Die elektronische Patientenakte: Heilsbringer oder Datenschutz-Albtraum?

Es gibt Projekte, da weiß man schon beim Aufschlagen der Akte: Das wird kein Sonntagsspaziergang. Die elektronische Patientenakte ist so eines – und die Kritik an ihr ist so alt wie das Projekt selbst. Auf dem Papier ein medizinisches Wunderwerk, in der Praxis ein Lehrstück darüber, was passiert, wenn deutscher Digitalisierungsehrgeiz, knappe Fristen und ein gesundes Misstrauen der Bevölkerung aufeinandertreffen. Dieser Artikel nimmt das Mammutprojekt von allen Seiten in die Zange: Wir beginnen beim hehren Konzept des Gesetzgebers, folgen der ePA auf ihrer jahrelangen Odyssee vom freiwilligen Ladenhüter zur Opt-out-Pflicht, schauen dann ungeschönt auf Sicherheitslücken, Pannen und Praxisfrust – und wagen am Ende einen Blick auf die richtig dicken Bretter: Forschungsdatennutzung, den europäischen Datenraum EHDS, die digitale Spaltung und die feinen Unterschiede zwischen Kassen- und Privatpatient. Wer wissen will, ob die ePA Heilsbringer oder Datenschutz-Albtraum ist (Spoiler: ein bisschen von beidem), sollte weiterlesen.

1. Die ePA nach dem Willen des Gesetzgebers (Das Konzept)

Willkommen in der wunderbaren Welt der digitalisierten Bürokratie. Die elektronische Patientenakte (kurz: ePA) ist der ambitionierte Versuch des deutschen Gesetzgebers, das nationale Gesundheitswesen aus dem Zeitalter des Thermopapiers und der unleserlichen Arzt-Handschriften direkt in die Moderne zu katapultieren. Das Konzept klingt auf dem Papier so makellos, dass fast vergessen werden könnte, dass es sich hierbei um ein deutsches IT-Großprojekt handelt.

1.1. Definition und gesetzlicher Auftrag: Die „Königsdisziplin“ der Telematikinfrastruktur (TI)

Man gönnt sich ja sonst nichts: Die ePA wird offiziell als die absolute [Königsdisziplin der Telematikinfrastruktur](uploaded:Die elektronische Patientenakte: Vision, Zeitplan und kritische Realität) gefeiert. Die TI ist im Grunde das exklusive, hochgesicherte digitale Daten-Highway-Netzwerk des Gesundheitssystems, in das sich Arztpraxen, Krankenhäuser und Apotheken einwählen müssen, um überhaupt miteinander kommunizieren zu können.

Der gesetzliche Auftrag hinter dem Projekt ist schnell erklärt: Es soll als der ultimative, lebenslange digitale Ordner fungieren, in dem [alle medizinischen Daten zentral gebündelt](uploaded:Grok ePA) werden. Statt dass wichtige Informationen auf verschiedenen lokalen Servern oder in staubigen Kellern vor sich hinvegetieren, wandern Befunde, Diagnosen, Entlassberichte und eArztbriefe direkt in diese Cloud. Die Idee dahinter: Jede behandelnde Person soll sofort im Bilde sein, was dem Patienten fehlt – ganz ohne Faxgerät. Eine detaillierte Übersicht hierzu bietet auch die Bundesärztekammer zur ePA, während rechtliche und praktische Grundlagen in den Verbraucherzentrale Infos nachgelesen werden können.

1.2. Das Opt-out-Prinzip: Zwangsbeglückung per Gesetz

Da die freiwillige Variante der ePA (das alte „Opt-in“-Modell ab 2021) auf so gigantisches Desinteresse in der Bevölkerung stieß, dass kaum jemand die Akte überhaupt beantragte, wurden vom Gesetzgeber die Samthandschuhe ausgezogen. Das neue Zauberwort heißt nun [Opt-out](uploaded:Die elektronische Patientenakte: Vision, Zeitplan und kritische Realität).

Durch das sogenannte Digital-Gesetz (DigiG) wurde das Prinzip einfach umgedreht. Das bedeutet: Wer gesetzlich versichert ist, bekommt die ePA seit dem offiziellen Start vollautomatisch und ungefragt eingerichtet – ob man will oder nicht. Wer diese digitale Zwangsbeglückung umgehen möchte, muss selbst aktiv werden und ausdrücklich bei seiner Krankenkasse widersprechen. Ein cleverer Schachzug des Ministeriums: Da Trägheit eine der verlässlichsten menschlichen Eigenschaften ist, wurden so im Handumdrehen Millionen von Akten erstellt. Hintergründe zum politischen und zeitlichen Ablauf finden sich im Bericht von Netzpolitik.org zum ePA-Rollout.

1.3. Versorgungsziele: Effizienz, Sicherheit und das Ende des Röntgenbild-Marathons

Die ePA verfolgt hehre, fast schon utopische Ziele im Versorgungsalltag. Erstens: Die [Vermeidung von nervigen Doppeluntersuchungen](uploaded:Die elektronische Patientenakte: Vision, Zeitplan und kritische Realität). Es soll endlich Schluss damit sein, dass Patientinnen und Patienten dreimal hintereinander geröntgt werden, nur weil Arzt A die Aufnahmen nicht an Arzt B weitergeben kann.

Zweitens – und das ist die echte Lebensretter-Funktion – steht die Vorbeugung von gefährlichen Medikamenten-Wechselwirkungen im Fokus. Über den sogenannten digital gestützten Medikationsprozess (dgMP) soll die ePA fein säuberlich auflisten, was eingenommen wird. In der ersten Ausbaustufe geschieht das über die elektronische Medikationsliste (eML), die automatisch aus den E-Rezept-Daten befüllt wird – eine echte Wechselwirkungsprüfung durch den elektronischen Medikationsplan (eMP) inklusive AMTS-Daten ist allerdings erst für die spätere Stufe (ab März 2026) vorgesehen. Verschreibt der Urologe dann ein Mittel, das sich mit den Pillen des Kardiologen beißt, soll das System (theoretisch) Alarm schlagen. Zu guter Letzt soll im Notfall ein blitzschneller Informationsfluss garantiert werden: Rettungskräfte sehen sofort Allergien oder Vorerkrankungen – vorausgesetzt natürlich, das System hat gerade keinen Serverabsturz. Weiterführende Erklärungen zu den Funktionen bieten die Verbraucherzentrale Erläuterungen sowie diverse Fachbeiträge im Deutschen Ärzteblatt.

1.4. Datenhoheit: Der Patient als theoretischer Herrscher des digitalen Dschungels

Kommen wir zum philosophischen Kern des Konzepts: der Datenhoheit. Der Gesetzgeber wird nicht müde zu betonen, dass der Patient der absolute [Herr seiner Daten](uploaded:Die elektronische Patientenakte: Vision, Zeitplan und kritische Realität) ist. Das klingt herrlich emanzipiert. In der Theorie bedeutet das: Versicherte entscheiden allein, welcher Arzt welche Dokumente sehen darf und wie lange dieses Zugriffsrecht gilt. Es können sensible Befunde (wie der Psychotherapiebericht oder das peinliche Testergebnis) feingranular vor bestimmten Praxen geschwärzt oder verborgen werden.

Warum das Ganze eher theoretisch ist? Um diese Herrschaft auch tatsächlich auszuüben, wird zwingend die offizielle ePA-App der Krankenkasse benötigt. Wer kein Smartphone besitzt, sich weigert, kryptische PIN-Briefe zu entschlüsseln, oder die App schlicht nicht nutzt, für den gilt beim Arztbesuch das Standardverfahren: Karte stecken bedeutet automatisch 90 Tage Zugriff für die Praxis – und zwar auf alle Inhalte, sofern der Patient nicht zuvor einzelne Dokumente verborgen oder gesperrt hat. Die Datenhoheit ist also ein wunderbares Privileg – sofern die Bereitschaft besteht, sich durch die digitalen Menüs zu kämpfen. Eine detaillierte Aufarbeitung dieser Problematik wurde in der [Gemini-Analyse zur ePA](uploaded:Gemini ePA) zusammengefasst.

2. Zeitliche Abfolge (Zeitstrahl ePA)

Ein Blick auf die Chronologie der elektronischen Patientenakte gleicht einer filmreifen Odyssee: Voller epischer Ankündigungen, plötzlicher Plot-Twists und der klassischen deutschen Erkenntnis, dass Gut Ding vor allem verdammt viel Weile braucht. Die Umsetzung basiert auf einer mehrjährigen Phase aus Gesetzgebung, Erprobung und schrittweisem Rollout – die folgende Übersicht bündelt die wichtigsten Meilensteine, bevor wir sie anschließend einzeln sezieren.

Zeitraum / Datum	Gesetzliche Grundlage / Meilenstein	Inhaltliche Bedeutung
2015	E-Health-Gesetz	Schaffung des gesetzlichen Fundaments und Fristen für den Aufbau der Telematikinfrastruktur.
2020	Patientendaten-Schutz-Gesetz (PDSG)	Präzisierung der Zugriffsrechte, der Rechte der Versicherten und der Sicherheitsarchitektur der ePA.
Januar 2021	Einführung der ePA 1.0 (Opt-in)	Start als freiwillige Anwendung. Die Akzeptanz blieb mit einer Nutzungsquote von rund 1 % der Versicherten gering.
Dezember 2023	Beschluss von DigiG und GDNG	Gesetzliche Verabschiedung des Wechsels zum Opt-out-Prinzip sowie Regelung der Forschungsdatennutzung.
15. Januar 2025	Offizieller Start des Opt-out-Rollouts	Beginn der regional gestaffelten Pilotphase (u. a. in Hamburg und Franken) mit fließendem Übergang in den bundesweiten Rollout (29. April 2025).
1. Oktober 2025	Nutzungspflicht der Leistungserbringer	Ärzte, Zahnärzte, Psychotherapeuten und Apotheken sind gesetzlich verpflichtet, die ePA zu unterstützen und zu befüllen (§ 347 SGB V); Sanktionen drohen ab dem 4. Quartal 2025 bzw. 2026.
Ende 2026	Einführung von PoPP	Geplante technische Implementierung des „Proof of Patient Presence“ zur Absicherung der TI-Zugriffsrechte (mehrfach verschoben).
Herbst 2026	Start der Forschungsdatennutzung	Automatisierte, pseudonymisierte Datenübermittlung an das Forschungsdatenzentrum (FDZ) im Opt-out-Verfahren.
2027	Erweiterte Ausbaustufen	Vorgesehene Integration des digitalen Impfpasses und des Kinder-Untersuchungshefts sowie Implementierung einer Volltextsuche.

2.1. Die Anfänge (2015–2020): Bürokratischer Tiefschlaf und Paragrafen-Fundamente

Die Geburtsstunde der digitalen Patientenakte liegt gefühlt im letzten Jahrhundert, genauer gesagt im Jahr 2015. Damals beschloss die Politik das heroisch klingende [E-Health-Gesetz als gesetzlichen Grundstein](uploaded:Zeitstrahl ePA), um das Faxgerät endlich in den verdienten Ruhestand zu schicken. Da danach erst einmal fünf Jahre lang relativ wenig passierte, musste im Jahr 2020 das Patientendaten-Schutz-Gesetz (PDSG) her, um die [Detailregeln der ePA](uploaded:Die elektronische Patientenakte: Vision, Zeitplan und kritische Realität) festzulegen. Es war die Ära, in der eifrig spezifiziert und reguliert wurde, während in den Arztpraxen der Republik weiterhin munter das Papier raschelte.

2.2. Die Opt-in-Phase (Januar 2021): Die Party, zu der niemand kam

Im Januar 2021 war es dann endlich so weit: Die ePA erblickte als freiwillige Lösung das Licht der Welt. Das Prinzip nannte sich „Opt-in“ – wer eine Akte wollte, musste diese aktiv bei der Krankenkasse beantragen. Das Ergebnis dieser digitalen Revolution war ein Paradebeispiel für kollektives Desinteresse. Mit einer gigantischen [Beteiligung von gerade einmal rund 1 % der Versicherten](uploaded:Die elektronische Patientenakte: Vision, Zeitplan und kritische Realität), die seinerzeit überhaupt eine Akte beantragten, dümpelte das System jahrelang vor sich hin. Die ePA war in dieser Phase so etwas wie ein leerer Luxus-Aktenschrank, dessen Schlüssel im Keller vergraben lag und den schlicht niemand nutzen wollte.

2.3. Die gesetzliche Wende (Dezember 2023): Wenn Freiwilligkeit nicht hilft, hilft das Gesetz

Da das Vertrauen auf die Eigeninitiative der Bevölkerung krachend gescheitert war, zog der Bundestag im Dezember 2023 die Reißleine. Es folgte der [Beschluss zum Umbau auf das Opt-out-Modell](uploaded:Zeitstrahl ePA) durch das Digital-Gesetz (DigiG) und das Gesundheitsdatennutzungsgesetz (GDNG). Die Logik dahinter: Wer nicht bei drei auf den Bäumen ist (oder aktiv widerspricht), bekommt die Akte einfach automatisch aufs Auge gedrückt. Damit war die Ära der Freiwilligkeit offiziell beendet und die bürokratische Widerspruchslösung auf den Weg gebracht.

2.4. Pilotphase und Rollout (2025): Das Jahr des großen, gestaffelten Erwachens

Das Jahr 2025 stand ganz im Zeichen des großen Rollouts – natürlich wohldosiert und scheibchenweise, um das ohnehin sensible System nicht zu überfordern. Am 15. Januar startete die [Pilotierung der ePA in ausgewählten Modellregionen](uploaded:Grok ePA) – darunter Hamburg, Franken sowie Teile von Nordrhein-Westfalen. Nachdem dort die ersten gröberen Software-Explosionen ausblieben, folgte am 29. April die bundesweite Bereitstellung der ePA für alle gesetzlich Versicherten. Damit auch wirklich alle mitspielen, wurde ab dem 1. Oktober die [Nutzung für Arztpraxen und Krankenhäuser verpflichtend](uploaded:Claude ePA) – untermalt von sanftem politischem Druck und der Androhung von Honorarkürzungen, falls jemand weiterhin lieber zum Kugelschreiber greifen wollte.

2.5. Zukünftige Ausbaustufen (2026–2027): Die Baustelle bleibt geöffnet

Wer nun glaubt, das System sei fertig, unterschätzt das Prinzip des „Salami-Rollouts“. Bis Ende 2026 soll die langersehnte [Sicherheitslösung PoPP im Zugangsmanagement](uploaded:Zeitstrahl ePA) den provisorischen Zustand der TI-Zugriffsrechte beenden. Ab Herbst 2026 ist der [Start der höchst umstrittenen Forschungsdatennutzung](uploaded:Gemini ePA) vorgesehen, bei der Patientendaten im Opt-out-Verfahren pseudonymisiert an das Forschungsdatenzentrum fließen – es sei denn, es wird rechtzeitig ein weiterer Widerspruch eingelegt. Und für das Jahr 2027 verspricht der gematik-Fahrplan dann absolute Science-Fiction-Features: die [Integration von Impfpass und eine Volltextsuche](uploaded:Gemini ePA), damit das medizinische Personal im digitalen Datenwust auch tatsächlich findet, wonach es sucht.

3. Kritische Betrachtung und Herausforderungen

3.1. Datenschutz und Sicherheit: Das digitale Glashaus auf wackeligem Fundament

Wer seine intimsten Krankheitsgeschichten schon immer gerne mit einem unsichtbaren Publikum teilen wollte, findet in der elektronischen Patientenakte das perfekte Instrument. Das offizielle politische Narrativ, die Infrastruktur sei absolut sicher, wurde von unabhängigen Experten schnell als realitätsfern entlarvt. Der Chaos Computer Club (CCC) äußerte massive Kritik am überstürzten Rollout und stellte unmissverständlich klar, dass ein echtes Vertrauen in dieses System zu keinem Zeitpunkt gerechtfertigt war. Unfreiwillige Komik entwickelte das Mammutprojekt, als gravierende Schwachstellen aufgedeckt wurden. So ermöglichten es unter anderem eklatante Mängel bei den elektronischen Ersatzbescheinigungen sowie unzureichend gesicherte Schnittstellen, unberechtigten Zugriff auf Patientendaten zu erlangen.

Anstatt das System bei bekanntwerdenden Sicherheitsrisiken grundlegend zu überarbeiten, glänzten die Verantwortlichen durch das, was IT-Sicherheitsexperten ungeniert als gefährliche „Flickschusterei“ bezeichnen. Es wurden hektisch Behelfsmaßnahmen zusammengetackert, um das Ausmaß der akuten Schäden im versicherten Stammdatendienst rein kosmetisch zu minimieren – ohne jedoch die strukturellen Kernprobleme an der Wurzel zu packen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte im Vorfeld wohl sogar ausdrücklich gewarnt, doch die Warnungen verhallten ungehört im politischen Prestige-Rauschen. Das digitale Äquivalent zu einem „Schlüssel unter der Fußmatte“ wurde politisch mit aller Gewalt durchgedrückt, während das verbleibende Restrisiko achselzuckend auf die Versicherten abgewälzt wird.

3.2. Fehler und Schwierigkeiten bei der Umsetzung: Digitalisierung im Schneckentempo

Die praktische Einführung der ePA lässt sich am besten als chronologisches Trauerspiel beschreiben. In der Theorie soll der digitale Informationsfluss im Notfall Leben retten – in der Realität der Arztpraxen rettet er vor allem den Frust über einfrierende Bildschirme. Berichte aus dem Behandlungsalltag zeichnen ein düsteres Bild von quälend langsamen Systemen, permanenten Verbindungsabbrüchen und regelmäßigen Abstürzen der gesamten Praxisverwaltungssoftware, sobald Daten in die ePA übertragen werden sollen. Wenn der Aufruf einer Patientenakte länger dauert als ein klassisches Anamnesegespräch, hat die Digitalisierung ihre eigenen Versorgungsziele elegant ad absurdum geführt.

Besonders faszinierend ist in diesem Kontext die ausgeprägte Verweigerungshaltung bezüglich einer gesunden Fehlerkultur aufseiten der Betreibergesellschaft gematik. Kritiker und Entwickler prangern seit langem die „langsame Reaktionszeit“ der gematik an, wenn es darum geht, Softwarefehler oder dokumentierte Schwachstellen zügig und nachhaltig aus der Welt zu schaffen. Statt transparenter Aufarbeitung dominiert eine Strategie des Aussitzens, des Beschwichtigens und der nachträglichen Legitimierung technischer Unzulänglichkeiten per Dekret. Das System wird im Grunde in einem Zustand des permanenten Herumdokterns am lebenden Patienten getestet, während die Schuld für das technische Versagen bevorzugt bei den Software-Herstellern oder den Praxen selbst gesucht wird.

3.3. Nutzerunfreundlichkeit: Ein bürokratischer Hürdenlauf gegen die Wand

Dass die ePA am Markt vorbei konzipiert wurde, zeigt der Blick auf die nackten Nutzerzahlen: Zwar besitzen durch das gesetzliche Opt-out-Verfahren inzwischen fast alle gesetzlich Versicherten zwangsweise eine ePA im Hintergrund, doch die aktive Nutzung der dazugehörigen App bewegt sich Berichten zufolge weiterhin nur im einstelligen Prozentbereich. Dies liegt nicht zuletzt an einem Registrierungsprozess, der an die Sicherheitsfreigabe eines nuklearen Forschungszentrums erinnert. Wer die App tatsächlich freischalten möchte, sieht sich mit absurd anmutenden Hürden konfrontiert – vom gefühlt endlosen Hantieren mit Fingerabdruck- und Gesichtsscan über die NFC-gestützte Identifikation mit der Gesundheitskarte bis hin zum PostIdent-Verfahren.

Gekrönt wird diese verfehlte Usability durch den bewussten Verzicht auf einen unkomplizierten, rein webbasierten Zugang über den Browser. Wer seine Daten einsehen will, wird gnadenlos in die App-Bindung gezwungen – oder muss sich mühsam plattformübergreifende Desktop-Clients organisieren. Für weniger technikaffine Menschen, ältere Bürger oder chronisch Kranke – also genau die Personengruppe, die laut Gesetzgeber am stärksten von der ePA profitieren sollte – stellt diese digitale Festung eine unüberwindbare Barriere dar. Sie sind faktisch von der Verwaltung ihrer eigenen Daten ausgeschlossen und degradierte Statisten in einem System, das ihnen theoretisch „Datenhoheit“ verspricht.

3.4. Kosten und Belastungen für Leistungserbringer: Sanktionen statt Support

Für die Ärzteschaft und Apotheken bedeutet die ePA in ihrer aktuellen Verfassung primär eines: unbezahlte Mehrarbeit und massiver administrativer Aufwand. Das medizinische Personal mutiert unfreiwillig zu IT-Support-Mitarbeitern für die Krankenkassen, während im Wartezimmer die Patienten festsitzen. Um den Widerstand in den Praxen zu brechen, setzt die Gesundheitspolitik auf das bewährte Prinzip von Zuckerbrot und Peitsche. Wer die neuesten Software-Module nicht rechtzeitig vorhält oder technisch im Verzug ist, wird mit empfindlichen finanziellen Sanktionen in Form von pauschalen Kürzungen der TI-Pauschale oder der Honorare bestraft.

Als monetärer Köder wurde gleichzeitig eine Erstbefüllungspauschale von rund 11 Euro (GOP 01648) eingeführt, die Ärzte dafür entschädigen soll, alte Befunde manuell in das digitale System einzupflegen. Diese Pauschale gerät jedoch in die Kritik: Sie setzt einseitige finanzielle Anreize zur möglichst raschen Befüllung. Da die Patientenberatung ausdrücklich nicht Bestandteil der vergüteten Leistung ist und die eigentliche Informationspflicht über Widerspruchsrechte und Forschungsdatennutzung ohnehin bei den Krankenkassen liegt, droht in der Praxis ein Anreiz, die Akten im Akkord durchzuwinken, statt Patienten von sich aus auf Risiken und Widerspruchsmöglichkeiten hinzuweisen. Ein Interessenkonflikt, der zulasten des Vertrauensverhältnisses zwischen Arzt und Patient gehen kann.

4. Vertiefende Themen (Spezialaspekte)

4.1. Forschungsdatennutzung (GDNG): Die ePA als Selbstbedienungsladen für die Wissenschaft

Wer dachte, die elektronische Patientenakte sei primär als nützliches Werkzeug gedacht, um im Notfall die eigene Blutgruppe parat zu haben, hat die Rechnung ohne das Gesundheitsdatennutzungsgesetz gemacht. Hinter den Kulissen verwandelt sich die ePA nämlich flugs in eine gigantische, staatlich kuratierte Schatzkiste für die medizinische Forschung. Das offizielle Konzept sieht vor, dass ab Herbst 2026 die für die Forschung freigegebenen Daten gesetzlich Versicherter an das Forschungsdatenzentrum Gesundheit (FDZ) beim Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) weitergeleitet werden. Das Ganze geschieht – wie könnte es im modernen Digitalisierungs-Eifer auch anders sein – im praktischen Opt-out-Verfahren. Das bedeutet im Klartext: Wer nicht explizit bürokratischen Widerstand leistet, ist automatisch als Datenspender mit an Bord.

Die politische Beruhigungspille lautet hierbei gebetsmühlenartig „Pseudonymisierung“. Dass dieses Verfahren im digitalen Zeitalter allerdings alles andere als einen unknackbaren Safe darstellt, betonen Kritiker immer wieder. Im schlimmsten Fall und mit genügend krimineller oder kommerzieller Energie lässt sich ein solcher Datensatz eben doch auf die reale Person zurückführen, da Kombinationen aus seltenen Diagnosen, Wohnort und Altersstruktur mathematisch ziemlich einzigartig sind. Die Last, „Nein“ zu sagen, liegt wie gewohnt beim Bürger, der sich erst einmal durch das Kleingedruckte wühlen muss, um der großen Datenabwanderung rechtzeitig einen Riegel vorzuschieben.

4.2. Europäischer Gesundheitsdatenraum (EHDS): Grenzenloser Datenfluss ohne Bremspedal

Wem die bundesdeutsche Datensammelwut noch nicht reicht, darf sich auf die europäische Fortsetzung freuen: den European Health Data Space (EHDS). Mit diesem ambitionierten Projekt plant die Europäische Union nicht weniger als die grenzüberschreitende Totalvernetzung sämtlicher Patientendaten. Die Vision klingt bestechend: Man bricht im Urlaub auf Mallorca zusammen, und der spanische Notarzt sieht sofort die deutschen Laborwerte. Der Haken an dieser schönen neuen Welt ist jedoch, dass bei diesem europäischen Super-Netzwerk nationale Vorbehalte und individuelle Widerspruchsrechte deutlich beschnitten zu werden drohen. Zwar sieht die endgültige EHDS-Verordnung für die sogenannte Sekundärnutzung grundsätzlich ein Widerspruchsrecht der Patienten vor – doch dieses ist mit zahlreichen Ausnahmen versehen und greift längst nicht für alle Verarbeitungszwecke, sodass von einer lückenlosen Kontrolle des Einzelnen keine Rede sein kann.

Die zentrale Datenautobahn wird geöffnet, und das nicht nur für den netten Landarzt im Nachbarland, sondern potenziell auch für internationale Akteure, Pharma-Konzerne und globale Big-Tech-Unternehmen, die sich unter dem Deckmantel der „Sekundärdatennutzung“ Zugriff auf die europäischen Krankheitsbiografien erhoffen. Während der deutsche Gesetzgeber auf nationaler Ebene zumindest noch so tut, als sei der Datenschutz ein hohes Gut, drohen diese Schutzwälle auf EU-Ebene komplett geschleift zu werden. Die ePA fungiert hierbei als perfekter, normierter Zubringer für ein europäisches Daten-Ökosystem, bei dem das Individuum die Kontrolle über seine intimsten Geheimnisse endgültig an der Grenze abgibt.

4.3. Digitale Identitäten und PoPP: Das ewige Provisorium namens Sicherheit

Um das chronisch beschädigte Vertrauen in die Telematikinfrastruktur zu kitten, haben die IT-Architekten der gematik tief in die technologische Begriffskiste gegriffen und das Konzept des „Proof of Patient Presence“ (PoPP) aus dem Hut gezaubert. Zusammen mit der sogenannten GesundheitsID soll dieses Verfahren eine waschechte Zero-Trust-Sicherheitsarchitektur im Gesundheitswesen etablieren. Die Idee dahinter: Kein Arzt und kein Krankenhaus soll mehr einfach so im stillen Kämmerlein auf eine Akte zugreifen können, es sei denn, die physische Anwesenheit des Patienten in der Praxis wird kryptografisch absolut wasserdicht nachgewiesen.

Klingt auf dem Papier fantastisch, entpuppt sich beim Blick auf den Terminplan allerdings als digitaler Running-Inselwitz. Diese essenzielle Kernschwachstelle im Zugangsmanagement ist nämlich bis heute lediglich provisorisch mit Notpflastern mitigiert worden. Der vollständige und eigentlich dringend notwendige Rollout des PoPP-Dienstes wurde klammheimlich auf das Ende des Jahres 2026 verschoben. Bis dahin verbleibt das System in einem Zustand, den Sicherheitsforscher als akut gefährdet betrachten, während die Nutzer darauf vertrauen müssen, dass in der Zwischenzeit niemand die sprichwörtliche unverschlossene Hintertür findet.

4.4. Digitale Spaltung: Wenn die Großmutter am Fingerabdruck-Scanner scheitert

Die ePA ist ein wunderbares System – vorausgesetzt, man ist maximal 35 Jahre alt, besitzt das neueste iPhone, hat eine stabile Glasfaserverbindung und verbringt seine Freizeit gerne mit dem Studium von App-Berechtigungen. Für alle anderen Bürger droht das Prestigeprojekt zu einer handfesten sozialen Barriere zu werden. Wer kein modernes Smartphone besitzt oder schlichtweg über eine geringe digitale Medienkompetenz verfügt, wird in dieser durchdigitalisierten Gesundheitswelt eiskalt abgehängt. Die viel gepriesene „Datenhoheit“ läuft hier vollends ins Leere: Wer die eigene Akte ohne fremde Hilfe gar nicht erst öffnen kann, für den ist das schöne Versprechen der Selbstbestimmung nicht mehr als graue Theorie.

Als vermeintlicher Rettungsanker wurden die Ombudsstellen der Krankenkassen ins Leben gerufen, die den technisch abgehängten Versicherten unter die Arme greifen sollen. Die Realität zeigt jedoch, dass diese Stellen den enormen Beratungsbedarf kaum decken können und personell hoffnungslos überfordert sind. Wer versucht, dort zeitnah Unterstützung zu erhalten, landet oft in endlosen Warteschleifen. Anstatt die digitale Spaltung zu überbrücken, zementiert die ePA eine digitale Kluft: Auf der einen Seite die digital versierten Selbstverwalter, auf der anderen Seite die Senioren und chronisch Kranken, die mangels simpler analoger Alternativen oder barrierefreier Web-Zugänge zu reinen Objekten einer intransparenten Datenverwaltung degradiert werden.

4.5. KI im Gesundheitswesen: Zwischen genialer Diagnose und Algorithmen-Wildwuchs

Befürworter der ePA geraten regelmäßig ins Schwärmen, wenn es um die Verknüpfung der gesammelten Datenberge mit Künstlicher Intelligenz geht. Die Versprechen sind gigantisch: KI-gestützte Systeme sollen durch das rasant schnelle Durchforsten von Millionen Akten verborgene Muster erkennen, seltene Krankheiten im Frühstadium diagnostizieren und perfekt maßgeschneiderte Krebstherapien vorschlagen. Dass die Realität von solch klinisch reinen Laborbedingungen weit entfernt ist, wird in den Hochglanzbroschüren des Ministeriums gerne verschwiegen.

Die ePA leidet unter einer gravierenden Datenqualitäts-Misere. Wenn Praxen aufgrund von Zeitmangel, Abstürzen oder inkompatibler Software unvollständige, fehlerhafte oder falsch codierte Dokumente hochladen, füttert man die Künstliche Intelligenz mit digitalem Datenmüll. Das Risiko eines unkontrollierten „Algorithmen-Wildwuchs“ im Behandlungszimmer ist real: Fehlinterpretationen durch die KI, die auf fehlerhaften ePA-Einträgen basieren, könnten im schlimmsten Fall zu handfesten Fehldiagnosen führen. Wenn Ärzte aus blindem Technikvertrauen oder reinem Zeitdruck den automatisierten Vorschlägen eines Algorithmus folgen, droht die ePA die menschliche Expertise nicht zu unterstützen, sondern durch statistische Wahrscheinlichkeitsrechnungen zu ersetzen.

4.6. PKV vs. GKV – Das Zwei-Klassen-System der Datensparsamkeit

Besonders augenscheinlich wird die Schieflage der ePA beim Blick auf die feine gesellschaftliche Trennung zwischen Privatversicherten (PKV) und den Mitgliedern der gesetzlichen Krankenversicherung (GKV). Während für die breite Masse der Kassenpatienten die ePA im rücksichtslosen Opt-out-Verfahren zwangsweise angelegt wird, genießt die Privatkundschaft den Luxus der echten Freiwilligkeit. Für Privatversicherte gibt es keine gesetzliche Bereitstellungspflicht; die privaten Versicherer dürfen ihren Kunden eine ePA zwar anbieten, müssen es aber nicht. Damit gilt für die PKV faktisch das klassische Opt-in-Modell: Nur wer explizit zustimmt und den Antrag stellt, bekommt überhaupt eine digitale Akte.

Daraus resultiert ein handfestes datenschutzrechtliches Zwei-Klassen-System. Weil das Sozialrecht (SGB V), welches die ePA-Pflicht regelt, für die private Assekuranz schlicht nicht greift, fahren Privatversicherte derzeit deutlich datensparsamer. Sie müssen keine automatische Ausleitung ihrer Behandlungsdaten an das Forschungsdatenzentrum fürchten, da hierfür bei ihnen jegliche gesetzliche Grundlage fehlt. Auch der gläserne Patient via automatischer Übermittlung von Abrechnungsdaten entfällt im PKV-Kosmos. Während der Kassenpatient also – sofern er nicht widerspricht – unfreiwillig zum Datenlieferanten für die Allgemeinheit wird, bleibt die Privatsphäre der Privatversicherten mangels gesetzlicher Verpflichtung vorerst unangetastet – ein Schelm, wer Böses dabei denkt.