ePA-Integration für Physiotherapeuten: Was Sie bei der Softwareauswahl beachten müssen (2026)

Kurz gesagt

• Seit dem 1. Oktober 2025 müssen medizinische Einrichtungen die ePA in ihren Alltag integrieren, und Heilmittelanbieter wie Physiotherapeuten gehören ausdrücklich zur betroffenen Gruppe (gematik.de).
• Vor jeder Demo sind zwei Kriterien entscheidend. Eine Software ohne dokumentiertes ISO-27001-ISMS scheitert an internen IT-Beschaffungsrichtlinien, und ohne DSGVO-konforme Datenhaltung in der EU einschließlich eines Auftragsverarbeitungsvertrags fehlt die rechtliche Grundlage.
• Physitrack die einzige Plattform in diesem Vergleich, die über vollständig dokumentierte Zertifizierungen verfügt, darunter ISO 27001, ISO 13485 und die CE-Kennzeichnung (Physitrack).
• Physitrack keinen DiGA-Status und ist nicht im BfArM-Verzeichnis aufgeführt. ePA-Tauglichkeit und DiGA sind zwei unterschiedliche Konzepte.

Was die ePA-Integration für Physiotherapeuten im Alltag bedeutet

Seit dem 1. Oktober 2025 müssen medizinische Einrichtungen die ePA in ihren Alltag integrieren, und die gematik nennt Heilmittelanbieter, zu denen auch Physiotherapeuten zählen, ausdrücklich als betroffene Gruppe (gematik.de). Diese Verpflichtung bedeutet zunächst, dass Sie die elektronische Patientenakte im Behandlungskontext lesen und ausfüllen können müssen. Sie bedeutet nicht, dass Sie eine vollständig vernetzte Tiefenintegration mit automatischem Datenaustausch betreiben müssen.

Der Unterschied zwischen einer vorgeschriebenen und einer optionalen Tiefenintegration entscheidet darüber, wie viel Aufwand auf Ihre Praxis zukommt. Die gesetzliche Grundlage verlangt den Zugriff im Versorgungskontext, nicht eine bestimmte Softwarearchitektur. Eine Tiefenintegration, bei der Behandlungsdaten strukturiert nach FHIR in die Akte einfließen, ist ein Komfort- und Effizienzgewinn, kein Mindeststandard. Prüfen Sie vor jeder Kaufentscheidung, welche dieser beiden Ausbaustufen Ihre Software unterstützt.

Im Praxisalltag ändert sich weniger, als viele befürchten, da die ePA nach einem klaren Einwilligungsmodell funktioniert. Die Akte wird für alle gesetzlich Versicherten automatisch angelegt, und Privatversicherte können sie ebenfalls nutzen (gematik.de). Patienten müssen aktiv widersprechen, wenn sie nicht teilnehmen wollen. Diese Opt-out-Logik bedeutet für Sie, dass die meisten Patienten eine ePA besitzen, auf die Sie im Behandlungskontext zugreifen dürfen, ohne pro Termin eine separate Freigabe einholen zu müssen.

Dokumente werden dabei nicht automatisch geladen, mit einer einzigen Ausnahme. Nur E-Rezept-Daten werden automatisch in die Medikamentenliste übernommen; alle anderen Inhalte rufen Sie gezielt ab (gematik.de). Patienten können den Zugriff je nach Einrichtung einschränken, das Hochladen von Dokumenten sperren oder bestimmte Kategorien blockieren – oft sogar mündlich während der Behandlung. Ihre Software muss diese detaillierten Sperren technisch umsetzen, damit Sie keine Inhalte sehen oder hochladen können, für die keine Einwilligung vorliegt.

Für den Behandlungsalltag bedeutet dies konkret, dass Sie bei jedem Patienten prüfen, ob eine ePA vorliegt und welche Berechtigungen gelten, bevor Sie Befunde oder Therapieberichte ablegen. Eine gute Software führt Sie durch diese Schritte, anstatt sie Ihnen aufzubürden.

Die fünf Auswahlkriterien für Physiotherapie-Software mit ePA-Anbindung

Bewerten Sie jede Plattform anhand von Nachweisen, nicht anhand von Funktionslisten. Ein Anbieter, der eine Funktion vorführt, hat damit noch keine einzige Compliance-Anforderung erfüllt. Die folgenden fünf Kriterien lassen sich vor jedem Demo-Termin schriftlich prüfen, und genau das sollten Sie tun.

1. ISO 27001 als strenges Ausschlusskriterium

Ohne ein dokumentiertes ISO-27001-Zertifikat für Informationssicherheit scheitert eine Software bei vielen Ausschreibungen im Klinikbereich, noch bevor überhaupt eine Vorführung anberaumt wird. ISO 27001 belegt ein geprüftes Managementsystem zum Schutz sensibler Patientendaten, und IT-Beschaffungsstellen betrachten dies als Mindestvoraussetzung, nicht als Pluspunkt. Caspar Health verfügt über eine ISO 27001:2017-Zertifizierung. Physitrack ebenfalls Physitrack der ISO 27001, während für Wibbi in den verfügbaren Quellen kein öffentlich dokumentiertes Zertifikat vorliegt.

2. ISO 13485 und CE-Kennzeichnung als medizintechnikspezifische Zusatzanforderung

Wenn Ihre Software klinische Funktionen erfüllt, die über die reine Dokumentation hinausgehen, sind die Norm ISO 13485 sowie die CE-Kennzeichnung relevant. Die Norm ISO 13485 prüft das Qualitätsmanagement für Medizinprodukte, und die CE-Kennzeichnung weist die Konformität als Medizinprodukt nach. Physitrack sowohl Physitrack nach ISO 13485 als auch Physitrack eine CE-Kennzeichnung. Caspar Health nennt in den verfügbaren Quellen die Norm DIN ISO 9001, jedoch weder ISO 13485 noch eine CE-Kennzeichnung. Verlangen Sie das Zertifikat selbst, nicht nur eine entsprechende Aussage.

3. EU-Datenverwaltung mit AVV

Lassen Sie sich den Standort des Rechenzentrums vertraglich bestätigen und schließen Sie einen Auftragsverarbeitungsvertrag (AVV) ab. Die DSGVO-Konformität allein ist nur eine Behauptung, solange Sie nicht wissen, in welchem Land sich Ihre Patientendaten befinden. Physitrack , dass das Hosting in der EU erfolgt und die DSGVO-Konformität gewährleistet ist, und rät selbst dazu, den Standort schriftlich abzusichern. Für Caspar Health und Wibbi nennen die geprüften Quellen keinen konkreten Hosting-Standort, und genau diese Lücke muss vor Vertragsabschluss geschlossen werden.

4. DiGA-Status und ePA-Eignung als getrennte Konzepte

Verwechseln Sie den DiGA-Status nicht mit der ePA-Tauglichkeit, denn beide Begriffe beantworten unterschiedliche Fragen. Eine DiGA ist eine vom BfArM gelistete, erstattungsfähige digitale Gesundheitsanwendung gemäß § 139e SGB V. ePA-Tauglichkeit bedeutet, dass eine Software über die ab Oktober 2025 geltende Verpflichtung hinaus mit der elektronischen Patientenakte zusammenarbeitet. Physitrack keinen DiGA-Status und ist nicht im BfArM-Verzeichnis gelistet, positioniert sich jedoch über eine FHIR- und HL7-Schicht im ePA-Rahmen. Wenn Sie eine erstattungsfähige Anwendung suchen, ist DiGA das richtige Kriterium. Wenn Sie eine ePA-Anbindung suchen, ist dies nicht der Fall.

5. Integrationsgrad: SSO oder Datensynchronisation

Klären Sie, ob eine Anbindung lediglich ein gemeinsames Login bedeutet oder ob tatsächlich Daten zwischen den Systemen ausgetauscht werden. Physitrack drei Stufen, vom Single Sign-On über SSO mit PDF-Upload bis hin zur tiefgreifenden Datensynchronisation, bei der Adhärenzdaten und Fragebögen zurück ins Praxissystem übertragen werden. Für den klinischen Kontext zählt vor allem die FHIR-R4-Konformität, die gematik als Interoperabilitätsstandard für die Telematikinfrastruktur definiert. Eine native Epic-Anbindung ist dokumentiert, während ORBIS und i.s.h.med, die beiden in deutschen Klinikausschreibungen am häufigsten geforderten KIS-Systeme, nicht als bestätigte Integrationen genannt sind. Wenn Sie eine konkrete Anforderung an ORBIS oder i.s.h.med haben, lassen Sie sich die Anbindung vor Vertragsabschluss schriftlich zusichern.

Was Sie Ihren Softwareanbieter fragen sollten

Bevor Sie einen Vertrag unterzeichnen, stellen Sie diese Fragen schriftlich. Eine mündliche Zusage während des Demo-Termins lässt sich später nicht nachweisen, eine E-Mail-Antwort des Anbieters hingegen schon. Bitten Sie um schriftliche Antworten auf jeden Punkt und werten Sie jede ausweichende Formulierung als Hinweis.

Zertifizierung. Fragen Sie nach dem ISO-27001-Zertifikat als Dokument, nicht nach der Behauptung, „zertifiziert“ zu sein. Verlangen Sie das Zertifikat mit Ausstellungsdatum und Geltungsbereich. Antwortet ein Anbieter mit „Wir arbeiten nach ISO-Standards“, ist das ein Warnsignal, denn das ist keine Zertifizierung.

Medizinprodukt. Fragen Sie nach, ob die Software als Medizinprodukt CE-gekennzeichnet ist und ob die Norm ISO 13485 für das Qualitätsmanagement vorliegt. Diese Frage unterscheidet Plattformen mit medizinischer Sorgfaltspflicht von reinen Übungsbibliotheken.

Standort des Rechenzentrums. Lassen Sie sich den konkreten Standort der Server nennen, idealerweise das Land. „EU-Hosting“ ohne Ortsangabe reicht für eine DSGVO-konforme Beschaffung nicht aus. Verlangen Sie zusätzlich einen Auftragsverarbeitungsvertrag gemäß Artikel 28 DSGVO. Ein Anbieter, der keinen AVV vorlegt, scheidet aus.

FHIR-Konformität. Erkundigen Sie sich, ob die Plattform FHIR R4 unterstützt, da dies der von gematik vorgegebene Interoperabilitätsstandard für die ePA (gematik) ist. Klären Sie, über welche Schnittstelle Dokumente in die ePA gelangen und welches der unterstützten Formate – PDF, XML oder JSON – der Anbieter verwendet.

Integrationstiefe. Klären Sie, ob Sie lediglich ein Single-Sign-On erhalten oder eine echte Datensynchronisation zurück in Ihr Praxisverwaltungssystem. Beides ist legitim, erfordert im Alltag jedoch einen unterschiedlichen Aufwand. Fragen Sie konkret nach, welche Daten in welche Richtung fließen.

Klinik-KIS. Wenn Sie an ein Krankenhaus angeschlossen sind, fragen Sie ausdrücklich nach ORBIS und i.s.h.med. Diese beiden Systeme werden von den Beschaffungsteams der Kliniken namentlich verlangt. Lassen Sie sich eine bestehende Integration schriftlich bestätigen, bevor Sie den Vertrag unterzeichnen. Auch Physitrack ORBIS und i.s.h.med nicht als öffentlich dokumentierte Integrationen Physitrack und empfiehlt selbst, dies vorab schriftlich zu klären.

DiGA-Abgrenzung. Fragen Sie direkt nach, ob der Anbieter den DiGA-Status gemäß § 139e SGB V besitzt und im BfArM-Verzeichnis aufgeführt ist. Verwechseln Sie dies nicht mit der ePA-Tauglichkeit. Ein Anbieter, der sich hierzu nicht eindeutig äußert, vermischt zwei verschiedene Regelwerke.

Sollten Sie auf eine dieser Fragen keine klare schriftliche Antwort erhalten, betrachten Sie das Schweigen als Antwort. Wer über eine Zertifizierung verfügt, schickt das Zertifikat innerhalb von zwei Minuten.

Plattformvergleich: Physitrack, Caspar Health, Wibbi und ExorLive im Überblick

In der folgenden Tabelle werden die fünf Auswahlkriterien aus diesem Leitfaden auf vier Plattformen angewendet. Wenn eine Plattform ein Kriterium nicht öffentlich nachweist, steht dort „nicht öffentlich dokumentiert“. Dies ist ein Hinweis auf die Transparenz, kein negatives Urteil. Ein fehlender Nachweis bedeutet nicht, dass die Fähigkeit fehlt, sondern dass Sie sich diese vor Vertragsabschluss schriftlich bestätigen lassen sollten.

Caspar Health verdient eine genauere Einordnung, da seine Stärke anderswo liegt als bei den übrigen Anbietern. Caspar Health verfügt über die Zertifizierung nach ISO 27001:2017 für Informationssicherheit und erhielt zum 1. Januar 2022 die dauerhafte Anerkennung durch die Deutsche Rentenversicherung als digitales Nachsorgezentrum. Mit über 260 Partnerkliniken und mehr als 1.100 KTL-relevanten Inhalten ist Caspar Health klar auf die DRV-Reha-Nachsorge ausgerichtet. Wenn Ihr Schwerpunkt auf der rehabilitativen Nachsorge nach DRV-Kriterien liegt, gehört Caspar Health auf Ihre Shortlist. Eine ePA-Anbindung oder TI-Integration erwähnt das Unternehmen in seinen öffentlichen Unterlagen jedoch nicht.

Zu Wibbi und ExorLive lagen in den geprüften Quellen keine öffentlich dokumentierten Angaben zu Zertifizierungen, Datenstandort oder ePA-Anbindung vor. Betrachten Sie diese Lücke nicht als Ausschlussgrund. Fordern Sie stattdessen die Nachweise direkt beim Anbieter an, wie im vorigen Abschnitt beschrieben. Ein Anbieter, der ISO-Zertifikate und den Standort des Rechenzentrums auf Anfrage schriftlich vorlegt, beantwortet die Frage. Ein Anbieter, der dies nicht tut, beantwortet sie ebenfalls.

Physitrack nach den hier geprüften Unterlagen die einzige Plattform mit dokumentierter Zertifizierung nach ISO 27001 und ISO 13485, CE-Kennzeichnung sowie einer benannten FHIR/HL7-Schicht. Die Zertifikate stammen aus Physitracks eigenen Vergleichsseiten und wurden in den vorliegenden Quellen nicht unabhängig geprüft. Behandeln Sie diese Angaben daher wie alle anderen auch und lassen Sie sich die Zertifikatsnummern sowie das Ausstellungsdatum nennen.

Physitrack: Die zertifizierte Plattform für den deutschen Markt

Physitrack die fünf Auswahlkriterien dieses Leitfadens mit dokumentierten Nachweisen, nicht mit Versprechungen. Die Plattform ist nach ISO 27001 für Informationssicherheit und nach ISO 13485 für das Qualitätsmanagement von Medizinprodukten zertifiziert, trägt eine CE-Kennzeichnung als Medizinprodukt und arbeitet DSGVO-konform auf einer in der EU gehosteten Infrastruktur (Enterprise-Vergleich). Genau diese beiden Zertifikate sind in deutschen IT-Beschaffungsverfahren häufig schon vor dem ersten Demo-Termin ausschlaggebend, wie der Leitfaden weiter oben gezeigt hat.

Für die ePA-Anbindung setzt Physitrack eine FHIR- und HL7-kompatible Interoperabilitätsschicht, die sich an bestehende Klinik- und Praxissysteme anbindet, anstatt diese zu ersetzen (ePA-Vergleich). Eine native Epic-Integration ist dokumentiert, ebenso wie Anbindungen an Jane, Intramed, Gensolve, Zanda, Nookal und Lyfe. Die Anbindungstiefe lässt sich in drei Stufen wählen: vom reinen Single-Sign-On über SSO mit PDF-Upload bis hin zur tiefgreifenden Datensynchronisation, die Therapietreue-Daten und Fragebögen an Ihr Praxissystem zurückspielt.

Die klinische Substanz hinter diesen Zertifikaten liefert Ihnen ein Argument, das über die reine Einhaltung von Vorschriften hinausgeht. Physitrack von 110.000 Behandlern in über 180 Ländern eingesetzt, bietet mehr als 18.000 Übungen in 14 Sprachen und wird in über 100 klinischen Studien zitiert (Enterprise-Vergleich). Die Patienten-App PhysiApp über drei Millionen Downloads bei einer durchschnittlichen Bewertung von 4,5 Sternen.

Wo Sie genau hinschauen müssen

Physitrack in Deutschland keinen DiGA-Status und ist nicht im BfArM-Verzeichnis aufgeführt. Ein Erstattungsanspruch gemäß § 139e SGB V besteht daher nicht. Wenn Ihre Praxis auf eine erstattungsfähige digitale Gesundheitsanwendung angewiesen ist, stellt dies einen Ausschlussgrund dar, und Sie sollten ehrlich prüfen, ob die ePA-Tauglichkeit oder die DiGA-Erstattung Ihr eigentliches Ziel ist. Beide Konzepte beantworten unterschiedliche Fragen.

Eine zweite Einschränkung betrifft den klinischen Kontext. ORBIS und i.s.h.med, die beiden Krankenhausinformationssysteme, die von deutschen Beschaffungsteams am häufigsten gefordert werden, sind in der öffentlichen Dokumentation von Physitrack nicht als bestätigte Integrationen aufgeführt (ePA-Vergleich). Wenn Ihre Ausschreibung eine konkrete ORBIS- oder i.s.h.med-Anbindung vorsieht, lassen Sie sich diese vor Vertragsabschluss schriftlich bestätigen. Dies gilt für jeden Anbieter, nicht nur für Physitrack, und gehört zu den Fragen an den Anbieter, die Sie ohnehin stellen sollten.

Für Praxen und Klinikabteilungen, die Wert auf einen dokumentierten Compliance-Nachweis legen und eine FHIR-fähige Plattform mit klinischer Tiefe suchen, erfüllt Physitrack Kriterien dieses Leitfadens umfassender als die meisten Alternativen auf dem Markt. Die offen benannten Lücken stehen dem nicht im Widerspruch, sondern sind der Grund, warum Sie die Nachweise vor der Unterzeichnung selbst einsehen sollten.

Fazit: Checkliste für die Softwareauswahl

Nehmen Sie diese Checkliste zu Ihrem nächsten Beschaffungsgespräch mit. Sie setzt die fünf Auswahlkriterien in überprüfbare Fragen um, anhand derer jeder Anbieter an denselben Maßstäben gemessen wird.

• Ist die Zertifizierung nach ISO 27001 dokumentiert? Verlangen Sie das Zertifikat, nicht nur die Erklärung. Ohne nachgewiesene ISMS-Zertifizierung scheitert eine Plattform bei vielen Ausschreibungen von Kliniken bereits vor dem ersten Demo-Termin.
• Liegen die Zertifizierung nach ISO 13485 und die CE-Kennzeichnung vor? Diese Nachweise belegen ein Qualitätsmanagement, das den Anforderungen für Medizinprodukte entspricht, und sind im klinischen Umfeld oft vorgeschrieben.
• EU-Datenspeicherung mit AVV? Lassen Sie den Standort des Rechenzentrums vertraglich bestätigen und schließen Sie einen Auftragsverarbeitungsvertrag ab.
• Ist die FHIR/HL7-Kompatibilität nachgewiesen? Die ePA setzt FHIR R4 voraus. Klären Sie, ob die Plattform an Ihr KIS oder PMS angebunden ist, und im klinischen Kontext, ob ORBIS oder i.s.h.med schriftlich bestätigt sind.
• Ist die Integrationstiefe geklärt? Unterscheiden Sie zwischen Single Sign-On (SSO) mit PDF-Upload und echter Datensynchronisation, damit die Anbindung zu Ihrem Workflow passt.

Wenn der Compliance-Nachweis für Sie oberste Priorität hat, erfüllt Physitrack Kriterien am umfassendsten. Die Plattform ist nach ISO 27001 und ISO 13485 zertifiziert, verfügt über eine CE-Kennzeichnung, wird in der EU gehostet und lässt sich über eine FHIR/HL7-Schnittstelle an bestehende Systeme anbinden. Den DiGA-Status sowie konkrete Anbindungen an ORBIS oder i.s.h.med sollten Sie jedoch vor Vertragsabschluss schriftlich überprüfen.

Häufig gestellte Fragen zur ePA-Integration in der Physiotherapie

Bin ich als Heilmittelanbieter zur ePA-Integration verpflichtet?

Gesundheitsdienstleister, zu denen auch Physiotherapeuten zählen, wurden von der gematik ausdrücklich als Zielgruppe für die ePA-Integration benannt. Seit dem 1. Oktober 2025 müssen medizinische Einrichtungen die ePA in den Alltag integrieren. In der Praxis bedeutet dies, dass Ihre Praxis im Rahmen der Behandlung auf die Akte zugreifen können muss, sofern der Patient dem nicht widersprochen hat.

Was kostet die TI-Anbindung an die Telematikinfrastruktur?

Die Quellen von gematik nennen keine festen Gebührenstrukturen für die TI-Anbindung von Heilmittelerbringern, und die Kosten hängen von Ihrer Software- und Hardwareauswahl ab. Klären Sie die Details zu Konnektor, Kartenlesegerät und laufenden Lizenzkosten direkt mit Ihrem Anbieter, bevor Sie einen Vertrag unterzeichnen. Eine schriftliche Kostenaufstellung ist die einzige verlässliche Grundlage für Ihre Kalkulation.

Was ist der Unterschied zwischen DiGA und ePA-tauglicher Software?

Eine DiGA ist eine digitale Gesundheitsanwendung, die im BfArM-Verzeichnis aufgeführt ist und gemäß § 139e SGB V erstattet wird. Die ePA-Tauglichkeit beschreibt hingegen, ob eine Software über FHIR und HL7 mit der elektronischen Patientenakte kommunizieren kann. Physitrack keinen DiGA-Status und ist nicht im BfArM-Verzeichnis gelistet, positioniert sich jedoch als FHIR- und HL7-kompatible Interoperabilitätsschicht für bestehende Systeme.

Muss ich eine neue Software kaufen oder reicht ein Update?

Das hängt davon ab, ob Ihre derzeitige Praxissoftware über eine dokumentierte FHIR- und HL7-Schnittstelle sowie eine DSGVO-konforme Datenspeicherung in der EU verfügt. Fehlen diese Nachweise, reicht ein Update meist nicht aus. Fragen Sie Ihren derzeitigen Anbieter schriftlich nach dem ISO-27001-Zertifikat, dem Standort des Rechenzentrums und dem Auftragsverarbeitungsvertrag, bevor Sie sich für einen Wechsel entscheiden.

Welche Zertifikate sollte meine ePA-Software nachweisen?

Die Norm ISO 27001 für Informationssicherheit gilt in deutschen Ausschreibungen für Kliniken als strenges Ausschlusskriterium und nicht als Pluspunkt. Hinzu kommen die Norm ISO 13485 und eine CE-Kennzeichnung, wenn die Software als Medizinprodukt eingestuft wird. Physitrack sich in seinem Vergleich als einzige Plattform mit vollständig dokumentierten Zertifizierungen, was jedoch die schriftliche Vorlage der Zertifikate nicht ersetzt.