Die elektronische Patientenakte – mitmachen oder widersprechen?

2025 ist das Jahr, in dem die ePA, die „elektronische Patientenakte“ flächendeckend ausgerollt werden soll. Zum Nutzen aller gesetzlich Versicherten und der Behandelnden gleichermaßen, so zumindest die stete Marketing-Aussage. Doch seit mehr als fünf Jahren warnen Hacker und Sicherheitsexperten davor, dass die technische Ausgestaltung der ePA derart mangelhaft ist, dass man seine sensiblen Gesundheitsinformationen keinesfalls guten Gewissens dort einspeisen lassen kann. Auch ich hatte (ohne mich in eine Reihe mit „echten“ Hackern stellen zu wollen) bereits 2023 darüber berichtet. Auch im Dezember 2024 beschrieben Digitalexperten beim Kongress des Chaos Computer Clubs noch immer bestehende Sicherheitslücken.

Wie die unglaublich schlechte Konzeption des Systems (verantwortlich dafür ist übrigens die gematik GmbH, welche zu 51% in der Hand des Bundes liegt) sich auch aus Sicht eines Hausarztes „anfühlt“, der damit jede Menge Mehrarbeit, aber kaum Nutzen verbindet, kann man hier eindrucksvoll erfahren. Die Akte besteht aus Arztbriefen, also unstrukturierten Daten, die verschlüsselt abgelegt werden. Auf diese Art sind Daten überhaupt nicht auswertbar. Das heisst, der Arzt muss wie früher bei papierbasierter Aktenführung alle anderen Arztbriefe öffnen und lesen, wenn er Informationen benötigt. Genau so geht Digitalisierung eben nicht. Der Nutzen der ePA in der ärztlichen Praxis darf daher ebenfalls durchaus kritisch gesehen werden. Aber sowohl die IT-Sicherheit als auch die Usability für Ärzte soll hier gar nicht unser Thema sein.

Obwohl im Datenschutzrecht gerade in Bezug auf Gesundheitsdaten i.d.R. gilt, dass die Verarbeitung nur mit ausdrücklicher Einwilligung möglich ist, müssen Patient*innen bei der ePA der Verarbeitung ausdrücklich widersprechen, wenn sie diese nicht wünschen.

Grundproblematik der ePA aus Sicht der Privatsphäre der Patienten ist, dass diese nicht im Detail entscheiden können, wer welche Daten einsehen kann. Dabei darf man schon in Frage stellen, ob der Zahnarzt eventuelle Befunde zu Geschlechtskrankheiten sehen oder die Orthopädin alles über psychologische Befunde oder Fehlgeburten wissen muss. Wohl kaum. Zumal man allein von der für Nutzer der Akte alle einsehbaren Medikation auf Rezept entsprechenden Informationen zu Erkrankungen oder Befunden ableiten könnte. Der Patient kann nur global entscheiden, ob seinen Daten in die ePA eingespeichert werden oder eben nicht.

Und spätestens, seitdem Carsten Linnemann (CDU) in einem Interview mit dem Deutschlandfunk (konkret ab Minute 4:18) vom 30. Dezember 2024 die völlig abwegige, ja absurde Forderung nach einem Register für psychisch kranke Menschen formulierte, muss man die ePA mit komplett anderen Augen sehen. Denn es handelt sich hierbei keinesfalls um Ausnahmefälle. So waren beispielsweise psychische Erkrankungen und Verhaltensstörungen im Jahr 2020 die häufigste Ursache für stationäre Krankenhausbehandlungen von jungen Menschen zwischen 15 und 24 Jahren (konkret entspricht dies knapp 18 % aller Krankenhausbehandlungen dieser Personengruppe! Quelle: Statistisches Bundesamt (Destatis), 2025). Hier soll nun also eine ohnehin vulnerable Menschengruppe unter Generalverdacht gestellt und damit stigmatisiert werden. Allein die Idee weckt beklemmende Erinnerungen an historische Grausamkeiten. In der NS-Zeit wurden Menschen mit geistigen und körperlichen Behinderungen systematisch erfasst, ausgegrenzt und schließlich ermordet („Aktion T4“). Selbstverständlich ist davon auszugehen, dass Linnemann den Link zur nationalsozialistischen Politik der 1930er Jahre nicht bezweckt hat. Doch das Prinzip, Menschen aufgrund einer diagnostizierten Erkrankung zu erfassen und zu stigmatisieren, schlägt eine gefährliche historische Brücke und eine technisch und rechtlich nicht hinreichend sichere ePA wäre zweifellos eine geeignete Datenquelle, um diesen Horror umzusetzen.

Eine weitere Fragestellung ist die Weitergabe der Gesundheitsdaten Versicherter an die Wirtschaft, die ein zentraler Nutzen der ePA sein soll. Es geht um die (grundsätzlich nachvollziehbare) Forderung, Gesundheitsdaten für die Forschung nutzbar zu machen. Da jedoch die vollständige Anonymisierung von Gesundheitsdaten grundsätzlich kaum möglich ist, besteht hierbei immer die Gefahr, dass Daten mittels Zusammenführung mit anderen Informationen einer natürlichen Person zugeordnet werden können. Die mangelnde Transparenz zu dieser Datennutzung erscheint zudem kaum geeignet, das Vertrauen der Versicherten in die ePA zu stärken.

Übrigens ist auch die Einschätzung der Bundesdatenschutzbeauftragten hierzu sehr klar:

„Die Ausgestaltung der ePA verstößt gegen die DSGVO: Menschen, die kein eigenes geeignetes Endgerät besitzen oder keines benutzen wollen (die sogenannten „Frontend-Nichtnutzer“ ohne App), bekommen nur ein eingeschränktes Zugriffsmanagement zu ihrer ePA. Diese Versicherten werden in ihrer Patientensouveränität beschränkt. Anders als Frontend-Nutzer können sie nicht mit hoher Genauigkeit festlegen, wer welche Daten sehen darf.

Datenschutzrechtlich kritisch zu bewerten ist auch, dass die Vielzahl derjenigen Menschen, die kein eigenes Endgerät haben oder nutzen wollen, auf Dauer auch keinen Einblick in ihre eigene, von ihnen selbst zu führende ePA haben.“ (Quelle: Website der BfDI)

Versicherte können nach dem Digital-Gesetz (DigiG) jederzeit und ohne Angabe von Gründen der Einrichtung einer ePA zu widersprechen. Die Krankenkassen sind gesetzlich verpflichtet, diesen Widerspruch möglichst einfach zu ermöglichen. Auch nach Erstellung der ePA kann ein Widerspruch jederzeit geltend gemacht werden, beispielsweise im Rahmen der ärztlichen oder psychotherapeutischen Behandlung. Ärzte und Psychotherapeuten müssen auf das Widerspruchsrecht aktiv hinweisen und den Widerspruch nachprüfbar dokumentieren.

Sicherheitsexperte Mike Kuketz hat in seinem Artikel zur ePA praktischerweise eine recht ausführliche Liste der Widerspruchsmöglichkeiten in einzelnen Krankenkassen veröffentlicht. Oder Sie nutzen einfach einen Widerspruchs-Generator.