Wer hat wie Zugriff auf die elek­tro­ni­sche Pati­en­ten­akte? (6/10)

In welcher Art und Weise der Zugriff der berechtigten Leistungserbringereinrichtungen erfolgen kann, wird Ihnen in den Kapiteln 6.2, 6.3 und 6.4 erläutert.

Die Berechtigung für den Zugriff auf Ihre ePA erteilen Sie stets den Leistungserbringereinrichtungen, und nicht nur einzelnen Personen wie z. B. der behandelnden Ärztin bzw. dem behandelnden Arzt. Bei größeren Leistungserbringereinheiten wie beispielsweise einem Medizinischen Versorgungszentrum oder einem Krankenhaus kann dies bedeuten, dass neben Ihrer behandelnden Ärztin oder Ihrem Arzt eine Vielzahl weiterer Personen des medizinischen Fachpersonals der gleichen Leistungserbringereinheit rein technisch auf die Daten zugreifen können. Ein Zugriff darf jedoch nur erfolgen, soweit dies tatsächlich zu Behandlungszwecken erforderlich ist. Überdies ist jede Leistungserbringereinrichtung gesetzlich verpflichtet, zu protokollieren, wer wann, auf welche Daten Ihrer ePA zugegriffen hat.

Mit der Zugriffsberechtigung auf die ePA willigen Sie automatisch in die Verarbeitung Ihrer persönlichen Daten durch die jeweilige Leistungserbringereinrichtung ein. Dazu nutzen Sie die von Ihrer Krankenkasse bereitgestellte ePA-Anwendung. Sie können den Zugriff aber auch direkt vor Ort, in der Praxis oder im Krankenhaus, mithilfe Ihrer elektronischen Gesundheitskarte (eGK) und der zugehörigen PIN auf den vor Ort verfügbaren Geräten gewähren. Solche Geräte, wie z. B. das Kartenterminal, sind von der Gesellschaft für Telematik (gematik) geprüft und zugelassen.

Zudem kann Ihre Krankenkasse - nachdem Sie sie dazu aufgefordert und berechtigt haben - Daten zu von Ihnen in Anspruch genommenen Leistungen in der ePA ablegen. Diese Daten umfassen z. B. Diagnosen, eingelöste Rezepte u. Ä. Wie bei einer Leistungserbringereinrichtung können Sie auch Ihrer Krankenkasse eine einmal erteilte Zugriffsberechtigung jederzeit wieder entziehen. Die Beauftragung und Berechtigung der Krankenkasse zur Übermittlung der Leistungsauskunft sowie die Beendigung können Sie direkt über die ePA-Anwendung veranlassen. Ein Zugriff auf die Daten in der ePA ist für die Krankenkasse damit nicht verbunden.

Neben Leistungserbringereinrichtungen können Sie auch Personen, denen Sie besonders vertrauen, zum ePA-Zugriff berechtigen. Dies sind die sogenannten Vertreterinnen bzw. Vertreter. Ihre Vertretung hat grundsätzlich die gleichen Zugriffsmöglichkeiten wie Sie selbst, kann Leistungserbringereinrichtungen Zugriffe gewähren oder entziehen und die Krankenkassen zur Datenbereitstellung auffordern. Ihre Vertretung kann Ihre ePA jedoch weder löschen noch weitere Vertreterinnen oder Vertreter benennen bzw. Vertretungen widerrufen (weitere Informationen zu Vertretungsregelungen finden Sie in Kapitel 8 ).

Gesetzliche Vertreterinnen und Vertreter können zudem auf die Akte der zu vertretenden  Person zugreifen. So können beispielsweise Eltern eine ePA ihres mitversicherten Kindes führen.

Sofern Sie einwilligen, können auch Hersteller von digitalen Gesundheitsanwendungen Ihre in der jeweiligen Anwendung erhobenen Gesundheitsdaten in Ihre ePA übertragen. Der Hersteller der Gesundheitsanwendung wiederum hat keinen Zugriff auf die Daten in Ihrer ePA. Dies ist gesetzlich nicht erlaubt. Die zusätzlich erforderliche Erteilung der entsprechenden Berechtigung für eine digitale Gesundheitsanwendung führen Sie über die ePA-Anwendung Ihrer Krankenkasse durch. Weitere Informationen dazu erhalten Sie von Ihrer Krankenkasse.

6.1 Welche rechtlichen Vorgaben für Leistungserbringer gibt es?

Auch wenn Sie eine Berechtigung erteilt haben, darf ein Leistungserbringer (bzw. das medizinische Personal der Leistungserbringereinrichtung) nur auf Daten in Ihrer persönlichen ePA zugreifen, wenn dieser Leistungserbringer in Ihre Behandlung eingebunden ist und wenn die Daten aus Ihrer ePA für Ihre Versorgung erforderlich sind. Dies ist darin begründet, dass rechtlich zwischen der technischen Erteilung einer Zugriffsberechtigung und der "Erlaubnis" zur Datenverarbeitung, der sogenannten Einwilligung, zu unterscheiden ist. Selbst wenn Sie eine technische Berechtigung für einen Leistungserbringer erteilt haben, der nicht in Ihre Behandlung eingebunden ist, darf dieser nicht ohne Weiteres auf Ihre ePA-Daten zugreifen. Denn der Zugriff setzt eine rechtsgültige Einwilligung voraus. Diese muss freiwillig, für einen konkreten Fall, nach ausreichender Information der bzw. des Betroffenen und unmissverständlich abgegeben werden.

Sie können gegenüber einer Leistungserbringereinrichtung die Einwilligung in die Verarbeitung Ihrer in der ePA gespeicherten Daten jederzeit widerrufen. Dies können Sie in der von Ihrer Krankenkasse zur Verfügung gestellten ePA-Anwendung durchführen. Falls Sie die ePA-Anwendung nicht nutzen, können Sie der betroffenen Leistungserbringereinrichtung diese Rechte beispielsweise bei Ihrem nächsten Besuch in der Praxis entziehen, indem Sie eine neue Berechtigung mit einer Dauer von einem Tag erteilen. Mit Ablauf des eingestellten Tages kann nicht länger auf die ePA zugegriffen werden.

Für einige Leistungserbringer hat der Gesetzgeber festgelegt, dass sie grundsätzlich nur bestimmte Informationen in Ihrer ePA einsehen dürfen. Über diese gesetzlich festgelegten Zugriffsrechte hinaus können Sie keine Berechtigung zum Zugriff erteilen. Zum Beispiel darf eine Apothekerin bzw. ein Apotheker keine Daten aus Ihrem elektronischen Zahn-Bonusheft einsehen. Sie können der Apothekerin bzw. dem Apotheker deshalb auch keinen Zugriff auf Ihr elektronisches Zahnbonusheft erlauben.

6.2 Welcher Leistungserbringer darf auf welche Daten in der ePA zugreifen?

Welcher Leistungserbringer auf welche Daten zugreifen darf, hat der Gesetzgeber detailliert in § 352 SGB V geregelt. Diese Regelungen haben wir für Sie in der Tabelle in diesem Kapitel zusammengefasst.

Natürlich ist der Zugriff auf die Daten in Ihrer ePA immer nur unter der Voraussetzung möglich, dass Sie die jeweilige Leistungserbringereinrichtung dazu berechtigt haben und diese an die TI angeschlossen ist. Wichtig ist, dass Sie bei Vergabe der Berechtigungen an Ihre behandelnden Leistungserbringer die Berechtigungen im Vergleich zur Tabelle weiter einschränken können. Die Vergabe von über die in der Tabelle dargestellten hinausgehenden Berechtigungen durch Sie ist entsprechend den gesetzlichen Vorgaben jedoch nicht zulässig.

Anhand der im Kapitel 6.3 und 6.4 dargestellten Möglichkeiten können Sie auf Wunsch genau kontrollieren, welche der an Ihrer Behandlung beteiligten Leistungserbringereinrichtungen auf welche in Ihrer ePA gespeicherten Daten zugreifen darf. So können Sie beispielsweise Befunde, die Sie als besonders vertraulich einstufen, nur mit der Hausarztpraxis teilen und vor dem Zugriff anderer an Ihrer Behandlung beteiligter Leistungserbringereinrichtungen verbergen.

Ein auslesender Zugriff (d. h. ein Kreuz in der Spalte "Auslesen") bedeutet dabei immer, dass die Daten aus der ePA heruntergeladen und in die Behandlungsdokumentation des jeweiligen Leistungserbringers übernommen werden können. Auch bei einem Entzug der Berechtigung bleiben Daten, die Leistungserbringer in ihre Behandlungsdokumentation übernommen haben, für die ehemals berechtigte Leistungserbringereinrichtung verfügbar. Der Grund dafür ist, dass sie die Daten durch die Übernahme aus der ePA heruntergeladen und eine eigene Kopie der Daten erstellt haben. Dies ist aus rechtlicher Sicht erforderlich, da Leistungserbringer ihre Behandlung medizinisch vollständig dokumentieren müssen.

Wer darf auf welche Daten zugrei­fen?

Das Bild ist noch nicht vollständig geladen. Falls Sie dieses Bild drucken möchten, brechen Sie den Prozess ab und warten Sie, bis das Bild komplett geladen ist. Starten Sie dann den Druckprozess erneut.

Beispiel 1: Die dargestellte Tabelle zeigt Ihnen, dass beispielsweise Ärztinnen und Ärzte sowie das Personal in ärztlichen Leistungserbringereinrichtungen - ohne weitere Einschränkungen bei Ihrer Berechtigungsvergabe - auf alle Daten von Leistungserbringern schreibend, auslesend und löschend zugreifen können. Auf Daten, die von Ihnen oder von weiteren Anbietern bereitgestellt werden, können an Ihrer Behandlung beteiligte Ärztinnen und Ärzte nur auslesend sowie zum Löschen zugreifen.

Beispiel 2: Apothekerinnen und Apotheker (sowie das Personal der Apotheke) haben - ohne weitere Einschränkungen bei Ihrer Berechtigungsvergabe - auf den elektronischen Medikationsplan, die elektronische Impfdokumentation sowie Verordnungsdaten und Dispensierinformationen von Rezepten schreibenden Zugriff, d. h., sie können diese Daten in Ihrer ePA anlegen und aktualisieren. Auf alle anderen Dokumente können berechtigte Apothekerinnen und Apotheker sowie das Apothekenpersonal ausschließlich auslesend zugreifen.

Beispiel 3: Heilmittelerbringer inkl. Personal wie z. B. Physiotherapeutinnen und Physiotherapeuten können mit Ausnahme der Impfdokumentation bei entsprechender Vergabe der Berechtigungen alle Daten in der ePA auslesen. Daten zu Befunden, Diagnosen, durchgeführten und geplanten Therapiemaßnahmen sowie zu Behandlungsberichten und sonstige untersuchungs- und behandlungsbezogene medizinische Informationen können von Physiotherapeutinnen und Physiotherapeuten geschrieben werden. Auch das Löschen ist möglich. Schreiben und Löschen können Physiotherapeutinnen und Physiotherapeuten aber nur solche Daten, die sie selbst oder andere Physiotherapeutinnen und Physiotherapeuten in Ihre Akte eingestellt haben.

6.3 Wie funktioniert die Erteilung von Berechtigungen konkret?

Mit der von Ihrer Krankenkasse bereitgestellten ePA-Anwendung können Sie Ihre ePA bequem verwalten. Dort stellen Sie ein, wer welche Daten in Ihrer ePA einsehen kann. Sie bestimmen auch, wie lange Sie den Zugriff erlauben wollen. Voreingestellt sind sieben Tage. Sie können dabei eine Dauer von einem Tag bis "unbegrenzt" wählen. Nach Ablauf der von Ihnen gewählten Zeit endet die Berechtigung für die jeweilige Leistungserbringereinrichtung automatisch. Sie kann die Dokumente dann nicht mehr in der ePA einsehen. Für die Praxisdokumentation lokal heruntergeladene Kopien sind allerdings für den Leistungserbringer weiterhin verfügbar. Grundsätzlich können Sie einmal erteilte Berechtigungen jederzeit wieder entziehen. Wenn Sie Hilfe bei der Bedienung der ePA-Anwendung brauchen, hilft Ihnen Ihre Krankenkasse gerne weiter.

Wenn Sie keine ePA-Anwendung nutzen oder wenn Sie Ihr Endgerät z. B. beim Arztbesuch einmal nicht zur Hand haben, können Sie trotzdem Zugriffe auf Ihre ePA erlauben. Dazu benötigen Sie Ihre eGK und die dazugehörige PIN (persönliche Identifikationsnummer). Der Vorgang funktioniert ähnlich wie das Bezahlen mit Bankkarte und PIN im Supermarkt. Die eGK wird in einem Lesegerät beim Leistungserbringer eingelesen. Anschließend geben Sie Ihre PIN ein und bestätigen so, welche Daten die Leistungserbringereinrichtung einsehen darf. Die Vergabe von Berechtigungen auf Kategorienbasis (mittelgranular) bei der Leistungserbringereinrichtung überschreibt feingranulare Berechtigungsvergaben aus dem Frontend der bzw. des Versicherten, falls solche schon erfolgt sind. Sollten Sie die PIN nutzen wollen, aber noch keine erhalten haben, wenden Sie sich bitte an Ihre Krankenkasse.

6.4 Wie berechtige ich einen an meiner Behandlung beteiligte Leistungserbringereinrichtung konkret? 

Die Mitarbeitenden einer Leistungserbringereinrichtung können auf die Daten, die in Ihrer persönlichen ePA gespeichert sind, erst dann zugreifen, wenn Sie der Einrichtung hierzu eine Berechtigung erteilt haben. Das Erteilen der Berechtigung über die ePA-Anwendung oder das Kartenterminal in der Arztpraxis oder im Krankenhaus entspricht der Einwilligung in die Datenverarbeitung. Sämtliche Berechtigungen, die Sie erteilen, werden in Ihrer ePA gespeichert. Mithilfe der von der Krankenkasse bereitgestellten ePA-Anwendung können Sie diese jederzeit einsehen und bei Bedarf anpassen.

Wen Sie berechtigen dürfen, regelt der Gesetzgeber in § 352 SGB V (vgl. Kapitel 6.2). Dort werden die Einrichtungen und Personengruppen genannt. Die im Folgenden genannten Personengruppen sind bereits an die Telematikinfrastruktur (TI) angeschlossen:

• Ärztinnen und Ärzte, Zahnärztinnen und Zahnärzte, Psychotherapeutinnen und Psychotherapeuten sowie Angestellte dieser Berufsgruppen
• Apothekerinnen und Apotheker sowie Personen, die bei diesen beschäftigt sind
• Krankenhäuser

Die nachfolgenden Gruppen werden Schritt für Schritt an die TI angeschlossen, so dass Sie ihnen dann auch eine Zugriffsberechtigung erteilen können:

• Gesundheits- und Krankenpflegerinnen und -pfleger, Gesundheits- und Kinderkrankenpflegerinnen und -pfleger, Altenpflegerinnen und -pfleger, Pflegefachfrauen und Pflegefachmänner sowie deren Helferinnen und Helfer, die in die medizinische oder pflegerische Versorgung der Versicherten eingebunden sind
• Hebammen, Entbindungspfleger und Physiotherapeutinnen und -therapeuten sowie deren angestellte Helferinnen und Helfer sowie Auszubildende
• Ärztinnen und Ärzte sowie andere Personen, die bei einer für den Öffentlichen Gesundheitsdienst zuständigen Behörde tätig sind, soweit dies zur Erfüllung ihrer Aufgaben nach dem Infektionsschutzgesetz erforderlich ist
• Fachärztinnen und Fachärzte für Arbeitsmedizin sowie Betriebsärztinnen und Betriebsärzte

6.4.1    Wie erteile ich Berechtigungen in der ePA-Anwendung?

Sie haben die Möglichkeit, den Zugriff auf die ePA mittels verschiedener Berechtigungen zu steuern. Dazu stehen ihnen die folgenden Möglichkeiten zur Verfügung.

Grobgranulare Erteilung von Berechtigungen

Über die Erteilung von Berechtigungen in der ePA-Anwendung steuern Sie, welche Leistungserbringereinrichtung auf welche Dokumente zugreifen kann. Eine Möglichkeit ist die Steuerung anhand der bereits genannten Kategorien. In diesem Fall berechtigen Sie Leistungserbringereinrichtungen dazu, auf eine oder mehrere Kategorien zuzugreifen (Näheres dazu in Kapitel 5.3). Die Mitarbeitenden einer Leistungserbringereinrichtung erhalten dann Zugriff auf die Dokumente in der Vertraulichkeitsstufe "normal", sofern Sie nichts anderes festlegen (vgl. Kapitel 5.4). 

Mittelgranulare Erteilung von Berechtigungen

Weitere Möglichkeiten der Zugriffssteuerung über die ePA-Anwendung ergeben sich durch die Auswahl einer Kategorie in Kombination mit einer Vertraulichkeitsstufe. Dies können die Vertraulichkeitsstufen "normal" oder "vertraulich" sein. Im Zuge der Berechtigung einer Leistungserbringereinrichtung legen Sie fest, auf welche Dokumentenkategorie mit welcher Vertraulichkeitsstufe der Zugriff gewährt werden soll. Die Erteilung von Zugriffen auf Dokumente mit der Vertraulichkeitsstufe "streng vertraulich" ist damit nicht möglich.

Feingranulare Erteilung von Berechtigungen

Die feinste Abstufung hinsichtlich der Zugriffsrechte in der Anwendung erhalten Sie, indem Sie auf Ebene einzelner Dokumente bestimmen, wer darauf zugreifen darf. Dadurch können Sie beispielsweise Zugriff auf Dokumente mit der Vertraulichkeitsstufe "streng vertraulich" gewähren. 

Zusammenfassend

Die grobgranulare Berechtigungsvergabe bezeichnet die Erteilung von Berechtigungen auf Basis der Kategorien. Bei der mittelgranularen Berechtigungsvergabe erteilen Sie Berechtigungen auf eine der in Kapitel 5.3 genannten Kategorien und Bereiche in Kombination mit den Vertraulichkeitsstufen "normal" oder "vertraulich". Bei der feingranularen Berechtigungsvergabe berechtigen Sie auf Basis eines einzelnen Dokuments. Dokumente, die Sie mit der Vertraulichkeitsstufe "streng vertraulich" versehen haben, können Sie nur mithilfe der feingranularen Berechtigungsvergabe Ihren Leistungserbringern zugänglich machen.

Die Möglichkeiten der grob- und mittelgranularen Berechtigungsvergabe stehen Ihnen sowohl in der ePA-Anwendung als auch beim Leistungserbringer zur Verfügung. Feingranulare Berechtigungen können Sie ausschließlich in der ePA-Anwendung vergeben.

Zudem können Sie in der ePA-Anwendung auch festlegen, welche Vertraulichkeitsstufe eingestellte Dokumente standardmäßig bekommen sollen. Diese gilt dann für alle von Ihren Leistungserbringern oder Ihnen selbst eingestellten Dokumente. Selbstverständlich können Sie diese Voreinstellung beim Einstellen eines Dokuments auch individuell überschreiben, indem Sie eine andere Vertraulichkeitsstufe wählen. Außerdem können Sie in Ihrer ePA-Anwendung die Vertraulichkeitsstufe eines Dokuments jederzeit ändern.

Wenn Sie eine Berechtigung erteilen, legen Sie in der ePA-Anwendung auch fest, wie lange diese gelten soll. Sie haben die Wahl zwischen einer Berechtigungsdauer von mindestens einem Tag bis unbegrenzt.

6.4.2    Wie erteile ich Berechtigungen ohne die ePA-Anwendung, wenn ich z. B. beim Leistungserbringer vor Ort bin oder die ePA-Anwendung nicht nutze?

Ohne ePA-Anwendung können Sie Berechtigungen direkt vor Ort in der Leistungserbringereinrichtung erteilen. Sprechen Sie dazu das Personal der Einrichtung an und teilen Sie mit, für welche Kategorie (vgl. Kapitel 5.3 und für welchen Zeitraum Sie Berechtigungen erteilen möchten.

Zur Kontrolle der Erteilung der Berechtigungen zeigt Ihnen das Kartenterminal des Leistungserbringers die von ihm angeforderten Berechtigungen Schritt für Schritt an. Zur Erteilung der Berechtigung bestätigen Sie diese auf dem Kartenterminal. Durch diesen Prozess haben Sie auch in der Leistungserbringerumgebung die Kontrolle darüber, wen Sie zu welchem Zugriff berechtigen. Bitte denken Sie daran, dass Sie zur Erteilung von Berechtigungen in der Arztpraxis Ihre eGK und die zugehörige PIN benötigen.

Bitte beachten Sie, dass Sie bei einer in der Leistungserbringereinrichtung direkt vor Ort erteilten Zugriffsberechtigung ausschließlich Berechtigungen für die Vertraulichkeitsstufen "normal" und "vertraulich" erteilen können. Eine Erteilung von Berechtigungen für Dokumente mit der Vertraulichkeitsstufe "streng vertraulich" ist vor Ort beim Leistungserbringer nicht möglich. Dies dient dem Schutz Ihrer als "streng vertraulich" gekennzeichneten Daten.