ePA: BfDI erinnert an Datenausleitung ab Oktober und fordert bessere Information

Ab Oktober 2026 werden erstmals Daten aus der elektronischen Patientenakte (ePA), zunächst aus der elektronischen Medikationsliste (eML), pseudonymisiert für Forschungszwecke ausgeleitet. Wenn Versicherte das nicht wollen, müssen sie widersprechen. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Louisa Specht-Riemenschneider, fordert deshalb, die Menschen vor dem Start besser über ihre Rechte, die vorgesehenen Datenflüsse und die vorhandenen Steuerungsmöglichkeiten zu informieren.

Immer wieder die gleichen Forderungen

Die Forderung kommt nicht zum ersten Mal: Schon vor dem Start der Opt-out-ePA hatten die BfDI und Verbraucherschützer wiederholt auf Informationsdefizite hingewiesen und von den Krankenkassen verständlichere Hinweise zu Funktionen, Risiken und Widerspruchsmöglichkeiten verlangt. Auch später gab es Kritik an Kommunikationspannen der Kassen.

Im Digital-Health-Podcast von heise online erläuterte auch Lucas Auer vom Verbraucherzentrale Bundesverband, dass viele Versicherte die ePA derzeit als nicht viel mehr als einen digitalen Aktenordner wahrnehmen und der spürbare Nutzen für die Mehrheit noch fehlt. Und auch eine Befragung der BfDI von November 2025 zeigte, dass die Bereitschaft, Gesundheitsdaten für Forschung und Versorgung freizugeben, grundsätzlich hoch ist – wenn Versicherte selbstbestimmt entscheiden können, wer auf welche Informationen zugreift.

„Datenschutz ist kein Hindernis für die ePA, sondern die Voraussetzung für ihren Erfolg“, erklärte die BfDI. Echte Kontrolle über die eigenen Gesundheitsdaten schaffe Vertrauen und erhöhe damit auch die Bereitschaft, Daten etwa für die Forschung bereitzustellen.

Die ePA stößt laut BfDI insgesamt auf hohe grundsätzliche Akzeptanz. Wer widersprochen hat oder dies plant, nennt überwiegend Datenschutz- und Sicherheitsbedenken als Grund. Nach Zahlen im TI-Dashboard verfügen derzeit 5,3 Millionen Versicherte – Ende August waren es noch 5,8 – über eine GesundheitsID, die die Anmeldung in Diensten der Telematikinfrastruktur ermöglicht. Gleichzeitig sieht die BfDI deutliche Informationsdefizite. Zwar kennen fast alle die ePA dem Namen nach, über zentrale Funktionen wissen jedoch viele nicht ausreichend Bescheid.

Die Datenschutzbeauftragte empfiehlt der Bundesregierung daher, Wissenslücken rasch und verständlich zu schließen. Parallel plant das Justizministerium, ePA-Daten unter den Beschlagnahmeschutz der Strafprozessordnung zu stellen – ein weiterer offener Rechtspunkt, der bislang nicht eindeutig geregelt war. Außerdem sollten die Möglichkeiten zur Steuerung von Datenfreigaben nutzerfreundlich weiterentwickelt und klare gesetzliche Rahmenbedingungen für automatisierte Auswertungen von Gesundheitsdaten geschaffen werden. Derzeit läuft zudem eine Klage von Betroffenen gegen die Speicherung der Abrechnungsdaten der Krankenkassen beim FDZ Gesundheit, gegen die kein Widerspruch möglich ist.

Regelmäßig zeigt sich, dass Versicherte über Zugriffsrechte schlecht informiert sind. Viele Patienten sind überrascht, wer alles ihre ePA einsehen kann. Ende 2024, kurz vor dem Start der elektronischen Patientenakte ab Version 3.0, bemängelten die BfDI und der Verbraucherzentrale Bundesverband, dass Krankenkassen über Risiken der neuen ePA und die Widerspruchsmöglichkeiten unzureichend informierten. Zudem bemängelten Verbraucherschützer, dass viele Kassen ihre Versicherten nicht ausreichend darüber informieren, dass die ePA auf älteren Smartphones in diesem Jahr nicht mehr funktioniert.