Die elektronische Patientenakte (ePA) gilt als Meilenstein der Digitalisierung im Gesundheitswesen. Seit 2021 können gesetzlich Versicherte in Deutschland ihre medizinischen Daten zentral speichern und teilen – von Laborwerten bis zum Röntgenbild. Doch während die ePA Effizienz und Patientenautonomie verspricht, bleiben Fragen zum Datenschutz. Ist der gesetzliche Rahmen der ePA wirklich ausgereift? Oder offenbaren sich hier Schwachstellen, die das Vertrauen in die digitale Gesundheitsversorgung gefährden?
1. Der gesetzliche Rahmen: DSGVO, SGB V & Co.
Die ePA basiert auf dem Digitale-Versorgung-Gesetz (DVG) und ist im Fünften Sozialgesetzbuch (SGB V) verankert. Zusätzlich gelten die strengen Vorgaben der EU-Datenschutzgrundverordnung (DSGVO). Theoretisch ein solides Fundament:
Datenhoheit: Patienten entscheiden selbst, wer Zugriff erhält (Art. 9 DSGVO).
Pseudonymisierung: Medizinische Daten werden verschlüsselt gespeichert.
Löschungsrecht: Nutzer und Nutzerinnen können die ePA jederzeit deaktivieren.
Doch die Praxis zeigt: Gesetze allein garantieren keinen umfassenden Schutz.
2. Kritikpunkte: Wo hakt es?
1. a) Zugriffskontrolle – zu lasch?
Zwar müssen Ärzte und Ärztinnen oder Apotheker und Apothekerinnen sich via Heilberufeausweis authentifizieren, um auf die ePA zuzugreifen. Doch:
Risiko des Insider-Missbrauchs: Was passiert, wenn Unbefugte an die Zugangsdaten gelangen?
Kein detailliertes Logging (Protokollierung): Patienten sehen nur, dass jemand ihre Akte geöffnet hat – nicht, welche Daten eingesehen wurden.
1. b) Datenminimierung? Fehlanzeige!
Die DSGVO fordert, nur notwendige Daten zu erheben (Art. 5 DSGVO). Doch die ePA erlaubt das Hochladen sämtlicher Gesundheitsdaten – auch freiwillig. Kritiker und Kritikerinnen warnen vor einer „Datenhortung“, die Hacker anlockt oder Versicherungen zu Risikoprofilen verleitet.
1. c) Technische Umsetzung: Ein Sicherheitsrisiko?
Die ePA läuft über die Telematik-Infrastruktur (TI), die bereits mehrfach für Pannen kritisiert wurde:
- 2022 offenbarte der Chaos Computer Club Sicherheitslücken in der TI-Konnektoren-Software.
- Die zentrale Speicherung bei ausgewählten Anbietern (wie gematik) wirft Fragen zur Cloud-Sicherheit auf.
3. Stimmen aus der Praxis: Was sagen Experten und Expertinnen?
Prof. Katharina Zweig (Informatikerin):
„Die ePA setzt auf eine zentralisierte Architektur – ein Einfallstor für Cyberangriffe. Dezentrale Lösungen wären sicherer.“
Datenschutzbeauftragte Ulrich Kelber:
„Die Löschpflichten sind unklar. Wer garantiert, dass gelöschte Daten nicht doch in Backups weiter existieren?“
Eine Patienten und Patientinnen-Befragung der Bertelsmann Stiftung (2023) ergab:
Nur 12 % der Befragten nutzen die ePA – aus Angst vor Datenlecks.
4. Blick ins Ausland:
Andere Länder zeigen, wie es besser geht:
Estland: Dezentrale Speicherung mit Blockchain-Technologie.
Dänemark: Patienten entscheiden pro Dokument, wer es einsehen darf.
Österreich: Opt-in-Lösung statt automatischer ePA-Aktivierung.
5. Fazit: Nachbessern statt Scheitern
Die ePA ist ein Schritt in die richtige Richtung – doch datenschutzrechtlich noch nicht ausgereift. Um Vertrauen zu schaffen, braucht es:
Granularere Zugriffsrechte (z. B. Freigabe pro Dokument oder Arztpraxis).
Stärkere Dezentralisierung der Datenspeicherung.
Transparente Aufklärung über Risiken und Rechte.
Der Gesetzgeber muss nachlegen: Datenschutz darf nicht nur auf dem Papier stehen, sondern muss in der Technik gedacht werden. Denn nur eine sichere ePA wird zur echten Empowerment-Waffe für Patienten und Patientinnen.
