Die elektronische Patientenakte und das Dilemma mit dem Datenschutz

Die elektronische Patientenakte soll das Gesundheitswesen revolutionieren und digitalisieren. Das Ziel: Versicherte sollen die Hoheit über ihre eigenen Daten erlangen – gebündelt in der elektronischen Akte. Die Nutzung ist dabei freiwillig.

Laut dem Bundesdatenschutzbeauftragten (BfDI) sei dieser Ansatz zwar löblich, die aktuelle Umsetzung widerspreche aber der DSGVO und damit europäischem Recht. Auch in Sachen IT-Sicherheit seien nicht alle Anforderungen erfüllt. Das Dilemma: Die Krankenkassen sind gesetzlich verpflichtet, die elektronische Patientenakte nach bestimmten Vorgaben umzusetzen.

Wir haben für Sie zusammengefasst, worum es bei der elektronischen Patientenakte geht, welche Kritik am Datenschutz besteht und wie die Akte dennoch mit dem Datenschutz zusammenkommen kann. 

Die elektronische Patientenakte verspricht Kontrolle über die eigenen medizinischen Daten. Das Ziel: Versicherte entscheiden, was mit ihren Daten passiert, welche in der elektronischen Patientenakte gespeichert und welche gelöscht werden. Zudem entscheiden sie in jedem Einzelfall, wer auf die Akte zugreifen darf.

Ab 2022 soll die Freigabe sogar für jedes Dokument einzeln möglich sein. So kann eine Person beispielsweise entscheiden, dass ihr Therapeut Zugriff auf allgemeinmedizinische Daten erhält, nicht aber auf Befunde der Zahnärztin. Die Konstellationen sind hier vielfältig.

Patient:innen haben ein Recht drauf, dass Ärztinnen und Ärzte ihre elektronische Patientenakte füllen. Das erste Befüllen und das Verwalten bekommen sie dabei bezahlt. Ab 2022 lassen sich darin außerdem der Impfausweis, Mutterpass, das gelbe U-Heft für Kinder und das Zahn-Bonusheft speichern. 

Es gibt zwar das Patientendaten-Schutz-Gesetz (PDSG), mit dem digitale Angebote im Gesundheitssektor nutzbar und gleichzeitig sensible Gesundheitsdaten bestmöglich geschützt werden sollen. Dennoch sieht der BfDI Kelber das Ziel einer informationellen Selbstbestimmung der Versicherten verfehlt.

Prinzipiell sollen Versicherte in der elektronischen Akte feingranular einstellen können, wer auf welche Daten und Dokumente zugreifen darf. Das funktioniert so allerdings noch nicht – es geht nur ganz oder gar nicht. Laut BfDI verstoße das Zugriffsmanagement so gegen die DSGVO und die Grundrechte der Versicherten.

Ab 2022 soll das feingranulare Zugriffsmanagement per Smartphone oder Tablet funktionieren – wie vom PDSG vorgeschrieben. Kelber sieht hier jedoch die große Gruppe von Menschen, die kein entsprechendes Gerät besitzen, benachteiligt. Diese Gruppe werde weiterhin – auch ab 2022 – in ihrer Souveränität beschränkt. Diese können nur in Praxen oder mithilfe einer Vertretung mit Smartphone ihre Daten managen. Dieser Vertretung müssten sie dann allerdings sehr sensible und private Informationen offenbaren.

Auch der Einblick in die eigenen Daten sei für diese Gruppe schwierig und sie werden von der Nutzung der elektronischen Patientenakte faktisch ausgeschlossen. Aus datenschutzrechtlicher Sicht sei das durchaus kritisch, da diese gravierenden Einschränkungen der Souveränität gegen die DSGVO und damit in Deutschland unmittelbar geltendes europäisches Recht verstoßen. Außerdem werde dadurch eine Zweiklassengesellschaft geschaffen.

Kelber kritisiert außerdem, dass nicht alle Anforderungen an ein Authentisierungsmittel erfüllt werden – wie vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gefordert. Gerade bei so sensiblen Daten wie Gesundheitsdaten sollte das Authentisierungsverfahren immer dem aktuellen Stand der Technik entsprechen. Mit dem Verfahren der „alternativen Versichertenidentität“ können sich Versicherte auch ohne elektronische Gesundheitskarte an ihrer Akte anmelden. Dieses Verfahren basiere auf einem Signaturdienst und erfülle nicht alle Sicherheitsanforderungen vollständig.

Der BfDI kommt zu dem Schluss, dass eine Umsetzung der elektronischen Patientenakte ausschließlich nach den Vorgaben des nationalen Gesetzes europarechtswidrig sei.