Seit Ende 2023 hat sich in Deutschland und auf europäischer Ebene viel zu diesen Themen getan:

• Im Dezember 2023 hat der Deutsche Bundestag gegen Bedenken von IT- und Datenschutzexpert:innen ein Digital-Gesetz (DigiG)und ein Gesundheitsdatennutzungsgesetz (GDNG) auf den Weg gebracht.
• Beide Gesetze sind am 26. März 2024 in Kraft getreten.
• Auf europäischer Ebene wird aktiv der „Europäische Gesundheitsdatenraum“ (EHDS) vorangetrieben.

Die Gesetzgebungsverfahren standen nach Einschätzung von MEZIS e.V. unter erheblichem Lobby-Einfluss von pharmazeutischer und Medizinprodukteindustrie, Datenwirtschaft und weiteren kommerziellen Playern. Die Risiko-Bereitschaft in der Politik zugunsten einer möglichst schnellen Digitalisierung erscheint groß und wir sehen wie viele weitere Organisationen Sicherheits- und Datenschutzbedenken bisher als nicht ausreichend berücksichtigt an.

Gesetzlich festgelegt wurde:

• Gesundheits- und Krankendaten gesetzlich versicherter Patient:innen werden nicht mehr nur wie bisher am Ort der Behandlung in der Arztpraxis oder im Krankenhaus, sondern zusätzlich auch bundesweit zentral gespeichert.
• Diese gespeicherten Befunde und Daten sollen explizit nicht mehr ausschließlich für medizinische Behandlungen („Primärnutzung“), sondern in großem Umfang auch für verschiedene „Forschungszwecke“ („Sekundärnutzung“) im In- und Ausland Verwendung finden.
• Unter anderem sollen die gesammelten Daten das Anlernen von „Künstlicher Intelligenz“ (KI) in großem Stil ermöglichen.

Die neue Rechtslage wird nicht nur die Rechte der Patient:innen und das Verhältnis zwischen Ärzt:innen und Patient:innen verändern, sie hat ein sehr tiefgreifendes Potential für Auswirkungen auf den ärztlichen Beruf. Deshalb sollten Ärztinnen und Ärzte die Gestaltung und Deutungshoheit zu diesem Thema nicht alleine Politiker:innen und Interessenvertreter:innen der Gesundheits- und Digitalwirtschaft überlassen.

Patientenakten enthalten sehr vertrauliche und private Angaben. Ein Beispiel: In einem strukturierten REHA-Bericht können sich Angaben zu Vorerkrankungen, Operationen, Krankheiten in der Familie, Risikofaktoren wie Nikotin, Alkohol oder Drogen, Laborbefunde, psychische und körperliche Befunde, Sozialstatus, Arbeitsleben, Schulden, Beziehungsstatus und vieles mehr finden. Sozial- und Gesundheitsdaten unterliegen deshalb einer eng gefassten ärztlichen Schweigepflicht. Gelangen diese Daten über reihenweise angelegte ePAs an irgendeiner Schnittstelle in falsche Hände, kann dies im schlimmsten Fall existentielle Folgen für die Betroffenen nach sich ziehen. Weitere spezifische Risiken der ePA stellen wir hier näher dar.

Gesetzlich Krankenversicherte haben bereits seit Längerem die Möglichkeit, aktiv eine „elektronische Patientenakte“ ePA bei ihren Krankenkassen zu beantragen. Bisher war die Nachfrage danach aber sehr gering (AOK Stand 2024: 0,5% der Versicherten). Um in Zukunft die Daten von möglichst vielen Patient:innen sammeln zu können, wurde eine neue Vorgehensweise gesetzlich verankert: Das „Opt-Out“-Verfahren, das nun für alle gesetzlich Krankenversicherten gilt. Für sie sollen die Krankenkassen in Zukunft auch ohne vorherige Zustimmung elektronische Patientenakten anlegen. Verhindert werden kann dies nur noch durch einen im Gesetz vorgesehenen Widerspruch: Versicherte können bei ihren Krankenkassen dem Anlegen einer ePA innerhalb von 6 Wochen nach der Benachrichtigung über das Anlegen der Akte widersprechen. Das Gesetz sieht für GKV-Versicherte eine Umsetzung bis 15. Januar 2025 vor. Das Bundesgesundheitsministerium hat dazu einen eignen Umsetzungs-Zeitplan veröffentlicht und es ist damit zu rechnen, dass das Anlegen von ePAs durch die Krankenkassen ab Mitte Januar 2025 startet. Auch für Privatpatient:innen ist eine Umsetzung grundsätzlich vorgesehen.

Wir befürchten, dass mit diesem Opt-Out-Verfahren ein Anlegen und automatisches Befüllen einer elektronischen Akte gegen den eigentlichen Willen von Patient:innen geschieht, wenn diese versäumen rechtzeitig zu widersprechen. Auch Kinder bis zum vollendeten 15. Lebensjahr sind betroffen, wenn deren Eltern nicht rechtzeitig für sie widersprechen. Ähnliches gilt für besonders schutzbedürftige Menschen, die gesetzlich betreut werden: Auch für sie wird in Zukunft eine ePA angelegt, wenn die gesetzlichen Vertreter:innen dem nicht vorher widersprechen.

Aus anderen Lebensbereichen sind die Menschen in Deutschland langjährig daran gewöhnt, dass die Sammlung ihrer persönlichen Daten durch Dritte ohne ihre vorherige aktive Zustimmung nicht zulässig ist, beispielsweise beim Surfen im Internet: Hierfür hat der Gesetzgeber festgelegt, dass Internetnutzer:innen vorher aktiv zu fragen sind, ob sie „Cookies“ (kleine Datensammelprogramme) zulassen möchten oder nicht – und die Nutzer:innendaten dürfen erst dann gesammelt werden, wenn zuvor ausdrücklich zugestimmt wurde. Dieses Prinzip der vorherigen Einwilligung wird nun bei den besonders sensiblen und schützenswerten Gesundheits- und Krankheitsdaten aufgegeben und in das Gegenteil verkehrt – ein Kulturbruch, der weitreichende Folgen haben kann.

Der Gesetzgeber hat keine einheitliche Möglichkeit für die Opt-Out-Verfahren festgelegt, sondern die gesetzlichen Krankenkassen verpflichtet, Lösungen für ihre Versicherten zu entwickeln. Vorgegeben ist auch, dass das Opt-Out-Modell mehrstufig gestaltet wird: Patient:innen können dem Anlegen einer ePA insgesamt oder auf einzelnen Nutzungsebenen widersprechen und z. B. bestimmte Nutzer:innen ausschließen. Wir befürchten, dass diese Mehrstufigkeit viele Patient:innen überfordern wird, Entscheidungen zu Freigaben zu treffen, zumal eine Interpretation medizinischer Befunde und die Einschätzung ihrer Brisanz komplex und schwierig sein kann.

Noch schwieriger ist eine Abwägung von Chancen und Risiken bei einer Nutzungsfreigabe der eigenen Gesundheitsdaten für Dritte. Vorher wäre es notwendig, ausführliche Informationen über die Nutzungsvorhaben zu bekommen. Patient:innen müssten auch jedes Mal neu abwägen, wenn weitere Gesundheitsdaten in ihren ePAs abgelegt werden. Uns erscheint ein derart komplexes Opt-Out-Modell für den Alltag viel zu kompliziert und wenig praktikabel und wir befürchten, dass viele Patient:innen schon aus Bequemlichkeit einer Datennutzung durch Dritte nicht widersprechen werden, ohne sich über die möglichen Folgen im Klaren zu sein. Es erscheint uns zudem ethisch fragwürdig, wenn der Staat auf Mitnahme-Effekte setzt, um die Sammlung von möglichst vielen Daten seiner Bürger:innen zu ermöglichen. Nach unserer Auffassung sollten auch in Zukunft ausschließlich Patient:innen (oder ihre gesetzlichen Vertreter:innen) durch aktive Zustimmung selbst verfügen dürfen, was mit ihren persönlichen Gesundheits- und Krankheitsdaten passiert.

Wir von MEZIS empfehlen:

• Nutzen Sie Ihre Rechte als mündige/r Patient:in bzw. als Eltern und informieren Sie sich möglichst objektiv.
• Durch Widerspruch gegen das Anlegen einer ePA können Sie untersagen, dass sensible Gesundheits- und Krankendaten von Ihnen und /oder Ihren Kindern gleich am Anfang dieser sehr komplexen Digitalvorhaben in eine zentrale Sammelstelle hochgeladen und genutzt werden. Einmal hochgeladene und an Dritte abgeflossene Daten oder Auswertungen lassen sich kaum mehr verlässlich „zurückholen“. Ihr Widerspruch gegen eine ePA beeinträchtigt nicht Ihre medizinische Versorgung und es ist gesetzlich festgelegt, dass Ihnen dadurch keine Nachteile entstehen dürfen. Ihre Ärzt:innen und Psychotherapeut:innen speichern auch weiterhin die notwendigen Informationen in ihren praxisinternen Akten.
• Krankenkassen verfolgen möglicherweise eigene Interessen beim Sammeln Ihrer Daten. Lassen Sie sich deshalb nicht alleine von Vorteils-Versprechen oder kleinen Bonusgeschenken von Ihren Krankenkassen zur ePA locken.
• Beobachten Sie besser zunächst die Entwicklungen, Erfahrungen und die Sicherheitslage zur ePA. Sollten Sie später von der Sicherheit und dem Nutzen solcher Lösungen wirklich überzeugt sein, können Sie immer noch einsteigen und Ihre Daten freigeben.