Nexvyra

EHDS – Europäischer Gesundheitsdatenraum (VO 2025/327) – Patientenrechte, Widerspruchsrecht & Fristen 2027/2029/2031

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-15 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Die EHDS-Verordnung (Verordnung (EU) 2025/327 über den europäischen Raum für Gesundheitsdaten, veröffentlicht im Amtsblatt am 05.03.2025, in Kraft seit 26.03.2025) schafft erstmals EU-weite Rechte an den eigenen elektronischen Gesundheitsdaten. Sie gilt als EU-Verordnung unmittelbar in Deutschland – ein Umsetzungsgesetz ist nicht nötig, wohl aber nationales Begleitrecht (Behördenbenennung, Widerspruchs-Mechanismus). Die Verordnung ist gestaffelt anwendbar: Grundsatzdatum ist der 26.03.2027, die praktisch entscheidenden Regeln zur Primärnutzung (Patientenkurzakte, E-Rezept, E-Abgabe) und zur Sekundärnutzung greifen ab dem 26.03.2029, weitere Datenkategorien (Bildgebung, Laborbefunde, Entlassungsberichte, genetische Daten) ab dem 26.03.2031, die Drittland-Teilnahme an HealthData@EU ab 26.03.2035 (Art. 105 EHDS-VO).

Für Patientinnen und Patienten sind zwei Punkte zentral: Sie erhalten Zugang, Berichtigung, Zugriffsprotokolle, Zugriffsbeschränkungen und grenzüberschreitende Datenübertragbarkeit (Art. 3–10 EHDS-VO) – und sie können der Sekundärnutzung ihrer Gesundheitsdaten für Forschung jederzeit, ohne Begründung und reversibel widersprechen (Opt-out, Art. 71 EHDS-VO). Für Datenhalter und Datennutzer (Kliniken, Register, App- und Medizinprodukte-Hersteller, Forschende) gelten Bußgelder von bis zu 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes und – bei verbotener Nutzung, unerlaubter Datenextraktion oder Re-Identifizierung – bis zu 20 Mio. EUR bzw. 4 % (Art. 64 EHDS-VO), zusätzlich Ausschluss vom EHDS-Zugang für bis zu fünf Jahre (Art. 63 EHDS-VO).

Kernfakten

PunktWert
RechtsgrundlageVerordnung (EU) 2025/327 vom 11.02.2025 (EHDS-VO)
Veröffentlichung Amtsblatt05.03.2025 (ABl. L, 2025/327)
In Kraft26.03.2025 (20 Tage nach Veröffentlichung)
RechtsnaturEU-Verordnung – unmittelbar anwendbar, kein Umsetzungsgesetz nötig
Grundsätzlicher Anwendungsbeginn26.03.2027 (Art. 105 EHDS-VO)
Primärnutzung Stufe 1 (Patientenkurzakte, E-Rezept, E-Abgabe)26.03.2029 (Art. 14, Art. 105)
Primärnutzung Stufe 2 (Bildgebung + Befunde, Laborergebnisse, Entlassungsberichte)26.03.2031 (Art. 14, Art. 105)
Sekundärnutzung (Kapitel IV) – Grundsatz26.03.2029 (Art. 105 Abs. 5) – Wert prüfen
Sensible Datenkategorien Sekundärnutzung (u. a. genetische/Omik-, Studien-, Kohortendaten)26.03.2031 (Art. 51 Abs. 1 Buchst. b, f, g, m, p) – Wert prüfen
Drittland-Teilnahme HealthData@EU26.03.2035 (Art. 75 Abs. 5) – Wert prüfen
Opt-out Sekundärnutzungjederzeit, ohne Begründung, reversibel (Art. 71 EHDS-VO)
Wirkung des Widerspruchsnur für künftige Datengenehmigungen; bereits erteilte bleiben unberührt (Art. 71 Abs. 3)
Bußgeldrahmen Stufe 1bis 10 Mio. EUR oder 2 % weltweiter Jahresumsatz (Art. 64 Abs. 4) – Wert prüfen
Bußgeldrahmen Stufe 2 (Verbote, Re-Identifizierung, Datenextraktion)bis 20 Mio. EUR oder 4 % weltweiter Jahresumsatz (Art. 64 Abs. 5) – Wert prüfen
Zusätzliche SanktionAusschluss vom EHDS-Zugang bis zu 5 Jahre, Widerruf der Datengenehmigung (Art. 63)
Verhältnis zur DSGVOEHDS ergänzt die DSGVO, ersetzt sie nicht; Datengenehmigung setzt Einklang mit Art. 6 Abs. 1 DSGVO voraus (Art. 68 Abs. 1 Buchst. c)
Aufsicht über das Opt-outDatenschutzaufsichtsbehörden, Bußgeldrahmen des Art. 83 DSGVO (Art. 65 EHDS-VO)
Infrastruktur PrimärnutzungMyHealth@EU (Art. 23 EHDS-VO)
Infrastruktur SekundärnutzungHealthData@EU (Art. 75 EHDS-VO)
Bereitstellungsfrist Datenhaltermax. 3 Monate nach Anfrage der Zugangsstelle, in begründeten Fällen + 3 Monate (Art. 60 Abs. 2)
Entscheidungsfrist Zugangsstelle3 Monate, verlängerbar um 3 Monate; beschleunigt 2 (+1) Monate für bestimmte öffentliche Stellen (Art. 68 Abs. 4 und 6)
Publikationspflicht für ForschendeErgebnisse binnen 18 Monaten, nur anonym (Art. 61 Abs. 4)

Geltungsbereich

Der EHDS gilt in allen EU-Mitgliedstaaten unmittelbar. Persönlich betroffen sind drei Gruppen:

1. Natürliche Personen (Patientinnen und Patienten). Sie sind Rechteinhaber – aus der Verordnung ergeben sich für sie ausschließlich Rechte, keine Pflichten.

2. Gesundheitsdienstleister und EHR-Systemhersteller. Gesundheitsdienstleister müssen prioritäre Datenkategorien künftig in Systemen für elektronische Gesundheitsaufzeichnungen (EHR-Systeme) erfassen (Art. 13, 14 EHDS-VO). Hersteller solcher Systeme brauchen technische Dokumentation, EU-Konformitätserklärung, CE-Kennzeichnung und Registrierung in einer EU-Datenbank (Art. 30, 39, 41, 49 EHDS-VO); eine Zertifizierung durch benannte Stellen ist nicht vorgesehen.

3. Gesundheitsdateninhaber und -nutzer (Sekundärnutzung). Der Begriff des Gesundheitsdateninhabers ist weit (Art. 2 Abs. 2 Buchst. t) und erfasst neben Kliniken, Praxen und Registern auch Entwickler von Gesundheitsprodukten, Hersteller von Wellness-Anwendungen und Forschungsakteure – allerdings nur, wenn sie zusätzlich als Verantwortliche berechtigt oder verpflichtet sind, die Daten zu verarbeiten, oder nicht personenbezogene Gesundheitsdaten über die Kontrolle der Produktgestaltung bereitstellen können. Ausgenommen sind natürliche Personen (auch Einzelforschende) und Kleinstunternehmen; die Mitgliedstaaten können diese Ausnahme zurücknehmen (Art. 50 EHDS-VO).

Welche Rechte Patientinnen und Patienten bekommen (Primärnutzung)

Über nationale Zugangsdienste (Portal oder App), die die Mitgliedstaaten bereitstellen müssen, gelten künftig:

Diese Rechte greifen nicht sofort: Für Patientenkurzakte, elektronische Verschreibung und elektronische Abgabe ab dem 26.03.2029, für medizinische Bildgebung samt Befunden, Ergebnisse medizinischer Untersuchungen und Entlassungsberichte erst ab dem 26.03.2031 (Art. 14 i. V. m. Art. 105 EHDS-VO).

Das Opt-out gegen Forschungsnutzung (Sekundärnutzung, Art. 71)

Sekundärnutzung heißt: Verwendung von Gesundheitsdaten außerhalb der eigenen Behandlung – für öffentliche Gesundheit, Politikgestaltung, Statistik, Lehre sowie wissenschaftliche Forschung einschließlich Produktentwicklung und dem Trainieren, Testen und Bewerten von Algorithmen (Art. 53 Abs. 1 EHDS-VO).

Dagegen können natürliche Personen jederzeit, ohne Begründung und jederzeit widerruflich Widerspruch einlegen (Art. 71 Abs. 1). Die Mitgliedstaaten müssen dafür einen barrierefreien Mechanismus bereitstellen (Art. 71 Abs. 2). Wichtig ist die Reichweite: Der Widerspruch wirkt nur gegen künftige Datengenehmigungen und Datenanfragen; bereits erteilte Genehmigungen bleiben bestehen (Art. 71 Abs. 3). Eine enge nationale Ausnahme ist zulässig, im Wesentlichen für öffentliche Stellen bei Public-Health-Zwecken und für Forschung aus wichtigen Gründen des öffentlichen Interesses (Art. 71 Abs. 4). Ob Deutschland diese Ausnahme nutzt, war zum Stand dieser Seite nicht abschließend geklärt.

Ausdrücklich verboten ist die Nutzung der Daten unter anderem für Werbung, für nachteilige Entscheidungen gegen Personen, für den Ausschluss von Versicherungs- oder Kreditvorteilen sowie für die Entwicklung schädlicher Produkte (Art. 54 EHDS-VO). Gearbeitet wird grundsätzlich nur in einer sicheren Verarbeitungsumgebung, aus der ausschließlich nicht personenbezogene Daten herausgelangen dürfen (Art. 73 Abs. 2); die bloße Gesundheitsdatenanfrage liefert nur eine anonymisierte statistische Antwort (Art. 69 EHDS-VO). Re-Identifizierung und ihr Versuch sind eigenständig verboten und mit bis zu 20 Mio. EUR bzw. 4 % bußgeldbewehrt (Art. 61 Abs. 3, Art. 64 Abs. 5).

Verhältnis zur elektronischen Patientenakte (ePA) und zur DSGVO

Der EHDS ersetzt weder die deutsche ePA noch die DSGVO. Die ePA nach §§ 341 ff. SGB V ist die nationale Umsetzungsschiene mit eigenem Opt-out gegen die Anlage der Akte; der EHDS legt darüber ein EU-Rechte-Gerüst und die grenzüberschreitende Infrastruktur MyHealth@EU. Die DSGVO gilt vollumfänglich weiter: Die Zugangsstelle prüft bei jeder Datengenehmigung, ob die Verarbeitung mit Art. 6 Abs. 1 DSGVO vereinbar ist und ob der Zweck nicht mit anonymisierten Daten erreichbar wäre (Art. 68 Abs. 1 Buchst. c EHDS-VO). Über die Einhaltung des Widerspruchsrechts wachen die Datenschutzaufsichtsbehörden mit dem Bußgeldrahmen des Art. 83 DSGVO (Art. 65 EHDS-VO).

Häufige Fehler

Quellen

Änderungsverlauf

Siehe auch

Stand