KRiStA: Die elektronische Patientenakte im Spiegel des informationellen Selbstbestimmungsrechts

Bild: Screenshot Internetseite: "https://netzwerkkrista.de/2025/09/11/die-elektronische-patientenakte-im-spiegel-des-informationellen-selbstbestimmungsrechts/" / Eigenes Werk

Mit der Einführung der elektronischen Patientenakte (ePA) wurde ohne nennenswerte öffentliche Anteilnahme die bedeutendste Umstellung der Telematikinfrastruktur, mit außerordentlicher Bedeutung für ca. 74 Millionen (Verband deutscher Ersatzkassen, Daten zum Gesundheitswesen, Stand: 15.03.2023) gesetzlich Versicherte, eingeführt. Dies schreibt Manfred Kölsch vom Netzwerk Kritische Richter und Staatsanwälte n.e.V. (KRiStA).

Weiter berichtet Kölsch: "Betroffen sind auch, nicht nur in ihrer Verwaltungsstruktur, die in den §§ 352, 356 f., 359, 361 SGB V genannten Zugriffsgruppen/Leistungserbringer (Vertragsärzte, Krankenhäuser, Hebammen, Apotheken, Therapeuten etc.). Das durch die ärztliche Schweigepflicht gesicherte Vertrauen zwischen Arzt und Patient wird berührt (Dochow, MedR 2023, 608 ff). Sicherheitsexperten und Juristen sind zur Stellungnahme aufgefordert.

Die ePA wurde bis zum 14.01.2025 nur auf Verlangen für den gesetzlich Versicherten eingerichtet (sog. Opt-in-Regelung). Seit dem 15.01.2025 sind alle gesetzlichen Krankenkassen (GK) verpflichtet (§§ 341, 342 Abs. 1 S. 2 SGB V), jedem Versicherten nach vorheriger Information (§ 343 SGB V) eine ePA zur Verfügung zu stellen. Davon ist nur abzusehen, wenn der Versicherte binnen 6 Wochen (§ 342 SGB V) widerspricht (Opt-out-Regelung). Ein Widerspruch gegen die Führung der ePA überhaupt kann auch später jederzeit z. B. schriftlich durch einen Brief erfolgen (§ 344 Abs. 3 SGB V). Kommt es aus Unwissenheit, Desinteresse, Unfähigkeit oder weil der Versicherte dem Vorhaben zustimmt, nicht zu einem Widerspruch, läuft die Befüllung der ePA durch die Leistungserbringer und kann für die Behandlung des jeweils gesetzlich Versicherten (sog. Primärnutzung) verwendet werden. Die in der ePA gesammelten Daten können unter gewissen Bedingungen auch Dritten z. B. zu „Forschungszwecken“ überlassen werden (sog. Sekundärnutzung) (Sachverständigenrat zur Begutachtung der Entwicklung im Gesundheitswesen (SVR), BT-Drucksache 19/28700; Krönke, Opt-out-Modell für die elektronische Patientenakte aus datenschutzrechtlicher Perspektive, 2022).

Zur Begründung der Opt-out-Regelung wird angegeben, von der seit dem 01.01.2021 zur Verfügung stehenden Opt-in-Regelung hätten nur 1 % der gesetzlich Versicherten Gebrauch gemacht (Biesdorf/Redlich (Hg.) in: McKinsey & Company, E-Rezept und ePA, 2023, S. 8). Ein Systemwechsel sei erforderlich gewesen, weil nur auf diesem Wege möglichst vollständige Daten aller ca. 74 Millionen gesetzlich Krankenversicherten erlangt werden könnten. Nur auf diesem Wege könne eine optimale Individualversorgung des Patienten gewährleistet und wissenschaftliche „Gesundheitsforschung“ betrieben werden. Nur so könne die Gesundheitsversorgung kurz- und langfristig datensicher optimiert und qualitativer werden (BT-Drucksache 19/28700, S. 131; Lorenz, die „ePA für alle“ zwischen Gesundheits- und Datenschutz (Teil 1), GuP 2023, S. 150). Diese Gründe überzeugen nicht.

Zu Recht weist der Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI) auf Folgendes hin (DuD 2023, S. 6; TB 2022, S. 74): Die geringe Nutzung der Opt-in-Regelung liegt an der nicht erfolgten Aufklärung über den Sinn der ePA. Vermehrte Information und Werbung für die Opt-in-ePA werde die erforderliche Nutzerzahl hervorrufen. Vor allem konnte es bis zur Einführung der Opt-out-Regelung zum 15.01.2025 zu keiner praktischen Anwendung der ePA kommen, weil z. B. den Ärzten und den sonst Zugriffsberechtigten die erforderlichen Funktionen und technischen Einrichtungen fehlten (Dochow, Opt-out für die elektronische Patientenakte und die ärztliche Schweigepflicht, MedR, 2023, S. 608 ff. (619)).

Die behauptete Datensicherheit ist nicht gewährleistet. Zu Forschungszwecken Dritten zur Verfügung gestellte Daten werden nur pseudonymisiert, was eine Identifizierung nicht verhindert. Der Chaos Computer Club/CCC hat dies überzeugend nachgewiesen und auch vorgeführt, wie problemlos das Einloggen in die ePA von Versicherten bewerkstelligt werden kann (CCC. Calendar, 14.01.2025, Ohne Transparenz kein Vertrauen in elektronische Patientenakte). Bianca Kastl, in Digitalisierung – Alles gleichzeitig am 12.01.2025 (netzpolitik.org/2025/digitalisierung-alles-gleichzeitig/): Das Risiko einer Reidentifikation nur pseudonymisierterDaten sei „technisch gesehen sehr hoch“. Sie ergänzt: Die aktuelle Sicherheitskultur der ePA mit einem zentralen Forschungsdatenzentrum gefüllt mit pseudonymisierten Daten der gesamten gesetzlich versicherten Bevölkerung werde sicherheitstechnisch zu „einem Alptraum“. Wie soll eine Datensicherheit gewährleistet werden, wenn nach Eröffnung des Zugangs zu der ePA, z. B. durch die E-Krankenkarte, diese ePA, z. B. für Apotheken- oder Krankenhauspersonal, für 90 Tage zugänglich bleibt? Die Datensicherheit wird nicht erhöht durch die Eröffnung des Zugangs für Personen, die nicht der Schweigepflicht unterliegen.

Jürgen Windeler, der langjährige Leiter des Instituts für Qualität und Wirtschaftlichkeit im Gesundheitswesen (KVH Journal, Hamburg, 2/2025), kommentiert die Prophezeiung von Herrn Lauterbach, mit der Einführung der Opt-out-ePA gehe eine dramatische Verbesserung der Gesundheitsversorgung einher, mit: „Da werden Märchen erzählt“. Die Opt-out-ePA sei als „Heilsbringer völlig ungeeignet“. Dass sich durch die Opt-out-Regelung ein gesundheitlicher Mehrwert ergeben könnte, steht nach ihm „in den Sternen“. Nützlich für die Forschung seien allenfalls gezielt erhobene, qualitätsgesicherte Daten, die es in der ePA nicht gebe. Diese Daten seien unvollständig und unterlägen vielfältigen Verzerrungen. Sie enthielten unstrukturierte „Datenhaufen“. Die Pharmaindustrie könne mit den Datenhaufen „Marktforschung“ betreiben. Meta, Open AI, Google u. a. seien an den Daten interessiert, um KI damit trainieren zu können.

Bei der nachfolgenden Untersuchung wird geprüft, ob die Sekundärnutzung dem Leitbild der vom Bundesgesundheitsministerium (BGM) propagierten Patientensouveränität (BT-Drucksache 19/18793, S. 3, 82, 101) entspricht. Eine Patientensouveränität, die Ausdruck findet im informationellen Selbstbestimmungsrecht der Versicherten nach Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 S. 1 GG (BVerfGE 32, 373 ff., 380; 65, 1, 42 f., 45 – grundlegend –; BVerfG, MedR 2006, 586 f.; Dochow, MedR, 2019, 279 m. w. N.). Danach entscheidet grundsätzlich der Versicherte über die Preisgabe und die Verwendung seiner persönlichen Daten.

Dieses informationelle Selbstbestimmungsrecht des Versicherten droht akut, durch eine sog. wissenschaftsbestimmte Fremdbestimmung ersetzt zu werden.

Herr Lauterbach behauptet (BT-Drucksache 19/28700, S. 131), mit der Opt-out-ePA werde ein autonomer Gemeinwohlzweck verfolgt, der dem informationellen Selbstbestimmungsrecht vorgehe. In diesem Sinne ist das am 26.03.2024 in Kraft getretene Gesundheitsdatennutzungsgesetz (GDNG) (BGBl. 2024 I Nr. 102) konzipiert. Das Gesetz zielt (i. V. m. §§ 303a ff., 363 SGB V) einseitig auf die „behinderungsfreie“ Bereitstellung des Inhalts der elektronischen Patientenakten zu Forschungszwecken und sonstigen „im Gemeinwohl liegenden Zwecken“, wie es generalklauselartig in § 1 GDNG heißt.

Auf „freie Bahn“ für die Sekundärnutzung wird gedrängt, indem auf in Deutschland vorhandene „Datensilos“ verwiesen wird, die für die Forschung nutzbar gemacht werden könnten. Die Gier nach Daten übergeht die Gefahr, dass sich die Abschirmung des Arzt-Patienten-Verhältnisses nach außen durch Erfordernisse der Digitalisierung zum Nachteil der individuellen Gesundheitsversorgung auflösen könnte (Knaur-Brose, in Spickhoff, Medizinrecht, 4. Aufl. 2022, §§ 203 ff., Rn. 1). Der Patient darf davon ausgehen, dass der Arzt die ihm anvertrauten Informationen gegenüber Dritten als „Geheimnis“ behandelt. Nur unter dieser Prämisse wird sich der Patient öffnen. Der Therapieerfolg ist größer, wenn der Patient nicht nur über seine akuten Beschwerden, sondern auch über seine aktuellen Lebensumstände und seine psychische Verfasstheit berichtet. Jede gelungene Gesundheitsversorgung eines Patienten berührt das Interesse der Allgemeinheit an einer optimalen Gesundheitsversorgung. Sie leistet einen Beitrag zur Aufrechterhaltung einer leistungsfähigen Gesundheitsfürsorge „im Ganzen“ (BVerfGE 32, 373, 389).

Dieser Gesichtspunkt wird von den juristischen Helfern ausgeblendet und stattdessen das Selbstbestimmungsrecht als „antiquiert, hinderlich“ bezeichnet und als ein „aus der Zeit gefallenes Fossil“ bewertet (Katzenmeier, in: Laufs/Katzenmeier/Lipp, Arztrecht, 8. Aufl. 2021, IX, Rn. 1). Das Interesse an der Forschungsfreiheit müsse Vorrang haben, sonst würde das Datenschutzrecht zu einem „Supergrundrecht“ (Kühling/Schildbach, Datenschutzrechtliche Spielräume für eine forschungsfreundliche digitale Gesundheitsversorgung…, UFDR 2024, S. 1 ff.) stilisiert. Durch das GDNG sei Deutschland auf dem richtigen Weg.

Bei genauer Betrachtung verhindert die Opt-out-Regelung die Geltendmachung des individuellen Selbstbestimmungsrechts. Durch die Opt-out-ePA werden rechtliche Bedingungen geschaffen, in denen sich die Willensfreiheit des Einzelnen theoretisch durch Einlegung eines Widerspruchs entfalten kann. Parallel wird darauf gebaut, dass aus Willensschwäche, Unfähigkeit, Gleichgültigkeit und Komplexität der Regelungsmaterie ein Widerspruch unterbleibt (Honer, DÖV 2019, S. 940 f.). Formal wird das informationelle Selbstbestimmungsrecht geachtet. Gleichzeitig wird jedoch weiter ein bestimmtes Regelungsergebnis zielgerichtet aber „fürsorglich“ angesteuert. Das scheinbar Unvereinbare wird in einer Art „libertären Paternalismus“ (Eidenmüller, JZ 2011, 814; Kirchhof, ZRP 2015, S. 136) in Einklang gebracht. Das angestrebte Regelungsziel ist nicht die nach außen proklamierte Patientensouveränität, sondern die Verfügungsgewalt über möglichst vollständige Patientendaten. Dieses Ziel wird nicht und muss nicht durch Verbote oder Gebote angestrebt werden. „Verhaltensbasierte Regulierung“ (Lorenz, a. a. O. Teil 1, S. 147) ist gleich wirksam. Es ist keine neue verhaltenspsychologische Erkenntnis, dass einer vorausbestimmten Regelung (z. B. die Opt-out-Regelung) der Vorzug gegeben wird gegenüber Abweichungen davon (Kruse/Maturana, NVwZ, 2021, 1669 f.). Die Einrichtung der Opt-out-ePA leitet den Versicherten in die gewünschte Richtung. Ein Widerspruch wird zwar nicht ausgeschlossen. Er ist jedoch nicht gewollt und wegen der vorerwähnten Gründe allenfalls in geringem Umfang zu erwarten. Diese verhaltenspsychologischen Erkenntnisse finden ihren Beleg in der Tatsache, dass nur ca. 5 % der gesetzlich Versicherten von dem eröffneten Widerspruch gegen die Anlage einer ePA Gebrauch gemacht haben.

Durch die bewusste Ausnutzung verhaltenspsychologischer Erkenntnisse wird der Bürger zum Objekt einer verfassungswidrigen Manipulation. Seine durch Art. 1 S. 1 GG garantierte Subjektstellung wird verletzt.

Die mantrahafte Wiederholung, der Versicherte könne sein informationelles Selbstbestimmungsrecht durch Einlegung eines Widerspruchs wahren, entpuppt sich als Lippenbekenntnis zur Aufrechterhaltung einer rechtsstaatlichen Fassade, hinter der die Demontage des informationellen Selbstbestimmungsrechts vorangetrieben werden kann. 

Die Befürworter der Opt-out-Regelung berufen sich auf die Rechtsprechung des BVerfG und des Bundessozialgerichts (BSG) (BVerfG, NJW 2022, 139; BSG, ZD 2021, 697, Rn. 52). Danach stellen der Lebensschutz, der Gesundheitsschutz und ein funktionierendes Gesundheitssystem in der Tat überragend wichtige Gemeinwohlziele dar. Begründet wird dies mit dem aus Art. 20 GG abgeleiteten Sozialstaatsprinzip wie auch aus der aus Art. 2 Abs. 2 S. 1 GG entnommenen Schutzpflicht des Staates. Art. 2 Abs. 2 S. 1 GG ist nicht nur Abwehrrecht. Der Staat hat sich schützend und fördernd für die Rechtsgüter „Leben und körperliche Unversehrtheit“ einzusetzen (BVerfGE 39, 1; 46, 160, 164). Dem ist der Staat mit der als soziale Pflichtversicherung ausgestalteten GK nachgekommen. Der Bürger hat danach einen „allgemeinen Anspruch“ auf aktive gesundheitsbezogene staatliche Gefahrenvorsorge und Gefahrenabwehr, auf die Gewährleistung einer ausreichenden Versorgungsstruktur sowie auf Schutz- und Hilfsmaßnahmen (BVerfGE 1, 97, 105; Spickhoff, Medizinrecht, 4. Aufl. 2022, Art. 2 GG, Rn. 17).

Selbst wenn, wie das BGM in seiner „Digitalisierungsstrategie“, 2023, S. 6, meint, das Datenpotential durch die Opt-in-ePA zu Lasten des Einzelnen und der Allgemeinheit ungenutzt geblieben sein sollte, erübrigt sich dadurch nicht eine Rechtfertigungsprüfung der Opt-out-ePA am Maßstab des GG und der europäischen Datenschutzgrundverordnung (DSGVO).

Grundsätzlich ist festzuhalten, dass den Gemeinwohlzielen „Optimierung der Gesundheitsversorgung“ bzw. „Verbesserung der Forschungsbedingungen“, entgegen der Ansicht der Befürworter der Opt-out-ePA, kein Vorrang vor dem Individualinteresse auf informationelle Selbstbestimmung beizumessen ist (Dochow, MedR, 2023, S. 617; Frankenberg, NVwZ 2021, S. 1427 ff., 1430).

Eine Pflicht des Versicherten, sich aktiv an der Optimierung der proklamierten Gemeinwohlziele zu beteiligen, besteht nicht. Nach herrschender Ansicht gibt es keine grundgesetzliche Pflicht zu gesundheitsförderndem Verhalten. Das Recht auf Leben und körperliche Unversehrtheit ist zwar in Art. 2 Abs. 2 S. 1 GG garantiert, was jedoch die Gesundheit nicht umfasst (Sachs, GG, 9. Aufl. 2021, Art. 2, Rn. 7). Das allgemeine Persönlichkeitsrecht ist als Abwehrrecht ausgestaltet, weshalb auch jedes gesundheitswidrige Verhalten geschützt ist (BVerfGE 32, 32 ff.; Honer, DÖV, 2019, S. 940 ff., 946). Es besteht ein Recht auf Selbstgefährdung, auf Krankheit und auf ein selbstbestimmtes Sterben (BVerfG, NJW, 1998, 1774 ff.). Nur dann könnte der Versicherte ein legitimes Eingriffsziel sein, wenn er durch einen Eingriff vor einer bedeutenden konkreten schwerwiegenden gesundheitlichen Schädigung bewahrt wird (BVerfGE 11, 323, 329; 153, 182). Die Vertreter der Opt-out-ePA vertreten im Ergebnis nichts anderes, als dass der Versicherte generell vor sich selbst geschützt werden müsse. Sie verkennen, dass der Versicherte grundsätzlich frei über die Art und Weise seiner Gesundheitsfürsorge bestimmen können muss. Die generelle Unterwerfung unter ein „Vernünftigkeitskuratel“ – wie eine Verbesserung der Forschungsbedingungen – scheidet aus (Dochow, Opt-out für die elektronische Patientenakte und die ärztliche Schweigepflicht, MedR, 2023, S. 615).

Von einer souveränen Ausübung des informationellen Selbstbestimmungsrechts durch Nichteinlegung eines Widerspruchs ist nicht zwingend auszugehen. Dies deshalb, weil einem passiven Verhalten vielschichtige – auch eine Einwilligung gerade ausschließende – Beweggründe zugrunde liegen können. 

Die Nichteinlegung eines Widerspruchs kann schlicht Unwissenheit, Desinteresse, Unfähigkeit oder Trägheit Ausdruck geben. Die von Vertretern der Opt-out-Regelung geschürte Angst, ohne eine möglichst mit vielen Daten gefüllte ePA sei eine optimale Gesundheitsversorgung nicht gesichert, kann entscheidungsleitend sein. Bei Patienten, die an seltenen oder bisher unheilbaren Krankheiten leiden, könnte die Bereitschaft groß sein, für die Gesundheitsforschung möglichst viele Daten zur Verfügung zu stellen. Eine ausdrückliche informierte Einwilligung in die Weitergabe der Daten kommt wegen der ungeklärten Motivlage nach alledem nicht in Betracht. Auf den Rechtsbegriff einer mutmaßlichen Einwilligung kann nicht zurückgegriffen werden, solange sich der Versicherte noch selbstbestimmt äußern kann. Eine konkludente Einwilligung könnte nur in Erwägung gezogen werden, wenn sich eine nichtverbale Reaktion eindeutig als Zustimmung zur Weitergabe auslegen ließe (Ulsenheimer/Gaede, Arztstrafrecht in der Praxis, 6. Aufl. 2020, Rn. 1061). Sie „scheidet im Regelfall aus“ (BGH, NJW 1992, 737, 739). Sie ist eng auszulegen und nur anzunehmen, wenn sich schlüssigem Verhalten ein eindeutiger Erklärungssinn entnehmen lässt. Passivität in Bezug auf die Widerspruchsmöglichkeit ist, wie oben gezeigt, gerade nicht eindeutig in ihrem Erklärungsinhalt. Auch die Annahme einer konkludenten Einwilligung scheidet deshalb aus.

Selbst wenn man den Forschungsinteressen den Vorrang einräumte, müsste ein „Kernbereich individueller Freiheit“ (Lorenz Teil I a. a. O. S. 28 unter Hinweis auf BVerfGE 80, 367 ff., 373 f.) erhalten bleiben. Um wenigstens dies zu gewährleisten, muss der Versicherte jeder Verarbeitung zwingend, unbürokratisch, niederschwellig, vorbehaltlos ohne Begründung widersprechen können (Lorenz Teil I a. a. O. S. 28 m. w. N.). Nicht einmal diese Minimalforderung wird mit der Opt-out-Regelung erfüllt. Die Regelung des Widerspruchsrechts entspricht nicht diesen von dem BVerfG erarbeiteten grundgesetzkonformen Kriterien. 

Das Widerspruchsrecht ist im Bereich der Sekundärnutzung nicht niederschwellig geregelt, weil es grundsätzlich nur über die „Benutzeroberfläche eines geeigneten Endgeräts“ (§§ 342, 363 SGB V) ausgeübt werden kann. Wer erfahren hat, was ein geeignetes Endgerät ist, wird – das betrifft insbesondere ältere Versicherte – nicht zwingend auch damit umgehen können. Um sich in seine eigene ePA einloggen zu können, benötigt man einen elektronischen Personalausweis mit Geheimnummer oder die E-Gesundheitskarte mit PIN, die bei der Krankenkasse beantragt werden muss. Die 2,8 Millionen Versicherten, die ohne geeignetes Endgerät sind, müssen, um Einblick in ihre ePA zu erhalten, Unterstützung bei dem Ombudsmann ihrer gesetzlichen Krankenversicherung (§ 342a SGB V) nachsuchen. Angesichts dieses Hürdenlaufs nimmt mancher Anlauf für einen Blick in seine ePA und leistet dann doch erschöpft „Verzicht“. Bestätigt wird die „Erschöpfung“ durch den bisherigen Umgang der Versicherten mit ihrer ePA. Bei den bundesweit 11 AOK haben von den 25,8 Millionen E-Akten-Inhabern nur 0,76 % eine digitale Identität als Zugangsweg erstellt. Ebenso sieht es bei der TK und der Barmer Ersatzkasse aus (FAZ 21.07.2025, S. 17, Nr. 166). Ob von den 2,8 Millionen Versicherten ohne Endgerät überhaupt schon Hilfestellung bei der Ombudsstelle gesucht worden ist, ist unbekannt.

Rein die Komplexität der die Sekundärnutzung betreffenden §§ 303 a bis 303 f., 353 und 363 SGB V wird auch für interessierte gesetzlich Versicherte ein unüberwindbares Verständnisproblem bleiben. Es ist auch nicht zutreffend, dass jederzeit i. S. v. § 353 SGB V gegen die Verarbeitung des Inhalts der ePA Widerspruch eingelegt werden könne. Den Krankenkassen ist nach § 303b SGB V aufgegeben, für jeden ihrer Versicherten zahlreiche persönliche Daten am Quartalsende an den Spitzenverband (Bund der Krankenkassen) als Datensammelstelle zu melden. Eine Einwilligung des Versicherten ist dazu nicht vorgesehen, geschweige denn ein Widerspruchsrecht.

Erkenntnisse darüber, wem und zu welchen Zwecken Dritten Zugang zur Auswertung der ePA erteilt worden ist, erlangt der Versicherte auch dann nicht, wenn er es schließlich bis zum Zugang zu seiner ePA geschafft hat.

Die GK senden die Daten an ihren Spitzenverband (§ 303b Abs. 1 SGB V). Von dort werden diese weitergeleitet an das Forschungsdatenzentrum (FDZ). Die entsprechenden Pseudonyme werden über die sog. Vertrauensstelle in Zusammenarbeit mit dem Bundessicherheitsamt getrennt ebenfalls an das FDZ übermittelt (§ 303c SGB V). Gegen diese Bereitstellung seiner Daten für Forschungszwecke hat der Versicherte ein Widerspruchsrecht nach § 363 Abs. 5 SGB V. Einen praktischen Sinn hätte die Einlegung eines Widerspruchs nur, wenn der Versicherte durch Einsichtnahme in seine ePA über die Datenableitung informiert würde. Entgegen § 363 Abs. 2 S. 2 SGB V gibt es darüber keine Information in der ePA. Eine Anfrage des Unterzeichners bei der Bundesärztekammer hat ergeben, dass „der Ablauf der Datenableitung aus der elektronischen Patientenakte zu Forschungszwecken“ überhaupt noch nicht festgelegt ist. Wann mit der Umsetzung der §§ 303a ff. SGB V durch die „gematik“ gerechnet werden kann, ist danach ungewiss. Die Bundesärztekammer rechnet damit, dass frühestens mit dem 2. Quartal 2026 entsprechende Erkenntnisse in der ePA gespeichert sein könnten. Die Barmer Ersatzkasse hat auf die entsprechende Anfrage geantwortet: „Es ist laut den aktuellen Vorgaben nicht vorgesehen, dass Versicherte in der ePA-App oder über eine andere Plattform einsehen können, für welche Forschungszwecke ihre freigegebenen Daten verwendet werden. Eine Verpflichtung, die Anträge sowie die Gründe für deren Genehmigung oder Ablehnung zu veröffentlichen, besteht bisher nicht.“

Dieser Zustand widerspricht sowohl der DSGVO als auch der Rechtsprechung des BVerfG. Nach Art. 5 Abs. 1 lit. a DSGVO müssen personenbezogene Daten „in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz)“. BVerfGE, 65, 1 ff, 43 verlangt, dass der Einzelne stets wissen muss, „wer was wann und bei welcher Gelegenheit über (ihn) weiß.“ Die zurückliegende Nachverfolgung wie auch die voraussichtliche Entwicklung sind sicherzustellen. Der Einblick in seine ePA liefert dem Versicherten dem widersprechend keinen Aufschluss; allenfalls  die Vermutung, dass seine Daten seiner Verfügungsgewalt entzogen sein könnten. Darüber, wem, zu welchen Forschungszwecken (§ 303e Abs. 2 SGB V) seine Daten überlassen worden sind, gibt es keine Aufklärung. Einen patientensouveränen, d. h. erkenntnisgeleiteten Widerspruch kann es folglich nicht geben.

In diesem Zusammenhang kann nur kurz darauf eingegangen werden, dass die Regelung zum Zugang Dritter zu den elektronischen Patientenakten auch aus einem weiteren Grund sowohl der DSGVO als auch dem Grundgesetz eklatant widerspricht.

Entsprechend dem grundgesetzlichen Bestimmtheitsgrundsatz heißt es sinngleich in Art. 5 Abs. 1 lit. b: „Personenbezogene Daten müssen für festgelegte eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden …“. Dem widersprechend heißt es generalklauselartig in § 303e Abs. 2 Ziff. 4 SGB V: „Die dem Forschungsdatenzentrum übermittelten Daten dürfen von den Nutzungsberechtigten verarbeitet werden, soweit dies für folgende Zwecke erforderlich ist: wissenschaftliche Forschung zu Fragestellungen aus den Bereich Gesundheit und Pflege, Analysen des Versorgungsgeschehens, sowie Grundlagenforschung im Bereich der Lebenswissenschaften“. Oder in Ziff. 8: zur „Wahrnehmung gesetzlicher Aufgaben in den Bereichen öffentliche Gesundheit und Epidemiologie“. Bei dieser schwammigen, dem Grundgesetz widersprechenden Zweckbestimmung muss ein Pharmaunternehmen oder Meta, Open AI und Google schon phantasielos sein, um eine Absage einer beantragten Datenverarbeitung zu erhalten.

Die Verordnung (EU) 2025/327 vom 11.02.2025 eröffnet mit ihrem Inkrafttreten am 05.03.2025 den europäischen Gesundheitsdatenraum /European Health Data Space (EHDS), den weltweit größten „Datenschatz“ (wie es die Apotheken Umschau am 12.02.2025 feiert), der sich bei der DACO (Data Access and Coordination Office) sammeln wird. Dadurch wird ein Zugang zu Versichertendaten aus allen Mitgliedern der EU zu Forschungszwecken eröffnet. Spätestens jetzt wird die ePA in Form der Opt-out-Regelung auch für Privatversicherte eingerichtet werden, da die VO 2025/327 keine Unterscheidung zwischen gesetzlich und privat Versicherten kennt. Mit dem EHDS und seinem Wegbereiter, dem deutschen Gesundheitsdatennutzungsgesetz (GDNG) werden letzte Zweifel daran beseitigt, dass das informationelle Selbstbestimmungsrecht Geschichte ist.

An der ePA zeigt sich exemplarisch, dass staatliche Institutionen als Rechtsstaat auftreten, um hinter dieser Fassade rechtsstaatswidrige Maßnahmen durchzusetzen. Es wird vorgegeben, das Allgemeinwohl zu stärken und nur im Interesse des Bürgers zu handeln. Viele, die erkennen, dass in Wirklichkeit allzu oft hybrider Machtanspruch verteidigt und Pfründe umklammert werden, packt Wut und Verzweiflung. Auswege sind der Rückzug ins Privatleben oder Zynismus, der ironische Anmerkungen zu „unserem Rechtsstaat“ produziert. Die Regelung zur ePA gibt keinen Anlass, optimistisch in die Zukunft zu blicken."

Quelle: Netzwerk Kritische Richter und Staatsanwälte n.e.V. (KRiStA)