ePA Psychotherapie: Datenschutz und Stigmatisierung vermeiden

Im Dezember 2024 führte der Chaos Computer Club (CCC) auf dem 38C3-Kongress vor, wie man an gültige Heilberufsausweise und Gesundheitskarten kommt: mit einfachen Telefonanrufen, innerhalb von zehn bis zwanzig Minuten (CCC, 2024). Eine aktuelle systematische Übersichtsarbeit mit 448 Studien zeigt außerdem, dass Stigmatisierung die große Mehrheit der Menschen mit psychischen Erkrankungen trifft, mit nachweisbaren Folgen für Gesundheit, Versorgung und soziale Teilhabe (Kagstrom et al., 2025). Nimmt man beides zusammen, wird klar, warum der Datenschutz in der elektronischen Patientenakte (ePA) für die Psychotherapie so brisant ist.

Seit dem 1. Oktober 2025 ist die ePA für alle Psychotherapeut:innen Pflicht (KBV, 2025). Ab dem 1. Januar 2026 sehen nur noch die Patient:innen selbst ihre Abrechnungsdaten, andere Leistungserbringer nicht mehr (KBV, 2026). Erhebliche Risiken bleiben trotzdem. Medikationslisten verraten Psychopharmaka, fachfremde Behandelnde können Diagnosen standardmäßig einsehen, und die Stigmatisierung psychiatrischer Diagnosen hat in Deutschland nachweislich zugenommen.

Mit den folgenden sieben evidenzbasierten Strategien können Sie Ihre Patient:innen vor Diskriminierung durch die ePA schützen.

Strategie 1: Proaktive Patientenaufklärung über Stigmatisierungsrisiken

Der wirksamste Schutz fängt mit Information an. Art. 9 der Datenschutz-Grundverordnung (DSGVO) zählt Gesundheitsdaten zu einer besonderen Kategorie personenbezogener Daten, die stärker geschützt werden muss. Für Psychotherapiedaten gelten dabei besonders strenge Schutzstandards. Und bei Diagnosen mit erhöhtem Stigmatisierungsrisiko kommt eine gesonderte Hinweispflicht gegenüber den Patient:innen hinzu (KBV, 2025).

Dass Sie proaktiv aufklären sollten, ist wissenschaftlich gut begründet. Ivanova et al. (2020) zeigten, dass 75 Prozent der befragten Behandelnden davon ausgehen, dass Patient:innen die Einwilligungsformulare zur Datenweitergabe nicht vollständig verstehen. Zugleich sind 70 Prozent der Fachkräfte dafür, dass Patient:innen selbst kontrollieren, wer auf ihre Daten zugreift (Ivanova et al., 2020). Zwischen dem Recht auf Kontrolle und dem, was Patient:innen tatsächlich verstehen, klafft also eine Lücke. Als Therapeut:in müssen Sie sie aktiv schließen.

1. Medikationsliste: Psychopharmaka wie Antidepressiva, Antipsychotika oder Stimmungsstabilisierer landen automatisch aus dem E-Rezept in der ePA. Daraus lässt sich auf psychische Erkrankungen schließen.
2. Standardmäßige Sichtbarkeit: Ohne aktive Einschränkung haben grundsätzlich alle zugelassenen Leistungserbringer Zugriff auf die Dokumente. Auch eine Zahnärztin oder ein Orthopäde kann dann unter Umständen psychiatrische Befunde einsehen.
3. Abrechnungsdaten: Bis zum 31. Dezember 2025 waren Abrechnungsdaten mit allen Diagnosen für alle berechtigten Personen sichtbar. Seit dem 1. Januar 2026 sehen sie nur noch die Patient:innen selbst (KBV, 2026).

Die Bundespsychotherapeutenkammer (BPtK) betont, dass Datenschutz und Datensicherheit in einem Opt-out-System höchste Priorität haben müssen. Denn wenn Daten standardmäßig breit sichtbar sind, birgt das ein erhebliches Stigmatisierungsrisiko (BPtK, 2025).

Strategie 2: Widerspruchsrecht gezielt nutzen

Beim Datenschutz rund um die ePA in der Psychotherapie ist das Widerspruchsrecht das wichtigste Instrument. Patient:innen können der Aufnahme einzelner Dokumente widersprechen, vorhandene Inhalte löschen oder verbergen lassen und auch der gesamten ePA widersprechen (Bundesgesundheitsministerium, 2025).

Derzeit liegt die Widerspruchsquote bei etwa fünf Prozent, deutlich unter den ursprünglich erwarteten 20 Prozent (GKV-Spitzenverband, 2025). Bei der TK, Deutschlands größtem gesetzlichen Krankenversicherer, sind es sieben Prozent und damit mehr als im Durchschnitt. Ob diese Zahlen die besonderen Bedürfnisse von Menschen in Psychotherapie abbilden, ist allerdings fraglich.

Das Widerspruchsrecht hat bei psychischen Erkrankungen mehrere Abstufungen. Gehen Sie diese mit Ihren Patient:innen durch:

• Selektiver Widerspruch: Die Patientin oder der Patient widerspricht nur der Aufnahme bestimmter Dokumente, etwa des PTV 11 (Befundbericht zur Psychotherapeutischen Sprechstunde).
• Widerspruch gegen die Medikationsliste: Rezeptdaten fließen dann nicht mehr in die ePA, und eine bestehende Medikationsliste wird gelöscht.
• Vollständiger Widerspruch: Über die jeweilige Krankenkasse widerspricht die Person der ePA insgesamt.

Strategie 3: Medikationsliste und versteckte Diagnose-Hinweise managen

Für die Psychotherapie gehört die Medikationsliste zu den größten Stigmatisierungsrisiken in der elektronischen Patientenakte. Verschriebene Psychopharmaka gelangen automatisch aus dem E-Rezept in die ePA. Wer dort ein Antidepressivum, ein Antipsychotikum oder ein Benzodiazepin sieht, kann auf die Erkrankung dahinter schließen, auch wenn nirgends ausdrücklich eine Diagnose steht.

Lustgarten et al. (2020) weisen auf die Folgen hin: Werden stigmatisierende psychische Diagnosen unbeabsichtigt offengelegt, kann das den Zugang zur Versorgung beeinträchtigen und zu Diskriminierung durch Arbeitgeber oder Versicherer führen. Vemuri und Dunn (2017) sehen im schnellen, allgegenwärtigen Zugriff über elektronische Patientenakten eine potenzielle Gefahr der Stigmatisierung. Deshalb wurden nach ihrer Darstellung spezifische rechtliche Schutzmechanismen entwickelt.

Patient:innen können die Medikationsliste vollständig abwählen. Einzelne Einträge bearbeiten können sie derzeit aber nicht. Sagen Sie Ihren Patient:innen auch, dass ab März 2026 eine Erweiterung geplant ist, nämlich um den Medikationsplan und um Daten zur Arzneimitteltherapiesicherheit (Körpergewicht, Allergien). Auch diese Daten können mittelbar auf psychische Erkrankungen hindeuten.

Strategie 4: Therapeutische Exemption strategisch einsetzen

Das Gesetz erlaubt Psychotherapeut:innen ausdrücklich, von der Befüllung der ePA abzusehen, wenn erhebliche therapeutische Gründe vorliegen (KBV, 2025). Für den Schutz Ihrer Patient:innen ist diese Ausnahme ein wichtiges Werkzeug.

Solche Gründe liegen insbesondere vor, wenn ein Eintrag in der ePA die therapeutische Beziehung gefährden würde, wenn die Person ein erhöhtes Stigmatisierungsrisiko trägt oder wenn die Offenlegung ihre Bereitschaft zur Behandlung beeinträchtigen könnte. Shen et al. (2019) zeigten, dass Patient:innen aus Angst vor Stigmatisierung und Diskriminierung Informationen zurückhalten oder die Behandlung ganz vermeiden.

Bei Kindern und Jugendlichen unter 15 Jahren gibt es noch eine weitere Ausnahme. Wäre das Kindeswohl gefährdet, kann die ePA-Dokumentation ebenfalls unterbleiben.

Strategie 5: Granulare Zugriffssteuerung und Sichtbarkeitskontrollen

Dass Abrechnungsdaten ab Januar 2026 weniger sichtbar sind, ist ein wichtiger Fortschritt für den Datenschutz bei DSGVO-sensiblen Psychotherapiedaten. Diese Daten enthalten alle gestellten Diagnosen und zeigen, wie oft Therapiesitzungen stattfinden. Seit dem 1. Januar 2026 sehen sie nur noch die Patient:innen selbst. Leistungserbringer können sie nur einsehen, wenn die Patientin oder der Patient sie aktiv freigibt (KBV, 2026).

Grenzen gibt es trotzdem. Der frühere Bundesdatenschutzbeauftragte Kelber kritisierte, dass die Autorisierung auf Einrichtungsebene erfolgt statt auf Abteilungsebene. So kann beispielsweise ein Zahnarzt prinzipiell psychiatrische Diagnosen einsehen (BfDI, 2024). Die gematik hat das Berechtigungskonzept in der ePA 2.0 überarbeitet und Sperr- sowie Verweigerungsrichtlinien eingeführt. Die BPtK fordert aber weiterhin eine Autorisierung auf Dokumentenebene (gematik, 2025; BPtK, 2025).

Helfen Sie Ihren Patient:innen, die vorhandenen Steuerungsmöglichkeiten auch zu nutzen. Die Patient:innen können bestehende Dokumente löschen oder ausblenden, die Sichtbarkeit für bestimmte Einrichtungen einschränken und Abrechnungsdaten individuell verwalten. Kariotis et al. (2022) zeigten in einer Übersichtsarbeit, dass elektronische Patientenakten systematisch Spannungen zwischen Informationsweitergabe und Datenschutz erzeugen. Diese Spannungen müssen aktiv gemanagt werden.

Strategie 6: Datensicherheit und Verschlüsselung in der Praxis

Ein wesentlicher Teil des Datenschutzes rund um die ePA ist die Sicherheit Ihrer eigenen Praxis-IT. Die CCC-Demonstration im Dezember 2024 hat gezeigt, dass es systemische Schwachstellen gibt. Die gematik hat die konkret gemeldete Sicherheitslücke zwar Ende Dezember 2024 geschlossen (gematik, 2024). Für die Praxisebene bleiben aber Sie verantwortlich.

Berichten zufolge gab es im deutschen Gesundheitswesen im Jahr 2024 immer wieder Datenschutzvorfälle und Cyberangriffe (datensicherheit.de, 2025). Unabhängige Sicherheitsprüfungen fanden dabei mehrfach Schwachstellen in der Telematikinfrastruktur. Knaak, Mantler und Szeto (2017) betonen, dass Stigmatisierung durch psychische Erkrankungen ohnehin bestehende Barrieren beim Zugang zur Gesundheitsversorgung verstärkt. Gefährden nun zusätzlich Sicherheitslücken sensible psychiatrische Daten, vervielfacht sich dieses Risiko.

Paragraph 203 des Strafgesetzbuches (StGB) stellt die unbefugte Offenbarung von Patientengeheimnissen unter Strafe. Es drohen eine Freiheitsstrafe von bis zu einem Jahr oder eine Geldstrafe. Auch wenn Sie die ePA nutzen, gilt Ihre persönliche Schweigepflicht nach §203 StGB weiter. Die Hoheit über die Daten in Ihrem Behandlungsverhältnis bleibt bei Ihnen. Für Ihre Praxis heißt das konkret:

• Verschlüsselung: Verschlüsseln Sie gespeicherte Daten mit AES-256, und übertragen Sie Daten nur über verschlüsselte Verbindungen.
• Zwei-Faktor-Authentifizierung: Sichern Sie den Zugang zu Praxissystemen und zur Telematikinfrastruktur mit zwei Faktoren ab.
• Datensicherung: Legen Sie regelmäßig verschlüsselte Sicherungskopien an.
• Meldepflicht: Nach einem Datenschutzvorfall gilt gegenüber der zuständigen Aufsichtsbehörde eine Meldefrist von 72 Stunden.
• Auftragsverarbeitung: Achten Sie darauf, dass externe Dienstleister DSGVO-konforme Auftragsverarbeitungsverträge vorweisen.

Die ePA erhöht die Transparenz nach außen. Das Herzstück der Therapie bleibt aber die interne Dokumentation. Mit KI-gestützter Transkriptions-Software erstellen Sie detaillierte Verlaufsnotizen für Ihre interne Akte und bereiten für die ePA nur das klinisch Notwendige auf.

Strategie 7: Forschungsdatennutzung und Pseudonymisierung verstehen

Am 9. Oktober 2025 wurde beim Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) das Forschungsdatenzentrum Gesundheit (FDZ Gesundheit) eröffnet. Für die Gesundheitsforschung erhält es ePA-Daten in pseudonymisierter Form (FDZ Gesundheit, 2025). Die erste Datenlieferung ist für das vierte Quartal 2026 geplant. Den Anfang macht die elektronische Medikationsliste.

Kagstrom et al. (2025) haben in einer systematischen Übersichtsarbeit mit 448 Studien untersucht, welche negativen Folgen psychische Stigmatisierung hat. Sie fanden Auswirkungen auf Gesundheit, die Inanspruchnahme von Versorgungsleistungen, psychosoziale Faktoren, wirtschaftliche Teilhabe und strukturelle Diskriminierung. Forschung mit pseudonymisierten ePA-Daten kann helfen, diese Stigmatisierungsmechanismen besser zu verstehen. Sie wirft aber auch Fragen zum Datenschutz auf.

Auch wenn Ihre Patient:innen der ePA-Nutzung durch einzelne Leistungserbringer widersprechen, werden pseudonymisierte Daten grundsätzlich an das FDZ übermittelt. Bei der Pseudonymisierung werden direkte Identifikationsmerkmale entfernt und durch künstliche Kennungen ersetzt. Forschende arbeiten mit den Daten ausschließlich in gesicherten virtuellen Analyseräumen. Exportieren oder herunterladen lassen sich die Daten nicht (FDZ Gesundheit, 2025).

Erklären Sie Ihren Patient:innen offen, wohin diese Daten fließen. Gerade bei Menschen mit psychischen Erkrankungen ist das Vertrauen in einen verantwortungsvollen Umgang mit Gesundheitsdaten ein sensibler Punkt, wenn es darum geht, ob sie Versorgung in Anspruch nehmen. Ikram, Parveen und Vaportzis (2025) zeigten, dass ethnisch diverse Gruppen wegen Stigmatisierungserfahrungen seltener elektronische Gesundheitsakten nutzen. Das ist ein weiterer Grund, transparent zu kommunizieren.

Fazit

Beim Datenschutz in der elektronischen Patientenakte stehen Psychotherapeut:innen vor besonderen Herausforderungen. Die Stigmatisierung psychiatrischer Diagnosen ist eine reale Gefahr, und ihre Folgen für Gesundheit, Beschäftigung und soziale Teilhabe sind messbar. Die sieben Strategien geben Ihnen einen klaren Rahmen, um Ihre Patient:innen aktiv zu schützen.

Die wichtigsten Empfehlungen noch einmal kurz:

1. Klären Sie alle Patient:innen proaktiv über Stigmatisierungsrisiken auf und dokumentieren Sie das.
2. Erklären Sie die verschiedenen Abstufungen des Widerspruchsrechts.
3. Weisen Sie auf die Risiken der Medikationsliste hin.
4. Nutzen Sie die therapeutische Exemption, wenn erhebliche Gründe vorliegen.
5. Helfen Sie Patient:innen, die Zugriffssteuerung zu nutzen.
6. Sorgen Sie auf Praxisebene für technische Sicherheit.
7. Informieren Sie offen darüber, wie Forschungsdaten genutzt werden.

Die neue Sichtbarkeitsregel für Abrechnungsdaten seit Januar 2026 ist ein positiver Schritt. Eine feinere Zugriffssteuerung auf Dokumentenebene fehlt aber weiterhin. Behalten Sie die regulatorische Entwicklung im Blick, vor allem die geplante Erweiterung des Medikationsplans ab März 2026.

Ihre Patient:innen vor Stigmatisierung zu schützen, ist eine datenschutzrechtliche Pflicht. Es gehört aber ebenso wesentlich zur therapeutischen Beziehung und zu Ihrer professionellen Verantwortung. Nutzen Sie die vorhandenen Instrumente aktiv, und setzen Sie sich weiter für bessere Schutzmechanismen ein. Erfahren Sie, wie digitale Dokumentationslösungen den DSGVO-konformen Umgang mit sensiblen Psychotherapiedaten unterstützen können.

Dieser Artikel dient der allgemeinen Information und ersetzt keine datenschutzrechtliche, medizinische oder psychotherapeutische Beratung. Bei konkreten Fragen zum Datenschutz wenden Sie sich an die zuständige Datenschutzbehörde oder Ihre Berufs- oder Psychotherapeutenkammer.