Die Digitalisierung im Gesundheitswesen schreitet voran. Elektronische Patientenakten, digitale Arztbriefe und mobile Gesundheits-Apps sind längst Realität. Damit wächst auch die Bedeutung des Datenschutzes – denn Gesundheitsdaten zählen zu den besonders sensiblen personenbezogenen Informationen.

Gesundheitsdaten unter besonderem Schutz

Laut Artikel 9 der Datenschutz-Grundverordnung (DSGVO) ist die Verarbeitung von Gesundheitsdaten grundsätzlich untersagt. Ausnahmen gelten nur dann, wenn bestimmte Voraussetzungen erfüllt sind – etwa bei ausdrücklicher Einwilligung der betroffenen Person, zur Wahrung lebenswichtiger Interessen oder wenn die Datenverarbeitung gesetzlich vorgeschrieben ist. Auch für Zwecke der Gesundheitsvorsorge oder medizinischen Behandlung kann die Verarbeitung erlaubt sein, sofern geeignete Schutzmaßnahmen gewährleistet sind.

Elektronische Patientenakte ohne aktive Zustimmung?

Mit der elektronischen Patientenakte (ePA) sollen Behandlungsverläufe künftig besser dokumentiert und Gesundheitsdaten einfacher zugänglich gemacht werden. Nach § 342 SGB V sind Krankenkassen verpflichtet, für alle Versicherten eine ePA bereitzustellen. Seit dem 15. Januar 2025 wird diese automatisch angelegt – es sei denn, die betroffene Person widerspricht innerhalb von sechs Wochen.

Ob dies datenschutzrechtlich zulässig ist, wird derzeit juristisch diskutiert. Die DSGVO fordert in der Regel eine aktive Einwilligung zur Datenverarbeitung. Offen ist, ob die gesetzliche Grundlage des Sozialgesetzbuches in Verbindung mit Art. 9 Abs. 2 Buchstabe h DSGVO ausreicht. Gerichtsurteile hierzu stehen noch aus.

Sicherheit bleibt zentrale Herausforderung

Zudem steht die Datensicherheit im Fokus. Der Chaos Computer Club hatte Ende 2024 auf potenzielle Schwachstellen bei der ePA hingewiesen. Laut Artikel 5 DSGVO müssen personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen geschützt werden – das umfasst insbesondere Schutz vor unbefugtem Zugriff, Datenverlust oder Manipulation.

Nach Artikel 32 DSGVO sind Ärztinnen, Ärzte und Psychotherapeutinnen verpflichtet, ein hohes Sicherheitsniveau zu gewährleisten. Dazu gehören Verschlüsselung, Pseudonymisierung sowie sichere IT-Infrastrukturen. Bei Verstößen drohen nicht nur Bußgelder, sondern auch zivilrechtliche Schadensersatzforderungen durch betroffene Patienten (Art. 82 DSGVO).

Patientenrechte aktiv wahrnehmen

Patientinnen und Patienten haben das Recht, über die Verwendung ihrer Gesundheitsdaten informiert zu werden und dieser zu widersprechen. Dies gilt insbesondere für die Nutzung der ePA. Ein Widerspruch muss nicht begründet werden und kann auch über die jeweiligen Krankenkassen oder Apps erfolgen.

Wer sich umfassend informieren möchte, sollte neben offiziellen Portalen auch auf die Veröffentlichungen unabhängiger Datenschutzinstitutionen und Patientenvertretungen achten.