ePA: Widerspruch, Einschränkungs- oder Unterlassungserklärung

Widerspruch – Teil-Widerspruch – Unterlassungserklärung?

Um zu entscheiden, was Sinn macht, sollten Sie als Versicherter wissen, was sich hinter diesem Begriff ePA verbirgt.
Die ePA ist ein digitaler Ordner, der alle medizinischen Befunde, Behandlungsberichte, Medikamentenpläne und Therapiemaßnahmen speichert.
Die Teilnahme erfolgt automatisch. Um aus der Teilnahme aussteigen, müssen der Teilnahme aktiv widersprechen- nennt sich Opt-Out-Regelung.

Wer kann meine Daten lesen und verarbeiten?

Sofern Sie uneingeschränkter Teilnehmer sind, wird Ihre ePA automatisch angelegt. Solange Sie keine spezifischen Einschränkungen festlegen, gilt eine „pauschale Zugriffsberechtigung“. Das bedeutet, jeder Leistungserbringer, der Sie behandelt oder technisch eingebunden ist, kann auf alle Ihre Daten jederzeit zugreifen. Dazu gehören:

• Ärztinnen und Ärzte: Ärzte, die Sie behandeln, können medizinische Dokumente wie Befunde, Diagnosen, Arztbriefe oder Therapiepläne hinterlegen und einsehen.
• Zahnärztinnen und Zahnärzte: Zahnarztpraxen können Informationen über zahnmedizinische Behandlungen hinzufügen.
• Apotheken: Apotheker können relevante Daten, wie Informationen über Medikamente und Verschreibungen, einsehen und hinterlegen.
• Krankenhäuser: Kliniken und Krankenhäuser, die Sie behandeln, haben Zugriff auf die ePA und können Daten hinterlegen.
• Physiotherapeuten und andere therapeutische Fachkräfte können – je nach Nutzung und Integration der ePA – ebenfalls Daten hinterlegen, sofern dies für Ihre Behandlung relevant ist.
• Pflegekräfte und Pflegeeinrichtungen könnten unter bestimmten Umständen Daten dokumentieren, die für die medizinische Versorgung wichtig sind.

Die Krankenkasse ist technischer Betreiber der ePA und kann den Zugang verwalten, hat jedoch keinen direkten Zugriff auf medizinische Inhalte, es sei denn, Sie erlauben dies ausdrücklich. Dies gilt auch für die Kassenärztlichen Vereinigungen.

Wichtig zu wissen:
Sofern Sie nicht aktiv widersprechen können ab Juni 2025 (vorgesehene gesetzliche Zeitschiene) alle Ihre gesundheitlichen Daten ohne vorherige Zustimmung genutzt werden.

Durch eine „Pseudonymisierung” soll gewährleistet sein, dass persönliche Daten (wie Name, Geburtsdatum) durch Codes ersetzt werden.
Die Daten werden angeblich ausschließlich für genehmigte Forschungszwecke verwendet. Sie können einsehen, welche Institution auf Ihre Daten zugegriffen haben.

Als anerkannte öffentlich Forschungseinrichtungen in Deutschland, die auf die pseudonymisierter Daten aus der elektronischen Patientenakte (ePA) zugreifen können, zählen:

• Bundesinstitute mit Forschungsaufgaben wie RKI, PEI
• Universitäten wie Charité – Universitätsmedizin Berlin oder die Ludwig-Maximilians-Universität München
• Deutsche Forschungsgemeinschaft (DFG) – Zentrale Selbstverwaltungsorganisation der Wissenschaft in Deutschland, die Forschungsprojekte fördert
• Leibniz-Gemeinschaft – Vereint Institute, die sowohl Grundlagen- als auch angewandte Forschung betreiben
• Helmholtz-Gemeinschaft Deutscher Forschungszentren. Auf die Lösung großer wissenschaftlicher und gesellschaftlicher Herausforderungen konzentriert
• Max-Planck-Gesellschaft (MPG): Grundlagenforschung
• Fraunhofer-Gesellschaft. Spezialisiert auf Entwicklung innovativer Produkte und Technologien

Wichtig zu wissen, indirekter Zugriff möglich:
Kein direkter Zugriff von internationalen Organisationen wie der Weltgesundheitsorganisation (WHO) oder Forschungseinrichtungen aus der EU auf Daten aus der elektronischen Patientenakte (ePA).
Aber, es gibt viele Möglichkeiten, wie diese Institutionen indirekt Zugriff auf Ergebnisse oder Daten erhalten können. Nennt sich Re-Identifikation.

1. Forschungskooperationen:

• Deutsche Forschungseinrichtungen (wie das Robert Koch-Institut, Universitäten oder Helmholtz-Zentren) könnten pseudonymisierte Daten in Forschungsprojekten nutzen und diese in Form von
  aggregierten Ergebnissen oder Studienberichten mit internationalen Partnern teilen.

2. Datenaustausch im Rahmen internationaler Gesundheitsforschung:

• Projekte mit globalem Bezug (z. B. zu Pandemien oder seltenen Krankheiten) könnten anonymisierte Daten auf Grundlage von Forschungsergebnissen einbeziehen. Voraussetzung ist eine Genehmigung durch deutsche Stellen(z. B. Vertrauensstellen und Datennutzungsstellen).

3. EU-weite Initiativen und Programme:

•  Daten aus der ePA könnten Teil größerer EU-weiter Forschungsinitiativen werden, etwa im Rahmen von Horizon Europe oder anderen Gesundheitsprogrammen. Horizon Europe ist ein Europäisches EU-Framework-Programm, das für den Zeitraum 2021-2027 mit 95,5 Milliarden € ausgestattet ist und den besonderen Fokus auf die Schaffung eines europäischen Green Deal, dem digitalen und nachhaltigen Übergang und der Erholung von der Coronavirus-Krise (hier).
• Die WHO kann damit aggregierte und anonymisierte Daten, z. B. Statistiken zu ICD-Codes wie Z28.0, über nationale Institutionen wie das RKI erhalten, um Analysen zur Impfakzeptanz, Planung globaler Impfprogramme, Entwicklung von Strategien zur Bekämpfung von Impfverweigerung durchzuführen.

Widerspruch einlegen:

Wer die Weitergabe seiner Daten nicht will und wem der gesamte Ablauf und die Zugriffsmöglichkeiten von Jedermann zu heikel und ungewiss sind sollte gegen das Anlegen einer ePA einen Widerspruch einlegen. Das Musterformular ist hier direkt zum Ausdrucken (downloaden) plus weiterführender Anleitung als interaktives pdf Formular beigefügt.

Wichtig zu wissen:
Die bisherigen Funktionen der elektronischen Gesundheitskarte (eGK) bleiben erhalten, egal ob die ePA aktiviert oder nicht aktiviert ist. Dazu zählen (Stand 2024):

•  eRezepte bei der Apotheke einzulösen
• Sofern die Notfalldaten gespeichert sind. Dazu zählen Allergien, Blutgruppe, Medikationspläne, Kontaktdaten von Angehörigen oder Bevollmächtigten. Dazu müssen Sie Ihren Arzt bitten, die Daten einzuspielen.
•  Aktuell zur Identifikation und Abrechnung

Die Kartenoptionen sollen ausgebaut werden. Daher am Ball bleiben, was demnächst alles möglich ist, auch die Erfassung Ihres Impfstatus. Ist nur eine Frage der Chipkapazität und die wandelt sich rasant. Es ist geplant, den Impfstatus auf der eGK  zu erfassen! 

Optionen der Prüfung, ob ePA trotz Widerspruch angelegt

Nachfolgend die Optionen, um zu prüfen, ob Ihr Widerspruch auch eingehalten wird und keine ePA angelegt worden ist.
1. Kontaktieren Sie Ihre Krankenkasse
Die Krankenkasse ist der technische Anbieter Ihrer ePA. Fragen Sie bei Ihrer Kasse nach, ob eine ePA für Sie angelegt wurde.
• Beantragen Sie bei Ihrer Krankenkasse datenschutzrechtliche Selbstauskunft. Sie haben das Recht auf eine Selbstauskunft gemäß Art. 15 DSGVO. Anfrage:
◦ Ob eine ePA für Sie angelegt wurde.
◦ Welche Daten gespeichert sind.
◦ Wer auf Ihre ePA zugegriffen hat
Unser Formulierungsvorschlag für eine derartige Anfrage:
„Ich möchte gemäß Artikel 15 DSGVO Auskunft darüber erhalten, ob und welche elektronischen Patientenakten für mich angelegt wurden, welche Daten darin enthalten sind und ob Zugriffe darauf
erfolgt sind.”
2. Überprüfung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI)
• Wenn Sie den Verdacht haben, dass eine ePA unberechtigt angelegt wurde, können Sie dies dem BSI oder Ihrer Krankenkasse melden.
• Das BSI überwacht die Sicherheit der Telematik-Infrastruktur, zu der die ePA gehört.
3. Prüfung mit Hilfe Ihrer NFC-fähigen Gesundheitskarte
Die elektronische Gesundheitskarte (eGK) ist der Schlüssel zur Nutzung der ePA.
• Wenn keine ePA aktiv ist, wird bei der Nutzung der eGK in Arztpraxen oder Apotheken kein Zugriff auf ePA-Daten möglich sein.
4. Gezielte Nachfrage in Ihrer Arztpraxis, Ihrer Apotheke und den von Ihnen aufgesuchten Gesundheitsanbietern, ob die ePA im System als „aktiv“ angezeigt wird.
5. Prüfen Sie, ob Sie Zugriff auf die ePA-App haben
• Laden Sie die ePA-App Ihrer Krankenkasse auf Ihr Handy herunter (falls verfügbar).
• Melden Sie sich mit Ihren Zugangsdaten oder Ihrer NFC-fähigen Gesundheitskarte an.
• Prüfen Sie in der App:
◦ Ob eine ePA aktiv ist.
◦ Welche Dokumente hinterlegt wurden.
◦ Welche Zugriffe erfolgt sind.

ePA APP installieren und in Betrieb nehme

Die ePA wird mittels einer APP auf ihrem Smartphone installiert.

Bitte bei der Krankenkasse erfragen oder auf der Gematik Seite abfragen, wo die App heruntergeladen werden kann.
Das Smartphone muss wie Ihre eCard NFC (Near Filed Communication) fähig sein. Wie bei Überweisungen, die eCard ranhalten an das Smartphone und die Daten werden übertragen.
Dieser Kurzfilm (Beispiel iPhone) zeigt wie das funktioniert

Wem gehören die gespeicherten Daten?

Diese Daten gehören Ihnen als Versicherten persönlich. Sie können Daten löschen, aufladen lassen und Zugriffe erlauben.

Datensicherheit
Die Daten werden dreifach verschlüsselt. Auf dem Speichermedium, in der Transportverschlüsselung und als Datenverschlüsselung. Zu der Letzeren, sogenannte Content-Verschlüsselung, hat angeblich nur der Versicherte den Zugang mit einem Datenschlüssel (Passwort)

Kündigung der ePA?
Ja, jederzeit Kündigung möglich. Jede Krankenkasse bietet ein spezifisches Vorgehen an. Zumeist erfolgt das über ein ICON im sogenannten Safe – „Vertrag” – „Konto Löschen” aktivieren.
Man kann unterscheiden, ob man die Daten komplett löschen will oder die Daten zu einer anderen Kasse übertragen werden sollen (Krankenkassenwechsel) Daten werden nach einer Frist von sechs Wochen zum Endes des folgenden Monats gelöscht. Bei Widerruf der Einwilligung in die Datenschutzerklärung bzw. in die Nutzungsbedingungen, werden Ihre Daten sofort gelöscht. Hier entfällt die Kündigungsfrist.

Die Kündigung kann widerrufen werden!

Wo werden die Daten gesammelt
Die Daten werden zentral auf einem Server (Cloud) gelagert, der laut Bundesministerien in Deutschland stehe und den europäischen Datenschutzbestimmungen unterliegen.
Der technische Dienstleister wird von der jeweiligen Krankenkasse gewählt.
Beispiel: Techniker Krankenkasse (TK). Die TK hat mit dem Serveranbieter (IBM Deutschland GmbH) die vertragliche Verpflichtung, dass die Speicherung auf deutschen Servern und der Ausschluss von Zugriffen auf die Server von Muttergesellschaften außerhalb der EU, EWR oder EFT besteht.

Empfehlenswerte Klärung
• Wer ist der Serveranbieter bei Ihrer Krankenkasse?
• Wer hat innerhalb der EU Zugriff auf den Server und damit Ihre Daten hat?
• Wer ist für die Dateneingabe verantwortlich?
• Wer kann Daten abrufen?

Prüfung, wer meine Daten eingesehen hat
Sämtliche Aktivitäten werden protokolliert und können ab der Aktivität bis zu 3 Jahren rückwärts einsehen werden.

Dauer der Speicherung der Daten
Potenziell ein Leben lang. Dies gilt auch für die Abrechnung in Anspruch genommener Leistungen, die man aufspielen lassen kann

ePA nutzen, jedoch „Big Brother is watching you“ unterbinden.

Der Vorteil dieser ePA liegt auf der Hand. Wann immer Sie wollen, haben Sie alle Gesundheitsdaten zur Hand, da alle Daten immer parat über das Smartphone abrufbar sind. Das entlastet nicht nur das Gesundheitswesen ungemein, sondern auch jeden Versicherten/Patienten Diese langen, oft einem Rätselraten gleichende Gespräche, über wann war was oder welche Medikamente Sie als Patient einnehmen, vermeidet Fehler bei medikamentösen Verordnungen. Wechselwirkungen  und Kontraindikationen werden minimiert. Gleichzeitig wird eine schnellere
Hilfe im Notfall ermöglicht, bei Urlaubsreisen ein schnellerer und zweckdienlicher Austausch erzielt. Nicht zu vergessen ist auch die Option, schneller den Arzt zu wechseln, anderen Gesundheitsanbieter aufzusuchen, ohne lästiges „Erbetteln” der eigenen Gesundheitsdaten. Nicht unerwähnt soll die Option bleiben, was Gesundheitsanbieter (vom Arzt über das Krankenhaus bis zum Pflegedienst, Abrechnungsdienste) so schreiben oder als Vergütung erhalten. Ohne Vollständigkeit der Vorteile zu garantieren, der Versicherte kann auch über die Abrechnungsziffern erkennen, was so angegeben wird.

Das soll beispielhaft anhand der Internationalen Klassifikation Diagnosen Codierung der WHO, der ICD-10 / ICD 11 Ziff Z.28.0 erläutert werden.
Die Z.28.0 steht für Impfablehnung oder -verzögerung aus nichtmedizinischen Gründen. Sofern Sie die Zugriffsrechte nicht beschränken, haben alle bereits Erwähnten Einsicht-und zugriffsrecht.
Durch die Pseudonymisierung (Daten werden mit einem Identifikator verschlüsselt, der nur durch eine separate Stelle – Treuhänder – zurückverfolgbar ist) können Institute, die von der Regierung beauftragt werden, durch zusätzliche Kontextdaten (Beschäftigungsdaten, Wohnort, Spezialisierung der Behandlungsstelle) schnell filtern. Ungeimpfte wären so schnell und gezielt ausfindig gemacht und könnten unter Druck gesetzt werden, wie von 2020 bis 2023 mit den Corona Maßnahmen nachweisbar (weiterführend siehe hier).
Ein heißes Eisen, wie selbst ChatGPT knackig formuliert: „Die ICD-10-Klassifikation Z28.0“ (Impfablehnung oder -verzögerung aus nichtmedizinischen Gründen) ist eine sensibel interpretierbare Information.”
Dies gilt auch für alle anderen Bereiche, die aus welchen Gründen auch immer, für den Staat als gesundheitsrelevant neu zu ordnen eingeschätzt werden. KI-gesteuerte Behandlung, KI gesteuerte Leitlinien, Zuweisungen in Behandlungsstätten oder auch die Anordnung von diagnostischen, therapeutischen oder palliativen Maßnahmen.

Wer nur Teilbereiche unzugänglich machen will, kann über Beschränkungen der Zugriffsberichtigung nachdenken. Ein entsprechendes Musterformular ist beigefügt. Das ist alles kompliziert und erfordert ein ständiges Beschäftigen damit, einen Brief an die Krankenkasse zu senden, um laufend up to date zu sein.

Wichtig zu wissen:
Man kann auch direkt in der App Einschränkungen vornehmen. Der Ablauf, wie jetzt bekannt gegeben, ist in unserer Erklärung beigefügt:

Vorteile der Einschränkungen in der ePA-App:

• Flexibilität: Sie können Berechtigungen jederzeit ändern, ohne schriftliche Anfragen stellen zu müssen.
• Echtzeitkontrolle: Sie sehen sofort, welche Dokumente und Daten für wen zugänglich sind.
• Transparenz: Protokolle geben Ihnen volle Kontrolle darüber, wer auf Ihre Daten zugegriffen hat.

Nachteil, da nicht direkt in der ePA-App möglich:

• Globale Widersprüche: Wenn Sie die Nutzung der ePA insgesamt verhindern oder vollständig deaktivieren möchten, müssen Sie einen schriftlichen Widerspruch bei Ihrer Krankenkasse einreichen.
• Speicherung bestimmter Daten verhindern: Bestimmte Daten (z. B. Diagnosen) können nicht schon vor der Erfassung ausgeschlossen werden. Sie können diese aber nachträglich verbergen oder löschen.

Unterlassungserklärung

Da die meisten Menschen nicht ständig im Handy überprüfen, welche Einstellungen sie irgendwann einmal für spezifische APPs vorgenommen haben, und sich auch dank ständiger Software-Updates, die Einstellungen verändern können, empfehlen wir eine Unterlassungserklärung an die verantwortlichen Stellen mit Rückbestätigung zu erklären.
Eine Einschränkungserklärung legt präventiv fest, wer Zugriff auf Ihre Daten hat oder nicht. Sie regelt die Berechtigungen proaktiv.
Eine Unterlassungserklärung ist hingegen eine stärkere rechtliche Absicherung. Sie richtet sich direkt an die Empfänger und weist sie darauf hin, dass jede unbefugte Nutzung oder Weitergabe rechtliche Konsequenzen haben kann. Damit stellt diese eine Klarstellung der Rechte des Versicherten dar, ist eine Abschreckung, da Institutionen wie Personen dazu gebracht werden können, sorgfältig mit Ihren Unterlagen umzusehen. Und zu guter Letzt ist es auch eine Dokumentation für Rechtsstreitigkeiten, wenn gegen diese Unterlassung dennoch Ihre Daten fremdbestimmt genutzt oder mißbraucht werden.
Die Details inklusive eines Mustervordruck ist desgleichen als pdf zum download bereitgestellt.
Um sicher zu sein, dass niemand diesen Part hintergeht, macht es Sinn, eine Unterlassungserklärung zu verlangen.

Fazit:

Die ePA zu nutzen, könnte das medizinische Leben einfacher und auch sicherer machen. Wichtig ist es jedoch, die Nutzungsrechte zwingend einzuschränken, da die Begehrlichkeiten der Profitjäger und Bevormunder zu groß ist (siehe). Sinn macht der Widerspruch, besser ist jedoch die Unterlassungserklärung. Denn es ist ein offenes Geheimnis, dass auch ohne die Einwilligung des Versicherten die Daten schon jetzt missbraucht werden.

Unbenommen davon  soll nicht unerwähnt bleiben, das sich die gesetzliche Einführung möglicherweise verschiebt (siehe). So wurde erst vor wenigen Tagen bekanntgegeben, dass sich die für 2025 geplante Einführung  unter anderem wegen Schwachstellen, die ein Gutachten des Fraunhofer-Instituts für Sichere Informationstechnologie (SIT) aufdeckte, verschieben soll. Die festgestellten Risiken reichen von Angriffsmöglichkeiten durch Hacker bis hin zu Schwachstellen in der Datenverwaltung. Ganz perfide erscheint, dass die Gematik GmbH versucht  auf die Krankenkassen das Risiko für Datenleck abzuwälzen. Die Widerspruchserklärungen seien daran Schuld. sowie der Fakt, dass die Betreiber (die Krankenkassen) zu viel Umsetzungsspielraum hätten, was geändert werden soll.

Der Abschlussbericht „Sicherheitsanalyse des Gesamtsystems ePA für alle – Version 4.0“ des Fraunhofer-Institut für Sichere Informationstechnologie (SIT), in Zusammenarbeit mit ATHENE ist eigentlich verheerend. Aber die Gematik stuft die vom Fraunhofer SIT als hoch eingeschätzte Relevanz, dass Angriffe durch Regierungsorganisationen gegeben sind, als niedrige Bedrohung ein (siehe). Daher muss man sich fragen, wer ist eigentlich Gematik, diese Nationale Agentur für Digitale Medizin, eine Organisation, die 2005 gegründet wurde, deren Anteilseigner zu 51% das  Bundesministerium ist und damit die Geschicke der Gematik GmbH lenkt.
Denn es ist absolut befremdlich, dass sich diese GmbH herausnimmt zu beurteilen, wer als potentieller Hacker gefährlich oder weniger bis ungefährlich einzustufen ist. Wenn man das Wohl der Bürger/versicherten im Auge hat,  gilt es sicherzustellen, dass die Gesundheitsdaten ausschließlich für die primären Zwecke, die Verbesserung von Diagnostik und Therapie zum Wohle der Versicherten verwendet werden und nicht für sekundäre Zwecke, dem Abgreifen von Daten für fremde Dritte. So kritisiert der ehemalige Datenschutzbeauftragte Thilo Weichert des Landes Schleswig Hollstein im Oktober 2024:

„Das Gesundheitsdatennutzungsgesetz zur Umsetzung des Europäischen Gesundheitsdatenraum EHDS (erklärt von der Pharma, erklärt von der KBV, erklärt vom Europäischen Rat der EU und  dem Bundesministerium Gesundheit), das Ende März 2024 in Kraft getreten ist, macht unsere Gesundheitsdaten zur Beute kommerzieller und politischer Interessen. Das Gesundheitsministerium weiß selbst genau, dass die Umsetzung des EHDS verfassungswidrig ist.“ (siehe).