Datenschutz & Recht in der elektronischen Patientenakte (ePA)

Die BIG ist dafür verantwortlich, dass die strengen gesetzlichen Vorgaben aus dem Sozialgesetzbuch und der Datenschutz-Grundverordnung im Rahmen der Nutzung der ePA eingehalten werden.

Die ePA wird auf Basis konkreter und nachprüfbarer Vorgaben umgesetzt. Diese Vorgaben spezifiziert die Gematik GmbH (Nationale Agentur für Digitale Medizin) im gesetzlichen Auftrag und stimmt diese mit den Spitzenorganisationen des deutschen Gesundheitswesens ab. Die ePA durchläuft einen umfangreichen Zertifizierungsprozess. Erst nach einer erfolgreichen Zertifizierung darf eine ePA angeboten werden. Wenn es sicherheitsrelevante Veränderungen gibt, muss die Zertifizierung wiederholt werden.

Die ePA wird mit hohen technischen und organisatorischen Sicherheitsmaßnahmen betrieben, einschließlich Verschlüsselung, sicherer Kommunikation im Gesundheitsnetz und strenger Zugriffs- und Protokollierungsmechanismen. BIG direkt gesund bietet den Zugriff über die eigene ePA-App an, deren Zulassung von der ausführlichen Prüfung durch die gematik abhängig ist.

Wichtig: Als Krankenkasse hat die BIG keinen Zugriff auf Daten und Dokumente innerhalb Ihrer ePA. 

Alle Informationen in der ePA werden mit höchstem Schutzniveau verschlüsselt und ausschließlich auf Servern innerhalb der EU gespeichert, die dem europäischen Datenschutzrecht unterliegen. Nur Sie besitzen den Schlüssel zum Entschlüsseln Ihrer Daten; weder die Krankenkasse noch die beteiligten IT‑Dienstleister – Bitmarck /RISE – können die Inhalte einsehen.

Alle elektronischen Patientenakten (ePA) und zugehörigen Apps müssen von der gematik (Nationale Agentur für Digitale Medizin) zugelassen werden. Sie prüft Funktion, Zusammenspiel mit anderen Systemen und Sicherheit – basierend auf Vorgaben, die gemeinsam mit dem BSI (Bundesamt für Sicherheit in der Informationstechnik) entwickelt wurden.

Die ePA‑App der BIG erfüllt daher hohe Sicherheitsstandards und kann auf Smartphones mit Android oder iOS sowie auf aktuellen Windows‑ und MacOS‑Computern genutzt werden.

Wichtig: Für die Sicherheit Ihres eigenen Geräts (z. B. Smartphone, PC, Betriebssystem) sind Sie selbst verantwortlich.

Seit 2025 gilt für die elektronische Patientenakte (ePA) das sogenannte Opt‑out‑Verfahren. Das bedeutet: Krankenkassen richten für alle Versicherten automatisch eine ePA ein – es sei denn, man widerspricht ausdrücklich. 

Die Nutzung der ePA ist und bleibt trotzdem freiwillig. Sie können jederzeit entscheiden, ob Sie die ePA nutzen wollen oder nicht. Widersprechen Sie nachträglich der ePA, wird Ihre ePA innerhalb von 30 Tagen gelöscht. Es entstehen Ihnen dabei keine Nachteile in der Behandlung, Sie können die Vorteile der ePA aber auch nicht nutzen.

Gut zu wissen: Mit der ePA-App haben Sie die Verwaltungshoheit über Ihre Daten. Sie können Dokumente jederzeit löschen oder verbergen. 

Sie selbst können Ihre elektronische Patientenakte jederzeit über die ePA‑App einsehen. Behandelnde Leistungserbringer erhalten nur dann Zugriff auf die für die aktuelle Behandlung relevanten Dokumente, wenn Ihre elektronische Gesundheitskarte eingelesen wird. Dieser Zugriff ist zeitlich begrenzt – in Arztpraxen zum Beispiel auf 90 Tage und in Apotheken auf 3 Tage – und endet danach automatisch. Über die ePA‑App können Sie diese Zugriffsrechte zudem jederzeit verkürzen, widerrufen oder dauerhaft vergeben, sodass Sie stets selbst bestimmen, wer Ihre Daten sehen darf.

Gut zu wissen: Eine Zugriffsperre kann auch über die Ombudsstelle der Krankenkasse eingerichtet werden, wenn Sie keine ePA-App nutzen. 

Mit der ePA App entscheiden Sie selbst, welche Dokumente in Ihrer ePA abgelegt, weitergegeben oder gelöscht werden. Die behandelnden Leistungserbringer stellen gesetzlich vorgesehene Daten ein und können diese auf Ihren Wunsch wieder löschen. 

Gut zu wissen: Die Daten werden lebenslang in der ePA gespeichert. Wenn eine Person stirbt, wird die Akte nach einer Frist von 12 Monaten gelöscht.

Über Ihre ePA‑App können Sie jederzeit sehen, wer wann auf Ihre elektronische Patientenakte zugegriffen hat – das Zugriffsprotokoll ist dort einsehbar.

Alternativ stellt Ihnen die Ombudsstelle der BIG die Protokolldaten zur Verfügung.