Digitale Patientenakte: Sicherheitsanforderungen und Arztpflichten
Die elektronische Patientenakte (ePA) zentralisiert Gesundheitsdaten eines Patienten über alle Behandler hinweg. Das bietet enorme Vorteile in der Versorgung — aber auch neue Sicherheitsrisiken. Berliner Arztpraxen tragen als Zugriffsberechtigte eine Mitverantwortung dafür, dass die ePA-Daten sicher behandelt werden.
Wie die ePA technisch gesichert ist
Die gematik hat die ePA mit mehreren Sicherheitsschichten konzipiert:
- Zero-Knowledge-Architektur: Selbst der Betreiber der ePA-Infrastruktur kann Patientendaten nicht im Klartext lesen. Alle Inhalte sind mit patientenspezifischen Schlüsseln verschlüsselt.
- Zugriffsteuerung durch den Patienten: Patienten kontrollieren über ihre App, welche Ärzte und Einrichtungen Zugriff auf welche Teile ihrer Akte haben. Als Arzt können Sie nur auf freigegebene Inhalte zugreifen.
- Protokollierung: Jeder Zugriff auf die ePA wird protokolliert. Patienten können jederzeit einsehen, wer ihre Akte zu welchem Zeitpunkt abgerufen hat.
- TI-Authentifizierung: Der Zugriff auf die ePA erfolgt ausschließlich über die gesicherte TI-Verbindung mit authentifiziertem HBA.
Pflichten der Arztpraxis beim ePA-Zugriff
- Nur autorisierte Personen zugreifen lassen: Der Zugriff auf eine ePA muss ärztlich angeordnet sein. Nicht jede MFA darf eigenständig auf eine ePA zugreifen. Legen Sie in Ihrer Praxis fest, wer unter welchen Bedingungen auf ePA-Daten zugreift.
- HBA korrekt nutzen: Jeder Arzt muss seinen eigenen HBA verwenden, um sich für den ePA-Zugriff zu authentifizieren. Das Teilen von HBA-Karten ist verboten und datenschutzrechtlich eine schwere Verfehlung.
- Opt-out respektieren: Hat ein Patient der ePA aktiv widersprochen, darf kein Arzt eine Akte anlegen oder befüllen. Ihr PVS-System muss diesen Status korrekt anzeigen.
- Korrekte Dokumentenqualität: In die ePA eingestellte Dokumente müssen den Formatanforderungen der gematik entsprechen. Achten Sie auf die korrekten Dokumententypen und Metadaten.
- Datensparsamkeit: Stellen Sie nur klinisch relevante Informationen in die ePA ein. Personliche Notizen, die nicht für andere Behandler relevant sind, gehören nicht in die ePA.
Die ePA ist ein wichtiger Schritt hin zu einer besseren, koordinierteren Patientenversorgung. Berliner Arztpraxen, die die ePA aktiv und korrekt nutzen, leisten einen direkten Beitrag zur Behandlungsqualität ihrer Patienten — bei gleichzeitiger Einhaltung aller Datenschutzanforderungen.
Haben Sie Fragen zu IT oder Datenschutz in Ihrer Praxis? Nehmen Sie Kontakt auf — wir beraten Berliner Arztpraxen kostenlos und unverbindlich.
