zu erlassen, welche Alternativen gleichwertig zum C5-Testat anerkannt werden.

Nach dem aktuellen Referentenentwurf des BMG vom 06.01.2025 konnten Alternativen wie ISO 27001 oder BSI-Grundschutz nur übergangsweise anerkannt werden und hätten mit Ablauf des 30. Juni 2025 ihre Ersetzungswirkung für das C5-Testat verloren. Dies wäre ein Verstoß gegen den Willen des Gesetzgebers gewesen, der von einer dauerhaften Gleichwertigkeit ausgeht.

Allerdings wurde bis heute keine C5-Äquivalenz-Verordnung erlassen, weshalb immer noch nicht durch Rechtsverordnung geregelt ist, welche Alternativen zum C5-Testat anerkannt werden.

Da eine Testierung nach dem C5-Standard des BSI einen erheblichen Aufwand darstellt, ist das BMG hier aufgerufen, schnell für Klarheit zu sorgen. Aktuell müssten Sie deshalb sicherstellen, dass ihre Cloud-Dienstleister ausnahmslos ein gültiges Typ-2-Testat vorlegen können und vertraglich zusichern, alle Anforderungen des C5-Katalogs einzuhalten – alternative Standards sind bis heute nicht geregelt.

Vertragssicherheit: Vereinbarungen mit Softwareanbietern
Standardverträge reichen oft nicht aus, wenn die gesamte Versorgung digital über ein System läuft. Folgende Punkte sollten gezielt vertraglich geregelt werden:

• Support- und Verfügbarkeitsvereinbarungen (SLA): Gemeint sind garantierte Reaktions- und Entstörzeiten bei technischen Problemen, definierte Servicezeiten und ggf. Vertragsstrafen bei Nichterfüllung.
• Regelungen zur Datenrückgabe und Exit-Strategie: Der Vertrag sollte klar festlegen, wie und in welchem Format bei Vertragsende sämtliche Daten übergeben werden – auch bei Cloud-Lösungen. Problematisch ist etwa die Herausgabe in proprietären Formaten oder das Erheben hoher Zusatzkosten.
• Verbindliche Updatezyklen: Um regulatorisch auf dem aktuellen Stand zu bleiben (z. B. TI, E-Rezept, MDR), müssen Wartung und regelmäßige Updates samt Zeitrahmen im Vertrag zugesichert sein.
• AV-Vereinbarung gem. Art. 28 DSGVO: Bei der Verarbeitung personenbezogener Daten durch Dritte (z. B. im Rahmen von Hosting, Cloud oder SaaS) ist ein schriftlicher Auftragsverarbeitungsvertrag gesetzlich vorgeschrieben. Dieser sollte Kontrollrechte, Sicherheitsmaßnahmen und Subunternehmer benennen.
• Klare Haftungsregelung bei Systemausfällen oder Datenverlust: Besonders bei Versorgungsunterbrechungen oder Abrechnungsfehlern drohen erhebliche wirtschaftliche Folgen. Der Vertrag sollte regeln, ob und in welchem Umfang der Anbieter haftet und ob diese Risiken ausreichend abgesichert sind.

Als bewährte Praxis gilt: Vertragsentwürfe prüfen lassen – insbesondere, wenn kritische Infrastruktur oder sensible Gesundheitsdaten betroffen sind. Cloud-Anbieter sollten zudem offenlegen, ob Nutzungsdaten zu Analyse- oder Trainingszwecken für KI verwendet werden. Fehlt hier Transparenz, kann ein DSGVO-Verstoß drohen. Bei manchen Anbietern muss explizit der Nutzung zu Analyse- und Trainingszwecken widersprochen werden.

KI in der Hilfsmittelversorgung
Künstliche Intelligenz (KI) kommt zunehmend auch in Ihrem Bereich zum Einsatz. Beispiele hierfür sind KI-gestützte Systeme zur automatisierten Bedarfserhebung auf Basis von Rezeptdaten oder Versorgungsprofilen, intelligente Lager- und Tourenplanung für die häusliche Versorgung, Chat- und Sprachassistenten zur Beantwortung von Patientenanfragen oder auch Bilderkennungsalgorithmen zur Unterstützung bei der Wunddokumentation. Einige Systeme analysieren zudem die Patientenversorgung retrospektiv, um potenzielle Versorgungsdefizite frühzeitig zu identifizieren oder interne Prozesse zu optimieren.

Mit dem Einsatz solcher Technologien entstehen jedoch auch neue regulatorische Anforderungen. Der europäische AI Act unterscheidet zwischen verschiedenen Risikoklassen – viele KI-Anwendungen im Gesundheitsmarkt fallen unter die Kategorie „Hochrisiko“, wenn sie im Zusammenhang mit einem Medizinprodukt stehen oder eine medizinische Entscheidung unterstützen. In diesen Fällen gelten strenge Auflagen hinsichtlich:

• Transparenz und Nachvollziehbarkeit der KI-gestützten Entscheidungen,
• umfassender Dokumentation und Daten-Governance,
• Risiko- und Qualitätsmanagementsystemen,
• und ggf. einer CE-Kennzeichnung mit Konformitätsbewertung durch eine benannte Stelle.

Damit die Nutzung von KI nicht zur rechtlichen Stolperfalle wird, gelten auch für Anwendungen außerhalb der Hochrisikokategorie bestimmte Anforderungen: So sollte dokumentiert werden, für welchen konkreten Zweck die KI eingesetzt wird und welche Prozesse sie beeinflusst. Es ist zu klären, ob die KI lediglich unterstützend eingesetzt wird oder ob sie eine entscheidungsrelevante Funktion übernimmt.

Auch Systeme außerhalb der Hochrisikokategorie müssen nachvollziehbar und transparent arbeiten. Dazu gehört, dass sich die Funktionsweise und Ergebnisse der KI nachvollziehen lassen, die Datenquellen dokumentiert sind und die Entscheidungslogik offengelegt wird. Zu überlegen wäre auch die Einführung einer unternehmensinternen KI-Richtlinie. Diese sollte festlegen, in welchen Bereichen KI eingesetzt werden darf, wie die Aufsicht organisiert ist und welche Qualitätssicherungsprozesse gelten.

Zudem besteht eine Schulungspflicht: Mitarbeiter, die mit KI-Systemen arbeiten oder auf deren Ausgaben angewiesen sind, müssen entsprechend qualifiziert sein. Sie sollen die Funktionsweise und Grenzen der eingesetzten Systeme verstehen und in der Lage sein, automatisierte Vorschläge kritisch zu prüfen. KI-generierte Ausgaben dürfen nicht automatisch übernommen werden, sondern sind durch fachkundige Personen zu bewerten und zu verantworten.

Digitalisierung: Rechtssicher und strategisch
Der Gesundheitsmarkt durchläuft einen tiefgreifenden digitalen Wandel – und Sie als Leistungserbringer stehen vor der Aufgabe, diesen nicht nur technisch, sondern auch rechtlich und organisatorisch sauber umzusetzen. Die Anforderungen sind vielfältig: TI-Anbindung, DSGVO-Compliance, KI-Einsatz, Vertragsmanagement und IT-Sicherheit greifen ineinander und machen ein abgestimmtes Vorgehen unerlässlich.

Wer heute in moderne, leistungsfähige und rechtssicher integrierte Branchensoftware investiert, verschafft sich klare Vorteile – nicht nur in Bezug auf Effizienz und Abrechnung, sondern auch mit Blick auf Sicherheit, Verlässlichkeit und regulatorische Beständigkeit. Neben technischen Lösungen braucht es dafür klare Verantwortlichkeiten, gut gestaltete Verträge, dokumentierte Datenschutzprozesse und ein Bewusstsein für die eigenen Pflichten beim Einsatz neuer Technologien.

Empfehlenswert ist daher eine ganzheitliche Strategie: technische Umstellung, rechtliche Absicherung, interne Schulungen, klare Richtlinien und eine realistische Zeitschiene zur Umsetzung. So können Sie den digitalen Wandel nicht nur bewältigen, sondern aktiv gestalten.

Text "Digitalisierung & Recht": Veröffentlicht in der Ausgabe 08/25 des Fachmagazins MTD Medizintechnischer Dialog (MTD-Verlag – www.mtd.de).