Die elektronische Patientenakte

Bereits 2020 wurde mit dem Patientendaten-Schutz-Gesetz (PDSG) die elektronische Patientenakte (ePA) im Gesetz neu gefasst. Tatsächlich existiert seit mehreren Jahren eine ePA. Diese Version der ePA richten Krankenkassen aber nur auf Wunsch der Versicherten ein („Opt-in“).

Die Ausgestaltung der ePA verstößt gegen die DSGVO: Menschen, die kein eigenes geeignetes Endgerät besitzen oder keines benutzen wollen (die sogenannten „Frontend-Nichtnutzer“ ohne App), bekommen nur ein eingeschränktes Zugriffsmanagement zu ihrer ePA. Diese Versicherten werden in ihrer Patientensouveränität beschränkt. Anders als Frontend-Nutzer können sie nicht mit hoher Genauigkeit festlegen, wer welche Daten sehen darf.

Datenschutzrechtlich kritisch zu bewerten ist auch, dass die Vielzahl derjenigen Menschen, die kein eigenes Endgerät haben oder nutzen wollen, auf Dauer auch keinen Einblick in ihre eigene, von ihnen selbst zu führende ePA haben.

Durch die Benachteiligung und Ungleichbehandlung dieser großen Gruppe von Versicherten hat das PDSG eine Zweiklassengesellschaft bei der ePA geschaffen. Die Datenschutzaufsichtsbehörden des Bundes und der Länder haben diese Kritik auch in einer im September 2020 verabschiedeten Entschließung öffentlich zum Ausdruck gebracht.

Entschließung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder – 01.09.2020

Patientendaten-Schutz-Gesetz: Ohne Nachbesserungen beim Datenschutz für die Versicherten europarechtswidrig!

Der Deutsche Bundestag hat am 3. Juli 2020 das Patientendaten-Schutz-Gesetz (PDSG) entgegen der von den unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder geäußerten Kritik beschlossen. Die Kritik richtet sich insbesondere gegen das nur grobgranular ausgestaltete Zugriffsmanagement, die Authentifizierung für die elektronische Patientenakte (ePA) und die Vertreterlösung für Versicherte, die nicht über ein geeignetes Endgerät verfügen. Das PDSG soll am 18. September 2020 im Bundesrat abschließend beraten werden. Zentrale Gesetzesregelungen stehen in Widerspruch zu elementaren Vorgaben der EU-Datenschutz-Grundverordnung (DSGVO).

Entgegen des derzeitigen Entwurfs müssen die Versicherten bereits zum Zeitpunkt der Einführung der ePA am 1. Januar 2021 die volle Hoheit über ihre Daten erhalten. Dies entspricht auch den im PDSG vom Gesetzgeber selbst formulierten Vorgaben, die Patientensouveränität über die versichertengeführten ePA grundsätzlich ohne Einschränkungen zu wahren und die Nutzung der ePA für alle Versicherten datenschutzgerecht auszugestalten. Diese Ziele werden mit dem Gesetzentwurf nicht erreicht. Zum Start der ePA werden alle Nutzerinnen und Nutzer in Bezug auf die von den Leistungserbringern (Ärzten etc.) in der elektronischen Patientenakte gespeicherten Daten zu einem „alles oder nichts“ gezwungen, da im Jahr 2021 keine Steuerung auf Dokumentenebene für diese Daten vorgesehen ist. Das bedeutet, dass diejenigen, denen die Versicherten Einsicht in ihre Daten gewähren, alle dort enthaltenen Informationen einsehen können, auch wenn dies in der konkreten Behandlungssituation nicht erforderlich ist.

Erst ein Jahr nach dem Start der ePA, d. h. ab dem 1. Januar 2022, können lediglich Versicherte, die für den Zugriff auf ihre ePA geeignete Endgeräte (Smartphone, Tablet etc.) nutzen, eigenständig eine dokumentengenaue Kontrolle und Rechtevergabe in Bezug auf diese Dokumente durchführen. Alle anderen Versicherten, die keine geeigneten Endgeräte besitzen oder diese aus Sicherheitsgründen zum Schutz ihrer sensiblen Gesundheitsdaten nicht nutzen möchten (d. h. sogenannte Nicht-Frontend-Nutzer), erhalten auch über den Stichtag 1. Januar 2022 hinaus nicht diese Rechte. Ab dem 1. Januar 2022 ermöglicht das PDSG insoweit den Nicht-Frontend-Nutzern lediglich eine Vertreterlösung. Danach können diese mittels eines Vertreters und dessen mobilem Endgerät ihre Rechte ausüben. Im Vertretungsfall müssten die Versicherten jedoch ihrem Vertreter den vollständigen Zugriff auf ihre Gesundheitsdaten einräumen.

Ein weiterer Kritikpunkt ist das Authentifizierungsverfahren für die ePA und die „Gewährleistung des erforderlichen hohen datenschutzrechtlichen Schutzniveaus“. Da es sich bei den fraglichen Daten um Gesundheitsdaten und damit um höchst sensible persönliche Informationen handelt, muss nach den Vorgaben der DSGVO die Authentifizierung ein höchstmögliches Sicherheitsniveau nach dem Stand der Technik gewährleisten. Dies gilt insbesondere für Authentifizierungsverfahren ohne Einsatz der elektronischen Gesundheitskarte. Wenn dabei alternative Authentifizierungsverfahren genutzt werden, die diesen hohen Standard nicht erfüllen, liegt ein Verstoß gegen die DSGVO vor.

Der Bundesrat hat in seiner Stellungnahme zum PDSG vom 15. Mai 2020 (BR-Drs. 164/1/20, s. Ziffer 21. zu Artikel 1 Nummer 31 [§§ 334 ff. SGB V-E9]) die Bundesregierung auf erhebliche Bedenken im Hinblick auf die DSGVO-Konformität des PDSG hingewiesen. Seine Kritik bezieht sich im Wesentlichen auf das zum Start der ePA fehlende feingranulare Zugriffsmanagement und die daraus resultierende Einschränkung der Datensouveränität der Versicherten. Er hat die Bundesregierung aufgefordert, im weiteren Gesetzgebungsverfahren insbesondere den Regelungsvorschlag zum Angebot und zur Einrichtung der ePA (§ 342 SGB V) umfassend bezüglich datenschutzrechtlicher Bedenken zu prüfen.

Auch im Lichte dessen fordern die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder den Bundesrat auf, anlässlich seiner für den 18. September 2020 anberaumten Beratung den Vermittlungsausschuss anzurufen, um notwendige datenschutzrechtliche Verbesserungen des PDSG noch im Gesetzgebungsverfahren zu erwirken.

Eine Umsetzung der ePA ausschließlich nach den Vorgaben des nationalen Gesetzes ist europarechtswidrig. Daher hat der BfDI im November 2020 den seiner Aufsicht unterfallenden gesetzlichen Krankenkassen zunächst eine förmliche Warnung übersandt, falls diese ihren Versicherten eine rechtswidrige ePA anbieten würden.
Nachdem die gesetzlichen Krankenkassen trotz dieser Warnung ihren Versicherten seit dem 1. Januar 2021 eine nicht der DSGVO entsprechende ePA anbieten, hat der BfDI zunächst fünf seiner Aufsicht unterliegende Krankenkassen im September 2021 angewiesen, ihren Versicherten eine DSGVO-konforme ePA anzubieten. Gegen diesen Bescheid haben die adressierten Krankenkassen Klage beim Sozialgericht Köln erhoben.

Die Krankenkassen stehen aufgrund der ihnen vom Gesetzgeber zugewiesenen Alleinverantwortlichkeit für die ePA in einem Dilemma. Verweigern sie die Umsetzung der ePA gemäß den Vorgaben des PDSG, drohen ihnen hohe, gesetzlich festgelegte Strafzahlungen. Setzen sie demgegenüber das europarechtswidrige Gesetz um, d. h. bieten sie ihren Versicherten eine europarechtswidrige ePA an, kommen sie in den Fokus der Aufsichtsbehörden. Abhilfe schaffen können hätte hier letztlich nur der Gesetzgeber. Stattdessen hat das Gesetz zur Beschleunigung der Digitalisierung des Gesundheitswesens (DigiG) zur Einführung einer grundsätzlich anderen ePA geführt.

Die widerspruchsbasierte ePA ab 2025 (Opt-out)

Die widerspruchsbasierte elektronische Patientenakte (ePA) hat sehr geringe Nutzerzahlen. Versicherte erhalten auf Wunsch eine ePA, aber offenbar sind nur wenige von ihr überzeugt. Das möchte die Bundesregierung ändern. Dazu wurde im Gesetz zur Beschleunigung der Digitalisierung des Gesundheitswesens (DigiG) festgelegt, dass ab dem Jahr 2025 für alle gesetzlich Versicherten automatisch von den Krankenkassen eine ePA bereitgestellt und diese auch automatisch befüllt wird.

Besser wäre es, Menschen von den Vorteilen der Digitalisierung des Gesundheitswesens zu überzeugen, indem man die ePA mit nützlichen Funktionen ausstattet. In diese Richtung hat der BfDI die Bundesregierung auch beraten.

Die ePA in der Telematikinfrastruktur (TI), wie sie heute existiert, ist im Wesentlichen eine Sammlung unstrukturierter Dokumente. Der Nutzen für Versicherte und ärztliche Praxen ist begrenzt. Das wird ein Grund sein, warum nur eine geringe Anzahl von Versicherten eine ePA beantragt hat. Deshalb ist es begrüßenswert, dass ab 2025 schrittweise Funktionen eingeführt werden sollen, welche Versicherte und ärztliches Personal durch strukturierte Prozesse unterstützen. Die erste unterstützende Funktion dient dem Medikationsprozess.

Gleichzeitig werden aber die Selbstbestimmungsrechte der Versicherten eingeschränkt. Auch hochsensible Daten können nun ohne die Einwilligung der Patienten in die ePA geladen werden. Natürlich sollte jeder Mensch für sich selbst entscheiden können, welche besonders sensiblen Daten in der ePA sichtbar werden, und viele werden einen Nutzen darin sehen. Es gibt aber auch Personen, die zwar eine ePA nutzen würden, aber keine automatisch abgespeicherten Informationen über bestimmte, potentiell stigmatisierende Diagnosen in der ePA abgespeichert haben wollen. Denn auch für Personen, für die diese Informationen nicht relevant sind, können grundsätzlich diese Gesundheitsdaten in der ePA sehen.

Leistungserbringer dürfen im Behandlungskontext automatisch auf die ePA zugreifen. Dieser Behandlungskontext wird durch das Stecken der elektronischen Gesundheitskarte (eGK) in den Kartenleser der Apotheke oder der ärztlichen Praxis nachgewiesen.

Die Opt-out ePA ab 2025 wird kein so feines Rechtemanagement wie die Opt-in ePA bis 2025 haben. Zwar können Versicherte einzelne ärztliche Praxen oder Apotheken (Leistungserbringer) vom Zugriff auf die ePA ausschließen, die Möglichkeit, gezielt ein Dokument für eine bestimmte Praxis zu verbergen, wird es jedoch nicht geben. Der vorhandene Ausschluss von Leistungserbringern erfordert auch immer eine hohe Digitalaffinität und aktiven Einsatz der Versicherten. Es ist nicht nachvollziehbar, warum ein existierendes feingranulares Rechtemanagement „zurückgebaut“ wird. Das manchmal vorgebrachte Argument, viele Einstellmöglichkeiten würden die Versicherten überfordern, ist leicht zu entkräften. Diese Einstellungen können natürlich in einer guten Benutzerführung als „Experteneinstellungen“ nur bei Bedarf sichtbar gemacht werden.

Besonders kritisch sind die „Anwendungsfälle der ePA“ zu betrachten. Die Anwendungsfälle sollen die neuen Funktionen der ePA sein, die mehr Nutzen bringen sollen als eine ausschließliche Dokumentensammlung. Diese Digitalisierung ist zu begrüßen. Aber ausgerechnet bei diesen Anwendungsfällen wird es keine Möglichkeit geben, Zugriffsrechte auf einzelne Dokumente zu ändern oder einzelne Dokumente zu löschen. So kann es Fälle geben, in denen Versicherte auf Vorteile verzichten müssen, weil sie einzelne Diagnosen verbergen möchten. Sie können einzelne Informationsobjekte für bestimmte Leistungserbringer nicht verbergen, sondern müssen in dieser Situation auf die gesamte ePA-Funktionalität verzichten. Dieses Problem zeigt sich in der ersten Ausbaustufe der ePA beim Medikationsprozess als ersten Anwendungsfall mit medizinisch-fachlichem Nutzen.

So werden im Medikationsprozess alle Rezepte des E-Rezept-Fachdienstes in die ePA kopiert. Löscht ein Versicherter ein Rezept im E-Rezept-Fachdienst, verbleibt es dennoch in der ePA, selbst wenn er es nie eingelöst hat. In der ePA kann es dann nicht einzeln gelöscht werden. Damit ein potentiell stigmatisierendes Rezept nicht für eine/n bestimmte/n Ärztin/Arzt sichtbar wird, verbleibt nur der Verzicht auf die Nutzung des Medikationsprozesses als Ganzes in Bezug auf diese/n Ärztin/Arzt.

Ähnliche sieht die Situation bei der Forschungsdatenfreigabe aus. Grundsätzlich werden zukünftig die ePA-Daten an das Forschungsdatenzentrum übertragen. Von dort aus können sie pesudonymisiert für die Forschung abgerufen werden. Versicherte können der Nutzung ihrer Daten zu Forschungszwecken widersprechen. Allerdings nur für alle Daten und auch nicht für bestimmte Forschungszwecke.

Widerspruchsmöglichkeiten

Gegen die Opt-out ePA können Betroffene jederzeit - auch vor der Einrichtung – widersprechen und ihnen dürfen dadurch keine Nachteile in der Versorgung entstehen. Die Krankenkassen sind nach dem Gesetz ab dem 15. Januar 2025 verpflichtet, ihren Versicherten eine ePA zur Verfügung zu stellen. Darüber muss die Krankenkasse ihre Versicherten informieren. Sie haben ab dann sechs Wochen Zeit gegenüber ihrer Krankenkasse zu widersprechen. Aber auch wenn sie diese Frist nicht nutzen, können sie danach jederzeit gegen ihre ePA widersprechen und die ePA wird gelöscht. Dieser Widerspruch kann auch in der App durch einen Vertreter erfolgen.

Versicherte können sich auch für eine ePA entscheiden und nur einzelnen Funktionen widersprechen. Zu Beginn sind das (i) die automatische Übertragung der Abrechnungsdaten der Krankenkasse in ihre ePA, (ii) die Teilnahme am Medikationsprozess, bei dem ihre E-Rezepte automatisch in die ePA geladen werden und (iii) die oben beschriebene Freigabe Ihrer ePA-Daten für die Forschung. Diese Widersprüche können in der ePA-App (i,ii,iii), gegenüber den Ombudsstellen der Krankenkassen (ii, iii) oder direkt gegenüber den Krankenkassen (iii) eingelegt werden.