Berlin Vier große Krankenkassen erhielten vergangene Woche unangenehme Post: Ein Bescheid des Bundesdatenschutzbeauftragten Ulrich Kelber traf bei ihnen ein. Er fordert von den Kassen datenschutzrechtliche Erweiterungen bei der elektronischen Patientenakte (ePA).

Die ePA wird als App von den Krankenkassen bereitgestellt. Versicherte können darin ihre medizinischen Daten von Ärzten speichern lassen. Die Krankenkassen müssen auf die Anordnung Kelbers innerhalb von einem Monat reagieren.

Eine der Kassen, an die der Bescheid ging, ist die Barmer Ersatzkasse. Ein Sprecher kündigte gegenüber Handelsblatt Inside juristische Schritte an. „Es zeichnet sich ab, dass gegen die rechtswidrige Weisung des Bundesdatenschutzbeauftragten geklagt wird.“

Auch die Krankenkasse DAK Gesundheit erhielt das Schreiben. Ein Sprecher gab an, dass der Bescheid geprüft und über das weitere Vorgehen entschieden werde.

Auch die Siemens-Betriebskrankenkasse erhielt die Anordnung. SBK-Vorständin Gertrud Demmler sagte zu Handelsblatt Inside, die Nutzung der ePA sei freiwillig und die Umsetzung der Akte entspreche dem Datenschutzrecht. Die mitgliederstarke Techniker Krankenkasse hatte bis Freitagabend kein Schreiben erhalten.

Der Datenschutzbeauftragte Kelber sieht in der aktuellen Form der ePA einen Verstoß gegen die europäische Datenschutzgrundverordnung (DSGVO). Er fordert mit dem Bescheid zwei Veränderungen.

Freigabe einzelner Dokumente in der ePA

Kelber verlangt zum einen, die Freigabe einzelner Dokumente innerhalb der ePA zu ermöglichen. Dies bedeutet, dass ein Patient entscheiden kann, welche Dateien in der Akte ein Arzt sehen darf. Patienten können Ärzten derzeit nur ihre gesamten Daten in der ePA freigeben.

Als Frist für die Funktion setzt Kelber das Ende dieses Jahres. Die Freigabe einzelner Dokumente mit Start zum 1. Januar 2022 ist aber ohnehin vom Gesetzgeber im Sozialgesetzbuch V vorgeschrieben.

Kelber hielt die Aufnahme der Anordnung in den Bescheid dennoch für notwendig. „Leider haben wir in der Vergangenheit gesehen, dass die Fristen aus dem Gesetz nicht ernst genommen werden“, sagte Kelber zu Handelsblatt Inside. Die Anweisung durch ihn an die Kassen solle der Forderung noch einmal Nachdruck verleihen.

Die Barmer Ersatzkasse sieht die Freigabe einzelner Dateien in der ePA laut einem Sprecher als „überhaupt gar nicht strittig“ an. Die Versicherung werde ebenso wie andere Krankenkassen die Funktion fristgerecht zum 1. Januar 2022 zur Verfügung stellen. Dies kündigte auch die SBK an.

Zugang der ePA für Patienten ohne Smartphone strittig

Kelbers zweite Forderung lehnt die Barmer Ersatzkasse aber ab. Der Bundesdatenschutzbeauftragte ordnet an, auch Patienten, die kein Smartphone oder Tablet besitzen, den Zugriff zur ePA zu ermöglichen. Dies könne in den Geschäftsräumen der Kassen geschehen.

Das deutsche Gesetz verpflichtet die Kassen dazu nicht. Darauf verwies auch ein Sprecher der Barmer Ersatzkasse. Einen Verstoß gegen das europäische Datenschutzrecht erkenne die Kasse zudem nicht.

Die Juristin Susanne Klein hält es auch laut Datenschutzrecht für notwendig, Menschen ohne technisches Gerät Zugriff zur ePA zu gewähren.

Klein ist Fachanwältin für Informationstechnologierecht bei der Kanzlei Beiten Burkhardt. Sie berät Mandanten bei Datenschutzfragen. „Nach meinem Verständnis sollten aus datenschutzrechtlichen Gründen auch Patienten ohne technisches Gerät ihre Gesundheitsdaten in der ePA selbst verwalten können“, sagte sie zu Handelsblatt Inside.

Die ePA sei laut der Juristin zwar ein freiwilliges Angebot der Kassen. Patienten ohne Gerät, die sie nutzen möchten, müssten aber sonst einen Vertreter bestimmen. „Der Vertreter hätte dann Einsicht in alle sensiblen Daten des Patienten.“

Der Bundesdatenschutzbeauftragte hat die Aufsicht über insgesamt 63 gesetzliche Krankenkassen mit rund 45 Millionen Versicherten. Erst vier große Kassen haben den Bescheid erhalten. Auch weitere Versicherungen sollen bald angeschrieben werden. Wahrscheinlich ist, dass die Kassen den Bescheid gerichtlich überprüfen lassen. Ein Sozialgericht würde über den Fall entscheiden.

Mehr: Weisungen des Bundesdatenschützers nicht umsetzbar