Verordnung (EU) 2025/327 des Europäischen Parlaments und des Rates vom 11. Februar 2025 über den europäischen Gesundheitsdatenraum sowie zur Änderung der Richtlinie 2011/24/EU und der Verordnung (EU) 2024/2847 (Text von Bedeutung für den EWR)

Die Verordnung (EU) 2025/327 ist eine unmittelbar in allen Mitgliedstaaten geltende EU-Verordnung und schafft mit dem europäischen Gesundheitsdatenraum einen unionsweit harmonisierten Rechtsrahmen für Primär- und Sekundärnutzung elektronischer Gesundheitsdaten. Systematisch stützt sie sich auf Artikel 16 und 114 AEUV, ergänzt die Datenschutz-Grundverordnung für Gesundheitsdaten, regelt EHR-Systeme und grenzüberschreitende Infrastrukturen und ändert zugleich die Richtlinie 2011/24/EU sowie die Verordnung (EU) 2024/2847. Inhaltlich stärkt sie den Zugang natürlicher Personen zu ihren elektronischen Gesundheitsdaten, verpflichtet Mitgliedstaaten zum Aufbau von Zugangs- und Austauschstrukturen, harmonisiert Anforderungen an EHR-Systeme und schafft Regeln für die Sekundärnutzung etwa für Forschung, Innovation, Statistik, Regulierung und öffentliche Gesundheit. Die Anwendung erfolgt stufenweise ab 26. März 2027; zentrale Primärnutzungsrechte und EHR-Pflichten greifen je nach Datenkategorie ab 26. März 2029 bzw. 26. März 2031, während Kapitel IV zur Sekundärnutzung grundsätzlich ab 26. März 2029 gilt. • Der Anwendungsbereich erfasst natürliche Personen, Gesundheitsdienstleister, Angehörige der Gesundheitsberufe, Mitgliedstaaten, Stellen für digitale Gesundheit, Zugangsstellen für Gesundheitsdaten, Hersteller, Einführer und Händler von EHR-Systemen, Anbieter interoperabler Wellness-Anwendungen, Gesundheitsdateninhaber und Gesundheitsdatennutzer sowie Organe und Stellen der Union. Für die Primärnutzung umfasst er insbesondere Patientenkurzakten, elektronische Verschreibungen, Abgaben von Arzneimitteln, medizinische Bildgebung, Untersuchungsergebnisse und Entlassungsberichte; für die Sekundärnutzung werden umfangreiche Gesundheitsdatenkategorien einbezogen. Ausgenommen ist insbesondere die Verarbeitung außerhalb des Unionsrechts sowie die Verarbeitung durch zuständige Behörden zu Zwecken der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung. Zudem sind natürliche Personen und Kleinstunternehmen grundsätzlich von den Pflichten als Gesundheitsdateninhaber für die Sekundärnutzung befreit, sofern nationales Recht keine Erweiterung vorsieht. • In der Praxis entsteht ein verbindlicher europäischer Rahmen, in dem Patientinnen und Patienten schrittweise unmittelbaren digitalen Zugriff auf prioritäre Gesundheitsdaten erhalten und diese grenzüberschreitend nutzbar werden. Gesundheitsdienstleister müssen Daten in EHR-Systemen strukturiert erfassen und austauschfähig halten; Mitgliedstaaten müssen Zugangs- und Kontaktstellen aufbauen. Hersteller von EHR-Systemen unterliegen Interoperabilitäts-, Protokollierungs- und Konformitätsanforderungen. Für Forschung und öffentliche Aufgaben wird der Zugang zu Gesundheitsdaten unter Genehmigungs-, Sicherheits- und Zweckbindungsregeln deutlich formalisiert.

Stand: 01.07.2026

Natürliche Personen: • Recht/Anforderung: Zugang zu prioritären personenbezogenen elektronischen Gesundheitsdaten muss über Zugangsdienste unverzüglich, kostenlos und in leicht lesbarer Form ermöglicht werden. • Recht/Anforderung: Eingaben eigener Informationen in die EHR sind zulässig; Änderungen an Einträgen von Angehörigen der Gesundheitsberufe sind nicht unmittelbar zulässig. • Recht/Anforderung: Beschränkungen des Zugangs oder Widersprüche gegen bestimmte Nutzungen müssen aktiv über die vorgesehenen Mechanismen erklärt werden. • Empfehlung: Die Ausübung von Beschränkungs- und Widerspruchsrechten sollte mit Blick auf mögliche Auswirkungen auf Behandlung und Versorgung nachvollziehbar abgewogen werden. Gesundheitsdienstleister: • Pflicht1: Prioritäre personenbezogene elektronische Gesundheitsdaten sind bei elektronischer Verarbeitung in einem EHR-System zu erfassen. • Pflicht2: Behandlungsbezogene Daten sind bei elektronischer Verarbeitung fortlaufend zu aktualisieren. • Pflicht3: Auf Verlangen natürlicher Personen sind Daten unverzüglich, kostenlos und ungehindert an andere Gesundheitsdienstleister oder Erstattungsstellen zu übermitteln. • Empfehlung: Interne Prozesse für strukturierte Datenerfassung, Aktualisierung und grenzüberschreitende Datenübermittlung sollten frühzeitig standardisiert werden. Angehörige der Gesundheitsberufe: • Pflicht1: Beim Zugriff auf Gesundheitsdaten ist der Zugriff auf einschlägige und erforderliche Daten im Rahmen der Behandlung zu beschränken. • Pflicht2: Elektronische Gesundheitsdaten sind unter Nutzung der vorgesehenen Zugangs- und Identifizierungsmechanismen zu verarbeiten. • Pflicht3: Erfasste oder aktualisierte Daten müssen fachlich korrekt und im EHR nachvollziehbar eingetragen werden. • Empfehlung: Schulungen zu Datenzugang, Protokollierung, Beschränkungen und grenzüberschreitender Nutzung sollten verbindlich verankert werden. Mitgliedstaaten: • Pflicht1: Zugangsdienste für elektronische Gesundheitsdaten, digitale Vertreterdienste und Zugangsdienste für Angehörige der Gesundheitsberufe sind einzurichten. • Pflicht2: Stellen für digitale Gesundheit, nationale Kontaktstellen für digitale Gesundheit und Zugangsstellen für Gesundheitsdaten sind zu benennen und auszustatten. • Pflicht3: Die Anbindung an MyHealth@EU und später die Strukturen für HealthData@EU sind sicherzustellen. • Empfehlung: Nationale Rechts- und IT-Strukturen sollten rechtzeitig an die gestuften Anwendungsfristen 2027, 2029 und 2031 angepasst werden. Hersteller von EHR-Systemen: • Pflicht1: EHR-Systeme müssen die grundlegenden Anforderungen an Interoperabilität, Protokollierung und Sicherheit erfüllen. • Pflicht2: Technische Dokumentation, EU-Konformitätserklärung und CE-Konformitätskennzeichnung sind vor dem Inverkehrbringen sicherzustellen. • Pflicht3: Nichtkonformitäten, Korrekturmaßnahmen, Rückrufe oder Rücknahmen sind unverzüglich zu veranlassen und zu kommunizieren. • Empfehlung: Produktentwicklung und Qualitätssicherung sollten konsequent am europäischen Austauschformat für EHR und an den digitalen Prüfumgebungen ausgerichtet werden. Gesundheitsdateninhaber: • Pflicht1: Einschlägige elektronische Gesundheitsdaten sind auf Anfrage der Zugangsstelle für Gesundheitsdaten für die Sekundärnutzung bereitzustellen. • Pflicht2: Beschreibungen der verfügbaren Datensätze sind zu übermitteln und mindestens jährlich auf Aktualität zu prüfen. • Pflicht3: Angaben zu geschützten Inhalten, etwa Geschäftsgeheimnissen oder Rechten des geistigen Eigentums, sind offenzulegen. • Empfehlung: Datenbestände, Metadaten und Schutzklassifizierungen sollten frühzeitig inventarisiert und in standardisierte Bereitstellungsprozesse überführt werden. Gesundheitsdatennutzer: • Pflicht1: Elektronische Gesundheitsdaten dürfen nur im Rahmen der Datengenehmigung, Gesundheitsdatenanfrage oder Zugangserlaubnis verarbeitet werden. • Pflicht2: Eine Re-Identifizierung oder der Versuch der Re-Identifizierung natürlicher Personen ist zu unterlassen. • Pflicht3: Ergebnisse der Sekundärnutzung sind grundsätzlich innerhalb von 18 Monaten zu veröffentlichen und der Zugangsstelle mitzuteilen. • Empfehlung: Forschungs- und Analysevorhaben sollten von Beginn an so konzipiert werden, dass Zweckbindung, Datenminimierung und Veröffentlichungsanforderungen eingehalten werden.