Scope and statusGeltungsbereich und Status
virtualcaresolution.de is a solo-led research and development venture in digital rehabilitation systems. Our tools (ROMLENS, BreathScope, GaitScope / V27 Biomechanics Engine, PLI, EncounterGuard and related prototypes) are non-clinical research prototypes offered for research collaboration and institutional evaluation only.
They are not certified medical devices and are not intended for diagnosis or treatment. We are aware of the EU MDR framework; further regulatory steps are planned together with our clinical partner.
virtualcaresolution.de ist ein von einer Einzelperson geleitetes Forschungs- und Entwicklungsvorhaben für digitale Rehabilitationssysteme. Unsere Werkzeuge (ROMLENS, BreathScope, GaitScope / V27 Biomechanics Engine, PLI, EncounterGuard und verwandte Prototypen) sind nicht-klinische Forschungsprototypen und ausschließlich für Forschungskooperationen und institutionelle Evaluation vorgesehen.
Sie sind keine zertifizierten Medizinprodukte und nicht für Diagnose oder Behandlung bestimmt. Der EU-MDR-Rahmen ist uns bekannt; weitere regulatorische Schritte sind gemeinsam mit unserem klinischen Partner geplant.
Design principlesGestaltungsprinzipien
Local-first
The research suite runs in the browser and processes data on the user's own device.
Die Research Suite läuft im Browser und verarbeitet Daten auf dem Gerät der Nutzenden.
No media storageKeine Medienspeicherung
Video and audio are not stored.
Video und Ton werden nicht gespeichert.
Cloud-free measurementCloudfreie Messung
In the DIGIFUNK-Inntal study, patient-related measurements are designed to run without cloud processing.
In der Studie DIGIFUNK-Inntal sind patientenbezogene Messungen so ausgelegt, dass sie ohne Cloud-Verarbeitung laufen.
Data minimisationDatensparsamkeit
We collect only what a measurement needs and keep humans in control of each step.
Wir erheben nur, was eine Messung benötigt, und lassen den Menschen jeden Schritt kontrollieren.
BSI C5
The Cloud Computing Compliance Criteria Catalogue (C5) defines minimum security requirements for cloud service providers. The 2026 edition (C5:2026) replaces C5:2020, extends the catalogue from 121 to 168 criteria, and becomes binding for assessment periods from 1 June 2027. In German healthcare, a valid C5 attestation is required for cloud services under § 393 SGB V.
Der Cloud Computing Compliance Criteria Catalogue (C5) legt Mindestanforderungen an die Sicherheit für Cloud-Anbieter fest. Die Ausgabe 2026 (C5:2026) löst C5:2020 ab, erweitert den Katalog von 121 auf 168 Kriterien und wird für Prüfzeiträume ab dem 1. Juni 2027 verbindlich. Im deutschen Gesundheitswesen ist nach § 393 SGB V für Cloud-Dienste ein gültiges C5-Testat erforderlich.
| TopicThema | Status | Our positionUnsere Position |
|---|---|---|
| Our tools as suchUnsere Werkzeuge selbst | Not applicableNicht anwendbar | We are not a cloud service provider; the tools are local-first, so there is no cloud processing of patient data for C5 to assess.Wir sind kein Cloud-Anbieter; die Werkzeuge sind local-first, daher gibt es keine Cloud-Verarbeitung von Patientendaten, auf die C5 anzuwenden wäre. |
| Third-party cloud servicesCloud-Dienste Dritter | Case by caseEinzelfall | Where a cloud service is used (for example website hosting or marketing tools), no patient data is processed there. Any future cloud component would require a provider with a valid C5 attestation.Wo ein Cloud-Dienst genutzt wird (z. B. Website-Hosting oder Marketing-Werkzeuge), werden dort keine Patientendaten verarbeitet. Jede künftige Cloud-Komponente würde einen Anbieter mit gültigem C5-Testat voraussetzen. |
| Own C5 attestationEigenes C5-Testat | Not heldNicht vorhanden | Not planned while no cloud service is offered.Nicht geplant, solange kein Cloud-Dienst angeboten wird. |
BSI TR-03161
The Technical Guideline TR-03161 sets security and data protection requirements for health applications. For digital health applications (DiGA), certification under it is a legal obligation; Part 3 covers backend systems.
Our position: TR-03161 is not currently applicable, because our tools are research prototypes and not listed or applying as DiGA. If we pursue reimbursement-relevant use in the future, TR-03161 will be a mandatory part of the roadmap, together with the MDR steps.
Die Technische Richtlinie TR-03161 legt Sicherheits- und Datenschutzanforderungen für Gesundheitsanwendungen fest. Für digitale Gesundheitsanwendungen (DiGA) ist eine Zertifizierung danach gesetzlich verpflichtend; Teil 3 behandelt Hintergrundsysteme.
Unsere Position: TR-03161 ist derzeit nicht anwendbar, da unsere Werkzeuge Forschungsprototypen sind und weder als DiGA gelistet sind noch einen entsprechenden Antrag stellen. Streben wir künftig eine erstattungsrelevante Nutzung an, wird TR-03161 gemeinsam mit den MDR-Schritten verpflichtender Teil der Roadmap sein.
Safeguards in the DIGIFUNK-Inntal studySchutzmaßnahmen in der Studie DIGIFUNK-Inntal
The validation study is sponsored and led by the clinical institution; virtualcaresolution.de acts as technical partner. The study documentation includes:
- a data protection impact assessment (DPIA) and a risk file based on ISO 14971;
- a software freeze with documented versions for the study period;
- a conflict-of-interest firewall between technical partner and principal investigator;
- ethics committee submission planned as a clinical investigation under Art. 82 MDR.
Die Validierungsstudie wird von der klinischen Einrichtung gesponsert und geleitet; virtualcaresolution.de ist technischer Partner. Die Studiendokumentation umfasst:
- eine Datenschutz-Folgenabschätzung (DSFA) und eine Risikoakte nach ISO 14971;
- einen Software-Freeze mit dokumentierten Versionen für den Studienzeitraum;
- eine Interessenkonflikt-Firewall zwischen technischem Partner und Prüfleitung;
- die geplante Einreichung bei der Ethikkommission als sonstige klinische Prüfung nach Art. 82 MDR.
What we have not done yetWas wir noch nicht getan haben
- No formal security certification of the tools (for example ISO/IEC 27001 or BSI TR-03161).
- No independent penetration test of the tools yet.
- Identity and verification concepts such as ANCHOR are in development; biometric and heart-rate data handling will get its own threat model before any release.
- A mapping of our controls to BSI IT-Grundschutz is planned and will be published here.
- Keine formale Sicherheitszertifizierung der Werkzeuge (z. B. ISO/IEC 27001 oder BSI TR-03161).
- Noch kein unabhängiger Penetrationstest der Werkzeuge.
- Identitäts- und Verifikationskonzepte wie ANCHOR befinden sich in Entwicklung; der Umgang mit biometrischen und Herzfrequenzdaten erhält vor jeder Freigabe ein eigenes Bedrohungsmodell.
- Eine Zuordnung unserer Maßnahmen zum BSI IT-Grundschutz ist geplant und wird hier veröffentlicht.
SourcesQuellen
Rödl & Partner: C5:2026 · KPMG: C5:2026 · PwC: TR-03161 & C5 · BSI