Eine datenschutzrechtliche Betrachtung der neuen elektronischen Patientenakten in Deutschland nach Einführung der DSGVO; A Data Protection Law Analysis of the New German Electronic Patient Records (ePA) in the Light of the GDPR - Samuel Hammer (Junior Management Science (JUMS), 2022)
Einer langwierigen Diskussion um die Digitalisierung und Modernisierung des deutschen Gesundheitssystems folgt 2021 die Verpflichtung der gesetzlichen Krankenkassen zur Einführung der elektronischen Patientenakte (ePA). Diese Regelung stößt bei Deutschlands oberster Datenschutzbehörde (BfDI) auf Widerstand. Anhand einschlägiger Kommentarliteratur und unter Berücksichtigung der durch die Interessenvertreter vorgebrachten Argumente untersucht diese Arbeit, ob die Kritik der Behörde begründet ist und ob ein Verstoß gegen die DSGVO mit der Einführung der ePA vorliegen könnte. Im Ergebnis lässt sich ein solcher Verstoß nicht feststellen. Insbesondere liegen die grundsätzlichen Anforderungen an die Wirksamkeit einer Einwilligung in die Datenverarbeitung vor. Die Einführung der ePA erfolgt in zwei Ausbaustufen, wobei die zweite Stufe datenschutzrechtlich relevante Verbesserungen beinhaltet. Daher gilt das Ergebnis der Arbeit "a maiore ad minus" auch für die 2022 geplante zweite Ausbaustufe. Offen bleibt, ob die Datenschutzbehörde (BfDI) weitere rechtliche Maßnahmen ergreifen wird. Die Untersuchung berührt weitere Forschungsthemen, wie beispielsweise das "Recht auf Datenverarbeitung" oder die Rolle der Datenschutzbehörden in Gesetzgebungsverfahren. – – A lengthy discussion about the digitization and modernization of the German healthcare system is followed by the obligation for health insurance companies to introduce electronic patient records (ePA). This regulation faces resistance from Germany's highest data protection authority (BfDI). On the basis of relevant commentary literature and considering the arguments put forward by the stakeholders this study examines, whether the criticism of the authority is justified and whether a violation of the GDPR could lie in the implementation of the ePA. As a result of the study, no such violation can be determined. Especially the conditions for the effectiveness of consent to data processing are given. The introduction of the German ePA will take place in two stages, with the second stage including improvements regarding data protection. Thus, the result of the work can also be applied 'a maiore ad minus' to the second stage which is planned for 2022. It remains unclear whether the data protection authority (BfDI) will take further legal measures. This study affects also other research topics, such as the "right to data processing" or the role of German data protection authorities in legislative processes.
Keywords: 650; Elektronische Patientenakte; ePA; DSGVO; Datenschutz; Telematikinfrastruktur; Electronic patient records; ePA; GDPR; Data protection; Germany