Elektronische Patientenakte und DSGVO: Datenschutz verstehen

Elektronische Patientenakte und DSGVO: Datenschutz verstehen

Elektronische Patientenakte und DSGVO: Ihr Praxisleitfaden für Datenschutz im Gesundheitswesen

Inhaltsverzeichnis

Einführung: Was ist die Elektronische Patientenakte (ePA)?

Die Elektronische Patientenakte, kurz ePA, ist ein zentraler Baustein der Digitalisierung im deutschen Gesundheitswesen. Sie ermöglicht es Patienten, ihre Gesundheitsdaten wie Befunde, Diagnosen, Medikationspläne oder Arztbriefe digital an einem sicheren Ort zu speichern und bei Bedarf Ärzten, Krankenhäusern oder Apotheken zur Verfügung zu stellen. Das Ziel ist eine verbesserte, schnellere und sicherere medizinische Behandlung durch eine lückenlose Dokumentation. Weitere offizielle Informationen finden Sie direkt beim Bundesgesundheitsministerium.

Doch mit der fortschreitenden Einführung der ePA rücken die Themen Elektronische Patientenakte und DSGVO unweigerlich in den Mittelpunkt der Diskussion. Der Schutz hochsensibler Gesundheitsdaten muss jederzeit gewährleistet sein. Für Gesundheitsdienstleister, Patienten und Datenschutzbeauftragte ist es daher unerlässlich, die datenschutzrechtlichen Rahmenbedingungen genau zu verstehen und in der Praxis korrekt umzusetzen.

Die ePA und die Datenschutz-Grundverordnung (DSGVO): Eine Übersicht

Die Datenschutz-Grundverordnung, kurz DSGVO (GDPR auf Englisch), bildet den europaweiten Rechtsrahmen für die Verarbeitung personenbezogener Daten. Gesundheitsdaten genießen innerhalb dieses Rahmens einen besonders hohen Schutzstatus. Die ePA ist per Definition ein System, das große Mengen dieser sensiblen Daten verarbeitet. Folglich müssen alle Prozesse rund um die Elektronische Patientenakte und DSGVO-konform gestaltet sein.

Dies betrifft nicht nur die technische Sicherheit der Infrastruktur, sondern auch die rechtlichen Grundlagen der Datenverarbeitung, die Rechte der Patienten als Betroffene und die Pflichten der Leistungserbringer als Verantwortliche. Die Kernfrage lautet stets: Wie kann der Nutzen der digitalen Vernetzung realisiert werden, ohne die informationelle Selbstbestimmung der Patienten zu gefährden?

Rechtliche Grundlagen der ePA im Kontext der DSGVO

Die Verarbeitung von Daten in der ePA stützt sich auf mehrere rechtliche Säulen. Neben den spezifischen Regelungen im Fünften Buch Sozialgesetzbuch (SGB V) sind vor allem die Vorgaben der Datenschutz-Grundverordnung maßgeblich.

  • Artikel 6 DSGVO (Rechtmäßigkeit der Verarbeitung): Jede Datenverarbeitung benötigt eine Rechtsgrundlage. Bei der ePA ist dies in der Regel die Einwilligung des Patienten (Art. 6 Abs. 1 lit. a DSGVO).
  • Artikel 9 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten): Gesundheitsdaten fallen unter diese Kategorie. Ihre Verarbeitung ist grundsätzlich untersagt, es sei denn, eine der Ausnahmen des Art. 9 Abs. 2 DSGVO greift. Für die ePA ist hier vor allem die ausdrückliche Einwilligung des Patienten (lit. a) relevant, sowie die Verarbeitung zu Zwecken der Gesundheitsversorgung (lit. h).

Diese rechtlichen Vorgaben stellen sicher, dass die Datenverarbeitung nicht willkürlich, sondern nur zu klar definierten Zwecken und mit Zustimmung des Patienten erfolgt.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Gesundheitsdaten sind laut Art. 9 DSGVO besonders schutzwürdig, da aus ihnen sehr sensible Informationen über eine Person hervorgehen können. Dazu zählen nicht nur Diagnosen und Laborwerte, sondern auch Informationen über genetische Merkmale, den psychischen Zustand oder den Lebensstil. Eine unbefugte Offenlegung könnte zu Diskriminierung oder Stigmatisierung führen. Die Verknüpfung von Elektronische Patientenakte und DSGVO stellt daher sicher, dass für diese Datenkategorie die höchsten Schutzstandards gelten, sowohl technisch als auch organisatorisch.

Einwilligung des Patienten: Voraussetzungen und Widerruf

Die Einwilligung ist das Herzstück der datenschutzkonformen Nutzung der ePA. Damit sie gültig ist, muss sie mehrere Kriterien erfüllen:

  • Freiwilligkeit: Die Nutzung der ePA ist für Patienten freiwillig. Ihnen dürfen keine Nachteile entstehen, wenn sie sich dagegen entscheiden.
  • Informiertheit: Der Patient muss vorab klar und verständlich darüber aufgeklärt werden, welche Daten zu welchem Zweck verarbeitet und wem sie zugänglich gemacht werden.
  • Ausdrücklichkeit: Eine stillschweigende oder konkludente Einwilligung genügt nicht. Der Patient muss aktiv zustimmen, beispielsweise durch das Setzen eines Hakens in einer App oder eine Unterschrift.
  • Granularität: Die ePA ermöglicht eine feingranulare Steuerung. Patienten können entscheiden, welche Dokumente für welche Ärzte oder Einrichtungen freigegeben werden und für welchen Zeitraum.

Ein ebenso wichtiges Recht ist der jederzeitige Widerruf der Einwilligung. Ein Patient kann seine Zustimmung zur Nutzung der ePA oder den Zugriff durch einen bestimmten Arzt jederzeit ohne Angabe von Gründen für die Zukunft widerrufen. Die technischen Systeme müssen diesen Widerruf umgehend umsetzen können.

Rechte der Betroffenen: Auskunft, Berichtigung, Löschung

Die DSGVO stattet Betroffene – in diesem Fall die Patienten – mit weitreichenden Rechten aus, um die Kontrolle über ihre Daten zu behalten.

  • Auskunftsrecht (Art. 15 DSGVO): Patienten haben das Recht zu erfahren, welche Daten über sie in der ePA gespeichert sind und wer darauf zugegriffen hat. Die ePA-Systeme müssen detaillierte Protokolldaten führen, die für den Patienten einsehbar sind.
  • Recht auf Berichtigung (Art. 16 DSGVO): Stellt ein Patient fest, dass in seiner ePA fehlerhafte Daten (z. B. eine falsche Diagnose) gespeichert sind, kann er deren unverzügliche Berichtigung verlangen.
  • Recht auf Löschung (Art. 17 DSGVO): Patienten können die Löschung ihrer gesamten ePA oder einzelner Dokumente verlangen. Dieses “Recht auf Vergessenwerden” ist ein zentraler Aspekt der informationellen Selbstbestimmung.

Technische und organisatorische Maßnahmen zum Datenschutz

Die Sicherheit der ePA hängt entscheidend von den implementierten Technischen und Organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO ab. Der hohe Schutzbedarf von Gesundheitsdaten erfordert hierbei den Einsatz modernster Technologien.

Verschlüsselung und Zugriffskontrollen

Ein Kernprinzip der ePA-Sicherheit ist die konsequente Verschlüsselung. Die Daten werden mehrfach verschlüsselt übertragen und gespeichert. Das entscheidende Merkmal ist die Ende-zu-Ende-Verschlüsselung, die sicherstellt, dass nur der Patient selbst und die von ihm autorisierten Leistungserbringer die Inhalte entschlüsseln und lesen können. Weder die Krankenkasse noch der technische Betreiber der ePA-Infrastruktur haben Zugriff auf die medizinischen Inhalte. Zudem regeln strenge Zugriffskontrollsysteme (Role-Based Access Control), dass Ärzte nur auf die Daten zugreifen können, für die sie eine explizite Freigabe vom Patienten erhalten haben.

Datenschutzfreundliche Voreinstellungen (Privacy by Design and Default)

Gemäß Art. 25 DSGVO müssen Datenschutzprinzipien von Beginn an in die Entwicklung von Systemen einfließen (Privacy by Design) und die datenschutzfreundlichsten Einstellungen standardmäßig aktiviert sein (Privacy by Default). Für die ePA bedeutet das:

  • Privacy by Design: Die gesamte Architektur der ePA ist auf Datensparsamkeit und Sicherheit ausgelegt.
  • Privacy by Default: In der Grundeinstellung hat kein Arzt Zugriff auf die ePA. Der Patient muss jeden Zugriff aktiv und bewusst freigeben. Es gibt keine vorab angekreuzten Kästchen oder pauschalen Freigaben.

Rollen und Verantwortlichkeiten im Gesundheitswesen

Im Ökosystem der ePA gibt es verschiedene Akteure mit klaren datenschutzrechtlichen Rollen:

  • Patient: Er ist der “Herr der Daten” (Betroffener) und entscheidet über die Nutzung und Freigabe.
  • Leistungserbringer (Ärzte, Krankenhäuser): Sie sind für die von ihnen in die ePA eingestellten Daten datenschutzrechtlich Verantwortliche. Sie müssen die Rechtmäßigkeit der Verarbeitung sicherstellen.
  • Krankenkassen: Sie stellen ihren Versicherten die ePA zur Verfügung und sind für diesen Bereitstellungsprozess verantwortlich.
  • gematik GmbH: Sie legt die technischen Spezifikationen und Sicherheitsstandards für das gesamte System fest.

Herausforderungen und Lösungsansätze für Leistungserbringer

Für Arztpraxen und Kliniken bringt die Einführung der ePA spezifische Herausforderungen mit sich, die proaktive Lösungsansätze erfordern.

Schulung des Personals

Das Personal ist oft das schwächste Glied in der Sicherheitskette. Eine umfassende und regelmäßige Schulung aller Mitarbeiter im Umgang mit der ePA und den Grundsätzen der DSGVO ist unerlässlich. Dies umfasst den korrekten Prozess zur Einholung der Patienteneinwilligung, den sicheren Umgang mit Zugangsdaten und das Bewusstsein für Phishing-Angriffe.

Datenschutz-Folgenabschätzung (DSFA)

Die Verarbeitung von Gesundheitsdaten in der ePA stellt eine Verarbeitung mit hohem Risiko für die Rechte und Freiheiten natürlicher Personen dar. Gemäß Art. 35 DSGVO ist daher vor der Einführung der ePA in einer Praxis oder Klinik eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Diese analysiert systematisch die Risiken für die Patienten und legt geeignete Abhilfemaßnahmen fest.

Umgang mit externen Dienstleistern

Praxen und Kliniken nutzen oft externe IT-Dienstleister für die Wartung ihrer Systeme. Sobald diese Dienstleister potenziell auf personenbezogene Daten zugreifen könnten, ist der Abschluss eines Auftragsverarbeitungsvertrages (AVV) nach Art. 28 DSGVO zwingend erforderlich. Dieser Vertrag regelt die Pflichten des Dienstleisters und stellt sicher, dass dieser die Daten nur auf Weisung des Verantwortlichen verarbeitet.

Die Rolle des Patienten: Kontrolle über die eigenen Gesundheitsdaten

Die ePA stärkt die Rolle des Patienten fundamental. Über eine spezielle App auf dem Smartphone oder einem anderen Endgerät haben Patienten die volle Kontrolle:

  • Dokumente einsehen und verwalten: Patienten können alle in ihrer ePA gespeicherten Dokumente jederzeit einsehen und auch eigene Daten (z. B. ein Schmerztagebuch) hochladen.
  • Zugriffsrechte erteilen und entziehen: Für jeden Arzt oder jede Einrichtung kann der Patient den Zugriff individuell und zeitlich befristet freigeben oder wieder entziehen.
  • Protokolle überprüfen: Jeder Zugriff auf die ePA wird protokolliert. Der Patient kann transparent nachvollziehen, wer wann auf welche Daten zugegriffen hat.

Diese Transparenz und Kontrolle sind entscheidend für das Vertrauen in die Elektronische Patientenakte und DSGVO-konforme Prozesse.

Fazit und Ausblick

Die Elektronische Patientenakte bietet enormes Potenzial für eine modernere und effizientere Gesundheitsversorgung. Gleichzeitig stellt sie höchste Anforderungen an den Datenschutz. Die strikte Einhaltung der DSGVO ist keine Option, sondern die Grundvoraussetzung für den Erfolg und die Akzeptanz der ePA. Für Leistungserbringer bedeutet dies, sich intensiv mit den rechtlichen und technischen Anforderungen auseinanderzusetzen, Prozesse anzupassen und Personal umfassend zu schulen.

Mit Blick auf die Zukunft wird die Verknüpfung von Elektronische Patientenakte und DSGVO weiterhin im Fokus stehen. Für die Strategie ab 2026 rücken Themen wie die sichere, KI-gestützte Auswertung von pseudonymisierten Gesundheitsdaten für die Forschung in den Vordergrund. Parallel müssen die Kontroll- und Transparenzmechanismen für die Bürger kontinuierlich weiterentwickelt werden, um die informationelle Selbstbestimmung auch in einer zunehmend datengetriebenen Medizin zu wahren.

Die korrekte Umsetzung der Datenschutzvorgaben ist eine komplexe Aufgabe. Für eine detaillierte Beratung zu diesem Thema steht Ihnen MUNAS Consulting gerne zur Verfügung. Besuchen Sie unsere Webseite.

Thematisch passende Beiträge