Datenschutz in der elektronischen Patientenakte – Rechte und Sicherheit

Datenschutz in der elektronischen Patientenakte – Rechte und Sicherheit

Inhaltsverzeichnis

Einleitung: Warum der Datenschutz in der ePA ab 2025 entscheidend ist

Die elektronische Patientenakte (ePA) wird ab 2025 zu einem zentralen Element der digitalen Gesundheitsversorgung in Deutschland. Sie verspricht eine verbesserte, schnellere und sicherere medizinische Behandlung durch die zentrale Verfügbarkeit von Gesundheitsinformationen. Doch mit der Digitalisierung dieser hochsensiblen Daten rückt eine Frage in den Mittelpunkt: Wie wird der Datenschutz bei Gesundheitsdaten in der elektronischen Patientenakte gewährleistet? Die Souveränität über die eigenen Daten ist für Patienten von fundamentaler Bedeutung. Dieser Leitfaden beleuchtet die rechtlichen Rahmenbedingungen, technischen Schutzmaßnahmen und praktischen Schritte, die sowohl Patienten als auch Leistungserbringer kennen müssen, um die ePA sicher und datenschutzkonform zu nutzen.

Kurzüberblick zur Rechtslage 2025: PDSG und DSGVO im Einklang

Der rechtliche Rahmen für den Datenschutz bei Gesundheitsdaten in der elektronischen Patientenakte stützt sich auf zwei wesentliche Säulen. Die europäische Datenschutz-Grundverordnung (DSGVO) bildet die Basis und stuft Gesundheitsdaten als „besondere Kategorien personenbezogener Daten“ (Art. 9 DSGVO) ein, die eines besonders hohen Schutzniveaus bedürfen. Spezifisch für den deutschen Gesundheitssektor konkretisiert das Patientendaten-Schutz-Gesetz (PDSG) diese Vorgaben und regelt die technischen und organisatorischen Anforderungen an die ePA und die Telematikinfrastruktur. Ab 2025 treten weitere Regelungen in Kraft, die insbesondere die freiwillige Nutzung (Opt-in) durch ein Widerspruchsrecht (Opt-out) ergänzen und die Zugriffsrechte weiter differenzieren, um die Hoheit des Patienten über seine Daten zu stärken.

Was sind Gesundheitsdaten nach Art. 9 DSGVO?

Gesundheitsdaten sind laut Art. 9 DSGVO alle personenbezogenen Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen. Dies umfasst Informationen, aus denen der Gesundheitszustand einer Person hervorgeht. Der Begriff ist bewusst weit gefasst.

Praktische Beispiele für Gesundheitsdaten in der ePA:

  • Diagnosen, Untersuchungsergebnisse und Arztbriefe
  • Informationen über verordnete Medikamente (E-Rezept)
  • Röntgenbilder und Laborwerte
  • Impfstatus und Allergieinformationen (z. B. im Notfalldatensatz)
  • Protokolle über durchgeführte Operationen
  • Psychotherapeutische Behandlungsdokumentationen

Es ist wichtig, diese von allgemeinen Stammdaten wie Name, Adresse oder Versicherungsnummer zu unterscheiden, obwohl auch diese dem allgemeinen Datenschutz unterliegen. Sobald diese Daten jedoch im Kontext einer medizinischen Behandlung stehen, genießen sie den erhöhten Schutzstatus von Gesundheitsdaten.

Technische Schutzmaßnahmen verständlich erklärt

Um den hohen Anforderungen an den Datenschutz bei Gesundheitsdaten in der elektronischen Patientenakte gerecht zu werden, sind mehrere technische Sicherheitsmaßnahmen vorgeschrieben. Diese bilden das Rückgrat der Datensicherheit in der Telematikinfrastruktur.

  • Verschlüsselung: Alle Daten in der ePA werden mehrfach verschlüsselt. Eine Ende-zu-Ende-Verschlüsselung sorgt dafür, dass nur der Patient und die von ihm autorisierten Personen die Daten im Klartext lesen können. Selbst der Betreiber der Akte hat keinen Zugriff auf die Inhalte.
  • Pseudonymisierung: Wo immer möglich, werden Daten pseudonymisiert. Das bedeutet, dass identifizierende Merkmale durch ein Pseudonym (z. B. eine zufällige Zeichenfolge) ersetzt werden. Eine direkte Zuordnung zu einer Person ist ohne zusätzliche Informationen nicht möglich.
  • Logging (Protokollierung): Jeder einzelne Zugriff auf die ePA wird lückenlos protokolliert. Patienten können in ihrer ePA-App jederzeit nachverfolgen, welcher Arzt oder welche Apotheke wann auf welche Dokumente zugegriffen hat. Dies schafft Transparenz und dient der Aufklärung bei unberechtigten Zugriffen.

Infrastrukturanforderungen: Hosting, Zugriff und Auditierung

Die technische Infrastruktur der ePA unterliegt strengsten Vorgaben. Das Hosting der Daten darf nur bei zertifizierten Anbietern erfolgen, die hohe Sicherheitsstandards nachweisen können und deren Server in der EU stehen. Die Zugriffsverwaltung ist das Herzstück des Patientenschutzes. Der Zugriff erfolgt ausschließlich über gesicherte Kanäle der Telematikinfrastruktur mittels Heilberufsausweis (HBA) für Leistungserbringer und der elektronischen Gesundheitskarte (eGK) mit PIN für Patienten. Regelmäßige Auditierungen und Sicherheitsüberprüfungen durch unabhängige Stellen stellen sicher, dass alle Systeme die Vorgaben der gematik (Nationale Agentur für Digitale Medizin) und des Bundesamtes für Sicherheit in der Informationstechnik (BSI) dauerhaft erfüllen.

Patientenleitfaden: Ihre ePA Schritt für Schritt verwalten

Als Patient haben Sie die volle Kontrolle über Ihre ePA. Die Verwaltung erfolgt in der Regel über eine spezielle App Ihrer Krankenkasse auf Ihrem Smartphone.

1. ePA anlegen und freischalten

Die ePA wird von Ihrer Krankenkasse bereitgestellt. Zur Freischaltung benötigen Sie Ihre neue elektronische Gesundheitskarte (eGK) mit NFC-Funktion und eine zugehörige PIN. Die Identifizierung erfolgt meist über ein Post-Ident- oder Video-Ident-Verfahren, um sicherzustellen, dass nur Sie Zugriff erhalten.

2. Zugriffsrechte erteilen

Besuchen Sie einen Arzt, können Sie ihm vor Ort den Zugriff auf Ihre Akte gewähren. Dies geschieht durch das Stecken Ihrer eGK ins Kartenterminal und die Eingabe Ihrer PIN. In der App können Sie anschließend festlegen, wie lange der Arzt Zugriff haben soll und auf welche Dokumente oder Dokumentenkategorien er zugreifen darf.

3. Dokumente sperren und löschen

Sie entscheiden, welche Dokumente in Ihrer ePA gespeichert werden. Jedes hochgeladene Dokument können Sie einzeln einsehen. Sie haben jederzeit die Möglichkeit, Dokumente für bestimmte Ärzte oder generell zu sperren (als “vertraulich” markieren) oder sie dauerhaft zu löschen. Gelöschte Daten können nicht wiederhergestellt werden.

Zugriffsmodelle und Granularität: Sie bestimmen, wer was sieht

Der Datenschutz bei Gesundheitsdaten in der elektronischen Patientenakte wird maßgeblich durch die granulare Rechtevergabe gestärkt. Sie als Patient können sehr feingliedrig steuern, wer welche Informationen sehen darf. Die Strategien ab 2025 sehen folgende Möglichkeiten vor:

  • Rollenbasiertes Recht: Sie können Berechtigungen für eine ganze Arztpraxis, ein Krankenhaus oder eine Apotheke erteilen.
  • Personenbasiertes Recht: Der Zugriff kann auf einen ganz bestimmten Arzt beschränkt werden.
  • Dokumentenbasiertes Recht: Sie können den Zugriff auf einzelne Dokumente erlauben oder verweigern.
  • Zeitlich begrenztes Recht: Jeder Zugriff kann zeitlich befristet werden, z. B. für einen Tag, eine Woche oder für die Dauer eines Quartals.

Diese differenzierten Einstellungsmöglichkeiten gewährleisten, dass beispielsweise ein Zahnarzt keinen Zugriff auf gynäkologische Befunde erhält, es sei denn, Sie erteilen explizit die Freigabe.

Pflichten für Leistungserbringer: Dokumentation und Nachweis

Für Arztpraxen, Krankenhäuser und andere Leistungserbringer ergeben sich aus der Nutzung der ePA klare datenschutzrechtliche Pflichten. Der Schutz der Patientendaten muss technisch und organisatorisch sichergestellt sein.

Wichtige Pflichten im Überblick:

  • Dokumentationspflicht: Jeder Zugriff und jede Einstellung von Dokumenten in die ePA muss im praxiseigenen System nachvollziehbar dokumentiert werden.
  • Informationspflicht: Patienten müssen über die Verarbeitung ihrer Daten im Rahmen der ePA aufgeklärt werden.
  • Nachweispflicht: Im Falle einer Prüfung durch eine Aufsichtsbehörde muss die Praxis nachweisen können, dass alle datenschutzrechtlichen Vorgaben eingehalten werden (Rechenschaftspflicht nach DSGVO).
  • Schulung der Mitarbeiter: Das Personal muss im Umgang mit der ePA und den damit verbundenen Datenschutzaspekten geschult sein.

Auftragsverarbeitung und Drittanbieter in der ePA-Umgebung

Praxen und Kliniken nutzen oft externe IT-Dienstleister für die Wartung ihrer Systeme. Sobald ein solcher Dienstleister potenziell auf personenbezogene Daten zugreifen könnte, ist ein Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO zwingend erforderlich. Dieser Vertrag regelt die Rechte und Pflichten des Dienstleisters und stellt sicher, dass dieser die Daten nur auf Weisung und unter Einhaltung der gleichen hohen Sicherheitsstandards verarbeitet. Die Auswahl eines zuverlässigen und zertifizierten Dienstleisters ist für den Datenschutz bei Gesundheitsdaten in der elektronischen Patientenakte von entscheidender Bedeutung.

Barrierefreie und analoge Zugangsoptionen

Nicht jeder Patient ist digital affin oder besitzt ein Smartphone. Um die Teilhabe aller Versicherten zu gewährleisten, müssen Krankenkassen ab 2025 barrierefreie Zugangswege anbieten. Dies kann beispielsweise über Terminals in den Geschäftsstellen der Krankenkassen oder durch autorisierte Vertreter geschehen. Zudem bleibt die Möglichkeit bestehen, sich von seinem Arzt einen Papierausdruck der relevanten ePA-Dokumente aushändigen zu lassen. Die digitale Nutzung ist eine Option, keine Pflicht.

Umgang mit Sicherheitsvorfällen: Prävention und Meldepflicht

Trotz aller Vorkehrungen können Sicherheitsvorfälle nie vollständig ausgeschlossen werden. Prävention ist der Schlüssel: Regelmäßige Sicherheitsupdates, starke Passwörter und die Schulung des Personals minimieren Risiken. Kommt es dennoch zu einer Datenschutzverletzung (z. B. unbefugter Zugriff), greifen klare Meldepflichten nach der DSGVO. Eine Verletzung des Schutzes personenbezogener Daten muss in der Regel innerhalb von 72 Stunden an die zuständige Datenschutz-Aufsichtsbehörde gemeldet werden. Bei einem hohen Risiko für die Betroffenen müssen auch diese unverzüglich informiert werden.

Praxisnahe Mustercheckliste für Einrichtungen

Diese Checkliste dient als erster Anhaltspunkt für Gesundheitseinrichtungen zur Überprüfung der wichtigsten Datenschutzanforderungen im Kontext der ePA.

Bereich Prüfpunkt Status (Erledigt/Offen)
Technik Konnektor zur Telematikinfrastruktur ist auf dem neuesten Stand?
Technik Heilberufsausweise (HBA) sind vorhanden und gültig?
Organisation Mitarbeiter sind im Umgang mit der ePA und Datenschutz geschult?
Organisation Prozess zur Information der Patienten über ePA-Nutzung ist definiert?
Recht Verzeichnis von Verarbeitungstätigkeiten (VVT) wurde um die ePA ergänzt?
Recht Verträge zur Auftragsverarbeitung (AVV) mit IT-Dienstleistern sind geprüft und aktuell?

Häufig gestellte Fragen (FAQ)

Wer kann meine ePA einsehen?
Nur Sie selbst und die Personen (Ärzte, Apotheker, Therapeuten), denen Sie explizit eine Zugriffsberechtigung erteilt haben.

Sind meine Daten in der ePA sicher?
Ja, die ePA unterliegt höchsten Sicherheitsstandards, inklusive mehrfacher Verschlüsselung. Die Daten liegen nicht zentral, sondern dezentral in hochsicheren Rechenzentren.

Bin ich zur Nutzung der ePA verpflichtet?
Nein. Mit der Einführung der Opt-out-Regelung wird für jeden Versicherten eine ePA angelegt. Wenn Sie dies nicht möchten, können Sie der Einrichtung aktiv widersprechen.

Was passiert bei einem Kartenverlust meiner eGK?
Melden Sie den Verlust umgehend Ihrer Krankenkasse. Diese wird die Karte sperren, sodass kein Zugriff auf Ihre ePA mehr möglich ist. Mit der neuen Karte und PIN erhalten Sie wieder Zugang.

Weiterführende Quellen und Hinweise

Für vertiefende und stets aktuelle Informationen zum Thema Datenschutz bei Gesundheitsdaten in der elektronischen Patientenakte empfehlen wir die offiziellen Webseiten der zuständigen Behörden und Verbände. Die Komplexität der Materie erfordert eine sorgfältige Auseinandersetzung, bei der spezialisierte Beratungen wie MUNAS Consulting auf Basis ihrer Erfahrung unterstützen können.