ePA Psychotherapie: Datenschutz und Stigmatisierung vermeiden

Im Dezember 2024 demonstrierte der Chaos Computer Club (CCC) auf dem 38C3-Kongress, wie sich gültige Heilberufsausweise und Gesundheitskarten durch einfache Telefonanrufe innerhalb von zehn bis zwanzig Minuten beschaffen lassen (CCC, 2024). Gleichzeitig zeigt eine aktuelle systematische Übersichtsarbeit mit 448 Studien, dass Stigmatisierung die große Mehrheit der Menschen mit psychischen Erkrankungen betrifft und sich nachweislich auf Gesundheit, Versorgung und soziale Teilhabe auswirkt (Kagstrom et al., 2025). Diese beiden Fakten verdeutlichen, warum der Datenschutz in der elektronischen Patientenakte (ePA) für die Psychotherapie eine besondere Brisanz besitzt.

Seit dem 1. Oktober 2025 ist die ePA für alle Psychotherapeutinnen und Psychotherapeuten verpflichtend (KBV, 2025). Ab dem 1. Januar 2026 sind Abrechnungsdaten nur noch für Patienten selbst sichtbar, nicht mehr für andere Leistungserbringer (KBV, 2026). Dennoch bleiben erhebliche Risiken: Medikationslisten offenbaren Psychopharmaka, Diagnosen können standardmäßig von fachfremden Behandlern eingesehen werden, und die Stigmatisierung psychiatrischer Diagnosen hat in Deutschland nachweislich zugenommen.

Dieser Artikel stellt sieben evidenzbasierte Strategien vor, mit denen Sie als Psychotherapeutin oder Psychotherapeut Ihre Patienten gezielt vor Diskriminierung durch die ePA schützen können.

Strategie 1: Proaktive Patientenaufklärung über Stigmatisierungsrisiken

Der wirksamste Schutz beginnt mit Information. Art. 9 der Datenschutz-Grundverordnung (DSGVO) klassifiziert Gesundheitsdaten als besondere Kategorie personenbezogener Daten, die einen erhöhten Schutz erfordert. Psychotherapiedaten unterliegen dabei besonders strengen Schutzstandards. Für Diagnosen mit erhöhtem Stigmatisierungsrisiko besteht eine gesonderte Hinweispflicht gegenüber den Patienten (KBV, 2025).

Die Notwendigkeit proaktiver Aufklärung ist wissenschaftlich gut begründet: Ivanova et al. (2020) zeigten, dass 75 Prozent der befragten Behandler davon ausgehen, dass Patienten die Einwilligungsformulare zur Datenweitergabe nicht vollständig verstehen. Gleichzeitig befürworten 70 Prozent der Fachkräfte, dass Patienten selbst kontrollieren sollten, wer auf ihre Daten zugreift (Ivanova et al., 2020). Diese Lücke zwischen dem Recht auf Kontrolle und dem tatsächlichen Verständnis müssen Sie als Therapeutin oder Therapeut aktiv schließen.

1. Medikationsliste: Psychopharmaka wie Antidepressiva, Antipsychotika oder Stimmungsstabilisierer werden automatisch aus E-Rezepten in die ePA übernommen und lassen Rückschlüsse auf psychische Erkrankungen zu.
2. Standardmäßige Sichtbarkeit: Ohne aktive Einschränkung können grundsätzlich alle zugelassenen Leistungserbringer auf Dokumente zugreifen. Das bedeutet, dass auch ein Zahnarzt oder Orthopäde potenziell psychiatrische Befunde einsehen kann.
3. Abrechnungsdaten: Bis zum 31. Dezember 2025 waren Abrechnungsdaten inklusive aller Diagnosen für alle berechtigten Personen sichtbar. Seit dem 1. Januar 2026 sind diese nur noch für Patienten selbst einsehbar (KBV, 2026).

Die Bundespsychotherapeutenkammer (BPtK) betont, dass Datenschutz und Datensicherheit bei einem Opt-out-System höchste Priorität haben müssen, da die standardmäßig breite Datensichtbarkeit ein erhebliches Stigmatisierungsrisiko birgt (BPtK, 2025).

Strategie 2: Widerspruchsrecht gezielt nutzen

Das Widerspruchsrecht ist das wichtigste Instrument für den ePA Psychotherapie Datenschutz. Patienten können der Aufnahme einzelner Dokumente in die ePA widersprechen, bestehende Inhalte löschen oder verbergen lassen und der gesamten ePA widersprechen (Bundesgesundheitsministerium, 2025).

Die aktuelle Widerspruchsquote liegt bei etwa fünf Prozent, deutlich unter den ursprünglich erwarteten 20 Prozent (GKV-Spitzenverband, 2025). Bei der TK, Deutschlands größtem gesetzlichen Krankenversicherer, liegt sie mit sieben Prozent über dem Durchschnitt. Diese Zahlen spiegeln jedoch möglicherweise nicht die besonderen Bedürfnisse von Psychotherapie-Patienten wider.

Für das ePA Widerspruchsrecht bei psychischen Erkrankungen gibt es verschiedene Abstufungen, die Sie mit Ihren Patienten besprechen sollten:

• Selektiver Widerspruch: Der Patient widerspricht nur der Aufnahme bestimmter Dokumente, etwa des PTV 11 (Befundbericht zur Psychotherapeutischen Sprechstunde).
• Widerspruch gegen die Medikationsliste: Verhindert, dass Rezeptdaten in die ePA fließen, und löscht eine bestehende Medikationsliste.
• Vollständiger Widerspruch: Der Patient widerspricht der ePA insgesamt über die jeweilige Krankenkasse.

Strategie 3: Medikationsliste und versteckte Diagnose-Hinweise managen

Die Medikationsliste stellt eines der größten Stigmatisierungsrisiken in der elektronischen Patientenakte für die Psychotherapie dar. Verschriebene Psychopharmaka werden automatisch aus E-Rezepten in die ePA übernommen. Dies bedeutet, dass die Verordnung eines Antidepressivums, eines Antipsychotikums oder eines Benzodiazepins ohne explizite Diagnosestellung Rückschlüsse auf die zugrunde liegende Erkrankung ermöglicht.

Lustgarten et al. (2020) weisen darauf hin, dass die unbeabsichtigte Offenlegung stigmatisierender psychischer Diagnosen den Zugang zur Versorgung beeinträchtigen und zu Diskriminierung durch Arbeitgeber oder Versicherer führen kann. Vemuri und Dunn (2017) betonen, dass der schnelle, allgegenwärtige Zugriff über elektronische Patientenakten eine potenzielle Gefahr der Stigmatisierung schafft, weshalb spezifische rechtliche Schutzmechanismen entwickelt wurden.

Patienten können die Medikationsliste vollständig abwählen. Einzelne Einträge lassen sich derzeit nicht individuell bearbeiten. Weisen Sie Ihre Patienten darauf hin, dass ab März 2026 eine Erweiterung um den Medikationsplan und Daten zur Arzneimitteltherapiesicherheit (Körpergewicht, Allergien) geplant ist. Auch diese Daten können mittelbar auf psychische Erkrankungen hindeuten.

Strategie 4: Therapeutische Exemption strategisch einsetzen

Das Gesetz sieht ausdrücklich vor, dass Psychotherapeuten von der Befüllung der ePA absehen können, wenn erhebliche therapeutische Gründe vorliegen (KBV, 2025). Diese Ausnahme ist ein zentrales Instrument für den Schutz Ihrer Patienten.

Erhebliche therapeutische Gründe liegen insbesondere vor, wenn die Dokumentation in der ePA die therapeutische Beziehung gefährden würde, wenn der Patient ein erhöhtes Stigmatisierungsrisiko trägt oder wenn die Offenlegung die Bereitschaft zur Behandlung beeinträchtigen könnte. Shen et al. (2019) zeigten, dass die Angst vor Stigmatisierung und Diskriminierung dazu führt, dass Patienten Informationen zurückhalten oder die Behandlung ganz vermeiden.

Für Kinder und Jugendliche unter 15 Jahren besteht zudem eine weitere Ausnahmemöglichkeit: Wenn das Kindeswohl gefährdet wäre, kann ebenfalls von der ePA-Dokumentation abgesehen werden.

Strategie 5: Granulare Zugriffssteuerung und Sichtbarkeitskontrollen

Die Verbesserung der Abrechnungsdaten-Sichtbarkeit ab Januar 2026 ist ein wichtiger Fortschritt für den Datenschutz bei DSGVO-sensiblen Psychotherapiedaten. Seit dem 1. Januar 2026 sind Abrechnungsdaten, die alle gestellten Diagnosen und die Häufigkeit der Therapiesitzungen enthalten, nur noch für die Patienten selbst sichtbar. Leistungserbringer können diese Daten nur einsehen, wenn der Patient sie aktiv freigibt (KBV, 2026).

Dennoch bestehen weiterhin Grenzen: Der frühere Bundesdatenschutzbeauftragte Kelber kritisierte, dass die Autorisierung auf Einrichtungsebene und nicht auf Abteilungsebene erfolgt, sodass beispielsweise ein Zahnarzt prinzipiell psychiatrische Diagnosen einsehen kann (BfDI, 2024). Die gematik hat das Berechtigungskonzept in der ePA 2.0 überarbeitet und Sperr- sowie Verweigerungsrichtlinien eingeführt, doch die BPtK fordert weiterhin eine Autorisierung auf Dokumentenebene (gematik, 2025; BPtK, 2025).

Unterstützen Sie Ihre Patienten dabei, die vorhandenen Steuerungsmöglichkeiten zu nutzen. Patienten können bestehende Dokumente löschen oder ausblenden, die Sichtbarkeit für bestimmte Einrichtungen einschränken und Abrechnungsdaten individuell verwalten. Kariotis et al. (2022) zeigten in einer Übersichtsarbeit, dass elektronische Patientenakten systematische Spannungen zwischen Informationsweitergabe und Datenschutz erzeugen, die aktiv gemanagt werden müssen.

Strategie 6: Datensicherheit und Verschlüsselung in der Praxis

Die Sicherheit Ihrer Praxis-IT ist ein wesentlicher Baustein des ePA Psychotherapie Datenschutzes. Die CCC-Demonstration im Dezember 2024 hat gezeigt, dass systemische Schwachstellen existieren. Obwohl die gematik die konkret gemeldete Sicherheitslücke Ende Dezember 2024 geschlossen hat (gematik, 2024), bleibt die Verantwortung für die Praxisebene bei Ihnen.

Berichten zufolge kam es im deutschen Gesundheitswesen im Jahr 2024 wiederholt zu Datenschutzvorfällen und Cyberangriffen (datensicherheit.de, 2025). Unabhängige Sicherheitsprüfungen haben dabei wiederholt Schwachstellen in der Telematikinfrastruktur identifiziert. Knaak, Mantler und Szeto (2017) betonen, dass Stigmatisierung durch psychische Erkrankungen bereits bestehende Barrieren beim Zugang zur Gesundheitsversorgung verstärkt. Wenn nun zusätzlich Sicherheitslücken sensible psychiatrische Daten gefährden, potenziert sich dieses Risiko.

Paragraph 203 des Strafgesetzbuches (StGB) stellt die unbefugte Offenbarung von Patientengeheimnissen unter Strafe, mit einer Freiheitsstrafe von bis zu einem Jahr oder einer Geldstrafe. Die Nutzung der ePA entbindet Sie nicht von Ihrer persönlichen Schweigepflicht nach §203 StGB. Sie bleiben der Herr der Daten in Ihrem Behandlungsverhältnis. Für Ihre Praxis bedeutet dies konkret:

• Verschlüsselung: Nutzen Sie AES-256-Verschlüsselung für gespeicherte Daten und verschlüsselte Verbindungen für die Datenübertragung.
• Zwei-Faktor-Authentifizierung: Sichern Sie den Zugang zu Praxissystemen und zur Telematikinfrastruktur mit zwei Faktoren ab.
• Datensicherung: Erstellen Sie regelmäßige, verschlüsselte Sicherungskopien.
• Meldepflicht: Bei einem Datenschutzvorfall gilt eine 72-Stunden-Meldefrist gegenüber der zuständigen Aufsichtsbehörde.
• Auftragsverarbeitung: Stellen Sie sicher, dass externe Dienstleister DSGVO-konforme Auftragsverarbeitungsverträge vorweisen.

Während die ePA die externe Transparenz erhöht, bleibt die interne Dokumentation das Herzstück der Therapie. KI-gestützte Transkriptions-Software ermöglicht es Ihnen, detaillierte Verlaufsnotizen für Ihre interne Akte zu erstellen, während Sie für die ePA nur das klinisch Notwendige aufbereiten.

Strategie 7: Forschungsdatennutzung und Pseudonymisierung verstehen

Am 9. Oktober 2025 wurde das Forschungsdatenzentrum Gesundheit (FDZ Gesundheit) beim Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) eröffnet. Es erhält ePA-Daten in pseudonymisierter Form für die Gesundheitsforschung (FDZ Gesundheit, 2025). Die erste Datenlieferung ist für das vierte Quartal 2026 geplant, beginnend mit der elektronischen Medikationsliste.

Kagstrom et al. (2025) analysierten in einer systematischen Übersichtsarbeit mit 448 Studien die negativen Folgen psychischer Stigmatisierung. Die Ergebnisse zeigen Auswirkungen auf Gesundheit, Inanspruchnahme von Versorgungsleistungen, psychosoziale Faktoren, wirtschaftliche Teilhabe und strukturelle Diskriminierung. Die Forschung mit pseudonymisierten ePA-Daten kann helfen, diese Stigmatisierungsmechanismen besser zu verstehen, wirft aber gleichzeitig Fragen zum Datenschutz auf.

Für Ihre Patienten ist relevant: Auch wenn sie der ePA-Nutzung durch einzelne Leistungserbringer widersprechen, werden pseudonymisierte Daten grundsätzlich an das FDZ übermittelt. Die Pseudonymisierung entfernt direkte Identifikationsmerkmale und ersetzt sie durch künstliche Kennungen. Forscher greifen ausschließlich in gesicherten virtuellen Analyseräumen auf die Daten zu. Ein Export oder Download ist nicht möglich (FDZ Gesundheit, 2025).

Informieren Sie Ihre Patienten transparent über diese Datenflüsse. Das Vertrauen in den verantwortungsvollen Umgang mit Gesundheitsdaten ist insbesondere bei Menschen mit psychischen Erkrankungen ein sensibler Faktor für die Inanspruchnahme von Versorgungsleistungen. Ikram, Parveen und Vaportzis (2025) zeigten, dass ethnisch diverse Gruppen aufgrund von Stigmatisierungserfahrungen seltener elektronische Gesundheitsakten nutzen, was die Notwendigkeit transparenter Kommunikation zusätzlich unterstreicht.

Fazit

Der Datenschutz in der elektronischen Patientenakte stellt Psychotherapeutinnen und Psychotherapeuten vor besondere Herausforderungen. Die Stigmatisierung psychiatrischer Diagnosen ist eine reale Gefahr mit messbaren Folgen für Gesundheit, Beschäftigung und soziale Teilhabe. Die sieben vorgestellten Strategien bieten Ihnen einen strukturierten Rahmen, um Ihre Patienten aktiv zu schützen.

Die wichtigsten Handlungsempfehlungen im Überblick:

1. Klären Sie jeden Patienten proaktiv über Stigmatisierungsrisiken auf und dokumentieren Sie dies.
2. Beraten Sie zu den verschiedenen Abstufungen des Widerspruchsrechts.
3. Machen Sie auf die Risiken der Medikationsliste aufmerksam.
4. Nutzen Sie die therapeutische Exemption, wenn erhebliche Gründe vorliegen.
5. Unterstützen Sie Patienten bei der Nutzung von Zugriffssteuerungen.
6. Gewährleisten Sie technische Sicherheit auf Praxisebene.
7. Informieren Sie transparent über die Forschungsdatennutzung.

Die Verbesserung der Abrechnungsdaten-Sichtbarkeit seit Januar 2026 ist ein positiver Schritt. Gleichzeitig bleibt der Bedarf an granularerer Zugriffssteuerung auf Dokumentenebene bestehen. Verfolgen Sie die regulatorischen Entwicklungen aufmerksam, insbesondere die geplante Erweiterung des Medikationsplans ab März 2026.

Der Schutz Ihrer Patienten vor Stigmatisierung ist nicht nur eine datenschutzrechtliche Pflicht. Es ist ein wesentlicher Bestandteil der therapeutischen Beziehung und der professionellen Verantwortung. Nutzen Sie die vorhandenen Instrumente aktiv und setzen Sie sich weiterhin für bessere Schutzmechanismen ein. Erfahren Sie, wie digitale Dokumentationslösungen den DSGVO-konformen Umgang mit sensiblen Psychotherapiedaten unterstützen können.

Dieser Artikel dient der allgemeinen Information und ersetzt keine datenschutzrechtliche, medizinische oder psychotherapeutische Beratung. Bei konkreten Fragen zum Datenschutz wenden Sie sich an die zuständige Datenschutzbehörde oder Ihre Berufs- oder Psychotherapeutenkammer.