Auch wenn die Daten den Versicherten nicht gehören, liegt die Entscheidung darüber, ob und in welchem Umfang sie die elektronische Patientenakte nutzen wollen, allein bei ihnen. Sie entscheiden, ob sie die ePA überhaupt verwenden wollen oder widersprechen. Ebenso entscheiden sie, wer auf die Daten Zugriff erhält und was gespeichert werden soll. Die Versicherten haben also die Hoheit über ihre Daten.

Für Sicherheit sind Krankenkassen zuständig

Für den Betrieb der elektronischen Patientenakte ist sowohl datenschutzrechtlich als auch allgemein die jeweilige Krankenkasse verantwortlich: Sie muss die Kosten der Akte tragen, für die Funktionsfähigkeit sorgen, die Daten aufbewahren, Sicherungen durchführen, für die Einhaltung des Datenschutzes sorgen und datenschutzrechtliche Auskünfte an die Versicherten erteilen. Hierfür kann sie sich aber auch Unterauftragnehmern bedienen. Wenn aufgrund der Nichteinhaltung dieser Pflichten durch ein Verschulden der Krankenkasse ein Schaden entsteht, ist diese dafür verantwortlich und muss ggf. Schadensersatz zahlen.

Die Verantwortung der Krankenkassen befreit Ärztinnen und Ärzte jedoch nicht davon, ihre eigenen Pflichten zu erfüllen. Insbesondere müssen Behandlungen im Praxismanagementsystem weiter ordnungsgemäß dokumentiert werden, was ohnehin schon unter Haftungsgesichtspunkten für den Fall von angeblichen Behandlungs- und Aufklärungsfehlern ratsam ist. Ebenso müssen z. B. die für eine Behandlung oder einen Antrag auf Kur- und Sozialleistung erforderlichen Informationen weiterhin von Patientinnen und Patienten oder Kolleginnen und Kollegen eingeholt werden, wenn sie nicht in der ePA vorhanden sind. Soweit ein Arzt oder eine Ärztin schuldhaft unzutreffende Informationen in die Akte einstellt, ist er oder sie hierfür verantwortlich, wenn dadurch ein Schaden entsteht.

Die Rechte zur Nutzung der Daten sind gesetzlich geregelt. Zunächst dürfen die gespeicherten Daten zwecks Behandlung von Ärztinnen und Ärzten sowie anderen Leistungserbringern und deren Hilfspersonal genutzt werden. Weiter dürfen die Krankenkassen, die von ihnen beauftragten Anbieter der ePA und die Anbieter von einzelnen Diensten und Komponenten der ePA Daten in der Akte speichern, denn ansonsten würde sie nicht funktionieren. Sie dürfen jedoch nicht auf Behandlungsdaten zugreifen. Zudem dürfen die gespeicherten Daten – sofern der Versicherte dem nicht widerspricht – in pseudonymisierter Form für Forschungszwecke verarbeitet werden.

Verantwortlich für die (automatische) Pseudonymisierung ist die Krankenkasse bzw. deren Unterauftragnehmer. Hierfür werden die Daten in pseudonymisierter Form an das Forschungsdatenzentrum Gesundheit weitergegeben. Die Nutzung ist jedoch nur für bestimmte gesetzlich vorgesehene Zwecke und auf Antrag beim Forschungsdatenzentrum Gesundheit möglich. Ein Verkauf oder eine andere kommerzielle Nutzung der Daten in der ePA ist nicht zulässig.

RA Prof. Dr. Dr. Alexander P. F. Ehlers, RA Dominik Kollmar, beide bei Ehlers Legal PartG mbB