In den ersten zehn Tagen wurde die ePA – oder besser: jeweils mindestens eine ePA – von mehr als 40 Tausend Einrichtungen genutzt, bzw. aufgerufen. Diese Zahl gab die gematik bekannt, ohne indes zu spezifizieren, zu welchem Anteil es sich dabei um Arztpraxen oder bspw. Apotheken handelt. (~ Quelle | Video Florian Hartge v. 9. Mai) Nimmt man daher die gut 17 Tsd. Apotheken und die 99 Tsd. Praxen und MVZ als aktuelle Hauptnutzergruppe zusammen, hat sich damit im Schnitt bisher jeder dritte Apotheken- bzw.  Praxisstandort am freiwilligen Flächentest beteiligt. Eine durchaus beachtliche Zahl, bedenkt man die Vehemenz derer, die gegen das Projekt Stimmung machen. Gematik-Chef Hartge bescheinigt weiter, dass ‚seit dem Start am 29. April die ePA-Aktensysteme zu 100 Prozent verfügbar und stabil seien‘ – und tatsächlich lassen sich auch nirgends anderslautenden Meldungen finden.

Somit startet dieses viel gescholtene Mammutprojekt, das der nun Ex-Minister-Lauterbach hinterlassen hat, unerwartet geräuschlos. Das bedeutet freilich nicht, dass es keine Reibungspunkte gäbe. Je mehr beispielsweise hervorgehoben wird, dass allein das Vorhandensein der elektronischen Medikationsliste (eML) von den Ärzten als Gamechanger wahrgenommen werde, umso mehr fällt auch auf, dass alle weiteren inhaltlichen Funktionalitäten – eMedikationsprozess + -plan, Röntgenbilder, Suchfunktion, u. v. m. – nicht vor Frühjahr 2026 nutzbar werden. Als Hintergrund hat die gematik immer wieder Kapazitäts- und Finanzierungsprobleme angegeben. Es bleibt somit vorerst ein Rumpfprojekt, das jetzt anläuft; das aber offenbar dennoch geeignet ist, zu demonstrieren, welches Potenzial darin schlummert. Zu dieser Aussage passen jüngst veröffentlichte Detailauswertungen der KVHH, die sich auf die 50 Hamburger Praxen, die an der eigentlichen Testphase (15. Februar – 28. April) beteiligt waren, beziehen.  „82 % der Befragten gaben demnach an, dass das ePA-Modul in ihrer Praxis bereits nutzbar ist. Von diesen gaben wiederum 70 % an, sie ohne Probleme testen zu können. (…) Mehr als zwei Drittel der Befragten würden die ePA demnach an andere Praxen weiterempfehlen.“ (~ Quelle)

Auf der anderen Seite steht natürlich die Sicherheitsdebatte. Dabei stehen aktuell zwei gegenläufige Prozesse im Fokus. Einerseits geht es darum, dass Unbefugte durch entsprechend intentionale Kombination von ‚unlauter erbeuteter TI-Hardware‘ mit eigentlich gewollten TI-Prozessen, Zugriff auf fremde ePA-Datensätze erhalten könnten – wie es der ChaosComputerClub (CCC) am 30. April demonstriert hat. Zum anderen hat ein Whistleblower darauf hingewiesen, dass es für den Löschprozess der ePA keinerlei weiterführende Identitätsprüfung gibt. Stein des Anstoßes ist hierbei, dass eine befüllte ePA von den Kassen gelöscht werden muss, wenn ein Widerspruch eingeht. Der anonyme Tippgeber führte hierbei allerdings den Nachweis, dass dazu ein in fremden Namen verfasstes Widerspruchsschreiben mit erfundener Unterschrift ausreichend war, was für den Versicherten zu einem ungewollten und ggf. nicht wiederherstellbarem Datenverlust führt. Insofern ist klarzustellen, auch wenn die Berichterstattung häufig alles vermengt: Es handelt sich weder um einen Hack oder um (potentiellen) Datenabfluss, noch um eine technische Sicherheitslücke. Vielmehr müssen offenbar die Kassenroutinen rund um den Widerspruch noch mal überdacht werden.

Der CCC hat dementgegen Beschwerde eingelegt, weil es ihnen möglich war, das Verfahren der eEB (~ mehr Infos Ausgabe KW48/2024: Praxiswissen zur Elektronischen Ersatzbescheinigung (eEB) ) zu nutzen, um für eine gezielte Person an all jene Daten zu kommen, die wiederum nötig wären, um sich in der Folge den ePA-Zugriff zu verschaffen. „In Kombination mit der Versichertennummer, einem Codierungsschlüssel sowie einem illegal beschafften Praxisausweis (SMC-B) und einem Anschluss an die Telematikinfrastruktur (TI) wäre damit theoretisch der Zugriff auf Patientenakten vereinzelt möglich.“ (~ Quelle) Auch hier geht es also um Fragen des Identitätsnachweises und seiner Prüfung – nicht aber per se um einen technischen Hack. Denn natürlich ist klar, dass, wenn die Zugangsdaten zur ePA, bzw. zur TI nicht genügend geschützt werden, dann kann mit (gezielt) erbeuteten Zugangsdaten Aktivität mit und auf fremden ePAs ausgelöst werden. In der Folge dieser CCC-Aktion wurde jedenfalls unmittelbar der eEB-Prozess abgeschaltet. (~ CCC knackt erneut ePA – gematik schließt neue Sicherheitslücke)

Bezogen auf das Massenangriffsszenario, das der CCC hingegen bereits im Dezember 2024 hingewiesen hatte, hat die gematik seitdem mit den Verfahrensbeteiligten mehrere Schritte eingeleitet, um das Problem abzuschwächen. Zum einen sind sogenannte Hashwerte als neues (automatisiertes) Prüfmittel für jeden Datenzugriff eingeführt worden, die sich aus weiterführenden personenbezogenen  Angaben speisen, etwa dem Datum des Versicherungsbeginns. Das bedeutet, jemand, der eine fremde ePA hacken will, benötigt schlichtweg mehr der Daten, die auf der eGK gespeichert sind … und die sich der CCC dann aber ersatzweise über das oben beschriebene, unlautere Auslösen des eEB-Prozesses besorgen konnte. Zum anderen wurde dem Massenzugriff ein genereller Riegel vorgeschoben, indem ein quantitatives Limit für die Zahl der Abrufe je SMC-B verankert wurde, das bei monatlich 10.000 Zugriffen je Praxis, bzw. 200.000 je Krankenhaus liegt. Unklar ist allerdings, welchen konkreten Nutzen ein solcher Alarm hat. Denn auch ein Datenzugriff auf ‚nur‘ 9.999 ePAs bleibt ein veritables Problem. Zusätzlich wurde im Übrigen mit den KVen auch die zeitlich nahe Zwangsabschaltung von SMC-Bs vereinbart, wenn die mit ihnen verknüpften Zulassungen zurückgegeben wurden.  (~ Beispiel KV Rheinland-Pfalz)

Überblick und Zusammenfassung zur Sicherheitsdebatte bietet u. a. der Ärztezeitungs-Podcast (38 Minuten) vom 8. Mai 2025, in dem die Bundesdatenschutzbeauftragte ausführlich die Frage beantwortet: Wie steht es um den Datenschutz bei der ePA, Frau Specht-Riemenschneider? Wo sich in dieser Frage im Weiteren die beiden fachliche Aussicht führenden Behörden – BSI und BfDI – sehen und warum sie das Ihnen mit dem DigiG im Jahr 2023 entzogene Vetorecht wieder zurückfordern, zeigt dieser Beitrag auf  heise.de v. 12. Mai.  Etwas polemischer kommt in derselben Causa dieser Artikel von netzpolitik.org daher: Elektronische Patientenakte: Keine Verantwortung, nirgends.

Letztlich zeigt dieser Überblick zu den aktuellen Entwicklungen deutlich noch einmal die Verantwortung eines jeden Patienten, für sich selbst eine Entscheidung über die Gewichtung von Chance und Risiko zu treffen. Zu Recht wird jedoch ausgerechnet für diese Zielgruppe die Informationspolitik kritisiert (~ ePA-Start auf Raten verschärft Unsicherheit). Denn es stimmt: Es kostet die Patient:innen durchaus Arbeit, (vor-)Wissen und Zeit, sich alle für einen bewussten Umgang mit der ePA nötigen Informationen zusammenzusuchen. In der Folge verlagert sich dieser Aufklärungsbedarf vielfach an die Praxistresen und ins Sprechzimmer …

... Eine Herausforderung, mit der sich Praxen und MVZ daher – egal, wie sie selbst zum Rollout-Prozess stehen – befassen werden müssen. Praktische Hilfestellung dafür bietet die BMVZ-Arbeitshilfe zu betriebsorganisatorischen Aspekten des ePA-Rollouts (PDF | 7 Seiten).

Ein aktuelles Urteil des LSG Baden-Württemberg zum Thema Fortbildungszertifikate zeigt in der Schlichtheit des Sachverhaltes, dass es fortwährend Aufklärungsbedarf im Hinblick auf die CME-Punkte und ihren Nachweis gibt. Bevor wir daher am Ende des Textes eine Zusammenfassung der Entscheidung geben, stellen wir die Kernpunkte, quasi als Reminder, noch einmal dar. Möglicherweise entdecken dabei auch ein paar erfahrene 'alte Hasen' die ein oder andere neue, schlaue Passage, um sie im Dialog mit jungen Kollegen zu nutzen. Dabei gilt grundsätzlich: Während es in Hinsicht auf die ärztliche Pflicht zur Fortbildung und die Verantwortung des Arbeitgebers einige unumstößliche Fakten gibt, fallen wesentliche Punkte der konkreten Umsetzung zwischen Arbeitgeber und Arbeitnehmer eher in die Kategorie 'implizite Übereinkunft'.

Eineindeutig regeln die Absätze 1 und 2 des § 95d SGB V die Verantwortung des Vertragsarztes, -zahnarztes und -psychotherapeuten, sich sein Berufsleben lang fortzubilden. § 95d SGB V Absatz 5 dehnt diese Verantwortung auch auf angestellte Ärzte aus. Hierbei gibt es im Übrigen keinerlei Zugeständnisse an 'nur' in Teilzeit vertrags(zahn)ärztlich tätige Kolleg:innen. Diese trifft die Nachweispflicht von 250 CME-Punkten (bzw. 125 Punkte bei Zahnärzten) exakt genauso wie in Vollzeit tätige Ärztinnen und Ärzte. Die Nachweispflicht der Weiterbildung für Vertragsärzte hat nach Absatz 3 alle fünf Jahre gegenüber der KV mittels fristgerechter Zertifikatsvorlage zu erfolgen.

Für angestellte Ärzte übernimmt nach Absatz 5 Satz 2 das MVZ diese Nachweispflicht. Die Sanktionen, wenn die Fortbildungszertifikate unvollständig oder nicht fristgerecht eingereicht werden, sind ebenfalls unmissverständlich im § 95d SGB V beschrieben. Ganz uneinsichtigen Ärzten droht nach zweijähriger Verfehlung der Frist, den Fortbildungsnachweis nachzureichen, der Zulassungsentzug. Bei MVZ ist nach dieser Frist vorgesehen, die betreffende Anstellungsgenehmigung zu widerrufen. Unmittelbar ab Fristverletzung sind zudem drastische Honorarkürzungen vorgesehen. Diese steigern sich von 10 % (erstes Jahr) auf 25 % des Honorarumsatzes im zweiten Jahr und enden erst mit dem Nachreichen der Zertifikate jeweils zum Ende des dann laufenden Quartals. Wurde also im ersten Quartal des Jahres gekürzt und der Nachweis im Februar nachgereicht, fallen die Vergütung im März noch unter die Kürzung, ab April dann aber nicht mehr.

CAVE für Arbeitgeber angestellter Ärzte!
Durch den erwähnten Übergang der Verantwortung über den Fortbildungsnachweis vom angestellten Arzt auf das MVZ, bzw. auf die anstellende Praxis trifft die Honorarkürzung als Sanktion – als schmerzhaftes Druckmittel – stets die gesamte Einrichtung und nicht nur die LANR des betroffenen Arztes. Denn obwohl sich der Gesetzgeber bisher bei der Übertragung der Rechte und Pflichten auf die MVZ-Geschäftsführung nicht immer als konsequent erwiesen hat, ist er es bei diesem Thema. In der Folge lässt der Gesetzestext (in Kraft seit 2004), aber auch die einstige Gesetzesbegründung wenig Zweifel daran, dass dem MVZ als Arbeitgeber aus der ihn treffenden Berichtspflicht auch ein Weisungsrecht bezüglich der Fortbildung erwächst. "Das medizinische Versorgungszentrum oder der Vertragsarzt kann als Arbeitgeber aufgrund seiner Weisungsbefugnis und durch organisatorische Maßnahmen, wie z. B. das Aufstellen eines Fortbildungsplans, frühzeitig dafür Sorge tragen, dass alle bei ihm angestellten Ärzte die Fortbildungspflicht erfüllen und im Falle hartnäckiger Weigerung das Beschäftigungsverhältnis kündigen und damit Honorarkürzungen vermeiden oder deren Laufzeit reduzieren." (GMG-Entwurf ab Seite 109 | zu Absatz 5: Seite 111)

Im Praxisalltag stellt sich die Situation jedoch oft so dar, dass Ärzt:innen ihre Fortbildungen selbstständig organisieren, was aber nichts am Einsichtsrecht des Arbeitgebers ändert, da er sonst seinen gesetzlichen Verpflichtungen nicht nachkommen kann. Inwieweit Arbeitgeber zusätzlich das ‚Managen‘ und bisweilen auch die Finanzierung der Fortbildung übernehmen, muss organisationsspezifisch entschieden werden. Eine eindeutige Empfehlung gibt es dafür nicht, da sich dieser Bereich im Spannungsfeld aus freier Berufsausübung und betrieblicher Interessen befindet. Umso spannender ist dieser ältere Beitrag von Arzt+Wirtschaft, der sich mit der Detailfrage befasst, wann Arbeitgeber, die ihren angestellten Ärzten die Fortbildung finanziert haben, ein Rückforderungsanspruch zukommt.  (~ Fortbildungen: Hier besteht für angestellte Ärzte Rückzahlungspflicht). Wesentlich ist in diesem Fall, aber auch allgemein, dass sich das Thema zwecks Streitprävention von Beginn an in jedem ärztlichen Anstellungsvertrag niederschlägt. Das betrifft einerseits die simple arbeitsvertragliche Festschreibung der Fortbildungspflicht der Ärzte, aber eben sinnvollerweise auch Details dazu, wie das Thema organisatorisch in der betreffenden Praxis, bzw. dem MVZ gehandhabt wird.

Die Selbstverwaltung verlässt sich an dieser Stelle weitgehend auf die Eigenverantwortung der Akteure. Nur das Endresultat, sprich das Zertifikat, möchte die KV rechtzeitig und im korrekten Format auf dem Tisch haben. Und, apropos Frist und Form: Nachfolgend ein paar Ausführungen zum aktuellen Fall, der jedoch beim BSG zur Revision vorliegt und daher bislang nicht abschließend entschieden ist:

|  ~ Volltext L5 KA 3215/22  | Das LSG Baden-Württemberg urteilte am 27.11.2024 über einen Fall, der sich bereits 2017 ereignete. Ein Arzt übernahm eine Praxis, in der er zuvor angestellt war. Er ging davon aus, dass sich damit die 5-jährige Nachweispflicht-Frist für ihn ab der Übernahme neu berechnen würde. Das Gericht urteilte schlicht: ‚Nein-tut sie nicht.‘ Der Arzt hatte ferner seine Nachweise in Form eines Ausdrucks der Fortbildungspunkte der Ärztekammer vorgelegt und nicht in dem von der KV vorgesehenen Format. In seiner Verteidigung betonte der Arzt, er hätte sogar die doppelte Anzahl der geforderten Fortbildungspunkte erbracht. Die Richter legitimierten jedoch die Honorarkürzung der KV und verwiesen auf die Irrelevanz zusätzlicher Punkte über das Mindestmaß hinaus und die unabdingbare Notwendigkeit des Einhaltens der KV-Formalien bezüglich der Formate zum Nachweis der Fortbildungen. (~ ÄrzteZeitung v. 24.04.2025)