Opt-out: Widerspruchsmöglichkeiten bei der elektronischen Patientenakte

Inhaltsverzeichnis

Anfang 2025 erhalten alle gesetzlich Versicherten automatisch eine elektronische Patientenakte (ePA), sofern sie nicht widersprechen. Immer mehr Experten raten zum Widerspruch. Erst kürzlich wurde auf dem 38. Chaos Communication Congress zahlreiche eklatante Sicherheitslücken offengelegt – einige Mängel bestehen seit Jahren. Unter anderem darum fordert der CCC ein Ende der ePA-Experimente. Datenschützerinnen wie die Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen, Bettina Gayk, empfehlen, sich rechtzeitig mit der neuen ePA vertraut zu machen und dann "sorgfältig [zu] entscheiden, ob und in welchem Umfang sie von ihren komplexen Widerspruchsmöglichkeiten Gebrauch machen. Andernfalls wird die ePA automatisch eingerichtet und mit Informationen befüllt, die Patient*innen womöglich nicht offenlegen wollen."

Selbstbestimmungsrecht weiterhin wahrnehmen

Regelmäßig gibt es Kritik, dass die Krankenversicherungen nicht umfassend über das komplexe Widerspruchsverfahren informieren – zuletzt auch von Verbraucherschützern. Ohne eine ausreichende Aufklärung zur Widerspruchsmöglichkeit bei der elektronischen Patientenakte besteht die Gefahr, dass Versicherte – anders als in der Werbekampagne des Bundesgesundheitsministeriums suggeriert – nicht die volle Kontrolle über ihre Daten behalten. "Obwohl der Gesetzgeber bei der Regelung der neuen ePA auf die bisher notwendige Einwilligung der Versicherten verzichtet hat, können diese weiterhin Einfluss auf die Verarbeitung ihrer Gesundheits- und Behandlungsdaten nehmen. Wenn sie sich frühzeitig über ihre Widerspruchsmöglichkeiten informieren, können sie ihr Selbstbestimmungsrecht weiterhin wirksam und eigenverantwortlich wahrnehmen", so Gayk.

Automatische Einrichtung der ePA

Ärzte und Krankenhäuser sind verpflichtet, bestimmte Daten, wie Befunde, Arztbriefe und Informationen zur Verschreibung von Medikamenten, in der ePA zu speichern. Auch Abrechnungsdaten der Krankenkassen landen automatisch in der ePA. Versicherte können ihre ePA auch selbst mit Dateien befüllen. Die behandelnden Ärzte erhalten dabei standardmäßig Zugriff auf alle Inhalte der ePA ihrer gesetzlich versicherten Patienten. Eine Enwilligung der Patienten ist nicht erforderlich. Sobald die elektronische Gesundheitskarte in der Praxis eingelesen wird, erhalten die behandelnden Ärzte für 90 Tage Zugriff.

Datenübertragung an Forschungsdatenzentrum

Ab Mitte 2025 können die in der ePA gespeicherten Daten ohne Einwilligung der Versicherten an das Forschungsdatenzentrum übertragen werden, von wo aus sie pseudonymisiert für die Forschung abgerufen werden können.

Die ePA für alle ist im Gesetz zur Beschleunigung der Digitalisierung des Gesundheitswesens (DigiG) geregelt. Dort ist auch festgelegt, dass Versicherte der Anlage einer ePA widersprechen können. Dieser Widerspruch ist jederzeit und ohne Angabe von Gründen möglich. Auch nach dem Anlegen der ePA ist ein Widerspruch noch möglich. Kinder ab 15 Jahren müssen selbst widersprechen.

Laut DigiG sollen Patienten, die der ePA widersprechen, nicht benachteiligt werden. Außerdem soll der Widerspruch nicht nur für die gesamte ePA, sondern über die Nutzeroberfläche der elektronischen Patientenakte auch für einzelne Dokumente möglich sein.

Widerspruchsformulare der Krankenkassen

Sie können auf verschiedene Weisen dem Anlegen einer elektronischen Patientenakte widersprechen. Sie können dazu in die Filiale Ihrer Krankenkasse gehen oder einen Widerspruch über den Postweg versenden. Die verschiedenen Krankenkassen müssen den Widerspruch niedrigschwellig ermöglichen.

Sie können oft auch digital widersprechen, etwa über die Service-Apps der Krankenkassen. Ein Teil der Krankenkassen, wie die Techniker, verschickt als Brief auch ein Einmal-Kennwort für den Widerspruch gegen die gesamte Patientenakte.
Hier finden Sie im Folgenden auch eine Liste mit zusätzlichen Widerspruchsformularen der verschiedenen Krankenkassen.

• AOK (Das Widerspruchsformular gibt es in der Regel als Online-Formular oder -Antrag. Sie müssen dazu Ihre Postleitzahl oder AOK auswählen. Während es bei der AOK Nordwest einen Vordruck als PDF-Datei gibt, widersprechen Versicherte der AOK Baden-Württemberg über ein Online-Formular, ähnlich wie die anderen AOK-Versicherungen.)
• Barmer (Online mit einem "Antwort-Code", der bis zum 28. Februar 2025 gültig ist PDF)
• Bergische Krankenkasse
• Bertelsmann BKK
• BIG direkt gesund
• BKK Diakonie
• BKK Dürkopp Adler (bietet neben dem Widerspruchsformular (PDF) auch eines für einen "Widerruf meines Widerspruchs"-PDF gegen den Widerspruch an)
• BKK Faber-Castell und Partner
• BBK B. Braun Aesculap
• BKK Scheufelen
• DAK
• energie BKK
• Handelskrankenkasse (hkk Krankenkasse)
• Heimatkrankenkasse
• IKK Brandenburg und Berlin (PDF)
• Knappschaft (neben Widerspruchsformular (PDF) auch Formular für Widerruf des Widerspruchs (PDF))
• mkk – meine Krankenkasse
• Mobil Krankenkasse
• Novitas BKK (PDF)
• R+V Betriebskrankenkasse (online und PDF-Datei)
• Salus BKK (PDF)
• SBK Siemens-Betriebskrankenkasse
• Techniker Krankenkasse
• Viactiv Krankenkasse

Bei den übrigen Krankenkassen funktioniert der Widerspruch über den Postweg, in der Filiale, über das Hochladen eines Widerspruchs und ähnliche Möglichkeiten. In der Regel ist die Angabe der Krankenversichertennummer oder einem Teil selbiger erforderlich.

Verschiedene Widerspruchsmöglichkeiten

Dabei ist zu beachten, dass es verschiedene Möglichkeiten gibt, der Datenweitergabe oder Datenverarbeitung bei der ePA zu widersprechen. Wer sich nicht grundsätzlich gegen eine ePA entscheidet und dem nicht egal ist, welche Daten in der ePA und perspektivisch in den Europäischen Gesundheitsdatenraum gelangen, sollte aufpassen. Geplant ist, dass neben der Medikationsliste und den E-Rezept-Daten auch die Abrechnungsdaten automatisch in die Patientenakte gelangen und für alle behandelnden Ärzte sichtbar sind. Dagegen ist es ebenfalls möglich, Widerspruch einzulegen.

Überdies können Versicherte auch der Datenauswertung der Krankenkassen zum Aussprechen von Empfehlungen widersprechen, die mit dem Gesundheitsdatennutzungsgesetz möglich und im fünften Sozialgesetzbuch ebenfalls verankert wurde. Dieser Widerspruch, ebenso wie der gegen die gesamte ePA, muss direkt bei den Krankenkassen erfolgen. Die anderen Widersprüche funktionieren auch über die ePA-App oder die Ombudsstelle der Krankenkasse. Dem Eintragen von besonders sensiblen Daten können Patienten beim Arzt widersprechen.

Bei manchen Krankenkassen wie der Diakonie BKK ist es möglich, die verschiedenen Widersprüche – inklusive der Weitergabe der ePA-Daten an das Forschungsdatenzentrum Gesundheit – über ein Formular einzulegen.

Es lässt sich also Widerspruch einlegen gegen:

• die elektronische Patientenakte (bei der Krankenkasse oder bei der Ombudsstelle der Krankenkasse)
• die elektronische Medikationsliste (eML)
• die Teilnahme am digital gestützten Medikationsprozess (spät kommt neben der eML noch der Medikationsplan hinzu)
• das Einstellen der Abrechnungsdaten
• das Aussprechen von Empfehlungen der Krankenkassen
• das Ausleiten von Forschungsdaten an das Forschungsdatenzentrum Gesundheit (geplant, bei manchen Krankenkassen aber bereits möglich)

Private Krankenversicherungen müssen ePA nicht anbieten

Bei den privaten Krankenversicherungen entscheidet jedes Unternehmen individuell, ob es seinen Versicherten eine ePA anbietet. "Erste Unternehmen sind bereits im letzten Jahr mit GesundheitsID, E-Rezept und elektronischer Patientenakte gestartet", heißt es von einem Sprecher des Verbands der privaten Krankenversicherungen. Ab Anfang 2025 sollen die meisten Privatversicherten eine ePA nutzen können, sie sind jedoch nicht dazu verpflichtet. Bei Privatversicherten ist nach aktuellem Stand, im Gegensatz zu den gesetzlich Versicherten, jedoch noch keine Datenweitergabe an das Forschungsdatenzentrum Gesundheit vorgesehen. Dazu gibt es bisher keine gesetzliche Grundlage.

Widersprüche werden schon länger entgegengenommen

Einige Krankenkassen, etwa die AOKs, nehmen bereits seit Inkrafttreten des Gesetzes zur Beschleunigung der Digitalisierung des Gesundheitswesens (DigiG) Ende März Widersprüche von Versicherten gegen die elektronische Patientenakte, die alle ab Anfang 2025 automatisch erhalten sollen, entgegen. Das tun jedoch nicht alle.

Seit 2021 kann jeder gesetzlich Versicherte eine ePA bei seiner Krankenkasse beantragen. Das geht inzwischen auch mit der Online-Ausweisfunktion des elektronischen Personalausweises oder der elektronischen Gesundheitskarte und der zugehörigen PIN. Die Krankenkassen sind gesetzlich verpflichtet, allen Versicherten eine ePA anzubieten. Bisher haben die elektronische Patientenakte rund 1,865 Millionen Menschen (Stand 2. Dezember 2024), 565.000 mehr als noch im Mai. Das geht aus dem Dashboard der künftigen Digitalagentur Gesundheit hervor.

IT-Sicherheit der Patientenakte gefährdet

Nachdem Sicherheitsforscher innerhalb kürzester Zeit Sicherheitslücken aufgedeckt hatten, ist abzuwarten, ob die Verantwortlichen die teilweise seit mehreren Jahren bekannten Schwachstellen in der verbleibenden Zeit beheben. Unter anderem konnten die Sicherheitsforscher mittels SQL-Injection Angriffe auf ein Kartenherausgeberportal vornehmen. Das gelang mithilfe des Kaufs gebrauchter Kartenterminals auf Kleinanzeigen – auf Nachfrage teilweise sogar mit der SMC-B (Secure Module Card, Typ Betriebsstätte) samt PIN. Bisher hat die für die Digitalisierung im Gesundheitswesen verantwortliche Gematik nicht auf alle Sicherheitsmängel reagiert. Sie verweist unter anderem darauf, dass Angreifer sich strafbar machen. Sicherheitsexperten sind sich jedoch einig, dass das Kriminelle nicht abhalten wird. Als weitere Maßnahmen, die die Gematik umsetzen will, gehören:

• Verhinderung, dass Ausweise der Telematikinfrastruktur missbräuchlich verwendet werden können.
• Schließung der Sicherheitslücke durch eine zusätzliche Verschlüsselung der Krankenversichertennummer.
• Sensibilisierung der Nutzerinnen und Nutzer der Telematikinfrastruktur im Umgang und Schutz der technischen Infrastruktur, Ausweisen und Karten.
• Ausweitung der Überwachungsmaßnahmen wie Monitoring und Anomalie-Erkennung

Zudem heißt es in der Pressemitteilung, dass die Gematik bereits mit dem Bundesamt für Sicherheit in der Informationstechnik im Austausch sei und Lösungen konzipiert habe: "Für die ab 15. Januar startende Pilotphase bedeutet dies, dass zunächst nur die in der Modellregion teilnehmenden Leistungserbringer auf die ePA der Versicherten zugreifen können. Die elektronischen Patientenakten aller Versicherten bundesweit sind somit gut geschützt."

Der ehemalige Bundesbeauftragte für Datenschutz und Informationssicherheit, Ulrich Kelber, hatte die Krankenkassen in einem Schreiben bereits vor einer Herabsenkung des Sicherheitsniveaus gewarnt. Zudem kündigte er an, die Sicherheit der ePAs der Krankenkassen zu überprüfen.

(mack)