ePA und DSGVO: Datenschutz in der Elektronischen Patientenakte

Einführung: Was ist die Elektronische Patientenakte (ePA)?

Die Digitalisierung des Gesundheitswesens schreitet unaufhaltsam voran. Ein zentrales Element dieser Entwicklung ist die Elektronische Patientenakte (ePA). Sie soll medizinische Informationen wie Befunde, Diagnosen, Medikationspläne und Arztbriefe zentral und digital für Patienten, Ärzte und andere Leistungserbringer verfügbar machen. Ziel ist es, die Behandlungsqualität zu verbessern, Doppeluntersuchungen zu vermeiden und Notfalldaten schnell bereitzustellen. Doch mit der Sammlung solch sensibler Daten rückt eine entscheidende Frage in den Mittelpunkt: Wie wird der Datenschutz gewährleistet? Die Verknüpfung von Elektronische Patientenakte und DSGVO ist daher von fundamentaler Bedeutung, um das Vertrauen aller Beteiligten zu sichern und die informationelle Selbstbestimmung der Patienten zu wahren.

Dieser Leitfaden beleuchtet die komplexen Anforderungen der Datenschutz-Grundverordnung (DSGVO, GDPR auf Englisch) im Kontext der ePA. Er richtet sich an Ärzte, medizinisches Fachpersonal, Patienten und Datenschutzbeauftragte, um ein klares Verständnis für die rechtlichen Rahmenbedingungen, die praktischen Pflichten und die Rechte der Betroffenen zu schaffen. Denn nur eine datenschutzkonforme Umsetzung der ePA kann ihr volles Potenzial entfalten.

Die DSGVO im Kontext der ePA: Rechtliche Grundlagen

Die Datenschutz-Grundverordnung (DSGVO) bildet seit Mai 2018 den einheitlichen rechtlichen Rahmen für den Schutz personenbezogener Daten in der Europäischen Union. Für die ePA ist sie die maßgebliche Rechtsgrundlage, da hier in großem Umfang Gesundheitsdaten verarbeitet werden. Die zentralen Grundsätze der DSGVO müssen bei jeder Nutzung und Implementierung der ePA strikt beachtet werden:

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz (Art. 5 Abs. 1 lit. a DSGVO): Die Datenverarbeitung muss auf einer klaren Rechtsgrundlage basieren, in der Regel der ausdrücklichen Einwilligung des Patienten. Alle Prozesse müssen für den Patienten nachvollziehbar sein.
Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Gesundheitsdaten in der ePA dürfen nur für die festgelegten Zwecke (z. B. Behandlung, Diagnose) verarbeitet werden. Eine Nutzung für andere Zwecke, etwa für Marketing, ist ohne separate Einwilligung unzulässig.
Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Es dürfen nur die Daten erhoben und gespeichert werden, die für den Behandlungszweck wirklich notwendig sind.
Richtigkeit (Art. 5 Abs. 1 lit. d DSGVO): Die Daten müssen sachlich korrekt und auf dem neuesten Stand sein. Dies ist im medizinischen Kontext von existenzieller Bedeutung.
Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Daten dürfen nicht länger als notwendig gespeichert werden. Für medizinische Daten gelten jedoch gesetzliche Aufbewahrungsfristen.
Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO): Der Schutz der Daten vor unbefugtem Zugriff, Verlust oder Zerstörung muss durch geeignete technische und organisatorische Maßnahmen (TOMs) sichergestellt werden.

Die Einhaltung dieser Grundsätze ist die Basis für das Zusammenspiel von Elektronische Patientenakte und DSGVO. Ergänzt werden diese Regelungen durch nationale Gesetze wie das Fünfte Buch Sozialgesetzbuch (SGB V) und das Bundesdatenschutzgesetz (BDSG).

Gesundheitsdaten als besondere Datenkategorie nach Art. 9 DSGVO

Ein zentraler Aspekt im Umgang mit der ePA ist die besondere Schutzwürdigkeit der verarbeiteten Informationen. Gesundheitsdaten gehören gemäß Artikel 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich untersagt, es sei denn, eine der strengen Ausnahmen greift. Für die ePA ist die wichtigste Ausnahme die ausdrückliche Einwilligung des Patienten (Art. 9 Abs. 2 lit. a DSGVO).

Was bedeutet „ausdrückliche Einwilligung“ im ePA-Kontext?

Freiwilligkeit: Der Patient muss die Entscheidung ohne Zwang treffen können. Ihm dürfen keine Nachteile entstehen, wenn er die Nutzung der ePA ablehnt.
Informiertheit: Der Patient muss genau wissen, wofür er seine Einwilligung gibt. Dazu gehört die Information darüber, welche Daten gespeichert werden, wer darauf zugreifen darf und wie lange die Speicherung erfolgt.
Spezifität: Die Einwilligung muss sich auf einen konkreten Zweck beziehen. Patienten können in der ePA sehr granular steuern, welcher Arzt welche Dokumente einsehen darf. Eine pauschale Generaleinwilligung ist nicht zulässig.
Jederzeitiger Widerruf: Der Patient muss seine Einwilligung jederzeit und ohne Angabe von Gründen für die Zukunft widerrufen können.

Die korrekte Einholung und Verwaltung dieser Einwilligungen ist eine der größten Herausforderungen bei der praktischen Umsetzung der ePA. Die Systeme müssen technisch sicherstellen, dass Zugriffe nur auf Basis einer gültigen Einwilligung erfolgen.

Patientenrechte: Die Hoheit über die eigenen Gesundheitsdaten

Die DSGVO stärkt die Rechte der Betroffenen erheblich. Im Kontext der ePA bedeutet dies, dass Patienten die volle Kontrolle und Hoheit über ihre Gesundheitsdaten behalten. Die wichtigsten Patientenrechte sind:

Recht auf Auskunft und Einsicht (Art. 15 DSGVO)

Patienten haben das Recht, jederzeit zu erfahren, welche Daten über sie in der ePA gespeichert sind. Darüber hinaus müssen sie transparent nachvollziehen können, wer wann auf welche ihrer Daten zugegriffen hat. Die ePA-Systeme müssen daher eine lückenlose Protokollierung aller Zugriffe gewährleisten. Diese Protokolldaten müssen für den Patienten verständlich aufbereitet und zugänglich sein, meist über die ePA-App der jeweiligen Krankenkasse.

Recht auf Berichtigung und Löschung (Art. 16 und 17 DSGVO)

Stellt ein Patient fest, dass Daten in seiner ePA fehlerhaft sind, hat er das Recht auf Berichtigung. Er kann vom behandelnden Arzt oder der Einrichtung, die die Daten eingestellt hat, eine Korrektur verlangen. Das Recht auf Löschung („Recht auf Vergessenwerden“) ist im medizinischen Bereich eingeschränkt. Aufgrund gesetzlicher Dokumentations- und Aufbewahrungspflichten (z. B. aus dem Patientenrechtegesetz) können Behandlungsdaten nicht einfach gelöscht werden. Patienten können jedoch Dokumente aus ihrer eigenen Ansicht in der ePA ausblenden oder den Zugriff darauf entziehen.

Widerruf von Einwilligungen (Art. 7 DSGVO)

Das Recht, eine einmal erteilte Einwilligung zu widerrufen, ist ein Kernstück der informationellen Selbstbestimmung. Ein Patient kann jederzeit entscheiden, dass ein bestimmter Arzt oder ein Krankenhaus nicht mehr auf seine ePA zugreifen darf. Der Widerruf muss so einfach sein wie die Erteilung der Einwilligung. Technisch wird dies durch die Entziehung der Zugriffsberechtigung in der ePA-App umgesetzt. Der Widerruf gilt nur für die Zukunft; bereits erfolgte Datenverarbeitungen bleiben rechtmäßig.

Datensicherheit: Technische und Organisatorische Maßnahmen (TOMs)

Der Schutz sensibler Gesundheitsdaten erfordert höchste Sicherheitsstandards. Die Betreiber der ePA-Systeme und die angebundenen Praxen und Krankenhäuser müssen umfassende technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO implementieren. Dies ist ein entscheidender Faktor für das Vertrauen in das System Elektronische Patientenakte und DSGVO.

Zu den wichtigsten technischen Maßnahmen gehören:

Starke Verschlüsselung: Alle Daten müssen sowohl bei der Übertragung (Transportverschlüsselung) als auch bei der Speicherung (Ende-zu-Ende-Verschlüsselung) sicher verschlüsselt werden. Nur der Patient mit seinem Schlüssel kann die Daten vollständig einsehen.
Sichere Authentifizierung: Der Zugriff auf die ePA erfordert eine Zwei-Faktor-Authentifizierung, sowohl für Patienten (z. B. über die Gesundheitskarte und eine PIN) als auch für Leistungserbringer (über den elektronischen Heilberufsausweis).
Zugriffskontrolle: Ein detailliertes Berechtigungskonzept stellt sicher, dass Ärzte nur auf die Daten zugreifen können, für die sie eine explizite Freigabe vom Patienten erhalten haben.
Protokollierung: Alle Zugriffe und Änderungen werden manipulationssicher protokolliert, um Missbrauch nachvollziehen zu können.

Rollen und Verantwortlichkeiten im ePA-System

Für die Einhaltung der DSGVO ist es entscheidend, die Rollen und Verantwortlichkeiten klar zuzuordnen. Im ePA-Ökosystem gibt es mehrere Akteure:

Akteur	Rolle nach DSGVO	Hauptverantwortung
Patient	Betroffene Person	Hat die Datenhoheit, erteilt und widerruft Einwilligungen.
Leistungserbringer (Arzt, Krankenhaus)	Verantwortlicher	Ist für die Rechtmäßigkeit der von ihm eingestellten und abgerufenen Daten verantwortlich (z. B. Einholung der Einwilligung für den Zugriff).
Krankenkasse	Verantwortliche	Stellt dem Versicherten die ePA-Akte zur Verfügung und ist für die datenschutzkonforme Ausgestaltung der Anwendung verantwortlich.
gematik GmbH	Je nach Kontext Verantwortlicher oder Auftragsverarbeiter	Legt die technischen Spezifikationen für die Telematikinfrastruktur und die ePA fest und verantwortet deren sicheren Betrieb.

Diese Aufteilung zeigt, dass der Datenschutz eine geteilte Aufgabe ist. Jeder Akteur muss seinen Teil der Verantwortung wahrnehmen, damit das Gesamtsystem sicher und konform ist.

Herausforderungen und Lösungsstrategien ab 2026

Die flächendeckende Einführung und Nutzung der ePA ist mit Herausforderungen verbunden. Die Komplexität des Systems, Bedenken hinsichtlich der Datensicherheit und die Notwendigkeit einer einfachen Bedienbarkeit für alle Altersgruppen sind zentrale Punkte. Für die erfolgreiche Weiterentwicklung der Elektronische Patientenakte und DSGVO-Konformität sind zukunftsorientierte Strategien erforderlich.

Für die Jahre ab 2026 sollten folgende Lösungsansätze im Fokus stehen:

Verbesserung der Usability: Die ePA-Anwendungen für Patienten müssen noch intuitiver und verständlicher gestaltet werden. Eine klare und einfache Steuerung der Berechtigungen ist entscheidend, um die Akzeptanz zu erhöhen.
Standardisierte Schulungsprogramme: Medizinisches Fachpersonal muss kontinuierlich in der datenschutzkonformen Nutzung der ePA geschult werden. Diese Schulungen sollten sich auf praktische Anwendungsfälle und die korrekte Handhabung von Einwilligungen konzentrieren.
Einsatz von Privacy-Enhancing Technologies (PETs): Zukünftige Entwicklungen könnten verstärkt auf Technologien wie föderiertes Lernen oder fortgeschrittene Anonymisierungsverfahren setzen, um Datenauswertungen für die Forschung zu ermöglichen, ohne die Privatsphäre einzelner Patienten zu gefährden.
Interoperabilität und Datensouveränität: Die Schaffung europaweiter Standards im Rahmen des European Health Data Space (EHDS) wird die Interoperabilität fördern. Dabei muss sichergestellt werden, dass die hohen deutschen Datenschutzstandards erhalten bleiben und Patienten die Kontrolle über ihre Daten behalten.

Zukunftsperspektiven: Digitales Gesundheitswesen und Datenschutz

Die ePA ist nur der Anfang einer umfassenden digitalen Transformation im Gesundheitswesen. Zukünftige Anwendungen wie digitale Gesundheitsanwendungen (DiGAs), Telemedizin und KI-gestützte Diagnostik werden die Menge an verarbeiteten Gesundheitsdaten weiter erhöhen. Die Prinzipien, die bei der Verknüpfung von Elektronische Patientenakte und DSGVO etabliert wurden, werden als Blaupause für diese Entwicklungen dienen.

Der Datenschutz darf dabei nicht als Hindernis, sondern muss als Qualitätsmerkmal und Vertrauensanker verstanden werden. Eine proaktive, an den Prinzipien „Privacy by Design“ und „Privacy by Default“ ausgerichtete Entwicklung ist der Schlüssel zum Erfolg. Weitere Informationen zu den rechtlichen Grundlagen des Datenschutzes stellt auch der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) auf seiner Webseite zur Verfügung.

Fazit: Wie MUNAS Consulting Sie unterstützt

Die Balance zwischen medizinischem Fortschritt und dem Schutz der Privatsphäre ist die zentrale Herausforderung bei der Digitalisierung des Gesundheitswesens. Die korrekte Umsetzung der DSGVO-Anforderungen für die Elektronische Patientenakte ist keine rein technische, sondern auch eine organisatorische und rechtliche Aufgabe. Sie erfordert ein tiefes Verständnis für die Prozesse im Gesundheitssektor und die komplexen Regelungen des Datenschutzrechts.

Für Arztpraxen, Krankenhäuser und andere Akteure im Gesundheitswesen ist es unerlässlich, eine klare Datenschutzstrategie zu haben. Dies sichert nicht nur die rechtliche Konformität, sondern stärkt auch das Vertrauen der Patienten – die wichtigste Währung in der Medizin. Wenn Sie Unterstützung bei der datenschutzkonformen Implementierung der ePA oder anderen digitalen Gesundheitsanwendungen benötigen, steht Ihnen MUNAS Consulting als erfahrener Partner zur Seite. Wir helfen Ihnen, die Anforderungen der DSGVO praxistauglich umzusetzen und Ihre Prozesse sicher zu gestalten. Besuchen Sie unsere Webseite für weitere Informationen.

ePA und DSGVO: Datenschutz in der Elektronischen Patientenakte