EHDS-Primärnutzung: Patientenrechte, Pflichten rund um die Versorgung und die Folgen für die Systemlandschaft

Problem in der Praxis

Die häufigste Fehleinschätzung ist, aus Kapitel II heute einklagbare Pflichten des einzelnen Krankenhauses abzuleiten. Die zweite, das Gegenteil: den EHDS zu ignorieren, weil "erst die Mitgliedstaaten dran sind". Beides greift zu kurz. Die Rechte und die dahinterliegende Infrastruktur (Zugangsdienste, Austauschformat, MyHealth@EU) definieren, was ein EHR-System ab 2029 beziehungsweise 2031 können muss, und diese Anforderungen erreichen Leistungserbringer über drei Wege: unmittelbar aus der Verordnung (Art. 7 Abs. 1 bis 4 und, nur bei elektronischer Verarbeitung, Art. 13 Abs. 2; bei automatischer Übermittlung zur Primärnutzung trifft Art. 15 Abs. 4 Satz 2 den empfangenden Dienstleister), über die nationale Umsetzungsgesetzgebung (Art. 12, Art. 13 Abs. 1) und über den Markt, weil neue EHR-Systeme für die prioritären Kategorien dem Kapitel III genügen müssen (ehds-003).

Dazu kommt ein Governance-Detail mit Praxisfolgen: Die Aufsicht über die Patientenrechte der Art. 3 und 5 bis 10 liegt bei den Datenschutz-Aufsichtsbehörden nach der DSGVO, die dafür Geldbußen bis zu dem in Art. 83 Abs. 5 DSGVO genannten Betrag verhängen können (Art. 22 der Verordnung (EU) 2025/327). Die neuen EHDS-Rechte docken also an die vorhandene Datenschutz-Aufsicht an; parallel entstehen Stellen für digitale Gesundheit (Art. 19) mit eigenen Aufgaben und einem Beschwerdeweg (Art. 21).

CISO-Einordnung

Die Rechte im Einzelnen, mit den Details, die für Systemverantwortliche zählen: Der Zugang nach Art. 3 ist kostenlos, unverzüglich nach der Erfassung im EHR-System unter Berücksichtigung der technischen Umsetzbarkeit zu gewähren und umfasst den Download im europäischen Austauschformat für EHR (Art. 15). Mitgliedstaaten können den Zugang nach Maßgabe des Art. 23 DSGVO beschränken, etwa als zeitlichen Aufschub, bis ein Angehöriger der Gesundheitsberufe belastende Befunde erläutern kann (Art. 3 Abs. 3). Eingaben der Patienten in die eigene EHR müssen als solche erkennbar sein, und Patienten dürfen die Einträge der Gesundheitsberufe nicht direkt ändern können (Art. 5). Die Berichtigung läuft über Art. 16 DSGVO, online über die Zugangsdienste (Art. 6). Die Übertragbarkeit nach Art. 7 ist eigenständig ausgestaltet: unverzüglich, kostenlos und ungehindert durch den Gesundheitsdienstleister oder die Hersteller seiner Systeme, grenzüberschreitend im Austauschformat über die Infrastruktur des Art. 23.

Sicherheitsrelevant sind vor allem Art. 8 und 9. Patienten können den Zugang von Angehörigen der Gesundheitsberufe und von Gesundheitsdienstleistern zu allen oder zu Teilen der Daten des Art. 3 beschränken (Art. 8 Abs. 1); die Tatsache der Beschränkung darf für Gesundheitsdienstleister nicht sichtbar sein (Art. 8), und beim Zugriff trotz Beschränkung zum Schutz lebenswichtiger Interessen verlangt Art. 11 Abs. 5 Protokollierung und leichte Zugänglichkeit dieser Fälle für die betroffene Person. Die Zugriffsauskunft nach Art. 9 ist enger, als sie oft gelesen wird: Sie umfasst jeden Zugriff über den Zugangsdienst für Angehörige der Gesundheitsberufe im Rahmen der Gesundheitsversorgung, einschließlich des Zugriffs nach Art. 11 Abs. 5, nicht jeden technischen oder organisatorischen Zugriffsweg (Abs. 1). Die Informationen sind kostenlos und unverzüglich bereitzustellen, mindestens drei Jahre abrufbar, mit Angaben zu Zugreifendem, Zeitpunkt und betroffenen Daten (Abs. 2). Die Mitgliedstaaten können das Recht in Ausnahmefällen einschränken, wenn tatsächliche Anhaltspunkte dafür bestehen, dass die Offenlegung lebenswichtige Interessen oder Rechte des Angehörigen der Gesundheitsberufe oder die Versorgung der Person gefährden würde (Abs. 3). Das setzt eine belastbare, patiententaugliche Zugriffsprotokollierung voraus; genau dafür definiert die Verordnung die europäische Protokollierungssoftwarekomponente als eine der beiden harmonisierten Softwarekomponenten von EHR-Systemen (Art. 2 Abs. 2 Buchst. o, Art. 25). Ein Widerspruchsrecht gegen die Primärnutzung selbst ist dagegen mitgliedstaatliche Option: Art. 10 überlässt es den Rechtsvorschriften der Mitgliedstaaten, ein solches reversibles Widerspruchsrecht vorzusehen; das unbedingte Widerspruchsrecht des Art. 71 betrifft nur die Sekundärnutzung (ehds-005).

Für den Zugang der Gesundheitsberufe gilt eine Tatbestandsgrenze am Anfang der Vorschrift: Wenn Angehörige der Gesundheitsberufe Daten elektronisch verarbeiten, haben sie über die Zugangsdienste des Art. 12 Zugang zu den einschlägigen und erforderlichen Daten der von ihnen behandelten Personen, unabhängig von Versicherungs- und Behandlungsmitgliedstaat (Art. 11 Abs. 1); welche Datenkategorien welche Berufsgruppe bei welcher Aufgabe sehen darf, legen die Mitgliedstaaten fest (Art. 11 Abs. 3). Der Zugang zu den Zugangsdiensten der Gesundheitsberufe setzt ein nach Art. 6 der Verordnung (EU) Nr. 910/2014 anerkanntes elektronisches Identifizierungsmittel oder ein den gemeinsamen Spezifikationen nach Art. 36 entsprechendes Mittel voraus (Art. 12). Grenzüberschreitend läuft der Austausch über die nationalen Kontaktstellen und MyHealth@EU (Art. 23); die Kontaktstellen sind für die übermittelten Daten gemeinsam Verantwortliche, die Kommission ist Auftragsverarbeiter (Art. 23 Abs. 7).

Abgrenzung zu den Nachbar-Tracks: Der health-Track behandelt die heute geltenden deutschen Pflichten der Leistungserbringer (Paragraf 391 SGB V, B3S Krankenhaus, gematik-Telematikinfrastruktur, DiGA, MDR); hier stehen die kommenden EU-Rechte und die Pflichten des EHDS-Kapitels II samt Fristen, teils mitgliedstaatlich vermittelt, teils unmittelbar. Der dsgvo-Track behandelt die allgemeinen Betroffenenrechte und Pflichten aus der DSGVO (Auskunft, Berichtigung, Art. 32, Meldepflichten); die EHDS-Rechte präzisieren und ergänzen diese für elektronische Gesundheitsdaten (Art. 1 Abs. 2 Buchst. a), etwa als Online-Berichtigungsweg (Art. 6) und eigenständig ausgestaltete Übertragbarkeit (Art. 7), und werden von denselben Aufsichtsbehörden durchgesetzt (Art. 22).

Umsetzungsperspektive

Die Terminlogik für Leistungserbringer, alle Fundstellen in der Verordnung: Die Governance steht ab dem 26.03.2027 (Geltungsbeginn, Art. 105 Abs. 2); bis dahin benennen die Mitgliedstaaten ihre Stellen für digitale Gesundheit (Art. 19 Abs. 1) und nationalen Kontaktstellen (Art. 23 Abs. 2) und die Kommission erlässt die Durchführungsrechtsakte zum Austauschformat (Art. 15 Abs. 1), zur Datenqualität bei der Erfassung (Art. 13 Abs. 4) und zu MyHealth@EU (Art. 23 Abs. 4). Die Rechte und Erfassungspflichten der Art. 3 bis 15 gelten ab dem 26.03.2029 für Patientenkurzakten, elektronische Verschreibungen und Arzneimittelabgaben samt dafür bestimmter EHR-Systeme und ab dem 26.03.2031 für Bildgebung, Untersuchungsergebnisse und Entlassungsberichte (Art. 105 Abs. 3).

Offen ist die deutsche Ausgestaltung: welche Behörde Stelle für digitale Gesundheit wird, wie die Zugangsdienste mit der bestehenden Telematikinfrastruktur und der elektronischen Patientenakte zusammengeführt werden und ob Deutschland das Widerspruchsrecht des Art. 10 oder zusätzliche Datenkategorien (Art. 14 Abs. 1 Unterabs. 3) vorsieht. Zu diesen nationalen Fragen trifft dieser Artikel bewusst keine Aussage; am 05.08.2026 war unter dem Suchbegriff "Gesundheitsdatenraum" kein deutsches Begleitgesetz verkündet (ehds-001). Das Verhältnis der bestehenden deutschen Infrastruktur zum EHDS beschreibt der health-Track, sobald es normativ geklärt ist.

Typische Fehler

1. Kapitel II pauschal einordnen, in die eine oder die andere Richtung. Erfassung und Zugangsdienste adressieren die Mitgliedstaaten (Art. 12, Art. 13 Abs. 1, Art. 23 Abs. 5) und werden über die nationale Ausgestaltung verbindlich; unmittelbar wirken dagegen Art. 7 Abs. 1 bis 4 und, nur bei elektronischer Verarbeitung, Art. 13 Abs. 2. Art. 15 Abs. 4 Satz 2 adressiert bei automatischer Übermittlung zur Primärnutzung den empfangenden Dienstleister, und Art. 8 Satz 3 verbirgt die Zugangsbeschränkung vor den Gesundheitsdienstleistern, deren Ausgestaltung Satz 4 den Mitgliedstaaten zuweist.
2. Das EHDS-Rechtebündel mit den DSGVO-Rechten gleichsetzen; die EHDS-Rechte präzisieren und ergänzen die DSGVO-Rechte (Art. 1 Abs. 2 Buchst. a), etwa ist die Übertragbarkeit nach Art. 7 eigenständig ausgestaltet und die Zugriffsauskunft nach Art. 9 eine eigene, protokollierungsgestützte Auskunft über Zugriffe, nicht die Auskunft nach Art. 15 DSGVO.
3. Ein allgemeines Widerspruchsrecht gegen die Primärnutzung behaupten; Art. 10 ist eine mitgliedstaatliche Option, unbedingt ist nur der Widerspruch gegen die Sekundärnutzung (Art. 71).
4. Die Sichtbarkeitsregel des Art. 8 übersehen: Dass ein Patient den Zugriff beschränkt hat, darf für Gesundheitsdienstleister nicht sichtbar sein; das ist eine Design-Anforderung an Berechtigungs- und Anzeige-Logik.
5. Die Zugriffsauskunft des Art. 9 als internes Audit-Log missverstehen; verlangt ist eine für Patienten abrufbare Information über jeden Zugriff über den Zugangsdienst für Angehörige der Gesundheitsberufe im Rahmen der Gesundheitsversorgung, mindestens drei Jahre lang. Umgekehrt ist sie auch kein Auskunftsrecht über alle Zugriffswege, und die Mitgliedstaaten können sie nach Art. 9 Abs. 3 in Ausnahmefällen einschränken.
6. Die Fristen 2029 und 2031 pauschal auf "den EHDS" beziehen, statt sie den Datenkategorien des Art. 14 Abs. 1 zuzuordnen (Art. 105 Abs. 3).
7. Aussagen zur deutschen Umsetzung (Behörden, ePA-Verhältnis, Art.-10-Widerspruch) ohne Standsdatum treffen; verkündet war am 05.08.2026 nichts Einschlägiges.

Risiken und Trade-offs

Für die Systemplanung besteht der zentrale Trade-off zwischen früher Festlegung und offener Spezifikation: Das europäische Austauschformat und die Datenqualitätsanforderungen kommen als Durchführungsrechtsakte bis zum 26.03.2027 (Art. 15 Abs. 1, Art. 13 Abs. 4); wer vorher Schnittstellen festschreibt, riskiert Nacharbeit, wer wartet, verliert Vorlauf gegenüber den Geltungsdaten 2029 und 2031. Ein pragmatischer Mittelweg ist, jetzt die Fähigkeiten zu planen, die sicher gebraucht werden: patientenbezogene Zugriffsprotokollierung, feingranulare Berechtigungssteuerung mit unsichtbaren Beschränkungen, Export- und Importfähigkeit strukturierter Daten.

Der zweite Trade-off betrifft die Berechtigungsarchitektur. Art. 8 und Art. 11 Abs. 5 verlangen, Beschränkungen durchzusetzen, ohne sie anzuzeigen, und Durchbrechungen zum Schutz lebenswichtiger Interessen zu protokollieren und der betroffenen Person zugänglich zu machen. Das kollidiert mit gewachsenen Systemen, in denen Berechtigungen grob und Notfallzugriffe formlos sind: Wer hier zu früh Detailprozesse baut, baut auf nationale Vorschriften, die noch fehlen (Art. 8 Unterabs. 4, Art. 10 Abs. 2); wer gar nichts tut, steht 2029 vor einem Architekturumbau statt einer Konfigurationsaufgabe.

Entscheidungspunkte

• Welche unserer klinischen Systeme verarbeiten prioritäre Kategorien nach Art. 14 Abs. 1, und welche davon werden 2029, welche 2031 EHDS-relevant?
• Kann unsere Systemlandschaft patientenbezogene Zugriffsprotokolle liefern, die einer Auskunft nach Art. 9 standhalten (Zugreifender, Zeitpunkt, betroffene Daten, drei Jahre)?
• Wie bilden wir Zugriffsbeschränkungen nach Art. 8 ab, ohne die Beschränkung selbst anzuzeigen, und wie protokollieren wir Durchbrechungen (Art. 11 Abs. 5)?
• Welche elektronischen Identifizierungsmittel nutzen unsere Gesundheitsberufe, und sind sie eIDAS-anschlussfähig (Art. 12)?
• Wer verfolgt die Durchführungsrechtsakte (Austauschformat, Datenqualität, MyHealth@EU) und die deutsche Ausgestaltung, und wer übersetzt sie in Beschaffungsanforderungen?

Praktische Empfehlungen

1. Ordnen Sie Ihre klinischen Systeme den prioritären Kategorien des Art. 14 Abs. 1 zu und markieren Sie je System die einschlägige Geltungswelle (26.03.2029 oder 26.03.2031, Art. 105 Abs. 3).
2. Nehmen Sie EHDS-Fähigkeit ab sofort in EHR-Beschaffungen und Vertragsverlängerungen auf: Kapitel-III-Konformität des Systems, Ausgabe der prioritären Kategorien im europäischen Austauschformat (Art. 15 Abs. 4), patientenbezogene Zugriffsprotokollierung.
3. Prüfen Sie Ihre Protokollierung gegen die Anforderungen der Zugriffsauskunft (Art. 9): Vollständigkeit über die Zugriffe, die Art. 9 Abs. 1 erfasst, also über den Zugangsdienst für Angehörige der Gesundheitsberufe im Rahmen der Gesundheitsversorgung einschließlich der Faelle des Art. 11 Abs. 5, Aufbewahrung mindestens drei Jahre, patiententaugliche Aufbereitung.
4. Entwerfen Sie die Berechtigungsarchitektur so, dass rollen- und aufgabenbezogene Zugriffe (Art. 11 Abs. 3), unsichtbare Beschränkungen (Art. 8) und protokollierte Notfalldurchbrechungen (Art. 11 Abs. 5) konfigurierbar sind, und halten Sie die Detailausgestaltung offen, bis die nationalen Vorschriften vorliegen.
5. Verzahnen Sie die EHDS-Vorbereitung mit dem laufenden Datenschutzprogramm: Die Aufsicht über die neuen Rechte liegt bei den DSGVO-Aufsichtsbehörden (Art. 22), Prozesse für Berichtigung und Auskunft lassen sich erweitern statt doppeln (dsgvo-Track).
6. Beobachten Sie die deutsche Ausgestaltung (Stellen für digitale Gesundheit, nationale Kontaktstelle, Art.-10-Option) über eine feste Wiedervorlage und kennzeichnen Sie interne Aussagen dazu mit Standsdatum.

Relevante Normreferenzen

• Verordnung (EU) 2025/327, Kapitel II (Art. 3 bis 24): Rechte natürlicher Personen, Erfassung, Austauschformat, Governance und MyHealth@EU; ABl. L, 2025/327, 05.03.2025; EU-Recht mit Quellenangabe frei zitierbar.
• Verordnung (EU) 2025/327, Art. 105 Abs. 2 und 3: Geltungsbeginn 26.03.2027 und Staffelung der Rechte nach Datenkategorien (26.03.2029 und 26.03.2031).
• Verordnung (EU) 2016/679 (DSGVO): Art. 16 (Berichtigung), Art. 20 (Übertragbarkeit), Art. 23 (Beschränkungen), Art. 83 Abs. 5 (Bußgeldrahmen, über Art. 22 der Verordnung (EU) 2025/327 auf die EHDS-Rechte erstreckt); im Korpus der dsgvo-Track.
• Verordnung (EU) Nr. 910/2014 (eIDAS): anerkannte elektronische Identifizierungsmittel als Zugangsvoraussetzung für Gesundheitsberufe (Art. 12 der Verordnung (EU) 2025/327); im Korpus der eidas-Track.
• Richtlinie 2011/24/EU: Bedingungen der grenzüberschreitenden Anerkennung von Verschreibungen (Art. 23 Abs. 6 der Verordnung (EU) 2025/327).
• Deutsche Sektorpflichten der Leistungserbringer (Paragraf 391 SGB V, B3S, gematik, DiGA, MDR): health-Track.