2. Ziele und Vorteile der ePA

Mit der ePA liegen perspektivisch alle Gesundheitsdaten des Patienten digital vor und können unmittelbar von Patienten eingesehen werden. In der Standardeinstellung sehen alle behandelnden Leistungserbringer eines Patienten alle in dessen ePA hinterlegten Daten. Die Patienten können aber aktiv werden und in gewissem Rahmen bestimmen, welche Leistungserbringer welche Zugriffsrechte auf die Gesundheitsdaten haben. Dazu können die Patienten eine Smartphone-App nutzen oder mit der Krankenkasse Kontakt aufnehmen. Patienten können dies bspw. selbst über eine ePA-App steuern. Es ist allerdings nicht möglich einzelne Dokumente zielgerichtet nur bestimmten Ärzten zur Verfügung zu stellen. Das kann insbesondere bei der Einholung einer ärztlichen Zweitmeinung von Bedeutung sein, wo man nur die objektiven Befunde, nicht aber die Diagnose mit dem zweiten Arzt teilen möchte.

Ärzte und Apotheker können die Medikation einsehen und so ungewollte Wechselwirkungen vermeiden. Allerdings geht es auch hier nur nach dem Prinzip „alle oder keine“. Einzelne Medikationen lassen sich nicht verbergen oder bestimmte Ärzte oder Apotheker vom Zugriff ausnehmen.

Die bundesweite ePA kann damit dazu beitragen die Behandlungsqualität zu verbessern und Forschung zu ermöglichen (zu den einzelnen Vorteilen das Bundesministerium für Gesundheit (BMG): Die ePA für alle | BMG).

Weitere Vorteile sind die verbesserte Austauschmöglichkeit zwischen verschiedenen Leistungserbringen, bspw. dem Haus- und dem Facharzt und der besseren Nachvollziehbarkeit und Dokumentation der Medikation (Medikationsliste) eines Patienten.

Insgesamt wird durch die ePA auch die Interoperabilität im Gesundheitswesen gestärkt, wenngleich die hier bestehenden Probleme nicht gänzlich gelöst (Interoperabilität 2025: Voraussetzungen für ein interoperables Gesundheitswesen schaffen | Bitkom-Dataverse das Datenportal der Bitkom).

3. Risiken und Kritik der ePA

Doch trotz der vielen positiven Aspekte gibt es nach wie vor Kritikpunkte an der ePA von verschiedenen Seiten und in verschiedene Stoßrichtungen (Noch viele Unklarheiten bei der elektronischen Patientenakte | heise online). Nachfolgend soll eine Auswahl der bestehenden Unsicherheiten und Unklarheiten dargestellt werden.

a) Datensicherheit

Pünktlich zum bundesweiten Rollout der ePA am 29.04.2025 verunsicherte ein weiterer Hackerangriff auf die ePA. Hackern war es gelungen, die nachgeschärften Sicherheitsmaßnahmen zu umgehen und auf individuelle Patientenakten zuzugreifen:

Hacker knacken auch den verbesserten Schutz der E-Patientenakte | tagesschau.de

E-Patientenakte weiterhin unsicher: Schutzmaßnahmen nicht ausreichend | heise online

Zuerst berichtete der Spiegel (€): Elektronische Patientenakte: Hacker umgehen auch die neuen Schutzmaßnahmen – DER SPIEGEL

Zwei White-Hat-Hackern mit Verbindungen zum Chaos Computer Club war es wohl gelungen mit elektronischen Ersatzbescheinigungen für Versichertenkarten Zugriff auf einzelne ePAs zu erlangen.

Die für die ePA zuständige Digitalagentur gematik hat daraufhin Notfallmaßnahmen eingeleitet und nach eigenem Bekunden die Sicherheitslücken geschlossen – durch einstweiliges Abschalten der elektronischen Ersatzbescheinigung. Diese Maßnahmen wurden nach Angabe der gematik in Abstimmung mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) umgesetzt.

Die berechtigte Kritik an der Datensicherheit hält damit weiter an. Bereits im Dezember 2023 hatte der Chaos Computer Club auf erhebliche Schwachstellen und Angriffsmöglichkeiten hingewiesen. In Reaktion darauf wurden die Sicherheitsmaßnahmen nachgeschärft, allerdings nicht in ausreichendem Maß, wie sich nun herausgestellt hat.

Das BMG hatte sich vor dem bundesweiten Rollout dergestalt geäußert, dass die ePA erst ausgerollt würde, wenn alle Sicherheitsbedenken ausgeräumt seien. An dieser Aussage darf angesichts der jüngsten Ereignisse gezweifelt werden. Auch der ehemalige Bundesdatenschutzbeauftragte Prof. Ulrich Kelber kritisiert die unzureichenden Sicherheitsmechanismen der ePA (Weitere Sicherheitslücke bei ePA – Datenschutzbeauftragter Kelber übt scharfe Kritik | MDR.DE).

b) Datenschutz, Datensouveränität und Beschlagnahmeschutz

Mit Beginn des Gesetzgebungsverfahrens um die ePA wurden immer wieder datenschutzrechtliche Bedenken geäußert. Diese Bedenken bestehen, nicht zuletzt aufgrund der Sicherheitslücken, weiter fort:

• Es geht dabei unter anderem um die Frage: Opt-In oder Opt-Out? Bis zum 14. Januar 2025 war noch der Opt-In, also die aktive Einwilligung, notwendig. Seit dem 15. Januar 2025 können Patienten nur noch widersprechen (Opt-Out). Patienten, die nicht widersprechen, bekommen automatisch eine ePA. Diese automatische Anlage einer ePA, wenn kein Widerspruch erklärt wird, steht teilweise in der Kritik. Eine parallele Debatte fand auch zur Anlage einer Electronic Health Record (EHR) im Rahmen des European Health Data Space (EHDS) statt.

• Aktuell gibt es aber auch bei der Umsetzung des Opt-Out-Mechanismus Kritik in der Umsetzung. In einem Einzelfall war es wohl gelungen durch eine gefälschte Unterschrift den Widerspruch und damit die Löschung der ePA zu bewirken. Die Bundesbeauftragte für den Datenschutz (BfDI) prüft nun, ob das Verfahren, insbesondere Identifikation, bei der betroffenen Krankenkasse, hinreichend manipulationssicher ist (Elektronische Patientenakte: Bundesdatenschützerin prüft Löschung der ePA bei der Barmer). Die Meldung stammt von einem anonymen Hinweisgeber, die Krankenversicherung teilt mit, dass eine Löschung der ePA ohne aktive Mitwirkung des Patienten ausgeschlossen sei. Der Hinweisgeber behauptet das Gegenteil.

• Weitere Bedenken in datenschutzrechtlicher Hinsicht werden hinsichtlich der möglichen Datennutzung zu Forschungszwecken geäußert. Das BMG betont dabei das Potenzial der Gesundheitsdaten in der ePA für Forschung, Verbesserung der Versorgungsqualität und statistische Zwecke der Gesundheitsberichterstattung. Gesundheitsdaten aus der ePA sollen pseudonymisiert zu Forschungszwecken verarbeitet werden, wobei an die Datennutzenden vom Forschungsdatenzentrum Gesundheit nur aggregierte, anonymisierte Daten herausgegeben werden (Die ePA für alle | BMGdigitalisierung/elektronische-patientenakte/epa-fuer-alle.html). Der Datennutzung für Forschungszwecke können Patienten aber jederzeit widersprechen und die ePA ohne Einschränkungen weiter nutzen. Die „Default-Einstellung“ erlaubt aber die Nutzung der anonymisierten Daten zu Forschungszwecken.

• Der Beschlagnahmeschutz der ePA vor staatlichen Zugriffen (etwa der Staatsanwaltschaft oder Behörden) ist ein weiterer Kritikpunkt, der in der öffentlichen Debatte und der juristischen Fachliteratur aufgeworfen wurde.

Wenn der Staat die elektronische Patientenakte lesen will | heise online

Anders als für die elektronische Gesundheitskarte und die originäre Behandlungsdokumentation in arzteigenen (Primär-)Systemen, finden sich in § 97 Strafprozessordnung (StPO) keine Regelungen zum Schutz der ePA vor Beschlagnahme. Aus der Gesetzesbegründung geht allerdings hervor, dass der Gesetzgeber selbst davon ausgeht, dass es einen Beschlagnahmeschutz gibt – im Gesetzeswortlaut verankert ist dieser aber nicht. Die juristische Fachliteratur sieht darin einen Irrtum des Gesetzgebers bei der Subsumption der entsprechenden Normen der StPO. Die technischen Schutzmaßnahmen, die in der Praxis bereits mehrfach umgangen werden konnten, sind hier nur ein kleiner Trost. Trotz der grundsätzlichen Anerkennung des Beschlagnahmeschutzes in der Gesetzesbegründung wäre es wünschenswert, wenn dieser hier nachsteuern und eine eindeutige Regelung aufnehmen würde. Bis dahin besteht Unsicherheit was den Beschlagnahmeschutz der ePA betrifft:

Kann der Staat auf die elektronische Patientenakte zugreifen?

4. EHDS – Verhältnis und Zusammenspiel?

Perspektivisch werden sich noch weitere Fragen im Zusammenhang mit dem European Health Data Space (EHDS) stellen. Die ePA wird voraussichtlich die nationale Umsetzung einer zentralen „Electronic Health Record“ (EHR) im Rahmen des EHDS werden.

Wie europäisches und nationales Recht hier zusammenspielen und ineinandergreifen – oder kollidieren – wird sich mit Umsetzung des EHDS noch zeigen. Spannend werden hierbei insbesondere Fragen zum jeweiligen Opt-Out-Mechanismus und dem Verhältnis von nationalem zu europäischem Recht – samt zumindest ausnahmsweise noch unional erlaubtem und national vorgeschriebenem Opt-In-Erfordernis wie bei der Verarbeitung von Gendaten. Dies könnte gerade beim bis zuletzt und weiterhin umstrittenen Umfang des Opt-Out-Rechts im EHDS relevant werden.

5. Ausblick

Es bleibt abzuwarten, wie sich die dargestellten Unsicherheiten und Probleme der ePA in Zukunft weiter entwickeln werden. Nach wie vor haben Patientinnen und Patienten die Möglichkeit zu widersprechen, entweder in Gänze oder bspw. nur gegen die Datenverarbeitung zu Forschungszwecken.

Am Ende ist es eine höchst persönliche Entscheidung, ob die unbestreitbaren Vorteile die ebenfalls unbestreitbaren Unsicherheiten, Lücken und Unklarheiten überwiegen.

Gerne beraten wir Sie auch als Anwender oder Anbieter von IT-Leistungen im Kontext von ePA und EHDS zu allen Fragen im Bereich E-Health. Kontaktieren Sie unsere Ansprechpartner Dr. Uwe. K. Schneider und Till Katzenstein hierzu gerne.

Dieses Bild wurde mithilfe des KI-Tools DALL-E generiert.

Rechtlich gesehen wirft die Nutzung solcher KI-gestützter Tools jedoch spannende und komplexe Fragen auf: Wer hält die Rechte an automatisiert generiertem Code? Wie können Geschäftsgeheimnisse effektiv geschützt werden, wenn KI bei der Programmierung unterstützt?

Welche vertraglichen Vereinbarungen müssen getroffen werden, um Kunden wirksam Rechte an KI-generiertem Code einzuräumen? Wer haftet für potenzielle Fehler oder Rechtsverletzungen?

Diese und weitere zentrale rechtliche Fragestellungen rund um die Nutzung von GitHub Copilot haben wir kürzlich im Rahmen eines exklusiven Webinars für die globale Rechtsabteilung eines unserer Mandanten intensiv behandelt.

Nach einer kompakten Einführung ins europäische Urheberrecht sowie einem Überblick über aktuelle Gerichtsverfahren in Deutschland und den USA (insbesondere Kneschke ./. Laion und DOE, J. vs. GitHub, Microsoft und OpenAI) haben wir detailliert über rechtliche Risiken und Handlungsempfehlungen im Umgang mit KI-generiertem Code informiert und konkrete Best-Practice-Empfehlungen, v.a. im Verhältnis zu Auftraggebern, ausgesprochen.

Wir sind Experten, wenn es um den rechtssicheren Einsatz von KI-Tools wie Github Copilot, ChatGPT und anderen KI-Anwendungen geht. Bei Fragen oder Interesse an einem Webinar oder Workshop für Ihr Unternehmen zum Einsatz von KI-Anwendungen, kontaktieren Sie uns gerne jederzeit:

Prof. Dr. Rupert Vogel, rv@vogel-partner.eu

Prof. Dr. Marc Strittmatter, ms@vogel-partner.eu

Manuel Treiterer, mt@vogel-partner.eu

Julia Hirsch, juh@vogel-partner.eu

Im Zentrum steht das Gesetz über Arbeitnehmererfindungen (ArbnErfG). Es regelt, wie Erfindungen im Arbeitsverhältnis rechtlich zu behandeln sind – und stellt sicher, dass beide Seiten – Arbeitgeber wie Arbeitnehmer – fair beteiligt werden.

Arbeitnehmererfindung

Gem. §§ 1, 2 ArbnErfG sind alle Erfindungen von Arbeitnehmern im privaten und im öffentlichen Dienst, Arbeitnehmererfindungen, die patent- oder gebrauchsmusterfähig sind. Unterschieden wird zwischen sog. Diensterfindungen (auch gebundenen Erfindungen) und sonstigen bzw. freien Erfindung. In diesem Beitrag werden nur die Diensterfindungen, gem. § 4 Abs. 2 ArbnErfG, betrachtet, also Erfindungen, die während der Dauer des Arbeitsverhältnisses gemacht wurden und entweder aus der dem Arbeitnehmer im Betrieb obliegenden Tätigkeit entstanden sind oder maßgeblich auf Erfahrungen oder Arbeiten des Betriebes beruhen.

Meldepflicht des Arbeitnehmers

Wenn ein Arbeitnehmer eine Diensterfindung gemacht hat, muss er diese nach § 5 ArbnErfG unverzüglich dem Arbeitgeber melden. Die Meldung muss gesondert und in Textform (z.B. per E-Mail) erfolgen. An die Meldepflicht als elementare Pflicht des Arbeitnehmers sind zahlreiche Rechtsfolgen geknüpft. Insbesondere löst der Zugang der Erfindungsmeldung die viermonatige Frist zur Inanspruchnahme bzw. Freigabe der Erfindung durch den Arbeitgeber (§ 6 ArbnErfG) aus.

Inanspruchnahme/Freigabe

Auch im Arbeitsverhältnis steht dem Erfinder, also dem Arbeitnehmer, das Recht an seiner Erfindung grundsätzlich zu. Der Arbeitgeber kann aber mit Erklärung in Textform, die Diensterfindung innerhalb der viermonatigen Freigabe‐ bzw. Inanspruchnahmefrist des § 6 Abs. 2 ArbnErfG in Anspruch nehmen; mit ereignislosem Ablauf dieser Frist gilt die Diensterfindung zudem ohnehin als in Anspruch genommen. In der Inanspruchnahme liegt somit in beiden Fällen die Anerkennung der Schutzfähigkeit einer gemeldeten Diensterfindung.

Mit der Inanspruchnahme gehen gem. § 7 Abs. 1 ArbnErfG alle vermögenswerten Rechte an der Diensterfindung auf den Arbeitgeber über. Die Erfinderpersönlichkeitsrechte, insbesondere das Recht auf Erfinderbenennung, verbleiben aber beim Arbeitnehmererfinder. Der Arbeitgeber ist sodann aber Alleinberechtigter in Bezug auf die Diensterfindung.

Der Arbeitnehmer hat damit keinen Einfluss mehr auf deren wirtschaftliche Verwertung. Nach § 13 Abs. 1 ArbnErfG ist der Arbeitgeber dementsprechend auch allein berechtigt, aber auch verpflichtet, die Erfindung unverzüglich nach Zugang der Erfindungsmeldung als Schutzrecht anzumelden.

Diese Verpflichtung besteht bereits auf Grund des Zugangs der Erfindungsmeldung und daher unabhängig von dem Ablauf der Freigabe‐ bzw. Inanspruchnahmefrist. Die Schutzrechtsanmeldung muss die gemeldete erfinderische Lehre vollständig ausschöpfen; mit der Anmeldung ist daher der weitestgehende Schutz zu beantragen. Nur wenn eine Patentfähigkeit offensichtlich nicht gegeben ist, hat der Arbeitgeber die Möglichkeit, lediglich ein Gebrauchsmuster anzumelden oder von der Anmeldung abzusehen. Es empfiehlt sich, dem Arbeitnehmer die Schutzrechts‐Anmeldeunterlagen vor der Einreichung zur Durchsicht und Stellungnahme und, sofern eine Stellungnahme nicht beabsichtigt ist, zur ausdrücklichen Freigabe zuzusenden und sich die Freigabe durch Unterschrift bzw. ausdrücklich bestätigen zu lassen. Die Anmeldeverpflichtung entfällt lediglich:

• bei Freiwerden der Erfindung,
• soweit eine Vereinbarung über eine Nichtanmeldung nach § 13 2 Nr. 2 ArbnErfG getroffen wurde oder
• die Voraussetzungen einer betriebsgeheimen Erfindung nach § 17 ArbnErfG vorliegen.

Vergütung für die Diensterfindung

Sollte der Arbeitgeber eine Diensterfindung des Arbeitnehmers in Anspruch nehmen, so hat der Arbeitnehmererfinder als Ausgleich für den Verlust der vermögenswerten Rechte einen Anspruch auf eine „angemessene“ Vergütung gemäß § 9 ArbnErfG.

Der Vergütungsanspruch des Arbeitnehmers beruht darauf, dass der Arbeitgeber durch die Inanspruchnahme der Diensterfindung die Möglichkeit zum Erwerb eines Monopolrechts hat. Damit hat der Arbeitnehmererfinder im Grundsatz keinen Vergütungsanspruch, sofern und so weit nicht zugunsten seines Arbeitgebers ein Monopol besteht.

Der Arbeitnehmererfindern ist in diesem Fall an allen wirtschaftlichen und geldwerten Vorteilen, die dem Arbeitgeber aus der Erfindung zukommen, zu beteiligen. Dafür muss der Nutzen kausal auf der Erfindung beruhen und es sind nur solche wirtschaftlichen Vorteile zu berücksichtigen, die beim Arbeitgeber und nicht bei Dritten eintreten.

Es handelt sich hierbei um einen Vergütungsanspruch eigener Art. Daher kann er auch nicht auf die Arbeitsvergütung angerechnet werden. Sozialversicherungsrechtlich und steuerlich wird die Vergütung allerdings wie Arbeitsentgelt behandelt. Ausgestaltet werden kann die Vergütung als laufende jährliche Zahlung oder als Pauschale. Aufgrund des Monopolprinzips endet der Vergütungsanspruch in der Regel mit Auslaufen des Schutzrechts.

Nach dem gesetzlichen Leitbild sollen Arbeitgeber und Arbeitnehmer Art und Höhe der Vergütung in einer gemeinsamen Vereinbarung regeln. Alternativ kann diese aber auch einseitig durch den Arbeitgeber festgesetzt werden.

Die Vergütung soll angemessen hoch sein und ist jeweils individuell im Einzelfall zu ermitteln. Als wesentliche Kriterien werden hierfür die wirtschaftliche Verwertbarkeit der Diensterfindung, die Stellung des Arbeitnehmers im Betrieb und der Anteil des Betriebs am Zustandekommen der Diensterfindung herangezogen.

Unabdingbarkeit

Nach § 22 ArbnErfG können die gesetzlichen Regelungen des ArbnErfG nicht zu Ungunsten des Arbeitnehmers abbedungen werden. Nichtig wären damit Regelungen im Arbeitsvertrag, nach denen alle Rechte an technischen Erfindungen ohne gesonderte Vergütung an den Arbeitgeber abgetreten werden oder entsprechende Verzichtserklärungen abgegeben werden. Zulässig sind aber nach § 22 ArbnErfG Vereinbarungen zwischen Arbeitnehmer und Arbeitgeber nach deren Meldung. Daher können durchaus Vereinbarungen über einzelne Erfindungen getroffen werden. Allerdings unterliegen auch solche Vereinbarungen rechtlichen Grenzen. So dürfen nach § 23 Abs. 1 ArbnErfG solche Vereinbarungen nicht „in erheblichem Maße unbillig“ sein. Dies wäre insbesondere der Fall, wenn die dem Arbeitnehmer tatsächlich gezahlte Vergütung lediglich die Hälfte der angemessenen eigentlich zu zahlenden Vergütung beträgt.

Bei Fragen zu Arbeitnehmererfindungen stehen wir Ihnen gerne zur Verfügung.

Anna Danek, ad@vogel-partner.eu

Julia Hirsch, juh@vogel-partner.eu

Um Unternehmen bei der Umsetzung der neuen Anforderungen zu unterstützen, haben wir Beratungsangebote zu den folgenden erarbeiteten Schlüsselregelungen:

• Data Act/Datengesetz
• AI Act/KI-Verordnung
• Cyber Resilience Act
• NIS-2-Richtlinie
• Produkthaftungsrichtlinie
• Maschinenverordnung
• BFSG (Barrierefreiheitsstärkungsgesetz)
• DORA (Digital Operational Resilience Act)

Ihr Weg zur Compliance:

Wir erstellen auf Basis Ihres Produkt- und Service-Portfolios (soweit über Ihre Unternehmens-Webseite einsehbar oder von Ihnen zur Verfügung gestellt) ein individuelles Regulatory Exposure Profile (REP) mit einer ersten vergütungsfreien Einschätzung zur Relevanz der jeweiligen Gesetze für Ihr Unternehmen.

Sie erhalten das REP gemeinsam mit Terminvorschlägen zur Durchsprache und Vereinbarung weiterer Maßnahmen zur Umsetzung regulatorischer Vorgaben in Ihrem Unternehmen, bspw.:

✔ Gemeinsame Workshops zur vertieften Analyse Ihrer Unternehmenssituation
✔ Individuelle Pflichtenhefte mit priorisierten Handlungsfeldern
✔ Weitere Unterstützung und Beratung durch unsere Experten bei der Umsetzung identifizierter Maßnahmen

Wenn Sie Interesse an der Erstellung eines individuellen Regulatory Exposure Profiles durch uns haben und einen Besprechungstermin wünschen, schreiben Sie uns eine E-Mail mit dem Betreff „Regulatory Risk Profile“.*
Wenn Sie uns bereits in anderer Sache mandatiert haben, schreiben Sie alternativ gerne auch an Ihre bekannten Ansprechpartner in der Kanzlei.

Prof. Dr. Marc Strittmatter, ms@vogel-partner.eu

Manuel Treiterer, mt@vogel-partner.eu

*Unsere Leistungen richten sich ausschließlich an Unternehmer im Sinne des § 14 BGB und sind nicht für Verbraucher gemäß § 13 BGB bestimmt.
Alle Informationen auf dieser Website dienen lediglich der unverbindlichen Darstellung unseres Leistungsspektrums und stellen kein Angebot im rechtlichen Sinne dar.
Die uns zur Verfügung gestellten Informationen behandeln wir wie Mandanteninformationen, d.h. in jedem Fall unabhängig von einer späteren Beauftragung vertraulich.
Mit der Inanspruchnahme der vergütungsfreien Leistung stimmen Sie zu, von uns gelegentlich über künftige Online-Veranstaltungen zu aktuellen Rechtsentwicklungen des IT-Rechts informiert zu werden.
Ihre Zustimmung ist jederzeit widerruflich.