Der Notify-Bundesanzeiger
Im amtlichen Auftrag · Bundesrepublik Deutschland
AMTLICH · gematik · GKV-Spitzenverband
Verlautb.-Nr.
BAnz-DE-008
Verkündet am
2026-05-27
In Kraft ab
2024-01-01
Status
In Kraft

eRezept gematik, GKV-Krankenkassen-OTP und die ePA elektronische Patientenakte: klinische Zustellung in das deutsche Gesundheits-System

Über 72 Mio. Versicherte in Deutschland nutzen eRezept (seit 1. Januar 2024 verpflichtend) und die ePA elektronische Patientenakte (Opt-out-Verfahren seit Mai 2025). gematik (Gesellschaft für Telematikanwendungen der Gesundheitskarte) und der GKV-Spitzenverband betreiben das gematik-Netzwerk. 4notify integriert mit der gematik-API zur Zustellung von eRezept-Verfügbarkeits-, Termin- und Krankenkassen-Zwei-Faktor-Codes — mit Patienten-Identitäts-Verblendung nach DSGVO-Art. 9 Abs. 2 lit. h.

PushSMSE-Mail
Präambel

§Aufgrund des SGB V (Gesetzliche Krankenversicherung), des E-Health-Gesetzes und der gematik-Spezifikationen erlässt der GKV-Spitzenverband in Abstimmung mit gematik folgende Verlautbarung zur Zustellung der eRezept- und ePA-Notifikationen über 4notify Operations.

Rechtsgrundlagen
SGB V §291a (Telematikinfrastruktur)

Rechtliche Grundlage für die elektronische Gesundheitskarte und die gematik-Telematikinfrastruktur.

E-Health-Gesetz vom 21. Dezember 2015 + ePA-Gesetz vom 14. Juni 2024

Verpflichtende Einführung der elektronischen Patientenakte im Opt-out-Verfahren seit Mai 2025.

DSGVO Art. 9 Abs. 2 lit. h

Rechtliche Grundlage für Verarbeitung von Gesundheitsdaten: medizinische Versorgung und Verwaltung von Gesundheitssystemen.

BSI TR-03161 (Sicherheitsanforderungen Gesundheits-Apps)

Sicherheits- und Datenschutzanforderungen für medizinische Apps im gematik-Netzwerk.

Umsetzung
01

gematik-API-Anbindung + BSI-Audit

4notify ist gematik-zertifiziert und hat eine aktuelle BSI-Penetrationstest-Bestätigung; jährliche Re-Zertifizierung.

02

Patienten-Identitäts-Verblendung

Der Zustellumschlag trägt nur eine Hash-Repräsentation der Krankenversichertennummer (SHA-256 mit Salt) — die Klartext-Versichertennummer bleibt im lokalen System der Praxis oder Apotheke.

03

Drei-Kanal-Kaskade

eRezept-verfügbar → Push (60 s), dann SMS (2 Min.), dann E-Mail (5 Min.); Patientenwahl respektiert über ePA-Präferenzen.

04

Krankenkassen-Zwei-Faktor-Codes

OTP-Zustellung für Krankenkassen-Apps (TK App, AOK App, Barmer App, DAK Gesundheits-App, IKK classic App, BKK App, Knappschaft App) innerhalb des 60-Sekunden-Fensters.

Zustellumschlag
json
{
  "ereignis": "gematik.erezept.verfuegbar",
  "kvnr_gehashed": "sha256:salt:7f2a9b...",
  "apotheke_iknr": "301234567",
  "apotheke_name": "Apotheke am Markt München",
  "kanaele": ["push", "sms", "email"],
  "kaskade_fenster_minuten": 5,
  "vorlage": "erezept_verfuegbar_v4",
  "patient_sprache": "de"
}
Beispiel-Zustellung
PushBetreff: Ihr eRezept ist abholbereit

Ihr eRezept ist abholbereit bei Apotheke am Markt München. Öffnen Sie bis 18:00 Uhr Fr. Öffnen Sie die gematik-App für nominierte Apotheken-Optionen.

Durchsetzungs-Checkliste
  • gematik-Zertifizierung gültig und unerlaubt
  • BSI TR-03161 Penetrationstest-Bestätigung aktuell
  • Patienten-Identitäts-Verblendung (SHA-256 + Salt) am Umschlag erzwungen
  • Datenschutzbeauftragter-Sign-off für Zustell-Vorlagen dokumentiert
  • Krankenkassen-OTP über alle vier MNOs mit P50 ≤ 4 s gemessen
Was 4notify anders macht

4notify ist der einzige A2P-Dienstleister mit gleichzeitiger gematik-Zertifizierung, BSI-TR-03161-Bestätigung und einer Datenschutzbeauftragten-signierten Zustell-Vorlagen-Bibliothek für GKV (TK / AOK / Barmer / DAK / IKK / BKK / Knappschaft) und PKV.

Häufig gestellte Fragen
Kann 4notify Patientennamen sehen?

Nein. Der Zustellumschlag trägt nur eine Hash-Repräsentation der Krankenversichertennummer; die Apotheke oder Praxis hält den Patientennamen und löst den Hash lokal vor der Befüllung der SMS-Vorlage auf.

Funktioniert die gleiche Pipeline für PKV und Selbstzahler?

Ja. Die gematik-Telematikinfrastruktur deckt GKV- und PKV-Versicherte ab; Selbstzahler werden mit pseudonymisierten Identifiern unterstützt.

Was passiert, wenn der Patient SMS in der gematik-ePA-Präferenz deaktiviert hat?

Die Kaskade respektiert die ePA-Patientenwahl; wenn SMS deaktiviert ist, übernimmt der nächste Kanal (E-Mail) ohne Operator-Eingriff.

Verkündet im Auftrage
des Notify-Bundesministeriums
2026-05-27 · BAnz-DE-008

Kostenlos starten

14 Tage. Keine Kreditkarte. Deutscher Support unter der Woche.

Weitere Verlautbarungen dieser Ausgabe