Trotz Verbesserungen: E‑Patientenakte für besonders sensible Daten ungeeignet

Die Diskussionen um IT-Sicherheit und Datenschutz bei der elektronischen Patientenakte (ePA) reißen nicht ab. Zwar gab es zuletzt Verbesserungen beim Datenschutz für Informationen rund um den Medikationsprozess und künftig sollen auch Abrechnungsdaten nicht mehr automatisch für alle Leistungserbringer sichtbar sein, doch grundlegende Fragen bleiben offen. Das zeigt eine Antwort der Bundesregierung auf eine Kleine Anfrage der Fraktion „Die Linke“ (Drucksache 21/2238). Viel Verantwortung sieht die Regierung bei den Krankenkassen, etwa bei der Nutzerfreundlichkeit und Barrierefreiheit.

Kritische Nachfragen zur Zusammenarbeit mit Unternehmen wie IBM und den Auswirkungen auf die digitale Souveränität wurden nur eingeschränkt beantwortet. Nach eigener Aussage hat das Bundesgesundheitsministerium (BMG) keine Kenntnis über die Verträge zwischen den Betreibern und den Krankenkassen. Es verweist stattdessen auf bestehende Sicherheitsvorkehrungen: Die ePA‑Daten würden verschlüsselt auf Servern in Deutschland gespeichert und seien ohne den Schlüssel der Versicherten nicht lesbar.

Digitale Souveränität

Eine eigene Überprüfung der Abhängigkeiten von nicht‑europäischen Anbietern plant die Bundesregierung nicht. Stattdessen verweist sie auf das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), das Schutzanforderungen für sogenannte kritische Infrastrukturen – darunter auch das Gesundheitswesen – festlegt. Nach § 9b BSIG kann das Bundesministerium des Innern (BMI) den Einsatz einer technischen Komponente untersagen, wenn deren Hersteller als nicht vertrauenswürdig gilt, etwa wegen staatlicher Kontrolle aus dem Ausland.

Laut Antwort sind derzeit keine Evaluationen zum Opt‑out‑Verfahren der elektronischen Patientenakte (ePA) vorgesehen, allerdings evaluiere die Gematik das Verfahren. „Abgestimmte Regelungen oder Vereinbarungen mit den Krankenkassen“ gebe es jedoch nicht. Die Bundesregierung betonte, in regelmäßigem Austausch mit Fachorganisationen und Verbänden zu stehen, die die Nutzer der ePA auf Seiten der Leistungserbringer und Versicherten vertreten, um das Verfahren zu beurteilen – eine systematische wissenschaftliche Überprüfung sei aber nicht geplant. Dabei scheint eine offizielle Evaluierung angesichts immer wieder trotz Widersprüchen angelegter Patientenakten angebracht.

Zugriffsrechte nur grob steuerbar

Die Bundesregierung bestätigt zudem, dass Versicherte Zugriffsrechte in der ePA nur „institutionsbezogen“ vergeben oder entziehen können. Einzelne Dokumente lassen sich nicht gezielt nur für bestimmte Praxen oder Ärztinnen und Ärzte sperren oder freigeben – sie können ausschließlich vollständig verborgen werden, was dann für alle gilt. Diese Abschwächung des sogenannten „feingranularen Berechtigungsmanagements“, das es in der früheren Opt-in-Version der ePA noch gab, begründet die Bundesregierung mit mangelnder Praxistauglichkeit. Die alte ePA sei zu komplex gewesen und von zu wenigen Versicherten genutzt worden. Bisher verfügen rund 3,7 Millionen Versicherte über eine für die aktive Nutzung der ePA notwendige GesundheitsID.

Wenn Dokumente wie Arztbriefe verborgen werden, gilt dies für alle Leistungserbringer, es kann derzeit nicht nur gezielt für einzelne gesperrt werden. Den Zeitraum, in welchem ein Leistungserbringer Einsicht hat, können Versicherte selbst festlegen oder vorzeitig beenden – entweder über die ePA‑App oder über die Ombudsstelle ihrer Krankenkasse. Ab dem 1. Januar 2030 soll zudem protokolliert werden, welche Personen auf die Daten zugegriffen haben, und nicht nur welche Einrichtung.

Abrechnungsdaten nicht mehr für alle einsehbar

Laut einem Änderungsantrag (PDF) zum Gesetzentwurf zur Befugniserweiterung und Entbürokratisierung in der Pflege sollen künftig Abrechnungsdaten, die von den Krankenkassen in die elektronische Patientenakte eingestellt werden, nicht mehr automatisch für alle einsehbar sein. Das hatte das Bundesgesundheitsministerium gegenüber heise online bestätigt. Damit soll verhindert werden, dass Leistungserbringer, die an der jeweiligen Behandlung gar nicht beteiligt sind, Zugriff auf sensible Abrechnungsinformationen erhalten.

In Notfällen gelten dieselben Zugriffsregeln wie im regulären Behandlungsfall: Ärzte dürfen auf gespeicherte Daten zugreifen, wenn dies für Diagnose oder Behandlung erforderlich ist und keine ausdrückliche Ablehnung des Patienten vorliegt. Die Bundesregierung betont den potenziellen Nutzen der ePA für einen „medienbruchfreien Austausch“ zwischen ambulanten Praxen, Kliniken und psychiatrischen Einrichtungen. In der Praxis ist das bislang jedoch kaum Realität, da nur wenige Krankenhäuser die ePA technisch integriert und aktiv in die Abläufe eingebunden haben.

Daten zu psychischen Erkrankungen

Besonders sensiblen Daten – etwa zu psychischen Erkrankungen, Schwangerschaftsabbrüchen oder sexuell übertragbaren Infektionen – misst die Bundesregierung zwar einen „besonderen Schutzbedarf“ bei. Ärzte müssen Patienten demnach vor der Speicherung solcher Daten ausdrücklich auf ihr Recht zum Widerspruch hinweisen. Dennoch sind darüber hinausgehende Schutzmechanismen nicht geplant.

Konkrete Hinweise auf Missbrauchsfälle mit ePA-Daten liegen der Bundesregierung derzeit nicht vor. Experten kritisieren jedoch seit Langem, dass gerade psychisch erkrankte Patientinnen und Patienten oft nicht in der Lage seien, komplexe Datenschutzentscheidungen selbst zu treffen. „Es gibt Patienten, die es vielleicht gar nicht schaffen, einer Datenspeicherung zu widersprechen, da sie die schriftlichen Hinweise in den Aufnahmeunterlagen aufgrund von Konzentrationsproblemen nicht vollständig lesen können“, sagte Susanne Berwanger vom Berufsverband Deutscher Psychologinnen und Psychologen Ende 2024 gegenüber heise online. Und auch andere Themen lassen Wünsche von Datenschützern offen, etwa der fehlende Beschlagnahmeschutz.

(mack)