Das Thema Datenschutz bei der neuen elektronischen Patientenakte

Fachbeitrag

Seit Beginn dieses Jahres steht die elektronische Patientenakte (ePA) für alle gesetzlich Versicherten zur Verfügung. Die Gesellschaft für Telematik (Gematik) stellt die Infrastruktur bereit, damit nun vom Smartphone oder Tablet aus die eigenen Gesundheitsdaten verwaltet werden können. Da stellt sich uns doch die Frage: Und was ist mit dem Datenschutz?

Was bisher geschah…

Die ePA wurde in dem Ende 2015 verabschiedeten E-Health-Gesetz von der Bundesregierung formal als wesentlicher Teil der Telematikinfrastruktur verankert. Es war vorgesehen, dass diese als freiwillige Anwendung für gesetzlich Versicherte zur Verfügung stehen und Gesundheitsdaten aus Arztpraxen, Kliniken und anderen Gesundheitseinrichtungen gesammelt darstellen soll. Hier sollte unter anderem folgendes gespeichert werden:

  • Notfalldatensatz,
  • Medikationsplan,
  • Arztbriefe
  • und weitere medizinische Dokumente, wie etwa der elektronische Impfpass.

Das Thema wurde bereits zu Beginn kontrovers aufgenommen: So begrüßte z.B. die Kassenärztliche Bundesvereinigung die grundsätzlichen Vorteile einer elektronischen Patientenakte, wohingegen Mitglieder des Bundesvorstandes des Marburger Bundes bereits erste datenschutzrechtliche Bedenken äußerten.

Durch Gesundheitsminister Jens Spahn, der das Thema zu Beginn der jetzigen und bald endenden Legislaturperiode ebenfalls auf seine To-Do-Liste setzte, wurde die Einführung der elektronischen Patientenakte in den letzten Jahren weiter vorangetrieben. Das Ergebnis: Seit einigen Wochen können wir sie uns über eine App auf unsere Smartphones und Tablets laden.

Was mit der ePA in diesem Jahr geplant ist

Nach bisherigen Informationen der Deutschen Presse-Agentur und dem Bundesgesundheitsministerium ist die Einführung als Stufenprozess geplant. Seit dem 1. Januar 2021 steht die ePA allen Versicherten zum Download zur Verfügung. Zugleich soll laut Bundesgesundheitsministerium eine „umfangreiche Test- und Einführungsphase mit ausgewählten Arztpraxen und Krankenhäusern“ beginnen. Nach der Testphase und einer finalen Zulassung ist die flächendeckende Vernetzung geplant.

Kein Licht ohne datenschutzrechtlichen Schatten?

Wie so häufig in den Zeiten unserer „Brave New World“ sollte jedoch auch ein Blick hinter die Kulissen geworfen werden. Was störte den Marburger Bund zum Beispiel schon im September 2018?

Wenn es um Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO als besonders schützenwerte Kategorie von personenbezogenen Daten geht, stellt sich die Frage, wer alles Zugriff oder ggfs. auch nur schlicht Einsicht in diese Daten hat. Der Marburger Bund verwies daher – zu Recht – auf das besondere Interesse, dass die Informationen allein im geschützten Patient-Arzt-Verhältnis verbleiben.

Diesen Aspekt greift der zu diesem Anlass neu geregelte § 305 Sozialgesetzbuch V (SGB V) auf. Dieser sieht nun am Ende seines ersten Absatzes vor, dass

„bei der Übermittlung an Anbieter elektronischer Patientenakten oder anderer persönlicher elektronischer Gesundheitsakten sichergestellt werden muss, dass die Daten nicht ohne ausdrückliche Einwilligung der Versicherten von Dritten eingesehen werden können.“

Zudem ist die elektronische Patientenakte grundsätzlich als freiwilliges Angebot zu verstehen. Dies stellte auch schon das Bundesverfassungsgericht auf Grund einer bereits in diesem Jahr eingereichten Verfassungsbeschwerde fest (Beschluss vom 4.1.2021, Az. 1 BvR 619/20).

Auch für die ePA braucht es eine Rechtsgrundlage

Aber schauen wir uns die gesetzlichen Regelungen des § 305 SGB V noch einmal genauer an. Für die grundsätzliche Einordung gilt, dass hier – als „lex specialis“ zur DSGVO – besondere Regelungen für Datenverarbeitungen bei den gesetzlichen Krankenversicherungen zu finden sind. Diese sind also zusätzlich zu den Vorschriften der DSGVO zu beachten. In § 305 Abs. 1 S. 3 und 4 SGB V steht folgendes:

„Die Krankenkassen dürfen auf Verlangen und mit ausdrücklicher Einwilligung der Versicherten Daten über die von diesem Versicherten in Anspruch genommenen Leistungen an Anbieter elektronischer Patientenakten oder anderer persönlicher Gesundheitsakten zur Erfüllung ihrer Pflichten (…) übermitteln. Bei der Übermittlung an Anbieter elektronischer Patientenakten oder anderer persönlicher elektronischer Gesundheitsakten muss sichergestellt werden, dass die Daten (…) nicht ohne ausdrückliche Einwilligung der Versicherten von Dritten eingesehen werden können.“

Die Regelung stellt klar: Die erforderliche Rechtsgrundlage für die Datenübermittlung ist die Einwilligung nach Art. 6 Abs. 1 S. 1 lit.a) DSGVO. Möglichweise könnte man sich hier nun die Frage stellen, ob nicht „zu viel“ geregelt wurde. Objektiv betrachtet besteht zwischen den Krankenkassen und den Anbietern der ePA ein Auftragsverarbeitungsverhältnis. Dies bewirkt bereits, dass sich die von den Versicherten generell eingeholte Einwilligung zur Nutzung der ePA auf Grund eines entsprechenden AVVs auch als Rechtsgrundlage für die Weitergabe der Daten an die Anbieter als externe Dienstleister der Krankenkassen erstreckt. Aber wir wollen nicht spitzfindig sein…

Weitaus wichtiger könnte sein, dass ein zusätzlicher Zugriff auf oder eine zusätzliche Einsicht in die Daten der Versicherten durch die Anbieter ebenfalls mit dem Erfordernis einer Einwilligung als Rechtsgrundlage geregelt wurde. Einer möglichen Argumentation für das berechtigte Interesse als geeignete Rechtsgrundlage wird somit von Beginn an die Grundlage entzogen. Hier wird dem Schutz der besonders schützenswerten Gesundheitsdaten Rechnung getragen.

BfDI: Nachbesserungsbedarf auch noch nach Einführung der ePA

Zum Thema „Zugriff auf die Daten“ macht sich jedoch auch der Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Ulrich Kelber, auch nach der Einführung weiterhin Gedanken. Selbst wenn nach eigener Aussage des BfDI in puncto Datenschutz bei der Planung der ePA viele seiner Anforderungen Berücksichtigung gefunden hätten, plant er dennoch eine Aufsichtsanordnung an die Krankenkassen in seinem Zuständigkeitsbereich. Was ist der Grund?

Dieser ist in der technischen Umsetzung der elektronischen Patientenakte zu finden. Die hier zugrundeliegende Infrastruktur der Telematik sei grundsätzlich den Sicherheitsanforderungen entsprechend ausgestaltet. Der BfDI verweist jedoch auf die (leider wohl) immer noch bestehenden Schwachstellen. So werde es erst ab 2022 möglich sein, den Zugang für Arztpraxen oder Pflegeeinrichtungen zu den einzelnen (in der ePA hinterlegten Dokumenten) „feingranular“ einzustellen.

Weitergedacht birgt diese fehlende Vorkehrung folgende Problematik: Sobald jemand in die Nutzung der elektronischen Patientenakte einwilligt und in dieser Dokumente zur Verwaltung eingepflegt werden, kann im Moment noch jeder Arzt – egal, ob Hausarzt, Zahnarzt oder Psychologe – zu dem man mit der Akte geht, auf alle Dokumente zugreifen. Schlicht: Es fehlt das Berechtigungskonzept.

Vor der freiwilligen Nutzung der ePA sollte sich daher jeder die Frage stellen, ob er oder sie es gutheißt, wenn der Zahnarzt beispielsweise auch auf das Protokoll der letzten Paartherapie-Sitzung zugreifen kann. Mögliche medizinische Synergieeffekte hier vielleicht erst einmal hintenangestellt – wobei sich diese eventuell doch auch besser im persönlichen Einzelgespräch mit dem Arzt klären lassen, ohne dass dieser die Details bereits aus der Akte kennt. Bei dem Thema „Datenzugriff“ besteht also eindeutig noch Nachbesserungsbedarf.

Digitalisierung „hurra“, aber…?

Die Entwicklungen bei der elektronischen Patientenakte zeigen insbesondere eines: Die Digitalisierung in unserer Gesellschaft schreitet voran. Und das ist auch gut so. Die Vorteile sind nicht wirklich von der Hand zu weisen.

Versicherte wären auf Wunsch u.a. in der Lage, Informationen verschiedener Ärzte gebündelt an einer Stelle schnell griffbereit zu haben, was insbesondere bei einer Weiter- oder auch Mitbehandlung anderer Ärzte sehr hilfreich sein kann. Auch müsste es keine „Deutschland sucht den Impfpass“-Plakate und Aktionen mehr geben, da dieser einfach digital in der ePA abgelegt werden könnte.

Um bei digitalen Innovationen einer „Brave New World“ aber auch den Schutz des Einzelnen nicht in den Hintergrund treten zu lassen, sind schlicht gewisse datenschutzrechtliche Spielregeln zu beachten. Dabei ist Datenschutz aber nicht als „Spaßbremse“ zu sehen, sondern als gute Möglichkeit, ein faires Miteinander zu bewirken. Hier kann die elektronische Patientenakte hoffentlich bald als gutes Beispiel vorangehen.

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

Datenschutz im Gesundheitswesen

6 Kommentare zu diesem Beitrag

  1. Kritisch berichten zur elektronischen Patientenakte ist gut. Jedoch:

    1.“Gematik stellt die Infrastruktur bereit“ Nein, tut sie nicht.
    2. Der Betreiber bekommt niemals Zugriff
    3. Nicht jeder Arzt hat Zugriff
    4. Nicht alles kommt in die ePA, der Versicherte entscheidet!

    • Zu 1: Die Gematik ist nach den §§ 306 Absatz 1, 311 Abs. 1 Nr. 2 SGB V dazu verpflichtet die Telematikinfrastruktur aufzubauen. Zwar kann sie den Betrieb dann an Dienstleister auslagern. Sie entscheidet aber weiterhin über alle wesentlichen Punkte wie etwa die Festlegung der Rahmenbedingungen für Betriebsleistungen sowie Vergabe von Aufträgen für deren Erbringung an Anbieter von Betriebsleistungen oder die Zulassung von Betriebsleistungen, sodass man sagen kann, dass die Gematik die Telematikinfrastruktur bereitstellt.

      Zu 2. Wen meinen Sie mit Betreiber? Richtig, ist der Betreiber der App bekommt keinen direkten Zugriff in die ePA, aber auf Grund der Übermittlung der Daten an ihn als Betreiber gelangen die Daten in seinen Einflussbereich und können von diesem zur Kenntnis genommen werden, was auch die Regelung des § 305 Abs. 1 S. 4 SGB V erklärt. Wie soll die ePA sonst auch betrieben werden?

      Zu 3./4. Zugriff worauf? Nach Informationen des BMG oder BSI ist ein Stufenprozess geplant. Im Moment befinden wir uns in der Testphase. Es gibt meines Wissens nach noch kein vom BfDI geprüftes Berechtigungskonzept. Das heißt alle Ärzte, die jetzt angeschlossen werden und zu denen der Patient mit seiner Akte geht, haben Zugriff auf die Daten/Dokumente, die der Versicherte freiwillig eingepflegt hat. Das der Versicherte entscheidet, was er in die Akte aufnimmt, hat doch auch niemand bezweifelt.

      • Sie schauen auf die gesetzlichen Paragrafen und leiten daraus ab, wie sie glauben, dass die Systeme funktionieren. Ich wiederum kenne die spezifischen Festlegungen der gematik und kenne deren Ableitungen der Gesetze. Daher kann ich nachvollziehen, wie Sie diese Schlüsse gezogen haben – nur entsprechen sie nicht den tatsächlichen Umsetzungen.

        zu 1.
        Ich möchte in diesem Punkt keine Wortklauberei betreiben, nur ist das allgemeine Verständnis, dass ein Betreiber aktiv / operativ dafür verantwortlich ist, was mit jedem einzelnen Bit passiert. Entsprechend bieten Betreiber Dienste an (direkt oder indirekt).
        Genau das ist bei der gematik nicht der Fall.
        Wie die TI aufgebaut ist und betrieben wird, ergibt aus weiteren Paragrafen. Am Ende: Die gematik lässt Produkte und Services von Firmen (und Organisationen) zu, die sich bei der gematik freiwillig um Zulassung bemüht haben. Erfüllen diese die Anforderungen erbringen die so Zugelassenen eigenständig und eigenverantwortlich (!!) ihre Services. Damit ist die TI ein Zusammenschluss aus Komponenten und Diensten unterschiedlichster Hersteller (manche erledigen nur die Zertifikatsausgabe, andere bauen ihre Konnektoren, wieder andere stellen ePA-Aktensysteme bereit). All das in Konkurrenz mit multiplen Angeboten je Komponente und Dienst. Daher ist es eben nicht so, dass die gematik die Infrastruktur zum Speichern der Gesundheitsdaten betreibt – sie ist nur koordinierend aktiv. (Änderung und Neuerung nur im Bereich des kommenden eRezepts, bei dem sie erstmalig selbst aktiv werden soll).

        zu 2.
        Der Betreiber bekommt nicht die Daten von der Kasse übergeben.
        Das System ist wie folgt:
        Vertraglicher Anbieter der ePA gegenüber dem Versicherten ist die jeweilige Kasse.
        Die Kasse beauftragt Industriepartner mit der Entwicklung und dem Betrieb der Komponenten des ePA-Backends.
        Leistungserbringer UND Kassen haben Komponenten, die ihnen technischen Zugang zur ePA gewähren, der nur genutzt werden kann, wenn der Versicherte dafür berechtigt. Der technische Zugang einer Kasse (über den KTR-Consumer) ermöglicht lediglich ein blindes Schreiben von Daten in die ePA. Wenn der Versicherte seine Abrechnungsdaten in seiner ePA haben möchte, berechtigt er dazu seine Kasse innerhalb seiner eigenen ePA-App. Anschließend ist der technische Zugang der Kasse DIREKT ZUM Backend der ePA möglich (natürlich mit gesicherten, gematik-zugelassenen Komponenten). Daher „übergibt“ die Kasse dem Betreiber keine Daten zum Einspielen, sondern sie nimmt das Einspielen selbst vor.
        Auf Grund des technischen Konzepts der ePA (End2End-Verschlüsselung und VAU) ist dem Betreiber der Zugriff auf die bei ihm gespeicherten und verarbeiteten Daten technisch unmöglich.

        zu 3.
        Die ePA HAT ein Berechtigungskonzept. Nicht jeder Arzt Deutschlands kann einfach auf jede ePA zugreifen. Vielmehr erteilt der Versicherte, wenn er das will, einer Praxis aktiv ein zeitlich befristetes Zugriffsrecht. Während der Dauer dieses Zugriffsrecht (bzw. solange der Versicherte das Zugriffsrecht nicht vorzeitig entzogen hat), kann die Praxis auf die ePA-Daten dieses Versicherten zugreifen. Dabei kann der Versicherte heute regeln, ob die Praxis nur Zugriff auf Dokumente anderer Ärzte, nur Zugriff auf Dokumente, die der Versicherte selbst eingestellt hat, oder auf beide Gruppen von Dokumenten zugreifen können soll. Feiner geht es noch nicht und das hat Hr. Kelber bemängelt. (Dies kommt ab dem 01.01.2022). Das heißt, dass ein Zahnarzt alle Dokumente aller anderen Berufsgruppen einsehen KÖNNTE.
        Aber dies weiß der Versicherte und damit kommen wir dann zu 4.

        zu 4.
        Es ist NICHT so, dass jeder Arzt, Psychotherapeut und Zahnarzt immer alle Behandlungsdokumente in die ePA einstellt, geschweige denn einstellen muss. Vielmehr entscheidet immer der Versicherte, welche Dokumente von welchem Leistungserbringer er in seiner ePA haben möchte. Gerade weil es potentiell stigmatisierende Dokumente gibt und gerade, weil in der ePA 1.0 keine feingranulare Zugriffssteuerung möglich ist, lautet die Empfehlung solche Dokumente NICHT in die ePA einzuspielen. Protokolle der Paartherapiesitzung gehören also nicht in die ePA und jeder verantwortungsvolle Psychotherapeut würde seinem Patienten raten, diese Daten (derzeit oder dauerhaft) nicht in die ePA einzustellen.
        Damit kann der Fall, dass der Zahnarzt auf solche Dokumente zugreifen kann nur theoretisch aber eben nicht praktisch existieren. Es sei denn, ein Patient besteht darauf, dass auch bestimmte sehr sensible Dokumente eingestellt werden, weil er gerade möchte, dass auch sein Zahnarzt darüber informiert ist (es gibt durchaus med. Fälle, wo das angeraten ist – aber selten).

        Wenn Sie mehr dazu lesen wollen, schauen sie mal auf ePA-Fakten.de vorbei. ;o)

  2. Ein Medikationsplan konterkariert in vielen Situationen eventuelle Berechtigungskonzepte. Wenn ich beim Allergologen ein Medikament bekommen, dann muss der auch wissen was ich sonst so nehme (Psychopharmaka, Herzmedikation, …). So eine Medikationsliste macht manche Patientenakte zu einem offenen Buch. Die Fälle in denen die eine Krankeit völlig singulär zu betrachten ist ist eher die Ausnahme. Die Zahnmedizin mag das etwas anders liegen, für das Gros der Patienten gilt das nicht.

  3. Die Experten-Diskussion an dieser Stelle zeigt, wie schwierig es im Moment noch für Verbraucher:innen bzw. Patient:innen ist, die Kontrolle über sensible Gesundheitsdaten zu behalten. Unklar ist mir weiterhin, wie der Datenfluss genau aussieht. Jede:r in Deutschland muss das verstehen können!

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.