Wer sieht was in der ePA? Zugriffsrechte und Datenschutz

In deine elektronische Patientenakte (ePA) dürfen nur Berufsgruppen schauen, die das Gesetz abschließend aufzählt, und nur, solange sie dich behandeln: Praxen und Kliniken standardmäßig 90 Tage nach dem Stecken deiner Gesundheitskarte, Apotheken drei Tage. Arbeitgeber, Krankenkasse und private Versicherungen haben keinen Zugriff. Du kannst die Fristen ändern, Dokumente verbergen, einzelne Einrichtungen sperren und jeden Zugriff im Protokoll nachsehen.

Wer kann meine ePA sehen?

Die Liste steht in § 352 SGB V, und das Gesetz sagt ausdrücklich, dass „ausschließlich“ diese Personen zugreifen dürfen:

• Ärztinnen und Ärzte, Zahnärztinnen und Zahnärzte sowie Psychotherapeutinnen und Psychotherapeuten, die dich behandeln
• Apothekerinnen und Apotheker sowie pharmazeutisches Personal
• Pflegefachkräfte, Altenpflegekräfte und Hebammen, die dich versorgen
• Heilmittelerbringer wie Physiotherapie, Ergotherapie oder Logopädie
• Notfallsanitäterinnen und Notfallsanitäter
• Ärztinnen und Ärzte im Öffentlichen Gesundheitsdienst und Betriebsärzte, aber nur mit deiner Einwilligung (§ 339 Abs. 1a SGB V)

Medizinische Fachangestellte dürfen nur im Rahmen der Berechtigung ihrer Ärztin oder ihres Arztes und unter deren Aufsicht zugreifen. Jeder Zugriff wird protokolliert, auch wer ihn autorisiert hat (§ 339 Abs. 5 SGB V).

Fast jede Nummer im Gesetz enthält den Zusatz: Zugriff nur, „soweit dies für die Versorgung der Versicherten erforderlich ist“. Die Physiotherapie darf zum Beispiel lesen, aber nur Daten aus ihrer eigenen Behandlung einstellen.

Wer nie zugreift: Arbeitgeber, Kasse, Versicherungen

Beim Thema Arbeitgeber-Zugriff schützt dich § 335 SGB V zusätzlich: Niemand darf den Zugriff auf deine ePA von dir verlangen, und du darfst ihn auch nicht vertraglich anderen als den gesetzlich Berechtigten einräumen. Du darfst weder bevorzugt noch benachteiligt werden, weil du zugestimmt oder widersprochen hast. Gesundheitsfragen beim Abschluss einer Versicherung beantwortest du deshalb weiter selbst, der Versicherer bekommt deine Akte nicht über die ePA.

Wie lange Praxis, Apotheke und Klinik zugreifen dürfen

Der Zugriff entsteht durch den Behandlungskontext: Liest eine Praxis deine Gesundheitskarte ein oder weist du dich mit deiner digitalen Identität aus, gilt das als Nachweis, dass du dort in Behandlung bist (§ 339 Abs. 1 SGB V). Ab dann gilt eine voreingestellte Frist (§ 342 Abs. 2 Nr. 1 Buchst. l SGB V):

Die Frist gilt pro Einrichtung, nicht pro Person, wie auch die Barmer beschreibt. Innerhalb dieser Zeit darf die Praxis lesen und neue Dokumente einstellen.

Du kannst die Dauer in der ePA-App selbst festlegen: kürzer, mindestens einen Tag, oder länger bis unbefristet (§ 342 Abs. 2 Nr. 1 Buchst. m SGB V). Ohne Karte oder digitale Identität darf eine Praxis nur zugreifen, wenn du ihr die Berechtigung über die App erteilt hast (§ 339 Abs. 4 SGB V).

So steuerst du den Datenschutz in deiner ePA

Die Einstellungen machst du in der ePA-App deiner Krankenkasse, ohne App über deren Ombudsstelle. Wie du die App einrichtest, steht im Ratgeber ePA einrichten. Im Überblick:

• Einzelne Einrichtung sperren: Eine bestimmte Praxis, Klinik oder Apotheke verliert den Zugriff auf die ganze Akte, bis du den Widerspruch widerrufst (§ 353 Abs. 2 SGB V).
• Dokumente verbergen: Nur noch du siehst sie, und zwar gegenüber allen Einrichtungen gleichzeitig (§ 342 Abs. 2 Nr. 1 Buchst. v SGB V). Das lässt sich jederzeit rückgängig machen.
• Dokumente löschen: Das darfst du selbst (§ 337 Abs. 2 SGB V). Die App muss dich vorher auf die Folgen hinweisen.
• Zugriffsdauer anpassen: zwischen einem Tag und unbefristet.
• Vertretung bestimmen: etwa ein Familienmitglied, das die Einstellungen für dich verwaltet (§ 342 Abs. 2 Nr. 1 Buchst. p SGB V). Ab 15 Jahren übst du die Rechte selbst aus (§ 341 Abs. 1 SGB V).

Einzelnen Anwendungen wie der Medikationsliste oder der ganzen Akte zu widersprechen, ist ein eigenes Thema mit eigenen Folgen. Das erklärt der Ratgeber ePA widersprechen.

Besonders sensible Befunde

Für Daten, die zu Diskriminierung oder Stigmatisierung führen können, gelten zusätzliche Regeln. Das Gesetz nennt sexuell übertragbare Infektionen, psychische Erkrankungen und Schwangerschaftsabbrüche. Bevor die Praxis solche Daten einstellt, muss sie dich auf dein Widerspruchsrecht hinweisen und einen Widerspruch dokumentieren (§ 347 Abs. 1 SGB V). Ergebnisse genetischer Untersuchungen dürfen nur mit deiner ausdrücklichen schriftlichen oder elektronischen Einwilligung in die ePA (§ 353 Abs. 3 SGB V). Welche Pflichten Praxen beim Befüllen sonst haben, steht im Ratgeber zu den ePA-Pflichten von Ärzten.

Das Protokoll: Wer hat wann geschaut?

Jeder Zugriff wird mit Datum und Uhrzeit protokolliert, und die App muss dir die Protokolle verständlich anzeigen (§ 342 Abs. 2 Nr. 1 Buchst. n SGB V). Gespeichert werden Zugriffe und versuchte Zugriffe für drei Jahre (§ 309 SGB V). Siehst du dort eine Einrichtung, bei der du nie warst, wende dich an deine Krankenkasse und an die zuständige Datenschutzaufsicht.

Forschung: pseudonymisiert und mit Widerspruchsrecht

An das Forschungsdatenzentrum gehen nur automatisiert pseudonymisierte Daten (§ 363 Abs. 2 SGB V). Du kannst dem jederzeit widersprechen, auch beschränkt auf bestimmte Zwecke (§ 363 Abs. 5 SGB V). Technisch soll die ePA die Bereitstellung für die Forschung spätestens ab 30. Oktober 2026 ermöglichen (§ 342 Abs. 2 Nr. 4 SGB V), laut Bundesgesundheitsministerium startet die Forschungsnutzung mit der nächsten Ausbaustufe.

Was die Zugriffsrechte nicht lösen: eine fast leere Akte

Gute Zugriffsrechte bringen wenig, wenn kaum etwas in der Akte liegt. Die Krankenkassen haben rund 73 Millionen Akten angelegt, darin lagen nach einem Jahr gut 100 Millionen Dokumente, im Schnitt also nur wenige pro Person (gematik, April 2026). Praxen müssen nur Daten aus der aktuellen Behandlung einstellen (§ 347 SGB V), deine Vorgeschichte fehlt fast immer. Was in deiner Akte voraussichtlich fehlt, zeigt der ePA-Check.

Die älteren Befunde selbst zusammenzutragen, ist mühsam:

• Erst die Liste, dann die Befunde. Welche Praxen und Kliniken dich in den letzten Jahren behandelt haben, erfährst du vollständig nur über die Leistungsübersicht deiner Krankenkasse (§ 305 SGB V).
• Pro Praxis eine Anfrage. Jede Einrichtung bekommt ein eigenes Schreiben nach § 630g BGB oder Art. 15 DSGVO, manche wollen vorher deine Identität prüfen.
• Fristen und Nachfassen. Die Praxis hat in der Regel einen Monat Zeit (Art. 12 Abs. 3 DSGVO). Kommt nichts, musst du selbst erinnern.
• Papier statt Datei. Viele Antworten kommen per Post oder Fax, Röntgenbilder oft auf CD. Wie Papierbefunde trotzdem in die Akte kommen, erklärt der Ratgeber alte Befunde in die ePA.

Was nicht in deiner ePA steht, fordert anomalie für dich an: Nach einer einmaligen Vollmacht fragt anomalie zuerst deine Krankenkasse, wo du behandelt wurdest, schreibt dann jede Praxis nach § 630g BGB und Art. 15 DSGVO an, erinnert automatisch und hakt nach, wenn die Monatsfrist abläuft. anomalie ist keine ePA-App und ändert nichts an deinen Zugriffsrechten.

anomalie übernimmt das

Du gibst einmal frei. Wir holen deine Befunde, auch die von vor Jahren.

1. 1
   Einmal freigebenDu erteilst in der App eine Vollmacht. Damit darf anomalie deine Unterlagen in deinem Namen anfordern.
2. 2
   Praxen findenanomalie fragt zuerst deine Krankenkasse nach deiner Leistungsübersicht. Daraus ergibt sich, bei welchen Praxen und Kliniken du warst, auch die, an die du dich nicht erinnerst.
3. 3
   Anfragen und dranbleibenJede Praxis bekommt ein Schreiben nach § 630g BGB und Art. 15 DSGVO. Kommt nichts, erinnert anomalie automatisch und besteht auf der Monatsfrist.
4. 4
   Alles an einem OrtAntworten per E-Mail oder Fax landen direkt in deinem Health Profile, Briefe scannst du mit der App. anomalie liest die Werte aus und ordnet sie.

Kein Faxgerät, kein Nachtelefonieren, keine Fristen im Kalender.

Befunde anfordern lassen

Sonderfall: Du willst die ePA gar nicht nutzen

Auch ohne ePA-App bleiben deine Rechte bestehen: Sperren und Protokollauskunft laufen über die Ombudsstelle, und deine Befunde kannst du bei jeder Praxis direkt anfordern, unabhängig von der Akte. Alles Grundlegende zur Akte findest du auf unserer Seite zur elektronischen Patientenakte.

Dieser Artikel dient der allgemeinen Information und ersetzt keine ärztliche oder rechtliche Beratung. So arbeitet unsere Redaktion