🇩🇪 Dieser Beitrag betrifft Deutschland. In Österreich und der Schweiz gelten andere Gesetze (NISG 2024 bzw. ISG/nDSG).

ePA Datenschutz: Dürfen Krankenkassen mitlesen?

Die Bundesregierung plant, Krankenkassen erweiterten Zugriff auf Patientendaten in der elektronischen Patientenakte zu geben. Die KBV lehnt das scharf ab und fordert Nachbesserungen am geplanten Digitalgesetz (GeDIG). Für Arztpraxen stellt sich jetzt eine wichtige Frage: Was bedeutet das für Sie und Ihre Patienten?

Betrifft mich das als Praxis?

Kurze Antwort: Ja — unabhängig von Praxisgrösse oder Fachrichtung.

Jede Arztpraxis in Deutschland, die an der gesetzlichen Krankenversicherung teilnimmt, ist über die Telematikinfrastruktur (TI) mit der ePA verbunden. Das gilt für die Einzelpraxis mit einer MPA genauso wie für das grössere MVZ.

Das geplante Gesetz für Daten und digitale Innovationen im Gesundheitswesen (GeDIG) ist noch kein geltendes Recht — der Kabinettsbeschluss fiel am 16. Juli 2026. Bevor das Gesetz in Kraft tritt, muss es noch Bundestag und Bundesrat passieren. Dennoch sollten Sie die Entwicklung jetzt aufmerksam verfolgen, denn die geplanten Regelungen würden den Alltag in Ihrer Praxis direkt berühren.

Was ist konkret geplant? - Krankenkassen sollen Patientendaten aus der ePA analysieren dürfen. - Auf Basis dieser Analyse sollen sie Versicherte mit „angeleiteten Informationen" versorgen — zum Beispiel Hinweise auf Verhaltensänderungen. - Krankenkassen sollen künftig personenbezogene Daten nicht nur aus der ePA, sondern auch von „anderen Stellen" erheben dürfen.

Die KBV spricht von einem „massiven Eingriff in die vertrauensvolle Arzt-Patienten-Beziehung" und warnt, dass die Akzeptanz der ePA insgesamt leiden könnte. Ein weiterer Kritikpunkt: Einen Nutzenbeleg für diese Art der Beratung durch Krankenkassen gibt es laut KBV nicht.

Hinweis: Für rechtliche Einschätzungen zu Ihren konkreten Pflichten wenden Sie sich an einen Anwalt oder Ihre Kassenärztliche Vereinigung.

Was ist zu tun?

Das GeDIG ist noch nicht in Kraft. Trotzdem gibt es jetzt sinnvolle Schritte:

1. Informiert bleiben

Verfolgen Sie die Entwicklung über die Praxisnachrichten Ihrer Kassenärztlichen Vereinigung und der KBV (kbv.de). Die Debatte um den ePA Datenschutz und Krankenkassenzugriff ist politisch noch offen.

2. Ihre Datenschutzdokumentation prüfen

Unabhängig vom GeDIG gilt bereits heute: Ihre Praxis muss nach DSGVO und BDSG dokumentieren, wie Patientendaten verarbeitet werden und wer Zugriff darauf hat. Prüfen Sie, ob Ihre Datenschutzerklärung und Ihr Verzeichnis der Verarbeitungstätigkeiten aktuell sind.

3. Patienten proaktiv informieren

Wenn Patienten Sie fragen, was mit ihren ePA-Daten passiert: Erklären Sie offen, was aktuell rechtlich gilt und was noch im Gesetzgebungsverfahren ist. Diese Transparenz stärkt das Vertrauen — und entlastet Sie, wenn Patienten künftig Briefe oder Hinweise von ihrer Krankenkasse erhalten.

4. Mehr Beratungszeit einplanen

Die KBV weist ausdrücklich darauf hin, dass Praxen durch Krankenkassenkommunikation an Versicherte einen erhöhten Beratungsaufwand haben werden. Planen Sie das in Ihrer Praxisorganisation ein.

5. Auf dem Stand der KBV-Richtlinie bleiben

Die KBV-Richtlinie nach §75b SGB V legt die IT-Sicherheitsanforderungen für Praxen fest. Sie gilt bereits seit 2020 und wird regelmässig aktualisiert. Stellen Sie sicher, dass Ihre Praxis die aktuellen Mindestanforderungen erfüllt — unabhängig von neuen Gesetzgebungen.

Checkliste: ePA Datenschutz in Ihrer Praxis

  • [ ] Verzeichnis der Verarbeitungstätigkeiten ist aktuell und enthält die ePA-Nutzung
  • [ ] Datenschutzerklärung für Patienten ist auf dem neuesten Stand (DSGVO-konform)
  • [ ] TI-Anbindung ist technisch sicher konfiguriert (VPN, Zugriffsrechte, Passwörter)
  • [ ] Mitarbeitende wissen, wer in der Praxis auf ePA-Daten zugreifen darf
  • [ ] Praxisverwaltungssystem (PVS) ist aktuell gepatcht und mit Updates versorgt
  • [ ] KBV-Richtlinie §75b SGB V: Mindestanforderungen sind erfüllt und dokumentiert
  • [ ] Patienten-Kommunikation vorbereitet: Was antworten Sie, wenn Patienten nach dem Krankenkassenzugriff fragen?
  • [ ] Entwicklung GeDIG im Blick behalten: Newsletter KBV, Kassenärztliche Vereinigung abonniert
  • [ ] Datenschutzbeauftragter (falls Pflicht) ist informiert und eingebunden
  • [ ] Meldepflichten bekannt: Datenpannen müssen innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden (Art. 33 DSGVO)

Tool-Tipp: ISMShield Micro für Arztpraxen

Die Diskussion um den ePA Datenschutz und Krankenkassen zeigt: Datenschutz in der Praxis ist kein einmaliges Projekt, sondern ein laufender Prozess. Genau dafür wurde ISMShield Micro entwickelt.

ISMShield Micro führt Sie Schritt für Schritt durch die IT-Sicherheitsanforderungen der KBV-Richtlinie nach §75b SGB V — ohne IT-Vorkenntnisse. Sie sehen auf einen Blick, welche Massnahmen in Ihrer Praxis bereits umgesetzt sind und wo noch Handlungsbedarf besteht. Das spart Zeit, gibt Sicherheit und hilft Ihnen, bei Prüfungen oder Rückfragen nachweisbar compliant zu sein.

👉 Jetzt mit ISMShield Micro starten 👉 Weitere Ratgeber für Arztpraxen

Stand: 17. Juli 2026. Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechts- oder Datenschutzberatung. Für rechtliche Fragen wenden Sie sich an einen spezialisierten Anwalt oder Ihre Kassenärztliche Vereinigung.

Diesen Schritt in 10 Minuten erledigen

Jetzt kostenlos starten →
Weitere Ratgeber-Artikel