Die Gematik-ePA: Was sie ist und was sie kann

Die ePA nach § 341 SGB V ist eine zentrale, von der Gematik spezifizierte digitale Gesundheitsakte. Seit Januar 2025 wird sie automatisch für alle gesetzlich Versicherten angelegt (Opt-Out-Verfahren). Die wichtigsten Fakten:

• Zugang: Patienten über die App ihrer Krankenkasse, Ärzte über die Telematikinfrastruktur (TI) und ihr PVS
• Inhalte: Befunde, Diagnosen, Therapiemaßnahmen, Medikationsplan, Impfpass, Mutterpass, Vorsorge-Untersuchungen
• Berechtigungen: Der Patient entscheidet, welcher Arzt welche Daten sehen darf (feingranulare Zugriffssteuerung)
• Verschlüsselung: Dokumentenverschlüsselung nach BSI-Standards, Schlüssel liegt beim Patienten
• Serverstandort: Ausschließlich in Deutschland, betrieben von zertifizierten Anbietern (IBM Deutschland, T-Systems)

ePA vs. praxiseigene Patientenakte: Was ist der Unterschied?

Eine der häufigsten Verwechslungen: Die ePA ist nicht Ihre Praxissoftware. Sie ist eine übergeordnete Akte, die Informationen aus verschiedenen Praxen, Kliniken und Apotheken an einem Ort bündelt. Ihre praxiseigene Dokumentation bleibt davon unberührt.

Warum „Made in Germany" bei Patientendaten kein Marketingbegriff ist

In der Software-Branche wird „Made in Germany" inflationär verwendet. Bei Gesundheitsdaten hat der Begriff aber eine konkrete, rechtliche Bedeutung:

• Datenverarbeitung in Deutschland: Alle Server stehen physisch in Deutschland – nicht nur in der EU, sondern in deutschen Rechenzentren. Das geht über DSGVO-Anforderungen hinaus und schützt vor Drittstaaten-Zugriff (z. B. US CLOUD Act).
• Deutsches Datenschutzrecht: Zusätzlich zur DSGVO gelten BDSG, Landesdatenschutzgesetze und das ärztliche Berufsrecht. Deutsche Aufsichtsbehörden haben direkten Zugriff auf die Anbieter.
• Ärztliche Schweigepflicht (§ 203 StGB): Ein strafrechtlicher Schutz, der über die DSGVO hinausgeht. Verstöße sind keine Ordnungswidrigkeit – sie sind eine Straftat.
• BSI-Standards: Das Bundesamt für Sicherheit in der Informationstechnik setzt mit dem C5-Testat und den technischen Richtlinien Standards, die international als vorbildlich gelten.

Für Ärzte bedeutet das konkret: Wenn Ihr Anbieter Patientendaten in Deutschland verarbeitet und nach BSI-Standards zertifiziert ist, haben Sie das höchste Schutzniveau, das weltweit verfügbar ist. Das ist kein Marketing – das ist juristisch belastbar.

Die Praxis-Realität: Was die ePA heute kann – und was noch fehlt

Nach einem Jahr ePA kann ich einen ehrlichen Erfahrungsbericht geben:

Was gut funktioniert: Der Medikationsplan wird erstmals sektorenübergreifend gepflegt. Ich sehe, was der Kardiologe meines Patienten verordnet hat, ohne anrufen zu müssen. Doppelverordnungen und Interaktionen werden sichtbar. Impfungen sind digital dokumentiert und abrufbar.

Was noch fehlt: Die Integration in die Praxissoftware ist oft umständlich – zusätzliche Klicks, langsame Ladezeiten über die TI. KI-Unterstützung gibt es in der ePA nicht. Und die tägliche Dokumentation – Arztbriefe, Befundberichte, Verlaufsdokumentationen – findet nach wie vor in der Praxissoftware statt.

Die ideale Kombination: ePA + KI-Dokumentation

Mein Workflow heute: Ich nutze DocReport für die tägliche Dokumentation – Arztbriefe per Diktat, automatische ICD-10-Kodierung, Qualitätsprüfung in Echtzeit. Die ePA nutze ich als übergeordnetes Informationssystem: Was haben andere Ärzte dokumentiert? Welche Medikamente nimmt der Patient?

So ergänzen sich beide Systeme perfekt: Die ePA liefert den Kontext, DocReport macht die tägliche Arbeit schnell und fehlerfrei. Beide „Made in Germany" – beide DSGVO-konform.

BSI TR-03161, ePA-Widerspruchsmanagement und Interoperabilitätsstandards

Die technische Architektur der elektronischen Patientenakte basiert auf strengen Sicherheitsvorgaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Insbesondere die Technische Richtlinie BSI TR-03161 definiert detaillierte Anforderungen an mobile und webbasierte Frontend-Komponenten digitaler Gesundheitsanwendungen. Hierbei wird sichergestellt, dass kryptografische Schlüssel ausschließlich lokal auf gesicherten Endgeräten verwaltet werden und eine End-to-End-Verschlüsselung (E2EE) auf dem Transport- und Ruhezustandsweg gewährleistet ist.

Mit dem Inkrafttreten des Digital-Gesetzes (DigiG) und des Gesundheitsdatennutzungsgesetzes (GDNG) hat der Gesetzgeber den Übergang vom Opt-In- zum gesetzlichen Opt-Out-Modell vollzogen (§ 341 Abs. 2 SGB V). Für Vertragsärztinnen und Vertragsärzte ergibt sich hieraus die Verpflichtung, behandlungsrelevante Daten – insbesondere Medikationspläne, Notfalldatensätze und strukturierte Befundberichte – automatisiert bereitzustellen, sofern der Patient dem Verfahren nicht ausdrücklich widersprochen hat. Das praxisinterne Widerspruchsmanagement muss nahtlos mit dem Praxisverwaltungssystem (PVS) synchronisiert sein, um unbefugte Datenübermittlungen nach Art. 9 Abs. 1 DSGVO und § 203 StGB rechtssicher zu unterbinden.

Auf semantischer Ebene fordern die Kassenärztliche Bundesvereinigung (KBV) und das BfArM standardisierte Interoperabilitätsformate auf Basis von HL7® FHIR® und LOINC. Der elektronische Arztbrief (eArztbrief) nach KBV-Spezifikation verlangt eine valide Strukturierung von Diagnosecodes nach ICD-10-GM, abrechnungsrelevanten OPS-Ziffern sowie Medikationsdaten im Bundeseinheitlichen Medikationsplan (BMP). KI-Assistenzsysteme wie DocReport AI schließen die funktionale Lücke zwischen unstrukturiertem Freitextdiktat und FHIR-konformer Bereitstellung, indem sie klinische Notizen in maschinenlesbare Primärdokumentation überführen.

Dabei bleibt das zivilrechtliche Fundament unberührt: Die Pflicht zur unverzüglichen und vollständigen Patientenaktenführung verbleibt nach § 630f BGB originär bei der behandelnden Ärztin bzw. dem behandelnden Arzt. Die ePA fungiert als sekundäres Austauschmedium, entbindet die Praxis jedoch nicht von einer revisionssicheren Primärdokumentation im internen Archiv nach § 630f Abs. 3 BGB über eine Mindestaufbewahrungsdauer von zehn Jahren.