Der Europäische Gesundheitsdatenraum (EHDS) ist nun Gesetz – Verordnung (EU) 2025/327 –, der erste EU-weite Rechtsrahmen, der sowohl die Primär- als auch die Sekundärnutzung elektronischer Gesundheitsdaten regelt. Am 11. Februar 2025 verabschiedet und am 26. März 2025 in Kraft getreten, legt er eine einheitliche Architektur dafür fest, wie Gesundheitsdaten in allen Mitgliedstaaten abgerufen, ausgetauscht und weiterverwendet werden. Für Leistungserbringer, Kostenträger, Life-Science-Teams und Anbieter digitaler Gesundheitslösungen ist die Chance groß – ebenso die Verantwortung, Rechte, Interoperabilität und Sicherheit lange vor den Durchsetzungsfristen umzusetzen.
Der EHDS ist nicht nur ein weiteres Compliance-Häkchen. Er ist ein struktureller Wandel darin, wie Gesundheitsdaten in der EU gesteuert, ausgetauscht und weiterverwendet werden. Für Leistungserbringer, Kostenträger, Digital-Health-Unternehmen und Forschende bedeutet das den Schritt von isolierten Systemen zu interoperablen, patientenzentrierten und zweckgebundenen Datenflüssen. Die Verordnung gibt eine klare Richtung vor; ihre Umsetzung erfordert eine bewusste, schrittweise Planung von Architektur, Prozessen und Produkt. Entscheidend ist: Der EHDS wirkt nicht isoliert – er überschneidet sich mit der DSGVO, der KI-Verordnung, NIS2 und den kommenden Durchführungsrechtsakten, die die Kommission bis März 2027 fertigstellen muss.
Umsetzungsfahrplan: Kennen Sie Ihre Fristen
Bevor es an die Checkliste geht, ist es wichtig, den gestaffelten Zeitplan zu verinnerlichen. Die Verordnung ist im März 2025 in Kraft getreten, die volle Durchsetzung erstreckt sich aber über ein Jahrzehnt:
März 2025 — Die Verordnung tritt in Kraft; die Übergangsfrist beginnt. Die Mitgliedstaaten müssen beginnen, nationale Behörden für digitale Gesundheit zu benennen, die die nationale Umsetzung beaufsichtigen.
März 2027 — Frist für die Kommission, die wichtigsten Durchführungs- und delegierten Rechtsakte zu erlassen, die die technischen und verfahrensrechtlichen Details der gesamten Verordnung festlegen. Die Zertifizierungsanforderungen für EHR-Systeme werden wirksam.
März 2029 — Erster großer Durchsetzungsmeilenstein. Der Austausch von Patientenkurzakten und E-Rezepten/E-Abgaben zur Primärnutzung muss in allen EU-Mitgliedstaaten über MyHealth@EU funktionieren. Die meisten Bestimmungen zur Sekundärnutzung – einschließlich des Zugangs zu elektronischen Patientenakten für die Forschung – werden anwendbar.
März 2031 — Die zweite Gruppe von Datenkategorien zur Primärnutzung geht live: medizinische Bilder, Laborergebnisse und Krankenhaus-Entlassberichte. Ab diesem Datum gelten auch die Pflichten zur Sekundärnutzung für Daten aus klinischen Studien und humangenetische Daten.
März 2035 — Drittstaaten und internationale Organisationen können autorisierte Teilnehmer an HealthData@EU werden, wenn sie die erforderlichen Standards erfüllen.
Verstöße haben erhebliche finanzielle Folgen: Bußgelder von bis zu 20 Millionen Euro oder 4 % des gesamten weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist – sowie Zwangsgelder für jeden Tag verzögerten Datenzugangs.
Ihre praktische Compliance-Checkliste
Die folgende Checkliste zeigt, was jetzt Priorität hat, was parallel abgestimmt werden sollte und wie Sie Grundlagen schaffen, die über alle Durchsetzungsphasen tragen.
1. Zuerst der Umfang: Primär- und Sekundärnutzung unterscheiden
Erfassen Sie Ihre Datenflüsse und kennzeichnen Sie sie als Primärnutzung (Versorgung: direkte Patientenbehandlung, Verordnungen, Überweisungen) oder Sekundärnutzung (Forschung, evidenzbasierte Politik, regulatorische Entscheidungen, Innovation). Die Pflichten unterscheiden sich je nach Kategorie erheblich, und der EHDS-Text gliedert die rechtlichen Anforderungen – Rechte, Pflichten und Governance-Mechanismen – ausdrücklich entlang dieser Trennung[1]. Fehlklassifizierung ist einer der häufigsten und teuersten Compliance-Fehler; gehen Sie sie auf Ebene der Datenarchitektur an, nicht im Nachhinein.
2. Die doppelte Aufsichtsstruktur verstehen
Der EHDS führt eine mehrstufige Aufsichtsstruktur ein. Die Datenschutzbehörden bleiben voll zuständig für die Überwachung der DSGVO-Einhaltung, während neu geschaffene Zugangsstellen für Gesundheitsdaten (HDABs) das sektorale Zugangsregime, Datengenehmigungen, Gebühren und die Bedingungen der Sekundärnutzung beaufsichtigen[7]. Beide Pflichtenkreise gelten parallel. Ordnen Sie Ihre Verarbeitungstätigkeiten beiden Regimen zu und stellen Sie sicher, dass Ihre Datenschutzbeauftragten und Compliance-Teams über das Zusammenspiel von DSGVO- und EHDS-Regeln informiert sind – sie ergänzen sich, statt sich zu doppeln.
3. Frühzeitig mit Ihrer nationalen HDAB sprechen
Die Mitgliedstaaten richten HDABs als nationale Vermittler zwischen Dateninhabern und Datennutzern ein. Diese Stellen prüfen Anträge auf Sekundärnutzung, erteilen Datengenehmigungen und führen nationale Datensatzkataloge nach dem Metadatenstandard HealthDCAT-AP[6]. Inhaber von Gesundheitsdaten müssen ihrer nationalen HDAB die von ihnen gehaltenen Datensätze melden und diese Beschreibungen mindestens jährlich korrekt und aktuell halten[5]. Beginnen Sie diesen Dialog jetzt: Verstehen Sie, was die HDAB in Ihrem Land erwartet, und bauen Sie die internen Prozesse auf, um Katalog- und Meldepflichten zu erfüllen, bevor sie verbindlich werden.
4. Interoperabilität als Grundlage, nicht als Projekt
Richten Sie Ihre Datenmodelle, APIs und EHR-Systeme auf das Europäische Austauschformat für elektronische Patientenakten (EEHRxF) aus, dessen technische Spezifikationen die Kommission bis März 2027 festlegen wird. Rechnen Sie mit Profilen auf Basis von HL7 FHIR-Ressourcen, standardisierten kodierten Terminologien (SNOMED CT, LOINC, ICD) und maschinenlesbaren Datensätzen, die EHR-Systeme sowohl aufnehmen als auch ausgeben müssen[1][3][4]. EHR-Hersteller müssen zudem eine Zertifizierung der EEHRxF-Konformität nachweisen – planen Sie das in Ihren Produkt-Roadmaps und Beschaffungszyklen ein. Interoperabilität ist nicht mehr optional; sie ist rechtliche Voraussetzung.
5. Patientenrechte als Produktfunktionen umsetzen
Einzelpersonen müssen über einen nationalen Zugangsdienst für elektronische Gesundheitsdaten (Portal oder App) auf ihre persönlichen Gesundheitsdaten zugreifen, sie herunterladen, übermitteln und – wo zutreffend – den Zugriff darauf einschränken können. Dazu gehören der Zugang durch Bevollmächtigte für betreute Personen und ein klares Verfahren zur Berichtigung unrichtiger Daten[1][8]. Der EHDS führt außerdem einen Widerspruchsmechanismus (Opt-out) für die Sekundärnutzung ein: Personen können entscheiden, ob ihre Gesundheitsdaten für Forschungs- und Politikzwecke genutzt werden dürfen, und dieser Widerspruch muss in Ihren Datenpipelines technisch durchsetzbar sein. Bauen Sie dies als vollwertige Produktfunktionen – nicht als nachträgliche Compliance-Ergänzungen –, gestützt auf verständliche Audit-Protokolle, die Patienten selbst einsehen können.
6. Auf grenzüberschreitende Infrastruktur vorbereiten
Zwei digitale Infrastrukturen auf EU-Ebene sind zentral für den Betrieb des EHDS. MyHealth@EU wickelt den grenzüberschreitenden Austausch zur Primärnutzung ab (Patientenkurzakten, E-Rezepte, Bildgebungsbefunde). Die entstehende föderierte Plattform HealthData@EU wird grenzüberschreitendes Auffinden und den Zugang zu Daten der Sekundärnutzung ermöglichen und die nationalen HDAB-Kataloge und sicheren Verarbeitungsumgebungen verbinden[7][9]. Gestalten Sie Ihre Systeme jetzt für die Konformität mit beiden: Stellen Sie sicher, dass Sie standardkonforme Datensätze für MyHealth@EU-Profile erzeugen können und Ihre Metadaten vor der Frist 2029 für die HealthDCAT-AP-Katalogisierung strukturiert sind.
7. Für Datengenehmigungen bauen, nicht für Datendumps
Im EHDS ist der Zugang zu Gesundheitsdaten für die Sekundärnutzung nicht automatisch. Antragsteller – Forschende, Behörden, Life-Science-Unternehmen – müssen einen formellen Antrag bei der zuständigen HDAB stellen, die ihn anhand von Kriterien wie Verwendungszweck, Angemessenheit der Schutzmaßnahmen, DSGVO-Konformität und dem öffentlichen Nutzen der geplanten Verwendung prüft[5]. Erst nach Erteilung einer Genehmigung dürfen Daten genutzt werden, und die Verarbeitung muss in akkreditierten sicheren Verarbeitungsumgebungen (SPEs) stattfinden – nicht in der eigenen Infrastruktur des Antragstellers. Bauen Sie Ihre Pipelines so, dass sie minimal notwendige, de-identifizierte Datensätze mit vollständigen Herkunftsmetadaten erzeugen, und gestalten Sie Ihre Datenarchitektur von Anfang an für genehmigungsbezogenen, zeitlich begrenzten Zugriff.
8. Sicherheit und Governance by Design
Verankern Sie Ihre Kontrollen in ISO/IEC 27001 und richten Sie sich, wo zutreffend, an NIS2 aus – insbesondere bei Meldefristen für Vorfälle, Lieferkettenrisiken und der Einstufung wesentlicher Dienste. Technisch sollten Sie Zero-Trust-Zugriffskontrollen umsetzen, granulare RBAC/ABAC-Richtlinien, die an Nutzerrollen und Verarbeitungszwecke gebunden sind, Ende-zu-Ende-Verschlüsselung mit robustem Schlüsselmanagement sowie unveränderliche, abfragbare Audit-Trails[10]. Sicherheits- und Vertraulichkeitskontrollen sind im EHDS ausdrücklich als Voraussetzung für den von HDABs genehmigten Zugang genannt; sie sind keine optionalen Extras. Bauen Sie sie in Ihre Basisarchitektur ein, nicht in eine separate Compliance-Schicht.
9. KI- und Analytics-Governance frühzeitig abstimmen
Der EHDS überschneidet sich direkt mit der EU-KI-Verordnung, die viele KI-Systeme im Gesundheitswesen als hochriskant einstuft und Anforderungen an Transparenz, menschliche Aufsicht und technische Robustheit stellt. Führen Sie Modellregister, Dokumentation der Datenherkunft, Evaluierungsberichte und Risikoprotokolle für jedes KI-System, das mit Gesundheitsdaten trainiert wird oder sie verarbeitet. Stellen Sie für Workloads der Sekundärnutzung reproduzierbare Analyseumgebungen sicher – signierte Notebooks, fixierte und versionierte Datensätze –, die ausdrücklich an eine Datengenehmigung, einen erklärten Zweck und ein Ablaufdatum gebunden sind[1]. Behandeln Sie KI-Governance als Teil Ihres EHDS-Compliance-Programms, nicht als parallelen Strang.
10. Datensätze katalogisieren und aktiv pflegen
Eine der betrieblich aufwendigsten Pflichten für Inhaber von Gesundheitsdaten ist es, genaue, strukturierte Datensatzbeschreibungen in den nationalen HDAB-Katalogen zu pflegen. Diese müssen dem Metadatenprofil HealthDCAT-AP entsprechen und mindestens jährlich aktualisiert werden. Beginnen Sie damit, alle Datensätze zu erfassen, die in den Geltungsbereich des EHDS fallen könnten – EHR-Daten, Bildarchive, genomische Datensätze, Daten aus klinischen Studien, Daten aus Wellness-Apps, sofern gesundheitsrelevant – und benennen Sie Datensatzverantwortliche für die Katalogpflege. Schlechte Katalogqualität dürfte früh zum Reibungspunkt im Genehmigungsverfahren werden; gehen Sie sie proaktiv an.
11. Einmal dokumentieren, oft wiederverwenden
Zentralisieren Sie Ihre Richtlinien und Standardarbeitsanweisungen – Abläufe für Betroffenenrechte, De-Identifizierungsprotokolle, Pläne zur Reaktion auf Vorfälle, EEHRxF-/FHIR-Konformitätsdokumentation, DSFAs und HDAB-Meldevorlagen – in einem versionierten, lebendigen Repository, auf das Prüfer, Rechtsabteilung und Engineering-Teams gleichermaßen zugreifen und dem sie vertrauen können. Der EHDS wird in den kommenden Jahren erhebliche Dokumentationspflichten mit sich bringen; bauen Sie die Infrastruktur für ihre Verwaltung jetzt auf, nicht erst, wenn die Fristen kommen.
Der EHDS belohnt Teams, die Compliance zu Produkthandwerk machen – saubere Schnittstellen, vorhersehbare Pipelines, überprüfbare Protokolle und auditierbare KI. Organisationen, die jetzt investieren, haben später geringere Kosten und kommen schneller voran, wenn die Durchsetzungsmeilensteine kommen.
Der EHDS wird sich über ein Jahrzehnt entfalten, aber die Umsetzungsuhr läuft bereits. Organisationen, die sich früh ausrichten – bei Interoperabilität, Patientenrechten, Datensatzkatalogisierung und Security by Design –, sind besser aufgestellt, um an grenzüberschreitender Versorgung teilzunehmen, Zugang zu europäischen Forschungsdaten-Ökosystemen zu erhalten und Vertrauen bei Patienten und Regulierungsbehörden aufzubauen. Betrachten Sie das nicht als regulatorische Last, sondern als längst überfällige Modernisierung der Gesundheitsdateninfrastruktur: Interoperabilität als Fundament, Patientenselbstbestimmung als Funktion und kontrollierter Zugang als Wettbewerbsvorteil. Beginnen Sie mit Ihrem Dateninventar, ermitteln Sie Ihre EHDS-Pflichten nach Rolle und bauen Sie Meilenstein für Meilenstein Schwung auf.
Quellen
- EUR-Lex. Regulation (EU) 2025/327 on the European Health Data Space (adopted 11 Feb 2025; OJ 5 Mar 2025; in force 26 Mar 2025). https://eur-lex.europa.eu/eli/reg/2025/327/oj/eng
- European Commission. European Health Data Space (EHDS) – Regulation overview and implementation milestones. https://health.ec.europa.eu/.../european-health-data-space-regulation-ehds_en
- European Commission / eHealth Network. European Electronic Health Record Exchange Format (EEHRxF). https://health.ec.europa.eu/.../ehealth-network_en
- European Commission. Certification of EHR systems & EEHRxF. https://health.ec.europa.eu/.../certification-ehr-systems_en
- Arnold & Porter. European Health Data Space Regulation Published in the EU Official Journal (March 2025). https://www.arnoldporter.com/.../european-health-data-space-regulation-published
- TEHDAS2 Project. Draft Guideline for Health Data Access Bodies on Minimum Categories and Limitations on the Reuse of Health Data (September 2025). https://tehdas.eu/.../draft-guideline-hdab-minimum-categories.pdf
- European-Health-Data-Space.com. EHDS Updates: HDABs, HealthData@EU, and supervisory architecture. https://www.european-health-data-space.com/
- European Commission. My rights over my health data (primary use). https://health.ec.europa.eu/.../my-rights-over-my-health-data_en
- European Commission. Electronic cross-border health services (MyHealth@EU). https://health.ec.europa.eu/.../electronic-cross-border-health-services_en
- European Commission. NIS2 Directive – policy page. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
- Svingel LS et al. Shaping the future EHDS: recommendations for implementation of Health Data Access Bodies in the HealthData@EU infrastructure. European Journal of Public Health, Vol. 35, Supplement 3 (September 2025). https://doi.org/10.1093/eurpub/ckaf033
- Kennedys Law. The European Health Data Space is in force: implications for healthcare, MedTech and life sciences (2026). https://www.kennedyslaw.com/.../ehds-implications
