Digitale Patientenakte und Datenschutz: Was Praxen 2026 wissen müssen

Die elektronische Patientenakte (ePA) ist längst kein Zukunftsprojekt mehr – sie ist gelebter Praxisalltag. Seit dem 1. Oktober 2025 sind alle Leistungserbringer gesetzlich verpflichtet, die ePA zu befüllen, und seit dem 1. Januar 2026 drohen bei fehlender technischer Zertifizierung ernsthafte Abrechnungskonsequenzen. Parallel dazu rückt das Bundesgesundheitsministerium mit einem neuen Referentenentwurf (GeDIG, Stand: 6. Mai 2026) weitreichende Neuregelungen zur Sekundärnutzung von Gesundheitsdaten in den Fokus. Für Arztpraxen bedeutet das: Der Datenschutz rund um die digitale Patientenakte ist nicht nur ein technisches, sondern vor allem ein rechtliches Thema mit erheblichem Haftungspotenzial. Dieser Beitrag gibt Ihnen einen strukturierten Überblick über die aktuellen Pflichten und die neuesten Entwicklungen.

Gesundheitsdaten als besonders schützenswerte Kategorie Patientendaten in der ePA sind Gesundheitsdaten im Sinne von Art. 9 DSGVO – und damit eine besondere Kategorie personenbezogener Daten, die einem strengeren Schutzregime unterliegt als gewöhnliche personenbezogene Daten. Für deren Verarbeitung reicht eine einfache Rechtsgrundlage nach Art. 6 DSGVO allein nicht aus. Es muss zusätzlich ein ausdrücklicher Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO erfüllt sein. Für Praxen ist dabei vor allem Art. 9 Abs. 2 lit. h DSGVO einschlägig: Demnach ist die Verarbeitung zulässig, wenn sie für die medizinische Diagnostik, die Versorgung oder Behandlung erforderlich ist und durch ärztliches Personal erfolgt, das der Schweigepflicht unterliegt. Die ärztliche Behandlung ist damit selbst die Rechtsgrundlage – zusätzliche Einwilligungen der Patienten sind für die Kerntätigkeit der Praxis grundsätzlich nicht erforderlich. Einwilligungen sind jedoch weiterhin nötig, wenn die Datenverarbeitung über den Behandlungskontext hinausgeht – etwa bei Recall-SMS, Newslettern oder der Weitergabe an Dritte. Die ePA nach SGB V: Pflicht, Opt-out und neue Sanktionen Die rechtlichen Grundlagen der ePA finden sich primär in den §§ 341 ff. SGB V, ergänzt durch das Digital-Gesetz (DigiG) und das Gesundheitsdatennutzungsgesetz (GDNG). Die ePA wird im Opt-out-Verfahren bereitgestellt: Die Krankenkasse legt sie automatisch an, sofern der Versicherte nicht ausdrücklich widerspricht. Als Leistungserbringer sind Praxen seit dem 1. Oktober 2025 gesetzlich verpflichtet, die bei der Behandlung erhobenen Daten – etwa Befundberichte, Labordaten und Arztbriefe – in die ePA einzustellen, sofern der Patient dem nicht widersprochen hat. Wer dieser Pflicht nicht nachkommt, riskiert Konsequenzen durch die zuständige Kassenärztliche Vereinigung (KV). Darüber hinaus gilt seit dem 1. Januar 2026: Praxen, deren Praxisverwaltungssystem (PVS) keine gültige Konformitätsbestätigung (KOB) der gematik vorweist, können ihre Leistungen gemäß § 372 Abs. 3 SGB V nicht mehr abrechnen. Eine Übergangsregelung der KBV sieht jedoch unter bestimmten Voraussetzungen – etwa bei einem laufenden PVS-Wechsel – eine Übergangsfrist von bis zu neun Monaten vor. Praxishinweis: Überprüfen Sie noch heute, ob Ihre Praxissoftware auf der Positivliste der gematik geführt wird. Das Fehlen der KOB-Zertifizierung gefährdet unmittelbar Ihre Abrechnungsfähigkeit. Hier gehts zur Positivliste: https://www.ina.gematik.de/kompetenzzentrum/wirkungsfelder‒im‒ueberblick/konformitaetsbewertung/positivliste‒kob

Was Art. 32 DSGVO von Ihrer Praxis verlangt Gemäß Art. 32 DSGVO sind Sie als Verantwortlicher verpflichtet, dem Risiko angemessene technische und organisatorische Maßnahmen (TOMs) zu ergreifen. Im Bereich der ePA und der digitalen Patientenakte bedeutet das konkret:

Das BSI hat zudem im April 2026 seine Broschüre „Cybersicherheit im Gesundheitswesen 2025" veröffentlicht, die konkrete Empfehlungen zu Ransomware-Prävention und dem BSI-IT-Grundschutz für Praxen enthält – hintergrund ist eine anhaltende Welle von Ransomware-Angriffen auf Gesundheitsdienstleister. 72-Stunden-Meldepflicht: Handeln Sie schnell im Ernstfall Kommt es zu einem unbefugten Zugriff auf ePA-Daten – etwa durch einen Cyberangriff, den Verlust eines Datenträgers oder eine versehentliche Weitergabe – greift die 72-Stunden-Meldepflicht nach Art. 33 DSGVO. Die Datenpanne muss dann unverzüglich, spätestens aber innerhalb von 72 Stunden, der zuständigen Datenschutzaufsichtsbehörde gemeldet werden. Bei einem hohen Risiko für die betroffenen Patienten ist darüber hinaus eine direkte Patientenbenachrichtigung nach Art. 34 DSGVO erforderlich. Bußgelder für Datenschutzverstöße können bis zu 20 Millionen Euro oder 4 % des weltweiten Vorjahresumsatzes betragen. Empfehlung: Etablieren Sie schon jetzt einen dokumentierten Prozess für das Vorfallsmanagement, der Erkennung, Bewertung, interne Meldung und Behördenmeldung klar regelt. Schulen Sie Ihre Mitarbeitenden darin, potenzielle Datenpannen sofort zu melden. Was 2026/2027 noch kommt: Wichtige Neuerungen im Blick behalten Die regulatorische Entwicklung steht nicht still: • Elektronischer Medikationsplan (eMP): Pilotierung in ausgewählten Regionen ab Juli 2026, bundesweiter Start geplant für Oktober 2026. Apotheken sollen künftig auch rezeptfreie Arzneimittel in die Medikationsliste eintragen können. • Forschungsdatenzentrum Gesundheit: Ab dem dritten Quartal 2026 beginnt die Datenausleitung zu Forschungszwecken in Pilotregionen, der bundesweite Regelbetrieb ist für Anfang 2027 geplant. Versicherte können der Übermittlung widersprechen. • GeDIG (Referentenentwurf des BMG, 6. Mai 2026): Das geplante „Gesetz für Daten und digitale Innovation im Gesundheitswesen" enthält neue Regelungen zur Sekundärnutzung von Gesundheitsdaten und verschärft die Zweckbindungsanforderungen. Praxen müssen sich auf weitere Anforderungen einstellen. • Volltextsuche in der ePA: Pilotierung ab Oktober 2026, bundesweiter Start voraussichtlich ab Januar 2027.