Elektronische Krankenakte: Sicherheitsnormen 2026

Die elektronische Patientenakte vereint zwei Regelungssysteme, die sich nicht decken: jenes des Schutzes personenbezogener Daten, das Gesundheitsdaten als besondere Kategorie behandelt, die grundsätzlich einem Verbot unterliegt, und jenes des französischen Gesundheitsgesetzbuchs (Code de la santé publique), das eigene Aufbewahrungsfristen und eigene Zugriffsrechte vorschreibt. Die Einhaltung des ersten Systems bedeutet nicht die Einhaltung des zweiten, und die meisten festgestellten Verstöße beruhen genau auf dieser Verwechslung.

Das Hosting: eine verpflichtende Zertifizierung

Jede Person, die im Auftrag Dritter im Rahmen von Präventions-, Diagnose- oder Behandlungstätigkeiten personenbezogene Gesundheitsdaten hostet, muss dafür zertifiziert sein.

Diese Verpflichtung ist grundlegend und wird häufig erst spät entdeckt. Sie hängt weder vom Datenvolumen noch von der Größe der Einrichtung ab: Eine Praxis, die ihre Fachsoftware einem Online-Dienstleister anvertraut, muss sicherstellen, dass das Hosting der Daten durch einen zertifizierten Anbieter erfolgt. Die Verantwortung für diese Überprüfung liegt beim Verantwortlichen der Verarbeitung, also bei der Fachperson oder Einrichtung, und nicht beim Dienstleister.

Daraus ergeben sich zwei praktische Punkte: Der Auftragsverarbeitungsvertrag muss diese Zertifizierung und ihren Geltungsbereich ausdrücklich erwähnen, und bei einem Wechsel des Dienstleisters oder der Infrastruktur muss diese Abdeckung erneut überprüft werden.

Die Regelung für Gesundheitsdaten

Gesundheitsbezogene Daten fallen unter eine besondere Kategorie, deren Verarbeitung grundsätzlich verboten ist. Die Verarbeitung ist nur zulässig, wenn sie unter eine der abschließend vorgesehenen Ausnahmen fällt – insbesondere die medizinische Versorgung, die Präventivmedizin oder die ausdrückliche Einwilligung der betroffenen Person.

Diese umgekehrte Struktur hat eine unmittelbare Konsequenz: Für jede Verarbeitung muss die Ausnahme benannt werden können, auf der sie beruht. Eine sekundäre Nutzung der Daten – interne Statistiken, Verbesserung eines Tools, Forschung – lässt sich nicht aus der Rechtmäßigkeit der Behandlungsverarbeitung ableiten; sie erfordert eine eigene Rechtsgrundlage.

Hinzu kommen die allgemeinen Pflichten: Verzeichnis der Verarbeitungstätigkeiten, Information der betroffenen Personen, festgelegte Aufbewahrungsfristen, Datenschutz-Folgenabschätzung, wenn die Verarbeitung ein hohes Risiko birgt – was bei einer digitalisierten Patientenakte häufig der Fall ist.

Die Aufbewahrungsfristen

Diese richten sich nach dem französischen Gesundheitsgesetzbuch und nicht nur nach dem Grundsatz der Speicherbegrenzung.

Die in einer Gesundheitseinrichtung angelegte Patientenakte wird zwanzig Jahre lang aufbewahrt, gerechnet ab dem letzten Aufenthalt oder der letzten ambulanten Konsultation. Zwei besondere Regeln kommen hier hinzu:

• Bei einem zum Zeitpunkt der Behandlung minderjährigen Patienten verlängert sich die Aufbewahrung bis zu seinem achtundzwanzigsten Geburtstag, wenn dieser Zeitpunkt später liegt.
• Verstirbt der Patient innerhalb von zehn Jahren nach dem letzten Kontakt (Tod), wird die Akte mindestens zehn Jahre ab dem Todesdatum aufbewahrt.

Diese Fristen werden durch jedes außergerichtliche oder gerichtliche Verfahren, das die Verantwortlichkeit der Einrichtung oder der Fachpersonen betrifft, ausgesetzt.

Der Zusammenhang mit den Verjährungsfristen für Haftungsansprüche ist unmittelbar: Der Anspruch verjährt zehn Jahre ab der Konsolidierung des Schadens, und eine vorzeitig vernichtete Akte nimmt der Fachperson ihr wichtigstes Verteidigungsmittel – ein Thema, das ausführlich in unserem Artikel über die berufliche zivilrechtliche Haftung.

Die Nachvollziehbarkeit der Zugriffe

Dies ist die operativ anspruchsvollste Anforderung, und jene, deren Fehlen am schwersten nachzuholen ist.

Jeder Zugriff auf die Akte muss protokolliert werden: wer, welches Element, an welchem Datum eingesehen hat. Diese Protokollierung erfüllt zwei unterschiedliche und einander ergänzende Funktionen.

Sie verhindert und erkennt unrechtmäßige Zugriffe, die zu den häufigsten Verstößen in Einrichtungen zählen – etwa die Einsichtnahme in die Akte eines Kollegen, eines Angehörigen oder einer bekannten Person.

Sie schützt die Fachperson, indem sie den Nachweis ermöglicht, dass ein vorgeworfener Zugriff nicht stattgefunden hat oder dass ein umstrittener Zugriff tatsächlich im Rahmen der Behandlung erfolgte. Ohne Protokoll kann ein Verdacht weder bestätigt noch entkräftet werden.

Die Zugriffsrechte müssen zudem je nach Aufgabenbereich unterschiedlich vergeben werden: Die Zugehörigkeit zum Behandlungsteam eröffnet nicht den Zugang zur gesamten Akte, sondern nur zu den notwendigen Informationen, wie in unserem Artikel über das ärztliche Berufsgeheimnis.

Das Auskunftsrecht des Patienten

Der Patient hat direkten Zugang zu sämtlichen ihn betreffenden Gesundheitsinformationen, ohne seinen Antrag begründen zu müssen.

Die Übermittlung erfolgt frühestens nach einer Bedenkzeit und spätestens innerhalb einer Frist, die sich verlängert, wenn die Informationen älter als fünf Jahre sind. Etwaige Kosten beschränken sich auf die Kosten der Vervielfältigung und des Versands.

Zwei Einschränkungen begrenzen dieses Recht: Informationen, die von Dritten stammen, die nicht an der Behandlung beteiligt waren, sind davon ausgeschlossen, ebenso wie solche, die derartige Dritte betreffen. Nach dem Tod unterliegt der Zugang der Rechtsnachfolger einer eigenen Regelung, beschränkt auf die für den geltend gemachten Grund notwendigen Informationen.

Anwendungsszenarien

Wechsel der Fachsoftware. Die Hosting-Zertifizierung des neuen Dienstleisters, die Datenübertragbarkeit sowie das Exportformat prüfen. Eine Migration ohne Wiederherstellungsplan setzt dem Verlust von Akten aus, deren Aufbewahrungsfristen weiterhin laufen.

Gemeinschaftspraxis. Die Zugriffsrechte je nach behandelnder Person und Patient differenzieren, statt die gesamte Akte allen zugänglich zu machen. Dies ist der häufigste Prüfpunkt und betrifft ebenso die Organisation wie die Technik – ein Thema, das in unserem Artikel über die administrative Compliance einer Arztpraxis.

Auskunftsersuchen eines Patienten. Identität prüfen, ausgeschlossene Informationen isolieren, die je nach Alter geltende Frist einhalten. Anfrage und Antwort dokumentieren: Die Einhaltung der Frist muss nachgewiesen werden können.

Häufig gestellte Fragen

Braucht man einen zertifizierten Hosting-Anbieter? Ja, sobald Gesundheitsdaten im Auftrag Dritter im Rahmen von Prävention, Diagnose oder Behandlung gehostet werden. Die Überprüfung obliegt dem Verantwortlichen der Verarbeitung, nicht dem Dienstleister.

Wie lange muss eine Patientenakte aufbewahrt werden? Zwanzig Jahre ab dem letzten Aufenthalt in einer Einrichtung, mit Verlängerung bis zum achtundzwanzigsten Geburtstag, falls der Patient minderjährig war, und mindestens zehn Jahre ab einem Todesfall, der innerhalb von zehn Jahren eingetreten ist.

Kann der Patient seine Akte einsehen? Ja, direkt und ohne Angabe von Gründen, innerhalb der vorgesehenen Fristen, die sich bei Informationen über fünf Jahre verlängern. Es dürfen nur die Kosten für Vervielfältigung und Versand verlangt werden.

Ist die Protokollierung der Zugriffe verpflichtend? Ja, und sie schützt sowohl die Fachperson als auch den Patienten: Ohne Protokoll kann ein umstrittener Zugriff weder nachgewiesen noch widerlegt werden.

Darf eine Fachperson jede Akte der Einrichtung einsehen? Nein. Der Zugriff beschränkt sich auf die für die jeweilige Aufgabe im Rahmen der Behandlung des betreffenden Patienten notwendigen Informationen. Die Zugriffsrechte müssen entsprechend differenziert werden.

Dürfen die Daten für statistische Zwecke verwendet werden? Nicht im Rahmen der Behandlungsverarbeitung. Jede sekundäre Nutzung erfordert eine eigene Rechtsgrundlage sowie gegebenenfalls eine gesonderte Information der betroffenen Personen.

Zusammenfassung

Zwei Regelungssysteme überlagern sich und müssen getrennt behandelt werden. Der Datenschutz verlangt, dass für jede Verarbeitung die Ausnahme benannt wird, die sie rechtmäßig macht – der Behandlungszweck deckt keine sekundären Nutzungen ab. Das französische Gesundheitsgesetzbuch schreibt seine eigenen Aufbewahrungsfristen vor, die sich über Jahrzehnte erstrecken und bei Rechtsbehelfen ausgesetzt werden.

Zwischen beiden gibt es ein Instrument, das beiden Regelungssystemen zugleich dient: die Protokollierung der Zugriffe in Verbindung mit differenzierten Zugriffsrechten. Damit lässt sich nachweisen, dass die Grenze des „für die Aufgabe Notwendigen“ eingehalten wurde, und ebenso schützt es die Fachperson, wenn ihr ein Zugriff vorgeworfen wird. Diese Überlegung entspricht jener, die auch für die Einholung der Einwilligung gilt: Was nicht dokumentiert ist, kann weder bewiesen noch widerlegt werden.