Rechtstracker.atÄnderungen zwischen den Fassungen
§ 2geändertZ 2, Z 10
… 3 unveränderte Absätze
Begriffsbestimmungen
§ 2.
Im Sinne dieses Bundesgesetzes bedeuten
1. „Gesundheitsdaten“: Gesundheitsdaten gemäß Art. 4 Z 15 DSGVO.
1a. „Genetische Daten“: Genetische Daten gemäß Art. 4 Z 13 DSGVO.
2. „Gesundheitsdiensteanbieter“ („GDA“): Verantwortlicher oder Auftragsverarbeiter (Art. 4 Z 7 und 8 DSGVO), die regelmäßig in einer Rolle nach der gemäß § 28 Abs. 1 Z 1 erlassenen Verordnung Gesundheitsdaten oder genetische Daten in elektronischer Form zu folgenden Zwecken verarbeiten:
a) medizinische Behandlung oder Versorgung oder
… 21 unveränderte Absätze
b) pflegerische Betreuung oder
c) Verrechnung von Gesundheitsdienstleistungen oder
d) Versicherung von Gesundheitsrisiken oder
e) Wahrnehmung von Patient/inn/en/rechten.
3. „IT-Sicherheitskonzept“: Summe aller Datensicherheitsmaßnahmen eines Gesundheitsdiensteanbieters, die zum Schutz von personenbezogenen Daten, insbesondere von besonderen Kategorien personenbezogener Daten, notwendig und angemessen im Sinne des Art. 32 DSGVO sind.
4. „Registrierungsstellen“: jene Stellen, die die Verzeichnisse gemäß § 9 Abs. 3 Z 1 führen oder in § 9 Abs. 3 Z 2 und 3 angeführt sind.
5. „Rolle“: Klassifizierung von Gesundheitsdiensteanbietern nach der Art ihres Aufgabengebietes, ihrer Erwerbstätigkeit, ihres Betriebszweckes oder ihres Dienstleistungsangebotes.
6. „Elektronische Gesundheitsakte“ („ELGA“): ein Informationssystem, das allen berechtigten ELGA-Gesundheitsdiensteanbietern (Z 10) und ELGA-Teilnehmer/inne/n ELGA-Gesundheitsdaten (Z 9) in elektronischer Form orts- und zeitunabhängig (ungerichtete Kommunikation) zur Verfügung stellt.
7. „Datenspeicher“ („Repository“): technische Infrastruktur, die der Speicherung von ELGA-Gesundheitsdaten dient.
8. „elektronische Verweise auf ELGA-Gesundheitsdaten“: elektronische Informationen in ELGA zu Art und Speicherort von ELGA-Gesundheitsdaten.
9. „ELGA-Gesundheitsdaten“: Folgende personenbezogene Daten, die zur weiteren Behandlung, Betreuung oder Sicherung der Versorgungskontinuität von ELGA-Teilnehmer/inne/n wesentlich sein könnten und in ELGA verarbeitet werden dürfen:
a) medizinische Dokumente einschließlich allfälliger Bilddaten in standardisierter Form gemäß § 28 Abs. 2 Z 1, die Gesundheitsdaten gemäß Z 1 oder genetische Daten gemäß Z 1a, mit Ausnahme von Daten, die ausschließlich die Verrechnung von Gesundheitsdienstleistungen oder gesundheitsbezogenen Versicherungsdienstleistungen betreffen, enthalten, wie:
aa) Entlassungsbriefe gemäß § 24 Abs. 2 des Krankenanstalten- und Kuranstaltengesetzes (KAKuG), BGBl. Nr. 1/1957,
bb) Laborbefunde,
cc) Befunde der bildgebenden Diagnostik sowie
dd) weitere medizinische Befunde in Struktur und Format gemäß § 28 Abs. 2 Z 3 lit. a,
b) Medikationsdaten gemäß Z 1 betreffend verschreibungspflichtige sowie nicht verschreibungspflichtige Arzneimittel („e-Medikation“),
c) Patientenverfügungen (§ 2 Abs. 1 des Patientenverfügungs-Gesetzes, BGBl. I Nr. 55/2006),
d) Vorsorgevollmachten (§ 260 des Allgemeinen bürgerlichen Gesetzbuches, JGS. Nr. 946/1811),
e) Daten aus den Registern gemäß §§ 73 und 73a des Medizinproduktegesetzes (MPG), BGBl. Nr. 657/1996, sowie
f) Patientendaten gemäß Art. 14 Abs. 2 lit. b sublit. i der Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung („patient summary“),
wobei Geheimnisse gemäß § 10 Abs. 4 KAKuG, Daten dieser Art, wenn sie von anderen Gesundheitsdiensteanbietern verwendet werden, sowie Aufzeichnungen über Ergebnisse gemäß § 71a Abs. 2 des Gentechnikgesetzes (GTG), BGBl. Nr. 510/1994, keinesfalls ELGA-Gesundheitsdaten sind.
10. „ELGA-Gesundheitsdiensteanbieter“ („ELGA-GDA“) sind die folgenden Gesundheitsdiensteanbieter (Z 2):
a) Angehörige des ärztlichen Berufes gemäß § 3 des Ärztegesetzes 1998 (ÄrzteG 1998), BGBl. I Nr. 169/1998, auch bei Ausübung des ärztlichen Berufes in der Form einer Zusammenarbeit als selbstständig berufsbefugte Gruppenpraxis, ausgenommen:
… 23 unveränderte Absätze
aa) Ärzte und Ärztinnen, die Aufgaben des chef- und kontrollärztlichen Dienstes der Sozialversicherungsträger erfüllen,
bb) Ärzte und Ärztinnen, die die Grundlagen von Versicherungsverhältnissen sowie daraus resultierende Ansprüche zu beurteilen haben,
cc) Arbeitsmediziner/innen (§ 81 des ArbeitnehmerInnenschutzgesetzes, BGBl. Nr. 450/1994),
dd) Amtsärzte und Amtsärztinnen (§ 41 ÄrzteG 1998),
ee) Ärzte und Ärztinnen, die an der Feststellung der Eignung zum Wehrdienst mitwirken, sowie
ff) Schulärzte und Schulärztinnen (§ 66 des Schulunterrichtsgesetzes, BGBl. Nr. 472/1986),
b) Angehörige des zahnärztlichen Berufes (§ 5 des Zahnärztegesetzes [ZÄG], BGBl. I Nr. 126/2005), auch bei Ausübung des zahnärztlichen Berufes in der Form einer Zusammenarbeit als selbstständig berufsbefugte Gruppenpraxis, ausgenommen:
aa) Dentisten und Dentistinnen (§ 60 ZÄG),
bb) Amtszahnärzte und Amtszahnärztinnen (§ 32 ZÄG),
cc) Zahnärzte und Zahnärztinnen, die Aufgaben des chef- und kontrollärztlichen Dienstes der Sozialversicherungsträger erfüllen sowie
dd) Zahnärzte und Zahnärztinnen, die die Grundlagen von Versicherungsverhältnissen sowie daraus resultierende Ansprüche zu beurteilen haben,
c) Apotheken gemäß § 1 des Apothekengesetzes, RGBl. Nr. 5/1907,
d) Krankenanstalten gemäß § 1 KAKuG, ausgenommen selbstständige Ambulatorien (§ 2 Abs. 1 Z 5 KAKuG) im Aufgabenbereich der Arbeitsmedizin sowie
e) Einrichtungen der Pflege, deren Betrieb einer Melde-, Anzeige- oder Bewilligungspflicht nach bundes- oder landesgesetzlichen Vorschriften sowie der behördlichen Aufsicht oder Kontrolle unterliegt.
11. „ELGA-Systempartner“: der Bund, die Länder sowie der Dachverband der Sozialversicherungsträger (im Folgenden: Dachverband).
12. „ELGA-Teilnehmer/innen“: natürliche Personen, die die Teilnahmevoraussetzungen des § 15 erfüllen und für die daher elektronische Verweise auf sie betreffende ELGA-Gesundheitsdaten (Z 9) aufgenommen werden dürfen.
13. „Verweisregister“ („Registry“): ein Register, das im Rahmen von ELGA der Aufnahme von elektronischen Verweisen auf ELGA-Gesundheitsdaten (Z 9) dient.
14. „ELGA-Ombudsstelle“: jene Stelle, die ELGA-Teilnehmer/innen bei der Wahrnehmung und Durchsetzung ihrer Rechte in Angelegenheiten von ELGA und in Angelegenheiten des Datenschutzes, Bürger/innen darüber hinaus in Angelegenheiten von eHealth-Anwendungen, berät und unterstützt sowie die ELGA-Systempartner bei der Weiterentwicklung der Teilnehmer/innen/rechte und des Datenschutzes unterstützt.
15. „Widerspruchstellen“: jene Stellen, gegenüber denen ein genereller Widerspruch von ELGA-Teilnehmer/inne/n schriftlich abgegeben werden kann.
16. „ELGA-Anwendung“: die auf einen bestimmten Zweck gerichtete Verwendung von ELGA durch ELGA-Gesundheitsdiensteanbieter und ELGA-Teilnehmer/innen gemäß dem 4. Abschnitt.
17. „eHealth-Anwendung:“ die auf einen bestimmten Zweck gerichtete Verwendung von ELGA-Komponenten durch Bürger/innen und Gesundheitsdiensteanbieter gemäß dem 5. Abschnitt.
Schlagworte
§ 18geändertAbs 6 Z 1
… 32 unveränderte Absätze
Überprüfung der Identität von ELGA-Teilnehmer/inne/n
§ 18.
(1) Der Dachverband hat im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient:
1. der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen sowie
2. der Lokalisierung von Verweisregistern, in denen sich Verweise auf ELGA-Gesundheitsdaten dieser natürlichen Personen befinden können.
(2) Im Patientenindex sind folgende Daten natürlicher Personen zu verarbeiten:
1. Namensangaben:
a) Vorname(n)
b) Familienname
c) Geburtsname
d) akademische Grade
2. Personenmerkmale:
a) Geburtsdatum
b) Geburtsort, soweit verfügbar
c) Geschlecht
d) Sterbedatum, soweit verfügbar
e) Staatsangehörigkeit
3. Adressdaten
4. Identitätsdaten:
a) Sozialversicherungsnummer
b) lokale Patient/inn/en/kennungen
c) bPK-GH
d) über die Z 1 bis 3 hinausgehenden Daten der europäischen Krankenversicherungskarte
e) sonstige staatliche Identifikatoren.
(3) Die Daten gemäß Abs. 2 sind vorrangig aus den Anwendungen des Dachverbandes gemäß § 30c Abs. 1 Z 2 lit. a ASVG sowie dem Ergänzungsregister gemäß § 6 Abs. 4 E-GovG zu erheben.
(4) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (§ 14 Abs. 1 Z 1) hat in elektronischer Form unter Mitwirkung des ELGA-Teilnehmers/der ELGA-Teilnehmerin zu erfolgen. Dabei sind die im Patientenindex gespeicherten Identitätsdaten mit den im Rahmen der Identifikation erhobenen Identitätsdaten zu vergleichen. Die Erhebung der Identitätsdaten kann durch
1. eine elektronische Prüfung der Gültigkeit der e-card und dem Auslesen von Daten der e-card mittels e-card-System (§§ 31a ff ASVG) oder
2. Verwenden eines E-ID (§ 2 Z 10 E-GovG) oder
3. Verarbeiten von Identitätsdaten einer gemäß § 4 Abs. 2 eindeutig identifizierten natürlichen Person, die bei einem ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. d und e gespeichert sind wobei das IT-Sicherheitskonzept gemäß § 8 die Überprüfung der Identität der ELGA-Teilnehmer/innen technisch abzusichern hat zum Zweck der Verarbeitung der ELGA-Gesundheitsdaten gemäß § 14 Abs. 2 Z 1 oder
4. Verarbeiten von Daten einer elektronischen oder sonst eindeutig identifizierbaren Verordnung oder Zuweisung (§ 14 Abs. 2 Z 1 lit. b), sofern die Erhebung der Identitätsdaten nicht gemäß Z 1 bis 3 erfolgt, oder
5. das Auslesen von Daten der e-card oder eines amtlichen Lichtbildausweises im Format ID-1 mittels geeigneter Technologie für die Identifizierung im Rahmen des elektronischen Impfpasses, wobei als amtlicher Lichtbildausweis in diesem Sinne von einer staatlichen Behörde ausgestellte Dokumente, die mit einem nicht austauschbaren erkennbaren Kopfbild der betreffenden Person versehen sind, und den Namen, das Geschlecht, das Geburtsdatum und die Unterschrift der Person sowie die ausstellende Behörde enthalten, gelten,
erfolgen.
(5) Im Zuge der Erhebung der Identitätsdaten mittels e-card System (§§ 31a ff ASVG) ist im selben Arbeitsschritt, aber technisch von den Datenflüssen des ELSY (§§ 31a ff ASVG) getrennt, auch ein allfälliger Widerspruch gemäß § 16 Abs. 2 Z 2 zu dokumentieren.
(6) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (Abs. 4) darf für den Zugriff und die Verarbeitung der ELGA-Gesundheitsdaten zu den in § 14 Abs. 2 genannten Zwecken durch
1. ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. a, b, d und e und die ELGA-Ombudsstelle gemäß § 2 Z 14 nicht länger als 28 90 Tage und
2. ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. c nicht länger als zwei Stunden
… 6 unveränderte Absätze
zurückliegen.
(7) Abweichend von Abs. 6 kann ein ELGA-Teilnehmer/eine ELGA-Teilnehmerin einem oder mehreren ELGA-Gesundheitsdiensteanbieter des besonderen Vertrauens gemäß § 2 Z 10 lit. a, b, c und e in Verbindung mit § 21 Abs. 2 mit dessen Zustimmung, eine Frist von bis zu 365 Tagen einräumen.
(8) Abgesehen von den Fällen gemäß § 17 Abs. 4 dürfen Vertretungen von ELGA-Teilnehmer/inne/n im elektronischen Verkehr ausschließlich gemäß § 5 Abs. 1 E-GovG eingetragen werden, wobei:
1. an Stelle der Stammzahl ein bPK des ELGA-Teilnehmers/der ELGA-Teilnehmerin einzutragen ist sowie
2. die Berechtigung zum Zugriff auf ELGA gesondert eingetragen werden muss.
(9) Zehn Jahre nach Kenntnis des Sterbedatums eines ELGA-Teilnehmers/einer ELGA-Teilnehmerin hat der Dachverband die im Patientenindex gespeicherten Daten des/der Verstorbenen automatisch zu löschen.
§ 20bneu
SARS-CoV-2-Antigentests zur Eigenanwendung
§ 20b.
(1) Das erhebliche öffentliche Interesse an der Verwendung von ELGA ergibt sich über die in § 13 Abs. 1 genannten Gründen hinaus auch aus der Verwendung im Rahmen der Verhinderung der Ausbreitung des Erregers Sars-CoV-2 (COVID-19), insbesondere aus der kostenlosen Abgabe von Medizinprodukten, wie etwa SARS-CoV-2-Antigentests zur Eigenanwendung. Für die Verwendung von ELGA zur Verhinderung der Ausbreitung des Erregers Sars-CoV-2 (COVID-19) durch kostenlose Abgabe von SARS-CoV-2-Antigentests zur Eigenanwendung gelten § 2 Z 9 und Z 10 sowie die Bestimmungen des 4. Abschnitts mit Maßgabe der folgenden Absätze.
(2) SARS-CoV-2-Antigentests zur Eigenanwendung gelten als ELGA-Gesundheitsdaten gemäß § 2 Z 9 lit. b.
(3) Zum Zweck der kostenlosen Abgabe von SARS-CoV-2-Antigentests zur Eigenanwendung ist von dem ELGA-Gesundheitsdiensteanbieter gemäß Abs. 4 monatlich für die Dauer der Maßnahme eine Verordnung (Abs. 2 in Verbindung mit § 13 Abs. 3 Z 4) für alle bezugsberechtigten Personen (§ 742b Abs. 2 ASVG, § 380b des Gewerblichen Sozialversicherungsgesetz [GSVG], BGBl. Nr. 560/1978, § 374b des Bauern-Sozialversicherungsgesetzes [BSVG], BGBl. Nr. 559/1978, und § 261b des Beamten-Kranken- und Unfallversicherungsgesetzes [B-KUVG]) in ELGA zu speichern. Es besteht kein Behandlungs- oder Betreuungsverhältnis und die Verarbeitung ist auf die Speicherung der ELGA-Gesundheitsdaten gemäß Abs. 2 eingeschränkt. Eine über die Speicherung hinausgehende personenbezogene Verarbeitung der durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten ist unzulässig und stellt einen Verstoß gegen die Grundsätze für die Verarbeitung gemäß dem Art. 9 DSGVO dar. § 16 Abs. 4, § 18 Abs. 4, § 22 sowie § 27 Abs. 14b und 14c finden keine Anwendung.
(4) Zum Zweck des Abs. 3 gilt der für das Gesundheitswesen zuständige Bundesminister als ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. d. Der Dachverband ist ungeachtet des § 14 Abs. 3 Z 7 zur Speicherung von Verordnungen gemäß Abs. 3 sowie zur Ermittlung der bezugsberechtigten Personen gemäß § 742b Abs. 2 ASVG, § 380b GSVG, § 374b BSVG und § 261b B-KUVG aus den bei ihm verarbeiteten Sozialversicherungsdaten berechtigt. Der Dachverband ist im übertragenen Wirkungsbereich zur Speicherung der Verordnungen gemäß Abs. 3 verpflichtet.
(5) Die durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten gemäß Abs. 2 dürfen personenbezogen von Apotheken gemäß § 2 Z 10 lit. c zum Zweck der kostenlosen Abgabe an ELGA-Teilnehmer/innen verarbeitet werden. Die Identifikation des ELGA-Teilnehmers/der ELGA-Teilnehmerin hat gemäß § 18 Abs. 4 Z 1 oder § 27 Abs. 14b zu erfolgen.
(6) § 16 Abs. 3 in Verbindung mit § 25 ist im Rahmen dieser Bestimmung nicht anzuwenden.
(7) Abweichend von § 20 Abs. 4 Z 2 sind Medikationsdaten gemäß Abs. 2 zwei Monate nach Verordnung automatisch zu löschen.
§ 24bgeändertÜberschrift, Text
2. Unterabschnitt
Elektronischer Impfpass (eImpfpass)
Ziele des Elektronischen Impfpasses eImpfpasses
§ 24b.
Die Verwendung des Elektronischen Impfpasses eImpfpasses erfüllt ein erhebliches öffentliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j DSGVO. Dieses erhebliche öffentliche Interesse ergibt sich insbesondere aus:
1. der Optimierung der Impfversorgung der Bevölkerung, vor allem durch
… 9 unveränderte Absätze
a) eine einheitliche, flächendeckende und lückenlose digitale Impfdokumentation sowie eine verbesserte, schnellere Verfügbarkeit von Impfinformationen,
b) die Steigerung der Prozess- und Ergebnisqualität von Impfungen und die Wirksamkeit von öffentlichen Impfprogrammen,
c) die Erhöhung der Durchimpfungsraten,
d) die Erhöhung der Arzneimittel- und Patient/inn/en/sicherheit;
2. der Verfügbarkeit digitaler Impfinformationen für die Steuerung des öffentlichen Gesundheitswesens, vor allem zur
a) Bestimmung von Impfstatus und Durchimpfungsraten sowie des daraus ableitbaren Handlungsbedarfs,
b) Verbesserung der Reaktionsmöglichkeiten auf Ausbrüche von durch Impfungen vermeidbaren Krankheiten,
c) Einhaltung von Verpflichtungen zur Verfolgung internationaler Eliminations- und Eradikationsziele sowie
3. der Reduktion von Aufwänden für Bürger/innen, Gesundheitsdiensteanbieter und das Gesundheitssystem.
§ 24cgeändertAbs 1
Zentrales Impfregister
§ 24c.
(1) Zur Sicherstellung der in § 24b genannten Ziele ist von dem für das Gesundheitswesen zuständigen Bundesminister als Verantwortlichem (Art. 4 Z 7 DSGVO) die eHealth-Anwendung Elektronischer Impfpass eImpfpass zu betreiben. Wesentlicher Bestandteil dieser Anwendung ist ein zentrales Impfregister, das der elektronischen Dokumentation aller durchgeführten Impfungen dient. Der für das Gesundheitswesen zuständige Bundesminister kann für Betrieb, Wartung und technische Weiterentwicklung des Elektronischen Impfpasses eImpfpasses einen oder mehrere Auftragsverarbeiter (Art. 4 Z 8 DSGVO) heranziehen.
(2) Zur Erfüllung der in § 24d Abs. 2 genannten Zwecke sind im zentralen Impfregister ab dem Zeitpunkt gemäß § 28 Abs. 2a Z 2 lit. c und lit. h sublit. aa
… 34 unveränderte Absätze
1. durch alle Gesundheitsdiensteanbieter gemäß § 2 Z 2, die Impfungen durchführen, das sind die mit Verordnung des Bundesministers für Gesundheit, mit der nähere Regelungen für die Gesundheitstelematik getroffen werden – Gesundheitstelematikverordnung 2013 (GTelV 2013), BGBl. II Nr. 506/2013, Anlage 1 festgelegten Rollen gemäß Teil 1 (Rollen für Personen)
– Z 1 (Ärztin/Arzt für Allgemeinmedizin),
– Z 2 (Approbierte Ärztin/Approbierter Arzt),
– Z 3 (Fachärztin/Facharzt),
– Z 4 (Fachärztin/Facharzt für Zahn-, Mund- und Kieferheilkunde) und
– Z 11 (Hebamme)
sowie gemäß Teil 2 (Rollen für Organisationen)
– Z 1 (Allgemeine Krankenanstalt),
– Z 2 (Sonderkrankenanstalt),
– Z 3 (Pflegeanstalt),
– Z 4 (Sanatorium),
– Z 5 (Selbstständiges Ambulatorium),
– Z 6 (Ärztliche Gruppenpraxis),
– Z 8 (Straf- und Maßnahmenvollzug),
– Z 10 (Pflegeeinrichtung),
– Z 18 (Arbeitsmedizinisches Zentrum) und
– Z 24 (Öffentlicher Gesundheitsdienst),
2. die Angaben
a) zum Impfstoff (Klassifikation, Handelsname, Hersteller, Zulassungsnummer, Chargennummer, Verfallsdatum, Serialisierungsnummer, Pharmazentralnummer und Anatomisch-Therapeutisch-Chemische Zuordnung),
b) zur verabreichten Impfung (Datum der Verabreichung, Dosierung und Dosis, angewandtes Impfschema, Impfempfehlung und Zuordnung zu Impfprogrammen),
c) zur Bürgerin/zum Bürger (Name, Geburtsdatum, Geschlecht, Wohnadresse, Angaben zur Erreichbarkeit, Angaben zu einer allfälligen Vertretung, Sozialversicherungsnummer, bereichsspezifisches Personenkennzeichen Gesundheit, Gemeindecode, Titerbestimmung, impfrelevante Vorerkrankungen und besondere Impfindikationen) sowie
d) zum impfenden bzw. speichernden Gesundheitsdiensteanbieter (Name, Rolle, Berufsadresse und Datum der Speicherung)
zu speichern. Unbeschadet bestehender Pflichten zur Dokumentation auf Papier erfüllt die Speicherung dieser Angaben im zentralen Impfregister die jeweilige berufsrechtliche Dokumentationspflicht (z. B. § 51 Abs. 1 ÄrzteG 1998).
(3) Verantwortlicher (Art. 4 Z 7 DSGVO) für die Speicherung, Aktualisierung, Stornierung, Nachtragung und Vidierung der Daten ist der jeweilige Gesundheitsdiensteanbieter. Bereits im zentralen Impfregister gespeicherte Daten dürfen von den Gesundheitsdiensteanbietern nicht gelöscht werden. Treten Umstände hervor, die unter Berücksichtigung der jeweiligen Berufspflichten (z. B. § 49 Abs. 1 ÄrzteG 1998) eine Berichtigung (Art. 16 DSGVO) der im zentralen Impfregister gespeicherten Daten erfordern, sind diese vom Gesundheitsdiensteanbieter, der diese Daten gespeichert hat, zu aktualisieren oder zu stornieren. Sollte der Gesundheitsdiensteanbieter, der die Daten im zentralen Impfregister gespeichert hat, nicht mehr verfügbar sein, so ist die Aktualisierung oder Stornierung auf Verlangen der Bürgerin/des Bürgers von den Bezirksverwaltungsbehörden vorzunehmen. Die stornierten Daten müssen für Gesundheitsdiensteanbieter und Bürger/innen abrufbar bleiben. Aktualisierte und stornierte Daten werden als solche gekennzeichnet.
(3a) Der für das Gesundheitswesen zuständige Bundesminister (Abs. 1) und der jeweilige für die Speicherung, Aktualisierung, Stornierung, Nachtragung und Vidierung verantwortliche Gesundeitsdiensteanbieter (Abs. 3) sind gemeinsam für die Verarbeitung Verantwortliche im Sinne des Art. 26 DSGVO. Sofern von dem für das Gesundheitswesen zuständigen Bundesminister ein Auftragsverarbeiter gemäß Abs. 1 herangezogen wird, ist dieser auch Auftragsverarbeiter (Art. 4 Z 8 DSGVO) des jeweiligen Gesundheitsdiensteanbieters gemäß Abs. 3.
(4) Gesundheitsdiensteanbieter, die zur Speicherung der Angaben gemäß Abs. 2 im zentralen Impfregister verpflichtet sind, dürfen unter Berücksichtigung der jeweiligen Berufspflichten (z. B. § 49 Abs. 1 ÄrzteG 1998) andere als in Abs. 4a genannte verabreichte und schriftlich dokumentierte, aber nicht im zentralen Impfregister gespeicherte Impfungen nachtragen sowie gemäß § 24e Abs. 1 Z 2 eingetragene Impfungen vidieren. Gesundheitsdiensteanbieter gemäß Z 11 Teil 1 Anlage 1 zur GTelV 2013 (Hebammen) dürfen nur solche Impfungen nachtragen und vidieren, die sie aufgrund ihrer Berufspflichten (§ 5 Abs. 4 HebG) auch verabreichen dürfen.
(4a) Gesundheitsdiensteanbieter haben
1. COVID-19-Impfungen, die von ihnen seit dem 27. Dezember 2020 verabreicht wurden, aber nicht im zentralen Impfregister gespeichert sind sowie
2. die in einer Verordnung gemäß § 28 Abs. 2a Z 2 lit. k genannten verabreichten Impfungen
nachzutragen.
(5) Daten aus bestehenden digitalen Impfdokumentationen, insbesondere jenen der Länder, dürfen unter der Voraussetzung, dass diese Daten in valider Qualität vorliegen und dafür insbesondere eindeutige elektronische Identitäten (§ 2 Z 2 E-GovG) von Bürger/inne/n verfügbar sind, von dem für das Gesundheitswesen zuständigen Bundesminister in das zentrale Impfregister übernommen werden.
(6) Die im zentralen Impfregister gespeicherten Daten sind von dem für das Gesundheitswesen zuständigen Bundesminister 10 Jahre nach Sterbedatum, spätestens jedoch 120 Jahre nach der Geburt der Bürgerin/des Bürgers zu löschen.
(7) Der für das Gesundheitswesen zuständige Bundesminister hat zu den in § 24d Abs. 2 Z 2 und 3 genannten Zwecken den jeweils aktuellen Impfplan Österreich im zentralen Impfregister sowie, um den Zugriff auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten gemäß § 24d Abs. 2 Z 1 in ELGA zu ermöglichen und ELGA-Anwendungen gemäß § 2 Z 16 oder andere eHealth-Anwendungen gemäß diesem Abschnitt zu unterstützen, standardisierte elektronische Schnittstellen zur Verfügung zu stellen.
(8) Die aufgrund dieser Bestimmung vorzunehmenden Datenverarbeitungen erfüllen die Voraussetzungen des Art. 35 Abs. 10 DSGVO für einen Entfall der Datenschutz-Folgenabschätzung, sodass insbesondere die in Abs. 2 genannten Gesundheitsdiensteanbieter keine Datenschutz-Folgenabschätzung durchführen müssen.
§ 24fgeändertAbs 2
Nutzung von ELGA-Komponenten
§ 24f.
(1) Die ELGA-Komponenten gemäß § 24 Abs. 3 sind nach Maßgabe der folgenden Absätze zu nutzen.
(2) Soweit der Patientenindex (§ 18) zur Überprüfung der eindeutigen Identität der Bürger/innen (§ 24d Abs. 1 Z 5, 1. Fall) genutzt wird, gilt die eine Frist des § 18 Abs. 6 Z 1 von 28 Tagen für die Fälle gemäß Abs. 4 Z 1 lit. a bis c und Z 4 und die eine Frist des § 18 Abs. 6 Z von 2 Stunden für die Fälle gemäß Abs. 4 Z 2.
(3) Der Gesundheitsdiensteanbieterindex (§ 19) dient der Überprüfung der eindeutigen Identität von Gesundheitsdiensteanbietern gemäß § 24d Abs. 1 Z 1.
… 25 unveränderte Absätze
(4) Das Berechtigungssystem (§ 21) dient der Verwaltung der spezifischen Zugriffsberechtigungen und Steuerung der Zugriffe. Eine spezifische Zugriffsberechtigung auf die im zentralen Impfregister gespeicherten Daten haben
1. Gesundheitsdiensteanbieter gemäß § 24c Abs. 2 Z 1
a) zur Speicherung, Aktualisierung, Stornierung und Nachtragung der in § 24c Abs. 2 Z 2 genannten Daten im zentralen Impfregister,
b) auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten gemäß § 24d Abs. 2 Z 1,
c) auf die auf Basis dokumentierter Impfungen und des jeweils aktuellen Impfplans Österreich erstellten persönlichen Impfkalender gemäß § 24d Abs. 2 Z 2,
d) für die Abrechnung im Rahmen von Impfprogrammen gemäß § 24d Abs. 2 Z 6 und,
e) sofern es sich um den Öffentlichen Gesundheitsdienst im Sinne der Z 6 handelt, für das Krisenmanagement im Rahmen des Ausbruchsmanagements gemäß § 24d Abs. 2 Z 5,
2. Apotheken gemäß § 1 des Apothekengesetzes, RGBl. Nr. 5/1907
a) auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten gemäß § 24d Abs. 2 Z 1 und
b) auf die auf Basis dokumentierter Impfungen und des jeweils aktuellen Impfplans Österreich erstellten persönlichen Impfkalender gemäß § 24d Abs. 2 Z 2,
3. gesetzliche oder bevollmächtigte Vertreter/innen zur Wahrnehmung der Rechte der Bürger/innen gemäß § 24e Abs. 1,
4. Mitarbeiter/innen der ELGA-Ombudsstelle zur Wahrnehmung der Rechte der Bürger/innen gemäß § 24e Abs. 1 Z 1,
5. der für das Gesundheitswesen zuständige Bundesminister für das bundesweite Krisenmanagement gemäß § 24d Abs. 2 Z 5,
6. der Landeshauptmann und die Bezirksverwaltungsbehörden in ihrem jeweiligen gesetzlichen Wirkungsbereich
a) für das Krisenmanagement gemäß § 24d Abs. 2 Z 5 und
b) für die Abrechnung im Rahmen von Impfprogrammen gemäß § 24d Abs. 2 Z 6 sowie
7. die Bezirksverwaltungsbehörden zur Aktualisierung oder Stornierung von im zentralen Impfregister gespeicherten Daten gemäß § 24c Abs. 3.
(5) Das Protokollierungssystem (§ 22) dient der Dokumentation und Nachvollziehbarkeit der Verarbeitung der im zentralen Impfregister gespeicherten Daten unter Anwendung des § 22 Abs. 3 bis 6; zu protokollieren sind gemäß Art. 32 DSGVO
1. die in § 22 Abs. 2 Z 1 bis 3, 7 und 8 genannten Daten,
2. die eindeutige elektronische Identität des Gesundheitsdiensteanbieters, der den Vorgang ausgelöst hat,
3. der Name der natürlichen Person, die die im zentralen Impfregister gespeicherten Daten tatsächlich verarbeitet hat,
4. die eindeutige Kennung der im zentralen Impfregister gespeicherten Daten.
(6) Das Zugangsportal (§ 23) dient der zusammenfassenden Darstellung der im zentralen Impfregister gespeicherten Daten gemäß § 24e Abs. 1 Z 1 und muss
1. die Überprüfung der eindeutigen Identität der Bürger/innen gemäß § 18 Abs. 4 Z 2 gewährleisten sowie
2. Funktionen zur Wahrung der Rechte der Bürger/innen gemäß § 24e Abs. 1 Z 1 und Abs. 2 anbieten.
§ 26geändertAbs 12 (neu)
… 14 unveränderte Absätze
Inkrafttreten
§ 26.
(1) Dieses Bundesgesetz tritt mit 1. Jänner 2013 in Kraft.
(2) Das Gesundheitstelematikgesetz, BGBl. I Nr. 179/2004, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 36/2010, tritt mit Ablauf des 31. Dezember 2012 außer Kraft.
(3) § 7 Abs. 1 und § 28 Abs. 1 Z 2 in der Fassung des Bundesgesetzes BGBl. I Nr. 50/2016 treten mit 1. Juli 2016 in Kraft.
(4) § 14 Abs. 5 und 6, § 24 Abs. 3 sowie § 28 Abs. 2 Z 5 in der Fassung des Deregulierungsgesetzes 2017, BGBl. I Nr. 40/2017, treten mit dem der Kundmachung folgenden Tag in Kraft.
(5) § 9 Abs. 2, § 24a samt Überschriften, die Überschrift des 6. Abschnitts sowie § 28 Abs. 2a und 3 in der Fassung des Bundesgesetzes, BGBl. I Nr. 131/2017, treten mit dem auf den Tag der Kundmachung folgenden Tag in Kraft.
(6) Der Titel, das Inhaltsverzeichnis (Abschnittsüberschrift des 2. Abschnitts, § 14) und die § 1 Abs. 1, Abs. 2, Abs. 2 Z 1, § 2 Z 1, Z 1a, Z 2, Z 3, die Abschnittsbezeichnung des 2. Abschnitts, § 3 Abs. 1, Abs. 2, Abs. 3 und Abs. 4, § 4, § 4 Abs. 1, Abs. 2, Abs. 3, Abs. 5 Z 1 und Abs. 6, § 6 Abs. 1, Abs. 1 Z 1 lit. a, Abs. 2 und Abs. 3, § 7 Abs. 1 und Abs. 2, § 8 Abs. 1, § 9 Abs. 1 und Abs. 4, § 10 Abs. 1 Z 8 und Abs. 7, § 13 Abs. 1, Abs. 2, Abs. 6 und Abs. 7, Überschrift zu § 14, § 14 Abs. 1, Abs. 1 Z 3, Abs. 2, Abs. 3, Abs. 3a, Abs. 4 und Abs. 5, § 15 Abs. 1 Z 1, § 16 Abs. 2 Z 2 lit. c und Abs. 5, § 16a Abs. 3, § 17 Abs. 2, § 18 Abs. 3, Abs. 4, Abs. 4 Z 3 und Z 4, Abs. 5 und Abs. 6, § 19 Abs. 1, Abs. 2 und Abs. 3, § 20 Abs. 1, Abs. 2, Abs. 3 und Abs. 4 Z 2, § 22 Abs. 1, Abs. 2, Abs. 4, Abs. 5, Abs. 5 Z 5 und Abs. 6, § 23 Abs. 3, § 24 Abs. 1, Abs. 2 und Abs. 3, § 24a Abs. 1 Z 2 und Z 3, § 25, § 26 Abs. 6, § 27 Abs. 2, Abs. 3, Abs. 4, Abs. 9, Abs. 10, Abs. 11, Abs. 12, Abs. 13, Abs. 14 und Abs. 15 sowie § 28 Abs. 2 Z 1, Z 3, Z 4 und Z 11, Abs. 2a Z 1 und Abs. 4 in der Fassung des BGBl. I Nr. 37/2018 treten mit 25. Mai 2018 in Kraft.
(7) § 2 Z 9 lit. d in der Fassung des Bundesgesetzes BGBl. I Nr. 59/2018 tritt mit 1. Juli 2018 in Kraft.
(8) § 27 Abs. 12a, Abs. 12b, Abs. 13, Abs. 14, Abs. 14a, Abs. 14b, Abs. 14c und Abs. 16 in der Fassung des Bundesgesetzes BGBl. I. Nr. 16/2020 (Anm.: BGBl. I Nr. 16/2020) tritt mit dem der Kundmachung folgenden Tag in Kraft.
(9) In der Fassung des Bundesgesetzes BGBl. I. Nr. 115/2020 (Anm.: BGBl. I Nr. 115/2020) treten in Kraft:
1. Das Inhaltsverzeichnis (§ 4a, 5. Abschnitt: eHealth-Anwendungen, 1. Unterabschnitt: Primärversorgung, § 24a, 2. Unterabschnitt: Elektronischer Impfpass, § 24b bis § 24g, 6. Abschnitt: Schlussbestimmungen), § 1 Abs. 2 Z 2, 2 Z 3 lit. e und Z 4, § 2 Z 14, Z 16 und Z 17, § 3 Abs. 2, § 4a, § 5 Abs. 2, § 8 Abs. 3, § 9 Abs. 1, Abs. 3 Z 3, § 10 Abs. 3 bis 5 und Abs. 7, § 11 Abs. 1 und 3, § 12, § 14 Abs. 2 Z 1, § 15 Abs. 2, § 16 Abs. 5, § 17 Abs. 1 und 2, § 18 Abs. 4 Z 4 und Z 5, § 19 Abs. 1, § 20 Abs. 4 Z 2 und Abs. 6, § 21, § 22 Abs. 1, 4 und 5, § 23 Abs. 1, die Überschrift des 1. Unterabschnitts des 5. Abschnitts: Primärversorgung, § 24a Abs. 1 und 2 Z 1 lit. c, der 2. Unterabschnitt des 5. Abschnitts samt Überschrift, § 25, § 27 Abs. 1, 3, 10 Z 4 lit. f und Z 17, § 28 Abs. 1, 1 Z 1, 2, 2a, 3 in der Fassung der Z 68 des genannten Bundesgesetzes, 4 und 5 in der Fassung der Z 71 des genannten Bundesgesetzes, § 29 und § 31 mit dem auf den Tag der Kundmachung folgenden Tag; die Paragraphenüberschrift zu § 24a tritt mit Ablauf des Tages der Kundmachung außer Kraft;
2. § 4 Abs. 6, § 18 Abs. 4 Z 2 und § 19 Abs. 2 Z 2 mit dem auf den Tag der Kundmachung folgenden Tag und finden erst Anwendung, wenn die technischen und organisatorischen Voraussetzungen für den Echtbetrieb des E-ID vorliegen. Dieser Zeitpunkt ist gemäß § 24 Abs. 6 E-GovG vom Bundesminister für Inneres im Bundesgesetzblatt kundzumachen; (Anm. 1)
3. § 2 Z 11, § 8 Abs. 2, § 9 Abs. 3 Z 2 lit. c, § 15 Abs. 1 Z 1, § 16a Abs. 1, § 18 Abs. 1, 3 und 9, § 27 Abs. 2 Z 2 und 10 Z 4 lit. e, § 28 Abs. 3 in der Fassung der Z 67 des genannten Bundesgesetzes und 5 in der Fassung der Z 70 des genannten Bundesgesetzes mit 01. Jänner 2020.
(10) § 27 Abs. 12a, 12b, 14a bis 14c sowie 16 tritt mit Ablauf des 30. Juni 2022 außer Kraft.
(11) Das Inhaltsverzeichnis, § 7 Abs. 1, § 20a samt Überschrift, § 20b samt Überschrift, § 24c Abs. 4 und 4a, § 27 Abs. 16 und 17, § 28 Abs. 2a Z 2 lit. i bis k und Abs. 5 sowie § 32 in der Fassung des Bundesgesetzes BGBl. I. Nr. 34/2021 (Anm.: BGBl. I Nr. 34/2021) treten mit dem der Kundmachung folgenden Tag in Kraft. Die Speicherung der Verordnungen gemäß § 20b Abs. 3 hat erstmals im März 2021 zu erfolgen. § 20b tritt mit Ablauf des 31. Dezembers 2021 außer Kraft.
(12) Das Inhaltsverzeichnis (Überschrift zum 2. Unterabschnitt des 5. Abschnitts, § 24b), § 2 Z 2 und Z 10, § 18 Abs. 6 Z 1, § 20b samt Überschrift, die Überschrift zum 2. Unterabschnitt des 5. Abschnitts, § 24b samt Überschrift, § 24c Abs. 1, § 24f Abs. 2, § 27 Abs. 17 und § 28 Abs. 2a Z 2 in der Fassung des Bundesgesetzes BGBl. I. Nr. 39/2022 (Anm.: BGBl. I Nr. 39/2022) treten mit 09. April 2022 in Kraft. Die Speicherung der Verordnungen gemäß § 20b Abs. 3 hat erstmals im April 2022 zu erfolgen. Der Eintrag im Inhaltsverzeichnis zu § 20b sowie § 20b treten mit Ablauf des 31. Dezember 2022 außer Kraft.
§ 27geändertAbs 17
… 58 unveränderte Absätze
Übergangsbestimmungen
§ 27.
(1) Der für das Gesundheitswesen zuständige Bundesminister hat das Zugangsportal (§ 23), die Widerspruchstellen (§ 28 Abs. 2 Z 7) sowie die ELGA-Ombudsstelle (§ 17) nach Maßgabe der technischen Verfügbarkeit bis 31. Dezember 2013 so zu errichten und zur Verfügung zu stellen, dass die Wahrnehmung der Teilnehmer/innen/rechte gewährleistet ist und zeitgerecht erfolgen kann. Ab diesem Zeitpunkt kann ELGA verwendet werden.
(2) Sofern nicht eine Verordnung gemäß § 28 Abs. 2 Z 4 einen späteren Zeitpunkt bestimmt, gilt § 13 Abs. 3 ab 1. Jänner 2015 für
1. Krankenanstalten gemäß § 3 Abs. 2b KAKuG, die über Landesgesundheitsfonds abgerechnet werden,
2. die Allgemeine Unfallversicherungsanstalt, soweit sie gemäß § 24 Abs. 3 Z 1 ASVG Krankenanstalten betreibt, sowie
3. Einrichtungen der Pflege gemäß § 2 Z 10 lit. e,
soweit die Nutzung der ELGA-Komponenten (§ 24) zur Verarbeitung von ELGA-Gesundheitsdaten technisch möglich ist.
(3) Sofern nicht eine Verordnung gemäß § 28 Abs. 2 Z 4 einen späteren Zeitpunkt bestimmt, gilt ab 1. Juli 2016 § 13 Abs. 3 für
1. Apotheken gemäß § 1 des Apothekengesetzes,
2. freiberuflich tätige Ärzte und Ärztinnen,
3. Gruppenpraxen sowie
4. selbstständige Ambulatorien gemäß § 3a KAKuG,
soweit die Nutzung der ELGA-Komponenten (§ 24) zur Verarbeitung von ELGA-Gesundheitsdaten technisch möglich ist. Dies gilt jedoch nicht für freiberuflich tätige Ärzte und Ärztinnen, Gruppenpraxen sowie selbstständige Ambulatorien (§ 3a KAKuG) hinsichtlich der Verpflichtung gemäß § 13 Abs. 3 Z 4 und 6, wenn diese ELGA-Gesundheitsdiensteanbieter in keinem Vertragsverhältnis zu einem Träger der gesetzlichen Sozialversicherung gemäß § 341 oder § 343a ASVG stehen.
(4) Sofern nicht eine Verordnung gemäß § 28 Abs. 2 Z 4 einen späteren Zeitpunkt bestimmt, gilt ab 1. Jänner 2017 § 13 Abs. 3 für private Krankenanstalten gemäß § 1 Abs. 2 des Privatkrankenanstalten-Finanzierungsfondsgesetzes (PRIKRAF-G), BGBl. I Nr. 165/2004, soweit die Nutzung der ELGA-Komponenten (§ 24) zur Verarbeitung von ELGA-Gesundheitsdaten technisch möglich ist.
(5) Ab 1. Jänner 2017 haben nach Maßgabe der technischen Verfügbarkeit
1. Patientenverfügungen,
2. Vorsorgevollmachten sowie
3. die medizinischen Register (§ 2 Z 9 lit. e)
in ELGA zur Verfügung zu stehen.
(6) Sofern nicht eine Verordnung gemäß § 28 Abs. 2 Z 4 einen späteren Zeitpunkt bestimmt, gilt ab 1. Jänner 2022 § 13 Abs. 3 für
1. freiberuflich tätige Zahnärzte und Zahnärztinnen,
2. zahnärztliche Gruppenpraxen sowie
3. selbstständige Zahnambulatorien.
(7) Sofern nicht eine Verordnung gemäß § 28 Abs. 2 Z 4 einen späteren Zeitpunkt bestimmt, hat spätestens mit 1. Jänner 2015 als Standard gemäß § 28 Abs. 2 Z 1 lit. a bis c eine Suche in den Dokumentenmetadaten über das Dokumentenregister jedenfalls möglich zu sein.
(8) Sofern nicht eine Verordnung gemäß § 28 Abs. 2 Z 4 einen späteren Zeitpunkt bestimmt, ist spätestens mit 1. Jänner 2015 als Standard gemäß § 28 Abs. 2 Z 1 lit. a bis c entweder eine inhaltlich einheitliche Struktur und Gliederung, sodass Inhalte in medizinische Informationssysteme übernommen werden können, oder zumindest eine Vereinheitlichung der Gliederung der Inhalte, sicherzustellen.
(9) Sofern nicht eine Verordnung gemäß § 28 Abs. 2 Z 4 einen späteren Zeitpunkt bestimmt, hat spätestens mit 1. Jänner 2018 als Standard gemäß § 28 Abs. 2 Z 1 lit. a bis c eine Codierung der Informationen in ELGA nach einheitlichen Vorgaben zu erfolgen, die von den ELGA-Systempartnern unter Mitwirkung zuständiger gesetzlicher Interessenvertretungen erarbeitet werden.
(10) Sind Nachweis oder Prüfung von Identität, Rollen oder Integrität nach den Bestimmungen des 2. Abschnitts (gerichtete und ungerichtete Kommunikation) insbesondere mangels vorhandener technischer Infrastruktur nicht zumutbar, dürfen Gesundheitsdaten und genetische Daten nur übermittelt werden, wenn zumindest die Identitäten und maßgeblichen Rollen der an der Übermittlung beteiligten Gesundheitsdiensteanbieter gegenseitig durch
1. persönlichen Kontakt oder
2. telefonischen Kontakt oder
3. Vertragsbestimmungen oder
4. Abfrage elektronischer Verzeichnisse
a) der Österreichischen Ärztekammer oder
b) der Österreichischen Zahnärztekammer oder
c) des Österreichischen Hebammengremiums oder
d) der Österreichischen Apothekerkammer oder
e) des Dachverbandes oder
f) des für das Gesundheitswesen zuständigen Bundesministeriums
bestätigt sind.
(11) In den Fällen des Abs. 10 Z 1 und 2 sind vor der erstmaligen Übermittlung der Gesundheitsdaten und genetischen Daten zwischen den beteiligten Gesundheitsdiensteanbietern
1. Datum und Art der Kontaktaufnahme,
2. die vollständigen Namen und maßgeblichen Rollen der an der Übermittlung beteiligten Gesundheitsdiensteanbieter,
3. die Angaben zur Erreichbarkeit der Gesundheitsdiensteanbieter sowie
4. die Angaben über die an der Kontaktaufnahme beteiligten natürlichen Personen
zu dokumentieren. Die Angaben zur Erreichbarkeit sind laufend aktuell zu halten.
(12) Die Übermittlung von Gesundheitsdaten und genetischen Daten darf unter den Voraussetzungen des Abs. 10 Z 1 bis 3 ausnahmsweise auch per Fax erfolgen, wenn
1. die Faxanschlüsse (einschließlich Ausdruckmöglichkeiten zu Faxanschlüssen, die in EDV-Anlagen installiert sind) vor unbefugtem Zugang und Gebrauch geschützt sind,
2. die Rufnummern, insbesondere die verspeicherten Rufnummern, regelmäßig, insbesondere nach Veränderungen der technischen Einrichtung sowie nach der Neuinstallation von Faxgeräten nachweislich auf ihre Aktualität geprüft werden,
3. automatische Weiterleitungen, außer an die jeweiligen Gesundheitsdiensteanbieter selbst, deaktiviert sind,
4. die vom Gerät unterstützten Sicherheitsmechanismen genützt werden und
5. allenfalls verfügbare Fernwartungsfunktionen nur für die vereinbarte Dauer der Fernwartung aktiviert sind.
(12a) Die Übermittlung von Gesundheitsdaten und genetischen Daten darf gemäß Abs. 16 per Fax (Abs. 12) auch unter der Voraussetzung des Abs. 10 Z 4 erfolgen.
(12b) Die Übermittlung von Gesundheitsdaten und genetischen Daten darf gemäß Abs. 16 unter den Voraussetzungen des Abs. 10 ungeachtet des § 6 auch per E-Mail erfolgen. Abs. 12 gilt sinngemäß.
(13) Die erleichterten Bedingungen nach Abs. 10 und 12 bis 12b können nicht in Anspruch genommen werden, wenn die nach dem 2. Abschnitt erforderlichen Maßnahmen im Hinblick auf den Stand der Technik und die Implementierungskosten (Art. 32 Abs. 1 DSGVO) zumutbar sind.
(14) Bei der Übermittlung von Gesundheitsdaten und genetischen Daten gelten die erleichterten Bedingungen nach Abs. 10 oder 12 bis 12b für alle beteiligten Gesundheitsdiensteanbieter, wenn für zumindest einen der beteiligten Gesundheitsdiensteanbieter die jeweils erleichterten Bedingungen nach Abs. 10 oder 12 bis 12b gelten.
(14a) Die erleichterten Bedingungen nach Abs. 10 oder 12 bis 12b gelten gemäß Abs. 16 auch bei der Übermittlung von Gesundheitsdaten und genetischen Daten durch einen Gesundheitsdiensteanbieter an die betroffene oder eine von ihr bekannt gegebene Person.
(14b) Die Überprüfung der Identität der betroffenen Personen (§ 4 Abs. 3, § 18 Abs. 4) darf gemäß Abs. 16 anhand des Namens und der Sozialversicherungsnummer der betroffenen Person und gemäß § 19 Abs. 2 Z 1 erfolgen.
(14c) Im Fall eines gültigen Widerspruchs gegen die Teilnahme an ELGA gemäß § 15 Abs. 2 und § 16 Abs. 2 Z 2 dürfen Verordnungen (§ 13 Abs. 3) per Fax oder E-Mail an die von der betroffenen oder der von ihr ermächtigten Person bekannt gegebenen Apotheke übermittelt werden.
(15) Bis zum 30. Juni 2016 ist § 6 nicht auf die Übermittlung von Gesundheitsdaten und genetischen Daten per Funk zum Zwecke der Einsatzorganisation bei Rettungsdiensten anzuwenden.
(16) Die Abs. 12a und 12b sowie die Abs. 14a bis 14c gelten nur im Rahmen der Bekämpfung der Ausbreitung des Erregers SARS-CoV-2 (COVID-19).
(17) Verantwortliche (Art. 4 Z 7 DSGVO) für den Pilotbetrieb des Elektronischen Impfpasses eImpfpasses ist die ELGA GmbH. Die Verantwortlichkeit des für das Gesundheitswesen zuständigen Bundesministers für die eHealth-Anwendung Elektronischer Impfpass eImpfpass sowie eine allfällige Übertragung von Betrieb, Wartung und technischer Weiterentwicklung des Elektronischen Impfpasses eImpfpasses auf einen oder mehrere allfällige Auftragsverarbeiter (Art. 4 Z 8 DSGVO) gemäß § 24c Abs. 1 und 3a gelten ab Übergang in den Vollbetrieb (§ 28 Abs. 2a Z 2 lit. c). Die ELGA GmbH hat vor Übergang in den Vollbetrieb für eine reibungslose Portierung von Software (Anwendung) und Daten (Impfregister) zum für das Gesundheitswesen zuständigen Bundesminister zu sorgen. Allfällige Auftragsverarbeiter gemäß § 24c Abs. 1 und Abs. 3a sind im Zuge der Portierung bereits vor Übergang in den Vollbetrieb zur Datenverarbeitung gemäß § 24b ff GTelG 2012 berechtigt, soweit dies zur Sicherstellung eines reibungslosen Beginns des Vollbetriebs erforderlich ist. Die ELGA GmbH und der jeweilige am Piloten teilnehmende Gesundheitsdiensteanbieter sind gemeinsam für die Verarbeitung Verantwortliche im Sinne des Art. 26 DSGVO.
§ 28geändertAbs 2a Z 2
… 38 unveränderte Absätze
Verordnungsermächtigungen und Weisungsrechte
§ 28.
(1) Der für das Gesundheitswesen zuständige Bundesminister hat auf Grundlage dieses Gesetzes mit Verordnung festzulegen:
1. die Rollen von Gesundheitsdiensteanbietern, wobei die Anforderungen für die Festlegung zusätzlicher Rollen dem für das Gesundheitswesen zuständigen Bundesminister von der jeweiligen Registrierungsstelle unter Anschluss
a) einer Beschreibung von Art und Umfang der ausgeübten Tätigkeiten,
b) der Voraussetzungen, die für die Ausübung dieser Tätigkeiten zu erfüllen sind,
c) der Bezeichnung jener Rechtsgrundlage, aus der sich die Berechtigung zur Berufsausübung ergibt, sowie
d) der Stelle, die darüber entscheidet,
zu übermitteln sind,
2. nach Anhörung einer Bestätigungsstelle gemäß § 7 Signatur- und Vertrauensdienstegesetz – SVG, BGBl. I Nr. 50/2016, welche kryptographischen Algorithmen nach dem jeweiligen Stand der Netzwerksicherheit zur Verschlüsselung gemäß § 6 geeignet sind sowie
3. die näheren Modalitäten der Eintragung gemäß § 9, insbesondere die technischen Anforderungen, die Datenformate, die Periodizität der Aktualisierung der Daten und die einzuhaltenden Sicherheitsanforderungen.
(2) Der für das Gesundheitswesen zuständige Bundesminister hat auf Grundlage dieses Gesetzes mit Verordnung weiters für den 4. Abschnitt (ELGA) Folgendes festzulegen:
1. die Struktur, das Format sowie die Standards gemäß § 27 Abs. 7, 8 und 9, die für
a) Entlassungsbriefe gemäß § 2 Z 9 lit. a sublit. aa,
b) Laborbefunde gemäß § 2 Z 9 lit. a sublit. bb,
c) Befunde der bildgebenden Diagnostik einschließlich allfälliger Bilddaten gemäß § 2 Z 9 lit. a sublit. cc sowie
d) Medikationsdaten gemäß § 2 Z 9 lit. b
in ELGA zu verwenden sind, wobei international anerkannte Standards, die wirtschaftliche Vertretbarkeit sowie der Stand der technischen Möglichkeiten hinsichtlich des Detaillierungsgrades der Strukturen bei den jeweiligen ELGA-Gesundheitsdiensteanbietern zu berücksichtigen sind,
2. welche wechselwirkungsrelevanten, nicht verschreibungspflichtigen Arzneimittel gemäß § 2 Z 9 lit. b zu erfassen sind,
3. die Struktur und das Format, die für
a) folgende Befundarten (§ 2 Z 9 lit. a sublit. dd):
aa) Pathologiebefunde durch Fachärzte/Fachärztinnen für Pathologie und Krankenanstalten im Rahmen ambulanter Behandlungen,
bb) sonstige fachärztliche Befunde im Rahmen ambulanter Behandlungen (Spitalsambulanz, selbstständige Ambulatorien, niedergelassener Facharztbereich) und
cc) ambulante Pflegeberichte sowie
b) automationsunterstützt erstellte Angaben gemäß Art. 14 Abs. 2 lit. b sublit. i der Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung (§ 2 Z 9 lit. f)
in ELGA zu verwenden sind, wobei nach Abschluss eines einheitlichen Standardisierungsverfahrens unter Mitwirkung der ELGA-Systempartner sowie zuständiger gesetzlicher Interessenvertretungen Struktur und Format nach den Kriterien der Z 1 festzulegen sind,
4. den jeweiligen Zeitpunkt, ab dem die in Z 1 lit. a bis d sowie die in Z 3 lit. a und b genannten Daten in ELGA gemäß § 13 Abs. 2 und 3 in Verbindung mit Abs. 1 Z 1 zu speichern bzw. zu erheben sind,
5. Standards für die Suchfunktion gemäß § 13 Abs. 5, die zeitliche Verfügbarkeit, die Sicherheitsanforderungen, wie insbesondere Regelungen zum Risikomanagement, und den Zugriffsschutz der für ELGA verwendeten Komponenten, wobei sichergestellt sein muss, dass Wartungsarbeiten protokolliert werden und dabei entweder nur verschlüsselte Daten eingesehen werden können oder ein Vier-Augen-Prinzip sichergestellt ist,
6. Umfang und Detaillierungsgrad der Information sowie Mindestanforderungen für den Inhalt des Aushanges gemäß § 16 Abs. 4,
7. jene Stellen, gegenüber denen der Widerspruch gemäß § 15 Abs. 2 zu erfolgen hat so rechtzeitig, dass der Teilnahme jedenfalls schon vor Inbetriebnahme von ELGA widersprochen werden kann und bei denen ELGA-Teilnehmer/innen Unterstützung bei der Wahrnehmung ihrer Teilnehmer/innen/rechte erhalten,
8. die Einrichtung einer ELGA-Ombudsstelle gemäß § 17,
9. die Einrichtung von Terminals mit Portalfunktionalität (§ 23) sowie von Service-Centern durch die ELGA-Systempartner,
10. den Zeitpunkt, ab dem eine einheitliche Nomenklatur für ELGA-Gesundheitsdaten (§ 2 Z 9) verwendet werden muss,
11. den Auftragsverarbeiter (Art. 4 Z 8 DSGVO) des Berechtigungssystems gemäß § 21 bzw. den Betreiber des Protokollierungssystems gemäß § 22 sowie
12. den Beginn und das Ende von Testphasen für ELGA in Verbindung mit Z 1, 3 und 4 samt einer allfälligen, unabhängigen Evaluierung.
(2a) Der für das Gesundheitswesen zuständige Bundesminister hat auf Grundlage des 5. Abschnittes mit Verordnung Folgendes festzulegen:
1. für die eHealth-Anwendung „Primärversorgung“ (§ 24a)
a) die Standards für Inhalt, Struktur, Format und Terminologien gemäß § 27 Abs. 7, 8 und 9, die im Rahmen dieser Anwendung zu verwenden sind, wobei international anerkannte Standards, die wirtschaftliche Vertretbarkeit sowie der Stand der technischen Möglichkeiten hinsichtlich des Detaillierungsgrades der Strukturen bei den jeweiligen Gesundheitsdiensteanbietern zu berücksichtigen sind,
b) den jeweiligen Zeitpunkt, ab dem die technisch-organisatorischen Spezifikationen gemäß lit. a jedenfalls anzuwenden sind, sowie
c) sofern Auftragsverarbeiter (Art. 4 Z 8 DSGVO) der Gesundheitsdiensteanbieter gemäß § 24a als Verantwortliche (Art. 4 Z 7 DSGVO) tätig werden, die Details dieser Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO, sowie
2. für die eHealth-Anwendung „Elektronischer Impfpass“ „eImpfpass“ (§§ 24b ff)
a) die Standards für Inhalt, Struktur, Format und Terminologien, die für
… 19 unveränderte Absätze
aa) die gemäß § 24c Abs. 2 Z 2 im zentralen Impfregister zu speichernden Angaben und
bb) die in der zusammenfassenden Darstellung gemäß § 24d Abs. 2 Z 1 ersichtlichen Daten
im Rahmen dieser Anwendung zu verwenden sind, wobei international anerkannte Standards, die wirtschaftliche Vertretbarkeit sowie der Stand der technischen Möglichkeiten hinsichtlich des Detaillierungsgrades der Strukturen bei den jeweiligen Gesundheitsdiensteanbietern zu berücksichtigen sind,
b) den jeweiligen Zeitpunkt, ab dem die technisch-organisatorischen Spezifikationen gemäß lit. a jedenfalls anzuwenden sind,
c) den jeweiligen Zeitpunkt, ab dem die Angaben gemäß § 24c Abs. 2 Z 2 von den betreffenden Gesundheitsdiensteanbietern zu speichern, zu aktualisieren sowie zu stornieren sind und diese für die in § 24d Abs. 2 genannten Zwecke verarbeitet werden dürfen, wobei der Beginn funktional, regional, zeitlich und nach Rollen gestaffelt erfolgen kann,
d) allenfalls andere, weniger oder weitere gemäß § 24c Abs. 2 Z 1 zur Speicherung im zentralen Impfregister verpflichtete Gesundheitsdiensteanbieter und spezifische Zugriffsberechtigungen von Gesundheitsdiensteanbietern gemäß § 24f Abs. 4 sowie
e) allenfalls andere, weniger oder weitere gemäß § 24c Abs. 2 Z 2 im zentralen Impfregister zu speichernde Detaildatenarten,
f) allenfalls einen oder mehrere Auftragsverarbeiter (Art. 4 Z 8 DSGVO) gemäß § 24c Abs. 1 und 3a,
g) sofern Auftragsverarbeiter (Art. 4 Z 8 DSGVO) der Gesundheitsdiensteanbieter gemäß § 24c Abs. 3 in Verbindung mit Abs. 3a tätig werden, die Details dieser Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO für die Speicherung, Aktualisierung, Stornierung und Nachtragung der Angaben gemäß § 24c Abs. 2 Z 2 im zentralen Impfregister,
h) für die Pilotierung
aa) den Zeitpunkt, ab dem die Angaben gemäß § 24c Abs. 2 Z 2 von den am Piloten teilnehmenden Gesundheitsdiensteanbietern zu speichern sind und diese für die in § 24d Abs. 2 genannten Zwecke verarbeitet werden dürfen und
bb) den Zeitpunkt, ab dem die technisch-organisatorischen Spezifikationen gemäß lit. a. anzuwenden sind,
cc) die Verpflichtung der ELGA GmbH, die Portierung gemäß § 27 Abs. 17 direkt an allfällige Auftragsverarbeiter gemäß § 24c Abs. 1 und 3a vorzunehmen und dabei sicherzustellen, dass ein reibungsloser Wechsel des Auftragsverarbeiters für die am Piloten teilnehmenden Gesundheitsdiensteanbieter erfolgt,
i) den Zeitpunkt, ab dem die Selbsteintragung von Impfungen in das zentrale Impfregister gemäß § 24e Abs. 1 Z 2 möglich ist,
j) die Details der gemeinsamen Verantwortlichkeit gemäß § 24c Abs. 3a und allenfalls gemäß § 27 Abs. 17 letzter Satz sowie
k) sofern dies aus epidemiologischen Gründen erforderlich ist, andere als in § 24c Abs. 4a Z 1 genannte Impfungen, die nachzutragen sind sowie den Stichtag der Nachtragungspflicht.
(3) Vor Erlassung einer Verordnung gemäß Abs. 2 und Abs. 2a Z 1 hat jedenfalls eine Anhörung der Rechtsträger von Krankenanstalten gemäß § 3 Abs. 2b KAKuG, die über Landesgesundheitsfonds abgerechnet werden, der Allgemeinen Unfallversicherungsanstalt, soweit sie gemäß § 24 Abs. 3 Z 1 ASVG Krankenanstalten betreibt, der Österreichischen Ärztekammer, der Österreichischen Apothekerkammer, der Österreichischen Zahnärztekammer, der Wirtschaftskammer Österreich, des Dachverbandes, der Arbeitsgemeinschaft der Patientenanwälte sowie der Länder zu erfolgen.
(4) Der für das Gesundheitswesen zuständige Bundesminister hat nach Anhörung der jeweils zuständigen gesetzlichen Interessenvertretungen, unter Berücksichtigung des § 27 Abs. 13, mit Verordnung für bestimmte Gesundheitsdiensteanbieter jeweils den Zeitpunkt festzulegen, ab dem die Übermittlung von Gesundheitsdaten und genetischen Daten unter den erleichterten Bedingungen des § 27 Abs. 10 und 12 jedenfalls nicht mehr zulässig ist.
(5) Bei der Vollziehung der §§ 18, 20a und 20b ist der Dachverband an die Weisungen des für das Gesundheitswesen zuständigen Bundesministers gebunden.