# Rebreak — Compliance- & Zertifizierungs-Roadmap **Stand:** 29.05.2026 **Owner:** Chahine Brini **Zweck:** Strukturierter Pfad von „geschlossene Beta" zu „DiGA-gelistete App mit Krankenkassen-Erstattung". Dient gleichzeitig als Mittelverwendungs-Begründung im NBank-Antrag (§6 / §12). --- ## 0. Leitprinzipien 1. **DSGVO-Setup vor erstem zahlenden User.** Sobald ein Fremder einen Euro überweist + wir Gesundheitsdaten (Sucht = Art. 9 DSGVO) verarbeiten, ist die Vollanwendung scharf. Beta mit persönlich bekannten Tester:innen ist tolerierbar, kommerzieller Launch nicht ohne DSB + DSFA + sauberer Datenschutzerklärung. 2. **Reputations-Asymmetrie.** Erster DSGVO-Skandal in einer Sucht-App ist medial existenzbedrohend. Lieber 3 Monate später launchen mit sauberem Setup als 3 Monate früher mit Risiko. 3. **„TÜV-Zertifizierung" ist keine relevante Kategorie.** Was zählt: DSFA, ISO 27001 (oder light), BSI C5 (im Hosting), DiGA-Listung beim BfArM. TÜV-Trustmarks haben Marketing- aber keine regulatorische Wirkung für unseren Use-Case. 4. **Hebel statt Vollausbau.** Wir nutzen, wo möglich, Compliance unserer Provider (z.B. C5-zertifiziertes Hosting) statt eigene Zertifikate aufzubauen, solange B2C-Phase läuft. Eigene Zertifikate erst wenn B2B-Pfad (Krankenkassen / DiGA) das verlangt. --- ## 1. Phasen-Plan | Phase | Inhalt | Zeitfenster | Kosten (Range) | Trigger / Voraussetzung | |---|---|---|---|---| | **1** | DSB-Retainer + DSFA + Datenschutzerklärung + Consent-Flow + Verarbeitungsverzeichnis (Art. 30) | Q3 2026 | 8 – 15k€ Setup + 2 – 5k€/Jahr DSB-Retainer | NBank-Geld da | | **2** | C5-konformes Hosting (AWS Frankfurt-Move oder Hetzner-Cloud-Anteile) + AV-Verträge (Groq Schrems-II-Lösung priorisiert) | Q4 2026 | ~500 €/Monat Hosting-Mehrkosten, einmalig ~5k€ Migration | Phase 1 abgeschlossen | | **3** | ISO-27001-light Doku-Setup (Prozesse dokumentieren, noch nicht zertifizieren) | Q1 2027 | 5 – 10k€ Consultant | Phase 2 stabil | | **4** | GmbH-Gründung (Stammkapital 25k€, davon 12,5k€ Einzahlung) + Marken­anmeldung „Rebreak" beim DPMA | Q1 2027 | 3 – 5k€ Notar/StB + 12,5k€ Stammkapital (verfügbar) + 300€ Marke | Erste relevante Umsatzschwelle erreicht | | **5** | Erste B2B-Anbahnung Diakonie / Caritas / Kommunen / Krankenkassen (unter GmbH-Briefkopf) | Q2 2027 | – (Reisekosten) | GmbH eingetragen, Compliance-Doku vorzeigbar | | **6** | DiGA-Vorprüfung beim BfArM (kostenloses Beratungsgespräch) | Q2 – Q3 2027 | – | Phase 1–3 abgeschlossen | | **7** | Klinische Studie Design + Studienpartner (delphi GmbH als Wunschpartner) + Ethik-Vote | Q3 2027 ff. | 80 – 300k€ → eigene Finanzierungsrunde | DiGA-Vorprüfung positiv | | **8** | DiGA-Antrag vorläufig beim BfArM | Q4 2027 / 2028 | – | Studie läuft / abgeschlossen | | **9** | Vollwert-DiGA-Listung → Krankenkassen-Erstattung (~400 – 800 €/Quartal/User) | 2028 / 2029 | – | Wirksamkeitsnachweis BfArM-konform | --- ## 2. Phase 1 im Detail (Q3 2026 — direkt nach NBank) ### 2.1 Externer Datenschutzbeauftragter (DSB) - **Status:** Gesetzlich Pflicht ab Verarbeitung besonderer Kategorien nach Art. 9 DSGVO (Gesundheitsdaten / Suchterkrankung) — unabhängig von Mitarbeiterzahl. - **Auswahl-Kriterien:** - Explizite Erfahrung mit Digital Health / DiGA / Medizinprodukten - Sitz in Deutschland (Haftung persönlich) - Retainer-Modell, nicht stundenbasiert - **Kostenrahmen:** 150 – 400 €/Monat Retainer **oder** 2 – 4k€ Einmal-Setup + 80 – 150 €/Monat laufend - **Shortlist:** wird in Phase 0 (Vorbereitung) erstellt — 3 spezialisierte Kanzleien ### 2.2 Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) - **Pflicht** bei Rebreak wegen Kombination aus: - Gesundheitsdaten (Sucht) - Automatisierte Entscheidungen / Profiling (Lyra-LLM-Antworten) - Großer Umfang an Daten - **Format:** Strukturiertes Dokument mit Risiko-Bewertung, Schutzmaßnahmen, Verbleibrisiken - **Kostenrahmen:** - Bei spezialisiertem Anwalt: 3 – 8k€ - Bei DSB-Dienstleister inkludiert: 1,5 – 3k€ - **Vorarbeit intern:** `hans-mueller`-Agent kann DSFA-Rohentwurf vorbereiten → spart Anwaltsstunden massiv ### 2.3 AV-Verträge (Auftragsverarbeitung, Art. 28 DSGVO) | Sub-Auftragsverarbeiter | Standard-DPA verfügbar? | Schrems-II-Problem? | Aktion | |---|---|---|---| | Hetzner | Ja | Nein (DE-Hosting) | DPA unterzeichnen, archivieren | | Cloudflare | Ja | Teilweise (US-Mutter, EU-Datenstandort möglich) | DPA + Data-Localization-Settings aktivieren | | Stripe | Ja | Ja (USA) | DPA + TIA (Transfer Impact Assessment) dokumentieren | | Apple (Push, In-App-Purchase) | Ja | Ja | DPA Standard, TIA | | Google (Push, Play-Billing) | Ja | Ja | DPA Standard, TIA | | **Groq (Lyra-LLM)** | DPA prüfen | **Ja, kritisch** (USA-Hosting, Gesundheitsdaten) | **Option-Matrix unten** | #### Groq / LLM-Schrems-II — die drei Optionen 1. **Pseudonymisierung im Backend** — kein User-Identifier wird an Groq übertragen, nur anonymisierter Chat-Kontext. Backend hält Mapping. Rechtlich tragbarer Weg. 2. **EU-LLM-Provider-Switch** — Mistral via Scaleway, Aleph Alpha. Teurer, schwächer in DE-Sprachqualität. 3. **Explizite Einwilligung des Users + TIA** — fragiler, weil Krankenkassen / DiGA-Prüfer das später ggf. nicht akzeptieren. → **Empfehlung:** Pseudonymisierung (Option 1) als architektonischer Default, weil zukunftssicher und DiGA-tauglich. Implementierung ist Backend-Aufwand, kein Anwaltskosten. ### 2.4 Datenschutzerklärung + Cookie-/Consent-Konstrukt - Bei Fachanwalt: 800 – 2 000€ - **Nicht** aus Generator zusammenklicken — bei Gesundheitsdaten zu riskant - Muss in DE + EN vorliegen (Marketing-Site ist bereits zweisprachig) ### 2.5 Verarbeitungsverzeichnis (Art. 30 DSGVO) - Im DSB-Retainer enthalten - Lebendes Dokument, wird bei jeder Schema-/Provider-Änderung aktualisiert ### 2.6 Betroffenenrechte technisch implementieren | Recht | Artikel | Status Backend | Aufwand | |---|---|---|---| | Auskunft | Art. 15 | TBD | mittel (Backend-Endpoint) | | Berichtigung | Art. 16 | App-Settings vorhanden | gering | | Löschung | Art. 17 | TBD | mittel (Cascade-Delete + Backups) | | Datenübertragbarkeit | Art. 20 | TBD | mittel (JSON-Export) | | Widerspruch | Art. 21 | TBD | gering | → **Vor erstem zahlenden User müssen alle technisch funktionieren**, nicht nur dokumentiert sein. --- ## 3. Phase 2 im Detail (Q4 2026) ### 3.1 Hosting-Strategie - **Aktuell:** Hetzner Dedicated (Standard, nicht C5-zertifiziert) - **Ziel-Architektur:** - **Option A:** AWS Frankfurt (eu-central-1), C5-zertifiziert, vollumfänglich - **Option B:** Hetzner Cloud (teilweise C5), günstiger - **Option C (Hybrid, empfohlen):** Backend-DB + sensible Daten → AWS Frankfurt (C5). Statische Assets / Marketing-Site → Hetzner Dedicated (Kosten optimieren). - **Mehrkosten:** ~500 €/Monat geschätzt für Option C - **Migration:** ca. 5k€ Einmalkosten (Tooling, Downtime-Management, DNS-Cutover) ### 3.2 Pseudonymisierungs-Layer für Groq - Backend-Komponente: Anonymisierungs-Proxy zwischen Lyra-Chat-Handler und Groq-API - Mapping User-ID → Pseudo-ID nur lokal in PostgreSQL gespeichert - Im Chat-Kontext keine direkt personenbezogenen Daten --- ## 4. Phase 3 im Detail (Q1 2027) — ISO-27001-light **Warum „light" zuerst:** Vollzertifikat kostet 15 – 40k€ + 5 – 10k€/Jahr Überwachungsaudits. Für B2C-Phase Overkill. Für erste B2B-Gespräche reicht **dokumentierte Audit-Bereitschaft**. **Was gebaut wird:** - ISMS-Handbuch (Informationssicherheits-Management-System) - Risikoregister - Notfallplan (Incident Response) - Zugriffskontroll-Konzept - Logging- & Monitoring-Konzept - Backup- & Recovery-Konzept **Aufwand:** 5 – 10k€ für Consultant, 4 – 8 Wochen interner Arbeit **Vollzertifizierung:** erst wenn DiGA-Pfad konkret wird (Phase 7+) --- ## 5. Phase 4 im Detail (Q1 2027) — GmbH ### 5.1 Warum GmbH-Wechsel kritisch ist - Krankenkassen, Diakonie, kirchliche Träger, öffentliche Stellen haben oft interne Compliance-Regeln: **keine Kooperation mit Einzelunternehmern** - Persönliche Haftungsbegrenzung - Investor-Fähigkeit (falls Phase 7 Studien-Finanzierung über Investoren läuft) - Wahrnehmung im Behörden-/Krankenkassen-Kontext: GmbH wirkt institutionell, Einzelunternehmen wirkt wie Hobby-Projekt ### 5.2 Kostenstruktur - **Stammkapital:** 25 000 € (12 500 € Einzahlung zwingend, Rest als Resteinlage-Verpflichtung) - Einzahlung darf **sofort für GmbH-Ausgaben verwendet werden** (kein eingefrorenes Kapital) - **Notar + Handelsregister:** 600 – 1 200 € (Musterprotokoll für 1-Personen-GmbH) - **Steuerberater Eröffnungsbilanz:** 1 500 – 3 000 € - **Marken-Anmeldung „Rebreak" beim DPMA:** ~300 € **Cash-Bedarf netto:** 3 – 5k€ + 12,5k€ Stammkapital (das aber im Betrieb arbeitet) ### 5.3 Vorbereitung jetzt schon (kostenlos) - Namens-Verfügbarkeit „Rebreak GmbH" beim Handelsregister + IHK prüfen - Domain `rebreak-gmbh.de` o.ä. sichern - Im NBank-Plan §2.2 erwähnen: „Rechtsform aktuell Einzelunternehmen, geplante Überführung in GmbH Q1 2027" → signalisiert Plan + Ernsthaftigkeit ### 5.4 Alternative UG bewusst verworfen - „Rebreak UG" wirkt im Sucht-/Gesundheits-Kontext halbgar - B2B-Partner-Reflex: „UG = unterkapitalisiert = Risiko" - Spart kurzfristig Kapital, kostet langfristig Anbahnungs-Chancen --- ## 6. Phase 7-9 — DiGA-Pfad ### 6.1 Voraussetzungen DiGA-Listung beim BfArM - **CE-Kennzeichnung** als Medizinprodukt nach MDR Klasse I oder IIa - **Wirksamkeitsnachweis:** RCT (Randomized Controlled Trial) mit 100 – 300 Probanden, 12 – 18 Monate Laufzeit - **Alternativ:** vorläufige Aufnahme mit Studien-Verpflichtung (12 Monate Frist) - **DSFA + ISMS-Nachweis** (ISO 27001 oder BSI-C5-äquivalent) - **Barrierefreiheit** nach BITV 2.0 - **Datenschutz-Cockpit** für User (granulare Einwilligungs-/Lösch-Funktionen) - Positives BfArM-Bewertungsverfahren ### 6.2 Kostenrahmen - **Studie:** 80 – 300k€ (variiert stark nach Design, Probandenzahl, Standorten) - **Regulatory Affairs Consultant:** 20 – 50k€ über 12 Monate - **CE-Kennzeichnungs-Verfahren:** 10 – 25k€ - **Vollwert-ISO-27001 / BSI-C5-Testat:** 20 – 50k€ **Gesamt realistisch:** 150 – 400k€ über 18 – 24 Monate → eigene Finanzierungsrunde, nicht aus NBank-Kredit stemmbar ### 6.3 Strategischer Wert delphi GmbH - delphi GmbH (Tensil + Leuschner) hat Studien-Methodik-Expertise im Sucht-Bereich - Wunsch-Partner für RCT — siehe `ops/strategy/PARTNER_ANALYSIS.md` §3 - Erstkontakt Variante-C-Mail vorbereitet, geplante Versendung ~2 Wochen nach Lukas-Werk ### 6.4 Refinanzierungs-Logik - DiGA-Erstattung: ~400 – 800 €/Quartal pro User direkt von Krankenkassen - Bei 1 000 verschriebenen Usern → 1,6 – 3,2 Mio €/Jahr ARR - Break-Even DiGA-Investition bei ~500 verschriebenen Usern - Marktpotential: 73 Mio. GKV-Versicherte, ~500k Spielsucht-Betroffene in DE --- ## 7. Was NICHT gemacht wird (bewusste Verzicht-Entscheidungen) | Maßnahme | Warum nicht | |---|---| | TÜV-Trustmark / TÜV-App-Siegel | Keine regulatorische Wirkung, nur Endkunden-Marketing-Effekt von ~+2-3% Conversion. Geld besser in DSB-Retainer | | ePA-/TI-Anbindung | Erst relevant wenn DiGA-Listung steht. Vor 2028 ignorieren | | Vollwert-ISO-27001-Zertifikat (vor DiGA-Pfad) | 15 – 40k€ + Audits jährlich. ISO-27001-light reicht für B2B-Anbahnung | | US-/Internationale-Compliance (HIPAA etc.) | DE-Markt zuerst. International erst nach DiGA-Listung | | Eigenes BSI-C5-Testat | Bringen über Hosting-Provider mit, eigenes Testat erst wenn Eigen-Hosting strategisch nötig | | DSGVO-Zertifizierung nach Art. 42 DSGVO | In DE praktisch nicht operationalisiert, keine akkreditierten Stellen für SaaS verfügbar | --- ## 8. Trigger für Paid-Launch Bezahl-Flow wird **erst aufgemacht** wenn folgende Punkte alle abgeschlossen sind: - [ ] DSB-Retainer unterzeichnet (Phase 1.1) - [ ] DSFA fertiggestellt und vom DSB abgenommen (Phase 1.2) - [ ] AV-Verträge mit allen Sub-Auftragsverarbeitern unterzeichnet, insbesondere Groq-Schrems-II-Lösung implementiert (Phase 1.3) - [ ] Datenschutzerklärung DE + EN finalisiert (Phase 1.4) - [ ] Verarbeitungsverzeichnis aktuell (Phase 1.5) - [ ] Betroffenenrechte technisch implementiert + getestet (Phase 1.6) - [ ] Consent-Flow im Onboarding aktiv **Zwischenzeit nutzen:** - Marketing-Site live, Pricing sichtbar, Bezahl-Flow disabled - Email-Waitlist „Launch in Kürze, sicher Dir frühen Zugang" - Beta-Gruppe geschlossen weiterführen (3 Tester + Chahine) --- ## 9. NBank-Antrag Mittelverwendung (§6 / §12 Verzahnung) Die folgenden Compliance-Positionen werden im NBank-Plan §6 als Mittelverwendung explizit aufgeführt: | Position | Betrag | Kategorie | |---|---|---| | DSB-Setup + 12 Monate Retainer | 4 – 6k€ | Beratung | | DSFA | 3 – 8k€ | Beratung | | Datenschutzerklärung Fachanwalt | 1 – 2k€ | Beratung | | Hosting-Migration C5-konform | 5k€ einmalig + 6k€/Jahr Mehrkosten | Infrastruktur | | ISO-27001-light Consultant | 5 – 10k€ | Beratung | | GmbH-Gründung (Notar, StB, Stammkapital wird separat geführt) | 3 – 5k€ Notar/StB | Gründungskosten | | Marken-Anmeldung DPMA | 300 € | Schutzrechte | | **Summe Compliance-Block** | **~30 – 45k€** | | Plus separat 12 500 € Stammkapital GmbH (kein „Spending", verbleibt im Unternehmen als Kapital). **Argumentation für NBank:** Dieser Block ist greifbare, produktive Mittelverwendung — kein Lifestyle, kein Marketing-Bluff. Banken bewerten so etwas signifikant positiver als „Marketing-Budget 30k€". --- ## 10. Offene Punkte / nächste Mini-Tasks - [ ] DSB-Shortlist erstellen (3 Kanzleien mit DiGA-Erfahrung) — Recherche, ~30 Min - [ ] Namens-Verfügbarkeit „Rebreak GmbH" beim Handelsregister prüfen — 5 Min - [ ] Marken-Anmeldung „Rebreak" beim DPMA vorbereiten (Klassen 9 + 42 + 44) — kann sofort starten, dauert 6 Monate - [ ] NBank-Plan §6 Mittelverwendung schärfen mit Compliance-Block (Tabelle aus §9 oben) - [ ] BfArM-Beratungsgespräch-Termin in Q2/Q3 2027 vormerken (Termine kommen kurzfristig) --- ## 11. Cross-Referenzen - `ops/BUSINESS_PLAN_NBANK.md` — §2.2 Rechtsform-Plan, §6 Mittelverwendung, §12 Marktpotential DiGA - `ops/strategy/PARTNER_ANALYSIS.md` — delphi GmbH als Studienpartner-Kandidat - `ops/strategy/OUTREACH_MAILS_READY.md` — Lukas-Werk + FAGS Erstkontakt (vor GmbH-Phase, bewusst) - `ops/TODO_QUEUE.md` — operative Backlog-Items - `/memories/repo/rebreak-market-nbank.md` — Markt + Förder-Kontext --- *Lebendiges Dokument. Bei jeder abgeschlossenen Phase aktualisieren und Datum + Verantwortliche eintragen.*