Im Zuge der fortschreitenden Digitalisierung im deutschen Gesundheitswesen stellt die elektronische Patientenakte (ePA) ein zentrales Instrument zur Modernisierung der medizinischen Versorgung dar. Ziel der ePA ist es, Versicherten einen strukturierten und kontinuierlichen Zugriff auf ihre Gesundheitsdaten zu ermöglichen sowie die sektorenübergreifende Kommunikation zwischen Hausärzten, Fachärzten, Kliniken und weiteren Leistungsanbietern zu verbessern. Während die ePA Potenziale zur Optimierung der Behandlungsprozesse und zur Steigerung der Versorgungsqualität birgt, wirft ihre Implementierung zugleich weitreichende datenschutzrechtliche, ethische und strafrechtliche Fragestellungen auf. Einer der Kernpunkte dieser Diskussion ist die Frage, ob die Speicherung sensibler Gesundheitsdaten in der ePA durch Ärztinnen und Ärzte eine Verletzung der ärztlichen Schweigepflicht darstellt, wenn Patientinnen und Patienten nicht vollumfänglich, verständlich und barrierefrei aufgeklärt wurden.
Die technische Realisierung der ePA erfolgt nicht durch die behandelnden Ärzte oder Kliniken selbst, sondern über zentrale Komponenten der Telematikinfrastruktur (TI). Hierbei werden die Daten – wenngleich von den Ärzten erfasst und dokumentiert – an Drittanbieter übermittelt, die im Auftrag der Krankenkassen tätig sind. Zu diesen privatwirtschaftlichen Dienstleistern gehören Unternehmen wie IBM, Arvato, RISE oder T-Systems. Gesetzlich Versicherte haben zu diesen Anbietern keinerlei direkte Vertragsbeziehung, sodass die Daten technisch betrachtet außerhalb der unmittelbaren Sphäre der behandelnden Ärztinnen und Ärzte gespeichert und verarbeitet werden. Diese Tatsache bedingt, dass insbesondere die Übermittlung sensibler Gesundheitsdaten an Dritte einer besonderen rechtlichen Prüfung unterzogen werden muss.
Die ärztliche Schweigepflicht, verankert in § 203 Strafgesetzbuch (StGB), verpflichtet medizinische Berufsgruppen dazu, über Patientinnen und Patienten nur mit deren ausdrücklich erteilter Zustimmung Auskunft an Dritte zu geben. Diese Schweigepflicht ist ein fundamentaler Pfeiler des Vertrauensverhältnisses zwischen Arzt und Patient und schützt das höchstpersönliche Interesse an Privatsphäre und informationeller Selbstbestimmung. Wird jedoch die Einwilligung in die Datenverarbeitung – ein notwendiger Grundsatz, um eine Weitergabe rechtlich zu legitimieren – nicht auf einer vollständigen, barrierefreien und verständlichen Aufklärung beruht, besteht die Gefahr, dass bereits die Speicherung und Übermittlung der Daten als unzulässige Offenbarung vertraulicher Informationen gewertet wird. Dies trifft vor allem zu, wenn Aufklärungsinhalte seitens der Krankenkassen primär über digitale Kanäle verbreitet werden. Zwar werden dort umfassende Informationen zu Funktionalitäten, Risiken und beteiligten Datenempfängern dargeboten, jedoch wird hier ein erheblicher Teil der Bevölkerung nicht erreicht – insbesondere Menschen ohne Internetzugang, ältere Versicherte sowie Personen mit kognitiven oder sprachlichen Einschränkungen. Die fehlende Barrierefreiheit führt dazu, dass betroffene Personen in ihrer Fähigkeit, eine fundierte und selbstbestimmte Entscheidung zu treffen, erheblich beeinträchtigt werden.
Auf Grundlage der Datenschutz-Grundverordnung (DSGVO) muss eine Einwilligung zur Datenverarbeitung freiwillig, spezifisch, informiert und unmissverständlich erfolgen. Fehlen dabei wesentliche Informationen – insbesondere solche, die den Umfang der Datenverarbeitung, die beteiligten Dritten und die damit verbundenen Risiken betreffen –, so ist auch schon die Voraussetzung der Einwilligung nicht erfüllt. Eine rechtswirksame Einwilligung kann demnach nicht erteilt werden, wenn die betroffene Person nicht in die Lage versetzt wird, die Tragweite ihrer Entscheidung vollständig abzuschätzen. Daraus resultiert, dass eine Speicherung in der ePA ohne vollständige Aufklärung nicht nur datenschutzrechtliche Bestimmungen verletzt, sondern auch die ärztliche Schweigepflicht untergräbt. Für Ärztinnen und Ärzte besteht somit das Risiko, dass sie durch die Übermittlung sensibler Daten ohne wirksame Einwilligung einen strafbaren Tatbestand der Schweigepflichtverletzung nach § 203 StGB erfüllen. Diese Rechtsverletzung kann neben strafrechtlichen Konsequenzen auch berufsrechtliche Sanktionen sowie zivilrechtliche Schadensersatzforderungen nach sich ziehen, während dem Patienten ein gravierender Eingriff in sein Recht auf informationelle Selbstbestimmung und einen Vertrauensverlust im Arzt-Patienten-Verhältnis droht.
Ergänzend zu diesen Problematiken rückt in der aktuellen Diskussion das Opt-Out-Verfahren verstärkt in den Fokus. Das Opt-Out-Prinzip sieht vor, dass die Gesundheitsdaten der Versicherten grundsätzlich in die elektronische Patientenakte aufgenommen werden, sofern die betroffene Person nicht aktiv widerspricht. Dieses System soll einerseits die automatische Erfassung und Verarbeitung von Gesundheitsdaten vereinfachen und gleichzeitig den Versicherten die Möglichkeit einräumen, der Datenspeicherung zu widersprechen. Rechtlich betrachtet sollte das Opt-Out-Verfahren darauf abzielen, den Patienten mehr Autonomie über ihre personenbezogenen Daten zu verleihen. Es wird davon ausgegangen, dass durch den widerspruchsorientierten Ansatz eine Balance zwischen einer effizienten Datenverarbeitung und dem Schutz der informationellen Selbstbestimmung der Versicherten erreicht werden könnte.
Die Rechtmäßigkeit des Opt-Out-Verfahrens steht jedoch in engem Zusammenhang mit der Qualität der Aufklärung. Eine wesentliche Voraussetzung für die Wirksamkeit des Opt-Out-Ansatzes ist, dass die Versicherten umfassend, verständlich und barrierefrei über diese Option informiert werden. Wird über die Möglichkeit des Widerspruchs und dessen Konsequenzen nicht hinreichend aufgeklärt, kann das Opt-Out-Prinzip seine rechtliche Legitimation verlieren. Denn ohne vollständige Aufklärung besteht das Risiko, dass Versicherte nicht in der Lage sind, eine informierte Entscheidung zu treffen und ihre Rechte auch tatsächlich wahrzunehmen. In einem solchen Fall wäre die automatische Datenerfassung per Opt-Out rechtswidrig, da der Grundsatz der informierten Einwilligung – selbst in der modifizierten Form des Widerspruchsverfahrens – nicht erfüllt ist. Das bedeutet, dass sowohl die Ärzte als auch die Krankenkassen bei einer nicht vollständigen und barrierefreien Information über die Opt-Out-Option einem erheblichen Rechtsrisiko ausgesetzt sind, da die Speicherung der Daten auf einer rechtsunwirksamen Grundlage beruhen würde.
Ein weiterer kritischer Aspekt in diesem Zusammenhang betrifft den Nachweis, ob der Versicherte bzw. der Patient vollständig aufgeklärt wurde, sodass er eine informierte Entscheidung treffen konnte. Für die Rechtssicherheit im Kontext der ePA ist es unerlässlich, dass sowohl Krankenkassen als auch Ärzte geeignete Maßnahmen zur Dokumentation und Nachweisführung implementieren. Hierzu zählen unter anderem die Erstellung und Archivierung von detaillierten Aufklärungsprotokollen, in denen Datum, Umfang und Art der vermittelten Informationen festgehalten werden. Ebenso sollten nach Möglichkeit schriftliche bzw. elektronisch signierte Einwilligungsformulare vorliegen, welche ausdrücklich bestätigen, dass der Versicherte über alle relevanten Aspekte der Datenverarbeitung, die Identität der Drittanbieter sowie die potenziellen Risiken – inklusive der Funktionsweise des Opt-Out-Verfahrens – in verständlicher und barrierefreier Form informiert wurde. Ergänzend können auch regelmäßige Schulungen und Zertifizierungen des Personals sowie Audit-Trails in den Aufklärungsprozessen dazu beitragen, die Nachvollziehbarkeit und Transparenz der Kommunikation zu gewährleisten. Nur durch eine lückenlose Dokumentation können im Streitfall sowohl die Einhaltung der DSGVO als auch die Wahrung der ärztlichen Schweigepflicht und das Grundrecht auf informationelle Selbstbestimmung nachgewiesen werden.
Dass die Krankenkassen nicht vollumfänglich ihrer Aufklärungspflicht nach kommt, hat das Bündnis widerspuch-epa.de auch schon bemängelt, wie wir schon darüber berichtet hatten.
Zusammenfassend ergibt sich aus der Betrachtung, dass die vollständige, verständliche und barrierefreie Aufklärung der Versicherten eine zentrale Voraussetzung bildet, um den strengen Anforderungen der DSGVO, der ärztlichen Schweigepflicht sowie des Grundrechts auf informationelle Selbstbestimmung gerecht zu werden. Ohne einen derart umfassenden Informationsprozess – gleich ob im herkömmlichen Einwilligungsmodell oder im Rahmen eines Opt-Out-Verfahrens – darf keine Speicherung sensibler Gesundheitsdaten in der ePA erfolgen. Ärzte und Krankenkassen müssen durch geeignete Maßnahmen, wie etwa detaillierte Aufklärungsprotokolle, dokumentierte Einwilligungsprozesse und alternative Kommunikationswege, sicherstellen, dass der Versicherte eine informierte Entscheidung treffen konnte. Andernfalls riskieren sie, dass sowohl die Datenverarbeitung als auch die daraus resultierende Speicherung unzulässig erfolgen und somit strafrechtliche, berufsrechtliche sowie zivilrechtliche Konsequenzen nach sich ziehen. Nur durch eine konsequente und inklusionsorientierte Informations- und Dokumentationsstrategie kann gewährleistet werden, dass die elektronische Patientenakte zu einem Instrument wird, das die medizinische Versorgung verbessert, ohne dabei die fundamentalen Rechte der Versicherten und das gebotene Vertrauensverhältnis zwischen Arzt und Patient zu gefährden. Der gesetzlich Versicherte wird jedenfalls in die Abhängigkeit von Drittanbieter gebracht, bei der er niemals Herr seiner eigenen Daten sein kann. Es bleibt abzuwarten im Hinblick auf die neue Regierung und die Entwicklung des EHDS, ob nicht doch noch der Zwang zur Digitalisierung umgesetzt wird. Herr Merz hat jedenfalls Sanktionen bereits angekündigt bei Weigerung.
Gilt das Einstecken der elektronischen Gesundheitskarte (eGK) als Einwilligung zur Nutzung der elektronischen Patientenakte (ePA)?
Mit der Einführung der elektronischen Patientenakte (ePA) gemäß §§ 341 ff. SGB V stellt sich für viele Versicherte auch die Frage, unter welchen Voraussetzungen Ärztinnen, Ärzte oder Apotheker auf die ePA zugreifen dürfen. Eine zentrale Streitfrage lautet: Gilt das Einstecken der elektronischen Gesundheitskarte (eGK) in ein Kartenterminal bereits als wirksame Einwilligung in die Datenfreigabe?
Zunächst ist festzuhalten, dass das Einstecken der eGK technisch notwendig ist, um den sogenannten Versichertenstammdatenabgleich (VSD) gemäß § 291 Abs. 2 SGB V durchzuführen. Dieser Abgleich ist gesetzlich vorgeschrieben und muss bei jeder vertragsärztlichen oder -zahnärztlichen Behandlung erfolgen. Patientinnen und Patienten können sich diesem Vorgang faktisch nicht entziehen, wenn sie Leistungen der gesetzlichen Krankenversicherung in Anspruch nehmen möchten.
Rechtlich problematisch ist, dass über diesen verpflichtenden Akt der Authentifizierung in vielen Fällen zusätzliche Zugriffsrechte auf die ePA aktiviert werden. Dabei entsteht der Eindruck, dass mit dem bloßen Einstecken der Karte eine Zustimmung zur Datenfreigabe vorliegt.
Eine solche Annahme ist jedoch mit geltendem Datenschutzrecht nicht vereinbar. Nach Art. 4 Nr. 11 und Art. 7 der Datenschutz-Grundverordnung (DSGVO) muss jede Einwilligung freiwillig, spezifisch, informiert und eindeutig sein. Der Betroffene muss wissen, wozu er konkret einwilligt, und muss die Möglichkeit haben, die Entscheidung bewusst zu treffen und zu dokumentieren. Diese Voraussetzungen sind beim bloßen Einstecken der eGK nicht erfüllt – schon deshalb nicht, weil dieser Vorgang gesetzlich vorgeschrieben ist und der Versicherte keine tatsächliche Entscheidungsfreiheit hat.
Auch aus Sicht des Bundesverfassungsgerichts ergibt sich ein strenger Maßstab: In seiner Entscheidung vom 27. Mai 2020 (1 BvR 1873/13 u. a.) stellt das Gericht klar, dass das Grundrecht auf informationelle Selbstbestimmung verlangt, dass jede Datenverarbeitung durch die betroffene Person kontrollierbar sein muss. Eine automatisierte Datenfreigabe durch das Einstecken einer Chipkarte ohne bewusste Entscheidung widerspricht diesem Grundsatz.
Hinzu kommt, dass die Beteiligten – etwa Ärztinnen und Apotheker – möglicherweise gegen § 203 StGB (Verletzung von Privatgeheimnissen) verstoßen, wenn sie ohne nachweislich wirksame Einwilligung auf ePA-Daten zugreifen. Auch datenschutzrechtliche Konsequenzen für die verarbeitenden Stellen (Praxen, Apotheken, Betreiber der Telematikinfrastruktur) sind nicht auszuschließen.
Fazit: Das Einstecken der eGK allein stellt keine wirksame Einwilligung zur Nutzung oder Freigabe der ePA-Daten dar. Es fehlt sowohl an der Freiwilligkeit als auch an der informierten Entscheidung im Sinne der DSGVO. Komfortfreigaben oder stillschweigende Verfahren, die Zugriffe ohne aktives Zutun der Versicherten ermöglichen, sind aus rechtlicher Sicht höchst bedenklich.
Versicherte sollten sich bewusst sein, welche Rechte sie über Komfortfunktionen erteilt haben, und gegebenenfalls Anpassungen in ihrer ePA-App oder über die Krankenkasse vornehmen. Leistungserbringer sollten sich Zugriffe auf besonders schützenswerte Gesundheitsdaten gesondert bestätigen lassen – idealerweise schriftlich oder digital dokumentiert. Die Krankenkassen wiederum sind in der Pflicht, ihre Versicherten umfassend über die Risiken automatisierter Zugriffsmöglichkeiten aufzuklären.
Siehe auch die nachfolgenden Links zum Thema:
- Deutschlandfunk (11.01.2025):
„Elektronische Patientenakte: praktisch aber unsicher“
➡️ praktisch aber unsicher - Frankfurter Rundschau (16.01.2025):
„‚Berechtigte Zweifel‘: Verbraucherschützer äußern Bedenken gegen landesweite Einführung der elektronischen Patientenakte“
➡️ Berechtigte Zweifel - ZEIT ONLINE (Januar 2025):
„Elektronische Patientenakte: Warnungen von Experten wurden monatelang ignoriert“
➡️ Warnungen von Experten wurden monatelang ignoriert - Süddeutsche Zeitung (20.08.2020):
„Kritik an digitaler Patientenakte“
➡️ Kritik an digitaler Patientenakte - Dr. Datenschutz (2023):
„Elektronische Patientenakte: Segen oder datenschutzrechtlicher Fluch?“
➡️ Segen oder datenschutzrechtlicher Fluch?
-