Auskunft über Datenzugriffe: Neue Maßstäbe durch den EHDS

Der Europäische Gesundheitsdatenraum (EHDS) ist mit der EU-Verordnung (EU) 2025/327 am 26. März 2025 in Kraft getreten. Über den EHDS hatten wir bereits mehrfach (hier und hier) berichtet. Die Verordnung verändert den rechtlichen Umgang mit elektronischen Gesundheitsdaten grundlegend: Sie soll den Zugang zu Gesundheitsdaten EU-weit harmonisieren und zugleich die Kontrolle der betroffenen Personen stärken.

Ein zentraler Aspekt ist dabei die Frage, ob Patientinnen und Patienten nachvollziehen können, wer auf ihre Gesundheitsdaten zugegriffen hat, zu welchem Zeitpunkt dies geschah und welche Daten betroffen waren.

Position der AEPD zur Nachverfolgbarkeit von Zugriffen

Die spanische Datenschutzbehörde (AEPD) greift diese Frage ausdrücklich im Kontext des EHDS auf und nimmt eine differenzierte Einordnung vor. Ausgangspunkt ist Art. 15 DSGVO als klassisches Auskunftsrecht. Danach können betroffene Personen umfassend Auskunft darüber verlangen, welche personenbezogenen Daten verarbeitet werden, zu welchen Zwecken dies geschieht und wer Empfänger dieser Daten ist.

Nach Auffassung der AEPD wurde Art. 15 DSGVO bislang jedoch nicht so verstanden, dass Betroffene grundsätzlich die namentliche Identifizierung sämtlicher Personen verlangen können, die auf ihre Daten zugegriffen haben. Diese Linie sieht die AEPD auch durch die neuere Rechtsprechung des spanischen Obersten Gerichts (Urteil Nr. 789/2026) bestätigt.

Neuer Rechtsrahmen durch den EHDS

Mit der EHDS-Verordnung ändert sich diese Bewertung grundlegend. Künftig besteht ein ausdrückliches Recht auf Information über Zugriffe auf elektronische Gesundheitsdaten.

Nach Darstellung der AEPD umfasst dieses Recht insbesondere die Identität des zugreifenden Gesundheitsdienstleisters oder einer sonstigen Person, Datum und Uhrzeit des Zugriffs und die konkret betroffenen Gesundheitsdaten.

Die AEPD verweist insoweit auf Art. 9 der EHDS-Verordnung. Danach haben natürliche Personen das Recht, über jeden Zugriff auf ihre personenbezogenen elektronisch gespeicherten Gesundheitsdaten im Rahmen der Gesundheitsversorgung informiert zu werden. Die bereitgestellten Informationen müssen mindestens die oben genannten Angaben enthalten.

Damit geht der EHDS über den bisherigen Informationsanspruch aus Art. 15 DSGVO hinaus, insbesondere im Hinblick auf die konkrete Benennung der zugreifenden Personen. Dieses Recht wird ab März 2027 anwendbar sein.

Vorwirkung des EHDS und Bezug zur EuGH-Rechtsprechung

Bemerkenswert ist, dass die AEPD bereits jetzt eine Berücksichtigung des im EHDS angelegten Transparenzgedankens fordert. Zur Begründung verweist sie auf das Urteil des EuGH vom 22. Juni 2023 (C-579/21). Der EuGH hat darin entschieden, dass betroffene Personen im Rahmen von Art. 15 DSGVO unter bestimmten Voraussetzungen auch Informationen über die Personen erhalten können, die auf ihre Daten zugegriffen haben. Dies sei insbesondere dann erforderlich, wenn nur so die effektive Wahrnehmung der Betroffenenrechte gewährleistet werden könne (Rn. 6).

Diese Auffassung macht sich der AEPD zu eigen: Ein entsprechender Anspruch besteht demnach nur, wenn der Zugriff nicht im Einklang mit den Weisungen des Verantwortlichen erfolgte, er also den Zugriff nicht zugelassen, bzw. der Zugriff gegen interne Regelungen verstoßen hat.

Schlussfolgerung der AEPD

Insgesamt geht die AEPD davon aus, dass der EHDS einen deutlich erhöhten Transparenzstandard für Zugriffe auf elektronische Gesundheitsdaten etabliert. Dieser Standard soll nach ihrer Auffassung aber bereits vor der formalen Anwendbarkeit im März 2027 bei der Auslegung bestehender Rechte berücksichtigt werden.

Fazit

Die AEPD geht hier einen bisher einmaligen Weg und legt Art. 15 DSGVO teleologisch weiter aus als bisher und beruft sich auf den europäischen Gesetzgeber und den EuGH. Von der Hand zu weisen ist diese Auslegung nicht. Allerdings lässt sich dies im Wortsinne nicht herauslesen. Auch macht der EuGH deutlich, wie eng die Grenzen für solch eine Erweiterung sind. Sobald die Verordnung aber Gültigkeit erlangt, gilt zumindest für Gesundheitsdaten ein generell weiteres Auskunftsrecht als bisher, sofern die betroffene Person sich auf Art. 9 EHDS-VO beruft.