Gesundheitstelematikgesetz 2012 (GTelG 2012)

1. Abschnitt

Allgemeine Bestimmungen

Gegenstand

§ 1. (1) Gegenstand dieses Bundesgesetzes ist die Verarbeitung (Art. 4 Z 2 der Verordnung [EU] 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG [Datenschutz-Grundverordnung], ABl. Nr. L 119 vom 04.05.2016 S. 1, in der Fassung der Berichtigung ABl. Nr. L 074 vom 04.03.2021 S. 35, [im Folgenden: DSGVO]) personenbezogener elektronischer Gesundheitsdaten und genetischer Daten (Art. 4 Z 15 und Z 13 DSGVO) durch die Gesundheitsdiensteanbieter gemäß § 2 Z 2.

(2) Ziele dieses Bundesgesetzes sind:

1. durch bundeseinheitliche Mindeststandards die Datensicherheit bei Verarbeitung elektronischer Gesundheitsdaten und genetischer Daten in der gerichteten und ungerichteten Kommunikation auszubauen und Datenmissbrauch zu verhindern (2. Abschnitt),

2. die für die Entwicklung und Steuerung der Gesundheitstelematik notwendigen Informationsgrundlagen zu schaffen und zu verbreitern (3. Abschnitt),

3. einheitliche Regelungen für die ungerichtete Kommunikation elektronischer Gesundheitsdaten und genetischer Daten, insbesondere in ELGA (§ 2 Z 6), unter besonderer Berücksichtigung der:

a) Teilnehmer/innen/rechte (§ 16), wie insbesondere der Selbstbestimmung der ELGA-Teilnehmer/innen,

b) Überprüfung der Identität von Teilnehmer/inne/n (§ 18),

c) Überprüfung der Identität von ELGA-Gesundheitsdiensteanbietern (§ 19),

d) individuellen und generellen Zugriffsberechtigungen (§ 21) sowie

e) Dokumentation und Nachvollziehbarkeit der Verarbeitung von ELGA-Gesundheitsdaten (§ 22)

zu schaffen (4. Abschnitt),

4. einheitliche Regelungen für die gerichtete oder ungerichtete Kommunikation elektronischer Gesundheitsdaten und genetischer Daten im Rahmen von spezifischen eHealth-Anwendungen zu schaffen (5. Abschnitt). sowie

5. einheitliche Regelungen für die ungerichtete Kommunikation elektronischer Gesundheitsdaten und genetischer Daten im Rahmen von spezifischen Anwendungen der grenzüberschreitenden Gesundheitsversorgung zu schaffen (6. Abschnitt).

(3) Sofern dieses Bundesgesetz keine besonderen Bestimmungen enthält, bleiben andere Rechtsvorschriften unberührt.

Begriffsbestimmungen

§ 2. Im Sinne dieses Bundesgesetzes bedeuten

1. „Gesundheitsdaten“: Gesundheitsdaten gemäß Art. 4 Z 15 DSGVO.

1a. „Genetische Daten“: Genetische Daten gemäß Art. 4 Z 13 DSGVO.

2. „Gesundheitsdiensteanbieter“: Verantwortlicher oder Auftragsverarbeiter (Art. 4 Z 7 und 8 DSGVO), die regelmäßig in einer Rolle nach der gemäß § 28 Abs. 1 Z 1 erlassenen Verordnung, oder in einem anderen Behandlungsmitgliedstaat gemäß Z 22a, Gesundheitsdaten oder genetische Daten in elektronischer Form zu folgenden Zwecken verarbeiten:

a) medizinische Behandlung oder Versorgung oder

b) pflegerische Betreuung oder

c) Verrechnung von Gesundheitsdienstleistungen oder

d) Versicherung von Gesundheitsrisiken oder

e) Wahrnehmung von Patient/inn/en/rechten. oder

f) Unterstützung der grenzüberschreitenden Gesundheitsversorgung.

3. „IT-Sicherheitskonzept“: Summe aller Datensicherheitsmaßnahmen eines Gesundheitsdiensteanbieters, die zum Schutz von personenbezogenen Daten, insbesondere von besonderen Kategorien personenbezogener Daten, notwendig und angemessen im Sinne des Art. 32 DSGVO sind.

4. „Registrierungsstellen“: jene Stellen, die die Verzeichnisse gemäß § 9 Abs. 3 Z 1 führen oder in § 9 Abs. 3 Z 2 und 3 angeführt sind.

5. „Rolle“: Klassifizierung von Gesundheitsdiensteanbietern nach der Art ihres Aufgabengebietes, ihrer Erwerbstätigkeit, ihres Betriebszweckes oder ihres Dienstleistungsangebotes.

6. „Elektronische Gesundheitsakte“ („ELGA“): ein Informationssystem, das allen berechtigten ELGA-Gesundheitsdiensteanbietern (Z 10) und ELGA-Teilnehmer/inne/n ELGA-Gesundheitsdaten (Z 9) in elektronischer Form orts- und zeitunabhängig (ungerichtete Kommunikation) zur Verfügung stellt.

7. „Datenspeicher“ („Repository“): technische Infrastruktur, die der Speicherung von ELGA-Gesundheitsdaten dient.

8. „elektronische Verweise auf ELGA-Gesundheitsdaten“: elektronische Informationen in ELGA zu Art und Speicherort von ELGA-Gesundheitsdaten.

9. „ELGA-Gesundheitsdaten“: Folgende personenbezogene Daten, die zur weiteren Behandlung, Betreuung oder Sicherung der Versorgungskontinuität von ELGA-Teilnehmer/inne/n wesentlich sein könnten und in ELGA verarbeitet werden dürfen:

a) medizinische Dokumente einschließlich allfälliger Bilddaten in standardisierter Form gemäß 28a Abs. 1 Z 1, die Gesundheitsdaten gemäß Z 1 oder genetische Daten gemäß Z 1a, mit Ausnahme von Daten, die ausschließlich die Verrechnung von Gesundheitsdienstleistungen oder gesundheitsbezogenen Versicherungsdienstleistungen betreffen, enthalten, wie:

aa) Entlassungsbriefe gemäß § 24 Abs. 2 des Krankenanstalten- und Kuranstaltengesetzes (KAKuG), BGBl. Nr. 1/1957,

bb) Laborbefunde,

cc) Befunde der bildgebenden Diagnostik sowie

dd) weitere medizinische Befunde in den Standards für Struktur und Format gemäß § 28a Abs. 1 Z 2 lit. a,

b) Medikationsdaten gemäß Z 1 betreffend verschreibungspflichtige sowie nicht verschreibungspflichtige Arzneimittel („eMedikation“),

c) Patientenverfügungen (§ 2 Abs. 1 des Patientenverfügungs-Gesetzes, BGBl. I Nr. 55/2006),

d) Vorsorgevollmachten (§ 260 des Allgemeinen bürgerlichen Gesetzbuches, JGS. Nr. 946/1811),

e) Daten aus den Registern gemäß den §§ 45 und 46 des Medizinproduktegesetzes 2021 (MPG 2021), BGBl. I Nr. 122/2021 sowie

(Anm.: lit. f aufgehoben durch Art. 1 Z 7, BGBl. I Nr. 71/2025)

g) Ergebnisberichte, die durch die Gesundheitsberatung 1450 erstattet werden und insbesondere folgende Daten enthalten:

aa) Informationen hinsichtlich der Kontaktaufnahme mit der Gesundheitsberatung 1450: Kommunikationsmittel, Datum und Uhrzeit der Kontaktaufnahme sowie Dauer des Kontakts zwischen Bürger/in und Gesundheitsberatung 1450,

bb) hinsichtlich des Bürgers oder der Bürgerin: Name, Informationen über eine allfällige Stellvertretung, Geburtsdatum, Geschlecht, allenfalls die Sozialversicherungsnummer,

cc) hinsichtlich der bei der Gesundheitsberatung 1450 tätigen Personen: Name des Diplomierten Gesundheits- und Krankenpflegers, der Diplomierten Gesundheits- und Krankenpflegerin und Name des oder der Angehörigen des ärztlichen Berufs,

dd) vom Bürger oder von der Bürgerin geteilte Informationen hinsichtlich seines oder ihres medizinischen Zustands, insbesondere betreffend Vorerkrankungen, Allergien, Behinderungen, eingenommene Medikation, aktuelle Beschwerden und

ee) Empfehlungen der Gesundheitsberatung 1450, die aufgrund und im Rahmen von berufsrechtlichen Befugnissen erteilt werden dürfen,

wobei Geheimnisse gemäß § 10 Abs. 4 KAKuG, Daten dieser Art, wenn sie von anderen Gesundheitsdiensteanbietern verwendet werden, sowie Aufzeichnungen über Ergebnisse gemäß § 71a Abs. 2 des Gentechnikgesetzes (GTG), BGBl. Nr. 510/1994, keinesfalls ELGA-Gesundheitsdaten sind.

10. „ELGA-Gesundheitsdiensteanbieter“ sind die folgenden Gesundheitsdiensteanbieter (Z 2):

a) Angehörige des ärztlichen Berufes gemäß § 3 des Ärztegesetzes 1998 (ÄrzteG 1998), BGBl. I Nr. 169/1998, auch bei Ausübung des ärztlichen Berufes in der Form einer Zusammenarbeit als selbstständig berufsbefugte Gruppenpraxis, ausgenommen:

aa) Ärzte und Ärztinnen, die Aufgaben des chef- und kontrollärztlichen Dienstes der Sozialversicherungsträger erfüllen,

bb) Ärzte und Ärztinnen, die die Grundlagen von Versicherungsverhältnissen sowie daraus resultierende Ansprüche zu beurteilen haben,

cc) Arbeitsmediziner/innen (§ 81 des ArbeitnehmerInnenschutzgesetzes [ASchG], BGBl. Nr. 450/1994),

dd) Amtsärzte und Amtsärztinnen (§ 41 ÄrzteG 1998),

ee) Ärzte und Ärztinnen, die an der Feststellung der Eignung zum Wehrdienst mitwirken, sowie

ff) Schulärzte und Schulärztinnen (§ 66 des Schulunterrichtsgesetzes, BGBl. Nr. 472/1986),

b) Angehörige des zahnärztlichen Berufes (§ 5 des Zahnärztegesetzes [ZÄG], BGBl. I Nr. 126/2005), auch bei Ausübung des zahnärztlichen Berufes in der Form einer Zusammenarbeit als selbstständig berufsbefugte Gruppenpraxis, ausgenommen:

aa) Dentisten und Dentistinnen (§ 60 ZÄG),

bb) Amtszahnärzte und Amtszahnärztinnen (§ 32 ZÄG),

cc) Zahnärzte und Zahnärztinnen, die Aufgaben des chef- und kontrollärztlichen Dienstes der Sozialversicherungsträger erfüllen sowie

dd) Zahnärzte und Zahnärztinnen, die die Grundlagen von Versicherungsverhältnissen sowie daraus resultierende Ansprüche zu beurteilen haben,

c) Apotheken gemäß § 1 des Apothekengesetzes, RGBl. Nr. 5/1907,

d) Krankenanstalten gemäß § 1 KAKuG, ausgenommen selbstständige Ambulatorien (§ 2 Abs. 1 Z 5 KAKuG) im Aufgabenbereich der Arbeitsmedizin,

e) Einrichtungen der Pflege, deren Betrieb einer Melde-, Anzeige- oder Bewilligungspflicht nach bundes- oder landesgesetzlichen Vorschriften unterliegt oder von einem Bundesland finanziert wird sowie der behördlichen Aufsicht, Kontrolle oder einem faktisch gleichzusetzenden Einfluss unterliegt, wobei Einrichtungen für Menschen mit Behinderungen und Einrichtungen der teilstationären Tagesbetreuung nicht umfasst sind,

f) Rettungsdienste, sofern deren Betrieb nach bundes- oder landesgesetzlichen Vorschriften zu bewilligen ist und der behördlichen Aufsicht oder Kontrolle unterliegt, von einem Bundesland beauftragt wurde oder es sich um qualifizierte Krankentransportdienste handelt sowie

g) „Gesundheitsberatung 1450“, die von den Bundesländern jeweils in ihrem Zuständigkeitsbereich und ihrer Verantwortung betriebene Einrichtung für die Beantwortung gesundheitsbezogener Fragen von Bürger/inne/n.

11. „ELGA-Systempartner“: der Bund, die Länder sowie der Dachverband der Sozialversicherungsträger (im Folgenden: Dachverband).

13. „Verweisregister“ („Registry“): ein Register, das im Rahmen von ELGA der Aufnahme von elektronischen Verweisen auf ELGA-Gesundheitsdaten (Z 9) dient.

(Anm.: Z 15 aufgehoben durch Art. 1 Z 16, BGBl. I Nr. 105/2024)

16. „ELGA-Anwendung“: die auf einen bestimmten Zweck gerichtete Verwendung von ELGA durch ELGA-Gesundheitsdiensteanbieter und ELGA-Teilnehmer/innen gemäß dem 4. Abschnitt.

17. „eHealth-Anwendung:“ die auf einen bestimmten Zweck gerichtete Verwendung von ELGA-Komponenten durch Bürger/innen und Gesundheitsdiensteanbieter gemäß dem 5. Abschnitt.

a) berufsrechtlich zur Durchführung von Impfungen berechtigt sind oder

b) die gemäß § 28b Abs. 2 Z 9 lit. a verordneten Antikörperbestimmungen auswerten dürfen.

19. „Selbsteintragung“: Die Eintragung von Impfungen sowie deren Berichtigung und Löschung im zentralen Impfregister gemäß § 24e Abs. 6.

20. „MyHealth@EU-Mitgliedstaat“: ein Mitgliedstaat der Europäischen Union oder des Europäischen Wirtschaftsraums, der an MyHealth@EU teilnimmt.

21. „Herkunftsmitgliedstaat“: ein MyHealth@EU-Mitgliedstaat, in dem natürliche Personen ihren Wohnsitz haben oder sozialversichert sind.

22. „Gesundheitsversorgung“: Gesundheitsversorgung gemäß Art. 3 lit. a der Patientenmobilitätsrichtlinie.

22a. „Behandlungsmitgliedstaat“: Behandlungsmitgliedstaat gemäß Art. 3 lit. d Patientenmobilitätsrichtlinie.

22b. „grenzüberschreitende Gesundheitsversorgung“: grenzüberschreitende Gesundheitsversorgung gemäß Art. 3 lit. e der Patientenmobilitätsrichtlinie.

23. „MyHealth@EU“: die grenzüberschreitende Infrastruktur zur Verarbeitung von in den Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt definierten Daten im Falle Österreichs als Herkunftsmitgliedstaat gemäß Z 21 sowie Daten aus anderen Mitgliedstaaten im Falle Österreichs als Behandlungsmitgliedstaat gemäß Z 22a für Zwecke der grenzüberschreitenden Gesundheitsversorgung.

24. „Nationale Kontaktstelle für digitale Gesundheit“: ein organisatorisches und technisches Zugangstor zur Verarbeitung von in den Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt definierten Daten im Falle Österreichs als Herkunftsmitgliedstaat gemäß Z 21 sowie Daten aus anderen Mitgliedstaaten im Falle Österreichs als Behandlungsmitgliedstaat gemäß Z 22a für Zwecke der grenzüberschreitenden Gesundheitsversorgung.

25. „Elektronische Verschreibung“: Verschreibung für ein Arzneimittel im Sinne von Art. 3 lit. k der Patientenmobilitätsrichtlinie.

26. „Elektronische Abgabe“: Informationen über die Abgabe eines Arzneimittels an eine natürliche Person durch eine Apotheke auf der Grundlage einer elektronischen Verschreibung.

27. „EU-Rezept“: grenzüberschreitende Gesundheitsanwendung, die sowohl in Österreich ausgestellte, elektronische Verschreibungen, die in Apotheken anderer MyHealth@EU-Mitgliedstaaten eingelöst werden (Österreich als Herkunftsmitgliedstaat), als auch in anderen MyHealth@EU-Mitgliedstaaten ausgestellte, elektronische Verschreibungen für natürliche Personen des jeweiligen MyHealth@EU-Mitgliedstaats, die in österreichischen Apotheken gemäß § 1 des Apothekengesetzes (im Folgenden Apotheken) eingelöst werden (Österreich als Behandlungsmitgliedstaat) umfasst.

28. „EU-Patientenkurzakte“: grenzüberschreitende Gesundheitsanwendung, die wichtige klinische Fakten in Bezug auf eine bestimmte natürliche Person enthält und für eine sichere und effiziente Gesundheitsversorgung dieser Person unerlässlich ist, ausschließlich im Falle Österreichs als Behandlungsmitgliedstaat.

2. Abschnitt

Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten (Art. 4 Z 15 und Z 13 DSGVO)

Grundsätze der Datensicherheit

§ 3. (1) Dieser Abschnitt gilt für alle Formen der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten (gerichtete und ungerichtete Kommunikation) durch Gesundheitsdiensteanbieter (§ 2 Z 2).

(2) Abs. 4 Z 3 bis 6, § 4 Abs. 4 und Abs. 5 Z 2 sowie die §§ 5 bis 7 sind auf Verarbeitungen nach diesem Abschnitt innerhalb eines Gesundheitsdiensteanbieters oder einer Unternehmensgruppe (Art. 4 Z 19 DSGVO) von Gesundheitsdiensteanbietern nicht anzuwenden, wenn durch effektive und dem Stand der Technik entsprechende Datensicherheits- und Kontrollmaßnahmen unbefugte Dritte vom Zugriff auf Gesundheitsdaten und genetische Daten, und somit deren Kenntnisnahme ausgeschlossen werden können.

(3) Die Zulässigkeit, Gesundheitsdaten oder genetische Daten zu verarbeiten, ist mittels Rollen abzubilden. Gesundheitsdiensteanbieter haben technisch zu gewährleisten, dass es keine Verarbeitung von Gesundheitsdaten oder genetischen Daten außerhalb der zulässigen Rollen gibt.

(4) Gesundheitsdiensteanbieter dürfen Gesundheitsdaten und genetische Daten nur dann übermitteln, wenn

1. die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

2. die Identität (§ 4) jener Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, nachgewiesen ist,

3. die Identität (§ 4) der an der Übermittlung beteiligten Gesundheitsdiensteanbieter nachgewiesen ist,

4. die Rollen (§ 5) der an der Übermittlung beteiligten Gesundheitsdiensteanbieter nachgewiesen sind,

5. die Vertraulichkeit (§ 6) der übermittelten Gesundheitsdaten und genetischen Daten gewährleistet ist sowie

6. die Integrität (§ 7) der übermittelten Gesundheitsdaten und genetischen Daten gewährleistet ist.

Identität

(2) Bei ungerichteter Kommunikation haben darüber hinaus Nachweis und Prüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) von Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, zu erfolgen.

(3) Der Patient/inn/enindex gemäß § 18 kann zur Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) von Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, auch außerhalb von ELGA (4. Abschnitt) verwendet werden.

(4) Nachweis und Prüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) von Gesundheitsdiensteanbietern haben

1. durch Verwendung elektronischer Signaturen, die auf qualifizierte Zertifikate rückführbar sein müssen, sowie bereichsspezifische Personenkennzeichen (§ 9 E-GovG) oder

2. durch elektronischen Abgleich mit dem eHealth-Verzeichnisdienst (§ 9) oder

3. durch elektronischen Abgleich mit dem Gesundheitsdiensteanbieterindex (§ 19)

zu erfolgen.

(5) Aus Gründen der Patient/inn/en/sicherheit ist die eindeutige Identität

1. von Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, sowie

2. von Gesundheitsdiensteanbietern,

mit Hilfe der eindeutigen elektronischen Kennzeichen gemäß § 8 E-GovG zu speichern.

(6) Zur Erleichterung der Identifikation im Tätigkeitsbereich Gesundheit (§ 9 Abs. 1 E-GovG) sind die §§ 14 und 15 E-GovG über die Verwendung der Funktion E-ID im privaten Bereich nicht anzuwenden. Stattdessen sind die Bestimmungen des E-GovG, die für Verantwortliche (Art. 4 Z 7 DSGVO) des öffentlichen Bereichs gelten, wie insbesondere die §§ 8 bis 13 E-GovG, sinngemäß anzuwenden. Dadurch steht den Gesundheitsdiensteanbietern insbesondere das Recht zu, die Ausstattung ihrer Datenverarbeitungen mit bPK gemäß § 10 Abs. 2 E-GovG von der Stammzahlenregisterbehörde zu verlangen.

Identität von Behörden des Öffentlichen Gesundheitsdienstes

§ 4a. (1) Die Bezirksverwaltungsbehörden, die Landeshauptleute und der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin haben die Zugriffsberechtigungen auf eHealth-Anwendungen (§ 2 Z 17) für die einzelnen Bediensteten der jeweiligen Behörde individuell nach dem jeweiligen Aufgabenbereich festzulegen und zu dokumentieren. Zugriffsberechtigte sind von der Ausübung ihrer Zugriffsberechtigung auszuschließen, wenn sie diese zur Erfüllung der ihnen übertragenen Aufgaben nicht mehr benötigen oder sie die Daten nicht entsprechend ihrer Zweckbestimmung verarbeiten.

(2) Die in Abs. 1 genannten Behörden haben durch organisatorische und technische Vorkehrungen (§ 8) sicherzustellen, dass ein Zugriff auf eHealth-Anwendungen, insbesondere der Zutritt zu Räumen, in denen sich eine Zugriffsmöglichkeit auf eHealth-Anwendungen befindet, nur den mit Gesundheitsaufgaben betrauten Bediensteten der Behörde möglich ist. Ist es erforderlich, dass in Räumen mit einer Zugriffsmöglichkeit auf eHealth-Anwendungen Parteienverkehr stattfindet, ist jedenfalls sicherzustellen, dass eine Einsichtnahme in die Daten der eHealth-Anwendungen durch Außenstehende nicht möglich ist.

(3) Fallen für eine in Abs. 1 genannte Behörde die Voraussetzungen für die verwaltungsübergreifende Zusammenarbeit im Rahmen von eHealth-Anwendungen weg, ist sicherzustellen, dass weitere Zugriffe auf eHealth-Anwendungen durch diese Behörde ausgeschlossen sind.

Rolle

§ 5. (1) Nachweis und Prüfung der Rolle von Gesundheitsdiensteanbietern haben gemäß § 4 Abs. 4 zu erfolgen.

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat gemäß § 28 Abs. 1 Z 1 mit Verordnung diese Rollen festzulegen.

Vertraulichkeit

§ 6. (1) Die Vertraulichkeit bei der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten ist dadurch sicherzustellen, dass entweder

1. die elektronische Übermittlung von Gesundheitsdaten und genetischen Daten über Netzwerke durchgeführt wird, die entsprechend dem Stand der Technik in der Netzwerksicherheit gegenüber unbefugten Zugriffen abgesichert sind, indem sie zumindest

a) die Absicherung der Übermittlung von Daten durch kryptographische oder bauliche Maßnahmen,

b) den Netzzugang ausschließlich für eine geschlossene oder abgrenzbare Benutzer/innen/gruppe sowie

c) die Authentifizierung der Benutzer/innen

vorsehen, oder

2. Protokolle und Verfahren verwendet werden, die entsprechend dem Stand der Technik die vollständige Verschlüsselung der Gesundheitsdaten und genetischen Daten bewirken.

(2) Bei der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten gemäß Abs. 1 Z 2 dürfen die allenfalls von der Verschlüsselung ausgenommenen Informationen weder Hinweise auf die betroffenen Personen (Art. 4 Z 1 DSGVO), deren Gesundheitsdaten oder genetische Daten übermittelt werden, noch auf allfällige Authentifizierungsdaten enthalten.

(3) Es ist sicherzustellen, dass die Speicherung von Gesundheitsdaten und genetischen Daten in Datenspeichern, die einem Verantwortlichen (Art. 4 Z 7 DSGVO) bedarfsorientiert von einem Auftragsverarbeiter (Art. 4 Z 8 DSGVO) bereitgestellt werden („Cloud Computing“), nur dann erfolgt, wenn die Gesundheitsdaten und genetischen Daten mit einem dem aktuellen Stand der Technik entsprechenden Verfahren (Abs. 1 Z 2) verschlüsselt worden sind.

Integrität

(2) Abs. 1 ist nicht auf die elektronische Übermittlung von Gesundheitsdaten und genetischen Daten zwischen Gesundheitsdiensteanbietern anzuwenden, wenn hiezu ein entsprechend dem Stand der Technik abgesichertes Netzwerk gemäß § 6 Abs. 1 Z 1 verwendet wird und der Zugang zu diesem Netzwerk ausschließlich für im Vorhinein bekannte Gesundheitsdiensteanbietern möglich ist.

IT-Sicherheitskonzept

§ 8. (1) Gesundheitsdiensteanbieter haben auf Basis eines IT-Sicherheitskonzeptes alle gemäß Art. 32 DSGVO und den Bestimmungen dieses Bundesgesetzes getroffenen Datensicherheitsmaßnahmen zu dokumentieren. Aus dieser Dokumentation muss hervorgehen, dass sowohl der Zugriff als auch die Übermittlung der Daten ordnungsgemäß erfolgt und die Daten Unbefugten nicht zugänglich sind.

(2) Die Rechtsträger von Krankenanstalten sowie die Aufsichts- oder Kontrollbehörden von Einrichtungen der Pflege, die Österreichische Ärztekammer, die Österreichische Zahnärztekammer, das Hebammengremium, die Österreichische Apothekerkammer, die Wirtschaftskammer Österreich sowie der Dachverband können standardisierte Formulare und Ausfüllhilfen für die Dokumentation gemäß Abs. 1 zur Unterstützung für jene Gesundheitsdiensteanbieter zur Verfügung stellen, für die sie als Registrierungsstelle gemäß § 2 Z 4 fungieren.

(3) Die Dokumentation gemäß Abs. 1 ist dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin auf dessen oder deren Verlangen zu übermitteln.

Austrian Health CERT

§ 8a. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat zur Gewährleistung der Sicherheit von Netz- und Informationssystemen im Rahmen dieses Gesetzes ein sektorenspezifisches Computer-Notfallteam für Gesundheitsdiensteanbieter, die Betreiber wesentlicher Dienste gemäß § 8 der Netz- und Informationssystemsicherheitsverordnung (NISV), BGBl. II Nr. 215/2019, sind („Austrian Health CERT“), gemäß § 14 des Netz- und Informationssicherheitsgesetzes (NISG), BGBl. I Nr. 111/2018, einzurichten und zu betreiben. Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin kann sich für die Wahrnehmung dieser Aufgabe des Austrian Health CERT eines Dienstleisters bedienen.

(2) Das Austrian Health CERT hat die Aufgaben gemäß § 14 Abs. 2 NISG gegenüber Gesundheitsdiensteanbietern, die Betreiber wesentlicher Dienste gemäß § 8 NISV sind, wahrzunehmen und dabei die Anforderungen gemäß § 15 Abs. 1 NISG mit Ausnahme von Z 3 zu erfüllen.

(3) Gesundheitsdiensteanbieter, die Betreiber wesentlicher Dienste gemäß § 8 NISV sind, haben Meldungen gemäß § 19 NISG spätestens ab 1. April 2024 an das Austrian Health CERT zu erbringen.

(4) Der Bundeskanzler oder die Bundeskanzlerin hat im Einvernehmen mit dem Bundesminister oder der Bundesministerin für Inneres festzustellen, dass das Austrian Health CERT die Anforderungen gemäß § 15 Abs. 1 NISG erfüllt und geeignet ist, die Aufgaben gemäß § 14 Abs. 2 NISG wahrzunehmen.

3. Abschnitt

Informationsmanagement

eHealth-Verzeichnisdienst (eHVD)

§ 9. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat zur

1. Unterstützung der zulässigen Verarbeitung von Gesundheitsdaten und genetischen Daten in elektronischer Form,

2. Verbesserung der Information über gesundheitsbezogene Dienste sowie

3. Unterstützung von Planungsaktivitäten und für die Berichterstattung (§ 11)

einen eHealth-Verzeichnisdienst (eHVD) zu betreiben.

(2) Gesundheitsdiensteanbieter sind von den Registrierungsstellen in den eHVD einzutragen. Sind Gesundheitsdiensteanbieter in eine Primärversorgungseinheit gemäß Primärversorgungsgesetz (PrimVG), BGBl. I Nr. 131/2017, eingebunden, ist auch diese als „Gesundheitsdiensteanbieter“ von den Registrierungsstellen in den eHVD einzutragen.

(3) Die Eintragung der in § 10 Abs. 1 genannten Daten in den eHVD und deren Austragung aus dem eHVD erfolgt:

1. durch laufende elektronische Übermittlung aus:

a) der Ärzteliste gemäß § 27 ÄrzteG 1998,

b) der Zahnärzteliste gemäß § 11 ZÄG,

c) dem Hebammenregister gemäß § 42 des Hebammengesetzes, BGBl. Nr. 310/1994,

d) dem Apothekenverzeichnis gemäß § 2 Abs. 4 Z 12 des Apothekerkammergesetzes 2001, BGBl. I Nr. 111/2001,

e) der Liste der Gesundheitspsychologen gemäß § 17 des Psychologengesetzes 2013, BGBl. I Nr. 182/2013, sowie der Liste der Klinischen Psychologen gemäß § 26 des Psychologengesetzes 2013,

f) der Psychotherapeutenliste gemäß § 17 des Psychotherapiegesetzes, BGBl. Nr. 361/1990,

g) der Musiktherapeutenliste gemäß § 19 des Musiktherapiegesetzes, BGBl. I Nr. 93/2008,

h) der Kardiotechnikerliste gemäß § 19 des Kardiotechnikergesetzes, BGBl. I Nr. 96/1998, sowie

i) dem Gesundheitsberuferegister gemäß § 6 des Gesundheitsberuferegister-Gesetzes (GBRG), BGBl. I Nr. 87/2016, oder

2. aufgrund elektronischer Meldung

a) eines bereits in den eHVD eingetragenen Gesundheitsdiensteanbieters über ausschließlich eigene untergeordnete Organisationseinheiten,

b) der Landeshauptleute über die in ihrem Bundesland bzw. der Bezirksverwaltungsbehörden über die in ihrem Bezirk

aa) erteilten, geänderten und aufgehobenen Bewilligungen für Gesundheitsdiensteanbieter,

bb) sonst angezeigten Tätigkeiten von Gesundheitsdiensteanbietern,

cc) eingerichteten Rettungsdienste, oder

dd) eingerichtete Gesundheitsberatung 1450,

c) des Dachverbandes über die in ihm zusammengeschlossenen Versicherungsträger sowie

d) der Rechtsträger von Krankenfürsorgeeinrichtungen oder

3. durch den für das Gesundheitswesen zuständigen Bundesminister oder die zuständige Bundesministerin für alle übrigen Gesundheitsdiensteanbieter.

(4) Die Erleichterung der Meldung gemäß Abs. 3 Z 2 lit. a darf von Gesundheitsdiensteanbietern, die keine natürlichen Personen sind, nur dann in Anspruch genommen werden, wenn sie ihre Organisationsstruktur intern abspeichern und gewährleistet ist, dass

1. diese Organisationsstruktur in jeweils aktueller Form vorliegt,

2. für alle erzeugten Gesundheitsdaten und genetischen Daten eine natürliche Person verantwortlich gemacht werden kann,

3. die gespeicherten Organisationsdaten nachträglich nicht spurlos verändert werden können und

4. der Zeitpunkt der Speicherung der Organisationsdaten nachweisbar bleibt und ebenfalls nachträglich nicht spurlos verändert werden kann.

(5) Die Registrierungsstellen haben die technischen und organisatorischen Voraussetzungen für

1. die Eintragung gemäß Abs. 3 sowie

2. die Klärung von Zweifelsfällen im Hinblick auf die Datenqualität

zu schaffen.

Daten des eHealth-Verzeichnisdienstes

§ 10. (1) In den eHVD sind folgende Daten aufzunehmen:

1. Name sowie akademische Grade oder Bezeichnung des Gesundheitsdiensteanbieters,

2. die Bezeichnung des Rechtsträgers, wenn der Gesundheitsdiensteanbieter keine natürliche Person ist,

3. Identifikatoren des Gesundheitsdiensteanbieters einschließlich der eindeutigen elektronischen Kennzeichen gemäß § 8 E-GovG,

4. Angaben zur beruflichen, postalischen und elektronischen Erreichbarkeit des Gesundheitsdiensteanbieters,

5. die Rolle(n) sowie besondere Befugnisse oder Eigenschaften des Gesundheitsdiensteanbieters,

6. die eindeutige Kennung (OID) und den symbolischen Bezeichner,

7. die Staatsangehörigkeit des Gesundheitsdiensteanbieters,

8. die zur Verschlüsselung von Gesundheitsdaten und genetischen Daten erforderlichen Angaben oder die elektronische Adresse, an der diese Angaben aufgefunden werden können,

9. die Angabe, ob es sich um einen ELGA-Gesundheitsdiensteanbieter handelt,

10. Angaben zur geografischen Lokalisierung des Gesundheitsdiensteanbieters,

11. Angaben über das Leistungsangebot des Gesundheitsdiensteanbieters,

12. die Bezeichnung jener Registrierungsstelle gemäß § 2 Z 4, von der die Daten in den eHVD eingebracht wurden, und gegebenenfalls die Bezeichnung der Herkunftsquelle der Daten sowie

13. das Datum der Aufnahme der Daten in den eHVD sowie das Datum der letzten Berichtigung.

(2) Abweichend von Abs. 1 sind Angaben über die elektronische Erreichbarkeit (Abs. 1 Z 4) und die Angaben zu Abs. 1 Z 8 und 11 nur insoweit in den eHVD aufzunehmen, als sie von den Registrierungsstellen übermittelt werden.

(3) Die Angaben über besondere Befugnisse oder Eigenschaften gemäß Abs. 1 Z 5 und zu Abs. 1 Z 6, 9, 10, 12 und 13 sind von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin zu ergänzen.

(4) Für die eindeutige elektronische Identifikation von Gesundheitsdiensteanbietern (Abs. 1 Z 3), die natürliche Personen sind, haben Registrierungsstellen bereichsspezifische Personenkennzeichen zu verwenden. Werden die bereichsspezifischen Personenkennzeichen von den Registrierungsstellen nicht zur Verfügung gestellt, sind dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin zusätzlich zu den Angaben gemäß Abs. 1 das Geburtsdatum, das Geschlecht sowie der Geburtsort des betreffenden Gesundheitsdiensteanbieters, falls letzterer verfügbar und zu Identifikationszwecken erforderlich ist, zu übermitteln.

(5) Die eindeutige Kennung gemäß Abs. 1 Z 6 (OID und symbolischer Bezeichner) ist anhand der ÖNORM A 2642, „Informationstechnologie – Kommunikation offener Systeme, Verfahren zur Registrierung von Informationsobjekten in Österreich“ vom 1. Jänner 2011 aus der Kennung (OID) des für das Gesundheitswesen zuständigen Bundesministeriums abzuleiten. Die im Abs. 1 Z 1 bis 7, 12 und 13 bezeichneten Daten dürfen von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin einem gegebenenfalls eingerichteten System für die Vergabe und Verwaltung von Objektidentifikatoren übermittelt werden.

(6) Die im eHVD enthaltenen Daten sind mit Ausnahme der Identifikatoren und der Staatsangehörigkeit des Gesundheitsdiensteanbieters (Abs. 1 Z 3 und Z 7) und jener Daten, die aufgrund bestehender Rechtsvorschriften von einer Veröffentlichung ausgenommen sind, öffentlich zugänglich und – soweit erforderlich – auch in englischer Sprache zur Verfügung zu stellen.

(7) Der für das Gesundheitswesen zuständige Bundesminister oder der zuständigen Bundesministerin darf die im eHVD gemäß Abs. 1 Z 1 bis 6, 8, 12 und 13 gespeicherten Daten Gesundheitsdiensteanbietern oder deren Auftragsverarbeitern (Art. 4 Z 8 DSGVO) ^(Anm. 1) im Umfang des nachzuweisenden Bedarfs übermitteln. Die Übermittlungsempfänger dürfen die Daten ausschließlich für Zwecke gemäß § 9 Abs. 1 Z 1 verarbeiten.

(___________________

Anm. 1: Art. 69 Z 32 der Novelle BGBl. I Nr. 37/2018 lautet: „In § 10 Abs. 7 wird das Wort „Dienstleister“ durch die Wortfolge „Auftragsverarbeitern (Art. 4 Z 8 DSGVO)“ und ... ersetzt.“. Richtig wäre: „In § 10 Abs. 7 wird das Wort „Dienstleistern“ durch die Wortfolge „Auftragsverarbeitern (Art. 4 Z 8 DSGVO)“ und ... ersetzt.““, vgl. Parlamentarische Materialien – Textgegenüberstellung S. 207)

Monitoring

§ 11. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin kann zur Evaluierung der Nutzung und der Auswirkungen von Informations- und Kommunikationstechnologien im Gesundheitswesen – unter Bedachtnahme auf die Anforderungen des europäischen Umfeldes – ein bundesweites Berichtswesen einrichten, das auf der Basis standardisierter Vorgaben Auskünfte insbesondere über

1. die Verfügbarkeit von technischer Infrastruktur einschließlich der Kommunikationsinfrastruktur,

2. die Art und den Umfang der eingesetzten gesundheitstelematischen Anwendungen und Verfahren sowie

3. die ökonomischen Rahmenbedingungen der Gesundheitstelematik

ermöglicht.

(2) Die Art und der Umfang der damit verbundenen Erhebungen können aufgrund rollenspezifischer Besonderheiten mit unterschiedlichem Detaillierungsgrad festgelegt werden.

(3) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat den Bericht gemäß Abs. 1 dem Nationalrat vorzulegen und ist berechtigt, die Ergebnisse dieses Berichts auch für die Berichterstattung an Einrichtungen der Europäischen Union oder an andere internationale Organisationen zu verwenden.

(4) Die Gesundheitsdiensteanbieter sowie alle sonstigen Stellen, die über Informationen über den Einsatz von Informations- und Kommunikationstechnologien im Gesundheitswesen verfügen, sind verpflichtet, zur Erstellung eines Berichts gemäß Abs. 1 die erforderlichen Auskünfte zu erteilen oder die verlangten Unterlagen zur Verfügung zu stellen.

Öffentliches Gesundheitsportal Österreichs

§ 12a. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat zur Bereitstellung qualitätsgesicherter gesundheitsbezogener Informationen für die Bevölkerung ein öffentlich zugängliches Gesundheitsportal zu betreiben.

(2) Dieses Gesundheitsportal hat den Zugang zu

1. ELGA,

2. dem Elektronischen Impfpass (eImpfpass),

(Anm.: Z 4 aufgehoben durch Art. 1 Z 33, BGBl. I Nr. 105/2024)

4a. Anwendungen der grenzüberschreitenden Gesundheitsversorgung (6. Abschnitt) sowie

5. dem eEltern-Kind-Pass-Portal gemäß § 8 Abs. 1 Z 1 des eEltern-Kind-Pass-Gesetzes (EKPG), BGBl. I Nr. 82/2023,

anzubieten und die Überprüfung der Identität der betroffenen Personen gemäß § 4 Abs. 3 in Verbindung mit § 18 Abs. 4 Z 2 zu gewährleisten.

(3) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin kann das Gesundheitsportal auch für die eindeutige Identifizierung von Gesundheitsdiensteanbietern gemäß § 12b Abs. 2 und die eindeutige Identifizierung von betroffenen Personen gemäß § 18 Abs. 4 Z 2 zur Erbringung von telemedizinischen Diensten zur Verfügung stellen.

Plattform für Gesundheitsdiensteanbieter

§ 12b. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat eine Plattform zur Verfügung zu stellen, die es Gesundheitsdiensteanbietern ermöglicht, im Rahmen ihrer gesetzlichen Verpflichtungen personenbezogene Daten

1. im zentralen Impfregister (§ 24c),

2. im Sterbeverfügungsregister (§ 9 des Sterbeverfügungsgesetzes [StVfG], BGBl. I Nr. 242/2021),

3. bei der Gesundheitsvorsorge für die schulbesuchende Jugend (§ 66a des Schulunterrichtsgesetzes [SchUG], BGBl. Nr. 472/1986),

4. im Elektronischen Eltern-Kind-Pass (§ 4 Abs. 2 und 3 EKPG) sowie

5. im Rahmen der grenzüberschreitenden Gesundheitsversorgung (6. Abschnitt)

zu verarbeiten.

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat sicherzustellen, dass Nachweis und Prüfung

1. der eindeutigen Identität der Gesundheitsdiensteanbieter gemäß § 4 Abs. 4 Z 1 und

2. der Rolle gemäß § 5 Abs. 1 in Verbindung mit § 4 Abs. 4 Z 2

erfolgt.

(3) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin kann mittels Verordnung gemäß § 28 Abs. 1 Z 4 weitere Anwendungen vorsehen, die die Datenverarbeitung gemäß Abs. 1 ermöglichen.

4. Abschnitt

Elektronische Gesundheitsakte (ELGA)

Allgemeine Bestimmungen zur Elektronischen Gesundheitsakte

§ 13. (1) Die Verwendung der Elektronischen Gesundheitsakte erfüllt ein erhebliches öffentliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j der DSGVO. Dieses erhebliche öffentliche Interesse an der Nutzung von ELGA ergibt sich insbesondere aus:

1. einer verbesserten, schnelleren Verfügbarkeit medizinischer Informationen, die zu einer Qualitätssteigerung diagnostischer und therapeutischer Entscheidungen sowie der Behandlung und Betreuung führt,

2. der Steigerung der Prozess- und Ergebnisqualität von Gesundheitsdienstleistungen,

3. dem Ausbau integrierter Versorgung und eines sektorenübergreifenden Nahtstellenmanagements im öffentlichen Gesundheitswesen,

4. der Aufrechterhaltung einer qualitativ hochwertigen, ausgewogenen und allgemein zugänglichen Gesundheitsversorgung,

5. der Stärkung der Patient/inn/en/rechte, insbesondere der Informationsrechte und des Rechtsschutzes bei der Verarbeitung von personenbezogenen Daten sowie

6. einem Beitrag zur Wahrung des finanziellen Gleichgewichts des Systems der sozialen Sicherheit.

(3) Zur Sicherstellung der in Abs. 1 genannten Ziele sind – mit Ausnahme von Pflegesituationsberichten (Z 6) – in ELGA ab den in § 27 Abs. 2 bis 6 und 18 genannten Zeitpunkten oder ab dem Zeitpunkt gemäß § 28a Abs. 1 Z 3, spätestens aber ab 1. Jänner 2026 zu speichern:

1. Entlassungsbriefe (§ 2 Z 9 lit. a sublit. aa) durch Krankenanstalten (§ 2 Z 10 lit. d),

2. Laborbefunde (§ 2 Z 9 lit. a sublit. bb) durch Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a), sofern diese Fachärzte und Fachärztinnen der Sonderfächer Medizinisch-Chemische Labordiagnostik oder Klinische Hygiene und Mikrobiologie sind, sowie durch Krankenanstalten (§ 2 Z 10 lit. d),

3. Befunde der bildgebenden Diagnostik durch Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a), sofern diese Fachärzte und Fachärztinnen des Sonderfaches Radiologie sind, sowie durch Krankenanstalten (§ 2 Z 10 lit. d),

4. Medikationsdaten (§ 2 Z 9 lit. b), insoweit sich diese auf Handelsname bzw. Wirkstoff beziehen, durch Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a) bei der Verordnung,

5. Medikationsdaten (§ 2 Z 9 lit. b), insoweit sich diese auf Handelsname bzw. Wirkstoff beziehen, durch Apotheken (§ 2 Z 10 lit. c) und hausapothekenführende Ärzte und Ärztinnen bei der Abgabe,

6. Pflegesituationsberichte (§ 2 Z 9 lit. a sublit. dd) durch Einrichtungen der Pflege (§ 2 Z 10 lit. e), wobei diese ab 1. Jänner 2027 verpflichtend in ELGA zu speichern sind,

(3a) Über Abs. 3 hinaus dürfen zur Sicherstellung der in Abs. 1 genannten Ziele Ergebnisberichte (§ 2 Z 9 lit. g) durch die Gesundheitsberatung 1450 (§ 2 Z 10 lit. f) unter Einhaltung des § 21 Abs. 2a gespeichert werden.

(4) Allfällige Bilddaten (§ 2 Z 9 lit. a) sind nur dann und nur in jenem Umfang in ELGA zu speichern, als dies der ELGA-Gesundheitsdiensteanbieter für erforderlich erachtet.

(5) Die ELGA-Systempartner haben unter Berücksichtigung der gebotenen Sicherheitsanforderungen ELGA so zur Verfügung zu stellen, dass die Anbindung von ELGA bei den ELGA-Teilnehmer/inne/n und den ELGA-Gesundheitsdiensteanbietern benutzer- und anwenderfreundlich, insbesondere durch einfach zu handhabende, effektive und für medizinische Kriterien optimierte Such- und Filterfunktionen, möglich ist.

(6) Die ELGA-Systempartner und die ELGA-Gesundheitsdiensteanbieter, gegebenenfalls vertreten durch die jeweilige gesetzliche Interessenvertretung, haben nach jeweiliger Zuständigkeit, unter Beachtung der wirtschaftlichen Vertretbarkeit sowie dem Stand der Technik, Parameter, die für die Benutzer- und Anwenderfreundlichkeit von wesentlicher Bedeutung sind, gemeinsam festzulegen. Die dafür relevanten und technischen Fragen und Parameter sind vor der Festlegung mit der Wirtschaftskammer Österreich abzustimmen.

(7) Ist aus Gründen, die nicht vom ELGA-Gesundheitsdiensteanbieter verschuldet sind, im konkreten Einzelfall eine Verwendung von ELGA technisch nicht möglich oder ist durch den mit der Suche verbundenen Zeitaufwand das Leben oder die Gesundheit des ELGA-Teilnehmers/der ELGA-Teilnehmerin ernstlich gefährdet, ist der ELGA-Gesundheitsdiensteanbieter nicht verpflichtet, ELGA-Gesundheitsdaten im Wege von ELGA zu erheben.

Grundsätze der Datenverarbeitung

§ 14. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von ELGA-Gesundheitsdaten ist nur zulässig, wenn

1. die ELGA-Teilnehmer/innen (§ 15 Abs. 1) gemäß § 18 eindeutig identifiziert wurden,

(2) Die durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten dürfen personenbezogen ausschließlich

1. für Zwecke gemäß Art. 9 Abs. 2 lit. h DSGVO, ausgenommen für die Zwecke der Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich sowie – unbeschadet der Fälle zulässiger Verarbeitung gemäß § 14 Abs. 3a – ausgenommen für Zwecke der Arbeitsmedizin und die Beurteilung der Arbeitsfähigkeit des Beschäftigten, von

a) den/die ELGA-Teilnehmer/in behandelnden oder betreuenden ELGA-Gesundheitsdiensteanbietern,

b) ELGA-Gesundheitsdiensteanbietern, an die ein/eine ELGA-Teilnehmer/in zur Behandlung oder Betreuung von einem ELGA-Gesundheitsdiensteanbieter gemäß lit a zugewiesen wurde sowie

c) Personen, die die in lit. a und b genannten ELGA-Gesundheitsdiensteanbieter bei der Ausübung ihrer Tätigkeit unterstützen und im konkreten Fall von diesen dazu angewiesen wurden oder

2. zur Wahrnehmung der Teilnehmer/innen/rechte gemäß § 16 von

a) ELGA-Teilnehmer/inne/n,

b) deren gesetzlichen oder bevollmächtigten Vertreter/inne/n sowie

verarbeitet werden.

(3a) ELGA-Gesundheitsdiensteanbieter, die Arbeitgeber oder Beschäftiger und in die Behandlung oder Betreuung von ELGA-Teilnehmer/inne/n eingebunden sind, die ihre Arbeitnehmer/innen sind oder von ihnen beschäftigt werden, dürfen deren ELGA-Gesundheitsdaten nur dann verarbeiten, wenn sie

1. diese ELGA-Teilnehmer/innen zuvor ausdrücklich auf die Teilnehmer/innen/rechte gemäß § 16 hingewiesen haben und

2. durch technische Mittel sichergestellt haben, dass innerhalb von ELGA-Gesundheitsdiensteanbietern nur Personen auf ELGA-Gesundheitsdaten zugreifen können, die in den konkreten Behandlungs- oder Betreuungsprozess des jeweiligen ELGA Teilnehmers/der jeweiligen ELGA-Teilnehmerin eingebunden sind.

(Anm.: Abs. 5 aufgehoben durch Art. 1 Z 46, BGBl. I Nr. 105/2024)

Grundsätze der ELGA-Teilnahme

§ 15. (Anm.: Abs. 1 aufgehoben durch Art. 1 Z 47, BGBl. I Nr. 105/2024)

(3) Alle bis zum Zeitpunkt des Widerspruchs gemäß Abs. 2 in den ELGA-Verweisregistern vorhandenen und vom Widerspruch erfassten Verweise und ELGA-Gesundheitsdaten einschließlich Medikationsdaten sind zu löschen; falls das Löschen aufgrund anderer gesetzlicher Dokumentationsverpflichtungen oder § 22 Abs. 5 Z 1 ausgeschlossen ist, sind die Verweise für ELGA unzugänglich zu machen.

(4) Widersprüche (Opt-out) gemäß Abs. 2 können jederzeit widerrufen werden. Solange ein gültiger Widerspruch besteht, dürfen keine für ELGA zugänglichen Verweise auf ELGA-Gesundheitsdaten gemäß § 20 Abs. 2 erster Satz gespeichert werden. Für Zeiten eines gültigen Widerspruchs gemäß Abs. 2 oder § 16 Abs. 2 Z 2 besteht kein Rechtsanspruch auf eine nachträgliche Aufnahme von Verweisen auf ELGA-Gesundheitsdaten.

Rechte der ELGA-Teilnehmer/innen

§ 16. (1) ELGA-Teilnehmer/innen haben im Wege des Zugangsportals (§ 23) oder gegenüber der ELGA-Ombudsstelle (§ 17 Abs. 2 Z 1) das Recht

1. persönliche Information über die sie betreffenden ELGA-Gesundheitsdaten sowie Protokolldaten gemäß § 22 Abs. 2 zu erhalten sowie

2. individuelle Zugriffsberechtigungen gemäß § 21 Abs. 3 festzulegen, indem sie

a) elektronische Verweise und ELGA-Gesundheitsdaten einschließlich Medikationsdaten für ELGA-Gesundheitsdiensteanbieter ein- oder ausblenden sowie löschen; falls das Löschen aufgrund anderer gesetzlicher Dokumentationsverpflichtungen oder § 22 Abs. 5 Z 1 ausgeschlossen ist, sind die Verweise für ELGA unzugänglich zu machen, oder

b) Zeiträume für bestehende Zugriffsberechtigungen gemäß § 18 Abs. 6 verkürzen oder

(2) ELGA-Teilnehmer/innen haben gegenüber den behandelnden oder betreuenden ELGA-Gesundheitsdiensteanbietern das Recht

1. die Aufnahme von Medikationsdaten (§ 2 Z 9 lit. b) sowie von Verweisen auf ELGA-Gesundheitsdaten (§ 2 Z 9 lit. a) gemäß § 20 Abs. 2 erster Satz in Verbindung mit § 13 Abs. 3 und 4 zu verlangen sowie

2. der Aufnahme von elektronischen Verweisen und ELGA-Gesundheitsdaten einschließlich einzelner Medikationsdaten für einen Behandlungs- oder Betreuungsfall zu widersprechen, sofern dies nicht aufgrund anderer gesetzlicher Dokumentationsverpflichtungen ausgeschlossen ist. Über dieses Recht ist der ELGA-Teilnehmer/die ELGA-Teilnehmerin insbesondere bei ELGA-Gesundheitsdaten, die sich auf

a) HIV-Infektionen,

b) psychische Erkrankungen,

c) die in § 71a Abs. 1 GTG genannten genetischen Daten oder

d) Schwangerschaftsabbrüche

beziehen, zu informieren.

(3) Personen, die

1. der Teilnahme an ELGA gemäß § 15 Abs. 2 widersprechen oder

(4) Die ELGA-Gesundheitsdiensteanbieter haben über die Bestimmungen der Abs. 1 bis 3 in Form eines leicht lesbaren, gut sichtbaren und zugänglichen Aushanges in ihren Räumlichkeiten zu informieren. Die gesetzlichen Interessenvertretungen für Angehörige von Gesundheitsberufen, die ihren Beruf als Gesundheitsdiensteanbieter freiberuflich ausüben, haben den Aushang im Rahmen ihres übertragenen Wirkungsbereiches den jeweiligen ELGA-Gesundheitsdiensteanbietern zur Verfügung zu stellen.

(5) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat laufend Informationen über den aktuellen Stand von ELGA zu veröffentlichen und die betroffenen Personen (Art. 4 Z 1 DSGVO) über ihre Rechte zu informieren.

ELGA- und eHealth-Supporteinrichtung

2. eHealth-Servicestelle,

3. Widerspruchstelle und

4. Serviceline.

(3) Die Aufgaben der jeweiligen Bereiche gemäß Abs. 2 sind von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin mit Verordnung gemäß § 28a Abs. 1 Z 7 festzulegen.

(4) Die Mitarbeiter/innen der ELGA und eHealth-Supporteinrichtung sind vor Aufnahme ihrer Tätigkeit schriftlich über das Datengeheimnis gemäß § 6 DSG zu informieren. Dieses Datengeheimnis gilt auch über die Beendigung der Tätigkeit der Mitarbeiter/innen hinaus.

Überprüfung der Identität von ELGA-Teilnehmer/inne/n

§ 18. (1) Der Dachverband hat im übertragenen Wirkungsbereich einen Patient/inn/enindex einzurichten und zu betreiben. Dieser dient:

1. der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen und Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt sowie

2. der Lokalisierung von Verweisregistern, in denen sich Verweise auf ELGA-Gesundheitsdaten dieser natürlichen Personen befinden können.

(2) Im Patient/inn/enindex sind folgende Daten natürlicher Personen zu verarbeiten:

1. Namensangaben:

a) Vorname(n)

b) Familienname

c) Geburtsname

d) akademische Grade

2. Personenmerkmale:

a) Geburtsdatum

b) Geburtsort, soweit verfügbar

c) Geschlecht

d) Sterbedatum, soweit verfügbar

e) Staatsangehörigkeit

3. Adressdaten

4. Identitätsdaten:

a) Sozialversicherungsnummer

b) lokale Patient/inn/en-Kennungen

c) bPK-GH

d) über die Z 1 bis 3 hinausgehenden Daten der europäischen Krankenversicherungskarte

e) sonstige staatliche Identifikatoren.

(4) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (§ 14 Abs. 1 Z 1) hat in elektronischer Form unter Mitwirkung des ELGA-Teilnehmers/der ELGA-Teilnehmerin zu erfolgen. Dabei sind die im Patient/inn/enindex gespeicherten Identitätsdaten mit den im Rahmen der Identifikation erhobenen Identitätsdaten zu vergleichen. Die Erhebung der Identitätsdaten kann durch

1. eine elektronische Prüfung der Gültigkeit der e-card und dem Auslesen von Daten der e-card mittels e-card-System (§§ 31a ff ASVG) oder

2. Verwenden eines E-ID (§ 2 Z 10 E-GovG) oder

3. Verarbeiten von Identitätsdaten einer gemäß § 4 Abs. 2 eindeutig identifizierten natürlichen Person, die bei einem ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. d und e gespeichert sind wobei das IT-Sicherheitskonzept gemäß § 8 die Überprüfung der Identität der ELGA-Teilnehmer/innen technisch abzusichern hat zum Zweck der Verarbeitung der ELGA-Gesundheitsdaten gemäß § 14 Abs. 2 Z 1 oder

4. Verarbeiten von Daten einer elektronischen oder sonst eindeutig identifizierbaren Verordnung oder Zuweisung (§ 14 Abs. 2 Z 1 lit. b), sofern die Erhebung der Identitätsdaten nicht gemäß Z 1 bis 3 erfolgt,

(Anm.: Z 5 aufgehoben durch Art. 1 Z 57, BGBl. I Nr. 105/2024)

erfolgen.

(4a) Im Rahmen von eHealth-Anwendungen und Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt darf die Erhebung der Identitätsdaten der betroffenen Personen, wenn eine Identifikation gemäß Abs. 4 Z 1 bis 4 nicht möglich ist, auch durch Aus- oder Ablesen

2. unter den Voraussetzungen des Abs. 4b, von Name, Geburtsdatum und Pass- oder Personalausweisnummer („demographische Daten“) von einem gültigen Reisepass im Sinne des Passgesetzes 1992, BGBl. Nr. 839/1992, ausgenommen eines Reisepasses gemäß § 4a des Passgesetzes 1992 oder einem gültigen Personalausweis, oder

3. bei Personen, die Staatsangehörige einer Vertragspartei des Abkommens über den Europäischen Wirtschaftsraum sind, von Name und Geburtsdatum von einem amtlichen Lichtbildausweis, wobei als amtlicher Lichtbildausweis in diesem Sinne von einer staatlichen Behörde ausgestellte Dokumente, die mit einem nicht austauschbaren erkennbaren Kopfbild der betreffenden Person versehen sind, und den Namen, das Geburtsdatum und die Unterschrift der Person sowie die ausstellende Behörde enthalten, gelten, oder

4. bei betroffenen Personen, die nicht Staatsangehörige einer Vertragspartei des Abkommens über den Europäischen Wirtschaftsraum sind, von Name und Geburtsdatum von einem gültigen Reisedokument

erfolgen, sofern ein Behandlungs- oder Betreuungszusammenhang zwischen betroffener Person und dem Gesundheitsdiensteanbieter besteht.

(4b) Die Erhebung der Identitätsdaten gemäß Abs. 4a Z 2 ist unter folgenden Voraussetzungen zulässig:

1. Reisepässe gemäß § 4a und Übernahmserklärungen für Staatsbürger gemäß § 18 Passgesetz 1992 dürfen nicht für die Erhebung der Identitätsdaten der betroffenen Personen herangezogen werden.

2. Die demographischen Daten sind mit der Zentralen Evidenz gemäß § 22b Abs. 4 Passgesetz 1992 abzugleichen. Zu diesem Zweck haben die Gesundheitsdiensteanbieter die demographischen Daten mittels einer von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin zur Verfügung gestellten Anwendung an diesen oder diese zu übermitteln, der oder die diese Daten abgleicht.

4. Der Gesundheitsdiensteanbieter hat nach dem erfolgten Abgleich den Name und das Geburtsdatum der betroffenen Person anhand des von der betroffenen Person vorgelegten gültigen Reisepasses im Sinne des Passgesetzes 1992, ausgenommen eines Reisepasses gemäß § 4a des Passgesetzes 1992 oder dem vorgelegten gültigen Personalausweis zu überprüfen.

(5) Im Zuge der Erhebung der Identitätsdaten mittels e-card System (§§ 31a ff ASVG) ist im selben Arbeitsschritt, aber technisch von den Datenflüssen des ELSY (§§ 31a ff ASVG) getrennt, auch ein allfälliger Widerspruch gemäß § 16 Abs. 2 Z 2 zu dokumentieren.

(6) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (Abs. 4) darf für den Zugriff und die Verarbeitung der ELGA-Gesundheitsdaten zu den in § 14 Abs. 2 genannten Zwecken durch

1. ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. a, b, d und e und die ELGA-Ombudsstelle gemäß § 2 Z 14 nicht länger als 90 Tage und

2. ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. c, f und g nicht länger als 28 Tage

zurückliegen.

(7) Abweichend von Abs. 6 kann ein ELGA-Teilnehmer/eine ELGA-Teilnehmerin einem oder mehreren ELGA-Gesundheitsdiensteanbieter des besonderen Vertrauens gemäß § 2 Z 10 lit. a, b, c und e in Verbindung mit § 21 Abs. 2, eine Frist von bis zu 365 Tagen einräumen.

(8) Abgesehen von den Fällen gemäß § 17 Abs. 4 dürfen Vertretungen von ELGA-Teilnehmer/inne/n im elektronischen Verkehr ausschließlich gemäß § 5 Abs. 1 E-GovG eingetragen werden, wobei:

1. an Stelle der Stammzahl ein bPK des ELGA-Teilnehmers/der ELGA-Teilnehmerin einzutragen ist sowie

2. die Berechtigung zum Zugriff auf ELGA gesondert eingetragen werden muss.

(9) Dreißig Jahre nach Kenntnis des Sterbedatums eines ELGA-Teilnehmers/einer ELGA-Teilnehmerin hat der Dachverband die im Patient/inn/enindex gespeicherten Daten des/der Verstorbenen automatisch zu löschen.

1. geeignete Identifikationskarten des e-card-Systems (§§ 31a ff ASVG) oder

2. Verwenden eines E-ID (§ 2 Z 10 E-GovG) oder

3. Verwenden elektronischer Signaturen, die auf qualifizierte Zertifikate rückführbar sein müssen,

zu erfolgen hat.

(3) Die Überprüfung der gemäß Abs. 2 festgestellten Identität hat in elektronischer Form durch Abgleich der gemäß Abs. 2 erhobenen Daten mit den im Gesundheitsdiensteanbieterindex gespeicherten Daten zu erfolgen.

Speicherung von ELGA-Gesundheitsdaten

§ 20. (1) Sofern sich aus den §§ 15 Abs. 2 und 16 Abs. 2 Z 2 nichts anderes ergibt, haben ELGA-Gesundheitsdienstanbieter ELGA-Gesundheitsdaten in gemäß § 28a Abs. 1 Z 5 geeigneten Datenspeichern, die sich im Gebiet der Europäischen Union befinden müssen, zu speichern (§ 13 Abs. 3). Bereits gespeicherte ELGA-Gesundheitsdaten dürfen nicht geändert werden. Treten Umstände hervor, die eine maßgebliche Änderung des Behandlungsverlaufs bedingen können, ist zusätzlich eine aktualisierte Version zu speichern. Verantwortlicher (Art. 4 Z 7 DSGVO) für die Speicherung ist der jeweilige ELGA-Gesundheitsdiensteanbieter.

(2) Sofern sich aus den §§ 15 Abs. 2 und 16 Abs. 2 Z 2 nichts anderes ergibt, haben ELGA-Gesundheitsdienstanbieter in Verweisregistern, die sich im Gebiet der Europäischen Union befinden müssen, zu speichern (§ 13 Abs. 3). Dies gilt nicht in Fällen in denen ELGA-Teilnehmer/innen der Aufnahme von Verweisen widersprochen haben. Verantwortlicher (Art. 4 Z 7 DSGVO) für die Speicherung ist der jeweilige ELGA-Gesundheitsdiensteanbieter.

(3) ELGA-Gesundheitsdaten sowie elektronische Verweise darauf sind dezentral für dreißig Jahre, ungeachtet anderer gesetzlicher Dokumentationsverpflichtungen, zu speichern. Danach sind die elektronischen Verweise und ELGA-Gesundheitsdaten von den Auftragsverarbeitern (Art. 4 Z 8 DSGVO), die die gemäß § 28a Abs. 1 Z 5 geeigneten Datenspeicher und Verweisregister für ELGA betreiben, zu löschen; falls das Löschen aufgrund anderer gesetzlicher Dokumentationsverpflichtungen oder gemäß § 22 Abs. 5 Z 1 ausgeschlossen ist, sind die Verweise für ELGA unzugänglich zu machen.

(4) Abweichend von den Abs. 2 und 3 sind Medikationsdaten gemäß § 2 Z 9 lit. b

1. ohne Aufnahme elektronischer Verweise zentral in ELGA zu speichern sowie

2. 18 Monate nach Abgabe vom Auftragsverarbeiter (Art. 4 Z 8 DSGVO) automatisch zu löschen. Sofern aus ELGA kein Abgabezeitpunkt feststellbar ist, beginnt die Frist ab Verordnung (§ 13 Abs. 3 Z 4) zu laufen.

(5) Elektronische Verweise sind automatisch zu erstellen und haben zu enthalten:

1. Daten, die sich auf den/die ELGA-Teilnehmer/in beziehen:

a) das bPK-GH des ELGA-Teilnehmers/der ELGA-Teilnehmerin oder

b) lokale Patient/inn/en-Kennungen,

2. Daten, die sich auf den ELGA-Gesundheitsdiensteanbieter beziehen:

a) die eindeutige Kennung des ELGA-Gesundheitsdiensteanbieters, der für die Aufnahme der ELGA-Gesundheitsdaten verantwortlich ist,

b) die natürliche Person, die die ELGA-Gesundheitsdaten in ELGA gespeichert hat,

3. Daten, die sich auf die ELGA-Gesundheitsdaten beziehen:

a) den Speicherort der ELGA-Gesundheitsdaten,

b) die eindeutige Kennung der ELGA-Gesundheitsdaten,

c) Datum und Zeitpunkt der Erstellung der ELGA-Gesundheitsdaten,

d) den Hinweis auf allenfalls frühere Versionen dieser ELGA-Gesundheitsdaten,

e) sofern vorhanden, einen strukturierten Hinweis auf die medizinische Bezeichnung der ELGA-Gesundheitsdaten sowie

f) Datum und Zeitpunkt, an dem der elektronische Verweis auf ELGA-Gesundheitsdaten in ein Verweisregister aufgenommen wurde.

(6) Die Daten gemäß Abs. 5 dürfen von den ELGA-Systempartnern zur Optimierung und Evaluierung von ELGA verarbeitet werden. Zu diesem Zweck dürfen personenbezogene Daten

1. von ELGA-Teilnehmer/inne/n derart, dass die Daten zur Personenidentifikation durch ein nicht rückführbar verschlüsseltes eindeutiges Personenkennzeichen zu ersetzen sind, wobei die Identität der betroffenen Person (Art. 4 Z 1 DSGVO) mit rechtlich zulässigen Mitteln nicht bestimmt werden kann, sowie

2. von ELGA-Gesundheitsdiensteanbietern

verarbeitet werden.

eMedikation

§ 20a. (1) Der Dachverband hat im übertragenen Wirkungsbereich als ELGA-Anwendung bis 31. Dezember 2014 ein Informationssystem über verordnete sowie abgegebene Arzneimittel einzurichten („eMedikation“) und ab diesem Zeitpunkt zu betreiben. Das Informationssystem hat ELGA-Teilnehmer/inne/n und ELGA-Gesundheitsdiensteanbietern gemäß § 2 Z 10 unter Wahrung der Teilnehmer/innen/rechte gemäß § 16 eine Übersicht über die für diesen ELGA-Teilnehmer/diese ELGA-Teilnehmerin verordneten sowie abgegebenen Arzneimittel anzubieten. Zu diesem Zweck haben ELGA-Gesundheitsdiensteanbieter entsprechend ihrer in diesem Bundesgesetz festgelegten Verpflichtungen die ELGA-Gesundheitsdaten gemäß § 2 Z 9 lit. b in diesem Informationssystem zu speichern, sofern dies nicht durch die Ausübung von Teilnehmer/innen/rechten ausgeschlossen ist. Die Prüfung von Wechselwirkungen erfolgt in der Eigenverantwortung der ELGA-Gesundheitsdiensteanbieter und ist nicht Gegenstand des Informationssystems.

(2) Der Betrieb des eMedikationssystems darf nicht in die Erbringung von Leistungen der Behandlung oder Betreuung von ELGA-Teilnehmer/inne/n, insbesondere in die Therapiefreiheit der Ärztinnen und Ärzte, eingreifen.

(3) Erfolgt die Identifikation des ELGA-Teilnehmers/der ELGA-Teilnehmerin gemäß § 18 Abs. 4 Z 4, ist die Verarbeitung auf die Speicherung der Medikationsdaten eingeschränkt.

Berechtigungssystem

§ 21. (1) Das Berechtigungssystem ist von den ELGA-Systempartnern einzurichten und zu betreiben. Es dient der Verwaltung der generellen und individuellen Zugriffsberechtigungen auf ELGA und der Steuerung der Zugriffe auf ELGA-Gesundheitsdaten. Darüber hinaus dient es der Verwaltung der spezifischen Zugriffberechtigungen und Steuerung der Zugriffe auf eHealth-Anwendungen und Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt. Ohne Zugriffsberechtigung auf ELGA dürfen weder ELGA-Gesundheitsdaten noch Verweise darauf angezeigt werden.

(2) Aufgrund der generellen Zugriffsberechtigungen auf ELGA, die festlegen, welche standardmäßigen Zugriffe auf ELGA zulässig sind, dürfen:

1. Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a) auf alle ELGA-Gesundheitsdaten (§ 2 Z 9),

2. Angehörige des zahnärztlichen Berufes (§ 2 Z 10 lit. b) auf ELGA-Gesundheitsdaten gemäß § 2 Z 9 lit. a und b,

3. Apotheken (§ 2 Z 10 lit. c) auf Medikationsdaten gemäß § 2 Z 9 lit. b,

4. Krankenanstalten (§ 2 Z 10 lit. d) auf alle ELGA-Gesundheitsdaten (§ 2 Z 9),

5. Einrichtungen der Pflege (§ 2 Z 10 lit. e) auf alle ELGA-Gesundheitsdaten (§ 2 Z 9),

6. Vertreter/innen gemäß § 14 Abs. 2 Z 2 lit. b auf alle ELGA-Gesundheitsdaten (§ 2 Z 9),

8. Rettungsdienste (§ 2 Z 10 lit. f) auf Medikationsdaten gemäß § 2 Z 9 lit. b sowie

(2a) Die Bundesländer haben durch technische und organisatorische Maßnahmen sicherzustellen, dass der Zugriff gemäß Abs. 1 Z 9 nur durch für die Gesundheitsberatung 1450 tätigen Diplomierten Gesundheits- und Krankenpfleger/innen und Angehörigen des ärztlichen Berufs erfolgt.

(3) ELGA-Teilnehmer/innen dürfen mittels individueller Zugriffsberechtigungen auf ELGA:

1. im Rahmen der generellen Zugriffsberechtigungen elektronische Verweise und ELGA-Gesundheitsdaten einschließlich Medikationsdaten für ELGA-Gesundheitsdiensteanbieter ein- oder ausblenden sowie löschen, falls das Löschen aufgrund anderer gesetzlicher Dokumentationsverpflichtungen oder gemäß § 22 Abs. 5 Z 1 ausgeschlossen ist, sind die Verweise für ELGA unzugänglich zu machen, oder

2. Zeiträume für bestehende Zugriffsberechtigungen gemäß § 18 Abs. 6 verkürzen oder

3. einen ELGA-Gesundheitsdiensteanbieter des besonderen Vertrauens mit dessen Zustimmung gemäß § 18 Abs. 7 festlegen.

(4) Aufgrund von spezifischen Zugriffsberechtigungen dürfen Gesundheitsdiensteanbieter gemäß § 2 Z 2 auf eHealth-Anwendungen und Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt zugreifen.

Protokollierungssystem

§ 22. (1) Das Protokollierungssystem ist von den ELGA-Systempartnern einzurichten und zu betreiben. Das Protokollierungssystem dient der Dokumentation und Nachvollziehbarkeit der Verarbeitung von ELGA-Gesundheitsdaten gemäß den folgenden Absätzen sowie von Gesundheitsdaten und genetischen Daten in eHealth-Anwendungen und in Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt.

(2) Jede Verarbeitung von ELGA-Gesundheitsdaten im Rahmen von ELGA ist gemäß Art. 32 DSGVO zu protokollieren mit:

1. Datum und Zeit der Verarbeitung,

2. der eindeutigen Protokoll-Transaktionsnummer,

3. Art des Verarbeitungsvorgangs,

5. dem Namen der natürlichen Person, die die ELGA-Gesundheitsdaten tatsächlich verarbeitet hat,

6. der eindeutigen Kennung der verarbeiteten ELGA-Gesundheitsdaten,

7. den Abfragekriterien sowie

8. den Fehlermeldungen bei sonstigen Abfragen, wenn sie zu Fehlermeldungen führen.

(3) Die Protokolldaten gemäß Abs. 2 sind drei Jahre nach Zugriff aufzubewahren und lesbar sowie verfügbar zu halten.

(4) ELGA-Teilnehmer/innen haben gemäß § 16 Abs. 1 Z 1 das Recht, Auskunft über die sich auf sie beziehenden Protokolldaten zu erhalten und diese zu verarbeiten. Die Darstellung dieser Protokolldaten hat einfach und übersichtlich zu sein.

(5) Die Protokolldaten gemäß Abs. 2 dürfen nicht personenbezogen verarbeitet werden, außer:

1. zur gerichtlichen oder außergerichtlichen Durchsetzung sowie Abwehr geltend gemachter rechtlicher Ansprüche oder

2. zur Sicherstellung einer Verarbeitung gemäß der Rollen (§ 5) oder

3. zur Information über die Aktualisierung von ELGA-Gesundheitsdaten oder

4. im Falle technischer Notwendigkeit oder

5. zur Optimierung und Evaluierung von ELGA in pseudonymisierter Form, wobei die Identität der betroffenen Person (Art. 4 Z 1 DSGVO) mit rechtlich zulässigen Mitteln nicht bestimmt werden kann.

(6) ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. a und c haben das Recht, Auskunft über die Protokolldaten zu erhalten und zu verarbeiten, die sich auf die von ihnen getätigten Verarbeitungsvorgänge beziehen.

(7) Die ELGA-Systempartner haben ELGA so zu gestalten, dass Änderungen von ELGA-Gesundheitsdaten, die eine maßgebliche Änderung des Behandlungs- oder Betreuungsverlaufs bedingen können (§ 20 Abs. 1 dritter Satz), jenen ELGA-Gesundheitsdiensteanbietern, die auf die ELGA-Gesundheitsdaten in der nicht aktualisierten Fassung zugegriffen haben, in Übereinstimmung mit § 21 Abs. 3 in ELGA zur Verfügung stehen.

Zugangsportal

§ 23. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat ein Zugangsportal zu

1. ELGA,

2. eHealth-Anwendungen und

3. Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt

(2) Der Zugriff auf das Zugangsportal darf ausschließlich über Anwendungen erfolgen, die die Überprüfung der eindeutigen Identität gemäß § 18 Abs. 4 Z 2 gewährleisten.

Nutzungsrechte an ELGA

§ 24. (1) Zur Wahrung des finanziellen Gleichgewichts des Systems der sozialen Sicherheit ist die Nutzung der ELGA-Komponenten

1. Patient/inn/enindex (§ 18),

2. Gesundheitsdiensteanbieterindex (§ 19),

3. Verweisregister (§ 20),

4. Datenspeicher (§ 20),

5. Berechtigungssystem (§ 21),

6. Protokollierungssystem (§ 22) sowie

7. Zugangsportal (§ 23)

zur Erhebung der durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten gemäß § 14 Abs. 2 unentgeltlich.

(2) Auftragsverarbeiter (Art. 4 Z 8 DSGVO), die Datenspeicher und Verweisregister betreiben, dürfen ungeachtet ihrer Rechtsform nicht als Auftragsverarbeiter für ELGA ausgeschlossen werden, sobald sie die Voraussetzungen des § 28a Abs. 1 erfüllen.

(3) ELGA-Gesundheitsdiensteanbieter sind nicht Verantwortliche (Art. 4 Z 7 DSGVO)

1. des Patient/inn/enindexes (§ 18),

2. des Gesundheitsdiensteanbieterindexes (§ 19),

3. des Berechtigungssystems (§ 21),

4. des Protokollierungssystems (§ 22) sowie

5. des Zugangsportals (§ 23).

5. Abschnitt

eHealth-Anwendungen

1. Unterabschnitt

Primärversorgung

§ 24a. (1) Gesundheitsdiensteanbieter, die in eine Primärversorgungseinheit gemäß PrimVG, eingebunden sind, sind berechtigt:

1. zum Zweck der eindeutigen Identifikation die Daten des Patient/inn/enindex (§ 18) zu verwenden,

2. sämtliche Daten, die sie rechtlich zulässigerweise verarbeiten dürfen, allen Gesundheitsdiensteanbietern derselben Primärversorgungseinheit, zur Verfügung zu stellen,

3. sämtliche Daten, die von anderen Gesundheitsdiensteanbietern derselben Primärversorgungseinheit im Rahmen der Primärversorgungseinheit zur Verfügung gestellt wurden, zu verarbeiten, wobei eine personenbezogene Verarbeitung ausschließlich gemäß Art. 9 Abs. 2 lit. h DSGVO, ausgenommen für die Zwecke der Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich sowie – unbeschadet der Fälle zulässiger Verarbeitung gemäß § 14 Abs. 3a – ausgenommen für Zwecke der Arbeitsmedizin und die Beurteilung der Arbeitsfähigkeit des Beschäftigten, durch

a) die in der Primärversorgungseinheit gemäß PrimVG eingebundenen Gesundheitsdiensteanbieter selbst sowie

b) Personen, die die in lit. a genannten Gesundheitsdiensteanbieter bei der Ausübung ihrer Tätigkeit unterstützen und im konkreten Fall von diesen dazu angewiesen wurden,

erfolgen darf, sowie

4. die Identifikation durch Abfrage des Patient/inn/enindexes vorzunehmen.

(2) Gesundheitsdiensteanbieter, die in eine Primärversorgungseinheit gemäß § 2 Abs. 5 Z 2 PrimVG eingebunden sind,

1. tragen individuell jedenfalls die Verantwortung für die Einhaltung

a) ihrer Berufspflichten,

b) ihrer datenschutzrechtlichen Pflichten sowie

c) der technisch-organisatorischen Spezifikationen gemäß § 28b Abs. 1 und

2. haben Daten nach Abs. 1 Z 2 mindestens zehn Jahre lang zu speichern.

(3) Für Zwecke des PrimVG dürfen die ELGA-Komponenten gemäß § 24 Abs. 1 mit folgenden Maßgaben verwendet werden:

1. mit dem Austritt von Gesundheitsdiensteanbietern aus Primärversorgungseinheiten ist sicherzustellen, dass die Berechtigungen gemäß Abs. 1 nicht mehr ausgeübt werden können;

2. Gesundheitsdiensteanbieter, die keine ELGA-Gesundheitsdiensteanbieter sind, dürfen nicht auf ELGA zugreifen.

2. Unterabschnitt

Elektronischer Impfpass (eImpfpass)

Allgemeine Bestimmungen zum eImpfpass

§ 24b. (1) Zur Sicherstellung der in Abs. 5 genannten Ziele ist die eHealth-Anwendung eImpfpass einzurichten und zu betreiben. Der Betrieb, die Wartung und die technische Weiterentwicklung obliegen

1. im Pilotbetrieb der ELGA GmbH,

2. im Vollbetrieb dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin und

3. in der Zeit des Übergangs beiden gemeinsam.

(2) Die Zeiten von Pilot, Voll- und Übergangsbetrieb sowie die jeweils einzuhaltende Vorgehensweise sind von dem für das Gesundheitswesen zuständigen Bundesminister oder der für das Gesundheitswesen zuständigen Bundesministerin durch Verordnung gemäß § 28b Abs. 2 Z 3 festzulegen.

(3) Gemeinsam Verantwortliche im Sinne des Art. 4 Z 7 in Verbindung mit Art. 26 DSGVO des eImpfpasses sind:

1. der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin,

2. die ELGA GmbH,

4. Apotheken gemäß § 1 des Apothekengesetzes,

5. die Landeshauptleute,

6. die Bezirksverwaltungsbehörden,

7. die Österreichische Gesundheitskasse, die Sozialversicherungsanstalt der Selbstständigen, die Versicherungsanstalt öffentlich Bediensteter, Eisenbahnen und Bergbau sowie die Rechtsträger von Krankenfürsorgeeinrichtungen und

8. die Gesundheitsberatung 1450 gemäß § 2 Z 10 lit. g,

wobei die Festlegung der datenschutzrechtlichen Pflichten im Sinne des Art. 26 DSGVO durch Verordnung des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin zu erfolgen hat.

(4) Die gemeinsam Verantwortlichen dürfen die im zentralen Impfregister gespeicherten Daten (§ 24c Abs. 2) entsprechend ihrer gemäß § 28b Abs. 2 Z 4 festgelegten spezifischen Zugriffsberechtigungen nach den Grundsätzen gemäß § 24d Abs. 1 zu den Zwecken gemäß § 24d Abs. 2 verarbeiten.

(5) Die Verwendung des eImpfpasses erfüllt ein erhebliches öffentliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j DSGVO. Dieses erhebliche öffentliche Interesse ergibt sich insbesondere aus:

1. der Optimierung der Impfversorgung der Bevölkerung, vor allem durch

a) eine einheitliche, flächendeckende und lückenlose digitale Impfdokumentation sowie eine verbesserte, schnellere Verfügbarkeit von Impfinformationen,

b) die Steigerung der Prozess- und Ergebnisqualität von Impfungen und die Wirksamkeit von öffentlichen Impfprogrammen,

c) die Erhöhung der Arzneimittel- und Patient/inn/ensicherheit;

2. der Verfügbarkeit digitaler Impfinformationen für die Steuerung des öffentlichen Gesundheitswesens, vor allem zur

a) Bestimmung von Impfstatus und Durchimpfungsraten sowie des daraus ableitbaren Handlungsbedarfs,

b) Verbesserung der Reaktionsmöglichkeiten auf Ausbrüche von durch Impfungen bekämpfbaren Krankheiten,

c) Einhaltung von Verpflichtungen zur Verfolgung internationaler Eliminations- und Eradikationsziele sowie

3. der Reduktion von Aufwänden für Bürger/innen, Gesundheitsdiensteanbieter und das Gesundheitssystem.

Zentrales Impfregister

§ 24c. (1) Das zentrale Impfregister ist wesentlicher Bestandteil des eImpfpasses und dient der elektronischen Dokumentation aller durchgeführten Impfungen sowie impfrelevanten Informationen. Impfrelevante Informationen sind impfrelevante Vorerkrankungen, besondere Impfindikationen und die in einer Verordnung gemäß § 28b Abs. 2 Z 9 lit. a genannten oder im Einzelfall (Abs. 3) medizinisch indizierten Antikörperbestimmungen.

(2) Zur Erfüllung der in § 24d Abs. 2 genannten Zwecke haben

a) zum Impfstoff (Klassifikation, Handelsname, Hersteller, Zulassungsnummer, Chargennummer, Verfallsdatum, Serialisierungsnummer, Pharmazentralnummer und Anatomisch-Therapeutisch-Chemische Zuordnung),

b) zur verabreichten Impfung (Datum der Verabreichung, Dosierung und Dosis, angewandtes Impfschema, Impfempfehlung und Zuordnung zu Impfprogrammen),

d) zum impfenden oder speichernden eImpf-Gesundheitsdiensteanbieter (Name, Rolle, Berufsadresse, ein in einer Verordnung gemäß § 28b Abs. 2 Z 8 genanntes Impfsetting und Datum der Speicherung), und

a) Antikörperbestimmungen sowie das Krankheitsbild, auf das sich diese beziehen, und

b) die Angaben gemäß Z 1 lit. c und d, ausgenommen das Impfsetting, sofern sie dem eImpf-Gesundheitsdiensteanbieter zur Verfügung stehen,

im zentralen Impfregister ab dem in einer Verordnung gemäß § 28b Abs. 2 Z 2 lit. b festgelegten Zeitpunkt zu speichern. Die Speicherung dieser Angaben im zentralen Impfregister erfüllt die berufsrechtliche Dokumentationsflicht (z. B. § 51 Abs. 1 ÄrzteG 1998). Eine über diese Speicherung hinausgehende berufsrechtlich erforderliche Dokumentation hat nicht im zentralen Impfregister zu erfolgen.

(3) Unabhängig von der Verabreichung einer Impfung haben

(4) eImpf-Gesundheitsdiensteanbieter gemäß § 2 Z 18 lit. a, ausgenommen diplomierte Gesundheits- und Krankenpfleger/innen sowie Apotheken gemäß § 1 des Apothekengesetzes,

1. dürfen unter Berücksichtigung der jeweiligen Berufspflichten (z. B. § 49 Abs. 1 ÄrzteG 1998) andere als die in Z 3 genannten verabreichten und schriftlich dokumentierten, aber nicht im zentralen Impfregister gespeicherten Impfungen nachtragen;

2. dürfen die gemäß § 24e Abs. 6 selbst eingetragenen Impfungen unter Berücksichtigung der jeweiligen Berufsrechte vidieren und

3. haben die in einer Verordnung gemäß § 28b Abs. 2 Z 7 genannten verabreichten Impfungen nachzutragen.

(5) Für die im zentralen Impfregister gespeicherten Daten geltenden folgende Löschfristen:

1. Impfungen, impfrelevante Vorerkrankungen und Impferinnerungen sind dreißig Jahre nach dem Tod eines Bürgers/einer Bürgerin von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin zu löschen; ist kein Sterbedatum bekannt, sind diese Angaben spätestens 120 Jahre nach der Geburt des Bürgers/der Bürgerin zu löschen.

2. Antikörperbestimmungen sind nach Ablauf der des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin mit Verordnung nach § 28b Abs. 2 Z 9 lit. b unter Berücksichtigung des Stands der Wissenschaft festgelegten angemessenen Löschfrist von dem für das Gesundheitswesen zuständigen Bundesminister oder der Bundesministerin zu löschen.

(6) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat

1. zu den in § 24d Abs. 2 Z 2 und 3 genannten Zwecken den jeweils aktuellen Impfplan Österreich im zentralen Impfregister sowie,

bereitzustellen.

Grundsätze der Impfdatenverarbeitung

§ 24d. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von Daten im zentralen Impfregister gemäß § 24c Abs. 2 bis 5 sowie zu den in Abs. 2 und in § 24e Abs. 4 genannten Zwecken ist nur zulässig, wenn

1. die Gesundheitsdiensteanbieter gemäß § 4 Abs. 4 oder § 4a eindeutig identifiziert wurden,

2. die Vertraulichkeit (§ 6) der zu verarbeitenden Daten gewährleistet ist,

3. die Integrität (§ 7) der zu verarbeitenden Daten gewährleistet ist,

4. eine spezifische Zugriffsberechtigung gemäß § 24f Abs. 4 besteht sowie

(2) Die im Impfregister gespeicherten Daten dürfen personenbezogen insbesondere für folgende Zwecke verarbeitet werden:

1. zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten,

2. Darstellung persönlicher Impfkalender auf Basis der im zentralen Impfregister gespeicherten Daten und des jeweils aktuellen Impfplans Österreich,

3. Erinnerung an empfohlene Impfungen gemäß dem jeweils aktuellen Impfplan Österreich auf Basis der im zentralen Impfregister gespeicherten Daten,

4. Auswertungen von im zentralen Impfregister gespeicherten Daten gemäß § 24g,

5. Krisenmanagement, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten gemäß § 1 EpiG, als auch im Rahmen der Pharmakovigilanz,

6. Abrechnung im Rahmen von Impfprogrammen sowie deren Überprüfung,

7. Wahrnehmung der Rechte der Bürger/innen gemäß § 24e sowie

8. Datenqualitätsmanagement gemäß § 24h.

Rechte der Bürger/innen

§ 24e. (1) Die Bürger/innen sind von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin in geeigneter Weise über die ihnen zustehenden Rechte sowie über jene Rechte des 3. Kapitels der DSGVO, die den Bürger/inne/n nicht zustehen, zu informieren. Diese Information hat auch den Hinweis zu enthalten, wem gegenüber die Bürger/innen die ihnen zustehenden Rechte geltend machen können.

(2) Die für die Wahrnehmung der Rechte erforderliche Entscheidungsfähigkeit (§ 24 Abs. 2 ABGB) wird im Zweifel ab Vollendung des 14. Lebensjahres (mündige Minderjährige) vermutet.

(5) Hinsichtlich der Verarbeitungen nach diesem Unterabschnitt besteht gemäß Art. 23 Abs. 1 lit. e DSGVO kein Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO und kein Widerspruchsrecht gemäß Art. 21 DSGVO. Das Recht auf Löschung gemäß Art. 17 DSGVO wird gemäß Art. 23 Abs. 1 lit. e DSGVO im Sinne des § 24c Abs. 5 beschränkt.

(6) Bürger/innen haben das Recht, Impfungen in das zentrale Impfregister selbst einzutragen und diese Angaben bis zur Vidierung (§ 24c Abs. 4 Z 2) selbst zu berichtigen oder zu löschen. Die Selbsteintragung der Impfungen erfolgt durch Übermittlung der einzutragenden, zu berichtigenden oder zu löschenden Daten in der mittels Verordnung gemäß § 28b Abs. 2 Z 6 festgelegten Form an den für das Gesundheitswesen zuständigen Bundesminister oder die zuständige Bundesministerin, der oder die diese übermittelten Daten in das zentrale Impfregister einzutragen, zu berichtigen oder zu löschen hat. Eine inhaltliche Prüfung der übermittelten Daten durch den für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin hat nicht zu erfolgen. Selbst eingetragene Impfungen sind von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als solche zu kennzeichnen und dienen den eImpf-Gesundheitsdiensteanbietern nur zur Information.

Nutzung von ELGA-Komponenten

§ 24f. (1) Die ELGA-Komponenten gemäß § 24 Abs. 3 sind nach Maßgabe der folgenden Absätze zu nutzen.

(2) Soweit der Patient/inn/enindex (§ 18) gemäß § 24d Abs. 1 Z 5 zur Überprüfung der eindeutigen Identität der Bürger/innen genutzt wird, darf die Überprüfung der eindeutigen Identität in den Fällen, in denen die eImpf-Gesundheitsdiensteanbieter oder Apotheken

1. zur Speicherung, Aktualisierung, Stornierung, Nachtragung und Vidierung der Angaben gemäß § 24c Abs. 2 oder

2. zur Impfberatung und Impfanamnese

auf den eImpfpass zugreifen, nicht länger als 28 Tage zurückliegen.

(3) Der Gesundheitsdiensteanbieterindex (§ 19) dient der Überprüfung der eindeutigen Identität von Gesundheitsdiensteanbietern gemäß § 24d Abs. 1 Z 1.

(4) Das Berechtigungssystem (§ 21) dient der Verwaltung der in einer Verordnung gemäß § 28b Abs. 2 Z 4 nach den Kriterien gemäß § 28b Abs. 7 festgelegten spezifischen Zugriffsberechtigungen auf die im zentralen Impfregister gespeicherten Daten und der Steuerung der Zugriffe.

(5) Das Protokollierungssystem (§ 22) dient der Dokumentation und Nachvollziehbarkeit der Verarbeitung der im zentralen Impfregister gespeicherten Daten unter Anwendung des § 22 Abs. 3 bis 6; zu protokollieren sind gemäß Art. 32 DSGVO

1. die in § 22 Abs. 2 Z 1 bis 3, 7 und 8 genannten Daten,

2. die eindeutige elektronische Identität des Gesundheitsdiensteanbieters, der den Vorgang ausgelöst hat,

3. der Name der natürlichen Person, die die im zentralen Impfregister gespeicherten Daten tatsächlich verarbeitet hat,

4. die eindeutige Kennung der im zentralen Impfregister gespeicherten Daten.

(6) Das Zugangsportal (§ 23) dient der zusammenfassenden Darstellung der im zentralen Impfregister gespeicherten Daten gemäß § 24e Abs. 3.

Auswertungen

Datenqualitätsmanagement

§ 24h. (1) Das Datenqualitätsmanagement umfasst die Sicherstellung von Vollständigkeit, Aktualität, Fehlerfreiheit, Konsistenz und Verfügbarkeit der im zentralen Impfregister gespeicherten Daten.

(2) Die ELGA- und eHealth-Supporteinrichtung hat im Wege der eHealth-Servicestelle (§ 17 Abs. 2 Z 2) zur Erfüllung dieser Aufgabe

1. die im zentralen Impfregister gespeicherten Daten sowie die Protokolldaten unter Zugrundelegung der in Abs. 1 genannten Kriterien auf Anforderung des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin zu analysieren und Empfehlungen für Maßnahmen zur Sicherstellung und Verbesserung der Datenqualität zu erarbeiten,

2. die im Rahmen von Analysen gemäß Z 1 erkannten Fehler einer Berichtigung gemäß Abs. 3 zuzuführen,

3. entsprechend standardisierter Vorgaben oder über Einzelanforderung des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin Berichte über das Impfgeschehen aufzubereiten und zur Verfügung zu stellen,

4. den für das Gesundheitswesen zuständigen Bundesminister oder die zuständige Bundesministerin bei der Erfüllung der Verpflichtungen gegenüber gesetzlich festgelegten Kontrolleinrichtungen und bei der Erfüllung internationaler Berichtspflichten durch Bereitstellung der jeweils angeforderten Informationen zu unterstützen sowie

5. Informationen und Beschwerden gemäß § 24e Abs. 8 entgegen zu nehmen.

(4) Berichte gemäß Abs. 2 Z 3 und Informationen gemäß Abs. 2 Z 4 dürfen ausschließlich anonymisiert bereitgestellt werden. Hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin Grund zur Annahme, dass Berichte gemäß Abs. 2 Z 3 Daten enthalten, durch die Rückschlüsse auf eine natürliche Person gezogen werden können, so hat er oder sie diese Daten von einer allfälligen Veröffentlichung auszunehmen.

6. Abschnitt:

Grenzüberschreitende Gesundheitsversorgung

1. Unterabschnitt

Allgemeine Bestimmungen zu MyHealth@EU

Allgemeine Bestimmungen zur grenzüberschreitenden Gesundheitsversorgung

§ 24i. (1) Die grenzüberschreitende Gesundheitsversorgung über MyHealth@EU ist für Zwecke der Gesundheitsvorsorge sowie aus Gründen des öffentlichen Interesses im Bereich öffentliche Gesundheit erforderlich gemäß Art. 9 Abs. 2 lit. h und i DSGVO.

(2) Die Teilnahme an MyHealth@EU ist für in Österreich wohnhafte oder sozialversicherte natürliche Personen freiwillig und unentgeltlich. Sie setzt das erklärte Einverständnis der Teilnehmenden (Opt-In) voraus, welches jederzeit zurückgezogen werden kann. Das Einverständnis (Opt-in) stellt keine Einwilligung iSd Art. 9 Abs. 2 lit. a DSGVO dar und erfüllt daher keine dementsprechende Rechtswirkung.

(3) Sozialversicherungsrechtliche Vorschriften bleiben von diesem Abschnitt unberührt.

Nationale Kontaktstelle für digitale Gesundheit

§ 24j. (1) Zur Sicherstellung der in § 24i genannten Ziele ist von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als datenschutzrechtlich Verantwortlichem oder Verantwortlicher (Art. 4 Z 7 DSGVO) die Nationale Kontaktstelle für digitale Gesundheit einzurichten und zu betreiben. Sie ist Teil der öffentlichen Gesundheitstelematik-Infrastruktur gemäß § 3 Z 15 Gesundheits-Zielsteuerungsgesetz (G-ZG), BGBl. I Nr. 26/2017.

(2) Aufgaben der Nationalen Kontaktstelle sind die Kommunikation mit den ELGA-Komponenten gemäß § 24k Abs. 3 sowie anwendungsbezogenen Komponenten gemäß den folgenden Unterabschnitten und die Kommunikation mit den Kontaktstellen anderer MyHealth@EU-Mitgliedstaaten.

(3) Die von der Nationalen Kontaktstelle gespeicherten Protokolldaten haben neben nicht-personenbezogenen Meta-Daten auch Angaben zum Patienten oder zur Patientin (MyHealth@EU-ID gemäß § 24l Abs. 2) sowie zur Identität des Gesundheitsdiensteanbieters (§ 24m) zu enthalten und sind zur Nachvollziehbarkeit der Rechtmäßigkeit von Zugriffen spätestens 10 Jahre nach Abschluss der jeweiligen, ursprünglichen Verarbeitung für die Zwecke der Anwendungen der folgenden Unterabschnitte zu löschen.

Grundsätze der Datenverarbeitung

§ 24k. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von personenbezogenen Daten gemäß folgenden Unterabschnitten ist nur zulässig, wenn

1. im Falle Österreichs als Herkunftsmitgliedstaat die in Österreich wohnhafte oder sozialversicherte natürliche Person ihr Einverständnis (Opt-In) zur Datenverarbeitung gemäß § 24i Abs. 2 erklärt hat,

2. die natürliche Person gemäß § 24l eindeutig identifiziert wurde,

3. dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als Nationale Kontaktstelle oder als ELGA- und eHealth-Supporteinrichtung gemäß § 24m eindeutig identifiziert wurde und gemäß Abs. 2 zur Verarbeitung der Daten berechtigt ist sowie

4. die gemäß den folgenden Unterabschnitten beteiligten Gesundheitsdiensteanbieter gemäß § 24m eindeutig identifiziert wurden und gemäß dem jeweiligen Unterabschnitt zur Verarbeitung der Daten berechtigt sind.

(2) Die durch MyHealth@EU verfügbar gemachten Daten dürfen ausschließlich

1. für Zwecke der grenzüberschreitenden Gesundheitsversorgung von

a) dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als Nationalen Kontaktstelle,

b) Gesundheitsdiensteanbietern, die eine natürliche Person anderer MyHealth@EU-Mitgliedstaaten in Österreich gemäß den folgenden Unterabschnitten behandeln oder betreuen sowie

2. zum Zwecke der Wahrnehmung der Rechte der natürlichen Person gemäß § 24n Abs. 1 von

a) der natürlichen Person selbst,

b) gesetzlichen oder bevollmächtigten Vertreter/inne/n der natürlichen Person,

c) der ELGA- und eHealth-Supporteinrichtung sowie

d) der Nationalen Kontaktstelle

verarbeitet werden.

(3) Für die Zwecke des Abs. 2 dürfen die folgenden ELGA-Komponenten verwendet werden:

1. der Patient/inn/enindex gemäß § 18,

2. der Gesundheitsdiensteanbieterindex gemäß § 19,

3. das Berechtigungssystem gemäß § 21,

4. das Protokollierungssystem gemäß § 22 sowie

5. das Zugangsportal gemäß § 23.

Überprüfung der Identität von natürlichen Personen im grenzüberschreitenden Kontext

§ 24l. (1) Im Falle Österreichs als Herkunftsmitgliedstaat hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin eine E-ID taugliche Anwendung gemäß den §§ 4 ff E-GovG bereitzustellen, die es natürlichen Personen ermöglicht, sich auf Basis der Verwendung der Funktion E-ID im jeweiligen Behandlungsmitgliedstaat zu identifizieren. Nach erfolgter eindeutiger Identifikation der natürlichen Person unter Verwendung der Funktion E-ID hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin ein eindeutiges Identifizierungsmerkmal zu erstellen und so anzuzeigen, dass der behandelnde Gesundheitsdiensteanbieter eine Überprüfung dieser Daten vornehmen kann. § 18 Abs. 4a Z 2 bleibt hiervon unberührt.

(2) Zum Zwecke der Überprüfung der Identität von natürlichen Personen sowie der eindeutigen Zuordnung von Dokumenten ist der für das Gesundheitswesen zuständige Bundesminister oder die für das Gesundheitswesen zuständige Bundesministerin ermächtigt, das bereichsspezifische Personenkennzeichen Gesundheit (bPK-GH) für die Zwecke dieses Abschnitts zu verwenden, und auf den Patient/inn/enindex gemäß § 18 zuzugreifen. Zur Übermittlung personenbezogener Daten an die Nationale Kontaktstelle eines MyHealth@EU-Mitgliedstaats hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin das bPK-GH durch eine als „MyHealth@EU-ID“ zu bezeichnende, kryptographische Ableitung zu ersetzen. Eine Zuordnung der MyHealth@EU-ID zu einem bPK-GH darf ausschließlich für die Zwecke dieses Abschnitts erfolgen. Die bPK-GH darf nicht an die Nationale Kontaktstelle eines anderen MyHealth@EU-Mitgliedstaats übermittelt werden, sondern lediglich die MyHealth@EU-ID.

(3) Natürliche Personen anderer MyHealth@EU-Mitgliedstaaten sind von österreichischen Gesundheitsdiensteanbietern mittels der vom jeweiligen Herkunftsmitgliedstaat vorgegebenen Identifikationsmittel eindeutig zu identifizieren. Zu diesem Zweck dürfen Gesundheitsdiensteanbieter insbesondere die folgenden Daten der natürlichen Personen verarbeiten:

1. Angaben zur Person (akademische Titel, Vor- und Nachname(n), Geburtsdatum, Geschlecht)

2. Angaben zum Wohnort (Wohnsitzstaat, Adresse)

3. Angaben zum Identitätsnachweis (Reisepass- und Personalausweis-Nummern, Sozialversicherungsnummer, sonstige numerische oder alphanumerische Identifikatoren)

Überprüfung der Identität von Gesundheitsdiensteanbietern im grenzüberschreitenden Kontext

§ 24m. Nachweis und Prüfung der eindeutigen Identität von Gesundheitsdiensteanbietern in Österreich haben

1. gemäß § 4 Abs. 4 und

2. für die Zwecke des § 2 Z 2 lit. a bis d mittels Zwei-Faktor-Authentifizierung der jeweils zugreifenden, natürlichen Person

zu erfolgen.

Rechte der natürlichen Personen

§ 24n. (1) In Österreich wohnhafte oder sozialversicherte natürliche Personen sowie deren gesetzliche oder bevollmächtigte Vertreter/innen haben das Recht, elektronisch durch einen Zugang über das Zugangsportal (§ 23) oder direkt gegenüber dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als ELGA- und eHealth-Supporteinrichtung (§ 17) die folgenden Rechte geltend zu machen:

1. Wahrnehmung der Betroffenenrechte gemäß dem Kapitel III der DSGVO,

2. Abgabe oder Zurückziehung des Einverständnisses zur Teilnahme (Opt-in) gemäß § 24i Abs. 2.

(2) Die für die Wahrnehmung der Rechte erforderliche Entscheidungsfähigkeit (§ 24 Abs. 2 ABGB) wird im Zweifel ab Vollendung des 14. Lebensjahres (mündige Minderjährige) vermutet.

(3) Natürliche Personen anderer MyHealth@EU-Mitgliedstaaten haben das Recht, ihre Betroffenenrechte gemäß Abs. 1 Z 1 auch gegenüber den in Abs. 1 angeführten Stellen auszuüben. Falls kein Verantwortlicher iSd Art. 4 Z 7 DSGVO seinen Sitz in Österreich hat, ist die Anfrage an die zuständige Nationale Kontaktstelle für digitale Gesundheit weiterzuleiten.

2. Unterabschnitt

Elektronische Verschreibungen und elektronische Abgaben (EU-Rezept)

(2) Zum Zwecke der Erstellung des EU-Rezepts darf der Dachverband der Sozialversicherungsträger neben den ELGA-Komponenten gemäß § 24k Abs. 3 die Anwendung „e-Rezept“ des elektronischen Verwaltungssystems des Dachverbands der Sozialversicherungsträger gemäß § 31a ASVG und die Verordnungsdaten des jeweiligen e-Rezeptes heranziehen. Sozialversicherungsrechtliche Vorschriften bleiben von diesem Abschnitt unberührt.

(3) Die Nationale Kontaktstelle hat ihre Aufgaben gemäß § 24j Abs. 3 für das EU-Rezept zu erfüllen.

Österreich als Herkunftsmitgliedstaat

Österreich als Behandlungsmitgliedstaat

§ 24q. (1) Apotheken dürfen auf elektronische Verschreibungen, die ihnen aus anderen MyHealth@EU-Mitgliedstaaten über MyHealth@EU von der Nationalen Kontaktstelle gemäß § 24j übermittelt werden, zugreifen und derart verschriebene Arzneimittel, unter Wahrung der berufsrechtlichen Bestimmungen des Apothekengesetzes, abgeben. Geben Apotheken Arzneimittel auf der Grundlage einer solchen Verschreibung ab, so haben sie die Abgabe dem MyHealth@EU-Mitgliedstaat, der die Verschreibung ausgestellt hat, über MyHealth@EU an die Nationale Kontaktstelle zu melden (elektronische Abgabe).

(2) Die Erfüllung der in § 24m genannten Voraussetzungen in Apotheken hat mittels geeigneter elektronischer Identifikation (z. B. mittels Identifikationskarten) der dort beschäftigten natürlichen Personen zu erfolgen.

Grundsätze der Datenverarbeitung

(2) Gemeinsame Verantwortliche des EU-Rezepts im Sinne des Art. 4 Z 7 in Verbindung mit Art. 26 DSGVO sind:

1. im Falle Österreichs als Herkunftsmitgliedstaat:

a) der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin als Nationale Kontaktstelle und

b) der jeweils behandelnde Arzt oder die jeweils behandelnde Ärztin,

2. im Falle Österreichs als Behandlungsmitgliedstaat

a) der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin als Nationale Kontaktstelle sowie

b) die jeweils abgebende Apotheke,

wobei die Festlegung der datenschutzrechtlichen Pflichten im Sinne des Art. 26 DSGVO durch Verordnung des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin zu erfolgen hat.

3. Unterabschnitt

EU-Patientenkurzakte

Allgemeine Bestimmungen zur EU-Patientenkurzakte

§ 24s. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat eine grenzüberschreitende Anwendung zum Abruf der EU-Patientenkurzakte gemäß § 2 Abs. 2 Z 28 einzurichten und zu betreiben. Die grenzüberschreitende Anwendung zum Abruf der EU-Patientenkurzakte ist Teil der öffentlichen Gesundheitstelematik-Infrastruktur gemäß § 3 Z 15 G-ZG.

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin als Nationale Kontaktstelle hat seine/ihre Aufgaben gemäß § 24j Abs. 3 für den Abruf der EU-Patientenkurzakte zu erfüllen.

(3) Im Rahmen der EU-Patientenkurzakte dürfen (sofern vorhanden und zutreffend) die folgenden Datenarten verarbeitet werden:

1. Angaben zur natürlichen Person (inklusive Identitätsdaten, Kontaktdaten, Angaben zur Versicherung),

2. Allergien,

3. Medizinische Warnungen,

4. Informationen über Impfungen/Prophylaxen, gegebenenfalls in Form eines Impfausweises,

5. Medizinische Probleme (aktuelle, gelöste, abgeschlossene oder inaktive Probleme, auch in einer internationalen Kodierung zur Klassifizierung),

6. Informationen in Textform zur medizinischen Vorgeschichte,

7. Medizinprodukte und Implantate,

8. Medizinische Verfahren oder Pflegeverfahren,

9. Funktionszustand,

10 Derzeitige und frühere Medikation,

11. Gesundheitsrelevante Beobachtungen zum sozialen Hintergrund (Konsum von Alkohol, Tabak, etc.),

12. Schwangerschaftshistorie,

13. von der natürlichen Person selbst zur Verfügung gestellte Daten,

14. Beobachteter Gesundheitszustand,

15. der aktuelle Versorgungsplan,

16. Angaben zu seltenen Krankheiten (zum Beispiel Einzelheiten über die Auswirkungen oder Merkmale der Krankheit, etc.) und

17. Ergebnisse von Untersuchungen.

Österreich als Behandlungsmitgliedstaat

§ 24t. (1) Gesundheitsdiensteanbieter im Sinne des 3. Unterabschnitts (im Folgenden „Gesundheitsdiensteanbieter“) sind ELGA-Gesundheitsdiensteanbieter im Sinne des § 2 Z 10 lit. a.

(2) Gesundheitsdiensteanbieter dürfen auf die EU-Patientenkurzakte, die ihnen aus anderen MyHealth@EU-Mitgliedstaaten mittels der grenzüberschreitenden Anwendung gemäß § 24s Abs. 1 über MyHealth@EU von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als Nationalen Kontaktstelle gemäß § 24j übermittelt wird, zugreifen.

(3) Die Identifikation des Gesundheitsdiensteanbieters als natürliche Person oder der von ihm beschäftigten natürlichen Personen hat gemäß § 24m zu erfolgen.

Grundsätze der Datenverarbeitung

§ 24u. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von über MyHealth@EU verfügbar gemachten Daten gemäß § 24t ist nur zulässig, wenn die Grundsätze gemäß § 24k eingehalten werden.

(2) Gemeinsame Verantwortliche der EU-Patientenkurzakte im Sinne des Art. 4 Z 7 in Verbindung mit Art. 26 DSGVO sind:

1. im Falle Österreichs als Behandlungsmitgliedstaat

a) der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin als Nationale Kontaktstelle sowie

b) der Gesundheitsdiensteanbieter,

wobei die Festlegung der datenschutzrechtlichen Pflichten im Sinne des Art. 26 DSGVO durch Verordnung des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin zu erfolgen hat.

7. Abschnitt

Schlussbestimmungen

Verwaltungsstrafbestimmungen

§ 25. (1) Sofern die Tat nicht nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, wer

1. es entgegen § 3 Abs. 3 unterlässt, technisch zu gewährleisten, dass es keine Verwendung von Gesundheitsdaten außerhalb der zulässigen Rollen gibt, oder

2. entgegen § 4 die Identifikation von Personen, deren Gesundheitsdaten übermittelt werden sollen, oder von Gesundheitsdiensteanbietern unterlässt, oder

3. entgegen § 5 Abs. 1 Nachweis oder Prüfung der Rolle von Gesundheitsdiensteanbietern unterlässt, oder

4. entgegen § 6 unterlässt, durch Datensicherheitsmaßnahmen die Vertraulichkeit von Gesundheitsdaten zu gewährleisten, oder

5. entgegen § 7 Nachweis oder Prüfung der Integrität elektronischer Gesundheitsdaten unterlässt, oder

6. die erleichterten Bedingungen gemäß § 27 in Anspruch nimmt, ohne die Voraussetzungen dafür zu erfüllen,

und ist mit einer Geldstrafe bis zu 10 000 Euro zu bestrafen.

(2) Sofern die Tat nicht nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, wer

1. entgegen § 16 Abs. 3 Personen im Zugang zur medizinischen Versorgung oder hinsichtlich der Kostentragung schlechter stellt, oder

4. als Gesundheitsdiensteanbieter Angaben über Impfungen vorsätzlich verarbeitet, ohne dazu berechtigt zu sein, oder

und ist mit einer Geldstrafe bis zu 10 000 Euro zu bestrafen. Der Versuch ist strafbar.

(3) Sofern die Tat nicht nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht ebenso eine Verwaltungsübertretung, wer es unterlässt

2. entgegen § 24c Abs. 2 Angaben über Impfungen in der eHealth-Anwendung eImpfpass

zu speichern und ist mit einer Geldstrafe bis zu 3 630 Euro zu bestrafen. Sofern aus der Tat eine schwer wiegende Gefahr für Leib, Leben oder Gesundheit einer Person entstanden ist, ist der Täter/die Täterin mit Geldstrafe bis zu 21 800 Euro zu bestrafen.

(4) Die Zuständigkeit der Datenschutzbehörde bleibt in den Fällen des Abs. 1 und Abs. 2 Z 2 bis 5 unberührt.

Inkrafttreten

§ 26. (1) Dieses Bundesgesetz tritt mit 1. Jänner 2013 in Kraft.

(2) Das Gesundheitstelematikgesetz, BGBl. I Nr. 179/2004, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 36/2010, tritt mit Ablauf des 31. Dezember 2012 außer Kraft.

(3) § 7 Abs. 1 und § 28 Abs. 1 Z 2 in der Fassung des Bundesgesetzes BGBl. I Nr. 50/2016 treten mit 1. Juli 2016 in Kraft.

(4) § 14 Abs. 5 und 6, § 24 Abs. 3 sowie § 28 Abs. 2 Z 5 in der Fassung des Deregulierungsgesetzes 2017, BGBl. I Nr. 40/2017, treten mit dem der Kundmachung folgenden Tag in Kraft.

(5) § 9 Abs. 2, § 24a samt Überschriften, die Überschrift des 6. Abschnitts sowie § 28 Abs. 2a und 3 in der Fassung des Bundesgesetzes, BGBl. I Nr. 131/2017, treten mit dem auf den Tag der Kundmachung folgenden Tag in Kraft.

(6) Der Titel, das Inhaltsverzeichnis (Abschnittsüberschrift des 2. Abschnitts, § 14) und die § 1 Abs. 1, Abs. 2, Abs. 2 Z 1, § 2 Z 1, Z 1a, Z 2, Z 3, die Abschnittsbezeichnung des 2. Abschnitts, § 3 Abs. 1, Abs. 2, Abs. 3 und Abs. 4, § 4, § 4 Abs. 1, Abs. 2, Abs. 3, Abs. 5 Z 1 und Abs. 6, § 6 Abs. 1, Abs. 1 Z 1 lit. a, Abs. 2 und Abs. 3, § 7 Abs. 1 und Abs. 2, § 8 Abs. 1, § 9 Abs. 1 und Abs. 4, § 10 Abs. 1 Z 8 und Abs. 7, § 13 Abs. 1, Abs. 2, Abs. 6 und Abs. 7, Überschrift zu § 14, § 14 Abs. 1, Abs. 1 Z 3, Abs. 2, Abs. 3, Abs. 3a, Abs. 4 und Abs. 5, § 15 Abs. 1 Z 1, § 16 Abs. 2 Z 2 lit. c und Abs. 5, § 16a Abs. 3, § 17 Abs. 2, § 18 Abs. 3, Abs. 4, Abs. 4 Z 3 und Z 4, Abs. 5 und Abs. 6, § 19 Abs. 1, Abs. 2 und Abs. 3, § 20 Abs. 1, Abs. 2, Abs. 3 und Abs. 4 Z 2, § 22 Abs. 1, Abs. 2, Abs. 4, Abs. 5, Abs. 5 Z 5 und Abs. 6, § 23 Abs. 3, § 24 Abs. 1, Abs. 2 und Abs. 3, § 24a Abs. 1 Z 2 und Z 3, § 25, § 26 Abs. 6, § 27 Abs. 2, Abs. 3, Abs. 4, Abs. 9, Abs. 10, Abs. 11, Abs. 12, Abs. 13, Abs. 14 und Abs. 15 sowie § 28 Abs. 2 Z 1, Z 3, Z 4 und Z 11, Abs. 2a Z 1 und Abs. 4 in der Fassung des BGBl. I Nr. 37/2018 treten mit 25. Mai 2018 in Kraft.

(7) § 2 Z 9 lit. d in der Fassung des Bundesgesetzes BGBl. I Nr. 59/2018 tritt mit 1. Juli 2018 in Kraft.

(8) § 27 Abs. 12a, Abs. 12b, Abs. 13, Abs. 14, Abs. 14a, Abs. 14b, Abs. 14c und Abs. 16 in der Fassung des Bundesgesetzes BGBl. I. Nr. 16/2020 (Anm.: BGBl. I Nr. 16/2020) tritt mit dem der Kundmachung folgenden Tag in Kraft.

(9) In der Fassung des Bundesgesetzes BGBl. I. Nr. 115/2020 (Anm.: BGBl. I Nr. 115/2020) treten in Kraft:

1. Das Inhaltsverzeichnis (§ 4a, 5. Abschnitt: eHealth-Anwendungen, 1. Unterabschnitt: Primärversorgung, § 24a, 2. Unterabschnitt: Elektronischer Impfpass, § 24b bis § 24g, 6. Abschnitt: Schlussbestimmungen), § 1 Abs. 2 Z 2, 2 Z 3 lit. e und Z 4, § 2 Z 14, Z 16 und Z 17, § 3 Abs. 2, § 4a, § 5 Abs. 2, § 8 Abs. 3, § 9 Abs. 1, Abs. 3 Z 3, § 10 Abs. 3 bis 5 und Abs. 7, § 11 Abs. 1 und 3, § 12, § 14 Abs. 2 Z 1, § 15 Abs. 2, § 16 Abs. 5, § 17 Abs. 1 und 2, § 18 Abs. 4 Z 4 und Z 5, § 19 Abs. 1, § 20 Abs. 4 Z 2 und Abs. 6, § 21, § 22 Abs. 1, 4 und 5, § 23 Abs. 1, die Überschrift des 1. Unterabschnitts des 5. Abschnitts: Primärversorgung, § 24a Abs. 1 und 2 Z 1 lit. c, der 2. Unterabschnitt des 5. Abschnitts samt Überschrift, § 25, § 27 Abs. 1, 3, 10 Z 4 lit. f und Z 17, § 28 Abs. 1, 1 Z 1, 2, 2a, 3 in der Fassung der Z 68 des genannten Bundesgesetzes, 4 und 5 in der Fassung der Z 71 des genannten Bundesgesetzes, § 29 und § 31 mit dem auf den Tag der Kundmachung folgenden Tag; die Paragraphenüberschrift zu § 24a tritt mit Ablauf des Tages der Kundmachung außer Kraft;

2. § 4 Abs. 6, § 18 Abs. 4 Z 2 und § 19 Abs. 2 Z 2 mit dem auf den Tag der Kundmachung folgenden Tag und finden erst Anwendung, wenn die technischen und organisatorischen Voraussetzungen für den Echtbetrieb des E-ID vorliegen. Dieser Zeitpunkt ist gemäß § 24 Abs. 6 E-GovG von dem Bundesminister oder der Bundesministerin für Inneres im Bundesgesetzblatt kundzumachen; ^(Anm. 1)

3. § 2 Z 11, § 8 Abs. 2, § 9 Abs. 3 Z 2 lit. c, § 15 Abs. 1 Z 1, § 16a Abs. 1, § 18 Abs. 1, 3 und 9, § 27 Abs. 2 Z 2 und 10 Z 4 lit. e, § 28 Abs. 3 in der Fassung der Z 67 des genannten Bundesgesetzes und 5 in der Fassung der Z 70 des genannten Bundesgesetzes mit 01. Jänner 2020.

(10) § 27 Abs. 12a, 12b, 14a bis 14c sowie 16 tritt mit Ablauf des 30. Juni 2022 außer Kraft.

(11) Das Inhaltsverzeichnis, § 7 Abs. 1, § 20a samt Überschrift, § 20b samt Überschrift, § 24c Abs. 4 und 4a, § 27 Abs. 16 und 17, § 28 Abs. 2a Z 2 lit. i bis k und Abs. 5 sowie § 32 in der Fassung des Bundesgesetzes BGBl. I. Nr. 34/2021 (Anm.: BGBl. I Nr. 34/2021) treten mit dem der Kundmachung folgenden Tag in Kraft. Die Speicherung der Verordnungen gemäß § 20b Abs. 3 hat erstmals im März 2021 zu erfolgen. § 20b tritt mit Ablauf des 31. Dezembers 2021 außer Kraft.

(12) Das Inhaltsverzeichnis (Überschrift zum 2. Unterabschnitt des 5. Abschnitts, § 24b), § 2 Z 2 und Z 10, § 18 Abs. 6 Z 1, § 20b samt Überschrift, die Überschrift zum 2. Unterabschnitt des 5. Abschnitts, § 24b samt Überschrift, § 24c Abs. 1, § 24f Abs. 2, § 27 Abs. 17 und § 28 Abs. 2a Z 2 in der Fassung des Bundesgesetzes BGBl. I. Nr. 39/2022 (Anm.: BGBl. I Nr. 39/2022) treten mit 09. April 2022 in Kraft. Die Speicherung der Verordnungen gemäß § 20b Abs. 3 hat erstmals im April 2022 zu erfolgen. Der Eintrag im Inhaltsverzeichnis zu § 20b sowie § 20b treten mit Ablauf des 30. Juni 2023 außer Kraft.

(13) § 22 Abs. 2 Z 4 sowie § 27 Abs. 18 und 19 in der Fassung des Bundesgesetzes BGBl. I Nr. 102/2022 treten rückwirkend mit 1. Juli 2022 in Kraft. § 27 Abs. 18 in der Fassung dieses Bundesgesetzes tritt mit Ablauf des 31. Dezember 2022 außer Kraft.

(14) § 18 Abs. 6 Z 2, § 24c Abs. 4, § 24f Abs. 2, Abs. 4 Z 1 lit. a sowie Z 2 lit. b und c in der Fassung des Bundesgesetzes BGBl. I. Nr. 166/2022 treten am 01. Jänner 2023 in Kraft; gleichzeitig tritt § 24c Abs. 5 außer Kraft.

(15) § 27 Abs. 18 in der Fassung des Bundesgesetzes BGBl. I Nr. 206/2022 tritt mit 01. Jänner 2023 in Kraft. § 27 Abs. 18 und 19 treten mit Ablauf des 30. Juni 2023 außer Kraft.

(16) In der Fassung des Bundesgesetzes BGBl. I. Nr. 82/2023 (Anm.: BGBl. I Nr. 82/2023) treten in Kraft

1. das Inhaltsverzeichnis und die §§ 12a, 12b und § 23 samt Überschriften mit 30. Juni 2023;

2. § 20 Abs. 1 und § 28 Abs. 2 Z 3 lit. a sublit. bb mit 1. Jänner 2028.

(17) In der Fassung des Bundesgesetzes BGBl. I. Nr. 191/2023 (Anm.: BGBl. I Nr. 191/2023) treten in Kraft

1. das Inhaltsverzeichnis, § 2 Z 9, § 3 Abs. 2, § 8a samt Überschrift, die Überschrift zu § 9, § 9 Abs. 3 Z 1, § 13 Abs. 3, § 16 Abs. 1 Z 2, § 18 Abs. 3 und 7, § 23 Abs. 1, § 27 Abs. 13, 14, 18 und 19 mit 1. Jänner 2024; gleichzeitig tritt § 27 Abs. 5 außer Kraft;

2. § 12a Abs. 3 und § 27 Abs. 2 bis 4 mit 1. Juli 2025;

3. § 25 samt Überschrift mit 1. Jänner 2026.

(18) In der Fassung des Bundesgesetzes BGBl. Nr. I 105/2024 (Anm.: BGBl. I Nr. 105/2024)

1. treten mit 30. September 2024 die Einträge im Inhaltsverzeichnis zu den §§ 17, 19, 24b, 24g, 24h und 28 bis 28c, § 1 Abs. 1, § 2 Z 9 lit. a, b, e bis g, Z 10 lit. a sublit. cc und lit. d bis g, Z 12, 14, 18 und 19, § 4 Abs. 3, § 4a Abs. 1, § 5 Abs. 2, § 6 Abs. 1 Z 2, § 8 Abs. 3, § 8a Abs. 1 und 4, § 9 Abs. 1, Abs. 3 Z 1 lit. g bis i, Z 2 lit. b und Z 3, § 10 Abs. 3 bis 5 und Abs. 7, § 11 Abs. 1 und 3, § 12, 12a Abs. 1 und 2, § 12b, § 13 Abs. 2 bis 3a, § 14 Abs. 1 Z 2 bis 3, Abs. 2 Z 2 lit. c und Z 3, Abs. 2a und 2b, Abs. 3 sowie Abs. 4, § 15 Abs. 2 und 4, § 16 Abs. 1, 3 und 5, § 17 samt Überschrift, § 18 Abs. 1 und 2, Abs. 4 bis 4b, Abs. 6 Z 2 und Abs. 9, die Überschrift zu § 19, § 19 Abs. 1 und 2, § 20 Abs. 1 bis 3, § 21 Abs. 2 und Abs. 2a, § 22 Abs. 2 Z 4, § 23, § 24 Abs. 1 Z 1, Abs. 2 und Abs. 3 Z 1, § 24a Abs. 1 und Abs. 2 Z 1 lit. c, § 24b samt Überschrift, § 24c samt Überschrift, § 24d, § 24e samt Überschrift, § 24f Abs. 2, 4 und 6, § 24g samt Überschrift, § 24h samt Überschrift, § 26 Abs. 9 Z 2, § 27 Abs. 1 bis 4, Abs. 6 bis 9 sowie Abs. 18 bis 20, § 28 bis § 28c samt Überschriften, § 29 Abs. 2 und § 31 in Kraft; gleichzeitig treten § 2 Z 15, § 12a Abs. 2 Z 4, § 14 Abs. 5, § 15 Abs. 1, § 18 Abs. 4 Z 5, § 21 Abs. 4 zweiter Satz, und § 27 Abs. 17 außer Kraft; bis zur Erlassung einer Verordnung gemäß § 28a Abs. 1 Z 7 ist das Auskunftsrecht gemäß Art. 15 DSGVO von den betroffenen Personen sowohl hinsichtlich ELGA als auch hinsichtlich des eImpfpasses gegenüber der ELGA-Ombudsstelle wahrzunehmen;

2. tritt mit 1. Jänner 2025 § 27 Abs. 13 und 14 in Kraft; gleichzeitig tritt § 27 Abs. 12 außer Kraft;

3. tritt mit 1. Juli 2025 § 12a Abs. 3 in Kraft;

4. tritt mit 1. Jänner 2026 § 25 Abs. 2 Z 3, 4 und 5 und Abs. 4 in Kraft.

(19) Die Einträge im Inhaltsverzeichnis zum 6. und 7. Abschnitt sowie zu § 28c und § 28d, § 1 Abs. 2 Z 3 bis 5, § 2 Z 2 Einleitungsteil sowie lit. e und f, § 2 Z 9 lit. e, § 2 Z 20 bis 28, § 12a Abs. 2 Z 3 und 4a, § 12b Abs. 1 Z 3 bis 5 sowie der Schlussteil und Abs. 3, § 18 Abs. 1 Z 1, § 18 Abs. 4a Einleitungsteil sowie Z 2, Abs. 4b Z 1 und 4, § 21 Abs. 1 und 4, § 22 Abs. 1, § 23 Abs. 1 Z 1 bis 3, der 6. Abschnitt, die Abschnittsbezeichnung des 7. Abschnitts, § 28 Abs. 3, § 28c und § 28d in der Fassung des Bundesgesetzes BGBl. Nr. I 71/2025 (Anm.: BGBl. I Nr. 71/2025) treten mit 15. Februar 2026 in Kraft. § 2 Z 9 lit. f, § 12 samt Eintrag im Inhaltsverzeichnis und Überschrift treten mit 15. Februar 2026 außer Kraft.

(20) § 2 Z 10 lit. e, § 13 Abs. 3 (Einleitungsteil), § 13 Abs. 3 Z 6 und § 28a Abs. 1 Z 3 in der Fassung des Bundesgesetzes BGBl. Nr. I 71/2025 (Anm.: BGBl. I Nr. 71/2025) treten mit dem der Kundmachung folgenden Tag in Kraft, § 13 Abs. 3 Z 4 in der Fassung des Bundesgesetzes BGBl. Nr. I 71/2025 (Anm.: BGBl. I Nr. 71/2025) tritt mit 1. Jänner 2027 in Kraft.

(21) § 20 Abs. 3 in der Fassung des Bundesgesetzes BGBl. I Nr. 93/2025 tritt mit 1. Dezember 2025 in Kraft. Aufgrund von § 20 Abs. 3 in der Fassung des Bundesgesetzes BGBl. I Nr. 71/2025 rechtmäßig auf ELGA unzugänglich gemachte Verweise sind von den Auftragsverarbeitern (Art. 4 Z 8 DSGVO), die die gemäß § 28a Abs. 1 Z 5 geeigneten Datenspeicher und Verweisregister für ELGA betreiben, wieder herzustellen.

(22) Das Inhaltsverzeichnis sowie § 8a samt Überschrift in der Fassung des Bundesgesetzes BGBl. I Nr. 94/2025 treten nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten in Kraft.

(23) § 27 Abs. 20 in der Fassung des Bundesgesetzes BGBl. I Nr. 67/2026 tritt rückwirkend mit 1. Juli 2026 in Kraft.

(__________________

Anm. 1: gemäß BGBl. II Nr. 340/2023: 5.12.2023)

Übergangsbestimmungen

(2) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, gilt § 13 Abs. 3 ab 1. Jänner 2015 für

1. Krankenanstalten gemäß § 3 Abs. 2b KAKuG, die über Landesgesundheitsfonds abgerechnet werden,

2. die Allgemeine Unfallversicherungsanstalt, soweit sie gemäß § 24 Abs. 3 Z 1 ASVG Krankenanstalten betreibt, sowie

3. Einrichtungen der Pflege gemäß § 2 Z 10 lit. e.

(3) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, gilt ab 1. Juli 2016 § 13 Abs. 3 für

1. Apotheken gemäß § 1 des Apothekengesetzes,

2. freiberuflich tätige Ärzte und Ärztinnen,

3. Gruppenpraxen sowie

4. selbstständige Ambulatorien gemäß § 3a KAKuG.

(4) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, gilt ab 1. Jänner 2017 § 13 Abs. 3 für private Krankenanstalten gemäß § 1 Abs. 2 des Privatkrankenanstalten-Finanzierungsfondsgesetzes (PRIKRAF-G), BGBl. I Nr. 165/2004.

(Anm.: Abs. 5 aufgehoben durch Art. 7 Z 18, BGBl. I Nr. 191/2023)

(6) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, gilt ab 1. Jänner 2022 § 13 Abs. 3 für

1. freiberuflich tätige Zahnärzte und Zahnärztinnen,

2. zahnärztliche Gruppenpraxen sowie

3. selbstständige Zahnambulatorien.

(7) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, hat spätestens mit 1. Jänner 2015 als Standard gemäß § 28a Abs. 1 Z 1 lit. a bis c eine Suche in den Dokumentenmetadaten über das Dokumentenregister jedenfalls möglich zu sein.

(8) Sofern nicht eine Verordnung gemäß § § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, ist spätestens mit 1. Jänner 2015 als Standard gemäß § 28a Abs. 1 Z 1 lit. a bis c entweder eine inhaltlich einheitliche Struktur und Gliederung, sodass Inhalte in medizinische Informationssysteme übernommen werden können, oder zumindest eine Vereinheitlichung der Gliederung der Inhalte, sicherzustellen.

(9) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, hat spätestens mit 1. Jänner 2018 als Standard gemäß § 28a Abs. 1 Z 1 lit. a bis c eine Codierung der Informationen in ELGA nach einheitlichen Vorgaben zu erfolgen, die von den ELGA-Systempartnern unter Mitwirkung zuständiger gesetzlicher Interessenvertretungen erarbeitet werden.

(10) Sind Nachweis oder Prüfung von Identität, Rollen oder Integrität nach den Bestimmungen des 2. Abschnitts (gerichtete und ungerichtete Kommunikation) insbesondere mangels vorhandener technischer Infrastruktur nicht zumutbar, dürfen Gesundheitsdaten und genetische Daten nur übermittelt werden, wenn zumindest die Identitäten und maßgeblichen Rollen der an der Übermittlung beteiligten Gesundheitsdiensteanbieter gegenseitig durch

1. persönlichen Kontakt oder

2. telefonischen Kontakt oder

3. Vertragsbestimmungen oder

4. Abfrage elektronischer Verzeichnisse

a) der Österreichischen Ärztekammer oder

b) der Österreichischen Zahnärztekammer oder

c) des Österreichischen Hebammengremiums oder

d) der Österreichischen Apothekerkammer oder

e) des Dachverbandes oder

f) des für das Gesundheitswesen zuständigen Bundesministeriums

bestätigt sind.

(11) In den Fällen des Abs. 10 Z 1 und 2 sind vor der erstmaligen Übermittlung der Gesundheitsdaten und genetischen Daten zwischen den beteiligten Gesundheitsdiensteanbietern

1. Datum und Art der Kontaktaufnahme,

2. die vollständigen Namen und maßgeblichen Rollen der an der Übermittlung beteiligten Gesundheitsdiensteanbieter,

3. die Angaben zur Erreichbarkeit der Gesundheitsdiensteanbieter sowie

4. die Angaben über die an der Kontaktaufnahme beteiligten natürlichen Personen

zu dokumentieren. Die Angaben zur Erreichbarkeit sind laufend aktuell zu halten.

(Anm.: Abs. 12 aufgehoben durch Art. 1 Z 98, BGBl. I Nr. 105/2024)

(Anm.: Abs. 12a und 12b mit Ablauf des 30.6.2022 außer Kraft getreten)

(13) Die erleichterten Bedingungen nach Abs. 10 können nicht in Anspruch genommen werden, wenn die nach dem 2. Abschnitt erforderlichen Maßnahmen im Hinblick auf den Stand der Technik und die Implementierungskosten (Art. 32 Abs. 1 DSGVO) zumutbar sind.

(14) Bei der Übermittlung von Gesundheitsdaten und genetischen Daten gelten die erleichterten Bedingungen nach Abs. 10 für alle beteiligten Gesundheitsdiensteanbieter, wenn für zumindest einen der beteiligten Gesundheitsdiensteanbieter die jeweils erleichterten Bedingungen nach Abs. 10 bis 12b gelten.

(Anm.: Abs. 14a bis 14c mit Ablauf des 30.6.2022 außer Kraft getreten)

(15) Bis zum 30. Juni 2016 ist § 6 nicht auf die Übermittlung von Gesundheitsdaten und genetischen Daten per Funk zum Zwecke der Einsatzorganisation bei Rettungsdiensten anzuwenden.

(Anm.: Abs. 16 mit Ablauf des 30.6.2022 außer Kraft getreten)

(Anm.: Abs. 17 aufgehoben durch Art. 1 Z 101, BGBl. I Nr. 105/2024)

(18) Ab 1. Juli 2025 gilt § 13 Abs. 3 für

1. Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a), sofern diese Fachärzte und Fachärztinnen der Sonderfächer Medizinisch-Chemische Labordiagnostik oder Klinische Hygiene und Mikrobiologie sind und

2. Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a), sofern diese Fachärzte und Fachärztinnen des Sonderfaches Radiologie sind.

(19) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat bis zum 31. Dezember 2024 für Einrichtungen der Pflege und bis zum 30. Juni 2024 für die folgenden Gesundheitsdiensteanbieter die entsprechenden Schnittstellen für die technische Anbindung an den eHealth-Verzeichnisdienst (§ 9) bereitzustellen:

1. Fachärzte und Fachärztinnen der Sonderfächer Medizinisch-Chemische Labordiagnostik oder Klinische Hygiene und Mikrobiologie,

2. Fachärzte und Fachärztinnen des Sonderfaches Radiologie und

3. Apotheken.

(20) Für die Sicherstellung der Vertraulichkeit gemäß § 6 gilt bis 30. Juni 2027 Folgendes:

1. Bis 31. Dezember 2024 darf die Sicherstellung der Vertraulichkeit von § 6 Abs. 1 Z 1 abweichend erfolgen, wenn

a) Protokolle und Verfahren verwendet werden, die die vollständige Verschlüsselung der Gesundheitsdaten und genetischen Daten bei deren Bereitstellung („Transportverschlüsselung“) bewirken,

b) die Sicherstellung der Vertraulichkeit gemäß § 6 Abs. 1 Z 2 mangels vorhandender technischer Infrastruktur nicht zumutbar ist und

c) an der Übermittlung der Gesundheitsdaten und genetischen Daten ausschließlich Gesundheitsdiensteanbieter beteiligt sind oder die Übermittlung an Behörden zur Erfüllung gesetzlicher Verpflichtungen erfolgt.

2. Von 1. Jänner 2025 bis 30. Juni 2027 darf die Sicherstellung der Vertraulichkeit von § 6 Abs. 1 Z 1 abweichend erfolgen, wenn

a) die Voraussetzungen gemäß Z 1 erfüllt sind und

b) die Übermittlung der Gesundheitsdaten und genetischen Daten bis 31. Dezember 2024 in der Regel per Fax erfolgte.

3. Gelten für einen der an einer Übermittlung von Gesundheitsdaten und genetischen Daten beteiligten Gesundheitsdiensteanbieter die erleichterten Bedingungen gemäß Z 1 oder Z 2, so gelten diese für alle beteiligten Gesundheitsdiensteanbieter.

4. Die erleichterten Bedingungen gemäß Z 1 und Z 2

a) dürfen für Cloud Computing (§ 6 Abs. 3) nicht in Anspruch genommen werden und

b) gelten nur sofern Art. 3 Abs. 1 DSGVO eingehalten wird.

Verordnungsermächtigungen für den 2. und 3. Abschnitt

§ 28. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 2. Abschnitts mit Verordnung Folgendes festzulegen:

1. die Rollen von Gesundheitsdiensteanbietern und

2. die näheren Modalitäten der Eintragung gemäß § 9, insbesondere die technischen Anforderungen, die Datenformate, die Periodizität der Aktualisierung der Daten und die einzuhaltenden Sicherheitsanforderungen.

(2) Die Anforderungen für die Festlegung zusätzlicher Rollen sind dem/der für das Gesundheitswesen zuständigen Bundesminister/in von der jeweiligen Registrierungsstelle unter Anschluss

1. einer Beschreibung von Art und Umfang der ausgeübten Tätigkeiten,

2. der Voraussetzungen, die für die Ausübung dieser Tätigkeiten zu erfüllen sind,

3. der Bezeichnung jener Rechtsgrundlage, aus der sich die Berechtigung zur Berufsausübung ergibt, sowie

4. der Stelle, die darüber entscheidet,

zu übermitteln.

(3) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin kann auf Grundlage des 3. Abschnitts weitere Anwendungen vorzusehen, die die Datenverarbeitung gemäß § 12b Abs. 1 ermöglichen.

Verordnungsermächtigungen für den 4. Abschnitt (ELGA)

§ 28a. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 4. Abschnitts mit Verordnung Folgendes festzulegen:

1. die in ELGA zu verwendenden Standards für Inhalt, Struktur und Format gemäß § 27 Abs. 7, 8 und 9 für

a) Entlassungsbriefe gemäß § 2 Z 9 lit. a sublit. aa,

b) Laborbefunde gemäß § 2 Z 9 lit. a sublit. bb,

c) Befunde der bildgebenden Diagnostik einschließlich allfälliger Bilddaten gemäß § 2 Z 9 lit. a sublit. cc sowie

d) Medikationsdaten gemäß § 2 Z 9 lit. b,

2. die in ELGA zu verwendenden Standards für Struktur und Format, für

a) folgende Befundarten (§ 2 Z 9 lit. a sublit. dd):

aa) Pathologiebefunde durch Fachärzte und Fachärztinnen für Pathologie und Krankenanstalten und

bb) sonstige fachärztliche Befunde im Rahmen ambulanter Behandlungen (Spitalsambulanz, selbstständige Ambulatorien, niedergelassener Facharztbereich) sowie

b) automationsunterstützt erstellte Angaben gemäß Art. 14 Abs. 2 lit. b sublit. i der Richtlinie 2011/24/EU über die Ausübung der Patient/inn/enrechte in der grenzüberschreitenden Gesundheitsversorgung (§ 2 Z 9 lit. f),

3. den jeweiligen Zeitpunkt, ab dem die in Z 1 und 2 genannten Daten in ELGA gemäß § 13 Abs. 2 und 3 in Verbindung mit Abs. 1 Z 1 zu speichern und zu erheben sind sowie den jeweiligen Zeitpunkt, ab dem die Nutzung der ELGA-Komponenten (§ 24) zur Verarbeitung von ELGA-Gesundheitsdaten technisch sichergestellt sein muss,

4. die zu erfassenden wechselwirkungsrelevanten, nicht verschreibungspflichtigen Arzneimittel gemäß § 2 Z 9 lit. b,

5. Standards der für ELGA verwendeten Komponenten für

a) die Suchfunktion gemäß § 13 Abs. 5,

b) die zeitliche Verfügbarkeit,

c) die Sicherheitsanforderungen, wie insbesondere Regelungen zum Risikomanagement, und

d) den Zugriffsschutz,

6. für den Aushang gemäß § 16 Abs. 4

a) den Umfang und Detaillierungsgrad der Information und

b) die Mindestanforderungen an den Inhalt,

9. den Auftragsverarbeiter (Art. 4 Z 8 DSGVO) des Berechtigungssystems gemäß § 21 und des Protokollierungssystems gemäß § 22

10. den Beginn und das Ende von Testphasen für ELGA in Verbindung mit Z 1 bis 3 samt einer allfälligen, unabhängigen Evaluierung sowie

(4) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat bei der Erlassung einer Verordnung gemäß Abs. 1 Z 11 folgende Kriterien einzuhalten:

1. Verantwortliche und deren Auftragsverarbeiter dürfen nur über die geringsten – für ihre Rolle (§ 2 Z 5) noch ausreichenden – Zugriffsberechtigungen verfügen.

2. Soweit unterstellte Personen im Sinne des Art. 29 DSGVO ihre Rolle eigenverantwortlich wahrnehmen, ist durch Zugriffsberechtigungen und – soweit erforderlich – neue Rollen sicherzustellen, dass auch

a) die Verantwortlichen oder Auftragsverarbeiter im Sinne des Art. 29 DSGVO sowie

b) andere unterstellte Personen im Sinne des Art. 29 DSGVO, die nicht in der Rolle tätig werden,

vom Zugriff ausgeschlossen sind.

3. Soweit in ELGA Daten aus anderen Verarbeitungstätigkeiten als ELGA bereitgestellt werden, dürfen die Zugriffsberechtigungen für diese Daten in ELGA keinen schreibenden Zugriff vorsehen.

4. Die Zugriffsberechtigungen haben alle mit einer Rolle verbundenen Verarbeitungstätigkeiten abzudecken.

5. Die von der Verordnung gemäß § 28 Abs. 1 Z 1 abweichende Einführung neuer Rollen ist zulässig, sofern die neuen Rollen Teilmengen der bestehenden Rollen sind.

6. Die Zugriffsberechtigungen haben jedenfalls zwischen schreibendem und lesendem Zugriff zu unterscheiden.

Verordnungsermächtigungen für den 5. Abschnitt

§ 28b. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 5. Abschnittes mit Verordnung für die eHealth-Anwendung „Primärversorgung“ (1. Unterabschnitt) Folgendes festzulegen:

1. die im Rahmen der Anwendung zu verwendenden Standards für Inhalt, Struktur, Format und Terminologien gemäß § 27 Abs. 7, 8 und 9 und

2. den jeweiligen Zeitpunkt, ab dem die technisch-organisatorischen Spezifikationen gemäß Z 1 jedenfalls anzuwenden sind.

1. die im Rahmen der Anwendung zu verwendenden Standards für Inhalt, Struktur, Format und Terminologien, für

a) die gemäß § 24c Abs. 2 im zentralen Impfregister zu speichernden Angaben und

b) die in der zusammenfassenden Darstellung gemäß § 24d Abs. 2 Z 1 ersichtlichen Daten,

2. den jeweiligen Zeitpunkt, ab dem

a) die technisch-organisatorischen Spezifikationen gemäß Z 1 jedenfalls anzuwenden sind, und

3. die jeweiligen Zeiten und Vorgehensweisen für

a) die Beendigung des Pilotbetriebs und der Aufnahme des Vollbetriebs sowie

4. die spezifischen Zugriffsberechtigungen gemäß § 24f Abs. 4 auf die im zentralen Impfregister gespeicherten Daten,

5. allenfalls die Details der Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO für die Speicherung, Berichtigung, Nachtragung und Vidierung der Angaben gemäß § 24c Abs. 2 im zentralen Impfregister,

6. die Form der Übermittlung der selbst einzutragenden Daten an den für das Gesundheitswesen zuständigen Bundesminister oder die zuständige Bundesministerin sowie den Zeitpunkt, ab dem die Selbsteintragung von Impfungen in das zentrale Impfregister gemäß § 24e Abs. 6 möglich ist,

7. sofern dies aus epidemiologischen Gründen oder zur Einhaltung von Verpflichtungen zur Verfolgung internationaler Eliminations- und Eradikationsziele erforderlich ist, Impfungen, die gemäß § 24c Abs. 4 Z 3 nachzutragen sind sowie den Stichtag der Nachtragungspflicht,

8. die Impfsettings gemäß § 24c Abs. 2 Z 1 lit. d,

9. nach Maßgabe des Standes der Wissenschaft

a) die Voraussetzungen, unter denen Antikörperbestimmungen von eImpf-Gesundheitsdiensteanbietern im zentralen Impfregister gespeichert werden dürfen, sofern im Einzelfall nichts anderes medizinisch indiziert ist (§ 24c Abs. 3) und

b) eine Löschfrist für die im zentralen Impfregister gespeicherten Antikörperbestimmungen sowie

10. die Pflichtenaufteilung gemäß Art. 26 DSGVO.

(3) Für die Festlegung der Standards gemäß Abs. 1 Z 1 und Abs. 2 Z 1 hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin die international anerkannten Standards, die wirtschaftliche Vertretbarkeit sowie den Stand der technischen Möglichkeiten hinsichtlich des Detaillierungsgrades der Strukturen bei den jeweiligen Gesundheitsdiensteanbietern zu berücksichtigen.

(4) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin darf nach Erlassung einer Verordnung gemäß Abs. 2 Z 2 lit. b, aufgrund deren alle Impfungen im zentralen Impfregister zu erfassen sind, ausschließlich eine Nachtragepflicht für Impfungen gegen Masern, Röteln, Hepatitis A, Hepatitis B, Varizellen, Polio und Humane Papillomaviren (HPV) mit Verordnung gemäß Abs. 2 Z 7 vorsehen.

(5) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin darf für die Impfsettings gemäß Abs. 2 Z 8 ausschließlich folgende Bezeichnungen verwenden: „Bildungseinrichtung“, „Arbeitsplatz/Betrieb“, „Wohnbereich“, „Betreute Wohneinrichtung“, „Krankenhaus inkl. Kur- und Rehaeinrichtungen“, „Ordination“, „Öffentliche Impfstelle“ und „Öffentliche Impfstraße / Impfbus“.

(6) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin darf mit Verordnung gemäß Abs. 2 Z 9 lit. a ausschließlich Antikörperbestimmungen zu folgenden Erkrankungen festlegen: Diphtherie, Masern, Röteln, Hepatitis A, Hepatitis B, Polio, Tetanus, Varizellen und Tollwut. Andere als die genannten Antikörperbestimmungen, die zum Zeitpunkt der Erlassung dieses Bundesgesetzes im zentralen Impfregister durch eImpf-Gesundheitsdiensteanbieter gemäß § 2 Z 18 lit. b gespeichert sind, sind zu stornieren.

(7) Bei der Erlassung einer Verordnung gemäß Abs. 2 Z 4 hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin nach Maßgabe des 2. Unterabschnitts des 5. Abschnitts die in § 28a Abs. 4 genannten Kriterien einzuhalten.

Verordnungsermächtigungen für den 6. Abschnitt

§ 28c. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 6. Abschnittes mit Verordnung die datenschutzrechtlichen Pflichten im Sinne des Art. 26 DSGVO für die gemeinsamen Verantwortlichen des EU-Rezepts (§ 24r Abs. 2) festzulegen.

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 6. Abschnittes mit Verordnung die datenschutzrechtlichen Pflichten im Sinne des Art. 26 DSGVO für die gemeinsamen Verantwortlichen der EU-Patientenkurzakte (§ 24u Abs. 2) festzulegen.

Anhörung und Weisungsrechte

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat nach Anhörung der jeweils zuständigen gesetzlichen Interessenvertretungen, unter Berücksichtigung des § 27 Abs. 13, mit Verordnung für bestimmte Gesundheitsdiensteanbieter jeweils den Zeitpunkt festzulegen, ab dem die Übermittlung von Gesundheitsdaten und genetischen Daten unter den erleichterten Bedingungen des § 27 Abs. 10 jedenfalls nicht mehr zulässig ist.

(3) Mit der Koordinierung und Konzeption der eHealth-Anwendung „Elektronische Patientenverfügung („ePatientenverfügung“)“ ist die ELGA GmbH betraut.

(4) Bei der Vollziehung der §§ 18 und 20a ist der Dachverband an die Weisungen des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin gebunden.

Erlassung und Inkrafttreten von Verordnungen

§ 29. (1) Verordnungen aufgrund dieses Bundesgesetzes dürfen bereits von dem Tag an erlassen werden, der der Kundmachung der durchzuführenden Gesetzesbestimmungen folgt; sie dürfen jedoch nicht vor den durchzuführenden Gesetzesbestimmungen in Kraft treten.

(2) Verordnungen aufgrund des § 28b dürfen bereits vor dessen Inkrafttreten erlassen, jedoch frühestens zugleich in Kraft gesetzt werden.

Verweisungen

§ 30. Verweist dieses Bundesgesetz auf andere Bundesgesetze, so sind diese – soweit nicht ausdrücklich anderes angeordnet wird – in ihrer jeweils geltenden Fassung anzuwenden.

Vollziehung

§ 31. Mit der Vollziehung dieses Bundesgesetzes ist der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin betraut.

Notifikationshinweis

§ 32. Dieses Gesetz wurde unter Einhaltung der Bestimmungen der Richtlinie (EU) 2015/1535 über ein Informationsverfahren auf dem Gebiet der technischen Vorschriften und der Vorschriften für die Dienste der Informationsgesellschaft, ABl. Nr. L 241 vom 17.09.2015 S. 1, notifiziert (Notifikationsnummer: 2020/422/A).

Artikel 25

Notifikationshinweis

(Anm.: aus BGBl. I Nr. 50/2016, zu den §§ 7 und 28, BGBl. I Nr. 111/2012)

Dieses Gesetz wurde unter Einhaltung der Bestimmungen der Richtlinie (EU) 2015/1535 über ein Informationsverfahren auf dem Gebiet der technischen Vorschriften und der Vorschriften für die Dienste der Informationsgesellschaft (kodifizierter Text), ABl. Nr. L 241 vom 17.09.2015 S. 1, notifiziert (Notifikationsnummer: 2016/142/A).