Wer darf eine DiGA einreichen – die Hersteller-Frage

Von Christoph Eberhardt · CEO, DUX Healthcare · Stand 19. April 2026

„Wir haben die Entwicklung in Bangalore, die Mutter sitzt in Delaware, die deutsche GmbH vertreibt – wer ist eigentlich unser Antragsteller?" Diese Frage taucht aus DACH-DTx-Teams regelmäßig auf, und sie ist strukturell. Der Antragsteller einer DiGA ist der Hersteller eines CE-gekennzeichneten Medizinprodukts im Sinne der MDR – entweder in der EU ansässig oder mit einem nach Art. 11 MDR benannten EU-Bevollmächtigten, der definierte Pflichten und gesamtschuldnerische Haftung trägt. Für rein deutsche Hersteller ist das trivial. Für die Mehrheit der DACH-Teams, die heute DiGA-Projekte planen, nicht: US-Mutter mit deutscher Tochter, deutsche Mutter mit UK-Entwicklungsstandort, Schweizer AG mit EU-Vertrieb, Delaware-LLC mit irischer Hosting-Gesellschaft – jede Konstellation führt zu einer anderen Antwort. Dieser Artikel zieht die Linie: Wer gilt nach DiGAV und MDR als Hersteller, was bedeutet das für DACH-Konstellationen, welche drei Antragswege funktionieren – und wo kippen Projekte im Monat acht, weil die Hersteller-Frage im Monat eins nicht entschieden wurde.

Die formale Regel – Antragsteller ist der Hersteller nach MDR

Ausgangspunkt ist DiGAV § 2 Abs. 1 Satz 1↗: Der Antrag ist „vom Hersteller einer digitalen Gesundheitsanwendung beim BfArM zu stellen" – weder Händler noch Importeur noch Vertriebspartner. Der DiGA-Leitfaden v3.6 (DiGA-Leitfaden v3.6 Glossar) bestätigt das: Antragsteller ist „der Hersteller einer DiGA oder der von ihm mit der Antragstellung Bevollmächtigte"; Hersteller ist „die natürliche oder juristische Person, die ein Medizinprodukt herstellt oder als solches entwickelt und unter ihrem Namen in Verkehr bringt" – wortgleich zur MDR.

Die DiGA ist gesetzlich ein CE-gekennzeichnetes Medizinprodukt; der Hersteller in DiGAV § 2 ist damit der Hersteller wie ihn die MDR (VO (EU) 2017/745) in Art. 2(30) definiert: Unterzeichner der EU-Konformitätserklärung nach Anhang IV (Art. 10(6)), mit TD-Vorhalten nach Art. 10(8), QMS (typischerweise ISO 13485) nach Art. 10(9) und risiko-/größenproportionaler Haftpflicht nach Art. 10(16). Eine parallele „DiGA-Antragsteller-Rolle", die der MDR-Definition ausweicht, gibt es nicht.

Für Teams mit deutschem Handelsregistereintrag, deutschem QMS und deutschem Benannte-Stelle-Vertrag ist die Frage beantwortet. Für jede Konstellation mit Nicht-EU-Bestandteil (IP, Entwicklung, Server, Muttergesellschaft) beginnt sie erst.

Was „Hersteller" nach MDR Art. 2(30) wirklich meint – und was nicht

Die Definition aus MDR Art. 2(30) ist präziser, als sie wirkt. Hersteller ist, wer ein Produkt „herstellt oder vollständig aufarbeitet oder herstellen bzw. vollständig aufarbeiten lässt und dieses Produkt unter seinem Namen oder seiner Marke vermarktet". Drei Begriffe tragen Gewicht – „lässt", „unter seinem Namen", „vermarktet".

„Herstellen lässt": Ausgelagerte Software-Entwicklung (IN, PL, UA) macht die auftraggebende Einheit nicht zum Nicht-Hersteller, solange Zweckbestimmung, Risikosteuerung und Vermarktung unter eigenem Namen bei ihr liegen. „Unter seinem Namen" ist der Test für Tochter- und Holding-Konstellationen: Vermarktet die US-Mutter unter ihrem Namen, bleibt sie Hersteller – und Drittstaats-Hersteller nach Art. 11 – auch wenn die deutsche Tochter vertreibt. Bringt umgekehrt die deutsche GmbH das Produkt unter eigenem Namen in Verkehr, signiert eigene Zweckbestimmung und Konformitätserklärung, verantwortet eigenes QMS und eigene Haftpflicht, wird sie zum Hersteller – auch wenn die Mutter IP hält. Der Unterschied ist dokumentarisch und operativ, nicht semantisch. „Vermarktet" ist das Inverkehrbringen im MDR-Sinn – die rechtlich wirksame erste Bereitstellung auf dem EU-Markt.

Drei Rollen fallen nicht unter Hersteller und scheiden als Antragsteller aus: Händler nach MDR Art. 14 (deutsche Vertriebs-GmbHs, die das Produkt einer ausländischen Mutter weiterverkaufen), Importeur nach MDR Art. 13 (EU-Einheit, die ein Drittlands-Produkt erstmalig bereitstellt – eigene MDR-Pflichten, keine Antragstellerrolle) und Bevollmächtigter zur Antragstellung (Dritter für technisches Einreichen, keine Hersteller-Funktion).

Häufiger Kategoriefehler in der DACH-Praxis: „Unsere deutsche GmbH ist der Antragsteller, schließlich sitzt sie in Deutschland." Sie ist es, wenn sie die Hersteller-Pflichten operativ trägt – und sie ist es nicht, wenn sie Vertriebsgesellschaft ist, die das Produkt der Mutter weiterreicht.

EU-Bevollmächtigter nach MDR Art. 11 – für wen, wofür, mit welcher Haftung

Sobald der Hersteller im MDR-Sinn außerhalb der EU sitzt, greift MDR Art. 11 als Voraussetzung für das Inverkehrbringen. Das betrifft UK-Mütter seit Brexit, Schweizer Hersteller seit Mai 2021, US-Delaware-Gesellschaften, APAC-Gesellschaften – die Mehrheit der DACH-Konstellationen.

Die Mechanik ist präzise. Nach Art. 11(1) darf ein Drittstaats-Hersteller nur in Verkehr bringen, wenn er einen einzigen EU-Bevollmächtigten benannt hat (ein Bevollmächtigter je Hersteller, nicht mehrere parallel); die Benennung ist nach Art. 11(2) nur mit schriftlicher Annahme gültig und umfasst mindestens eine vollständige generische Produktgruppe. Art. 11(3) enumeriert Pflichten: Überprüfung von Konformitätserklärung und TD, Bereithaltung für Behörden, Registrierung nach Art. 31, Verifikation nach Art. 27/29, Auskünfte, Weiterleitung, Mandats-Beendigung bei Pflichtverletzung. Entscheidend: nach Art. 11(4) darf das Mandat die Art.-10-Pflichten (QMS, TD, klinische Bewertung, Konformitätsbewertung, UDI, Kennzeichnung, PMS, CAPA) nicht übertragen – der Bevollmächtigte wird nicht zum Hersteller. Und nach Art. 11(5) haftet der Bevollmächtigte gesamtschuldnerisch mit dem Hersteller für fehlerhafte Produkte, wenn der Hersteller Art. 10 nicht erfüllt hat. Keine Beratungsformel – Produkthaftung.

Zwei MDR-Mechaniken werden in DACH-Konstellationen regelmäßig übersehen. PRRC (Person verantwortlich für die Einhaltung der Regulierungsvorschriften) nach MDR Art. 15: Art. 15(1) verlangt mindestens eine PRRC in der Organisation (Hochschulabschluss plus ein Jahr RA-Erfahrung oder vier Jahre RA-Erfahrung); Art. 15(2) erlaubt Kleinst-/Kleinunternehmen externe PRRC; Art. 15(6) verlangt eine eigene PRRC beim Bevollmächtigten zusätzlich zur Hersteller-PRRC – zwei Rollen, nicht eine. Deutsche Umsetzung: § 25 MPDG (PRRC), § 6 MPDG (Bevollmächtigter).

Der DiGA-Leitfaden trennt zwei „Bevollmächtigte": den Bevollmächtigten zur Antragstellung (technisches Einreichen) und den Bevollmächtigten nach Art. 2 Abs. 32 MDR (EU-Vertreter des Drittstaats-Herstellers). „Der Bevollmächtigte zur Antragstellung ist nicht notwendigerweise der Bevollmächtigte nach Art. 2 Abs. 32 MDR" (DiGA-Leitfaden v3.6 Glossar).

Hinzu kommt DiGAV § 4 Abs. 3: Datenverarbeitung nur in EU/EWR oder in Drittländern mit Angemessenheitsbeschluss nach Art. 45 DSGVO. Für die Schweiz besteht ein Angemessenheitsbeschluss; US-Hersteller greifen nur mit beigetretener Einheit auf den EU-US-Datenschutzrahmen zurück. Der DiGA-Leitfaden Kap. 3.3 ist deutlich: „Ein ausschließlich in den USA ansässiger Hersteller, der dem EU-US-Datenschutzrahmen nicht beigetreten ist, ist grundsätzlich ausgeschlossen. Eine Konstellation mit einer europäischen Tochtergesellschaft und einem entsprechenden Bevollmächtigten wäre unter den beschriebenen Voraussetzungen denkbar" (DiGA-Leitfaden v3.6 Kap. 3.3).

Drei Antragswege – direkt, über Bevollmächtigten, über EU-Tochter

Aus der Mechanik ergeben sich drei Wege, die praktisch den DiGA-Antragsteller-Test bestehen. Jeder hat unterschiedliche Implikationen für Zeit, Kosten, Haftung und kommerzielle Kontrolle.

Weg 1: EU-Bevollmächtigter auf bestehender Drittstaats-Hersteller-Struktur

Minimal-Footprint. Die US-, UK- oder APAC-Gesellschaft bleibt MDR-Legal-Manufacturer; eine EU-ansässige Gesellschaft wird nach MDR Art. 11(1) als Bevollmächtigter benannt, mit schriftlichem Mandat und Registrierung bei der zuständigen Behörde.

Der Korridor ist eng. Nach Art. 11(4) trägt der Hersteller weiterhin die nicht-delegierbaren Art.-10-Pflichten – QMS, TD, Konformitätserklärung, PMS, CAPA; Bevollmächtigter und Hersteller haften gesamtschuldnerisch nach Art. 11(5). Der Hersteller braucht weiterhin Benannte-Stelle-Beziehung für Klasse IIa/IIb, MDR-auditiertes ISO-13485-QMS und eigene PRRC (Art. 15(1) entbindet Drittstaats-Hersteller nicht; Art. 15(6) zusätzlich eigene PRRC beim Bevollmächtigten). Seriöse Bevollmächtigten-Dienstleister nehmen Klasse-IIa-/IIb-Mandate oft nur nach zusätzlicher Haftungsabsicherung an. Trägt für Teams mit bereits EU/EWR-konformer Hosting-Infrastruktur, bestehendem QMS, laufender Benannte-Stelle-Beziehung und Klasse-I-DiGA – bei ausländischen Muttergesellschaften, die DUX anfragen, selten.

Weg 2: EU-Tochter als Hersteller

Sauber, aber langsam. Die Drittstaats-Mutter gründet oder nutzt eine EU-Tochter, die die Hersteller-Rolle übernimmt: Eintragung in einem EU-Staat (häufig Deutschland, Niederlande, Irland), eigenes ISO-13485-QMS, eigene PRRC, eigene Benannte-Stelle-Beziehung, eigene TD, eigener Unterzeichner der EU-Konformitätserklärung nach Anhang IV.

Realistische Aufbauzeit 9–18 Monate: Gründung/Banking 2–4 Monate, QMS-Aufbau und ISO-13485-Zertifizierung 6–12 Monate, PRRC-Besetzung 2–6 Monate, Benannte-Stelle-Slot 3–9 Monate. Laufende Jahreskosten je nach Setup im niedrigen bis mittleren sechsstelligen Bereich. Der Weg, den die meisten europäisch VC-finanzierten DTx-Unternehmen wählen und der langfristig tragfähigste ist – selten der schnellste zum ersten Antrag. Für deutsche Hersteller, deren GmbH bereits die Rolle operativ trägt, entfällt der Gründungsblock – Weg 2 ist dann einfach die Fortsetzung der bestehenden Struktur.

Weg 3: Partnerschaft mit einem EU-Legal-Manufacturer

Der schnellste. Die Drittstaats-DTx-Gesellschaft behält Produkt-IP und operative Kontrolle; ein EU-ansässiger Legal Manufacturer übernimmt die MDR-Hersteller-Rolle – hält die TD, betreibt das QMS, signiert die Konformitätserklärung, reicht beim BfArM ein, trägt die Haftungs-Posture. Kommerziell intensiv: Der Partner führt Due Diligence auf das Produkt, verlangt Einsicht in den IEC-62304-Lebenszyklus, besteht auf QMS-Schnittstelle und verlangt typischerweise kommerzielle Beteiligung statt Pauschale. Konditionen werden verhandelt. Zeit bis Einreichungsfähigkeit: 3–6 Monate bei bereits MDR-CE-gekennzeichnetem Produkt; länger bei neuem CE-Verfahren unter Partner-Signatur.

Welcher Weg zu welcher DACH-Konstellation passt

• Deutsche GmbH als Hersteller, Entwicklung teils im Ausland (IN, PL, UA): Kein Drittland-Problem – Hersteller bleibt die GmbH, solange sie unter eigenem Namen vermarktet und Art.-10-Pflichten trägt. Entwicklungs-Auslagerung ist nach Art. 2(30) zulässig.
• Deutsche GmbH als Tochter einer US-Mutter, Produktname unter US-Marke: Wenn die Mutter vermarktet, ist sie Drittstaats-Hersteller – Weg 1, 2 oder 3. Entscheidend sind Markenregistrierung und Vermarktungs-Akt, nicht der Handelsregister-Eintrag.
• Schweizer AG, EU-Vertrieb über deutsche GmbH: AG ist Drittstaats-Hersteller; die deutsche GmbH reicht nicht als Antragsteller, wenn sie nur vertreibt.
• UK-Limited, Deutschland als Erstmarkt: Post-Brexit MDR-Drittland; Weg 1 für Klasse I machbar, für IIa/IIb schmal.
• Delaware-LLC mit irischer Hosting-Gesellschaft: Die irische Einheit ist Kandidatin für Weg 2 – wenn sie die Hersteller-Rolle operativ tragen kann. Holding-Struktur allein reicht nicht.

Investoren bevorzugen die Tochter wegen Langfristigkeit, RA-Leiter wegen Kontrolle, Gründer unter Zeitdruck die Partnerschaft. Frühphasige DTx-Teams mit einem Produkt haben selten einen Business Case für die eigene Tochter, bevor die DiGA gelistet ist – die Partnerschaft kauft diesen Beweis.

Dokumentations-Anforderungen an den Antragsteller

Getrennt von medizinischer, klinischer und sicherheitstechnischer DiGA-Dokumentation trägt der Antragsteller als Einheit ein eigenes Dokumentations-Set. Aus den 26 Angabenblöcken nach DiGAV § 2 Abs. 1 auf Antragsteller-Ebene:

• Hersteller-Identifikation – Firmenname, Rechtsform, Handelsregister-Auszug (HRB/HRA) oder EU-Äquivalent, Sitz, EUDAMED-SRN (Single Registration Number), wenn vergeben. Für Drittstaats-Hersteller zusätzlich Registrierung und Mandat des EU-Bevollmächtigten.
• EU-Konformitätserklärung nach MDR Anhang IV (Art. 10(6)), vom zeichnungsberechtigten Vertreter des Herstellers unterzeichnet.
• Benannte-Stelle-Beteiligung (Klasse IIa/IIb) – vierstellige Nummer, Zertifikatsreferenz, Geltungsbereich nach DiGAV § 2 Abs. 1 Nr. 3. Klasse I ist Selbstauskunft.
• QMS-Zertifikat nach ISO 13485 gemäß MDR Art. 10(9), Scope deckend für die DiGA. In Partnerschaft deckt das Partner-QMS den gemeinsamen Betrieb.
• PRRC-Bestellung nach MDR Art. 15(1) – Qualifikation (Art. 15(1)(a) oder (b)), Vertragsverhältnis zum Hersteller (Art. 15(2) für Kleinst-/Kleinunternehmen); deutsche Umsetzung nach § 25 MPDG.
• Haftpflichtversicherung (DiGAV § 2 Abs. 1 Nr. 23) – Deckungssumme im Antrag; in der Partnerschaft kommerziell mitverhandelt.
• Orte der Datenverarbeitung (DiGAV § 2 Abs. 1 Nr. 20) – Hersteller-Ebene, Konformität mit DiGAV § 4 Abs. 3.
• ISMS-Zertifikat nach ISO 27001, pro Unternehmen, Pflicht seit 01.04.2022 (DiGA-Leitfaden v3.6 Kap. 3.4.1).
• BSI-TR-03161-Zertifikat pro DiGA – Pflicht seit 01.01.2025, antragsrelevant seit 01.07.2025. Pro DiGA, nicht pro Unternehmen (§ 139e Abs. 10 SGB V); Details im Artikel BSI TR-03161-Zertifizierung.

Keine Einzelposition ist für sich schwer. Alle setzen voraus, dass der Hersteller existiert und unterzeichnungsbereit ist.

Zeit-Implikationen pro Weg

Teams, die die Hersteller-Frage in Monat eins beantworten, sparen gegenüber Teams, die sie in Monat acht entdecken, 3–9 Monate. Der BfArM-Bescheid bleibt bei drei Monaten ab Vollständigkeit nach DiGAV § 16 Abs. 1↗ – die Zeit spart sich im kritischen Pfad davor.

Qualitative Gegenüberstellung (keine Vertragszahlen; Partnerschaftskonditionen werden verhandelt):

Die Entscheidung wiegt Zeit bis zur Erstattung gegen langfristige Kontrolle – Partnerschaft auf Geschwindigkeit, Tochter auf Kontrolle, Bevollmächtigter auf Minimal-Footprint (selten auf DiGA-Spezifika).

Typische Stolperfallen für DACH-Konstellationen

Sieben strukturelle Muster, die in DACH-Projekten überproportional auftreten:

1. Den EU-Bevollmächtigten als administrativen Dienstleister behandeln. Nach MDR Art. 11(5) haftet der Bevollmächtigte gesamtschuldnerisch – ein Vendor-Modell zum Mindestpreis ist für Klasse IIa/IIb der falsche Partner und wird ein Mandat bei ehrlicher Risikobetrachtung oft ablehnen.
2. Die deutsche Vertriebs-GmbH als Antragsteller annehmen. Händler nach Art. 14 ist kein Hersteller. „Unsere deutsche Gesellschaft macht den Antrag" ohne operative Hersteller-Übernahme fällt in der BfArM-Vollständigkeitsprüfung auf – Konformitätserklärung und QMS-Zertifikat passen nicht zur Antragsteller-Einheit.
3. Legacy-CE unter MDD annehmen. MDD-CE ist für neue Inverkehrbringungen nicht valide. Die MDR gilt seit 2021; eine DiGA-Einreichung 2026 platziert heute – MDR-Regeln gelten.
4. Die Schweiz als EU-ähnlich behandeln. Seit Mai 2021 (Auslaufen MRA CH-EU) MDR-seitig Drittland. Schweizer Hersteller brauchen einen EU-Bevollmächtigten.
5. Unterschätzung der PRRC-Lücke. Enger EU-PRRC-Arbeitsmarkt; PRRC-Besetzung in Monat zwölf ist oft keine Quartals-Angelegenheit. Art. 15(2)-Externalisierung greift nur in Kleinst-/Kleinunternehmen; ein mittleres DACH-Team braucht eine organisationsinterne PRRC.
6. Deutsche Lokalisierung als Übersetzungsauftrag. Produkt, Zweckbestimmung, Gebrauchsanweisung, Einwilligung, Support – auf Deutsch in BfArM-tauglicher Qualität, verantwortet vom Hersteller. Für Schweizer Teams geringerer Aufwand als für US-/UK-Teams, aber kein Nullposten.
7. Eine DiGA-Listung als Skalierungs-Beweis missverstehen. Eine für ein Produkt strukturierte Partnerschaft trägt nicht automatisch drei Produkte. Skalierbarkeit ist Designfrage, keine emergente Eigenschaft.

Das DUX-Legal-Manufacturer-Partner-Modell – eine Einordnung

DUX Healthcare betreibt die mHealth Suite, eine Plattform vorvalidierter Software-Module für CE-gekennzeichnete Medizinprodukte-Software und DiGA-konformen Betrieb. Über eine Partnerstruktur bietet DUX eine Legal-Manufacturer-Partnerschaft an – nicht als allgemeines Regulatory-Services-Angebot, sondern für Teams, deren Produkt auf die Plattform passt. Der Partner übernimmt die MDR-Hersteller-Rolle für die DiGA, betreibt das ISO-13485-QMS mit Scope über den gemeinsamen Betrieb (MDR Art. 10(9)), stellt die PRRC nach MDR Art. 15(1), hält die technische Dokumentation, unterzeichnet die EU-Konformitätserklärung nach Anhang IV und reicht beim BfArM ein. Das Team behält Produkt-IP, klinische Inhalte, Marke und kommerzielle Richtung außerhalb Deutschlands – und teilt sich mit dem Partner die DiGA-Ökonomie unter verhandelten Konditionen.

Der strukturelle Punkt: Die zwei schwersten Marktzugangs-Blocker – MDR/DiGAV-Engineering und die EU-Legal-Manufacturer-Voraussetzung – werden gemeinsam gelöst, nicht seriell. DUX sagt „nein" zu Partneranfragen, wenn die Passung nicht da ist. Für DACH-Teams mit eigener deutscher Hersteller-GmbH ist das Modell nicht der Ersatz für die eigene Struktur, sondern ein möglicher Beschleuniger für DiGA-Spezifika (BSI TR-03161, Datenschutz-Architektur, AbEM-Infrastruktur), in dem die eigene Gesellschaft Hersteller bleibt – andere Konversation als die Drittstaats-Inbound-Partnerschaft. Plattform-Mechanik und Partnerkontext unter /go-beyond/; konkrete Konditionen besprechen wir im Gespräch.

Häufige Fragen

Weiterführend

Operative Tiefe nach geklärter Hersteller-Frage: Wissens-Bereich DiGA – Praxis-Wissen zu BfArM-Verfahren, Evidenz, BSI TR-03161, AbEM und Preisbildung; DiGA-Zulassungs-Praxis-Leitfaden für die sechs Stationen des Antrags. Bereichsübergreifend MDR, IEC 62304, ISO 13485 und Software-Lebenszyklus: Medizinische Software. DiGA-spezifische Cybersicherheit: BSI-TR-03161-Zertifizierung pro DiGA. Inbound-Hub: Internationale Märkte.