Der Europäische Gesundheitsdatenraum: Was die Verordnung (EU) 2025/327 regelt, wen sie trifft und was ab wann gilt

Problem in der Praxis

Der EHDS wird in Sekundärliteratur regelmäßig falsch datiert, weil Art. 105 eine mehrstufige Staffelung enthält, die sich nicht auf ein einziges Geltungsdatum verkürzen lässt: Grundregel 26.03.2027, dazu abweichende Termine je nach Datenkategorie, Kapitel und Einzelvorschrift. Dazu kommt eine Druckstelle im deutschen Amtsblatt: Art. 105 Abs. 3 zählt in der deutschen Fassung "die Artikel 25, 26, 27 47, 48 und 49" ohne Komma zwischen 27 und 47 auf; die englische Fassung schreibt "Articles 25, 26, 27, 47, 48 and 49". Wer die deutsche Stelle unkritisch übernimmt, liest die Aufzählung falsch.

Die zweite Praxisfalle ist die Zuständigkeitsfrage im eigenen Haus. Der EHDS liest sich wie ein Gesundheitsthema, adressiert aber weit mehr als Krankenhäuser: Hersteller, Bevollmächtigte, Einführer und Händler von EHR-Systemen tragen ein eigenes Konformitätsregime mit CE-Kennzeichnung (Kapitel III), Hersteller von Wellness-Anwendungen eine Kennzeichnungs- und Registrierungspflicht, aber nur, wenn sie Interoperabilitaet mit einem EHR-System behaupten (Art. 47 Abs. 1, Art. 49), und der Begriff des Gesundheitsdateninhabers (Art. 2 Abs. 2 Buchst. t) reicht bis zu Entwicklern von Produkten für die Gesundheitsversorgung und Forschungsakteuren, allerdings nur, wenn zusätzlich die Verarbeitungsberechtigung nach Ziffer i oder die Bereitstellungsfähigkeit nach Ziffer ii vorliegt. Viele Organisationen sind betroffen, ohne sich als Gesundheitsunternehmen zu verstehen.

CISO-Einordnung

Die Verordnung regelt vier große Blöcke. Erstens Rechte natürlicher Personen an ihren elektronischen Gesundheitsdaten in der Versorgung, etwa Zugang, Eingabe, Berichtigung und Übertragbarkeit (Art. 3 bis 10, vertieft in ehds-002). Zweitens ein Produktregime für EHR-Systeme und Wellness-Anwendungen mit Herstellerpflichten, Konformitätsbewertung und Marktüberwachung (Kapitel III, vertieft in ehds-003; die Sicherheitsanforderungen und die Brücken zu CRA und NIS2 erklärt ehds-004). Drittens die Sekundärnutzung: Gesundheitsdateninhaber müssen bestimmte Datenkategorien für Zugangsstellen bereitstellen, Nutzer erhalten Zugang nur auf einer der drei Grundlagen des Art. 61 Abs. 1 (Datengenehmigung nach Art. 68, genehmigte Gesundheitsdatenanfrage nach Art. 69 mit anonymisierter statistischer Antwort oder, in den Fällen des Art. 67 Abs. 3, Zugangserlaubnis eines befugten HealthData@EU-Teilnehmers) und arbeiten bei einer Datengenehmigung in einer sicheren Verarbeitungsumgebung, natürliche Personen können widersprechen (Kapitel IV, vertieft in ehds-005). Viertens Governance: Stellen für digitale Gesundheit (Art. 19), Marktüberwachungsbehörden (Art. 43), Zugangsstellen für Gesundheitsdaten (Art. 55) sowie die grenzüberschreitenden Infrastrukturen MyHealth@EU (Art. 23) und HealthData@EU (Art. 75).

Wen trifft was: Natürliche Personen erhalten Rechte. Gesundheitsdienstleister werden in Kapitel II gemischt verpflichtet: mittelbar über die Mitgliedstaaten ("Die Mitgliedstaaten stellen sicher, dass die Gesundheitsdienstleister ... erfassen", Art. 13 Abs. 1; ebenso Art. 12 für die Zugangsdienste der Gesundheitsberufe), was insoweit auf ein deutsches Krankenhaus zukommt, entscheidet erst die nationale Ausgestaltung. Unmittelbar, also ohne nationales Umsetzungsgesetz, wirken aus Kapitel II zwei Vorschriften auf den Gesundheitsdienstleister, und keine davon mit einer einheitlichen Rechtsfolge. Art. 7 bindet ihn in vier Absätzen mit je eigenem Tatbestand: Nach Abs. 1 hat die betroffene Person das Recht, ihm ganz oder teilweise Zugang zu gewähren oder ihn aufzufordern, die Daten an einen anderen Gesundheitsdienstleister ihrer Wahl zu übermitteln; die Übermittlung erfolgt unverzüglich, kostenlos und ungehindert durch den Gesundheitsdienstleister oder die Hersteller seiner Systeme. Akteur der Zugangsgewährung ist damit die Person, nicht der Dienstleister. Abs. 2 gilt nur, wenn die Gesundheitsdienstleister in verschiedenen Mitgliedstaaten ansässig sind; dann kann die Übermittlung im europäischen Austauschformat über die Infrastruktur des Art. 23 verlangt werden, und der empfangende Gesundheitsdienstleister muss die Daten entgegennehmen und lesen können. Abs. 3 betrifft die Übermittlung eines Teils an einen eindeutig bestimmten Empfänger aus sozialer Sicherheit oder Erstattungsdiensten, ebenfalls unverzüglich, kostenlos und ungehindert und nur in eine Richtung. Abs. 4 setzt voraus, dass die Person zuvor nach Art. 3 Abs. 2 eine Kopie heruntergeladen hat; der empfangende Gesundheitsdienstleister muss sie entgegennehmen und gegebenenfalls lesen können. Art. 13 Abs. 2 greift nur, wenn der Gesundheitsdienstleister Daten elektronisch verarbeitet, und verlangt dann die Aktualisierung der Daten der von ihm behandelten Personen mit Informationen über die Gesundheitsdienstleistung. Art. 15 Abs. 4 Satz 2 gehört nur bedingt in diese Reihe: Er adressiert nicht den Gesundheitsdienstleister, sondern den empfangenden Dienstleister, und nur bei automatischer Übermittlung zur Primärnutzung. Art. 8 Satz 3 ist keine Pflicht des Gesundheitsdienstleisters, sondern eine Vorgabe gegen ihn: Die Tatsache einer Zugangsbeschränkung darf für Gesundheitsdienstleister nicht sichtbar sein, und die Vorschriften und besonderen Schutzmaßnahmen für den Beschränkungsmechanismus legen nach Satz 4 die Mitgliedstaaten fest. Unmittelbare Pflichten tragen ausserdem die Wirtschaftsakteure für EHR-Systeme (Hersteller Art. 30, Bevollmächtigte Art. 31, Einführer Art. 32, Händler Art. 33), Hersteller von Wellness-Anwendungen mit behaupteter Interoperabilität (Art. 47 bis 49) sowie Gesundheitsdateninhaber und Gesundheitsdatennutzer in der Sekundärnutzung (Art. 51, 60, 61).

Der Zeitplan im Einzelnen, alle Fundstellen in Art. 105: Die Verordnung gilt ab dem 26.03.2027 (Abs. 2). Die Artikel 3 bis 15, Art. 23 Abs. 2 bis 6 sowie die Artikel 25, 26, 27, 47, 48 und 49 gelten ab dem 26.03.2029 für die prioritären Kategorien Patientenkurzakten, elektronische Verschreibungen und elektronische Abgaben von Arzneimitteln (Art. 14 Abs. 1 Buchst. a bis c) und für EHR-Systeme, die der Hersteller zur Verarbeitung solcher Datenkategorien bestimmt; ab dem 26.03.2031 für medizinische Bildgebung samt zugehörigen Befunden, Ergebnisse medizinischer Untersuchungen einschließlich Labor sowie Entlassungsberichte (Art. 14 Abs. 1 Buchst. d bis f) und die dafür bestimmten EHR-Systeme; für spätere Änderungen der Hauptmerkmale in Anhang I je ein Jahr nach dem im delegierten Rechtsakt nach Art. 14 Abs. 2 festgelegten Tag (Abs. 3). Kapitel III gilt für EHR-Systeme, die gemäß Art. 26 Abs. 2 in der Union in Betrieb genommen werden, ab dem 26.03.2031 (Abs. 4). Kapitel IV gilt ab dem 26.03.2029; abweichend gelten Art. 55 Abs. 6, Art. 70, Art. 73 Abs. 5, Art. 75 Abs. 1 und 12, Art. 77 Abs. 4 und Art. 78 Abs. 6 bereits ab dem 26.03.2027, Art. 51 Abs. 1 Buchst. b, f, g, m und p erst ab dem 26.03.2031 und Art. 75 Abs. 5 ab dem 26.03.2035 (Abs. 5). Die Mitgliedstaaten müssen ihre Sanktionsvorschriften bis zum 26.03.2027 erlassen und der Kommission mitteilen (Art. 99).

Zur Fassungslage: Am 05.08.2026 existierten genau zwei Berichtigungen der Verordnung, beide ohne Wirkung auf den deutschen Text (32025R0327R(01) vom 07.11.2025 betrifft nur die französische, kroatische und lettische Fassung; 32025R0327R(02) vom 18.03.2026 nur die ungarische); Änderungsrechtsakte gab es keine. Die deutsche Amtsblattfassung vom 05.03.2025 ist damit der maßgebliche deutsche Text. Die Verordnung selbst ändert zwei andere Rechtsakte: Art. 103 streicht Art. 14 der Richtlinie 2011/24/EU mit Wirkung vom 26.03.2031, Art. 104 ändert den Cyber Resilience Act (ehds-004).

Abgrenzung zu den Nachbar-Tracks: Der health-Track behandelt die deutschen Betriebs- und Sektorpflichten der Leistungserbringer (Paragraf 391 SGB V, B3S Krankenhaus, gematik-Telematikinfrastruktur, DiGA, MDR); hier steht der EU-Rechtsrahmen für den Gesundheitsdatenraum samt seiner Fristenstaffel. Der dsgvo-Track behandelt das allgemeine Datenschutzrecht (Art. 32 DSGVO, Meldepflichten, DSFA, Auftragsverarbeitung); der EHDS präzisiert und ergänzt die DSGVO-Rechte für elektronische Gesundheitsdaten (Art. 1 Abs. 2 Buchst. a) und lässt die DSGVO im Übrigen unberührt (Art. 1 Abs. 3).

Umsetzungsperspektive

Für Deutschland gilt: Die Verordnung wirkt unmittelbar, ein Umsetzungsgesetz im Sinne einer Richtlinienumsetzung gibt es nicht und braucht es nicht. Ob und welches deutsche Begleit- oder Durchführungsgesetz kommt (etwa zur Benennung der Behörden nach Art. 19, 43 und 55 oder zu den nationalen Wahlrechten des Kapitels II), war am 05.08.2026 offen: Die Suche im Bundesgesetzblatt-Portal nach "Gesundheitsdatenraum" lieferte an diesem Tag als einzigen Treffer das Digital-Gesetz von 2024; ein anders benanntes Gesetz fände diese Suche allerdings nicht. Aussagen über den deutschen Begleitrechtsstand sind deshalb immer mit Datum zu versehen.

Die Fristenstaffel hängt zum Teil an nachgelagerten Rechtsakten der Kommission: Bis zum 26.03.2027 muss die Kommission unter anderem Durchführungsrechtsakte zum europäischen Austauschformat für EHR erlassen (Art. 15 Abs. 1), und die gemeinsamen Spezifikationen nach Art. 36 setzen den Maßstab, an dem Hersteller die harmonisierten Softwarekomponenten ausrichten. Für spätere Änderungen der prioritären Datenkategorien setzt Art. 105 Abs. 3 Buchst. c die Geltung an delegierte Rechtsakte nach Art. 14 Abs. 2. Der Bestand dieser Durchführungs- und delegierten Rechtsakte war am 05.08.2026 an den hier geprüften Quellen nicht erhoben; wer konkrete Spezifikationsstände braucht, prüft EUR-Lex auf Rechtsakte mit Rechtsgrundlage der Verordnung (EU) 2025/327.

Planungslogik für die eigene Organisation: Erst die Rollenfrage klären (Leistungserbringer, EHR-Hersteller oder -Händler, Wellness-App-Anbieter, Gesundheitsdateninhaber, Gesundheitsdatennutzer, mehrere davon), dann je Rolle die einschlägige Welle aus Art. 105 zuordnen. Eine Roadmap dazu liefert ehds-006.

Typische Fehler

1. Den EHDS als heute geltendes Pflichtenprogramm behandeln; vor dem 26.03.2027 trifft die Verordnung Unternehmen, Leistungserbringer und Hersteller mit keiner Pflicht (Art. 105 Abs. 2; die Berichtspflicht der Kommission nach Art. 102 Abs. 4 laeuft schon ab dem 25.03.2025 und richtet sich nicht an sie). Umgekehrt gilt aber auch nicht alles erst 2029: Nicht auf der Aufschubliste des Art. 105 stehen die Herstellerpflichten des Art. 30 und die Vorkommnis-Meldung des Art. 44; sie gelten ab dem 26.03.2027 (fuer Systeme nach Art. 26 Abs. 2 nach Art. 105 Abs. 4 erst ab dem 26.03.2031).
2. Inkrafttreten und Geltung verwechseln: In Kraft ist die Verordnung seit dem 25.03.2025 (errechnet aus Art. 105 Abs. 1 und dem Veröffentlichungsdatum 05.03.2025), gelten tut sie ab dem 26.03.2027 (Art. 105 Abs. 2).
3. Ein einziges "EHDS-Datum" kommunizieren und die Staffelung nach Datenkategorien, Kapiteln und Einzelvorschriften unterschlagen (Art. 105 Abs. 3 bis 5).
4. Die deutsche Druckstelle in Art. 105 Abs. 3 ("die Artikel 25, 26, 27 47, 48 und 49") als Aufzählung von fünf Artikeln lesen; die englische Fassung belegt sechs Artikel.
5. Auf ein deutsches Umsetzungsgesetz warten; die Verordnung gilt unmittelbar, national zu regeln sind vor allem Behördenzuständigkeiten, Sanktionen (Art. 99) und die Wahlrechte des Kapitels II.
6. Nur die Krankenhaus-Perspektive prüfen und übersehen, dass Kapitel III und IV Softwarehersteller, Händler, App-Anbieter, Forschungsakteure und Register unmittelbar adressieren.
7. Aus dem Etikett "Gesundheitsdatenraum" schließen, die DSGVO werde ersetzt; der EHDS präzisiert und ergänzt sie (Art. 1 Abs. 2 Buchst. a) und lässt sie unberührt (Art. 1 Abs. 3).

Risiken und Trade-offs

Der zentrale Trade-off ist das Timing. Wer die Vorbereitung auf 2029 verschiebt, spart heute Aufwand, riskiert aber, dass Systemauswahl, Beschaffungszyklen und Vertragslaufzeiten die Frist überholen: EHR-Systeme, die 2029 die prioritären Kategorien a bis c verarbeiten sollen, werden in vielen Häusern deutlich früher beschafft. Wer umgekehrt heute detailliert baut, baut teilweise auf Sand, weil die gemeinsamen Spezifikationen nach Art. 36 und weitere Durchführungsrechtsakte den technischen Maßstab erst konkretisieren.

Das zweite Risiko ist organisatorisch: Der EHDS verteilt Pflichten auf Rollen, die in einer Organisation selten in einer Hand liegen (Produkt, Einkauf, Forschung, Datenschutz, Security). Ohne frühe Rollenklärung entsteht entweder Doppelarbeit oder eine Lücke, die erst bei der ersten Anfrage einer Zugangsstelle oder Marktüberwachungsbehörde auffällt. Drittens bleibt ein Restrisiko in der Rechtslage selbst: Die Bußgeldbewehrung der Sekundärnutzung ist in der Verordnung angelegt (Art. 63, 64), die übrigen Sanktionen regeln die Mitgliedstaaten (Art. 99), und die deutsche Behörden- und Sanktionslandschaft war am 05.08.2026 nicht benannt.

Entscheidungspunkte

• Welche Rollen nimmt unsere Organisation im EHDS ein: Gesundheitsdienstleister, Hersteller, Bevollmächtigter, Einführer oder Händler von EHR-Systemen, Wellness-App-Hersteller, Gesundheitsdateninhaber, Gesundheitsdatennutzer?
• Welche unserer Systeme fallen unter die EHR-System-Definition des Art. 2 Abs. 2, und für welche prioritären Kategorien (Art. 14 Abs. 1) sind sie bestimmt?
• Welche Welle aus Art. 105 trifft uns je Rolle: 2027, 2029, 2031 oder 2035?
• Wer im Haus verantwortet die EHDS-Vorbereitung, und wie sind Datenschutz, Security, Produkt und Legal beteiligt?
• Wer beobachtet die nachgelagerten Rechtsakte der Kommission und die deutsche Behörden- und Sanktionsgesetzgebung?

Praktische Empfehlungen

1. Erstellen Sie eine Rollenlandkarte: je Geschäftsbereich die EHDS-Rolle(n) mit Fundstelle (Kapitel II, III oder IV) und der einschlägigen Geltungswelle aus Art. 105.
2. Inventarisieren Sie Systeme, die personenbezogene elektronische Gesundheitsdaten der prioritären Kategorien speichern, vermitteln oder anzeigen, als Kandidaten für die EHR-System-Definition (Art. 2 Abs. 2); die verbindliche Einstufung je System gehört zu Legal beziehungsweise zum Hersteller.
3. Verankern Sie die Termine 26.03.2027, 26.03.2029, 26.03.2031 und 26.03.2035 mit ihren Fundstellen in Art. 105 in Ihrer Compliance-Planung, statt ein einzelnes "EHDS-Datum" zu führen.
4. Zitieren Sie die Verordnung nach der deutschen Amtsblattfassung vom 05.03.2025 und prüfen Sie vor wichtigen Zitaten die Berichtigungslage auf EUR-Lex; bei Art. 105 Abs. 3 die englische Fassung als Lesehilfe heranziehen.
5. Setzen Sie eine halbjährliche Wiedervorlage auf: neue Durchführungs- und delegierte Rechtsakte, deutsche Behördenbenennung, Sanktionsgesetzgebung.
6. Nutzen Sie die Zeit bis 2027 für die Grundlagen, die von den offenen Spezifikationen unabhängig sind: Dateninventar, Rollenklärung, Vertragsprüfung mit EHR-Lieferanten (ehds-006).

Relevante Normreferenzen

• Verordnung (EU) 2025/327 des Europäischen Parlaments und des Rates vom 11.02.2025 über den europäischen Gesundheitsdatenraum sowie zur Änderung der Richtlinie 2011/24/EU und der Verordnung (EU) 2024/2847: ABl. L, 2025/327, 05.03.2025; primäre Rechtsquelle, EU-Recht mit Quellenangabe frei zitierbar. Deutsche Fassung am 05.08.2026 ohne Berichtigung.
• Verordnung (EU) 2016/679 (DSGVO): allgemeines Datenschutzrecht, durch den EHDS präzisiert und ergänzt (Art. 1 Abs. 2 Buchst. a), im Übrigen unberührt (Art. 1 Abs. 3); im Korpus der dsgvo-Track.
• Richtlinie 2011/24/EU (Patientenmobilität): Art. 14 (freiwilliges eHealth-Netzwerk) wird mit Wirkung vom 26.03.2031 gestrichen (Art. 103 der Verordnung (EU) 2025/327).
• Verordnung (EU) 2024/2847 (Cyber Resilience Act): durch Art. 104 der Verordnung (EU) 2025/327 geändert; Zusammenspiel in ehds-004 (cra-Track).
• Deutsche Sektorregulierung Gesundheit (Paragraf 391 SGB V, B3S Krankenhaus, gematik, DiGA, MDR): health-Track.