Elektronische patientenakte zugriffsrechte

Elektronische Patientenakte: Zugriffsrechte

Arbeitsweg

• Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
• Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
• Tragende Normen verifizieren: SGB V §§ 27, 39, 92, 109, 137, 295, 301, RisikoStruktAusglV, SGB IV, SGB X, SGG — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
• Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
• Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.

Skill-Zweck

Die elektronische Patientenakte (ePA) wird ab 2025 für alle GKV-Versicherten angelegt. Kläre Zugriffsrechte, Datenschutzkontrolle, opt-out und Pflichten der beteiligten Akteure.

Rechtlicher Rahmen

• § 341 SGB V – Elektronische Patientenakte: Inhalt, Zugriffsrechte, Datenschutz
• § 342 SGB V – Nutzung der ePA durch Versicherte und Leistungserbringer
• § 344 SGB V – Datenschutzrechte in der ePA
• § 360 SGB V – eRezept (Schnittstelle ePA)
• DSGVO Art. 9 – Gesundheitsdaten als besondere Datenkategorie
• TSGB (Patientendaten-Schutz-Gesetz 2020) – Grundlage ePA
• BfDI (Bundesdatenschutzbeauftragter): Stellungnahmen zur ePA
• Gematik GmbH: technischer Betreiber der Telematik-Infrastruktur

ePA-Zugriffsrechte im Überblick

Akteur	Zugriffsrecht	Beschränkung
Versicherter	Voller Zugriff auf eigene Daten	–
Arzt / Zahnarzt	Lesend und schreibend bei Einwilligung	Nur für Behandlung
Apotheke	Lesend (Medikationsplan) bei Einwilligung	Zeitlich begrenzt
Krankenhaus	Wie Arzt bei stationärer Behandlung	Behandlungszeitraum
Krankenkasse	Nur Verwaltungsdaten; KEINE Behandlungsdaten	Strenge Trennung
Arbeitgeber	KEIN Zugriff	Absolut verboten

Prüfprogramm

Schritt 1 – opt-out-Erklärung

• Ab 2025: ePA automatisch angelegt
• Widerspruch (opt-out): schriftlich bei der Kasse; begründungslos möglich
• Widerspruch führt zur Nicht-Anlage der ePA; rückwirkende Löschung möglich

Schritt 2 – Zugriffsrechte verwalten

• Welcher Arzt darf welche Daten sehen?
• App der Kasse oder Kiosk-System: Zugriffsrechte granular einstellen
• Zeitliche Begrenzung: Zugriff nur für Behandlungszeitraum; danach abschalten
• Daten löschen: einzelne Dokumente löschbar; nicht alle (Pflichtdaten wie Medikationsplan)

Schritt 3 – Sicherheit und Missbrauch

• Datenmissbrauch durch Arzt: strafbar (§ 203 StGB, DSGVO); Beschwerde bei Datenschutzbehörde
• Datenpanne: Gematik und Kasse müssen informieren (DSGVO Art. 34)
• Technische Sicherheit: Ende-zu-Ende-Verschlüsselung; keine Speicherung im Klartext

Schritt 4 – ePA-Inhalte

• Befunde: ärztliche Dokumente, Laborbefunde, Arztbriefe
• Medikationsplan: alle verordneten Medikamente (Aktualisierung durch Apotheke)
• Mutterpass, Impfpass, Zahnbonusheft: integrierbar
• DiGA-Daten: nur mit separater Einwilligung

Schritt 5 – Forschungszugang

• Pseudonymisierte Daten für medizinische Forschung: opt-out möglich
• Datentransparenzgesetz: GKV-Daten für Forschungszwecke (pseudonymisiert)
• Opt-out-Erklärung: bei Kasse oder national (Datentransparenz)

Typische Fallen

• opt-out und ePA: Wer widerspricht, verliert auch Vorteile (zentrale Medikationsliste); individuelle Abwägung.
• Arzt sieht alle Daten: Nur wenn Versicherter freigibt; Einschränkung möglich auf bestimmte Bereiche.
• Kasse sieht Behandlungsdaten: VERBOTEN; nur administrative Daten (Beiträge, Mitgliedschaft); Verstoß meldepflichtig.
• Vererbung der ePA: Nach Tod kein automatischer Zugang für Erben; Sonderlösung nötig.

Output-Formate

• ePA-opt-out-Schreiben
• Zugriffsberechtigungs-Übersicht
• Datenmissbrauch-Beschwerde (BfDI)
• Forschung-opt-out
• ePA-Erklärungsblatt (Laienerklärung)

Quellen

• § 341 SGB V – ePA
• § 344 SGB V – Datenschutzrechte
• Gematik ePA
• BfDI ePA-Stellungnahmen
• DSGVO Art. 9
• dejure.org § 341 SGB V