Die digitale Transformation der Gesundheitsversorgung ist nicht länger Zukunftsvision, sondern gesetzlich festgelegter Auftrag. Mit dem Digital-Gesetz (DigiG), dem Gesundheitsdatennutzungsgesetz (GDNG) sowie dem Europäischen Gesundheitsdatenraum (EHDS) entsteht ein neuer Rechtsrahmen, der Klinik-IT, Datenverarbeitung und Versorgungsprozesse strukturell verändert.

Von Prof. Dr. Hans Hermann Dirksen und Susheela Kaiser, Liebenstein Law Rechtsanwälte

Gesetzliche Neuerungen im Überblick

Mit dem Digital-Gesetz (BGBl. I 2023, Nr. 394) wird die elektronische Patientenakte (§341 SGB V) ab 2025 verpflichtend im Opt-out-Verfahren eingeführt. Krankenhäuser müssen strukturierte Dokumente über KIS-Schnittstellen bereitstellen und patientenseitig abrufbar halten - interoperabel, sektorenübergreifend und sicher (§355 SGB V). Das Gesundheitsdatennutzungsgesetz (BGBl. I 2024, Nr. 6) ergänzt diesen Schritt um eine zweckgebundene Sekundärnutzung von Versorgungsdaten (§§303a-303g SGB V). Kliniken sollen pseudonymisierte Behandlungsdaten über eine zentrale Koordinierungsstelle (§303e SGB V) bereitstellen können, sofern dem keine dokumentierte Widerspruchserklärung der betroffenen Person entgegensteht (§363 SGB V).

Gleichzeitig können Gesundheitseinrichtungen anonymisierte Gesundheitsdaten zur Forschung durch Dritte zur Verfügung stellen. Die europäische EHDS-Verordnung (EU) 2025/1120, verpflichtet zur grenzüberschreitenden elektronischen Primär- und Sekundärnutzung von Gesundheitsdaten (Art.5,33 ff. EHDS-VO). Patienten erhalten EU-weit Rechte auf Zugriff und Übertragbarkeit (Art.3-7 EHDS-VO), während Gesundheitseinrichtungen standardisierte Infrastrukturen und Datenformate vorhalten müssen (z.B. FHIR, Art.23 EHDS-VO).

Strategische Handlungsfelder für Krankenhaus-CIOs

Krankenhaus-CIOs stehen damit vor einem Wandel, der strategische Anpassungen verlangt technisch, organisatorisch und rechtlich.:

1. Interoperabilität und Datenformate

Die verpflichtende ePA-Nutzung (§355 SGB V ) und EHDS-Vorgaben (Art.23 EHDS-VO) setzen technische Anschlussfähigkeit voraus. Klinikinformationssysteme müssen strukturierte Dokumente exportieren und HL7 FHIR-fähige Schnittstellen vorhalten. CIOs sollten sicherstellen, dass lokale Datenmodelle semantisch anschlussfähig sind – insbesondere für Labor-, Medikations- und Entlass Daten.

2. Datenschutz, Zweckbindung und Rechenschaftspflicht

Die DSGVO verlangt in Art.5 Abs.?1 lit.b und c eine klare Zweckbindung und Datenminimierung, Art.32 schreibt technische und organisatorische Sicherheitsmaßnahmen vor. §?303e SGB V ergänzt dies durch Regelungen zur Datenbereitstellung unter Aufsicht der Koordinierungsstelle. Für CIOs bedeutet das: Prozesse zur Pseudonymisierung, Zugriffssteuerung und interner Dokumentation müssen strukturell verankert sein - nicht nur technisch, sondern als Teil eines revisionsfesten GovernanceModells.

3. IT-Sicherheit und regulatorische Resilienz

Art.32 DSGVO verpflichtet zur Sicherheit der Verarbeitung; §75c SGB V verlangt ein funktionierendes Informationssicherheitsmanagementsystem (ISMS). Mit wachsender Komplexität der Datenflüsse - z.B. durch EHDS-Zugriffe - steigt die Bedeutung von Verschlüsselung, rollenbasiertem Zugriff, Protokollierung und Auditierbarkeit. Wer Gesundheitsdaten freigibt, muss jeden Zugriff kontrollieren und absichern können - sowohl technisch als auch organisatorisch.

Fazit

Die Kombination aus DigiG, GDNG und EHDS markiert den Übergang in ein regelbasiertes Datenzeitalter im Gesundheitswesen. Für CIOs heißt das: Wer jetzt in interoperable Datenstrukturen, dokumentierte Prozesse und sichere IT-Architekturen investiert, gestaltet die digitale Versorgung der Zukunft aktiv mit. Rechtssicherheit und Versorgungseffizienz schließen sich nicht aus – sie bedingen einander. Entscheidend ist, dass Datenverfügbarkeit, Patientenrechte und Datenschutz nicht als Gegensätze begriffen werden, sondern als Elemente eines modernen, souveränen Gesundheitswesens. Klinikdaten müssen genutzt werden können - aber rechtssicher, verantwortungsvoll und im Einklang mit den Grundprinzipien der DSGVO.

Foto: Prof. Dr. Hans Hermann Dirksen, Susheela Kaiser, Liebenstein Law, Frankfurt/Main, Liebenstein Law Rechtsanwälte ist juristischer Projektpartner im vom BMBF geförderten Projekt  AVATAR (www.avatar-projekt.de), das die rechtskonforme Anonymisierung von Gesundheitsdaten zur sicheren Sekundärnutzung erforscht.

Quelle: Krankenhaus-IT Journal, Ausgabe 09/2025 Stand September 2025 

Symbolbild: Cheewynn / AdobeStock