---
title: EHDS – Europäischer Gesundheitsdatenraum (VO 2025/327) – Patientenrechte, Widerspruchsrecht & Fristen 2027/2029/2031
seo_title: EHDS – Europäischer Gesundheitsdatenraum
slug: ehds-gesundheitsdatenraum-2025-327
topic: datenschutz
legal_status: in_force
authority_level: A
valid_from: 2025-03-26
valid_to: null
last_reviewed: 2026-08-15
status: aktuell
license: CC-BY-4.0
url: https://nexvyra.de/fakten/ehds-gesundheitsdatenraum-2025-327.md
wikidata_subjects: []
factcheck_status: ok
---

# EHDS – Europäischer Gesundheitsdatenraum (VO 2025/327) – Patientenrechte, Widerspruchsrecht & Fristen 2027/2029/2031

## Kurzantwort

Die **EHDS-Verordnung** (Verordnung (EU) 2025/327 über den europäischen Raum für Gesundheitsdaten, veröffentlicht im Amtsblatt am **05.03.2025**, in Kraft seit **26.03.2025**) schafft erstmals EU-weite Rechte an den eigenen elektronischen Gesundheitsdaten. Sie gilt als **EU-Verordnung unmittelbar** in Deutschland – ein Umsetzungsgesetz ist nicht nötig, wohl aber nationales Begleitrecht (Behördenbenennung, Widerspruchs-Mechanismus). Die Verordnung ist **gestaffelt anwendbar**: Grundsatzdatum ist der **26.03.2027**, die praktisch entscheidenden Regeln zur **Primärnutzung** (Patientenkurzakte, E-Rezept, E-Abgabe) und zur **Sekundärnutzung** greifen ab dem **26.03.2029**, weitere Datenkategorien (Bildgebung, Laborbefunde, Entlassungsberichte, genetische Daten) ab dem **26.03.2031**, die Drittland-Teilnahme an HealthData@EU ab **26.03.2035** (Art. 105 EHDS-VO).

Für Patientinnen und Patienten sind zwei Punkte zentral: Sie erhalten **Zugang, Berichtigung, Zugriffsprotokolle, Zugriffsbeschränkungen und grenzüberschreitende Datenübertragbarkeit** (Art. 3–10 EHDS-VO) – und sie können der **Sekundärnutzung ihrer Gesundheitsdaten für Forschung jederzeit, ohne Begründung und reversibel widersprechen** (Opt-out, Art. 71 EHDS-VO). Für Datenhalter und Datennutzer (Kliniken, Register, App- und Medizinprodukte-Hersteller, Forschende) gelten Bußgelder von **bis zu 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes** und – bei verbotener Nutzung, unerlaubter Datenextraktion oder Re-Identifizierung – **bis zu 20 Mio. EUR bzw. 4 %** (Art. 64 EHDS-VO), zusätzlich Ausschluss vom EHDS-Zugang für bis zu **fünf Jahre** (Art. 63 EHDS-VO).

## Kernfakten

| Punkt | Wert |
|---|---|
| Rechtsgrundlage | Verordnung (EU) 2025/327 vom 11.02.2025 (EHDS-VO) |
| Veröffentlichung Amtsblatt | 05.03.2025 (ABl. L, 2025/327) |
| In Kraft | 26.03.2025 (20 Tage nach Veröffentlichung) |
| Rechtsnatur | EU-Verordnung – unmittelbar anwendbar, kein Umsetzungsgesetz nötig |
| Grundsätzlicher Anwendungsbeginn | 26.03.2027 (Art. 105 EHDS-VO) |
| Primärnutzung Stufe 1 (Patientenkurzakte, E-Rezept, E-Abgabe) | 26.03.2029 (Art. 14, Art. 105) |
| Primärnutzung Stufe 2 (Bildgebung + Befunde, Laborergebnisse, Entlassungsberichte) | 26.03.2031 (Art. 14, Art. 105) |
| Sekundärnutzung (Kapitel IV) – Grundsatz | 26.03.2029 (Art. 105 Abs. 5) – Wert prüfen |
| Sensible Datenkategorien Sekundärnutzung (u. a. genetische/Omik-, Studien-, Kohortendaten) | 26.03.2031 (Art. 51 Abs. 1 Buchst. b, f, g, m, p) – Wert prüfen |
| Drittland-Teilnahme HealthData@EU | 26.03.2035 (Art. 75 Abs. 5) – Wert prüfen |
| Opt-out Sekundärnutzung | jederzeit, ohne Begründung, reversibel (Art. 71 EHDS-VO) |
| Wirkung des Widerspruchs | nur für künftige Datengenehmigungen; bereits erteilte bleiben unberührt (Art. 71 Abs. 3) |
| Bußgeldrahmen Stufe 1 | bis 10 Mio. EUR oder 2 % weltweiter Jahresumsatz (Art. 64 Abs. 4) – Wert prüfen |
| Bußgeldrahmen Stufe 2 (Verbote, Re-Identifizierung, Datenextraktion) | bis 20 Mio. EUR oder 4 % weltweiter Jahresumsatz (Art. 64 Abs. 5) – Wert prüfen |
| Zusätzliche Sanktion | Ausschluss vom EHDS-Zugang bis zu 5 Jahre, Widerruf der Datengenehmigung (Art. 63) |
| Verhältnis zur DSGVO | EHDS ergänzt die DSGVO, ersetzt sie nicht; Datengenehmigung setzt Einklang mit Art. 6 Abs. 1 DSGVO voraus (Art. 68 Abs. 1 Buchst. c) |
| Aufsicht über das Opt-out | Datenschutzaufsichtsbehörden, Bußgeldrahmen des Art. 83 DSGVO (Art. 65 EHDS-VO) |
| Infrastruktur Primärnutzung | MyHealth@EU (Art. 23 EHDS-VO) |
| Infrastruktur Sekundärnutzung | HealthData@EU (Art. 75 EHDS-VO) |
| Bereitstellungsfrist Datenhalter | max. 3 Monate nach Anfrage der Zugangsstelle, in begründeten Fällen + 3 Monate (Art. 60 Abs. 2) |
| Entscheidungsfrist Zugangsstelle | 3 Monate, verlängerbar um 3 Monate; beschleunigt 2 (+1) Monate für bestimmte öffentliche Stellen (Art. 68 Abs. 4 und 6) |
| Publikationspflicht für Forschende | Ergebnisse binnen 18 Monaten, nur anonym (Art. 61 Abs. 4) |

## Geltungsbereich

Der EHDS gilt in **allen EU-Mitgliedstaaten unmittelbar**. Persönlich betroffen sind drei Gruppen:

**1. Natürliche Personen (Patientinnen und Patienten).** Sie sind Rechteinhaber – aus der Verordnung ergeben sich für sie ausschließlich Rechte, keine Pflichten.

**2. Gesundheitsdienstleister und EHR-Systemhersteller.** Gesundheitsdienstleister müssen prioritäre Datenkategorien künftig in Systemen für elektronische Gesundheitsaufzeichnungen (**EHR-Systeme**) erfassen (Art. 13, 14 EHDS-VO). Hersteller solcher Systeme brauchen technische Dokumentation, **EU-Konformitätserklärung**, **CE-Kennzeichnung** und Registrierung in einer EU-Datenbank (Art. 30, 39, 41, 49 EHDS-VO); eine Zertifizierung durch benannte Stellen ist nicht vorgesehen.

**3. Gesundheitsdateninhaber und -nutzer (Sekundärnutzung).** Der Begriff des Gesundheitsdateninhabers ist weit (Art. 2 Abs. 2 Buchst. t) und erfasst neben Kliniken, Praxen und Registern auch Entwickler von Gesundheitsprodukten, Hersteller von **Wellness-Anwendungen** und Forschungsakteure – allerdings nur, wenn sie zusätzlich als Verantwortliche berechtigt oder verpflichtet sind, die Daten zu verarbeiten, oder nicht personenbezogene Gesundheitsdaten über die Kontrolle der Produktgestaltung bereitstellen können. Ausgenommen sind **natürliche Personen (auch Einzelforschende) und Kleinstunternehmen**; die Mitgliedstaaten können diese Ausnahme zurücknehmen (Art. 50 EHDS-VO).

## Welche Rechte Patientinnen und Patienten bekommen (Primärnutzung)

Über nationale **Zugangsdienste** (Portal oder App), die die Mitgliedstaaten bereitstellen müssen, gelten künftig:

- **Zugangsrecht** zu den eigenen prioritären Gesundheitsdaten, einschließlich Download in einem europäischen Austauschformat (Art. 3 EHDS-VO)
- **Recht auf Berichtigung** falscher Daten und **Recht auf eigene Einträge** (Art. 5, 6 EHDS-VO)
- **Recht auf (grenzüberschreitende) Datenübertragbarkeit** – Behandlung in einem anderen Mitgliedstaat mit vorliegenden Daten (Art. 7 EHDS-VO)
- **Zugriffsbeschränkungen** gegenüber einzelnen Behandlern oder Einrichtungen (Art. 8 EHDS-VO)
- **Auskunft über jeden Datenzugriff** – Protokoll, wer wann was gesehen hat (Art. 9 EHDS-VO)
- **Benennung digitaler Vertreter**, die stellvertretend zugreifen dürfen (Art. 4 Abs. 2 EHDS-VO)
- **Optionaler Widerspruch gegen die Primärnutzung** über die Zugangsdienste, soweit der Mitgliedstaat dies vorsieht (Art. 10 EHDS-VO)

Diese Rechte greifen nicht sofort: Für **Patientenkurzakte, elektronische Verschreibung und elektronische Abgabe** ab dem **26.03.2029**, für **medizinische Bildgebung samt Befunden, Ergebnisse medizinischer Untersuchungen und Entlassungsberichte** erst ab dem **26.03.2031** (Art. 14 i. V. m. Art. 105 EHDS-VO).

## Das Opt-out gegen Forschungsnutzung (Sekundärnutzung, Art. 71)

Sekundärnutzung heißt: Verwendung von Gesundheitsdaten außerhalb der eigenen Behandlung – für öffentliche Gesundheit, Politikgestaltung, Statistik, Lehre sowie wissenschaftliche Forschung einschließlich Produktentwicklung und dem **Trainieren, Testen und Bewerten von Algorithmen** (Art. 53 Abs. 1 EHDS-VO).

Dagegen können natürliche Personen **jederzeit, ohne Begründung und jederzeit widerruflich Widerspruch einlegen** (Art. 71 Abs. 1). Die Mitgliedstaaten müssen dafür einen **barrierefreien Mechanismus** bereitstellen (Art. 71 Abs. 2). Wichtig ist die Reichweite: Der Widerspruch wirkt **nur gegen künftige Datengenehmigungen und Datenanfragen**; bereits erteilte Genehmigungen bleiben bestehen (Art. 71 Abs. 3). Eine **enge nationale Ausnahme** ist zulässig, im Wesentlichen für öffentliche Stellen bei Public-Health-Zwecken und für Forschung aus wichtigen Gründen des öffentlichen Interesses (Art. 71 Abs. 4). Ob Deutschland diese Ausnahme nutzt, war zum Stand dieser Seite nicht abschließend geklärt.

**Ausdrücklich verboten** ist die Nutzung der Daten unter anderem für Werbung, für nachteilige Entscheidungen gegen Personen, für den Ausschluss von Versicherungs- oder Kreditvorteilen sowie für die Entwicklung schädlicher Produkte (Art. 54 EHDS-VO). Gearbeitet wird grundsätzlich nur in einer **sicheren Verarbeitungsumgebung**, aus der ausschließlich nicht personenbezogene Daten herausgelangen dürfen (Art. 73 Abs. 2); die bloße **Gesundheitsdatenanfrage** liefert nur eine anonymisierte statistische Antwort (Art. 69 EHDS-VO). **Re-Identifizierung und ihr Versuch** sind eigenständig verboten und mit bis zu 20 Mio. EUR bzw. 4 % bußgeldbewehrt (Art. 61 Abs. 3, Art. 64 Abs. 5).

## Verhältnis zur elektronischen Patientenakte (ePA) und zur DSGVO

Der EHDS **ersetzt weder die deutsche ePA noch die DSGVO**. Die ePA nach §§ 341 ff. SGB V ist die nationale Umsetzungsschiene mit eigenem Opt-out gegen die Anlage der Akte; der EHDS legt darüber ein EU-Rechte-Gerüst und die grenzüberschreitende Infrastruktur MyHealth@EU. Die DSGVO gilt vollumfänglich weiter: Die Zugangsstelle prüft bei jeder Datengenehmigung, ob die Verarbeitung mit **Art. 6 Abs. 1 DSGVO** vereinbar ist und ob der Zweck nicht mit anonymisierten Daten erreichbar wäre (Art. 68 Abs. 1 Buchst. c EHDS-VO). Über die Einhaltung des Widerspruchsrechts wachen die **Datenschutzaufsichtsbehörden** mit dem Bußgeldrahmen des Art. 83 DSGVO (Art. 65 EHDS-VO).

## Häufige Fehler

- **„Der EHDS gilt seit 2025, also habe ich die Rechte jetzt."** Falsch – in Kraft seit 26.03.2025, aber grundsätzlich anwendbar erst ab 26.03.2027; die Patientenrechte an prioritären Daten greifen ab 26.03.2029 bzw. 26.03.2031.
- **„Als EU-Verordnung braucht der EHDS ein deutsches Umsetzungsgesetz."** Differenziert – die Verordnung gilt unmittelbar. Nationales Begleitrecht ist trotzdem nötig, etwa für die Benennung der Zugangsstelle und den Opt-out-Mechanismus.
- **„Mit dem Widerspruch werden meine Daten gelöscht."** Falsch – der Widerspruch wirkt nur gegen **künftige** Genehmigungen; laufende Datengenehmigungen bleiben unberührt (Art. 71 Abs. 3). Ein Löschanspruch folgt ggf. aus Art. 17 DSGVO, nicht aus Art. 71 EHDS-VO.
- **„Forschende bekommen meine Krankenakte ausgehändigt."** Falsch – gearbeitet wird in einer sicheren Verarbeitungsumgebung; heraus dürfen nur nicht personenbezogene Daten (Art. 73 Abs. 2).
- **„Kommerzielle Nutzung ist im EHDS ausgeschlossen."** Falsch – zulässig sind die Zwecke des Art. 53 Abs. 1 einschließlich Produktentwicklung und Algorithmentraining. Verboten sind dagegen Werbung, nachteilige Entscheidungen und Versicherungs-/Kreditnachteile (Art. 54).
- **„Der Opt-out gegen die ePA deckt auch die EHDS-Forschungsnutzung ab."** Falsch – das sind zwei verschiedene Widerspruchsrechte (ePA-Opt-out nach SGB V; EHDS-Opt-out nach Art. 71 EHDS-VO, daneben der optionale Primärnutzungs-Widerspruch nach Art. 10).
- **„Nur Krankenhäuser sind Datenhalter."** Falsch – erfasst sein können auch Register, Forschungsakteure sowie Hersteller von Wellness-Apps und Gesundheitsprodukten (Art. 2 Abs. 2 Buchst. t), ausgenommen sind natürliche Personen und Kleinstunternehmen (Art. 50).











## Quellen

- Verordnung (EU) 2025/327 (EHDS) – Volltext EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32025R0327
- EUR-Lex – Zusammenfassung „Europäischer Gesundheitsdatenraum (EHDS)": https://eur-lex.europa.eu/DE/legal-content/summary/european-health-data-space-ehds.html
- EU-Kommission – European Health Data Space: https://health.ec.europa.eu/ehealth-digital-health-and-care/european-health-data-space_en
- EU-Kommission – MyHealth@EU (grenzüberschreitende Gesundheitsdienste): https://health.ec.europa.eu/ehealth-digital-health-and-care/electronic-cross-border-health-services_en
- EDPB – Europäischer Datenschutzausschuss (Stellungnahmen zum EHDS): https://www.edpb.europa.eu/
- Verordnung (EU) 2016/679 (DSGVO) – Volltext EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- Verordnung (EU) 2022/868 (Data Governance Act) – Volltext EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R0868
- SGB V (§§ 341 ff. – elektronische Patientenakte): https://www.gesetze-im-internet.de/sgb_5/

## Änderungsverlauf

- 2026-08-15: Erstveröffentlichung durch EU-Recht-Bot. Gestaffelter Anwendungsbeginn (26.03.2027 / 26.03.2029 / 26.03.2031 / 26.03.2035, Art. 105 EHDS-VO) dokumentiert, Patientenrechte der Primärnutzung (Art. 3–10), Opt-out gegen Sekundärnutzung (Art. 71) und Bußgeldstufen (Art. 63, 64) aufgenommen; Abgrenzung zur deutschen ePA und zur DSGVO ergänzt. factcheck_status=review_needed, weil der EUR-Lex-Volltext im Erstellungslauf nicht direkt abrufbar war und die Detailstaffel des Art. 105 Abs. 5 sowie die Bußgeldabsätze des Art. 64 nur über Sekundärquellen bestätigt sind. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

## Siehe auch

- [Elektronische Patientenakte (ePA für alle)](/fakten/epa-elektronische-patientenakte.html)
- [DSGVO Art. 9 – Gesundheitsdaten und besondere Kategorien](/fakten/dsgvo-art-9-gesundheitsdaten-besondere-kategorien.html)
- [EU Data Governance Act (VO 2022/868)](/fakten/data-governance-act-2022-868.html)
- [EU Data Act (VO 2023/2854)](/fakten/eu-data-act-2023-2854.html)
- [DSGVO Art. 6 – Rechtsgrundlagen der Verarbeitung](/fakten/dsgvo-rechtsgrundlagen-art-6.html)

## Stand

- Stand: 2026-08-15
- Gültig ab: 2025-03-26 (Inkrafttreten); Anwendungsbeginn gestaffelt ab 2027-03-26
- Vollständige Primärnutzung: ab 2029-03-26 bzw. 2031-03-26
- Status: aktuell
- Quellenautorität: A (VO 2025/327, EUR-Lex, EU-Kommission, DSGVO, SGB V)
- Lizenz: CC BY 4.0