Elektronische Krankenakte: Sicherheitsstandards 2026

Die elektronische Patientenakte unterliegt zwei Regelungssystemen, die sich nicht decken: dem Datenschutzrecht, das Gesundheitsdaten als besondere Kategorie behandelt, die grundsätzlich einem Verarbeitungsverbot unterliegt, und dem französischen Gesundheitsgesetzbuch (Code de la santé publique), das eigene Aufbewahrungsfristen und eigene Zugriffsrechte vorschreibt. Die Einhaltung des einen Regelwerks bedeutet nicht automatisch die Einhaltung des anderen, und die meisten festgestellten Verstöße beruhen genau auf dieser Verwechslung.

Hosting: eine verpflichtende Zertifizierung

Jede Person, die personenbezogene Gesundheitsdaten im Auftrag Dritter im Rahmen von Präventions-, Diagnose- oder Behandlungstätigkeiten hostet, muss hierfür zertifiziert sein.

Diese Pflicht ist grundlegend und wird oft erst spät entdeckt. Sie hängt weder vom Datenvolumen noch von der Größe der Einrichtung ab: Eine Praxis, die ihre Fachsoftware einem Online-Dienstleister anvertraut, muss sicherstellen, dass das Hosting der Daten durch einen zertifizierten Anbieter erfolgt. Die Verantwortung für diese Prüfung liegt beim Verantwortlichen der Verarbeitung, also bei dem Angehörigen eines Gesundheitsberufs oder der Einrichtung, und nicht beim Dienstleister.

Daraus ergeben sich zwei praktische Konsequenzen: Der Auftragsverarbeitungsvertrag muss diese Zertifizierung und ihren Geltungsbereich ausdrücklich nennen, und bei einem Wechsel des Dienstleisters oder der Infrastruktur muss diese Abdeckung erneut geprüft werden.

Die Regelung für Gesundheitsdaten

Gesundheitsdaten gehören zu einer besonderen Kategorie, deren Verarbeitung grundsätzlich untersagt ist. Eine Verarbeitung ist nur zulässig, wenn sie unter eine der abschließend vorgesehenen Ausnahmen fällt – insbesondere die medizinische Versorgung, die Präventivmedizin oder die ausdrückliche Einwilligung der betroffenen Person.

Diese umgekehrte Systematik hat eine unmittelbare Folge: Für jede Verarbeitung muss die Ausnahme benannt werden können, auf der sie beruht. Eine sekundäre Nutzung der Daten – interne Statistiken, Verbesserung eines Tools, Forschung – lässt sich nicht aus der Rechtmäßigkeit der Behandlungsverarbeitung ableiten; sie benötigt eine eigene Rechtsgrundlage.

Hinzu kommen die allgemeinen Pflichten: Verzeichnis der Verarbeitungstätigkeiten, Information der betroffenen Personen, festgelegte Aufbewahrungsfristen sowie eine Datenschutz-Folgenabschätzung, wenn die Verarbeitung ein hohes Risiko birgt – was bei einer elektronischen Patientenakte häufig der Fall ist.

Die Aufbewahrungsfristen

Sie ergeben sich aus dem Code de la santé publique und nicht allein aus dem Grundsatz der Speicherbegrenzung.

Eine in einer Gesundheitseinrichtung angelegte Patientenakte wird zwanzig Jahre lang ab dem letzten stationären Aufenthalt oder der letzten ambulanten Konsultation aufbewahrt. Zwei besondere Regeln überlagern diese Frist:

• Bei einem Patienten, der zur Zeit der Behandlung minderjährig war, verlängert sich die Aufbewahrungsfrist bis zu seinem 28. Geburtstag, sofern dieser Zeitpunkt später liegt.
• Im Falle des Todes des Patienten weniger als zehn Jahre nach dem letzten Aufenthalt wird die Akte mindestens zehn Jahre ab dem Todesdatum aufbewahrt.

Diese Fristen werden durch jeden außergerichtlichen oder gerichtlichen Rechtsbehelf gehemmt, der auf die Haftung der Einrichtung oder der Angehörigen eines Gesundheitsberufs abzielt.

Der Zusammenhang mit den Verjährungsfristen für Haftungsklagen ist unmittelbar: Die Klage verjährt zehn Jahre nach Konsolidierung des Schadens, und eine vorzeitig vernichtete Akte nimmt dem Angehörigen eines Gesundheitsberufs sein wichtigstes Verteidigungsmittel – ein Thema, das wir ausführlich in unserem Artikel über die zivilrechtliche Berufshaftung.

Die Nachvollziehbarkeit der Zugriffe

Dies ist die operativ wichtigste Anforderung, und ihr Fehlen lässt sich am schwersten nachträglich beheben.

Jeder Zugriff auf die Akte muss protokolliert werden: wer wann auf welches Element zugegriffen hat. Diese Protokollierung erfüllt zwei unterschiedliche und einander ergänzende Funktionen.

Sie verhindert und erkennt unrechtmäßige Zugriffe, die zu den häufigsten Verstößen in Einrichtungen zählen – etwa das Einsehen der Akte eines Kollegen, eines Angehörigen oder einer bekannten Person.

Sie schützt den Angehörigen eines Gesundheitsberufs, indem sie den Nachweis ermöglicht, dass ein vorgeworfener Zugriff nicht stattgefunden hat oder dass ein bestrittener Zugriff tatsächlich im Rahmen der Behandlung erfolgte. Ohne Protokoll lässt sich ein Verdacht weder bestätigen noch ausräumen.

Darüber hinaus müssen die Zugriffsrechte je nach Aufgabe differenziert werden: Die Zugehörigkeit zum Behandlungsteam eröffnet nicht den Zugriff auf die gesamte Akte, sondern nur auf die notwendigen Informationen, wie unser Artikel über die ärztliche Schweigepflicht.

Das Zugangsrecht des Patienten

Der Patient hat direkten Zugang zu sämtlichen ihn betreffenden Gesundheitsinformationen, ohne seinen Antrag begründen zu müssen.

Die Übermittlung erfolgt frühestens nach einer Bedenkzeit und spätestens innerhalb einer Frist, die sich verlängert, wenn die Informationen älter als fünf Jahre sind. Etwaige Kosten beschränken sich auf die Kosten für Vervielfältigung und Versand.

Zwei Einschränkungen begrenzen dieses Recht: Informationen, die von Dritten stammen, die nicht an der Behandlung beteiligt sind, sind davon ausgeschlossen, ebenso wie Informationen über solche Dritte. Nach dem Tod des Patienten unterliegt der Zugang der Erben einem eigenen Regime, das auf die für den geltend gemachten Grund erforderlichen Informationen beschränkt ist.

Anwendungsszenarien

Wechsel der Fachsoftware. Die Hosting-Zertifizierung des neuen Anbieters, die Reversibilität der Daten und das Exportformat prüfen. Eine Migration ohne Wiederherstellungsplan birgt das Risiko, Akten zu verlieren, für die die Aufbewahrungsfristen noch laufen.

Gemeinschaftspraxis. Die Zugriffsrechte nach Behandler und Patient differenzieren, statt die gesamte Akte für alle zu öffnen. Dies ist der am häufigsten kontrollierte Punkt und betrifft ebenso sehr die Organisation wie die Technik – ein Thema, das wir in unserem Artikel über die administrative Compliance einer Arztpraxis.

Zugangsantrag eines Patienten. Die Identität prüfen, die ausgeschlossenen Informationen aussondern, die je nach Alter der Daten geltende Frist einhalten. Antrag und Antwort dokumentieren: Die Einhaltung der Frist muss nachweisbar sein.

Häufig gestellte Fragen

Ist ein zertifizierter Hosting-Anbieter erforderlich? Ja, sobald Gesundheitsdaten im Auftrag Dritter im Rahmen von Prävention, Diagnose oder Behandlung gehostet werden. Die Prüfung obliegt dem Verantwortlichen der Verarbeitung, nicht dem Dienstleister.

Wie lange muss eine Patientenakte aufbewahrt werden? Zwanzig Jahre ab dem letzten Aufenthalt in der Einrichtung, mit Verlängerung bis zum 28. Lebensjahr des Patienten, sofern dieser minderjährig war, und mindestens zehn Jahre ab dem Tod, wenn dieser innerhalb von zehn Jahren eintritt.

Kann der Patient seine Akte einsehen? Ja, direkt und ohne Angabe von Gründen, innerhalb der vorgesehenen Fristen, die sich für Informationen verlängern, die älter als fünf Jahre sind. Es dürfen nur die Kosten für Vervielfältigung und Versand berechnet werden.

Ist die Protokollierung der Zugriffe verpflichtend? Ja, und sie schützt sowohl den Angehörigen eines Gesundheitsberufs als auch den Patienten: Ohne Protokoll lässt sich ein bestrittener Zugriff weder nachweisen noch ausschließen.

Darf ein Angehöriger eines Gesundheitsberufs jede Akte der Einrichtung einsehen? Nein. Der Zugriff beschränkt sich auf die für seine Aufgabe im Rahmen der Behandlung des betreffenden Patienten notwendigen Informationen. Die Zugriffsrechte müssen entsprechend differenziert werden.

Dürfen die Daten für statistische Zwecke genutzt werden? Nicht im Rahmen der Behandlungsverarbeitung. Jede sekundäre Nutzung erfordert eine eigene Rechtsgrundlage und gegebenenfalls eine gesonderte Information der betroffenen Personen.

Das Wichtigste in Kürze

Zwei Regelungssysteme überlagern sich und müssen getrennt behandelt werden. Der Datenschutz verlangt, für jede Verarbeitung die Ausnahme zu benennen, die sie rechtmäßig macht – der Behandlungszweck deckt keine sekundären Nutzungen ab. Der Code de la santé publique schreibt eigene Aufbewahrungsfristen vor, die in Jahrzehnten bemessen sind und bei Rechtsbehelfen gehemmt werden.

Zwischen beiden gibt es ein Instrument, das beiden Regelungssystemen zugleich dient: die Protokollierung der Zugriffe in Verbindung mit differenzierten Zugriffsrechten. Sie ermöglicht den Nachweis, dass die Grenze des „für die Aufgabe Erforderlichen“ eingehalten wurde, und sie schützt zugleich den Angehörigen eines Gesundheitsberufs, wenn ihm ein Zugriff vorgeworfen wird. Die gleiche Überlegung gilt auch für die Einholung der Einwilligung: Was nicht dokumentiert ist, kann weder bewiesen noch widerlegt werden.