Die elektronische Patientenakte (ePA) ist die digitale Akte, die gesetzliche Krankenkassen für jeden Versicherten anlegen, der nicht widerspricht. Seit 2025 gilt das Opt-out-Prinzip: Die Akte entsteht automatisch, Versicherte können jederzeit widersprechen, und zwar gegen die ganze Akte, gegen einzelne Inhalte oder nur gegen die Weitergabe ihrer Daten an die Forschung. Der Widerspruch läuft über die ePA-App oder die Ombudsstelle der Krankenkasse. Praxen müssen die ePA seit dem 1. Oktober 2025 befüllen und Patienten über ihr Widerspruchsrecht informieren.
Ein Beispiel aus dem Alltag
Frau M. (ein erfundenes Beispiel) ist gesetzlich versichert und hat keine ePA-App. In der Praxis Dr. Muster fragt sie, ob ihre Diagnose einer Depression in der Akte landet. Die Praxis erklärt ihr: Bei psychischen Erkrankungen muss sie vor dem Hochladen gesondert auf ihr Widerspruchsrecht hingewiesen werden. Frau M. widerspricht mündlich, die Praxis vermerkt das und lädt den Befund nicht hoch.
Später entscheidet Frau M., dass sie die ePA zwar behalten, ihre Daten aber nicht für die Forschung freigeben möchte. Dafür wendet sie sich an die Ombudsstelle ihrer Krankenkasse. Ihre Akte bleibt nutzbar.
Die ePA im Einzelnen
Zeitplan
- 15. Januar 2025: Start der „ePA für alle“ in Modellregionen (Hamburg und Umland, Franken, Teile von Nordrhein-Westfalen).
- 29. April 2025: bundesweiter Start mit einer Hochlaufphase.
- 1. Oktober 2025: Praxen, Krankenhäuser und andere Leistungserbringer sind verpflichtet, die ePA zu nutzen.
Drei Ebenen des Widerspruchs
- Gegen die ganze Akte: Wer keine ePA möchte, widerspricht bei der Krankenkasse, über die App oder über die Ombudsstelle. Das geht auch, wenn die Akte schon angelegt ist. Ein Widerspruch lässt sich zurücknehmen, dann wird eine neue Akte angelegt.
- Gegen einzelne Inhalte oder Zugriffe: Versicherte können einzelnen Dokumenten widersprechen, auch mündlich in der Praxis, und Zugriffe einzelner Einrichtungen beschränken.
- Gegen die Forschungsnutzung: Unabhängig davon können Versicherte der Weitergabe ihrer ePA-Daten an das Forschungsdatenzentrum Gesundheit widersprechen. Die Akte bleibt dann unverändert nutzbar.
Für Kinder entscheiden bis zum 15. Lebensjahr die Eltern oder Sorgeberechtigten, danach die Jugendlichen selbst. Daten privat Versicherter werden dem Forschungsdatenzentrum vorerst nicht bereitgestellt.
Was Praxen beachten müssen
- Befüllen: Praxen müssen die gesetzlich festgelegten Daten aus der Behandlung einstellen, etwa Befundberichte und Arztbriefe.
- Informieren: Patienten müssen erfahren, welche Daten eingestellt werden und dass sie widersprechen können.
- Besonders sensible Daten: Vor dem Einstellen potenziell stigmatisierender Informationen, etwa zu sexuell übertragbaren Infektionen, psychischen Erkrankungen oder Schwangerschaftsabbrüchen, müssen Ärzte gesondert auf das Widerspruchsrecht hinweisen.
- Eigene Dokumentation: Die ePA ersetzt nicht die Patientenakte der Praxis. Die Pflicht zur eigenen Dokumentation und ihre Aufbewahrungsfrist bleiben bestehen.
Forschungsnutzung und EHDS
Die Daten gehen nach § 363 SGB V pseudonymisiert an das Forschungsdatenzentrum (FDZ) Gesundheit beim Bundesinstitut für Arzneimittel und Medizinprodukte. Das FDZ prüft Anträge und stellt Daten nur in gesicherten Verarbeitungsumgebungen bereit. Ausgeleitet werden dürfen nur Daten, die zuverlässig pseudonymisiert werden können, zuerst die Daten der elektronischen Medikationsliste. Einen festen Starttermin nennen Ministerium und gematik bisher nicht, die Ausleitung ist für eine spätere Ausbaustufe vorgesehen.
Auf EU-Ebene schafft der Europäische Gesundheitsdatenraum (EHDS, Verordnung (EU) 2025/327) einen Rahmen für die Weiternutzung von Gesundheitsdaten in allen Mitgliedstaaten. Er ist seit März 2025 in Kraft, gilt aber schrittweise ab 2027 und sieht ebenfalls ein Widerspruchsrecht gegen die Sekundärnutzung vor.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Was der Widerspruch nicht abdeckt
Die ePA-Regeln sind eng gefasst: Sie regeln den Weg über die Akte, das FDZ und gesicherte Umgebungen. Pseudonymisierte Daten bleiben dabei personenbezogene Daten im Sinne der DSGVO. Wer den Schlüssel hat, kann sie zuordnen, und das Recht behandelt sie entsprechend streng.
Anders sieht es außerhalb dieses Rahmens aus. Gesundheitsdaten entstehen nicht nur in der ePA, sondern auch in Praxissoftware, Apps, Diktierdiensten und KI-Werkzeugen. Werden sie dort wirksam anonymisiert, endet der Schutz der DSGVO nach Erwägungsgrund 26. Ein anonymer Datensatz aus Diagnose, Medikation und Verlauf darf rechtmäßig gebündelt, lizenziert und verkauft werden, etwa an Datenhändler, Versicherer oder KI-Entwickler. Der Name ist für Käufer oft das am wenigsten Wertvolle: Der Wert liegt im Verlauf. Ein ePA-Widerspruch erreicht diese Wege nicht.
Hinzu kommt: Echte Anonymität ist schwer. Forschende haben gezeigt, dass sich 99,98 % der US-Amerikaner aus 15 Merkmalen wieder identifizieren lassen. Wie ein einzelner Befund zur Datenspur wird, zeigt Die Datenspur, die Quellen stehen auf Legal verkäuflich.
Was das für Praxen beim Einsatz von KI bedeutet
- Rolle prüfen: Ist der Anbieter Auftragsverarbeiter nach Art. 28 DSGVO und handelt nur auf Ihre Weisung?
- Lizenz prüfen: Erlauben die Bedingungen die Weiterverwendung Ihrer Inhalte, auch „anonymisiert“?
- Training und Speicherung: Wird mit Patientendaten trainiert, und speichern die angebundenen Modellanbieter etwas?
- Schweigepflicht: Für die Offenbarung an Dienstleister gilt § 203 StGB. Was die Weitergabe rechtfertigt, ist die Einwilligung des Patienten oder eine andere gesetzliche Erlaubnis, und das liegt bei Ihnen.
Wysor ist Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet Ihre Inhalte nur, um den Dienst für Sie zu erbringen. Wir nehmen uns keine Lizenz zur Weiterverwendung, trainieren nicht mit Ihren Inhalten und verkaufen sie nicht, weder personenbezogen noch anonymisiert. Das steht im Vertrag und bindet auch jeden, dem Wysor künftig gehören könnte. Die Daten sind verschlüsselt und werden in der EU gehostet, bei jedem angebundenen Modellanbieter gilt Zero Data Retention. Die eigenen Mitarbeitenden von Wysor sind in Textform zur Verschwiegenheit verpflichtet und nach § 203 Abs. 4 StGB belehrt. Unterauftragsverarbeiter sind über Auftragsverarbeitungsverträge und Zero Data Retention gebunden.
Häufige Fragen
Wie widerspreche ich der elektronischen Patientenakte? Über die ePA-App Ihrer Krankenkasse oder direkt bei der Krankenkasse beziehungsweise ihrer Ombudsstelle. Der Widerspruch ist jederzeit möglich, auch nachdem die Akte angelegt wurde, und lässt sich wieder zurücknehmen.
Kann ich nur der Forschungsnutzung widersprechen? Ja. Sie können die ePA behalten und trotzdem der Weitergabe Ihrer Daten an das Forschungsdatenzentrum Gesundheit widersprechen, über die App oder die Ombudsstelle.
Werden ePA-Daten anonymisiert an die Forschung gegeben? Nein, pseudonymisiert. Das Forschungsdatenzentrum stellt sie nur in gesicherten Umgebungen für genehmigte Vorhaben bereit. Pseudonymisierte Daten bleiben personenbezogene Daten.
Muss die Praxis die ePA befüllen, wenn ich nicht widerspreche? Ja, seit dem 1. Oktober 2025 sind Praxen dazu verpflichtet. Sie können einzelnen Inhalten aber direkt in der Praxis widersprechen. Bei sensiblen Diagnosen muss die Praxis Sie vorher gesondert darauf hinweisen.
Gilt die ePA auch für Privatversicherte? Private Krankenversicherungen können eine ePA anbieten. Daten privat Versicherter werden dem Forschungsdatenzentrum nach Angaben des Bundesgesundheitsministeriums vorerst nicht bereitgestellt.
Weiterlesen
- Aufbewahrungsfrist der Patientenakte. Was die Praxis zehn Jahre und länger aufbewahren muss.
- Pseudonymisierung und Anonymisierung. Warum der Unterschied rechtlich so viel ausmacht.
- Art. 9 DSGVO: Gesundheitsdaten einfach erklärt. Was für Patientendaten besonders gilt.
- Die Datenspur. Wie aus einem Befund ein handelbarer Datensatz wird.
Fragen zu ePA, Schweigepflicht oder Datenschutz in Wysor? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
