Gesundheitsdatenschutz: DSGVO, ePA, GDNG und EHDS

Wann dürfen Gesundheitsdaten verarbeitet werden?

Gesundheitsdaten sind nach Art. 9 Abs. 1 DSGVO eine besondere Kategorie personenbezogener Daten. Ihre Verarbeitung ist verboten, es sei denn, eine Ausnahme nach Art. 9 Abs. 2 greift. Zusätzlich braucht jede Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO. Für die Praxis wichtig sind vier Ausnahmen.

Die Ausnahme für die Behandlung trägt nicht jede weitere Nutzung. Marketing, Produktverbesserung durch einen Softwareanbieter oder das Training eines KI-Modells sind eigene Zwecke, die eine eigene Grundlage brauchen. Für die Weitergabe an Dritte kommt die ärztliche Schweigepflicht hinzu.

Schweigepflicht: § 203 StGB

Ärzte, Apotheker, Psychotherapeuten und ihre Gehilfen machen sich strafbar, wenn sie ein Patientengeheimnis unbefugt offenbaren. Seit 2017 dürfen sie externe Dienstleister wie IT-Anbieter einbinden, soweit dies für deren Tätigkeit erforderlich ist und der Dienstleister zur Verschwiegenheit verpflichtet wird (§ 203 Abs. 3 und 4 StGB). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO allein genügt dafür nicht, er sollte die Verschwiegenheitsverpflichtung ausdrücklich enthalten.

Elektronische Patientenakte: Pflichten seit Oktober 2025

Seit 2025 erhalten alle gesetzlich Versicherten eine ePA, sofern sie nicht widersprechen (Opt-out). Seit dem 01.10.2025 sind Vertragsärzte, Krankenhäuser und Apotheken verpflichtet, die ePA mit bestimmten Daten zu befüllen und zu nutzen, etwa Befundberichte, Arztbriefe, Entlassbriefe und die Medikationsliste. Die Einzelheiten ergeben sich aus §§ 341 ff. SGB V.

• Patienten können einzelnen Einträgen oder Zugriffen widersprechen und Einrichtungen sperren
• Bei Daten zu HIV-Infektionen, psychischen Erkrankungen und Schwangerschaftsabbrüchen muss vorher auf das Widerspruchsrecht hingewiesen werden
• Daten zu genetischen Untersuchungen dürfen nur mit ausdrücklicher Einwilligung eingestellt werden
• Der Zugriff ist zeitlich begrenzt und wird protokolliert
• Die Behandlungsdokumentation nach § 630f BGB wird durch die ePA nicht ersetzt

Haftungsrechtlich ist offen, wie weit Ärzte Daten in der ePA zur Kenntnis nehmen müssen. Eine Pflicht, die gesamte Akte zu sichten, besteht nach überwiegender Ansicht nicht. Was für die konkrete Behandlung erkennbar relevant ist, sollte aber berücksichtigt werden.

Forschung mit Gesundheitsdaten: GDNG und Forschungsdatenzentrum

Das Gesundheitsdatennutzungsgesetz (GDNG) ist seit März 2024 in Kraft. Es hat beim BfArM eine zentrale Datenzugangs- und Koordinierungsstelle geschaffen und den Zugang zu den Abrechnungsdaten des Forschungsdatenzentrums Gesundheit erweitert. Antragsberechtigt ist, wer zu einem im Gesetz genannten Zweck forscht. Auf den Sitz oder die Rechtsform kommt es nicht an, sodass auch die forschende Industrie Anträge stellen kann. Die Daten werden in einer sicheren Verarbeitungsumgebung bereitgestellt.

§ 6 GDNG erlaubt Gesundheitseinrichtungen, die bei ihnen gespeicherten Versorgungsdaten für eigene Forschung, Qualitätssicherung und Patientensicherheit weiterzuverarbeiten. Daten aus der ePA fließen pseudonymisiert an das Forschungsdatenzentrum, wenn Versicherte nicht widersprechen. Die Federführung der Datenschutzaufsicht bei länderübergreifenden Forschungsvorhaben kann bei einer Behörde gebündelt werden.

Europäischer Gesundheitsdatenraum (EHDS)

Die VO (EU) 2025/327 über den Europäischen Gesundheitsdatenraum ist am 26.03.2025 in Kraft getreten und gilt überwiegend ab dem 26.03.2027. Sie regelt zwei Bereiche: die Primärnutzung, also den Zugang von Patienten und Behandelnden zu Daten über Grenzen hinweg, und die Sekundärnutzung für Forschung, Innovation und Politik.

Im September 2026 sind die ersten Durchführungsverordnungen im Amtsblatt erschienen, darunter zu MyHealth@EU, zur Identifizierung und zu Datensatzbeschreibungen für die Sekundärnutzung. Hersteller von Systemen für elektronische Patientenakten müssen künftig grundlegende Anforderungen an Interoperabilität und Protokollierung erfüllen und ihre Produkte selbst zertifizieren. Wer Daten hält, etwa Kliniken oder Hersteller ab einer bestimmten Größe, muss sie auf Antrag über die Zugangsstellen für die Sekundärnutzung bereitstellen.

In Deutschland soll das Gesetz für Daten und digitale Innovation im Gesundheitswesen (GeDIG) den EHDS umsetzen. Das Kabinett hat den Entwurf am 15.07.2026 beschlossen, der Bundestag hat ihn im Oktober 2026 in erster Lesung beraten. Vorgesehen sind unter anderem der Ausbau der Datenzugangsstelle beim BfArM, neue Funktionen in der ePA und die verpflichtende elektronische Überweisung. Das Gesetz ist noch nicht verabschiedet.

KI-Training mit Gesundheitsdaten

Wer KI-Modelle mit Gesundheitsdaten trainieren will, braucht eine Rechtsgrundlage für genau diesen Zweck. In Betracht kommen eine Einwilligung, Forschungsklauseln (Art. 9 Abs. 2 lit. j DSGVO mit § 27 BDSG oder Landesrecht), § 6 GDNG für Eigenforschung von Einrichtungen, Anträge an das Forschungsdatenzentrum und ab 2029 die Sekundärnutzung nach dem EHDS. Echte Anonymisierung nimmt Daten aus der DSGVO heraus, ist bei Gesundheitsdaten aber schwer zu erreichen.

Die KI-Verordnung erlaubt in Art. 4a die Verarbeitung besonderer Datenkategorien, soweit dies zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist, mit Schutzmaßnahmen wie Löschung nach Korrektur und Dokumentation. Diese Grundlage ersetzt keine Rechtsgrundlage für das allgemeine Training.

• Art. 9 DSGVO
• § 22 BDSG
• § 27 BDSG
• § 203 StGB
• §§ 341 ff. SGB V
• GDNG
• VO (EU) 2025/327 (EHDS)
• DVO (EU) 2026/2083
• GeDIG (Entwurf)
• Art. 4a KI-VO

Häufige Fragen