Erläuterungen

I. Allgemeiner Teil

Mit Bescheid vom 11. November 2020, GZ D213.1117/2020-0.677.015, sprach die Datenschutzbehörde die Warnung aus, dass die beabsichtigten Verarbeitungsvorgänge im Rahmen des „Elektronischen Impfpasses“ (5. Abschnitt, 2. Unterabschnitt Gesundheitstelematikgesetz, GTelG 2012, BGBl. I Nr. 111/2012 idF BGBl. I Nr. 115/2020) voraussichtlich gegen die Datenschutz-Grundverordnung, ABl. Nr. L 119 vom 04.05.2016 S. 1, in der Fassung der Berichtigung ABl. Nr. L 074 vom 04.03.2021 S. 35, (im Folgenden: DSGVO) verstoßen. Begründet wurde dies damit, dass die Bestimmungen zum Elektronischen Impfpass (im Folgenden: „eImpfpass“) im Hinblick auf die datenschutzrechtliche Rollenverteilung, die den Betroffenen (nicht) zustehenden Rechte sowie die statistischen Auswertungen den Vorgaben der DSGVO nicht gerecht werden. Im Ergebnis ergäbe sich aus dem 5. Abschnitt, 2. Unterabschnitt des GTelG 2012 nicht, in welchem Ausmaß und durch wen in das Recht auf Datenschutz eingegriffen wird bzw. in welchem Ausmaß Beschränkungen erfolgen.

Durch die gegenständliche Novelle wird die Kritik der Datenschutzbehörde hinsichtlich der Rollenverteilung, der den betroffenen Personen (nicht) zustehenden Rechte und den (statistischen) Auswertungen umgesetzt, um DSGVO-konforme Regelungen sicherzustellen. Die Datenschutzbehörde wurde bei der Erstellung des Gesetzesentwurfs gemäß § 21 DSG in Verbindung mit Art. 57 Abs. 1 lit. c DSGVO zu Rate gezogen.

Neben der Sicherstellung DSGVO-konformer Regelungen im Zusammenhang mit dem eImpfpass sollen mit der gegenständlichen Novelle einerseits auch eine eHealth-Servicestelle geschaffen werden, deren Aufgabe die Wahrnehmung von Auskunftsbegehren im Zusammenhang mit dem zentralen Impfregister sowie die Sicherstellung von Vollständigkeit, Aktualität, Fehlerfreiheit, Konsistenz und Verfügbarkeit der im zentralen Impfregister gespeicherten Daten ist, und anderseits für den Endausbau des eImpfpasses notwendige Anpassungen vorgenommen werden. Ferner sollen die im GTelG 2012 normierten Datensicherheitsmaßnahmen angepasst und sprachliche Änderungen, nicht zuletzt zur besseren Verständlichkeit des Gesetzestextes, vorgenommen und eine gendergerechte, barrierefreie Schreibweise verwendet werden.

Kompetenzgrundlage:

Die Zuständigkeit zur Erlassung dieses Bundesgesetzes stützt sich auf die Kompetenztatbestände „Gesundheitswesen“ (Art. 10 Abs. 1 Z 12 B-VG) und „sonstige Statistik, soweit sie nicht nur den Interessen eines einzelnen Landes dient“ (Art. 10 Abs. 1 Z 13 B-VG).

Besonderheiten des Normerzeugungsverfahrens:

Ungeachtet der alleinigen nationalen Kompetenz bleibt zur Wahrung der Grundfreiheiten eine Notifikation gemäß der Richtlinie (EU) 2015/1535 über ein Informationsverfahren auf dem Gebiet der technischen Vorschriften und der Vorschriften für die Dienste der Informationsgesellschaft (kodifizierter Text), ABl. Nr. L 241 vom 17.09.2015 S. 1, erforderlich.

II. Besonderer Teil

Zu Art. 1 (Änderung des Gesundheitstelematikgesetzes 2012)

Zu Z 2 bis 4 (Inhaltsverzeichnis zu § 16, § 18 und § 24e), Z 10 und 11 (§ 1 Abs. 2 Z 3 lit. a und lit. b), Z 12 bis 14 (§ 2 Z 2 lit. e, Z 6 und Z 9), Z 16 (§ 2 Z 9 lit. c), Z 18 (§ 2 Z 9 lit. f), Z 19 und 20 (§ 2 Z 10 lit. a sublit. cc und lit. b sublit. aa), Z 22 bis 25 (§ 2 Z 14 bis Z 17), Z 27 (§ 4 Abs. 5), Z 28 (§ 4a Abs. 1), Z 29 (§ 5 Abs. 2), Z 30 und 31 (§ 6 Abs. 1 Z 1 lit. b und lit. c), Z 33 (§ 8 Abs. 3), Z 34 bis 39 (§ 9 Abs. 1, Abs. 3 Z 1 lit. e bis lit. h und Z 3), Z 40 und 41 (§ 10 Abs. 3 bis 5 und Abs. 7), Z 42 (§ 11 Abs. 1 und Abs. 3), Z 43 (§ 12), Z 45 und 46 (§ 13 Abs. 1 Z 5 und Abs. 2), Z 48 und 49 (§ 13 Abs. 3 Z 2, Z 3 und Z 5), Z 51 und 22 (§ 13 Abs. 5 und Abs. 7), Z 53 bis 58 (§ 14 Abs. 1 Z 1, Abs. 2 Z 1 lit. a und lit. b, Z 2, Z 2 lit. a und lit. b), Z 60 bis 64 (§ 14 Abs. 3 Z 2, Z 4, Z 5 und Z 7, Abs. 3a sowie Abs. 3a Z 1 und Z 2), Z 68 (§ 15 Abs. 2), Z 69 (Überschrift zu § 16, § 16 Abs. 1 und Abs. 2), Z 71 bis 73 (§ 16 Abs. 2 Z 2, Abs. 3 und Abs. 5), Z 74 bis 76 (§ 17), Z 77 bis 80 (Überschrift zu § 18, § 18 Abs. 1, Abs. 2 sowie Abs. 2 Z 4 lit. b, Abs. 3, Abs. 4 sowie Abs. 4 Z 3, Abs. 6, Abs. 8 und Abs. 9), Z 82 bis 84 (§ 18 Abs. 7, Abs. 8 Z 1 und Abs. 9), Z 85 (§ 19 Abs. 1), Z 87 bis 90 (§ 20 Abs. 2, Abs. 5 Z 1 sowie Z 1 lit. b und Abs. 6 Z 1), Z 91 bis 93 (§ 20a), Z 94 bis 96 (§ 21 Abs. 2 Z 6 und Z 7 sowie Abs. 3), Z 97 (§ 22 Abs. 4), Z 98 (§ 23), Z 99 (§ 24 Abs. 1 Z 1 und Abs. 3 Z 1), Z 101 (§ 24a Abs. 1 Z 1), Z 102 (§ 24a Abs. 1 Z 4), Z 104 und 105 (§ 24b Z 1 lit. d und Z 3), Z 108 (§ 24d Abs. 1 Z 5), Z 109 (§ 24d Abs. 2), Z 111 (§ 24f Abs. 2), Z 116 (§ 26 Abs. 9 Z 2), Z 118 (§ 27 Abs. 1), Z 126 und 127 (§ 28 bis § 28c) sowie Z 129 (§ 31):

Sofern im Folgenden nicht näher erläutert, handelt es sich bei den vorgeschlagenen Änderungen um Anpassungen an eine gendergerechte Sprache im Lichte der aktuellen VfGH-Judikatur (VfGH 15.06.2018, G 77/2018-9).

Sprache spiegelt nicht nur gesellschaftliche Verhältnisse wider, sie prägt auch das Bewusstsein: Werden nicht alle Geschlechter in der Sprache verwendet, so werden sie aus dem Denken ausgeschlossen. Im Gesetzestext und überall dort, wo alle Geschlechter angesprochen und mitgemeint sind, sollen sie daher auch erwähnt werden.

Das GTelG 2012 in der geltenden Fassung verwendet die verkürzte Paarform („ELGA-Teilnehmer/innen“, „der ELGA-Teilnehmer/die ELGA-Teilnehmerin), wovon aber ausschließlich Männer und Frauen umfasst sind und die keinen Platz für intergeschlechtliche oder nicht-binäre Menschen mit einer alternativen Geschlechtsidentität lässt. Von gendergerechten Formulieren werden aber alle Personen gleichermaßen angesprochen, egal, ob sie männlich, weiblich, divers, inter oder offen sind oder ob sie auf die Angabe eines Geschlechts verzichten. Aus diesem Grund soll mit den vorgeschlagenen Änderungen soweit möglich nunmehr ein Gender-Doppelpunkt verwendet werden: Der Doppelpunkt im Wortinneren ermöglicht Formulierungen abseits männlicher und weiblicher Geschlechtszuschreibungen; damit werden all jene Menschen sprachlich miteinbezogen, die sich nicht in der binären Geschlechterordnung verorten lassen (möchten), und die Vielfalt der Geschlechter wird dargestellt. Der Gender-Doppelpunkt ermöglicht zudem ein größtmögliches Maß an Barrierefreiheit im Sinne des § 6 Abs. 5 des Bundes-Behindertengleichstellungsgesetzes, BGBl. I Nr. 82/2005, insbesondere bei der Verwendung von assistiver Technologie wie zum Beispiel Screenreadern.

Dort, wo der Gender-Doppelpunkt aus sprachlichen Gründen nicht möglich ist („Ärzte und Ärztinnen“ statt „Ärzt:innen“), soll die Schreibweise vereinheitlicht werden.

Das Wort „Gesundheitsdiensteanbieter“ soll bewusst nicht gegendert werden, da es sich dabei nicht notwendigerweise um natürliche Personen handelt, sondern dieser Begriff zum Beispiel auch Krankenanstalten und Pflegeeinrichtungen umfasst (vgl. die Anlage 1 der Gesundheitstelematikverordnung 2013 [GTelV 2013], BGBl. II Nr. 506/2013). Aus demselben Grund sollen auch Begriffe wie „Verantwortlicher“ und „Auftragsverarbeiter“ nicht gendersensibel verfasst werden. Ebenfalls nicht angepasst werden soll etwa der Titel der Richtlinie 2011/24/EU, weil dieser nicht willkürlich verändert werden darf.

Zu Z 1 und 5 bis 8 (Inhaltsverzeichnis zu § 12a, § 24g bis § 24i und § 28 bis § 28c), Z 9 (§ 1 Abs. 1), Z 15 (§ 2 Z 9 lit. a sublit. dd), Z 17 (§ 2 Z 9 lit. e), Z 47 und 50 (§ 13 Abs. 2, 13 Abs. 3 Z 6), Z 68 (§ 15 Abs. 2), Z 86 und 87 (§ 20 Abs. 1 bis 3), Z 100 (§ 24 Abs. 2), Z 103 (§ 24a Abs. 2 Z 1 lit. c), Z 107 bis 109 (24d Abs. 1 sowie Abs. 1 Z 5 und Abs. 2), Z 113 (§ 24f Abs. 6), Z 122 (§ 28 Abs. 1 Z 1), Z 118 und 119 (§ 27 Abs. 1 bis 4 und Abs. 6) und Z 131 (§ 27 Abs. 7 bis 9):

Sofern im Folgenden nicht näher erläutert, handelt es sich bei den vorgeschlagenen Änderungen um redaktionelle Änderungen sowie um Anpassungen von Verweisen, was insbesondere aufgrund der Neugestaltung der § 24c, § 24e und § 28 und der Einfügung der § 24h, § 24i und § 28a bis § 28c notwendig wurde.

Zu Z 21 (§ 2 Z 12) und Z 67 (§ 15 Abs. 1):

Die Definition von „ELGA-Teilnehmer:innen“ (§ 2 Z 12) verweist in der geltenden Fassung auf die Teilnahmevoraussetzungen in § 15. Aus Gründen der besseren Verständlichkeit sollen diese Teilnahmevoraussetzungen in die Begriffsbestimmung aufgenommen werden und § 15 Abs. 1 soll entfallen. Es kommt zu keiner inhaltlichen Änderung.

Zu Z 24 (§ 2 Z 19):

Siehe die Erläuterungen zu Z 110 (§ 24e Abs. 6).

Zu Z 32 (§ 6 Abs. 1 Z 2):

Die GTelV 2013, auf die § 6 Abs. 1 Z 2 lit. b in der geltenden Fassung verweist, bestimmt in ihrem § 4, dass die in der Anlage 2 der GTelV 2013 angeführten Algorithmen jedenfalls die Voraussetzungen des § 6 GTelG 2012 erfüllen. Da die GTelV 2013 seit ihrem Inkrafttreten nicht novelliert wurde, entsprechen die in der Anlage 2 angeführten Algorithmen nicht mehr dem Stand der Technik.

Bei der Prüfung des Änderungsbedarfs wurde die Einhaltung von internationalen Standards (dem Stand der Technik) als ausreichend angesehen. Durch die vorgeschlagene Änderung in § 6 Abs. 1 Z 2 soll sohin sichergestellt werden, dass diese internationalen Standards eingehalten und gleichsam nicht unterschritten werden. Aufgrund der Änderung des § 6 Abs. 1 Z 2 ist die Verordnungsermächtigung in § 28 Abs. 1 Z 2 obsolet, weshalb sie im neu gefassten § 28 nicht mehr enthalten ist.

Die Änderung der GTelV 2013 ist avisiert.

Zu Z 44 (§ 12a) und Z 98 (§ 23):

Das Öffentliche Gesundheitsportal Österreich (www.gesundheit.gv.at) ist den meisten in Österreich lebenden Menschen im Laufe der COVID-19-Pandemie wohl bekannt geworden, denn darüber lässt sich einerseits auf ELGA und den eImpfpass, andererseits auch auf die Test-, Genesungs- oder Impfzertifikate im Rahmen des Grünen Passes zugreifen.

Die letzten Monate haben gezeigt, dass es für viele Personen schwierig ist, den entsprechenden Einstieg zu diesen Anwendungen zu finden, zumal beim Suchwort „ELGA“ der erste Treffer in diversen Suchmaschinen nicht zum Gesundheitsportal, sondern zur Website der ELGA GmbH führt. Aus diesem Grund soll der Einstieg in diese Anwendungen durch eine eigene Landingpage vereinfacht werden; der Zugang soll zudem nicht nur über das Gesundheitsportal, sondern etwa auch über www.sozialversicherung.at oder über die Gesundheitsseiten der Bundesländer erfolgen können, sofern diese Portale eine eindeutige Identifizierung via Handysignatur/Bürgerkarte oder ID Austria sicherstellen.

Da § 23 Abs. 2 in der geltenden Fassung vorsieht, dass (nur) das Gesundheitsportal das Zugangsportal zu ELGA ist, sind die vorgeschlagenen Änderungen notwendig.

Abgesehen von der Bereitstellung des Zugangs zu ELGA, dem eImpfpass, dem eHVD-Webservice (vgl. § 10 Abs. 7) sowie den Zertifikaten gemäß § 4b Abs. 1 in Verbindung mit Abs. 7 Z 3 des Epidemiegesetz 1950 (EpiG), BGBl. Nr. 186/1950, ist das Ziel des öffentlichen Gesundheitsportals, qualitätsgesicherte, objektive und allgemein zugängliche gesundheitsbezogene Informationen und Dienste bereitzustellen.

Gesundheitsbezogene Informationen zählen zu den am häufigsten nachgefragten Inhalten im Internet. Suchmaschinen und spezialisierte Websites bieten eine Fülle an Informationen, die es nicht immer leicht machen, die wichtigen und richtigen zu finden. Ebenso ist es für Nutzer:innen von Gesundheitsinformationen oft nicht erkennbar, dass ihr Verhalten oder ihre Entscheidungen durch nicht transparente Motive von dem:der Anbieter:in in eine bestimmte Richtung beeinflusst werden sollen. Die manchmal unzureichende inhaltliche Qualität von Informationen und Diensten kann daher dazu beitragen, dass Nutzer:innen daraus unzutreffende Schlussfolgerungen ziehen, zu unwirksamen oder gefährlichen Selbsttherapien oder zum Unterlassen der notwendigen Konsultation einer medizinischen Fachkraft verleitet werden.

Die vom Gesundheitsportal angebotenen Informationen werden nach einem strengen Qualitätssicherungsprozess erstellt. Die dafür von dem:der für das Gesundheitswesen zuständigen Bundesminister:in festgelegten Qualitätskriterien gehen über Richtigkeit, Vollständigkeit, Objektivität und Aktualität der Informationen hinaus. Sie enthalten auch vertrauensbildende Maßnahmen, etwa in Bezug auf die rechtliche und ökonomische Transparenz (zum Beispiel Finanzierung) von Informationsangeboten oder die Beschreibung des Prozesses der Erstellung der Informationen. Grundlagen dafür sind die Empfehlungen der Europäischen Union und jene Kriterien, die von international anerkannten Organisationen für die Zertifizierung und Vergabe von Gütesiegeln für gesundheitsbezogene Webangebote verwendet werden. Die Informationen und Dienste (Services) werden darüber hinaus kostenlos und ohne technische, alters- oder geschlechtsspezifische Einschränkung zur Verfügung gestellt.

Das Angebot des Gesundheitsportals umfasst unter anderem

- Informationen über einen gesunden Lebensstil und über Krankheiten in den Bereichen „Gesund leben“ und „Krankheiten“,

- die detaillierte Beschreibung verschiedener Diagnosemethoden (inklusive Labordiagnostik) im Bereich „Diagnose & Labor“,

- die Vorstellung verschiedener Gesundheitsleistungen und der Leistungsangebote verschiedener Gesundheitsberufe und -einrichtungen sowie die Darstellung der Organisation und der Strukturen des österreichischen Gesundheitswesens in den Bereichen „Gesundheitsleistungen“ und „Services“,

- Informationen für Expert:inn:en und Spezialist:inn:en, die im Gesundheitsbereich oder in einem Gesundheitsberuf tätig sind, im Bereich „Professional“ sowie

- Informationen zu ELGA und zum eImpfpass.

Als Maßnahme des öffentlichen Gesundheitswesens wird das Gesundheitsportal ausschließlich aus öffentlichen Mitteln finanziert; dies betrifft sowohl die redaktionellen Arbeiten als auch den technischen Betrieb. Die finanzielle und inhaltliche Unabhängigkeit des Gesundheitsportals wird dadurch abgesichert, dass Sponsoring, indirekte finanzielle Unterstützungen und jegliche Art von Werbung grundsätzlich unzulässig sind.

Das Gesundheitsportal steht also in keinem notwendigen Zusammenhang mit ELGA, weshalb es aus dem 4. Abschnitt herausgelöst und nunmehr als § 12a im 3. Abschnitt („Informationsmanagement“) geregelt werden soll. Wie bisher (sowohl rechtlich als auch technisch) vorgesehen, soll über das Gesundheitsportal – unter den Voraussetzungen des § 23 Abs. 2 – aber weiterhin der Zugriff auf ELGA und eHealth-Anwendungen möglich sein können.

Im 4. Abschnitt geregelt bleiben soll weiterhin das Zugangsportal (§ 23), jedoch nunmehr ohne Bezugnahme auf das Öffentliche Gesundheitsportal Österreichs, wodurch das einleitend dargestellte Vorhaben, den Zugang zu ELGA, den eImpfpass und anderen gesundheitsbezogenen Diensten über mehrere Wege zu ermöglichen, verwirklicht werden soll.

Das Zugangsportal zu ELGA bzw. dem eImpfpass muss Funktionen zur Wahrung der Teilnehmer:innenrechte gemäß §§ 15 und 16 bzw. der Rechte gemäß § 24e anbieten.

Der geltende § 23 Abs. 3 sieht vor, dass ELGA-Gesundheitsdiensteanbieter über das Zugangsportal auf die ELGA-Gesundheitsdaten von ELGA-Teilnehmer:inne:n nur unter Einhaltung der Bestimmungen des GTelG 2012 zugreifen dürfen. Dieser Passus ist in der vorgeschlagenen Bestimmung nicht mehr enthalten, da ELGA-Gesundheitsdiensteanbieter – entgegen der ursprünglichen Intention – nicht über das Zugangsportal, sondern über ihre spezielle Software auf ELGA zugreifen. Der Passus kann daher entfallen.

Zu Z 59 (§ 14 Abs. 2a):

Mit § 14 Abs. 2a in der geltenden Fassung wurde in Anknüpfung an § 173 des Allgemeinen Bürgerlichen Gesetzbuchs (ABGB), JGS Nr. 946/1811, eine Zweifelsregelungen zur Rechtssicherheit der Gesundheitsdiensteanbieter geschaffen, wonach die Ausübung der ELGA-Teilnehmer:innenrechte bei dem:der mündigen Minderjährigen liegt.

Da sich aus dem Wortlaut des geltenden § 14 Abs. 2a (im Gegensatz zum geltenden § 24e Abs. 2) nicht eindeutig erschließt, dass es sich um eine Zweifelsregelung handelt und der Anschein erweckt wird, die Wahrnehmung der ELGA-Teilnehmer:innenrechte stünde in jedem Fall ausschließlich dem:der Minderjährigen ab Vollendung des 14. Lebensjahres zu, soll die Bestimmung angepasst werden:

Art. 8 DSGVO stellt eine wichtige Bestimmung im Kontext des datenschutzrechtlichen Minderjährigenschutzes dar, stellt jedoch nur auf die Einwilligung von Kindern bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, ab. Eine darüber hinausgehende Regelung – etwa in Bezug auf die Wahrnehmung von Betroffenenrechten – fehlt allerdings.

Nacht Ansicht der Art. 29-Datenschutzgruppe benötigen Kinder für die Ausübung ihrer Rechte größtenteils eine gesetzliche Vertretung, was jedoch nicht bedeutet, dass die Stellung von einem:einer Vertreter:in absolute oder bedingungslose Priorität gegenüber der Stellung des Kindes genießt, denn der Grundsatz des Kindeswohls kann den Kindern allenfalls Datenschutzrechte verleihen, die gegenüber den Wünschen ihrer Vertreter:innen Vorrang haben. Da sich die kindliche Persönlichkeit noch in Entwicklung befindet, muss sich die Ausübung der Rechte eines Kindes an den Stand seiner körperlichen und geistigen Entwicklung orientieren. Dieser Prozess wird zwar in den Rechtssystemen der Mitgliedstaaten unterschiedlich gehandhabt, doch sollen Kinder in jeder Gesellschaft entsprechend ihrem Reifegrad behandelt werden (vgl. Art. 29-Datenschutzgruppe, Arbeitspapier 1/2008 zum Schutz der personenbezogenen Daten von Kindern [Allgemeine Leitlinien und Anwendungsfall Schulen], WP 147, 00483/08/DE, 5 f).

Gemäß § 24 Abs. 2 ABGB ist entscheidungsfähig, wer die Bedeutung und die Folgen seines Handelns im jeweiligen Zusammenhang verstehen, seinen Willen danach bestimmen und sich entsprechend verhalten kann. Dies wird im Zweifel bei Volljährigen vermutet. Gemäß § 173 Abs. 1 ABGB kann das entscheidungsfähige Kind nur selbst Einwilligungen in medizinische Behandlungen erteilen; im Zweifel wird das Vorliegen dieser Entscheidungsfähigkeit bei mündigen Minderjährigen vermutet.

Nachdem ein:e mündige:r Minderjährige:r gemäß § 173 Abs. 1 ABGB selbst über die Einwilligung in medizinische Behandlungen entscheiden darf, scheint es angebracht, die Wahrnehmung der ELGA-Teilnehmer:innenrechte daran anzuknüpfen. Dies betrifft einerseits die Frage der Entscheidung über die Teilnahme an ELGA (zur Gänze, partiell oder gar nicht), andererseits aber zum Beispiel auch die Wahrnehmung des Auskunftsrechts der in ELGA gespeicherten ELGA-Gesundheitsdaten.

Gerade im Hinblick auf das Auskunftsrecht ist zur Beurteilung, ob das Recht auf Privatsphäre des Kindes höher anzusetzen ist als das Auskunftsrecht eines:einer Vertreter:in, eine sorgfältige Interessenabwägung vorzunehmen, bei der dem Kindeswohl eine besondere Bedeutung zukommt (vgl. Art. 29-Datenschutzgruppe, WP 147, 11). Eine fehlende korrespondierende Regelung im GTelG 2012 zu § 173 Abs. 1 ABGB könnte dazu führen, dass ein:e Minderjährige:r zwar (ohne Wissen seiner:ihrer gesetzlichen Vertreter:innen) in eine medizinische Behandlung einwilligt, diese medizinische Behandlung über das Auskunftsrecht jedoch offen gelegt würde.

Zu Z 65 (§ 14 Abs. 4):

Die Bestimmung entspricht in der geltenden Fassung nahezu wortwörtlich dem § 6 Abs. 1 DSG. Aus Gründen der Transparenz soll nunmehr auf das Datengeheimnis gemäß § 6 DSG verwiesen werden.

Zu Z 66 (§ 14 Abs. 5):

Die Anordnung, dass die aufgrund des 4. Abschnitts des GTelG 2012 vorzunehmenden Datenverarbeitungen die Voraussetzungen des Art. 35 Abs. 10 DSGVO für einen Entfall einer Datenschutz-Folgenabschätzung erfüllen, steht im Spannungsverhältnis zum Transformationsverbot unmittelbar anwendbaren Unionsrecht, weshalb sie entfallen soll.

Die Datenschutz-Folgenabschätzung für ELGA wurde bereits in ErlRV 1457 BlgNR XXV. GP, 20 ff vorweggenommen. Die ELGA-Gesundheitsdiensteanbieter werden über die Vorwegnahme der Datenschutz-Folgenabschätzung gemäß Art. 35 Abs. 10 DSGVO in geeigneter Weise informiert.

Zu Z 70 (§ 16 Abs. 1):

Die Einschränkung, dass sich ELGA-Teilnehmer:innen nur schriftlich an die ELGA-Ombudsstelle wenden können, ist hinsichtlich der Wahrnehmung der Betroffenenrechte nicht DSGVO-konform. Da gemäß Art. 23 Abs. 1 DSGVO keine Rechtfertigung für diese Einschränkung besteht, soll sie durch die vorgeschlagene Änderung entfallen.

Zu Z 74 (§ 17 Abs. 2):

Neben redaktioneller Anpassungen soll mit der vorgeschlagenen Bestimmung auch der Satz entfallen, dass die Zuständigkeiten der Datenschutzbehörde von dieser Bestimmung, nämlich den Aufgaben der ELGA-Ombudsstelle, unberührt bleiben. Dieser Satz soll entfallen, da sich Zuständigkeit, Aufgaben und Befugnisse der Datenschutzbehörde aus dem 2. Abschnitt des 6. Kapitels der DSGVO sowie aus § 21 und § 22 DSG ergeben, diese in keiner Weise mit den Aufgaben der ELGA-Ombudsstelle vergleichbar sind und der Satz sohin über keinen erhöhten Informationswert verfügt. Eine inhaltliche Änderung zur bisherigen Rechtslage ergibt sich daraus nicht.

Zu Z 81 (§ 18 Abs. 4 Z 5):

Für die Überprüfung der eindeutigen Identität von ELGA-Teilnehmer:innen via Patient:inn:enindex standen vor Einführung des eImpfpasses bereits vier Möglichkeiten zur Verfügung (vgl. § 18 Abs. 4 Z 1 bis 4), wobei das Stecken der e‑card zwar nicht die einzige Möglichkeit, aber die am praxisrelevantesten ist. Die COVID-19-Pandemie machte es erforderlich, eine weitere Möglichkeit zur Überprüfung der eindeutigen Identität zu schaffen, weshalb mit dem Bundesgesetz BGBl. I Nr. 115/2020 die – auf die Identifizierung im Rahmen des eImpfpasses eingeschränkte – Möglichkeit geschaffen wurde, die Bürger:innen durch Auslesen von Daten der e‑card oder eines amtlichen Lichtbildausweises im Format ID-1 mittels geeigneter Technologie eindeutig zu identifizieren.

Da bislang nur die Identifizierung via e‑card technisch umgesetzt wurde, die aktuellen Entwicklungen auf europäischer Ebene (insbesondere, aber nicht ausschließlich im Zusammenhang mit den Impfzertifikaten) aber zeigen, dass für EU-Ausländer:innen eine weitere niederschwellige Identifizierungsmöglichkeit außerhalb des e‑card-Systems notwendig ist, soll die Bestimmung mit der gegenständlichen Novelle entsprechend angepasst werden.

Die Einschränkung auf den eImpfpass soll insoweit entfallen, als diese Art der eindeutigen Identifizierung auch für nicht-österreichische Staatsangehörige, die nicht in Österreich krankenversichert sind und bei denen eine Identitätsprüfung nach Z 1 oder 2 aufgrund fehlender rechtlicher Voraussetzungen nicht möglich oder zumutbar ist, möglich sein soll.

Hintergrund für die vorgeschlagene Änderung sind Entwicklungen auf EU-Ebene, insbesondere im Zusammenhang mit dem Projekt „MyHealth@EU“ und die damit verbundene Umsetzung der ePrescription. in Österreich (siehe https://ec.europa.eu/health/ehealth/electronic_crossborder_health
services_en): Denn für die Anbindung der ELGA an die europäische Infrastruktur von MyHealth@EU ist es notwendig, zusätzliche und niederschwellige Möglichkeiten zur Patient:inn:enidentifikation anhand von demographischen Daten zu schaffen. Dies gilt insbesondere für den in Österreich initial umzusetzenden Service ePrescription, aber ebenso auch für alle künftigen, grenzüberschreitenden Services von MyHealth@EU. Diese Notwendigkeit ergibt sich aus zweierlei Gründen: Befinden sich zum einen österreichische Bürger:innen im EU-Ausland, sind dort keine Lesegeräte zum elektronischen Auslesen ihrer e‑card vorhanden, zugleich aber wird auch die EU-weite Unterstützung des E-ID als Mittel der Patient:inn:enidentifikation noch längere Zeit in Anspruch nehmen. Denn während die EU zwar eine möglichst breite Nutzung sowie Integration des E-ID anstrebt, ist dennoch immer noch nicht absehbar, wann diese Lösung in der EU flächendeckend für grenzüberschreitende Gesundheitsdienstleistungen genutzt werden kann. Um jedoch die erforderliche Kontinuität der grenzüberschreitenden Gesundheitsversorgung dennoch sicherzustellen, muss daher im Ausland die Patient:inn:enidentifikation anhand eines amtlichen Lichtbildausweises erfolgen.

Zum anderen besitzen in Österreich aufhältige EU-Ausländer:innen oftmals keine e‑card, insbesondere dann nicht, wenn diese sich nur vorübergehend, etwa aus Gründen des Tourismus oder Transits, in Österreich aufhalten. Auch hat bisher kein einziger EU-Mitgliedstaat den E-ID zur grenzübergreifenden Patient:inn:enidentifikation in MyHealth@EU integriert. Wenn daher eine medizinische Versorgung von EU-Ausländer:innen in Österreich erfolgt, muss zum grenzüberschreitenden Abruf ihrer Gesundheitsdaten ebenfalls auf amtliche Lichtbildausweise als Mittel der Patient:inn:enidentifikation zurückgegriffen werden.

Durch die vorgeschlagene Änderung soll die Klarstellung erfolgen, dass die Daten nicht nur ausgelesen (z. B. mittels Near Field Communication), sondern auch abgelesen (das heißt gescannt) werden dürfen, wobei das Ablesen auch das Abtippen der erforderlichen Daten umfasst. Außerdem soll durch die vorgeschlagene Änderung der Kreis der zur eindeutigen Identifizierung heranzuziehenden Dokumente vergrößert werden:

Beibehalten werden soll das Aus- bzw. Ablesen von Daten, nämlich Sozialversicherungsnummer und Name, der e‑card; dies wurde bereits technisch umgesetzt und stellt insbesondere auf Impfstraßen eine niederschwellige Möglichkeit der eindeutigen Identifizierung dar (lit. a).

Beibehalten wurde ebenso die Identifizierungsmöglichkeiten des Aus- oder Ablesens von Daten eines amtlichen Lichtbildausweises (lit. b). In Ermangelung einer allgemein gültigen Definition des amtlichen Lichtbildausweises, auf die man verweisen könnte, orientiert sich die Definition in der vorgeschlagenen (wie auch in der geltenden) Bestimmung an jener in § 6 Abs. 2 Z 1 Finanzmarkt-Geldwäschegesetz (FMGwG), BGBl. I Nr. 118/2016, jedoch soll durch die vorgeschlagene Änderung von der Erforderlichkeit der Nennung des Geschlechtes am Ausweis sowie die Einschränkung auf das Scheckkartenformat (Format ID-1) abgesehen werden. Hintergrund dieser Änderung ist, dass in Österreich von der geltenden Definition nur der Personalausweis sowie der Identitätsausweis (§ 35a des Sicherheitspolizeigesetzes [SPG], BGBl. Nr. 566/1991 in der Fassung BGBl. Nr. 662/1992) umfasst sind und man nicht davon ausgehen kann, dass alle in Österreich lebenden Menschen diese Ausweise besitzen. Ebenso wenig ist bekannt, ob und welche Ausweise von Personen, die Staatsangehörige einer Vertragspartei des Abkommens über den Europäischen Wirtschaftsraum sind, diese Definition erfüllen und diese Personen darum via Patient:inn:enindex identifiziert werden können.

Durch die nunmehrige Aufhebung der genannten Einschränkungen soll sichergestellt werden, dass neben dem Reisepass auch Dokumente von inländischen Personen und Personen, die Staatsangehörige einer Vertragspartei des Abkommens über den Europäischen Wirtschaftsraum sind, die von einer staatlichen Behörde ausgestellt wurden, die mit einem nicht austauschbaren erkennbaren Kopfbild der betreffenden Person versehen sind, und den Namen, das Geburtsdatum und die Unterschrift der Person sowie die ausstellende Behörde enthalten, zur Identifizierung via Patient:inn:enindex herangezogen werden können, sohin etwa auch der Führerschein oder Dienstausweise der Republik Österreich.

In Übereinstimmung mit § 3 Abs. 2 der Ergänzungsregisterverordnung 2022, BGBl. II Nr. 241/2022, soll für Personen, die nicht Staatsangehörige einer Vertragspartei des Abkommens über den Europäischen Wirtschaftsraum sind, zur eindeutigen Identifizierung via Patient:inn:enindex jedenfalls ein gültiges Reisedokument herangezogen werden müssen (lit. c).

Durch die Nennung, welche Daten aus- und abgelesen werden dürfen, wird klargestellt, dass nur jene Daten verarbeitet werden dürfen, die zur eindeutigen Identifizierung der betroffenen Person (das heißt zur Berechnung des bPK-GH) erforderlich sind. Die Nennung der darüber hinausgehenden Daten in der vorgeschlagenen lit. b (wie auch in der geltenden Bestimmung) sind Teil der Definition des amtlichen Lichtbildausweises, was jedoch nicht bedeutet, dass diese Daten zur eindeutigen Identifizierung via Patient:inn:enindex verarbeitet werden (dies wäre aufgrund des Datenminimierungsgrundsatzes gemäß Art. 5 Abs. 1 lit. c DSGVO ohnehin unzulässig). Dies hat naturgemäß auch zur Folge, dass die Verarbeitung der Ausweisnummer zur Identifizierung via Patient:inn:enindex nicht zulässig ist.

Zu Z 102 (§ 24a Abs. 1 Z 4):

§ 18 ermöglicht die Überprüfung der eindeutigen Identität natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen und regelt in seinem Abs. 4, wie diese Überprüfung zu erfolgen hat. Da die eindeutige Identifikation durch Abfrage des Patient:inn:enindex ohnehin sinngemäß in jeder Form des § 18 Abs. 4 zu erfolgen hat, soll die Bestimmung aus Gründen der Transparenz entsprechend angepasst werden.

Zu Z 106 (§ 24c):

Die Datenschutzbehörde sprach in ihrem bereits oben zitierten Bescheid die Warnung aus, dass die widersprüchlichen Ausführungen zur Verantwortlicheneigenschaft in § 24c Abs. 1, 3 und 3a in der geltenden Fassung nicht mit dem Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO und letztlich mit der zu Art. 8 der EU-Grundrechtscharta, ABl. Nr. C 346 vom 18.12.2000 S. 1 (im Folgenden: EU-GRC) ergangenen Rechtsprechung des EuGH im Hinblick auf den Präzisionsgrad einer Eingriffsnorm in Einklang zu bringen sind. Im Ergebnis sei aus dem Normtext nicht zweifelsfrei zu entnehmen, wer Verantwortlicher bzw. Auftragsverarbeiter für welche Datenverarbeitung ist. Dies widerspräche Art. 5 Abs. 1 lit. a DSGVO.

In Umsetzung dieser Kritik wurde die gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO in Abs. 1 entsprechend einem Informationsverbundsystem im Sinne des § 4 Z 13 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999, in der Fassung vor Inkrafttreten des Datenschutz-Anpassungsgesetzes 2018, BGBl. I Nr. 120/2017, ausgestaltet: Die an den Datenverarbeitungen im Zusammenhang mit dem zentralen Impfregister beteiligten Akteure sind gemeinsame Verantwortliche gemäß Art. 4 Z 7 in Verbindung mit Art. 26 DSGVO.

Zur datenschutzrechtlichen Rolle der selbsteintragenden Bürger:innen sowie deren Vertreter:innen siehe die Erläuterungen zu Z 110 (§ 24e).

Aufgrund der inhaltlichen Änderungen in § 24c wurde auch eine Umstrukturierung notwendig, die gleichzeitig zu einer besseren Verständlichkeit und damit zu einer höheren Transparenz der Eingriffsnorm führen soll.

§ 24c Abs. 2 in der geltenden Fassung soll zur besseren Verständlichkeit in drei Absätze geteilt werden:

Abs. 2 regelt die Verpflichtung, dass Gesundheitsdiensteanbieter, die Impfungen durchführen, die in den Z 1 bis 4 genannten Angaben im zentralen Impfregister zu speichern haben.

Die ersten Monate des Pilotbetriebs haben gezeigt, dass es in der Praxis Schwierigkeiten bei der Beurteilung gibt, wer die Speicherung im zentralen Impfregister durchzuführen hat, da Ärzte und Ärztinnen die Durchführung einer Impfung auch delegieren können. Durch die vorgeschlagene Änderung wird klargestellt, dass die Speicherpflicht jenen Gesundheitsdiensteanbieter trifft, der die berufsrechtliche Verantwortung für die Impfung trägt. Davon unbeschadet sind berufsrechtliche Regelungen, wonach der Gesundheitsdiensteanbieter auch die Dokumentation der Impfung delegieren kann.

Die Aufzählung der zu speichernden Angaben entspricht nahezu unverändert Abs. 2 Z 2 in der geltenden Fassung (siehe bereits umfassend ErlRV 232 BlgNR XXVII. GP, 16 ff sowie die sich in der Anlage 2 befindliche Datenschutz-Folgenabschätzung).

Die vorgeschlagene Änderung der aufgezählten Angaben bezieht sich auf eine Ergänzung der Angaben zum impfenden bzw. speichernden Gesundheitsdiensteanbieter um das Impfsetting.

Beim Impfsetting handelt es sich um die Information, ob ein:e Bürger:in beispielsweise in einer Impfstraße, bei einem niedergelassenen Arzt oder in einem Krankenhaus geimpft wurde. Diese Angabe ist für statistische Auswertungen notwendig (siehe ausführlich die Erläuterungen zu Z 127 [§ 28b Abs. 2 Z 8]).

Der Datenschutzrat wies in seinen Stellungnahmen (zuletzt in der zur Regierungsvorlage zum Bundesgesetz, mit dem das Gesundheitstelematikgesetz 2012 geändert wird, vom 16. Juli 2020) wiederholt auf seine ablehnende Haltung zur Verwendung der Sozialversicherungsnummer für Bereiche, die nicht der Ingerenz der Sozialversicherung unterliegen – quasi als „Personenkennzeichen“ – hin: Die Verwendung der Sozialversicherungsnummer als universelles „Personenkennzeichen“ widerspräche der E‑Government-Strategie des Bundes, weshalb stattdessen das bereichsspezifische Personenkennzeichen (bPK) verwendet werden solle.

Trotz den Ausführungen des Datenschutzrates enthält die vorliegende Aufzählung der zu speichernden Angaben weiterhin die Sozialversicherungsnummer; hierzu wird allerdings klargesellt, dass die Sozialversicherungsnummer im Kontext des eImpfpasses – obwohl es sich um eine Angabe zum:zur Bürger:in handelt – nicht als Personenidentifikator verarbeitet wird, sondern im Rahmen der Abrechnung von Impfprogrammen. Der Bereich, in dem die Sozialversicherungsnummer verarbeitet wird, unterliegt also der Ingerenz der Sozialversicherung, weshalb diese Verarbeitung nicht der E‑Government-Strategie des Bundes widerspricht.

Zur Erfüllung der Dokumentationspflicht siehe bereits ErlRV 232 BlgNR XXVII. GP, 18.

Da es sich bei Laboren in der Regel nicht um Gesundheitsdiensteanbieter, die Impfungen durchführen, handelt, soll zum Erhalt der Rechtsgrundlage für die Speicherung von Antikörperbestimmungen durch ärztlich geführte medizinisch-diagnostisches Labore (Abs. 4 Z 2) in Abs. 3 explizit normiert werden, dass Gesundheitsdiensteanbieter, die Antikörpertests auswerten, diese Antikörperbestimmungen sowie die Angaben gemäß Abs. 2 Z 3 und 4, sofern diese dem Gesundheitsdiensteanbieter zur Verfügung stehen, im zentralen Impfregister zu speichern haben.

Impfrelevante Vorerkrankungen und besondere Impfindikationen sind einem Labor in der Regel nicht bekannt, aber es soll dennoch die Rechtsgrundlage für die Speicherung vorhanden sein, wenn diese Daten bekannt sind. Ein Beispiel, welches Datum in der Regel nie zur Verfügung stehen wird für ein Labor, das nicht impft, sondern Antikörper einträgt, ist das „Impfsetting“.

Der vorgeschlagene Abs. 4 Z 1 stellt nunmehr eine Konkretisierung dar, welche Gesundheitsdiensteanbieter zur Speicherung der Angaben gemäß Abs. 2 verpflichtet sind, wobei hier festzuhalten ist, dass es durch die Speicherverpflichtung zu keiner Erweiterung der Berufsrechte kommt: Nur jene Gesundheitsdiensteanbieter, die berufsrechtlich auch Impfungen verabreichen dürfen, werden zur Speicherung von Impfungen verpflichtet.

Die Aufzählung der speicherverpflichtenden Gesundheitsdiensteanbieter soll durch die vorgeschlagene Änderung gestrafft werden: Die Rollen für Personen werden fast zur Gänze im vorgeschlagenen Abs. 4 Z 1 abgebildet, die Rollen für Organisationen sollen in der bisherigen Form zur Gänze entfallen. Amtsärzte und Amtsärztinnen waren bisher unter der Rolle „Öffentlicher Gesundheitsdienst“ zu subsumieren; aufgrund des Entfalls der Organisationsrollen war es notwendig, sie gesondert in Abs. 4 Z 1 aufzunehmen. Die Aufnahme der diplomierten Gesundheits- und Krankenpfleger:innen in die Aufzählung der Speicherverpflichteten ist notwendig, weil im Fall der schriftlichen Anordnung gemäß § 49 Abs. 3 des Ärztegesetzes 1998 (ÄrzteG 1998), BGBl. I Nr. 169/1998, der eigenverantwortlichen Verabreichung einer Impfung an eine:n diplomierte:n Gesundheits- und Krankenpfleger:in diese:r sowohl die Anordnung als auch die Durchführung zu dokumentieren hat (vgl. § 15 Abs. 2 des Gesundheits- und Krankenpflegegesetzes [GuKG], BGBl. I Nr. 108/1997). Fachärzte und Fachärztinnen für Zahn-, Mund- und Kieferheilkunde sind keine Ärzte und Ärztinnen im Sinne des ÄrzteG 1998, sondern Angehörige des zahnärztlichen Berufs gemäß Zahnärztegesetz (ZÄG), BGBl. I Nr. 126/2005, in deren Tätigkeitsbereich nicht die Verabreichung von Impfungen fällt. Sollten Fachärzte und Fachärztinnen für Zahn-, Mund- und Kieferheilkunde auch z. B. als Allgemeinmediziner:innen in der Ärzteliste eingetragen sein, sind sie als solche und nicht als Fachärzte und Fachärztinnen für Zahn-, Mund- und Kieferheilkunde zur Verabreichung von Impfungen berechtigt, weshalb sie aus § 24c zu streichen sind.

Der vorgeschlagene Abs. 5 gibt inhaltlich unverändert Abs. 4 und 4a und der vorgeschlagene Abs. 7 den Abs. 7 in der geltenden Fassung wider.

Die ersten Monate des Pilotbetriebs haben gezeigt, dass Gesundheitsdiensteanbieter die impfrelevanten Vorerkrankungen nicht oder nur selten im zentralen Impfregister speichern. Diese Information ist jedoch essentiell für die Berechnung der entsprechende Impferinnerungen:

Das Durchmachen von gewissen Viruserkrankungen, wie beispielsweise Hepatitis A, FSME, Masern oder Varizellen, verursacht eine lebenslange Immunität. Somit ist nach der Erkrankung keine Impfung mehr notwendig und indiziert. Solch impfrelevante Vorerkrankungen müssen also angegeben werden, damit das System die entsprechende Information hat, dass für durchgemachte Erkrankungen keine entsprechenden Impferinnerungen mehr erfolgen. Im Gegensatz dazu ist die Impferinnerung in Fällen, in denen die Erkrankung nicht durchgemacht wurde, besonders wichtig, weil die Erkrankungen mit zunehmendem Alter schwerer verlaufen. In diesem Zusammenhang muss zudem berücksichtigt werden, dass diese Information für die sinnvolle Berechnung von Durchimpfungsraten essentiell ist: Selbstverständlich müssen Personen, welche Masern mittels Antikörperbestimmung nachweislich durchgemacht haben, nicht gegen Masern geimpft werden. Wenn diese Personengruppe bei der Berechnung von Durchimpfungsraten jedoch nicht berücksichtigt wird, so wird man niemals ein tatsächliches Abbild der Immunitätslage der Bevölkerung gegen eine gewisse Infektionskrankheit bekommen und es wird schwierig zu beurteilen, wie es um den Schutzzustand steht und ob Maßnahmen notwendig sind oder nicht.

Mit dem vorgeschlagenen Abs. 6 soll klargestellt werden, dass die Gesundheitsdiensteanbieter Antikörperbestimmungen, besondere Impfindikationen sowie impfrelevante Vorerkrankungen unter Berücksichtigung ihrer jeweiligen Berufsrechte unabhängig von der Verabreichung einer Impfung im zentralen Impfregister zu speichern haben. Durch die Wendung „unabhängig von einer Impfung“ wird klargestellt, dass für die Eintragung dieser Daten gerade keine Impfung vorangegangen sein muss: Wer etwa aufgrund des Durchmachens einer Krankheit lebenslang immun gegen diese Erkrankung ist, muss gerade nicht geimpft werden, dennoch ist die Information für weitere Gesundheitsdiensteanbieter relevant.

Ob eine Vorerkrankung impfrelevant ist oder nicht, obliegt der Beurteilung des Gesundheitsdiensteanbieters. Jedenfalls impfrelevant, das heißt, jedenfalls im zentralen Impfregister zu speichern, sind Frühsommer-Meningoenzephalitis (FSME), Masern, Röteln, Hepatitis A und B, Varizellen und Polio. Polio ist seit 1980 in Österreich ausgerottet, sollte aber, sofern eine Person diese Erkrankung durchgemacht hat, auch im zentralen Impfregister gespeichert werden müssen. Ebenso obliegt die Beurteilung, ob eine besondere Impfindikation vorliegt, der Beurteilung des Gesundheitsdiensteanbieters. Da nicht alle Antikörperbestimmungen Auswirkungen auf weitere Impfungen haben, sollen – aufgrund des steten Wandels des Standes der Wissenschaft, der ein schnelles Reagieren erforderlich macht – die Voraussetzungen, unter denen Antikörperbestimmungen von Laboren im zentralen Impfregister zu speichern sind, von dem:der für das Gesundheitswesen zuständigen Bundesminister:in verordnet werden. Verordnet werden sollen ausschließlich jene Impfziele, für die aufgrund des derzeitigen Standes der Wissenschaft ein international anerkanntes Schutzkorrelat besteht (siehe die Erläuterungen zu Z 127 [§ 28b Abs. 6]).

Darüber hinaus soll mit Abs. 6 die Möglichkeit beibehalten werden, dass die Gesundheitsdiensteanbieter, die Impfungen durchführen, auch andere Antikörperbestimmungen im zentralen Impfregister speichern, sofern dies im Einzelfall medizinisch indiziert ist:

Bei den meisten respiratorischen Erregern besteht kein international anerkanntes Schutzkorrelat, weil hier die Eintrittspforte für den Erreger die Mucosa/Schleimhaut darstellt und somit im Blut zirkulierende Antikörper, die mittels Antikörpertestungen bestimmt werden, keine Aussage darüber erlauben, ob eine lokale Immunität in der Mucosa gegeben ist, die vor einer Infektion bzw. Erkrankung schützen kann oder nicht. Beispiele hiefür wären Meningokokken, Pneumokokken, Influenza, Pertussis, aber auch das Coronavirus SARS-CoV-2. Diese Antikörperbestimmungen haben in der Regel keine Konsequenz für eine Impfentscheidung.

Dennoch kann es in Einzelfällen, etwa bei schwer Immunsupprimierten, zur Fragestellung kommen, ob überhaupt eine Immunreaktion auf eine Impfung stattgefunden hat. Bei dieser Fragestellung können entsprechende Antikörpertestungen hilfreich sein und einen Aufschluss geben, ob die Impfung „angegangen“ ist oder weitere Impfungen notwendig sind. Es handelt sich hierbei jedoch um seltene Einzelfallentscheidungen.

Der vorgeschlagene Abs. 8 entspricht nahezu wortwörtlich dem Abs. 6 in der geltenden Fassung (siehe dazu ErlRV 232 BlgNR XXVII. GP, 21 sowie die sich in der Anlage 2 befindliche Datenschutz-Folgenabschätzung), allerdings soll für Antikörperbestimmungen eine kürzere Löschfrist vorgesehen werden müssen, falls dies aufgrund medizinischer Indikatoren erforderlich ist (siehe die Erläuterungen zu Z 127 (§ 28b Abs. 2 Z 9 lit. b).

Durch die vorgeschlagene Änderung soll auch ergänzt werden, dass Impferinnerungen spätestens 1 Jahr nach dem vorgeschlagenen Impftermin zu löschen sind. Die Erinnerungsfunktion stellt einen wesentlichen Mehrwert des eImpfpasses im Hinblick auf die Prävention, konkret die Steigerung von Durchimpfungsraten, dar (siehe dazu umfassend ErlRV 232 BlgNR XXVII. GP, 33). Damit Impferinnerungen wirksam sind, ist es erforderlich, dass sie zumindest bis zum vorgeschlagenen Impftermin angezeigt werden und – da der durch die Impfung bewirkte Schutz nicht automatisch mit einem Stichtag seine Wirkung verliert – ein Jahr darüber hinaus weiterhin abrufbar bleiben.

Zu Z 108 (§ 24d Abs. 1 Z 5):

Gemäß § 4 Abs. 3 darf der Patientenindex (§ 18) auch außerhalb von ELGA zur eindeutigen Identifizierung von betroffenen Personen herangezogen werden.

Da eine eindeutige Identifizierung unter Mitwirkung der betroffenen Person nicht in allen in § 24d Abs. 1 Z 5 genannten Fällen (praktisch) durchführbar ist, soll mit der vorgeschlagenen Änderung der Verweis auf Abs. 4 entfallen.

Zu Z 109 (§ 24d Abs. 2):

Sowohl für die Darstellung des persönlichen Impfkalenders (Z 2) als auch für die Erinnerungen gemäß Impfplan Österreich (Z 3) sind nicht nur die im zentralen Impfregister gespeicherten Daten, sondern auch die dort gespeicherten Antikörperbestimmungen erforderlich. Durch die vorgeschlagene Änderung sol dies in der Bestimmung entsprechend abgebildet werden.

Zur vorgeschlagenen Änderung zu Z 4 siehe die Erläuterungen zu Z 114 (§ 24g).

Bei der vorgeschlagenen Änderung in Z 5 handelt es sich um eine redaktionelle Anpassung ohne inhaltliche Änderung.

Zu Z 110 (§ 24e):

In dem bereits oben zitierten Bescheid führte die Datenschutzbehörde aus, dass die Annahme des für das Gesundheitswesen zuständigen Bundesministers, dem Verantwortlichen für den Vollbetrieb des eImpfpasses, dass bestimmte Betroffenenrechte von vornherein keine Anwendung finden und folglich keiner Beschränkung bedürfen, weder im Gesetzestext, noch in der DSGVO, sondern lediglich in den Erläuterungen Deckung findet. Es könnte daher nicht gesagt werden, dass damit ausreichend klare und präzise Anforderungen geschaffen werden, die es durchschnittlichen Rechtsunterworfenen ermöglicht, die Tragweite der Beschränkung ihrer Rechte zu erkennen. Insofern widerspräche dies Art. 5 Abs. 1 lit. a DSGVO.

Durch die vorgeschlagenen Änderungen soll diese Kritik umgesetzt werden:

Der vorgeschlagene Abs. 3 gestaltet den geltenden Abs. 1 Z 1 klarer aus.

Gemäß Abs. 3 in Verbindung mit § 24h Abs. 2 Z 6 ist das Recht auf Auskunft über die im zentralen Impfregister gespeicherten Daten von den Bürger:innen gegenüber der neu einzurichtenden eHealth-Servicestelle wahrzunehmen (zum Entfall des Wortes „schriftlich“ siehe bereits die Erläuterungen zu Z 70 [§ 16 Abs. 1] und zur eHealth-Servicestelle die Erläuterungen zu Z 115 [§ 24i]).

Bereits bisher konnte man die im zentralen Impfregister eingetragenen Daten via Zugangsportal downloaden und sich ausdrucken oder sich von der ELGA-Ombudsstelle ausdrucken lassen. Durch die vorgeschlagene Änderung wird klargestellt, dass es sich dabei um eine Datenkopie im Sinne des Art. 15 Abs. 3 DSGVO handelt. Die Informationen gemäß Art. 15 Abs. 1 lit. a bis h DSGVO sind den betroffenen Personen im Zugangsportal in geeigneter Weise zur Verfügung zu stellen bzw. von der eHealth-Servicestelle ihrer Auskunft beizuschließen.

Abs. 1 Z 1 in der geltenden Fassung sieht im Gegensatz zum vorgeschlagenen Abs. 3 kein Zurverfügungstellen der Informationen gemäß Art. 15 Abs. 1 lit. a bis h DSGVO vor, sondern nur das Recht auf Auskunft über Protokolldaten. Aus den Protokolldaten ist ersichtlich, wer auf das zentrale Impfregister zugegriffen hat, sie geben also Auskunft über die Empfänger:innen. Da das Recht auf Auskunft über die Empfänger:innen ohnehin vom Recht auf Auskunft gemäß Art. 15 DSGVO umfasst ist (vgl. Art. 15 Abs. 1 lit. c DSGVO), soll ein Abstellen im Normtext aufgrund des unionsrechtlichen Transformationsverbots unterbleiben.

Aufgrund der Entscheidung der Systempartner (das sind Bund, Länder und der Dachverband der Sozialversicherungsträger) wird von der ITSV GmbH eine „Mein eImpfpass“-App entwickelt, die Funktionen zu Rechten der Bürger:innen gemäß § 24e (insbesondere Funktionen zur Darstellung der Einträge im eImpfpass und zur Selbsteintragung von Impfungen) anbietet und die Überprüfung der eindeutigen Identität der Bürger:innen durch den Login mittels Handysignatur/Bürgerkarte oder ID Austria (vgl. § 18 Abs. 4 Z 2) gewährleistet. Bei dieser als native App entwickelten Anwendung handelt es sich um ein Zugangsportal im Sinne des § 23 in Verbindung mit § 24f Abs. 6 (siehe ebenso die Erläuterungen zu Z 98 [§ 23]).

Aus Gründen der Transparenz scheint es erforderlich, das Recht auf Berichtigung nicht in § 24c, sondern in § 24e zu regeln. Der vorgeschlagene Abs. 4 entspricht weitgehend wortwörtlich dem § 24c Abs. 3 in der geltenden Fassung, jedoch soll nunmehr klargestellt werden, dass die (technischen) Begriffe aktualisieren und stornieren (rechtlich) eine Berichtigung iSd Art. 16 DSGVO darstellen: Die Aktualisierung dient dazu, einzelne zu einer Impfung gespeicherte Angaben zu korrigieren, während die Stornierung zur Anwendung gelangt, wenn eine gespeicherte Impfung tatsächlich gar nicht verabreicht oder einem:einer falschen Bürger:in zugeordnet wurde (siehe dazu bereits ErlRV 232 BlgNR XXVII. GP, 18).

Da durch die Eintragung in das zentrale Impfregister die berufsrechtliche Dokumentationspflicht erfüllt wird (vgl. § 24c Abs. 2), ist die Abrufbarkeit der stornierten Daten gemäß Art. 9 Abs. 2 lit. f DSGVO erforderlich. Vor diesem Hintergrund sollen die stornierten Daten zwar nicht gelöscht werden, aber nur für den Gesundheitsdiensteanbieter, der die nunmehr stornierten Daten im zentralen Impfregister gespeichert hat, sowie für die betroffene Person abrufbar bleiben. Letzteres ist für die Geltendmachung von Betroffenenrechten gegenüber dem speichernden Gesundheitsdiensteanbieter erforderlich.

Beibehalten werden soll, dass sich die betroffenen Personen im Falle der Nicht-Verfügbarkeit des Gesundheitsdiensteanbieters für die Berichtigung der im zentralen Impfregister gespeicherten Daten an eine Bezirksverwaltungsbehörde wenden können (zur Nichtverfügbarkeit eines Gesundheitsdiensteanbieters siehe ausführlich ErlRV 232 BlgNR XXVII. GP, 19 f), jedoch wird durch die vorgeschlagene Bestimmung klargestellt, dass die Berichtigung nur Amtsärzte und Amtsärztinnen vornehmen dürfen.

§ 51 ÄrzteG 1998 enthält Bestimmungen über die Dokumentationspflicht und Auskunftserteilung im Fall des Ablebens oder der Pensionierung von Ärztinnen und Ärzten, jedoch stellt die Beibehaltung der aktuellen Rechtslage die für die betroffenen Personen praxisfreundlichere Lösung da, zumal nicht alle Gesundheitsdiensteanbieter gemäß § 24c Abs. 4 Ärztinnen oder Ärzte sind und § 51 ÄrzteG 1998 gemäß § 42 Abs. 4 leg. cit. nicht anzuwenden wäre.

Da es sich bei dem eImpfpass um ein System der ungerichteten Kommunikation handelt, sind dem Gesundheitsdiensteanbieter, der die Berichtigung der Daten iSd Art. 16 DSGVO vorgenommen hat, die Empfänger:innen der Daten nicht bekannt, da die Daten nicht direkt an eine:n Empfänger:in übermittelt, sondern über eine Zwischeninstanz allen zugriffsberechtigten Personen bereit gestellt werden. Aus datenschutzrechtlichen Gründen hat der einzelne Gesundheitsdiensteanbieter keine Kenntnis darüber, welche anderen Gesundheitsdiensteanbieter auf das zentrale Impfregister zugegriffen haben. Eine Mitteilung des Gesundheitsdiensteanbieters über die erfolgte Berichtigung ist sohin unmöglich, was nicht im Widerspruch zu Art. 19 DSGVO steht (vgl S 1 aE). Eine Unterrichtung der betroffenen Person über die Empfänger:innen ist sohin ebenfalls unmöglich, allerdings haben die Bürger:innen gemäß Abs. 3 das Recht, via eHealth-Servicestelle oder Zugangsportal Auskunft über die sie betreffenden Protokolldaten (und darüber auf die auf das zentrale Impfregister zugreifenden Personen) zu erhalten.

Die Nicht-Vornahme der Mitteilung durch die Gesundheitsdiensteanbieter wäre von Art. 19 DSGVO aufgrund faktischer Unmöglichkeit gedeckt. Nichtsdestotrotz soll Abs. 4 eine Regelung darüber enthalten, dass Gesundheitsdiensteanbieter, die auf die Daten in der nicht berichtigten Fassung zugegriffen haben, in Übereinstimmung mit § 24f Abs. 4, über Berichtigungen in geeigneter Weise zu informieren sind. Diese Regelung ist § 22 Abs. 7 nachgebildet und entspricht bereits der Architektur des zentralen Impfregisters.

Im vorgeschlagenen Abs. 5 werden Betroffenenrechte beschränkt, sofern § 24g Abs. 4, der seinerseits die Beschränkung von Betroffenenrechten vorsieht, nichts anderes bestimmt. Diese Bestimmung stellt ein Kernstück der Umsetzung der Kritik der Datenschutzbehörde dar.

Aufgrund der häufigen Bezugnahme auf das erhebliche öffentliche Interesse an der Verwendung des eImpfpasses wird dieses in Anlage 1 umfassend dargestellt.

Zum Ausschluss des Rechts auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO:

Art. 18 Abs. 1 DSGVO regelt die Gründe für die Einschränkung der Verarbeitung, führt aber gleichzeitig in Abs. 2 aus, dass diese („eingeschränkten“) personenbezogenen Daten – von ihrer Speicherung abgesehen – nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden. Da die Speicherung weiterhin zulässig ist und die weitere Verarbeitung aus Gründen eines wichtigen (gemeint wohl: „erheblichen“) öffentlichen Interesses erfolgt, ergibt sich die Nicht-Anwendbarkeit bereits unmittelbar und direkt aus der DSGVO.

Aufgrund der Kritik der Datenschutzbehörde, die Ansicht des für das Gesundheitswesen zuständigen Bundesministers spiegle sich nicht im Gesetzestext wider, soll Art. 18 DSGVO gemäß Art. 23 Abs. 1 lit. e DSGVO ausgeschlossen werden.

Zum Ausschluss des Widerspruchrechts gemäß Art. 21 DSGVO:

Das Widerspruchsrecht gemäß Art. 21 DSGVO würde die Realisierung der mit dem eImpfpass verfolgten, im erheblichen öffentlichen Interesse (insbesondere im Bereich der öffentlichen Gesundheit) liegenden Ziele geradezu verunmöglichen; vor allem die präzise und lückenlose Möglichkeit zur Evaluierung von Durchimpfungsraten. Diese wiederum ist notwendig, um aktuelle Situationen beurteilen zu können, potentiell entstehenden Risiken effektiv und effizient zu begegnen und Maßnahmen gezielt dort zu setzen, wo es notwendig ist. Somit ist die Umsetzung des eImpfpasses ohne Widerspruchsmöglichkeit der Bürger:innen „für das Erreichen dieser Zwecke im Interesse einzelner natürlicher Personen und der Gesellschaft insgesamt erforderlich“ im Sinne des ErwG 53 DSGVO: Ein Widerspruchsrecht der Bürger:innen gegen die Speicherung ihrer Impfdaten im zentralen Impfregister liefe dem erheblichen öffentlichen Interesse der Gesellschaft insgesamt zuwider, insbesondere jenem an der verbesserten Reaktionsfähigkeit im Falle von Ausbrüchen von durch Impfung vermeidbareren Krankheiten sowie an der Einhaltung von Verpflichtungen zur Verfolgung internationaler Eliminations- und Eradikationsziele.

In Österreich gibt es derzeit Impfungen gegen 23 Krankheitserreger, wovon lediglich vier nicht von Mensch zu Mensch übertragbar sind. Bei diesen vier nicht von Mensch zu Mensch übertragbaren Krankheiten handelt es sich um FSME (Frühsommer-Meningoenzephalitis), Gelbfieber, Japanische Enzephalitis und Tetanus. FSME und Gelbfieber sind gemäß § 1 EpiG anzeigepflichtig, ebenso die Japanische Enzephalitis als virusbedingte Meningoenzephalitis. Durch die bestehende Anzeigepflicht ist impliziert, dass es sich um schwere Erkrankungen handelt (FSME führte beispielsweise 2018 in fünf Fällen zum Tod) und das öffentliche Interesse an einer lückenlosen digitalen Dokumentation von dagegen verabreichten Impfungen umso erheblicher ist. Aufgrund der Schwere dieser Krankheiten wäre die Ungleichbehandlung von Impfungen gegen diese Krankheiten einerseits, und Impfungen gegen von Mensch zu Mensch übertragbare Krankheiten andererseits sachlich nicht gerechtfertigt.

Tetanus ist zwar keine anzeigepflichtige Krankheit, allerdings gelangen in der Regel Kombinationsimpfstoffe zur Anwendung, welche neben Komponenten gegen Tetanus auch Komponenten gegen von Mensch zu Mensch übertragbare Krankheiten, nämlich Diphterie und Keuchhusten und optimalerweise auch gegen Kinderlähmung enthalten. Faktisch ist es daher nahezu unmöglich, Tetanus-Impfungen nicht zwingend im zentralen Impfregister zu erfassen. Daher wäre auch eine Ungleichbehandlung der Impfung gegen Tetanus (obwohl nicht anzeigepflichtig) einerseits, und der Impfungen gegen FSME, Gelbfieber und Japanische Enzephalitis andererseits, sachlich nicht gerechtfertigt.

Es bestehen sohin keine Impfungen, für die eine verpflichtende, lückenlose und personenbezogene Erfassung für die mit dem eImpfpass verfolgten Ziele und Zwecke nicht erforderlich wäre.

Aus all diesen Gründen soll das Widerspruchsrecht gemäß Art. 21 DSGVO aufgrund des Art. 23 Abs. 1 lit. e DSGVO beschränkt werden.

Zur Beschränkung des Rechts auf Löschung gemäß Art. 17 DSGVO:

Art. 17 DSGVO zählt in seinem Abs. 1 Gründe auf, bei deren Vorliegen die personenbezogenen Daten unverzüglich zu löschen sind. Demgegenüber nennt der Abs. 3 des Art. 17 DSGVO Gründe, wann Abs. 1 und Abs. 2 nicht gelten; nämlich etwa dann, wenn (soweit) die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, erforderlich ist, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (lit. b) oder aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Art. 9 Abs. 2 lit. h und i sowie Art. 9 Abs. 3 (lit. c).

Dass die Verarbeitung von Impfdaten aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit erforderlich ist, wird in Anlage 1 umfassend beschrieben. Darüber hinaus trifft die Gesundheitsdiensteanbieter auf der einen Seite eine rechtliche Verpflichtung (lit. b 1. F) zur Speicherung (§ 24c Abs. 2), auf der anderen Seite eine rechtliche Verpflichtung (lit. b 1. F) zur Nicht-Löschung (§ 24e Abs. 4). Die Nicht-Anwendung des Art. 17 DSGVO ergibt sich sohin unmittelbar und direkt aus der DSGVO.

Aufgrund der Kritik der Datenschutzbehörde, die Ansicht des für das Gesundheitswesen zuständigen Bundesministers spiegle sich nicht im Gesetzestext wider, soll Art. 17 DSGVO im Sinne des § 24c Abs. 8 beschränkt werden.

Nicht beschränkt wird hingegen das Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO, da die Voraussetzungen des Art. 20 Abs. 1 lit. a DSGVO für keine der im Zusammenhang mi dem eImpfpass stehenden Verarbeitungstätigkeiten vorliegen: Zwischen dem Gesundheitsdiensteanbieter und der betroffenen Person kommt regelmäßig ein Behandlungsvertrag zu Stande, allerdings erfolgt die Speicherung der Daten im zentralen Impfregister nicht aufgrund des Behandlungsvertrags, sondern aufgrund der in § 24c Abs. 2 und 3 normierten rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO). ErwG 68 DSGVO stellt klar, dass Art. 20 DSGVO nicht gelten soll, wenn die Verarbeitung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung erfolgt.

Die Verwendung des eImpfpasses erfüllt außerdem ein öffentliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j DSGVO und Art. 20 Abs. 3 DSGVO normiert explizit, dass das Recht auf Datenübertragbarkeit nicht für eine Verarbeitung gilt, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt.

Als grundrechtsschützende Maßnahme und in Umsetzung des Art. 23 Abs. 2 lit. h DSGVO ist im vorgeschlagenen Abs. 1 vorgesehen, dass die Bürger:innen von dem:der für den für das Gesundheitswesen zuständigen Bundesminister:in in geeigneter Weise über ihre (nicht) zustehenden Rechte zu informieren sind. Durch die Nicht-Einschränkung auf die Betroffenenrechte im Sinne der DSGVO umfasst diese Information auch das Recht auf Selbsteintragung von Impfungen und das Recht, Impfungen in den „WHO-Impfpass“ eintragen zu lassen. Dem:Der für das Gesundheitswesen zuständigen Bundesminister:in steht es ausdrücklich frei, diese Information nicht an jede einzelne betroffene Person individuell, sondern an „die Bürger:innen“ in deren Gesamtheit zu richten. Die Information kann daher auch in allgemeiner Weise erteilt werden (zum Beispiel auf der Website).

Der vorgeschlagene Abs. 6 gestaltet Abs. 1 Z 2 in der geltenden Fassung näher aus und es soll durch die vorgeschlagene Änderung auch die Klargestellung vorgenommen werden, dass die Bürger:innen ihre selbsteingetragenen Impfungen bis zum Zeitpunkt einer allfälligen Vidierung durch einen Gesundheitsdiensteanbieter selbst berichtigen oder löschen können. Das Wort „Selbsteintragung“ ist in diesem Zusammenhang als terminus technicus zu verstehen, denn tatsächlich soll es sich dabei um die Übermittlung von Daten an den:die für das Gesundheitswesen zuständige:n Bundesminister und der Eintragung der Daten durch ihn:sie in das zentrale Impfregister handeln.

In dem bereits zitierten Bescheid der Datenschutzbehörde vertritt diese die Ansicht, dass alle an den Datenverarbeitungen im Zusammenhang mit dem zentralen Impfregister beteiligten Akteure gemeinsame Verantwortliche gemäß Art. 4 Z 7 in Verbindung mit Art. 26 DSGVO sind, sohin auch die Bürger:innen und deren Vertreter:innen für die selbsteingetragenen Impfungen.

Während versucht wurde, den Großteil der Kritik der Datenschutzbehörde sehr nahe an ihrer im Bescheid vertretenen Rechtsansicht umzusetzen, wurde hinsichtlich der Selbsteintragung von Impfungen eine andere Lösung gewählt:

Mit einer Festlegung der selbsteintragenden Bürger:innen und ihrer Vertreter:innen als (gemeinsam) Verantwortliche würden diesen zahlreiche aus der DSGVO resultierende Verpflichtungen (wie etwa zur Durchführung einer Datenschutz-Folgenabschätzung oder zur Führung eines Verzeichnisses gemäß Art. 30 Abs. 1 DSGVO) samt Sanktionsfolgen bei Zuwiderhandeln (einschließlich Geldbußen gemäß Art. 83 DSGVO) auferlegt. Die dem Schutz der betroffenen Person dienenden Vorschriften der DSGVO würden damit zum reinen Selbstzweck; gleichzeitig würde eine Identität von betroffener Person und Verantwortlichem Probleme bei der Durchsetzung von Betroffenenrechten verursachen. Neben der Frage, ob eine betroffene Person – im Lichte des Gegenstands und der Ziele der DSGVO (vgl. Art. 1 Abs. 1 und 2 DSGVO: Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten, Schutz der Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten) überhaupt Verantwortlicher iSd Art. 4 Z 7 DSGVO der Verarbeitung ihrer eigenen personenbezogenen Daten sein kann, ist auch zu berücksichtigen, dass eine Festlegung der betroffenen Person als Verantwortlicher der Selbsteintragung im Ergebnis unverhältnismäßig in das durch Art. 8 EMRK und Art. 7 EU-GRC gewährleistete Recht auf Achtung des Privatlebens eingreifen würde, weil die Art und Weise, wie eine betroffene Person ihre eigenen Daten verarbeiten darf, ohne legitimen Grund massiv eingeschränkt würde.

Vor diesem Hintergrund und um eine klare datenschutzrechtliche Verantwortlichkeit für alle im zentralen Impfregister gespeicherten Daten zu gewährleisten, sollen Selbsteintragungen wie folgt vorgenommen werden:

Den Bürger:innen sowie ihre Vertreter:innen wird die Möglichkeit eingeräumt die selbsteinzutragenden Daten – in der mittels Verordnung gemäß § 28b Abs. 2 Z 6 festgelegten Form – an den:die für das Gesundheitswesen zuständige:n Bundesminister:in übermitteln. Diese:r hat die übermittelten Daten als datenschutzrechtlich Verantwortlicher (vgl. § 24h Abs. 2 Z 7) automatisiert in das zentrale Impfregister einzutragen bzw. die dort eingetragenen Daten zu berichtigen oder zu löschen.

Die datenschutzrechtliche Verantwortlichenrolle für die Selbsteintragung im zentralen Impfregister wird somit im Sinne des Art. 4 Z 7 DSGVO dem:der für das Gesundheitswesen zuständige:n Bundesminister:in zugewiesen. Eine Verantwortlichkeit der selbsteintragenden Bürger:innen oder ihrer Vertreter:innen kann sich nur insoweit ergeben, als diese dem:der Bundesminister:in auch personenbezogene Daten Dritte übermitteln. Auch in diesem Fall beschränkt sich deren Verantwortlichkeit aber auf den bloßen Übermittlungsvorgang und unterliegt den allgemeinen datenschutzrechtlichen Vorschriften, ohne dass es spezifischer Sonderregelungen bedarf.

Eine inhaltliche Prüfung der übermittelten und sohin einzutragenden Daten durch den:die für das Gesundheitswesen zuständige:n Bundesminister:in soll nicht erfolgen, da es sich bei der Vidierung um einen medizinischen Vorgang handelt, der gemäß § 24c Abs. 5 Z 2 von den Gesundheitsdiensteanbietern, in deren berufsrechtlichen Verantwortung Impfungen durchgeführt werden, vorgenommen wird. Die Prüfung der Richtigkeit durch den:die für das Gesundheitswesen zuständige:n Bundesminister:in soll sich sohin darauf beschränken, dass die Eintragung entsprechend der Übermittlung erfolgt.

Der vorgeschlagene Abs. 7 entspricht weitgehend dem Abs. 1 Z 3 in der geltenden Fassung, jedoch soll überdies klargestellt werden, dass der Eintrag im internationalen Impfausweis zusätzlich zur Speicherung gemäß § 24c Abs. 2 und nicht stattdessen zu erfolgen hat.

Zum vorgeschlagenen Abs. 8 siehe die Erläuterungen zu Z 115 (§ 24i) und zum vorgeschlagenen Abs. 2 die Erläuterungen zu Z 59 (§ 14 Abs. 2a).

Zu Z 112 (§ 24f Abs. 4)

Die vorgeschlagene Änderung gestaltet die spezifischen Zugriffsberechtigungen klarer aus:

Ergänzt werden soll eine spezifische Zugriffsberechtigung für die Gesundheitsdiensteanbieter, die Antikörpertests auswerten. Im Gegensatz zu den Gesundheitsdiensteanbietern, die Impfungen durchführen, sollen Labore nur einen schreibenden, jedoch keinen lesenden Zugriff auf die im zentralen Impfregister gespeicherten Daten erhalten; das heißt, sie dürfen Antikörperbestimmungen speichern und gegebenenfalls fehlerhafte Einträge berichtigen, haben jedoch keinen Zugriff auf die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten.

Ergänzt werden soll ferner die spezifische Zugriffsberechtigung für den:die für das Gesundheitswesen zuständige:n Bundesminister:in, für die Landeshauptleute und für die Bezirksverwaltungsbehörden für Auswertungen gemäß § 24d Abs. 2 Z 4 (siehe die Erläuterungen zu Z 114 [§ 24g]).

Ebenfalls ergänzt werden soll eine klare spezifische Zugriffsberechtigung für den Betrieb, die Wartung und die technische Weiterentwicklung für den eImpfpass für den:die für das Gesundheitswesen zuständige:n Bundesminister:in sowie für Erinnerungen an empfohlene Impfungen gemäß dem jeweils aktuellen Impfplan Österreich:

Bisher war eine spezifische Zugriffsberechtigung für Erinnerungen an empfohlene Impfungen gemäß dem jeweils aktuellen Impfplan Österreich nicht vorgesehen, weil nur systemseitige, automatisierte Impferinnerungen intendiert waren. Die letzten Monate der COVID-19-Pandemie machten jedoch deutlich, dass auch ein erhebliches öffentliches Interesse daran besteht, Personen über noch ausstehende Impfungen informieren zu können. Zur Gewährleistungen einer klaren Rechtsgrundlage soll durch die vorgeschlagene Änderung eine spezifische Zugriffsberechtigung für den:die für das Gesundheitswesen zuständige Bundesminister:in, die Landeshauptleute und Bezirksverwaltungsbehörde in ihrem jeweiligen gesetzlichen Wirkungsbereich zum Zweck der Versendung von Impferinnerungen vorgesehen werden.

Zur Notwendigkeit der spezifischen Zugriffsberechtigung für die Selbsteintragung von Impfungen siehe die Erläuterungen zu Z 110 (§ 24e Abs. 6).

Zu Z 114 (§ 24g):

In dem bereits zitierten Bescheid der Datenschutzbehörde führt diese aus, dass im vorliegenden Fall eine betroffene Person aufgrund der Formulierung in § 24g Abs. 2, wonach die im zentralen Impfregister zu ihrer Person verarbeiteten Daten mit „in anderen Registern“ zu ihrer Person gespeicherten Daten verknüpft und ausgewertet werden können, nicht nachvollziehen kann, welche konkreten anderen Register dafür in Frage kommen. Insoweit widerspräche dies dem Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO, und es sei auch von einer unzulässigen Beschränkung des Grundrechts auf Datenschutz auszugehen.

Mit der vorgeschlagenen Änderung wird diese Kritik umgesetzt:

Nach Vorbild des § 34 des Transparenzdatenbankgesetzes 2012 (TDBG 2012), BGBl. I Nr. 99/2012, soll die Überschrift zu § 24g nur mehr „Auswertungen“ heißen. Für welche Auswertungen die im zentralen Impfregister gespeicherten Daten verarbeitet werden dürfen, soll nunmehr in Abs. 1 abschließend geregelt werden. Die Auswertungen erfolgen klassischerweise als Berechnung von Durchimpfungsraten, also etwa die Auswertung von Impfungen per Indikationsgruppe, die Auswertung von gegen Masern geimpften Personen im Bezirk St. Johann im Pongau, die Auswertung der gegen COVID-19 geimpften Personen pro Bundesland etc. Ein weiteres Beispiel für solche Auswertungen wäre die Berechnung, ob empfohlene Impfintervalle eingehalten werden.

Aus Gründen der Transparenz wird im vorgeschlagenen Abs. 1 auch ergänzt, dass diese Auswertungen nur der:die für das Gesundheitswesen zuständige Bundesminister:in sowie die Landeshauptleute und die Bezirksverwaltungsbehörden in ihrem jeweiligen gesetzlichen Wirkungsbereich vornehmen dürfen.

Das im zentralen Impfregister gespeicherte bereichsspezifische Personenkennzeichen Gesundheit (vgl. § 24c Abs. 2 Z 3) erfüllt die Anforderungen an die Datensicherheit, weshalb vom im geltenden Abs. 1 vorgesehenen Erfordernis eines nicht rückführbar verschlüsselten eindeutigen Personenkennzeichens abgegangen werden kann. Zum Erfordernis der Nicht-Pseudonymisierung von Geschlecht, Geburtsjahr und -monat sowie Gemeindecode siehe ausführlich ErlRV 232 BlgNR XXVII. GP, 37.

Da die Sozialversicherungsnummer im Kontext eImpfpass im Rahmen der Abrechnung von Impfprogrammen, also in einem Bereich, der der Ingerenz der Sozialversicherung unterliegt (siehe bereits die Erläuterungen zu Z 106 [§ 24c]), verarbeitet wird, soll in Abs. 1 ausdrücklich normiert werden, dass die Sozialversicherungsnummer nicht für Auswertungen verarbeitet werden darf.

Im vorgeschlagenen Abs. 2 wird die Kritik der Datenschutzbehörde umgesetzt und es werden konkrete Register, mit denen die Daten aus dem zentralen Impfregister verknüpft werden dürfen, aufgezählt. Ausdrücklich normiert werden soll, dass nur der:die für das Gesundheitswesen zuständige Bundesminister:in diese Verknüpfung durchführen darf und die verknüpften Daten nur von dem:der für das Gesundheitswesen zuständigen Bundesminister:in, den Landeshauptleuten und den Bezirksverwaltungsbehörden in ihrem jeweiligen gesetzlichen Wirkungsbereich verarbeitet werden dürfen. Eine Verknüpfung der Daten soll überdies nur zur Verfolgung der in § 24b Z 2 genannten Ziele, also zur Steuerung des öffentlichen Gesundheitswesens, zulässig sein.

Die Daten aus folgenden Register sollen mit den im zentralen Impfregister gespeicherten Daten verknüpft werden dürfen:

- eHealth-Verzeichnisdienst (§ 10): Gesundheitspersonal hat einerseits ein höheres Risiko, im Kontext der Arbeit Infektionen zu akquirieren, und stellt andererseits selbst eine Infektionsgefahr für betreute Patient:inn:en dar. Die Bestimmung der Durchimpfungsrate von Mitarbeiter:inne:n im Gesundheitsbereich als Entscheidungsgrundlage für die Ergreifung gesundheitspolitischer Maßnahmen kann dabei aus einer Verknüpfung der im zentralen Impfregister gespeicherten Daten mit jenen aus dem eHealth-Verzeichnisdienst gewonnen werden, um darauf basierend zielgerichtet Maßnahmen zur Schließung von Impflücken in dieser Gruppe setzen und auch deren Erfolg überwachen zu können. Gemäß § 11 Abs. 3 Gesundheitsberuferegister-Gesetz (GBRG), BGBl. I Nr. 87/2016, in Verbindung mit § 9 Abs. 1 Z 3 sind die Angehörigen von Gesundheitsberufen gemäß § 1 Abs. 2 GBRG in den eHealth-Verzeichnisdienst einzutragen, weshalb eine Verknüpfung mit dem Gesundheitsberuferegister zur Berechnung der Durchimpfungsraten dieser Berufsgruppen nicht erforderlich ist.

- eMedikation (§ 20a): Für das Krisenmanagement im Rahmen der Pharmakovigilanz (§ 24d Abs. 2 Z 5) ist es erforderlich, dass Impfdaten mit Daten zu rezenten verordnen Medikationen verknüpft werden. Aus diesem Grund sollen die im zentralen Impfregister gespeicherten Daten mit den in der ELGA-Anwendung eMedikation gespeicherten Daten verknüpft werden dürfen.

- Register anzeigepflichtiger Krankheiten (§ 4 EpiG): Durch die COVID-19-Pandemie wurde die Notwendigkeit der Verknüpfung des zentralen Impfregisters mit dem Register anzeigepflichtiger Krankheiten deutlich und in Reaktion darauf wurde mit § 4 Abs. 3a EpiG auch eine entsprechende, wenngleich befristete, Bestimmung geschaffen. Die Verknüpfung dieser beiden Register ist für ein effizientes Ausbruchs- und Krisenmanagement wesentlich, insbesondere für die Aufklärung von Impfdurchbrüchen und Ausbruchsclustern und dem Setzen postexpositioneller Maßnahmen (wie etwa die Bestellung zusätzlicher Impfstoffe für den betroffenen Personenkreis) sowie für eine effiziente Kontaktpersonennachverfolgung. Durch den eImpfpass kann in Ausbruchssituationen der Impfstatus von einzelnen Kontaktpersonen zweifelsfrei und ohne Zeitverzug festgestellt werden.

- Statistik-Register (§ 4a EpiG): Eine Verknüpfung mit dem Statistik-Register ist insbesondere zum Zweck der wissenschaftlichen Forschung notwendig (vgl. § 4a Abs. 1 EpiG), was insbesondere zum Zweck der Erforschung von COVID-19 erforderlich ist. Aufgrund der vorgeschlagenen Bestimmung dürfen die verknüpften Daten nur der:die für das Gesundheitswesen zuständige Bundesminister:in, die Landeshauptleute und die Bezirksverwaltungsbehörden in ihrem jeweiligen gesetzlichen Wirkungsbereich verarbeiten; sollte darüber hinaus eine Verarbeitung durch die Gesundheit Österreich GmbH oder die Österreichische Agentur für Gesundheit und Ernährungssicherheit erforderlich sein (vgl. § 4a Abs. 5 EpiG), so wäre dafür eine Rechtsgrundlage im EpiG erforderlich.

- Dokumentations- und Informationssystem für Analysen im Gesundheitswesen (§ 4 Abs. 3 des Bundesgesetzes über die Dokumentation im Gesundheitswesen, BGBl. Nr. 745/1996): Die Verknüpfung der pseudonymisierten Diagnosedaten mit den im zentralen Impfregister gespeicherten Daten ermöglicht die Ableitung von Erkenntnissen als Grundlage für die Ergreifung gesundheitspolitischer Maßnahmen wie zum Beispiel Erweiterung von Impfprogrammen oder die Feststellung von Impfschäden.

Der vorgeschlagene Abs. 3 regelt, dass die verknüpften Daten nur dann personenbezogen gespeichert werden dürfen, wenn dies aufgrund einer entsprechenden gesetzlichen Bestimmung zulässig ist. Eine personenbezogene Speicherung ist klassischerweise bei der Berechnung von Durchimpfungsraten nicht erforderlich, sehr wohl aber bei der Ermittlung von Impfdurchbrüchen oder der Kontaktpersonennachverfolgung (die entsprechende gesetzliche Bestimmung wäre etwa § 4 Abs. 3a EpiG). Klargestellt werden soll, dass die gemäß Abs. 2 verknüpften und gespeicherten Daten nicht der in § 24c Abs. 8 genannten Speicherfrist unterliegen, sondern unmittelbar nach Zweckerreichung zu löschen sind. Die jeweilige Löschfrist ergibt sich – wie die Zulässigkeit der Speicherung – aus den entsprechenden gesetzlichen Bestimmungen.

Obwohl sowohl in § 24f Abs. 4 als auch in Abs. 1 und 2 der vorgeschlagenen Bestimmung explizit normiert werden soll, dass im Rahmen dieser Bestimmung nur der:die für das Gesundheitswesen zuständige Bundesminister:in sowie die Landeshauptleute und die Bezirksverwaltungsbehörden in ihrem jeweiligen gesetzlichen Wirkungsbereich die Daten verarbeiten dürfen, soll Abs. 3 außerdem ausdrücklich klarstellen, dass wissenschaftliche Einrichtungen im Rahmen der Registerforschung keinen Zugang zu den gemäß Abs. 2 verknüpften Daten haben.

Der vorgeschlagene Abs. 4 orientiert sich an § 4a Abs. 6 EpiG: Da für die Erstellung von Statistiken im Zusammenhang mit der epidemiologischen Überwachung nicht nur Daten aus dem Statistik-Register (§ 4a EpiG), sondern auch Daten aus dem zentralen Impfregister erforderlich sein können, soll durch die vorgeschlagene Bestimmung der:die für das Gesundheitswesen zuständige Bundesminister:in berechtigt werden, der Bundesanstalt Statistik Austria zum Zweck der epidemiologischen Überwachung sowie zum Zweck des Monitoring der Wirksamkeit von gesundheitspolitischen Maßnahmen Daten aus dem zentralen Impfregister zu übermitteln. Dieses Vorgehen ist bereits in anderen Bereichen der Statistik üblichen (siehe diesbezüglich den weiten Anwendungsbereich des Bundesstatistikgesetzes 2000).

Ein Beispiel für die epidemiologische Überwachung wäre etwa die Ermittlung von Durchimpfungsraten von bestimmen Berufsgruppen (beispielsweise von Lehrer:inne:n), außerdem lässt sich durch eine Verknüpfung mit der Todesursachenstatistik durch die Bundesanstalt Statistik Austria ein Überblick über die Größe und demographische Struktur der Kohorten an geimpften Personen gewinnen; eine solche Verknüpfung würde auch dem (Impfstoff-)Monitoring dienen.

Welche konkreten statistischen Auswertungen die Bundesanstalt jedoch vorzunehmen hat, kann im Gesetz nicht näher beschrieben werden, weil das von den zu klärenden Fragen abhängt. Welche Fragen zu klären sind, ist einem dynamischen Prozess unterworfen. Aus diesem Grund enthält der vorgeschlagene § 28b Abs. 2 Z 10 eine Verordnungsermächtigung, wonach der für das Gesundheitswesen zuständige Bundesminister im Einvernehmen mit dem Bundeskanzler die näheren Bestimmungen gemäß § 4 Abs. 3 Bundesstatistikgesetz 2000, das sind etwa die Erhebungsmasse, die statistische Einheit, die Erhebungsmerkmale, die Kontinuität, die Periodizität, die Art der Daten und die Art der Erhebung, festzulegen hat.

Die Ausstattung der im zentralen Impfregister gespeicherten Daten mit dem verschlüsselten bereichsspezifischen Personenkennzeichen Statistik (vbPK-AS) ist erforderlich für die die Erstellung von Statistiken durch die Bundesanstalt Statistik Austria im Auftrag von dem:der für das Gesundheitswesen zuständigen Bundesminister:in. Darüber hinaus scheinen auch die Entwicklung im Bereich Wissenschaft und Forschung (vgl. etwa §§ 31 ff des Bundesstatistikgesetztes 2000, BGBl. I Nr. 163/1999) eine solche Ausstattung der Daten mit dem vbPK-AS erforderlich zu machen. In diesem Zusammenhang wird jedoch darauf hingewiesen, dass sich durch die vorgeschlagene Änderung kein unmittelbarer Zugang von wissenschaftlichen Einrichtungen auf die im zentralen Impfregister gespeicherten Daten ergibt:

Gemäß § 3d Abs. 2 Z 3 lit. b in Verbindung mit § 38 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981, ist eine Voraussetzung für Registerforschung, dass das entsprechende Register in einer Verordnung genannt ist, die der:die Bundesminister:in für Bildung, Wissenschaft und Forschung im Einvernehmen mit dem:der jeweils zuständigen Bundesminister:in erlassen hat. Solange das zentrale Impfregister also nicht in einer entsprechenden Verordnung angeführt ist, dürfen die im zentralen Impfregister gespeicherten Daten nicht für Registerforschung bereitgestellt werden.

Der vorgeschlagene Abs. 5 stellt eine Konkretisierung des Abs. 3 in der geltenden Fassung dar:

Gemäß Art. 89 Abs. 2 DSGVO dürfen die Rechte gemäß Art. 15, 16, 18 und 21 DSGVO im Rahmen der Verarbeitung zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken vorbehaltlich der Bedingungen und Garantien gemäß Art. 89 Abs. 1 DSGVO beschränkt werden, als diese Rechte voraussichtlich die Verwirklichung der spezifischen Zwecke unmöglich machen oder ernsthaft beeinträchtigen und solche Ausnahmen für die Erfüllung dieser Zwecke notwendig sind.

Aus den unter Punkt 2 in Anlage 1 und den Erläuterungen zu Abs. 1 und 2 genannten Gründen ist ein Ausschluss des Widerspruchsrechts auch im Rahmen der Verarbeitungen gemäß der vorgeschlagenen Bestimmung erforderlich, da die Ausübung dieses Rechts die Verwirklichung der verfolgten Zwecke verunmöglichen würde. Aufgrund des ausgeschlossenen Widerspruchrechts besteht auch kein Recht auf Einschränkung der Verarbeitung gemäß Art. 18 Abs. 1 lit. d DSGVO.

Art. 89 Abs. 2 DSGVO verweist auf die Garantien gemäß Abs. 1, mit denen sichergestellt wird, dass technische und organisatorische Maßnahmen bestehen, mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird; zu diesen Maßnahmen kann die Pseudonymisierung gehören, sofern es möglich ist, diese Zwecke auf diese Weise zu erfüllen.

Da gemäß Abs. 1 die Daten zur Personenidentifikation durch das bPK-GH ersetzt werden und es sich dabei um ein pseudonymisiertes Datum handelt und überdies normiert ist, dass die Sozialversicherungsnummer nicht verarbeitet werden darf, werden geeignete Garantien im Sinne des Art. 89 Abs. 1 DSGVO ergriffen. Darüber hinaus sind die betroffenen Personen von dem:der für das Gesundheitswesen zuständigen Bundesminister:in über die Beschränkung ihrer Rechte zu informieren (vgl. dazu bereits die Erläuterungen zu Z 110 [§ 24e]).

Zu Z 115 (§ 24h und § 24i):

Gemäß Art. 26 Abs. 1 zweiter Satz DSGVO haben mehrere gemeinsam Verantwortliche in einer Vereinbarung festzulegen, wer von ihnen gegenüber der betroffenen Person welche Verpflichtungen nach der DSGVO – etwa Berichtigungs- und Löschungspflichten – wahrzunehmen hat, es sei denn, eine entsprechende Zuständigkeitsverteilung bzw. Pflichtenzuordnung ist bereits in einer gesetzlichen Vorschrift des Unions- oder des nationalen Rechts vorgesehen. In diesem Sinne sollen im vorgeschlagenen § 24h die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber den betroffenen Personen widergespiegelt und die Aufteilung der Pflichten vorgenommen werden. Die jeweilige Verantwortlichkeit der einzelnen Akteure (Abs. 2 bis 6) orientiert sich an den spezifischen Zugriffsberechtigungen gemäß § 24f Abs. 4 sowie an § 24e.

In Abs. 1 werden jene Pflichten festgelegt, die jeder der gemeinsamen Verantwortlichen hinsichtlich der von ihm zu verantworteten Verarbeitungstätigkeit zu erfüllen hat. Dazu zählen etwa die Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 DSGVO, die Zusammenarbeit mit der Aufsichtsbehörde oder die Durchführung einer Datenschutz-Folgenabschätzung, sofern dies aufgrund von Art. 35 DSGVO notwendig ist.

Die Notwendigkeit der Durchführung einer Datenschutz-Folgenabschätzung ist von den jeweiligen Verantwortlichen selbst zu beurteilen. Die bereits in den Erläuterungen zu § 24c in der Fassung des Bundesgesetztes BGBl. I Nr. 115/2020 gemäß Art. 35 Abs. 10 DSGVO vorweggenommene Datenschutz-Folgenabschätzung wird aktualisiert (siehe dazu in der Anlage 2). Die Gesundheitsdiensteanbieter gemäß § 24c Abs. 4 werden in geeigneter Weise darüber informiert, dass die Datenschutz-Folgenabschätzung vorweggenommen wurde und die Datenverarbeitungen des § 24c, § 24e und § 27 Abs. 17 die Voraussetzungen für einen Entfall der Datenschutz-Folgenabschätzung gemäß Art. 35 Abs. 10 DSGVO erfüllen.

Wird ein Recht nach der DSGVO von einer betroffenen Person – unter Nachweis von deren Identität (vgl. ErwG 64 DSGVO) – bei einem nach dieser Bestimmung unzuständigen Verantwortlichen wahrgenommen, soll nach Abs. 1 Z 6 direkt durch diesen die Weiterverweisung an den für die Bearbeitung des Gesuchs zuständigen Verantwortlichen erfolgen. Sofern der unzuständige Verantwortliche den tatsächlichen Verantwortlichen aus dem Begehren der betroffenen Person eruieren kann, ist sie direkt an diesen zu verweisen (etwa im Falle eines Auskunftsrechts an die eHealth-Servicestelle mit Hinweis auf das Zugangsportal); ist dies nicht möglich, sind der betroffenen Person Anhaltspunkte zu geben, an denen sie den zuständigen Verantwortlichen selbst eruieren kann.

Der vorgeschlagenen Regelung steht Art. 26 Abs. 3 DSGVO nicht entgegen. Nach dieser Bestimmung kann die betroffene Person ein Recht aufgrund der DSGVO zwar gegenüber „jedem einzelnen der Verantwortlichen“ geltend machen, und zwar unabhängig von einer zwischen den Verantwortlichen im Rahmen einer Vereinbarung getroffenen Zuständigkeitsverteilung; dies impliziert eine Pflicht des insoweit unzuständigen Verantwortlichen, ein Gesuch des Betroffenen nicht zurückzuweisen, sondern es jedenfalls entgegenzunehmen und an den zuständigen Verantwortlichen weiterzuleiten. Die freie Wahl des Verantwortlichen, gegenüber dem die betroffene Person ein Recht nach der DSGVO geltend macht, gilt jedoch nur dann, wenn die Zuständigkeitsverteilung auf einer Vereinbarung zwischen den Verantwortlichen, nicht aber, wenn sie auf einer gesetzlichen Regelung beruht. Verteilt daher – wie hier – eine gesetzliche Regelung die Zuständigkeiten unter den Verantwortlichen, so ist ein unzuständiger Verantwortlicher nicht gehalten, ein Gesuch der betroffenen Person entgegenzunehmen oder weiterzuleiten; vielmehr kann er die betroffene Person in einem solchen Fall an den zuständigen Verantwortlichen verweisen (vgl. dazu etwa § 22 Abs. 1a des Passgesetzes 1992, BGBl. Nr. 839/1992, sowie auch bereits ErlRV 65 BlgNR XXIV. GP, 73). Bei dem vorgeschlagenen Abs. 1 Z 6 handelt es sich sohin lediglich um eine Zuständigkeitsnorm. Die Regelungen der DSGVO zu den inhaltlichen Voraussetzungen der oben genannten Ansprüche und Pflichten gemäß Art. 13 ff DSGVO bleiben davon unberührt. Schließlich bestimmt Abs. 1 Z 7, dass die betroffenen Personen gemäß Art. 12 Abs. 4 DSGVO zu informieren sind, wenn der (zuständige) Verantwortliche aufgrund eines Antrags nicht tätig wird. Diese Pflicht bestünde etwa auch dann, wenn eine betroffene Person das – gemäß § 24e Abs. 5 in Verbindung mit § 24c Abs. 8 – beschränkte Recht auf Löschung geltend machen würde.

Der:Die für das Gesundheitswesen zuständige Bundesminister:in ist unter anderem gemäß § 27 Abs. 17 Z 2 für Betrieb, Wartung und technische Weiterentwicklung des Elektronischen Impfpasses verantwortlich, worunter auch etwa die Löschung der im zentralen Impfregister gespeicherten Daten gemäß § 24c Abs. 8 fällt.

Über die Pflichten gemäß Abs. 1 hinaus obliegt dem:der für das Gesundheitswesen zuständigen Bundesminister:in die Pflicht zur Information der betroffenen Personen gemäß Art. 13 in geeigneter Weise. Es wird davon ausgegangen, dass Art. 14 DSGVO aufgrund dessen Abs. 5 lit. c und d für sämtliche Verarbeitungstätigkeiten nicht zur Anwendung gelangt. Den einzelnen Verantwortlichen bleibt es mit der vorgeschlagenen Regelung dennoch unbenommen, diese Information zu erteilen.

Die Aufteilung allfälliger Pflichten über Abs. 1 hinaus für die übrigen Verantwortlichen orientiert sich an § 24e und § 24i. Zur Verantwortlichkeit der ELGA GmbH während des Pilotbetriebs siehe die Erläuterungen zu Z 125 (§ 27 Abs. 17).

Da die Pflichtenaufteilung im vorgeschlagenen § 24h vorgenommen wurde, ist eine Verordnungsermächtigung, wie sie bisher in § 28 Abs. 2a Z 2 lit. j vorgesehen war, obsolet und daher im vorgeschlagenen § 28b Abs. 2 nicht vorgesehen. Die Anpassung der eHealth-Verordnung (eHealthV), BGBl. II Nr. 449/2020, ist avisiert.

Erfahrungen aus dem bisherigen Pilotbetrieb des eImpfpasses haben gezeigt, dass trotz entsprechender Sorgfalt in der Vorbereitung und Begleitung des Projekts bei der Dokumentation von Impfungen im zentralen Impfregister Fehler passieren können. Nicht alle Fehler können, etwa durch Plausibilitätsprüfungen, abgefangen werden, was dazu führt, dass etwaige Fehler – über einen mehr oder weniger langen Zeitraum – unentdeckt bleiben können.

Die im zentralen Impfregister gespeicherten Daten bilden die Grundlage für spätere medizinische Entscheidungen, etwa dass bzw. wann eine weitere Impfung notwendig ist oder empfohlen wird (eine entsprechende Funktionalität „persönlicher Impfkalender“ basierend auf dem Impfplan Österreich ist Bestandteil des Projekts und wird aktuell im Zuge der Erstellung eines Gesamtkonzepts für den Endausbau entworfen). Werden diese Entscheidungen aufgrund einer fehlerhaften Datenlage getroffen, kann sich dies auf die Bürger:innen nachteilig auswirken (siehe dazu ausführlich ErlRV 232 BlgNR XXVII. GP, 9 ff).

Im Rahmen der Bekämpfung der COVID-19-Pandemie wurde vielfach Kritik daran geäußert, dass die für die Konzeption von Maßnahmen erforderliche Datenlage unzureichend sei. Gerade für Öffnungsschritte können Informationen aus dem Impfgeschehen, wie beispielsweise zielgruppenspezifische oder regionale Durchimpfungsraten, hilfreich dafür sein, die umzusetzenden Maßnahmen treffsicherer zu gestalten.

Schließlich hat sich Österreich im Rahmen der internationalen Zusammenarbeit dazu verständigt, die festgelegten Eradikations- bzw. Eliminationsziele in Bezug auf bestimmte Krankheiten einzuhalten. Dies ist verbunden mit einem auf validen Datengrundlagen beruhenden Berichtswesen. Mangels Verfügbarkeit solcher Daten mussten bislang Hilfskonstrukte (Schätzungen, Simulationsberechnungen) verwendet werden, die mit Fortschreiten der Befüllung des zentralen Impfregisters zumindest schrittweise durch datengestützte Analysen abgelöst werden können.

Aus diesen unterschiedlichen Problemstellungen und Anforderungen resultiert als Lösungsansatz die Schaffung einer eHealth-Servicestelle im vorgeschlagenen § 24i:

Bei der Einrichtung dieser eHealth-Servicestelle geht es in erster Linie nicht darum, eine neue Stelle oder Organisationseinheit zu schaffen, denn die für die Aufgabenstellung benötigten Qualifikationen können auch mittels einer Matrixorganisation bereitgestellt werden. Wichtig erscheint jedenfalls, dass für die aus (weitgehend) einer Datenquelle stammenden und für unterschiedlichen Ziele aufzubereitende Aussagen auch das dafür notwendige Know-how gebündelt wird, um eine methodisch und inhaltlich adäquate Aufgabenerfüllung sicherzustellen.

Aufgaben der eHealth-Servicestelle sollen gemäß Abs. 1 zum einen die Wahrnehmung des Auskunftsrechts gemäß Art. 15 DSGVO hinsichtlich der im zentralen Impfregister gespeicherten Daten sein, andererseits die Gewährleistung der Richtigkeit, Vertrauenswürdigkeit und Widerspruchsfreiheit der Datenbasis („Datenqualitätsmanagement“). Die eHealth-Servicestelle soll Auftragsverarbeiterin (Art. 4 Z 8 DSGVO) von dem:der für das Gesundheitswesen zuständigen Bundesminister:in sein, denn bei der Wahrnehmung ihrer Aufgaben wird sie dessen:deren Auftrag tätig. Der eHealth-Servicestelle obliegt keine Entscheidung über Zweck und Mittel der Verarbeitung.

Zur Wahrnehmung der in Abs. 1 genannten Aufgaben benötigten die Mitarbeiter:innen der eHealth-Servicestelle entsprechende Zugriffsrechte, die in Abs. 2 und § 24f Abs. 4 Z 5 lit. e näher ausgeführt werden und insbesondere auch den Zugriff auf die Protokolldaten umfasst. Dieser Zugriff ist nicht nur für die Auskunftserteilung über die Empfänger:innen anhand der Protokolldaten erforderlich, sondern auch, da gemäß den bisherigen Erfahrungen bestimmte Maßnahmen, wie die Korrektur von Dokumentationsfehlern, nur anhand des Protokolls valide durchführbar sind. Dies gilt hinsichtlich der technischen Protokollierung auch für die Ableitung potenziell technisch-funktionaler (systemischer) Verbesserungsvorschläge.

Da die eHealth-Servicestelle im Rahmen des Datenqualitätsmanagements umfassenden Zugriff auf die im zentralen Impfregister gespeicherten Daten erhalten soll (siehe sogleich unten), scheint es zweckmäßig, ihr auch die Pflicht zur Beantwortung von Auskunftsbegehren gemäß Art. 15 DSGVO zu übertragen und damit die ELGA-Ombudsstelle zu entlasten (folglich sieht der gegenständliche Entwurf auch keine spezifische Zugriffsberechtigung der ELGA-Ombudsstelle auf das zentrale Impfregister vor).

In Abs. 3 der vorgeschlagenen Bestimmung wird das Aufgabenspektrum der eHealth-Servicestelle hinsichtlich des Datenqualitätsmanagements festgelegt: Dieses enthält proaktive und reaktive Elemente, die sich zu einem abgerundeten Bild ergänzen. Proaktiv aufzusetzen ist etwa ein standardisiertes Reporting für steuerungsrelevante Fragestellungen oder über einen bestimmten Zeitraum inhaltlich gleichbleibende Anforderungen und eine proaktive Fehlerkorrektur (Z 1 bis 3).

Weitere proaktive Aufgaben der eHealth-Servicestelle im Rahmen des Datenqualitätsmanagements sind die Erarbeitung von Empfehlungen für systemische Verbesserungen, die sowohl inhaltliche Aspekte (Art, Umfang und Inhalt von Datenfeldern), organisatorische Aspekte (Prozessanpassungen) als auch technische Aspekte (Indizierungen, Protokollierung) umfassen können (Z 1). Als reaktive Aufgabenstellungen definiert sind Unterstützungsleistungen für den:die für das Gesundheitswesen zuständige:n Bundesminister zur Erfüllung seiner Verpflichtungen gegenüber Kontrollorganen (Z 4) oder im Falle der Anforderung von Sonderberichten (Z 3), die nicht ohnehin bereits von Art. 28 DSGVO umfasst sind.

Ergänzt wird die proaktive Fehlerbehebung (Z 2) durch eine vergleichbare Vorgangsweise, wenn eine Berichtigung seitens eines:einer Bürger:in gefordert wird (Z 5): Obwohl für eine proaktive Fehlerbehebung ein hoher Sorgfaltsmaßstab anzulegen ist, kann allein dadurch nicht gewährleistet werden, dass alle Fehler im zentralen Impfregister behoben werden. Darüber hinaus ist auch keines angedacht, durch eine proaktive Fehlerbehebung das Recht auf Berichtigung zu beschränken.

Das Recht auf Berichtigung gemäß Art. 16 DSGVO geht von einem Tätigwerden der betroffenen Person aus, jedoch kann von einem durchschnittlich gebildeten Laien nicht erwartet werden, mögliche Unrichtigkeiten in spezifisch medizinischen Belangen der Dokumentation zu erkennen und davon ausgehend eine Berichtigung von Daten zu fordern. Schon die einleitend dargestellte Gefahr, dass allfällige Fehler für einen längeren Zeitraum unerkannt bleiben bzw. für medizinische Entscheidungen mit vermeidbaren negativen Auswirkungen herangezogen werden können, zeigt ein erhebliches öffentliches Interesse als Rechtfertigung für den Eingriff in das Grundrecht auf Datenschutz gemäß § 1 DSG. Eine weitere Rechtfertigung findet sich in Art. 5 Abs. 1 lit. d DSGVO, wonach ein Verantwortlicher alle angemessenen Maßnahmen zu treffen hat, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden.

Im Zusammenspiel mit dem vorgeschlagenen § 24e stehen den Bürger:inne:n für die Berichtigung ihrer im zentralen Impfregister gespeicherter Daten sohin folgende Wege offen:

- Wahrnehmung des Rechts auf Berichtigung gemäß Art. 16 DSGVO in Verbindung mit § 24e Abs. 4 gegenüber dem Gesundheitsdiensteanbieter, in dessen berufsrechtlichen Verantwortung eine Impfung verabreicht wurde, der eine Impfung vidiert hat oder der eine Antikörperbestimmung im zentralen Impfregister gespeichert hat;

- Wahrnehmung des Rechts auf Berichtigung gemäß Art. 16 DSGVO in Verbindung mit § 24e Abs. 4 bei einer Bezirksverwaltungsbehörde bei Nichtverfügbarkeit des Gesundheitsdienstanbieters, in dessen berufsrechtlichen Verantwortung eine Impfung verabreicht wurde, der eine Impfung vidiert hat oder der eine Antikörperbestimmung im zentralen Impfregister gespeichert hat;

- Information oder Beschwerde bei der eHealth-Servicestelle über fehlende Einträge oder über Fehler der im zentralen Impfregister gespeicherten Daten gemäß § 24e Abs. 8.

Berichtigungen im zentralen Impfregister dürfen von der eHealth-Servicestelle selbst nicht vorgenommen werden, sondern ausschließlich von dem Gesundheitsdiensteanbieter, in dessen berufsrechtlichen Verantwortung eine Impfung verabreicht wurde, dem, der eine Impfung vidiert hat oder dem, der eine Antikörperbestimmung, eine besondere Impfindikation oder eine impfrelevante Vorerkrankung im zentralen Impfregister gespeichert hat, zumal in vielen Fällen auch die lokale Dokumentation mitzuberichtigen sein wird. Davon ausgenommen sind nur jene Fälle, in denen der Gesundheitsdiensteanbieter, in dessen berufsrechtlichen Verantwortung eine Impfung verabreicht wurde, der eine Impfung vidiert hat oder der eine Antikörperbestimmung, eine besondere Impfindikation oder eine impfrelevante Vorerkrankung im zentralen Impfregister gespeichert hat, nicht mehr verfügbar ist.

Kann ein von dem:der Bürger:in relevierter Fehler nicht verifiziert werden, ist sie oder er über die Prüfergebnisse entsprechend zu informieren (Abs. 4). Eine vergleichbare, allerdings differenzierte Informationspflicht enthält Abs. 6 in Bezug auf proaktive Fehlerbehebungen.

Werden Berichte, insbesondere aufgrund näher konkretisierter Fragestellungen, erstellt, könnte durch das eingeschränkte Sample der Fall eintreten, dass trotz anonymer Auswertungsergebnisse die Rückführbarkeit auf eine natürliche Person nicht ausgeschlossen werden kann. In solchen Fällen muss die Bewertung und Entscheidung über die Veröffentlichung dem:der für das Gesundheitswesen zuständigen Bundesminister:in vorbehalten bleiben (Abs. 5).

Die (proaktive und reaktive) Behebung von Fehlern im zentralen Impfregister ist nur anhand personenbezogener Angaben, die dem für die Berichtigung zuständigen Gesundheitsdiensteanbieter zur Verfügung gestellt werden müssen, möglich. Bei proaktiver Fehlerbehebung ist die betroffene Person umfassend von der eHealth-Servicestelle zu informieren, wenn dafür der bei Berichtigungen ohnehin erfolgende – bzw. auch speziell gekennzeichnete – Protokolleintrag nicht ausreicht (Abs. 6).

Der Umgang mit personenbezogenen Gesundheitsdaten per se, im speziellen Fall der Umgang mit großen Datenmengen, erfordert auch ein besonderes Ausmaß der Vertrauenswürdigkeit der damit beauftragten Personen. Die Mitarbeiter:innen der eHealth-Servicestelle sind vor Aufnahme ihrer Tätigkeit über das Datengeheimnis gemäß § 6 DSG zu informieren (Abs. 7).

Bei der vorgeschlagenen Änderung in § 24d Abs. 2 durch Einfügung einer Z 8 handelt es sich um eine Ergänzung der Zwecke, zu der die im zentralen Impfregister gespeicherten Daten personenbezogen verarbeitet werden dürfen (zur Notwendigkeit dafür siehe bereits einleitend). Da für die (proaktive und reaktive) Behebung von Fehlern im zentralen Impfregister eine eindeutige Identifizierung der Bürger:innen erforderlich ist, soll der vorgeschlagene § 24d Abs. 2 Z 8 in Abs. 1 Z 5 ergänzt werden. Die Identifizierung für die Wahrnehmung des Auskunftsrechts richtet sich nach den Bestimmungen der DSGVO. Eine eindeutige Identifizierung der Bürger:innen für die anderen Zwecke ist nicht erforderlich.

Zu Z 117 (§ 26 Abs. 12):

Die vorgeschlagene Änderung regelt das In- und Außerkrafttreten der Bestimmungen.

Zu 120 (§ 27 Abs. 5):

Die ELGA GmbH hat für die Zurverfügungstellung von elektronischen Patientenverfügungen („ePatientenverfügung“) in ELGA ein Konzept erarbeitet, dessen Umsetzung im Jahr 2023 begonnen werden soll. Die Grundlage für diese Umsetzung soll mit dem vorgeschlagenen § 28c Abs. 3 erfolgen.

Zu Z 122 bis 124 (§ 27 Abs. 12 bis 14):

Die erleichterte Bedingung gemäß § 27 Abs. 12, aufgrund derer unter bestimmten (wenn auch sehr engen) Voraussetzungen die Übermittlung von Gesundheitsdaten und genetischen Daten per Fax zulässig ist, soll entfallen.

Galt ein Fax noch vor einigen Jahren als relativ sichere Methode um auch sensible personenbezogene Daten zu übertragen, so hat sich diese Situation grundlegend geändert: Sowohl bei den Endgeräten als auch den Transportwegen gab es weitreichende Änderungen. Bisher wurden beim Versand von Faxen exklusive Ende-zu-Ende-Telefonleitungen genutzt. Technische Änderungen in den Telefonnetzen sorgen jetzt dafür, dass keine exklusiven Leitungen mehr genutzt werden, sondern die Daten paketweise in Netzen transportiert werden, die auf Internet-Technologie beruhen. Zudem kann nicht mehr davon ausgegangen werden, dass an der Gegenstelle der Faxübertragung auch ein reales Fax-Gerät existiert. Meist werden Systeme genutzt, die ankommende Faxe automatisiert in eine E-Mail umwandeln und diese dann an bestimmte E-Mail-Postfächer weiterleiten. Aufgrund dieser Umstände hat ein Fax hinsichtlich der Vertraulichkeit das gleiche Sicherheitsniveau wie eine unverschlüsselte E-Mail. Fax-Dienste enthalten keinerlei Sicherungsmaßnahmen um die Vertraulichkeit der Daten zu gewährleisten. Sie sind daher in der Regel nicht für die Übertragung personenbezogener Daten, insbesondere nicht besonderer Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO, geeignet. Für den Versand personenbezogener Daten müssen daher alternative, sichere und damit geeignete Verfahren, wie etwa Ende-zu-Ende verschlüsselte E-Mails (vgl. § 6) oder – im Zweifel – auch die herkömmliche Post genutzt werden (siehe ausführlich https://www.datenschutz.bremen.de/datenschutztipps/orientierungshilfen-und-handlungshilfe
n/telefax-ist-nicht-datenschutz-konform-16111). Bei den Abs. 13 und 14 des § 27 handelt es sich um formale Anpassungen aufgrund des Entfalls des Abs. 12.

Gemäß des geltenden § 28 Abs. 4 hat der:die für das Gesundheitswesen zuständige Bundesminister:in nach Anhörung der jeweils zuständigen gesetzlichen Interessenvertretungen, unter Berücksichtigung des § 27 Abs. 13, mit Verordnung für bestimmte Gesundheitsdiensteanbieter jeweils den Zeitpunkt festzulegen, ab dem die Übermittlung von Gesundheitsdaten und genetischen Daten unter den erleichterten Bedingungen des § 27 Abs. 10 und 12 jedenfalls nicht mehr zulässig ist. Da es sich bei dem Entfall des § 27 Abs. 12 um eine so grundlegende Änderung handelt, die für alle Gesundheitsdiensteanbieter gleichermaßen gelten soll, soll diese Änderung nicht verordnet, sondern im Gesetz normiert werden, weshalb im vorgeschlagenen § 28c Abs. 2 nicht mehr darauf Bezug genommen werden soll.

Zu Z 125 (§ 27 Abs. 17):

Aufgrund der erforderlichen Anpassungen in § 24c wurde auch eine klarere Ausgestaltung in Hinblick auf den Betrieb des zentralen Impfregisters notwendig. Die vorgeschlagene Bestimmung gestaltet sohin die § 24c Abs. 1 und § 27 Abs. 17 in der geltenden Fassung hinsichtlich des Betriebs vor Aufnahme des Vollbetriebs (Z 1) und ab Aufnahme des Vollbetriebs (Z 2) näher aus:

Aufgrund des Beschlusses der Bundes-Zielsteuerungskommission vom 29. Juni 2018 obliegen die inhaltliche, zeitliche und finanzielle Verantwortung für die Pilotierung des Elektronischen Impfpasses der ELGA GmbH, weshalb sie bis zur Aufnahme des Vollbetriebs die Verantwortung für Betrieb, Wartung und technischer Weiterentwicklung des Elektronischen Impfpasses trägt (siehe dazu bereits ErlRV 232 BlgNR XXVII. GP, 39). Der:Die für das Gesundheitswesen zuständige Bundesminister:in übernimmt diese Verantwortung ab Aufnahme des Vollbetriebs. Da es sich in der Vollziehung gezeigt hat, dass Unklarheiten über die Dauer des Pilotbetriebs bzw. den Start des Vollbetriebs bestehen, soll aus Gründen der Rechtssicherheit der Übergang in den Vollbetrieb nicht ausschließlich durch eine Verordnung gemäß §28b Abs. 2 Z 2 markiert werden; vielmehr soll der Zeitpunkt für den Beginn des Vollbetriebs von dem:der für das Gesundheitswesen zuständigen Bundesminister:in im Bundesgesetzblatt kundgemacht werden.

Da die ELGA GmbH bis zur Aufnahme des Vollbetriebs die Verantwortung für Betrieb, Wartung und technischer Weiterentwicklung der eHealth-Anwendung Elektronischen Impfpasses trägt, ist sie – während des Pilotbetriebs – eine der gemeinsamen Verantwortlichen gemäß § 24c Abs. 1 und soll für die Wahrnehmung ihrer Aufgaben eine spezifische Zugriffsberechtigung gemäß § 24f Abs. 4 haben. Ihr obliegen ausschließlich die in § 24h Abs. 1 normierten Pflichten, wobei jedoch zur Sicherstellung der Datensicherheit ein IT-Sicherheitskonzept zu erstellen ist, das dem:der für das Gesundheitswesen zuständigen Bundesminister:in auf dessen:deren Verlangen binnen vier Wochen vorzuweisen ist (vgl. dazu den geltenden § 4b Abs. 3 eHealthV). Während der Phase der Portierung sind die ELGA GmbH und der:die für das Gesundheitswesen zuständige Bundesminister:in gemeinsam verantwortlich für Betrieb, Wartung und technische Weiterentwicklung (zur Aufteilung der Pflichten siehe § 24h).

Sowohl der:die für das Gesundheitswesen zuständige Bundesminister:in, als auch die ELGA GmbH können jeweils einen oder mehrere Auftragsverarbeiter heranziehen. Bei der eHealth-Anwendung eImpfpass handelt es sich um eine Form der ungerichteten Kommunikation im Sinne des § 1 Abs. 2 Z 4; die Daten werden daher über eine Datendrehscheibe, nämlich dem zentralen Impfregister, einem berechtigten Empfänger:innenkreis zur Verfügung gestellt (siehe dazu bereits ErlRV 232 BlgNR XXVII. GP, 2). Der Auftragsverarbeiter von dem:der für das Gesundheitswesen zuständigen Bundesminister:in bzw. der ELGA GmbH ist sohin zugleich Auftragsverarbeiter für die zur Speicherung verpflichteten Gesundheitsdiensteanbieter gemäß § 24c Abs. 4 sind.

Zur Sicherstellung eines reibungslosen Übergangs siehe ausführlich ErlRV 232 BlgNR XXVII. GP, 39.

Zu Z 126 und 127 (§ 28 bis § 28c):

Die umfangreichen Änderungen im Zuge der Anpassungen des 2. Unterabschnitts des 5. Abschnitts an den bereits zitierten Bescheid der Datenschutzbehörde machten auch die Neugestaltung einer Vielzahl von Verordnungsermächtigungen erforderlich. Aus Gründen der Transparenz von Eingriffsnormen soll der bisher geltenden § 28 nunmehr auf insgesamt vier Bestimmungen aufgeteilt werden:

Die vorgeschlagenen § 28 regelt den bisherigen § 28 Abs. 1, der vorgeschlagene § 28a den bisherigen § 28 Abs. 2 und der vorgeschlagene § 28c den bisherigen § 28 Abs. 3 bis 5. Bis auf einige redaktionelle Anpassungen wurden diese Bestimmungen nahezu unverändert übernommen (zum Entfall des vormaligen § 28 Abs. 1 Z 2 siehe die Erläuterungen zu Z 32 [§ 6 Abs. 1 Z 2], zu § 28c Abs. 2 die Erläuterungen zu Z 122 bis 124 [§ 27 Abs. 12 bis 14] und zum vorgeschlagenen § 28c Abs. 3 siehe die Erläuterungen zu Z 120 [§ 27 Abs. 5]).

Der vorgeschlagene § 28b Abs. 1 regelt den bisherigen § 28 Abs. 2a Z 1, wobei die Bestimmung – abgesehen von redaktionellen Anpassungen (vgl. etwa Abs. 3) und dem Entfall der vormaligen lit. c – unverändert übernommen wurde.

Der vorgeschlagene § 28b Abs. 2 regelt den bisherigen § 28 Abs. 2a Z 2, wobei dessen Bestimmungen teilweise unverändert übernommen und teilweise näher ausgestaltet wurden. Einige Verordnungsermächtigungen sollen hinzu gekommen, andere wiederum sollen entfallen:

So entspricht – bis auf redaktionelle Anpassungen – die Z 1 dem § 28 Abs. 2a Z 2 lit. a, die Z 2 dem § 28 Abs. 2a Z 2 lit. b und c, die Z 4 dem § 28 Abs. 2a Z 2 lit. f und die Z 5 dem § 28 Abs. 2a Z 2 lit. g.

Die Z 3 entspricht nahezu unverändert dem § 28 Abs. 2a Z 2 lit. h, jedoch wird in lit. a und b nicht mehr auf die Pilotierung abgestellt, zumal der Hinweis bereits im Einleitungssatz enthalten ist:

Wie schon mit Erlassung des Bundesgesetzes, BGBl. I Nr. 115/2020, postuliert, wurde es vor dem Hintergrund der COVID-19-Pandemie notwendig, den Fokus des eImpfpasses – entgegen der ursprünglichen Intention – einerseits weg von Kinderimpfungen, andererseits weg von der Begrenzung auf drei Pilotbundesländer zu rücken. Im Fokus der Pilotierung liegen nun alle in Österreich verabreichten Influenza-, COVID-19- und seit August 2022 auch Affenpocken-Impfungen, wobei jedoch auch die Speicherung anderer Impfungen zulässig ist (vgl. dazu § 4 Abs. 1 eHealthV). Durch die Änderung des Fokus hat sich keine Änderung des für die Pilotierung vorgesehenen eingeschränkten Funktionsumfangs des eImpfpasses ergeben, weshalb sich der eImpfpass weiterhin im Pilotbetrieb befindet.

Für die Teilnahme am Piloten ist kein formales Teilnahmekriterium erforderlich: Alle Gesundheitsdiensteanbieter, die Impfungen durchführen, und alle Gesundheitsdiensteanbieter, die Antikörpertests auswerten, sind Pilotteilnehmer.

Die Z 6 entspricht im Wesentlichen dem geltenden § 28 Abs. 2a Z 2 lit. i, allerdings soll der:die für das Gesundheitswesen zuständige Bundesminister:in auch die Form der Übermittlung der selbsteinzutragenden Daten verordnen dürfen.

Die Z 7 entspricht im Wesentlichen dem geltenden § 28 Abs. 2a Z 2 lit. k, wobei sich die Erforderlichkeit einer Nachtragepflicht allerdings auch aus der Einhaltung von Verpflichtungen zur Verfolgung internationaler Eliminations- und Eradikationsziele ergeben kann.

Eine Verordnungsermächtigung, aufgrund derer Impfungen verpflichtend im zentralen Impfregister nachzutragen sind, ist in der Regel nur so lange gerechtfertigt, wie Impfungen nicht ohnehin verpflichtend im zentralen Impfregister gespeichert werden müssen (Abs. 4). Eine Ausnahme besteht für Impfungen gegen Masern, Röteln, Hepatitis A, Hepatitis B, Varizellen, Polio und Humane Papillomaviren (HPV). Bei diesen Impfungen kann es einerseits aus epidemiologischen Gründen gerechtfertigt sein, diese Impfungen auch für vergangenen Zeiten verpflichtend nachzutragen, da diese Impfungen zum Teil lebenslange Immunität bewirkt, andererseits kann sich die Notwendigkeit auch aus der Einhaltung von Verpflichtungen zur Verfolgung internationaler Eliminations- und Eradikationsziele ergeben:

Die WHO hat sich zum Ziel gesetzt, diese Erkrankungen mit Hilfe von Impfungen zu eliminieren. Im Rahmen der WHO-Eliminationspläne werden die Mitgliedstaaten regelmäßig aufgefordert, die entsprechend notwendigen, hohen Durchimpfungsraten zu verfolgen und zu erheben. Dementsprechend ist die Zurverfügungstellung der Informationen im eImpfpass zur Optimierung der WHO-Maßnahmen erforderlich.

Die Z 8 ist eine Maßnahme zur Wahrung der Grundrechte und Interessen der betroffenen Person: Hintergrund der Einschränkung, dass nur bestimmte Impfsettings im zentralen Impfregister gespeichert werden dürfen, ist, dass etwa bei Personen, die Berührungspunkte mit dem Strafvollzug hatten, nicht durch die Angabe eines entsprechenden Impfsettings über die Dauer der Haftstrafe hinaus Vorstrafen aus dem Impfpass ersichtlich sein sollen. Da nicht ausgeschlossen werden kann, dass auch aus anderen Bezeichnungen für Impfsettings Nachteile für die betroffenen Personen entstünden, sollen durch die vorgeschlagene Änderung die zu verwendenden Möglichkeiten für die Angabe des Impfsettings verordnet werden. In Frage kommen gemäß dem vorgeschlagenen Abs. 5 ausschließlich folgende Bezeichnungen: „Bildungseinrichtung“, „Arbeitsplatz/Betrieb“, „Wohnbereich und Betreuungseinrichtungen“, „Krankenhaus inklusive Kur- und Rehaeinrichtungen“, „Ordination“, „Öffentliche Impfstelle/Impfstraße“ und „andere“.

Wie bereits oben geschildert (siehe die Erläuterungen zu Z 106 [§ 24c Abs. 6]) sollen mit der Z 9 aufgrund des Datenminimierungsgrundsatzes gemäß Art. 5 Abs. 1 lit. c DSGVO die Voraussetzungen, unter denen Antikörperbestimmungen im zentralen Impfregister gespeichert werden dürfen, festgelegt werden (lit a):

Mittels Verordnung sollen Antikörpernachweise für jene Impfziele geregelt werden (, für die ein international anerkannten Schutzkorrelat besteht, zumal Antikörpernachweise, die keine Auswirkungen auf eine Impfnotwendigkeit haben (beispielsweise weil es kein anerkanntes Schutzkorrelat gibt) keine Relevanz für Impfungen haben.

Darüber hinaus besteht im Hinblick auf Antikörpernachweise, die keine Auswirkung auf die Impfempfehlungen haben, die aber im zentralen Impfregister gespeichert werden, die Gefahr, dass Bürger:innen aufgrund dieser Information auf notwendige Impfungen verzichten, weil sie fälschlicherweise von einer bestehenden Immunität ausgehen, obwohl durch diese Antikörpernachweise, die keine Auswirkung auf die Impfempfehlungen haben, keine Aussage zur tatsächlichen Immunität getätigt werden kann.

Für welche Impfziele aufgrund des derzeitigen Standes der Wissenschaft ein international anerkannten Schutzkorrelat besteht, ist in Abs. 6 abschließend aufgezählt; nur diese dürfe in einer Verordnung gemäß Z 9 lit. a vorgesehen werden. Andere Antikörpernachweise, die bei Inkrafttreten der Verordnung bereits im zentralen Impfregister gespeichert sind, sollen storniert werden.

Aufgrund des Grundsatzes der Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e DSGVO soll für Antikörperbestimmungen eine angemessene (das heißt: kürzere) Löschfrist festgelegt werden, sofern dies medizinisch indiziert ist (lit. b).

Für die in Abs. 6 genannten Antikörperbestimmungen stellt sich die Situation wie folgt dar:

- Diphterie: Die Antikörperbestimmung ist nur vorübergehen aussagekräftig, weshalb eine kürzere Löschfrist medizinisch indiziert ist.

- Masern: Der Nachweis von Antikörpern bedeutet nach derzeitigem Kenntnisstand lebenslangen Schutz, weshalb keine Auffrischungsimpfung notwendig ist. Diese Information wird dauerhaft benötigt.

- Röteln: Der Nachweis von Antikörpern bedeutet nach derzeitigem Kenntnisstand lebenslangen Schutz, weshalb keine Auffrischungsimpfung notwendig ist. Diese Information wird dauerhaft benötigt.

- Hepatitis A: Der Nachweis von Antikörpern bedeutet nach derzeitigem Kenntnisstand lebenslangen Schutz, weshalb die Information dauerhaft benötigt wird.

- Hepatitis B: Die einmalige Antikörperbestimmung nach Impfung beweist, ob auf die Impfung angesprochen wurde oder nicht. Die Information muss für die weitere Impfversorgung lebenslang verfügbar sein.

- Polio: Polio ist seit 1980 in Österreich ausgerottet; die Information sollte aber, sofern Antikörper gegen diese Erkrankung bestehen, dauerhaft im zentralen Impfregister verfügbar sein.

- Tetanus: Die Antikörperbestimmung ist nur vorübergehen aussagekräftig, weshalb eine kürzere Löschfrist indiziert ist.

- Varizellen: Der Nachweis von Antikörpern bedeutet nach derzeitigem Kenntnisstand lebenslangen Schutz, weshalb keine Auffrischungsimpfung notwendig ist. Diese Information wird dauerhaft benötigt.

- Tollwut: Die Impfung bedeutet lebenslangen Schutz, weshalb eine Information über einen Antikörpernachweis dauerhaft notwendig ist.

Zu Z 10 siehe die Erläuterungen zu Z 114 (§ 24g).

Die Z 11 ist gleichsam eine Parallelbestimmung zum geltenden § 28 Abs. 2 Z 8 (nun dem vorgeschlagenen § 28a Abs. 1 Z 8), mit dem die ELGA-Ombudsstelle eingerichtet wurde.

Zu Z 130 (§ 32):

Novellen des GTelG 2012 sind oftmals zu notifizieren. Um nicht eine Vielzahl von Bestimmungen mit Notifikationshinweisen zu haben, sollen diese in einer Bestimmung zusammengefasst werden.

Zu Art. 2 (Änderung des Epidemiegesetzes 1950)

Zu Z 1 bis 3 (§ 4 Abs. 3a Z 1 Abs. 4 Z 3, § 4e Abs. 6):

Bei den vorgeschlagenen Änderungen handelt es sich um Anpassungen der Verweise auf das GTelG 2012.

Zu Z 4 (§ 50):

Diese Bestimmung soll das Inkrafttreten regeln.

Zu Art. 3 (Änderung des Allgemeinen Sozialversicherungsgesetzes)

Zu Z 1 und 2 (§ 31d Abs. 3, § 750 Abs. 2):

Bei den vorgeschlagenen Änderungen handelt es sich um Anpassungen der Verweise auf das GTelG 2012.

Zu Z 3 (§ 78x):

Diese Bestimmung soll das Inkrafttreten regeln.

Zu Art. 4 (Änderung des Patientenverfügungs-Gesetzes)

Zu Z 1 (§ 14d):

Bei der vorgeschlagenen Änderung handelt es sich um die Anpassung eines Verweises auf das GTelG 2012.

Zu Z 2 (§ 18 Abs. 3 und 4):

Diese Bestimmung soll das Inkrafttreten regeln; außerdem wird ein Redaktionsversehen behoben.

Anlage 1

DARSTELLUNG DES ERHEBLICHEN ÖFFENTLICHEN INTERESSES

an der Verwendung des eImpfpasses

Die Verwendung des eImpfpasses erfüllt ein erhebliches öffentliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j DSGVO; dieses erhebliche öffentliche Interesse ergibt sich aus den folgenden Erwägungen (vgl. § 24b GTelG 2012):

1. Optimierung der Impfversorgung der Bevölkerung:

Der eImpfpass ist ein besonders geeignetes Instrument zur Optimierung der Impfversorgung der Bevölkerung und somit der allgemeinen Bevölkerungsgesundheit. Schutzimpfungen gehören zu den wichtigsten und wirksamsten präventiven Maßnahmen, die in der Medizin zur Verfügung stehen. Als eine der effektivsten Public Health-Maßnahmen haben sie einen erheblichen Einfluss auf die Lebensqualität und den Rückgang von Sterblichkeit (siehe Ereth, The Global Value of Vaccination, Vaccine 2003, 21 [7-8], 596-600). Da Impfungen aber nicht nur den Schutz der einzelnen geimpften Person, sondern durch Vermeidung von Krankheitsübertragung von geimpften auf nicht geimpfte Personen auch des Kollektivs bewirken, haben sie eine immense Bedeutung für die öffentliche Gesundheit. Dieser mögliche kollektive Schutz entsteht einerseits im Rahmen der „Herdenimmunität“, da Personen, die selbst nicht geimpft werden können (beispielsweise aufgrund von Kontraindikationen, Immunschwäche oder zu jungem Alter), durch ein Umfeld von geimpften Personen indirekt geschützt werden, andererseits durch die Elimination und Eradikation von Erregern, welche nur von Mensch zu Mensch übertragen werden.

1.1 Einheitliche, flächendeckende und lückenlose digitale Impfdokumentation sowie eine verbesserte, schnellere Verfügbarkeit von Impfinformationen:

Die Dokumentation des Impfstatus eines:einer Bürgers:Bürgerin ist in Österreich häufig unvollständig oder nicht durchgängig. Momentan werden aufgrund der bestehenden Speicherverpflichtung ausschließlich für COVID-19- und Influenza-Impfungen noch zahlreiche andere Impfungen nur im klassischen Papierimpfpass dokumentiert; vor Einführung des eImpfpasses war dies für alle Impfungen die Regel.

Wird der Papierimpfpass zu einzelnen Impfterminen nicht mitgebracht, so wurde und wird oftmals ein neuer Impfpass ausgestellt, was dazu führt, dass oft für eine:n Bürger:in mehrere Impfpässe vorliegen. Zudem sind derartige Dokumente gefährdet, im Lauf des Lebens verloren zu gehen oder nicht mehr aufgefunden zu werden. Da es – im Gegensatz zu anderen Maßnahmen in der Gesundheitsversorgung – pro Bürger:in in der Regel nicht eine:n Zuständige:n gibt, der:die alle Impfungen verabreicht, sondern Impfungen meist bei zahlreichen verschiedenen Gesundheitsdiensteanbietern erfolgen, ist auch bei den verschiedenen Gesundheitsdiensteanbietern kaum eine vollständige Aufzeichnung des Impfstatus eines:einer Bürgers:Bürgerin vorhanden. Insbesondere beim Vorliegen älterer Impfdokumente kann die Auswertung auf Grund der oft mit der Zeit zusätzlich eingeschränkten Lesbarkeit handschriftlicher Eintragungen erschwert sein. Für die Bürger:innen selbst geht aus den medizinischen Aufzeichnungen oftmals nicht klar hervor, gegen welche Erreger oder Erkrankungen die erhaltenen Impfungen schützen und ob der jeweilige Schutz noch aufrecht ist bzw. wann die nächsten Impfungen zur Aufrechterhaltung eines Impfschutzes erfolgen sollten.

Durch den eImpfpass profitieren die Bürger:innen dahingehend, dass sie sich aufgrund der einheitlichen, flächendeckenden und lückenlosen digitalen Impfdokumentation durch Gesundheitsdiensteanbieter einerseits und deren einfacher, leserlicher und niederschwelliger Darstellung andererseits jederzeit über den eigenen Impfstatus informieren können und gegebenenfalls auch einen Gesundheitsdiensteanbieter aufsuchen können, um ausstehende Impfungen zu erhalten.

Die mit dem eImpfpass orts- und zeitunabhängige Möglichkeit des Zugriffs auf die Impfdaten führt zu einer verbesserten, schnelleren Verfügbarkeit von Impfinformationen und ermöglicht damit den Gesundheitsdiensteanbietern eine Prüfung und gegebenenfalls Ergänzung und Auffrischung des empfohlenen Impfschutzes bei jedem ärztlichen Kontakt (auch im Rahmen von Spitalsaufenthalten) im Gesundheitssystem, wie es gemäß der Empfehlung der Weltgesundheitsorganisation (WHO) vorgesehen ist (siehe Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz, Impfplan Österreich 2021).

1.2 Steigerung der Prozess- und Ergebnisqualität von Impfungen und die Wirksamkeit von öffentlichen Impfprogrammen:

Aufgrund der bisher häufigen Nicht-Verfügbarkeit und Unkenntnis von Impfdaten bei der dringend notwendigen Beurteilung des Immunitätszustandes musste im Hinblick auf die Vermeidung besonders ansteckender und/oder gefährlicher impfpräventabler Erkrankungen bisher im Zweifelsfall die Durchführung der entsprechenden Schutzmaßnahmen ungeachtet des Wissens über den tatsächlichen Immunitätszustand empfohlen werden. So gilt die Empfehlung, bei einem potenziellen Kontakt mit dem Erreger der Tetanus-Erkrankung, von dem bei jeder Art von Verletzung ausgegangen werden muss, auf Grund der hohen Letalität der Erkrankung (20 – 30 % der Erkrankten versterben) bei unbekanntem Impfstatus jedenfalls sowohl eine Tetanus-Impfung als auch die Verabreichung spezifischer Immunglobuline vorzunehmen (siehe Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz, Impfplan Österreich 2021).

Häufig kann es jedoch passieren, dass der:die betroffene Bürger:in eigentlich einen Impfschutz aufweist, welcher jedoch aufgrund fehlender Daten nicht nachvollziehbar ist. Daher ist ein Unwissen über den aktuellen Impfstatus von betroffenen Bürger:inne:n mit zeitlichem und finanziellen Mehraufwand sowie möglichen Nebenwirkungen des im Zweifel verabreichten Arzneimittels verbunden, die häufig vermeidbar wären.

Die Durchführung von Tetanus-Impfungen bei Verletzungen – mit allen damit verbundenen Risiken und Belastungen für sowohl die oder den Betroffenen als auch das Gesundheitssystem per se – könnte bei Vorliegen entsprechender verlässlich vollständiger Impfdaten auf nachweislich nicht geimpfte Personen beschränkt werden. Andere Situationen, in denen das zeit- und ortsunabhängige Vorliegen vollständiger und lückenloser Impfdaten die Vornahme nicht notwendiger Maßnahmen bei entsprechendem Impfschutz reduzieren kann, betreffen das Auftreten von Erkrankungs- und Verdachtsfällen an impfpräventablen Erkrankungen, wie zum Beispiel der Masern oder Varizellen, wo eine postexpositionelle Impfung dann nur tatsächlich nicht oder nicht ausreichend geimpften Personen angeboten werden müsste. Auch diese Sicherheitsmaßnahme stellt eine Belastung einerseits für alle Betroffenen, andererseits für das Gesundheitssystem per se dar.

Das Vorhandensein von vollständigen Impfdaten ermöglicht es, gezielt nur nicht-geschützte Personen nachträglich zu impfen. Gleiches gilt für das Auftreten von Erkrankungs- und Verdachtsfällen an impfpräventablen Erkrankungen wie zum Beispiel bei Varizellen, Masern oder Tollwut (postexpositionelle Impfung). Die jederzeit übersichtliche und vollständige Abrufbarkeit aller bisher erhaltenen Impfungen eines:einer Bürgers:Bürgerin erleichtert zudem das Einhalten von empfohlenen Abständen zwischen der Verabreichung verschiedener Impfstoffe oder Teilimpfungen. Im Falle von Impfungen gegen COVID-19 wäre ein weiteres wichtiges Beispiel genannt, wo laut derzeit geltenden Regelungen Personen mit 2 bzw. 3 Impfungen nicht als Kontaktpersonen gewertet werden und somit im Falle des Kontakts keinen Freiheitsbeschränkungen unterworfen werden müssen, wenn diese Information unmittelbar und zweifellos aufliegt.

Die Wirksamkeit von öffentlichen Impfprogrammen im Hinblick auf die Annahme entsprechender Angebote durch die Bevölkerung sowie die Wirksamkeit von Impfprogrammen auf die Senkung der Krankheitslast kann nur auf Basis vollständiger und lückenloser Aufzeichnung von Impfdaten aller geimpften Personen und den dadurch möglichen Berechnungen von Durchimpfungsraten überprüft und, wenn erforderlich, adaptiert werden, sodass zusätzlich zu den oben genannten Verbesserungen auch diesbezüglich eine Steigerung der Prozess- und Ergebnisqualität von und durch Impfprogramme und Impfungen durch den eImpfpass erzielt werden kann. So wurde auch im Rahmen der „Schlussfolgerungen des Rates der Europäischen Union zum Impfschutz von Kindern“ aus dem Jahr 2011 (siehe die Punkte 14 und 15 https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=
CELEX:52011XG0708(02)&from=EN) mehrfach gefordert, Informationssysteme und Impfregister einzuführen bzw. weiterzuentwickeln, um Impfprogramme besser überwachen zu können und den Informationsaustausch zwischen Impfstellen zu erleichtern. Die Entwicklung eines elektronischen Impf-Erfassungssystems war auch eine der Empfehlungen der WHO nach deren Site-Visit im Jahr 2015. Zudem wird auch in der aktuellen Empfehlung des Rates, welche im Dezember 2018 unter österreichischem Ratsvorsitz angenommen wurde, zur verstärkten Zusammenarbeit bei der Bekämpfung von durch Impfung vermeidbaren Krankheiten (siehe http://data.consilium.europa.eu/doc/document/ST-14152-2018-REV-1/en/pdf) die Einführung elektronischer Impfregister empfohlen.

1.3 Erhöhung der Durchimpfungsraten:

Die Durchimpfungsraten in Österreich liegen nach wie vor deutlich unter den empfohlenen Quoten, welche eine Unterbrechung der Krankheitsübertragung ermöglichen würden. Rezente Berechnungen aus Zahlen des kostenfreien Kinderimpfkonzepts – basierend auf einem agentenbasierten Simulationsmodell – zeigen beispielsweise, dass bei 2- bis 4-jährigen Kindern der Anteil an nicht ausreichend gegen Polio geimpften Kindern bei 16 % liegt. Etwa 42.500 Kinder weisen also keine vollständige Polio-Grundimmunisierung vor. Diese Kinder sind, abgesehen vom fehlenden Schutz gegen Polio, höchstwahrscheinlich auch nicht ausreichend zum Beispiel gegen Diphtherie, Tetanus oder Pertussis geschützt (siehe Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz, Kurzbericht Polio – Durchimpfungsraten 2020).

Über das kostenfreie Impfkonzept hinaus war es vor Einführung des eImpfpasses in Österreich aufgrund der fehlenden Datenbasis praktisch nicht möglich, Durchimpfungsraten zu errechnen. Um die tatsächliche Impfversorgung der gesamten österreichischen Bevölkerung (das heißt, über das Kindesalter hinaus) feststellen zu können, ist die flächendeckende und lückenlose Aufzeichnung von Impfdaten essentiell. Diese Daten können dazu beitragen, die Wirksamkeit und Akzeptanz von Impfprogrammen zu überwachen und zu optimieren. Systemische Impflücken können dargestellt und gezielt bekämpft werden, um somit die Impfversorgung der gesamten Bevölkerung zu verbessern. Im Vergleich zum Papierimpfass kann der eImpfpass mit erweiterten Funktionen, wie einem automatisierten Erinnerungssystem an empfohlene oder aufzufrischende Impfungen, ausgestattet werden.

Der Nutzen elektronischer Impfdokumentations- und Informationssysteme zur Erhöhung von Durchimpfungsraten wurde in zahlreichen wissenschaftlichen Publikationen beschrieben (siehe Crowcroft et al, Registries: An essential tool for maximising the health benefits of immunisation in the 21st century, Euro Surveill 2017, 22 [17]; Derrough et al, Immunisation Information Systems – useful tools for monitoring vaccination programmes in EU/EEA countries 2016, Euro Surveill 2017; Groom et al, Immunization Information Systems to Increase Vaccination Rates: A Community Guide Systematic Review, J Public Health Management Practice 2015, 21[3], 227–248). Eine entsprechende Umsetzung wird daher von internationalen Gesundheitsorganisationen sowie medizinischen Fachgesellschaften (z. B. American Academy of Pediatrics, Immunization Reminder & Recall Systems https://www.aap.org/enus/ Documents/immunization_reminderrecall.pdf) regelmäßig empfohlen.

1.4 Erhöhung der Arzneimittel- und Patient:inn:ensicherheit:

Im eImpfpass kann eindeutig nachvollzogen werden, welche Impfstoffe inklusive Chargennummer wann und wo verimpft wurden. So könnten Bürger:innen im Zuge des Risikomanagements im Rahmen der Pharmakovigilanz informiert werden, sollte es ausnahmsweise mit einzelnen Impfstoffen oder Impfstoffchargen zu Ereignissen kommen, die kommuniziert werden müssen. Derzeit ist eine vollständige Auflistung aller Personen, die mit einem Impfstoff einer bestimmten Charge geimpft wurden, praktisch kaum möglich. Nachträglich bekannt werdende Probleme mit Impfstoffchargen, wie beispielsweise eine verminderte Wirksamkeit oder ein Qualitätsmangel des Produktes, werden daher bisher nur auf der Website des Bundesamts für Sicherheit im Gesundheitswesen veröffentlicht. Eine aktive Information aller betroffenen Bürger:innen kann derzeit aber auf Grund fehlender Datenbasis entweder gar nicht erfolgen oder nur mit immensem Aufwand und ohne Garantie auf Vollständigkeit durchgeführt werden. In diesem Fall muss derzeit eine Kontaktaufnahme mit Impfstoffabgabestellen zur Erhebung der Information, an wen die betroffenen Impfstoffchargen verkauft wurden, erfolgen. Da in der Praxis aber nicht jede Impfstoffabgabe auf ein namentlich ausgestelltes Rezept erfolgt, kann nicht davon ausgegangen werden, dass damit alle betroffenen Bürger:innen identifiziert werden könnten.

Im Fall der Meldung einer gemeldeten, vermuteten Nebenwirkung nach Impfstoffverabreichung gemäß § 75 des Arzneimittelgesetzes (AMG), BGBl. Nr. 185/1983, bedingt die Dokumentation der Impfdaten im eImpfpass eine eindeutige Zuordenbarkeit der verabreichten Charge und impfenden Person, wodurch eine Verbesserung der Datenqualität im Vergleich zur (beispielsweise bei der Verabreichung von Reihenimpfungen) oftmals nicht eindeutigen Dokumentation im papierenen Impfpass bewirkt und die nachfolgenden Untersuchungen der aufgetretenen Nebenwirkung deutlich erleichtert und vor allem beschleunigt werden. Die aus den Verbesserungen durch den eImpfpass folgenden Erkenntnisse bei Vorliegen rasch und unkompliziert gesammelt abrufbarer Daten über die mit bestimmten Impfstoffen immunisierten Personen oder die genaue Zuordnung des Impfstoffes, mit der die einzelne Person geimpft wurde, bedingen daher ebenso eine Steigerung der Arzneimittel- und Patient:inn:ensicherheit aller zu impfenden Personen wie die zu erwartende Verbesserung der Prozess- und Ergebnisqualität von Impfungen, insbesondere durch Vermeidung von Nebenwirkungen, Mehrfachimpfungen und Nicht-Impfung bei Kontraindikationen sowie zur Beurteilung und Optimierung der Wirksamkeit von Impfprogrammen.

2. Verfügbarkeit digitaler Impfinformationen für die Steuerung des öffentlichen Gesundheitswesens

Durch die Verfügbarkeit der digitalen Impfinformationen ist es möglich, das öffentliche Gesundheitswesen besser und gezielter zu steuern.

2.1 Bestimmung von Impfstatus und Durchimpfungsraten sowie des daraus ableitbaren Handlungsbedarfs:

Durch die digitale Verfügbarkeit der Impfdaten ist es zum Beispiel möglich, diese statistisch auszuwerten, um etwa die Durchimpfungsraten zu bestimmen oder Analysen zu machen, ob Impfintervalle entsprechend den Empfehlungen eingehalten werden oder Impfungen in definierten Gruppen verabreicht wurden.

Einer der wichtigsten Gesichtspunkte zur Evaluierung von Gesundheitssystemen sind die Durchimpfungsraten in der Bevölkerung; sie sind ein essentieller Indikator dafür, wie gut primär präventive Maßnahmen in einem Gesundheitssystem verankert sind und sie geben Auskunft darüber, wie die Gesundheitsversorgung einer Bevölkerung beschaffen ist. So ist die Bestimmung von Durchimpfungsraten eine wichtige Maßnahme zur Evaluierung der aktuellen Impfversorgung in der Bevölkerung.

Die Bestimmung der Durchimpfungsraten war vor Einführung des eImpfpasses nur eingeschränkt möglich, da Impfungen nicht flächendeckend erfasst werden. So wurden Durchimpfungsraten in der Vergangenheit im Grunde genommen nur basierend auf Zahlen zu abgerufenen und administrierten Dosen von Impfstoffen im kostenfreien Kinderimpfkonzept, teilweise in Kombination mit der Information, in welchen Jahrgängen welche Teilimpfungen verabreicht wurden, evaluiert. In derartigen Schätzungen können jedoch weitere Einflussfaktoren, wie etwa die natürliche Immunität der Bevölkerung, Bevölkerungsbewegungen etc. nicht berücksichtig werden und die so ermittelten Zahlen werden und wurden – berechtigterweise – wiederholt diskutiert und angefochten. Zusätzlich konnten derartige Durchimpfungsraten nur für Impfstoffe des kostenfreien Impfkonzepts berechnet werden, weil für andere Impfstoffe am Privatmarkt nicht einmal diese Informationen vorhanden waren.

Um dennoch einen Anhaltspunkt über die Impfversorgung der österreichischen Bevölkerung zu gewinnen, musste und muss man sich aufwändiger Berechnungen bedienen. So erfolgt beispielsweise die Berechnung der Masern- und Polio-Durchimpfungsraten derzeit durch Analyse von sämtlichen verfügbaren Daten aus Österreich zu den in Frage stehenden Impfungen gemeinsam mit Bevölkerungsdaten in einem agentenbasierten, dynamischen Simulationsmodell (Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz, Kurzbericht Masern – Durchimpfungsraten 2020; Kurzbericht Polio – Durchimpfungsraten). Durch den eImpfpass soll dieser wichtige Eckpfeiler zur Evaluierung unseres Gesundheitssystems gesichert werden.

Ein weiterer zu berücksichtigender Aspekt ist de Information des Immunitätsstatus der Bevölkerung, um basierend auf diesen Zahlen eine Aussage zu ermöglichen, wie mögliche Prognosen hinsichtlich Spitalsbelegungen und Belegungen von ICU-Kapazitäten aussehen, welche maßgeblich von den Durchimpfungsraten in einzelnen Bevölkerungsgruppen abhängen.

Es besteht sohin ein erhebliches öffentliches Interesse an der vollständigen und lückenlosen Erfassung der Impfdaten aller in Österreich lebenden Bürger:innen, denn nur auf diese Weise können verlässliche Durchimpfungsraten, welche die tatsächliche Immunität und Impfversorgung der Bevölkerung abbilden, generiert werden. Nur mit dieser Information ist es möglich, im Bedarfsfall erforderliche Maßnahmen zu setzen, um die Durchimpfungsraten gezielt zu heben.

Die vollständige Datenerhebung ist aber nicht nur für eine verbesserte Bevölkerungsgesundheit maßgeblich, sondern auch für eine optimierte Wirkungsorientierung in der Verwaltungssteuerung. Eine adäquate und seriöse Datenerhebung gewährleistet ein hohes und langfristiges Leistungsniveau in der konkreten Umsetzung von gesundheitsrelevanten Maßnahmen sowie die zielgerichtete Verwendung von öffentlichen Mitteln, etwa bei der Beschaffung und Bevorratung von Impfstoffen. Außerdem ist eine vollständige und professionelle Datenerhebung eine Grundvoraussetzung für die Qualitätssicherung im öffentlichen Sektor. Nur mit vollständigen Daten können evidenzbasierte, effiziente und effektive Entscheidungen im Sinne der Wirkungsorientierung getroffen werden. Qualitativ hochwertig ermittelte Durchimpfungsraten sind eine wesentliche Bemessungsgrundlage für den Erfolg des nationalen Impfkonzepts.

Ein weiterer Bereich, in dem das Wissen um die Durchimpfungsraten in der Bevölkerung essentiell ist, ist der Ausbruch von durch Impfungen vermeidbaren Erkrankungen. Kommt es beispielsweise zu einem Polio-Ausbruch in Österreich, so ist eine der initial vorgesehenen Maßnahmen jene, die Durchimpfungsraten der Bevölkerung zu bestimmen, um abschätzen zu können, welche Maßnahmen zur Eindämmung in welcher Ausprägung getroffen werden müssen (siehe Bundesministerium für Arbeit, Soziales, Gesundheit und Konsumentenschutz, Leitfaden zum Vorgehen bei Fällen von Poliomyelitis in Österreich 2018).

2.2 Verbesserung der Reaktionsmöglichkeiten auf Ausbrüche von durch Impfungen vermeidbaren Krankheiten:

Das Wissen, welche Maßnahmen zur Eindämmung einer durch Impfung vermeidbaren Krankheit in welcher Ausprägung getroffen werden müssen, ist essentiell für eine adäquate Reaktion auf Ausbrüche solcher Krankheiten. Tritt ein Krankheits- oder Verdachtsfall einer gemäß § 1 EpiG anzeigepflichtigen, hoch ansteckenden, durch Impfungen vermeidbaren Erkrankung (wie beispielsweise Masern) auf, werden zur Eindämmung des Krankheitsausbruchs im Rahmen des „contact tracing“ alle Kontaktpersonen dieses Krankheits- oder Verdachtsfalles identifiziert und analysiert, um entsprechende postexpositionelle Maßnahmen treffen zu können. Durch den eImpfpass kann in Ausbruchssituationen der Impfstatus von einzelnen Kontaktpersonen zweifelsfrei und ohne Zeitverzug festgestellt werden.

Vor Einführung des eImpfpasses mussten (und müssen teilweise nach wie vor, da sich der eImpfpass noch im Pilotbetrieb befindet) die Kontaktpersonen mit einem enormen Zeit- und Ressourcenaufwand kontaktiert werden und ihre persönliche Impfdokumentation muss einzeln kontrolliert werden, um abzuklären, ob bei ihnen ein aufrechter Schutz gegen die entsprechende Erkrankung vorhanden ist. Durch diese Kontrolle etwaig vorhandener Impfdokumente oder durch etwaig durchzuführende Antikörpertestungen bei ungeschützten Kontaktpersonen kommt es nicht nur zu hohen Kosten, sondern auch zu einer enormen Zeitverzögerung. Für die Einleitung entsprechender postexpositoneller Maßnahmen ist der Faktor Zeit jedoch der wichtigste Parameter, damit die gesetzten Maßnahmen erfolgreich sein können, wie zum Beispiel die medikamentöse Prophylaxe oder postexpositionelle Impfung. Andernfalls können Absonderungen zur Verhinderung der Weiterverbreitung der Erkrankung auferlegt werden.

Festgehalten wird, dass es durch Einführung des eImpfpasses zu keinerlei Ausweitung behördlicher Befugnisse nach dem EpiG kam oder kommt, sondern zu einer Unterstützung des Öffentlichen Gesundheitsdienstes in der effektiven wie effizienten Erfüllung seiner gesetzlich übertragenen Aufgaben.

Nach der vollständigen Ausrollung des eImpfpasses müssen zukünftig nur jene Personen, von denen kein aufrechter Impfschutz oder (noch) keine Impfdokumentationen aufscheinen, kontaktiert werden, um weitere eindämmende Maßnahmen (Verabreichung von Abriegelungsimpfungen oder die Isolierung aus Gemeinschaftseinrichtungen) zu ergreifen. Dadurch kommt es nicht nur zu einer Zeitersparnis, sondern auch zu einer Aufwandsreduktion für die betroffenen Behörden, für die betroffenen Bürger:innen und für die Gesundheitsdiensteanbieter, da auch Extra-Vorstellungen bei diesen (hier: meistens Bezirksverwaltungsbehörden) nicht erforderlich sind.

Durch die schnellere Reaktion können postexpositionelle Maßnahmen, welche zumeist zeitkritisch sind, unverzüglich eingeleitet werden. So ist beispielsweise die höchste Wahrscheinlichkeit für eine infektionsverhütende Wirkung einer postexpositionellen Masern-Mumps-Röteln-Impfung bei einer empfänglichen Kontaktperson bei Verabreichung der Impfung in einem Zeitfenster von 72 Stunden nach Masernkontakt gegeben (siehe Bundesministerium für Gesundheit und Frauen, Masern – Personenbezogene Kontroll- und Präventionsmaßnahmen. Eine Standardverfahrensanleitung [SVA] für die Gesundheitsbehörde in Österreich. Erstellt von der Österreichischen Agentur für Gesundheit und Ernährungssicherheit GmbH [AGES] im Auftrag des Bundesministeriums für Gesundheit und Frauen, 2017). Durch Zeitverlust steigt das Erkrankungsrisiko für die jeweiligen Kontaktpersonen selbst beträchtlich, gleichzeitig wird auch die Gefahr größerer Krankheitsausbrüche erhöht, die eine Gefährdung für die gesamte empfängliche Bevölkerung darstellen können. So steckt beispielsweise eine an Masern erkrankte Person in einer nicht geschützten Bevölkerung durchschnittlich bis zu 18 weitere Personen an (siehe http://ecdc.europa.eu/en/measles/facts/infographics). Im Fall eines Masern-Ausbruchs mit dem Potential einer raschen Verbreitung (zum Beispiel Auftreten von Masern in Gemeinschaftseinrichtungen wie Schulen) wird derzeit beispielsweise empfohlen, jedenfalls allen Kontaktpersonen, bei denen keine Kontraindikation für eine MMR-Impfung vorliegt, noch bevor Informationen über den jeweiligen Impfschutz verfügbar sind, eine MMR-Impfung zu verabreichen (siehe Bundesministerium für Gesundheit und Frauen, Masern – Personenbezogene Kontroll- und Präventionsmaßnahmen, 2017).

Ein anderes zu erwähnendes Beispiel wäre der COVID-19-Impfstatus: Derzeit ist vorgesehen, dass in Abhängigkeit vom Alter zwei- bzw. dreifach-geimpfte Personen bei Kontakt mit einer positiv auf SARS-CoV-2 getesteten Person im Gegensatz zu ungeimpften Personen nicht als Kontaktperson abgesondert werden müssen. So kann das rasche und unmittelbare aufliegen des Impfstatus maßgeblich dazu beitragen, Freiheitsbeschränkungen bis zum Nachweis allfälliger Impfungen gegen COVID-19 zu vermeiden.

Diese unspezifische, aber umfassende und jedenfalls rechtzeitige präventive Vorgehensweise ist derzeit zur raschen Ausbruchseindämmung auf Grund der Zeitverzögerung bei der erst zu Ausbruchsbeginn erfolgenden Analyse des Impfschutzes der Kontaktpersonen erforderlich, weil hier Gefahr in Verzug besteht. Zusätzlich gefährdet sind besonders jene Personen, deren Krankheitsschutz auf Grund von Kontraindikationen, wie zum Beispiel Immunsuppression, nicht durch eigenen Impfschutz, sondern nur im Rahmen der Herdenimmunität besteht. Diese Personengruppen sind zumeist auch eine Risikogruppe für das Auftreten besonders schwerer Krankheitsverläufe sowie -komplikationen und können zudem nicht in vollem Ausmaß von allen zur Verfügung stehenden postexpositionellen Maßnahmen profitieren.

Im Rahmen größerer Krankheitsausbrüche können durch den eImpfpass diese ungeschützten Risikogruppen rasch identifiziert und durch zielgerichtete Aufklärungs- und Schutzmaßnahmen adressiert werden. Insgesamt bewirkt der eImpfpass eine Verbesserung der Reaktionsmöglichkeiten auf Ausbrüche von durch Impfung vermeidbaren Krankheiten nicht nur hinsichtlich der Maßnahmen, die zu treffen sind, und der Zeit, binnen derer diese getroffen werden sollten, sondern auch hinsichtlich der Risiken für Gesundheitsdiensteanbieter und der Bürger:innen, da unnötige Mehrfachimpfungen vermieden werden.

2.3 Einhaltung von Verpflichtungen zur Verfolgung internationaler Eliminations- und Eradikationsziele:

Österreich hat sich gegenüber der WHO im Rahmen des globalen Polio-Eradikationsprogramms sowie des Masern- und Röteln-Eliminationsprogramms verpflichtet, Maßnahmen zu setzen, um die für die Eradikation bzw. Elimination der genannten Erreger notwendigen Durchimpfungsraten zu erreichen.

Im Rahmen dieser Programme ist die regelmäßige Übermittlung von flächendeckend und lückenlos erhobenen Durchimpfungsraten an die zuständigen Koordinationsstellen der genannten Programme ein essentieller Parameter. Durch den eImpfpass ist eine vollständige und lückenlose Erhebung der Impfdaten und damit einhergehend die dringend erforderliche Identifikation von „Impflücken“ möglich, sodass gezielt Maßnahmen zur Steigerung der Durchimpfungsraten gesetzt werden können. Mehrfach wurde daher zur Erreichung dieser Eliminations- und Eradikations-Ziele die Einführung eines elektronischen Impfregisters empfohlen: Zum Beispiel im Rahmen einer Vor-Ort-Evaluation der österreichischen Situation im Rahmen eines Masern-Ausbruchsgeschehens 2008 durch das ECDC (siehe Strauss et al, The measles situation in Austria: a rapid risk assessment by an ECDC Team and the outcome of an international meeting in Vienna, Austria, Eurosurveillance 13, 2008), nach einer Site-Visit der WHO im Jahr 2015 sowie im Nationalen Aktionsplan Masern-/Röteln-Elimination.

3. Reduktion von Aufwänden für Bürger:innen, Gesundheitsdiensteanbieter und das Gesundheitssystem

Aufgrund der zuvor beschriebenen Vorteile durch die Verwendung des eImpfpasses kommt es nicht zuletzt auch zu einer Reduktion von Aufwänden für sowohl Bürger:innen und Gesundheitsdiensteanbieter als auch für das Gesundheitssystem per se. Durch die Dokumentation der Impfungen im Papierimpfpass ist die Erhebung des Impfstatus insofern aufwändig, als jede Impfung einzeln durchgegangen werden muss und systematisch für jede Impfung einzeln geprüft werden muss, ob sie vorhanden ist oder nicht. Impfdokumentationen können aufgrund der Handschrift des Gesundheitsdiensteanbieters oder aufgrund des Alters des Dokuments oft nicht oder nur zeitaufwändig entziffert werden. Werden nicht häufig gebräuchliche Impfstoffe verwendet und nur Handelsnamen angegeben, von denen teilweise Impfindikationen für einzelne Gesundheitsdiensteanbieter nicht bekannt sind, müssen diese erst zeitintensiv eruiert werden. So dauert es in der Regel bei einem Erwachsenen – sofern alte Impfdokumentationen überhaupt vorliegen – doch eine geraume Zeit, um den Impfstatus zu überprüfen und feststellen zu können, ob bzw. welche Impfungen ausständig sind. So wird im eImpfpass zukünftig niederschwellig und auf den ersten Blick sowohl für Bürger:innen als auch für Gesundheitsdiensteanbieter erkennbar sein, welche Impfungen verabreicht wurden, wogegen die Impfungen schützen und wann die nächsten Impfungen anstehen. Insofern haben sowohl Bürger:innen als auch Gesundheitsdiensteanbieter im Gegensatz dazu im eImpfpass rasch einen Überblick über den Impfstatus der betroffenen Person.

Die bessere Lesbarkeit des eImpfpasses im Gegensatz zum Impfpass in Papierform führt zu einer schnelleren Impfanamnese und zur Vermeidung von Mehrfachimpfungen, außerdem besteht nicht die Gefahr, aufgrund von verloren gegangenen Papierausweisen den Überblick über schon durchgeführte Impfungen zu verlieren. Impferinnerungen erlauben das gezielte Aufsuchen von Impfstellen zu jenem Zeitpunkt, zu dem die Durchführung einer Impfung erforderlich ist. Dadurch trägt der eImpfpass maßgeblich dazu bei, den Impfstatus der Bevölkerung zu optimieren, da aufgrund der niederschwelligen Eruierbarkeit der Impfdaten die Krankheitslast von durch Impfungen vermeidbaren Erkrankungen vermieden wird: Zum einen werden Krankheiten vermieden, die sehr häufig vorkommen, wie zum Beispiel Rotavirusgastroenteritis, oder es kann erwartet werden, dass es zu einem Rückgang schwerer Komplikationen kommt, wie bei Influenza, wo bewiesen werden konnte, dass die Impfung nachweislich zu einer Reduktion von Spitalsaufenthalten und schweren Verläufen führt; zum anderen werden Krankheiten vermieden, die zwar selten vorkommen, jedoch sehr schwer verlaufen, wie zum Beispiel Meningokokken-Meningitis. Aufgrund zu erwartender, höherer Durchimpfungsraten und damit einhergehender Herdenimmunität betrifft die Reduktion der Krankheitsfälle (und damit einhergehend Spitalsaufenthalten) für viele durch Impfungen vermeidbare Krankheiten nicht nur die Verhinderung der Erkrankungen bei den geimpften Personen selbst, sondern auch einen indirekten Schutz nicht geimpfter Kontaktpersonen, welche nicht erkranken, weil sie durch ein geimpftes Umfeld keinen Kontakt mit gewissen Erregern haben (Rotavirus-Gastroenteritis, Masern).

Eine weitere Aufwandreduktion ergibt sich aus der erleichterten Durchführung des „contact tracing“, da ungeschützten Risikogruppen rasch identifiziert und durch zielgerichtete Aufklärungs- und Schutzmaßnahmen adressiert werden können bzw. unnötige Freiheitsbeschränkungen vermieden werden können, wenn der Ipmfstatus unmittelbar aufliegt.

Eine Aufwandreduktion ergibt sich auch aus der erleichterten Abrechnung der Arzthonorare im Rahmen von Impfprogrammen. Derzeit erfolgt dies teilweise über Scheine und Schecks, welche pro Impfling von den impfenden Gesundheitsdiensteanbietern übermittelt werden. Diese Daten werden oft händisch in entsprechende Dokumentations- und Abrechnungssysteme eingetragen, was einen beträchtlichen personellen Aufwand darstellt. Durch den eImpfpass ist es möglich, Impfungen im Rahmen des kostenfreien Impfkonzepts pro impfenden Gesundheitsdiensteanbieter eindeutig zu identifizieren und hier eine lückenlose Dokumentation sowie transparente Abrechnung zu erstellen, ohne dass höchst aufwendig Dokumente händisch in diverse Erfassungs-, Dokumentations- und Abrechnungssysteme übertragen werden müssen.

Eine Reduktion von Aufwänden ergibt sich sohin für Bürger:innen, Gesundheitsdiensteanbieter und das Gesundheitssystem per se aus der Verhinderung von Maßnahmen der postexpositionellen Prophylaxe, die bisher auf Grund des Nicht-Vorliegens der entsprechenden Impfdaten unabhängig vom Impfstatus durchgeführt werden mussten und durch die orts- und zeitunabhängige Abrufbarkeit der Impfdaten im eImpfpass für bereits geschützte Personen vermieden werden, aus der Vermeidung von Krankheiten und Nebenwirkungen, die aus Doppel- und Mehrfachimpfungen sowie Impfungen trotz Vorliegens von Kontra-Indikationen resultieren, aus der verbesserten Datenlage und damit einhergehend einer verbesserten digitalen Abwicklung von Umgebungsanalysen, einer vereinfachten Abrechnung für Gesundheitsdiensteanbieter und die Verrechnungsstelle durch die digitale Erfassung von Impfungen im Rahmen des kostenfreien Impfkonzepts sowie durch die vereinfachte Bestimmung von Durchimpfungsraten. Abgesehen von direkten Krankheitskosten können auch indirekte Kosten vermieden werden, weil zum Beispiel keine Pflegeurlaube für kranke Kinder benötigt werden, was letztendlich auch das öffentliche Leben beeinträchtigen und zu massiven Kosten im Gesundheitssystem führen kann.

Anlage 2

DATENSCHUTZ-FOLGENABSCHÄTZUNG

für die Datenverarbeitungen gemäß §§ 24c, 24e und 27 Abs. 17 GTelG 2012

SYSTEMATISCHE BESCHREIBUNG

der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen

Art der Verarbeitung (ErwG 90 DSGVO):

Gemäß § 24c Abs. 2 GTelG 2012 haben alle Gesundheitsdiensteanbieter, in deren berufsrechtlichen Verantwortung Impfungen durchgeführt werden, die Angaben gemäß Z 1 bis 4 und gemäß § 24c Abs. 3 GTelG 2012 die Gesundheitsdiensteanbieter, die die Antikörpertests auswerten, Antikörperbestimmungen ab dem mittels Verordnung festzulegenden Zeitpunkt im zentralen Impfregister zu speichern.

Gesundheitsdiensteanbieter, in deren berufsrechtlichen Verantwortung Impfungen durchgeführt werden, sind gemäß § 24c Abs. 4 Z 1 GTelG 2012

- Angehörige des ärztlichen Berufes, jeweils auch bei Ausübung des ärztlichen Berufes in der Form einer Zusammenarbeit als selbstständig berufsbefugte Gruppenpraxis,

- Amtsärzte und Amtsärztinnen, einschließlich Militärärzte und Militärärztinnen,

- diplomierte Gesundheits- und Krankenpflegepersonen sowie

- Hebammen.

Gesundheitsdiensteanbieter, die Antikörpertests auswerten, sind gemäß § 24c Abs. 4 Z 2 GTelG 2012 Labore.

Mit der Speicherung im zentralen Impfregister durch Gesundheitsdiensteanbieter, die Impfungen durchführen, ist die jeweilige berufsrechtliche Dokumentationspflicht (z. B. § 51 Abs. 1 ÄrzteG 1998) erfüllt, allerdings bleiben bestehende Pflichten zur Dokumentation auf Papier unberührt. Die Verpflichtung zur Dokumentation auf Papier besteht vor dem Hintergrund der Internationalen Gesundheitsvorschriften (IGV), wonach die Einreise in zahlreiche Länder an den Nachweis einer Gelbfieber-Impfung geknüpft ist (vgl. Anlage 7 IGV). Aus diesem Grund ist es erforderlich, die Gelbfieber-Impfung weiterhin zusätzlich zur Eintragung in den eImpfpass in der dafür vorgegebenen papierenen Form zu dokumentieren, um entsprechende Dokumente bei Einreise vorweisen zu können.

Gemäß § 24c Abs. 5 Z 3 GTelG 2012 müssen Gesundheitsdiensteanbieter, die Impfungen durchführen, die COVID-19-Impfungen, die sie seit dem 27. Dezember 2020 verabreicht haben, die aber noch nicht im zentralen Impfregister gespeichert sind, nachtragen. Ebenso nachgetragen werden müssen gemäß § 4 Abs. 3 eHealthV Affenpocken-Impfungen bis zum 20.08.2022, wenn eine frühere Eintragung aus technischen Gründen nicht möglich war. Andere Impfungen dürfen unter den Voraussetzungen des § 24c Abs. 5 Z 1 GTelG 2012 von den Gesundheitsdiensteanbietern, die Impfungen durchführen, sowie von Öffentlichen Apotheken nachgetragen werden. Die Gesundheitsdiensteanbieter, die Impfungen durchführen, dürfen die von den Bürger:innen selbst eingetragenen Impfungen gemäß § 24c Abs. 5 Z 2 auch vidieren.

Gemäß § 24c Abs. 6 GTelG 2012 haben die Gesundheitsdiensteanbieter impfrelevante Vorerkrankungen, besondere Impfindikationen sowie Antikörperbestimmungen unabhängig, das heißt auch ohne zeitlichen Kontext zu einer verabreichten Impfung, im zentralen Impfregister zu speichern. Hintergrund ist, dass das Durchmachen bestimmter Erkrankungen teilweise lebenslange Immunität bewirkt, weshalb die Speicherung dieser Angabe nicht an die Verabreichung einer Impfung gekoppelt ist.

Umfang der Verarbeitung (ErwG 90 DSGVO):

Die Gesundheitsdiensteanbieter, in deren berufsrechtlichen Verantwortung Impfungen durchgeführt werden, haben gemäß § 24c Abs. 2 GTelG 2012 folgende Angaben im zentralen Impfregister zu speichern:

- zum Impfstoff (Klassifikation, Handelsname, Hersteller, Zulassungsnummer, Chargennummer, Verfallsdatum, Serialisierungsnummer, Pharmazentralnummer und Anatomisch-Therapeutisch-Chemische Zuordnung),

- zur verabreichten Impfung (Datum der Verabreichung, Dosierung und Dosis, angewandtes Impfschema, Impfempfehlung und Zuordnung zu Impfprogrammen),

- zur:zum Bürger:in (Name, Geburtsdatum, Geschlecht, Wohnadresse, Angaben zur Erreichbarkeit, Angaben zu einer allfälligen Vertretung, Sozialversicherungsnummer, bereichsspezifisches Personenkennzeichen Gesundheit, Gemeindecode, Antikörperbestimmung, impfrelevante Vorerkrankungen und besondere Impfindikationen) sowie

- zum impfenden bzw. speichernden Gesundheitsdiensteanbieter (Name, Rolle, Berufsadresse, Impfsetting und Datum der Speicherung).

Gesundheitsdiensteanbieter, die Antikörpertests auswerten, haben gemäß § 24c Abs. 3 GTelG 2012 Antikörperbestimmungen sowie Angaben zum:zur Bürger:in und zum speichernden Gesundheitsdiensteanbieter (vgl. oben) im zentralen Impfregister zu speichern.

Mit § 28b Abs. 2 Z 9 in Verbindung mit Abs. 6GTelG 2012 existiert eine Verordnungsermächtigung, wonach die Voraussetzungen, unter denen Antikörperbestimmungen von Laboren im zentralen Impfregister gespeichert werden dürfen, vorgesehen werden können. Diese Verordnungsermächtigung ist notwendig, weil nicht alle Antikörperauswertungen Auswirkungen auf Impfempfehlungen haben und nur jene Antikörperbestimmungen gespeichert werden sollen, bei denen das der Fall ist. Darüber hinaus haben Gesundheitsdiensteanbieter, die Impfungen durchführen, die Möglichkeit, andere als die zu verordneten Antikörperbestimmungen im zentralen Impfregister zu speichern, sofern dies im Einzelfall medizinisch indiziert ist:

Die in Frage kommenden Impfsettings sind gemäß § 28b Abs. 2 Z 7 in Verbindung mit Abs. 5 GTelG 2012 ebenfalls zu verordnen, wobei dafür ausschließlich „Bildungseinrichtung“, „Arbeitsplatz/Betrieb“, „Wohnbereich und Betreuungseinrichtungen“, „Krankenhaus inklusive Kur- und Rehaeinrichtungen“, „Ordination“, „Öffentliche Impfstelle/Impfstraße“ und „andere“ in Betracht kommen.

Bei den im zentralen Impfregister zu speichernden Angaben handelt es sich um Gesundheitsdaten gemäß Art. 4 Z 15 DSGVO. Es werden die Gesundheitsdaten jener natürlicher Personen verarbeitet, die im Patient:inn:enindex gemäß § 18 GTelG 2012 erfasst sind und somit jedenfalls jener Personen, die in den Datenverarbeitungen des Dachverbandes gemäß § 30c Abs. 1 Z 2 lit. a ASGV oder dem Ergänzungsregister gemäß § 6 Abs. 4 E‑GovG erfasst sind. Im zentralen Impfregister erfasst werden sohin längerfristig die Gesundheitsdaten von zumindest 98 % der sich in Österreich aufhaltenden natürlichen Personen. Ausländische natürliche Personen sind soweit erfasst, als sie im Ergänzungsregister gemäß § 6 Abs. 4 E-GovG eingetragen werden (siehe die ErlRV 1936 BlgNR XXIV. GP, 28 f).

Zusätzlich werden gemäß § 24f Abs. 5 Z 2 und 3 GTelG 2012 der Namen der natürlichen Person, die die im zentralen Impfregister gespeicherten Daten tatsächlich verarbeitet hat, sowie die eindeutige elektronische Identität des Gesundheitsdiensteanbieters, der den Vorgang ausgelöst hat, protokolliert.

Kontext der Verarbeitung (Art-29-Datenschutzgruppe, WP 248, 21):

Die Verarbeitung erfolgt im Kontext der Zwecke des Art. 9 Abs. 2 lit. g bis j DSGVO:

Die Verwendung des eImpfpasses erfüllt ein erhebliches öffentliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j DSGVO. Dieses erhebliche öffentliche Interesse ergibt sich insbesondere aus der Optimierung der Impfversorgung der Bevölkerung, vor allem durch eine einheitliche, flächendeckende und lückenlose digitale Impfdokumentation sowie einer verbesserten, schnelleren Verfügbarkeit von Impfinformationen, die Steigerung der Prozess- und Ergebnisqualität von Impfungen und der Wirksamkeit von öffentlichen Impfprogrammen, die Erhöhung der Durchimpfungsraten, die Erhöhung der Arzneimittel- und Patient:inn:ensicherheit; weiters aus der Verfügbarkeit digitaler Impfinformationen für die Steuerung des öffentlichen Gesundheitswesens, vor allem zur Bestimmung von Impfstatus und Durchimpfungsraten sowie des daraus ableitbaren Handlungsbedarfs, Verbesserung der Reaktionsmöglichkeiten auf Ausbrüche von durch Impfungen vermeidbaren Krankheiten, Einhaltung von Verpflichtungen zur Verfolgung internationaler Eliminations- und Eradikationsziele, sowie aus der Reduktion von Aufwänden für Bürger:innen, Gesundheitsdiensteanbieter und das Gesundheitssystem per se.

Um diese im erheblichen öffentlichen Interesse liegenden Ziele zu erreichen, haben alle Gesundheitsdiensteanbieter, in deren berufsrechtlichen Verantwortung Impfungen durchgeführt werden, die impfrelevanten Angaben (vgl. § 24c Abs. 2 GTelG 2012) im zentralen Impfregister zu speichern sowie die Gesundheitsdiensteanbieter, die Antikörpertests auswerten, die Antikörperbestimmungen.

Zwecke der Verarbeitung (Art. 35 Abs. 7 lit. a DSGVO):

Die Zwecke, zu denen die im zentralen Impfregister gespeicherten Daten personenbezogen verarbeitet werden dürfen, sind in § 24d Abs. 2 GTelG 2012 aufgezählt. Diese sind

- die zusammenfassenden Darstellung der im zentralen Impfregister gespeicherten Daten,

- die Darstellung persönlicher Impfkalender auf Basis der im zentralen Impfregister gespeicherten Daten und des jeweils aktuellen Impfplans Österreich,

- die Erinnerung an empfohlene Impfungen gemäß dem jeweils aktuellen Impfplan Österreich auf Basis der im zentralen Impfregister gespeicherten Daten,

- Auswertungen von im zentralen Impfregister gespeicherten Daten zur Bestimmung von Impf- und Immunitätsstatus und Durchimpfungsraten sowie des daraus ableitbaren Handlungsbedarfs, zur Ermittlung von Impfdurchbrüchen, zur Kontaktpersonennachverfolgung, zur Einhaltung von Verpflichtungen zur Verfolgung internationaler Eliminations- und Eradikationsziele sowie zur Auswertung von Nutzungsverhalten des eImpfpasses,

- das Krisenmanagement, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten gemäß § 1 EpiG, als auch im Rahmen der Pharmakovigilanz,

- die Abrechnung im Rahmen von Impfprogrammen,

- die Wahrnehmung der Rechte der Bürger:innen gemäß § 24e GTelG 2012 sowie

- das Datenqualitätsmanagement gemäß § 24i Abs. 1 Z 2 GTelG 2012.

Durch die Verarbeitung der im zentralen Impfregister gespeicherten Daten zu den genannten Zwecken werden die in § 24b GTelG 2012 genannten Ziele realisiert.

Empfängerinnen und Empfänger (Art-29-Datenschutzgruppe, WP 248, 21):

Bei der eHealth-Anwendung Elektronischer Impfpass handelt es sich um ein System der ungerichteten Kommunikation; das bedeutet, dass die Daten nicht direkt an eine:n bestimmte:n Empfänger:in übermittelt, sondern einem berechtigten Empfänger:innenkreis über eine „Datendrehscheibe“ zur Verfügung gestellt werden. Wer zu welchem Zweck Zugriff auf die im zentralen Impfregister gespeicherten Daten hat und diese in Folge personenbezogen verarbeiten darf, wird in § 24f Abs. 4 in Verbindung mit § 27 Abs. 17 GTelG 2012 geregelt.

Es handelt sich dabei um

- die betroffenen Personen selbst sowie deren gesetzliche oder bevollmächtigte Vertreter:innen,

- die Mitarbeiter:innen der eHealth-Servicestelle,

- die Gesundheitsdiensteanbieter, die Impfungen durchführen, das sind Angehörige des ärztlichen Berufes, Amtsärzte und Amtsärztinnen, einschließlich Militärärzte und Militärärztinnen, diplomierte Gesundheits- und Krankenpflegepersonen und Hebammen, und die Gesundheitsdiensteanbieter, die Antikörpertests auswerten, das sind Labore,

- öffentliche Apotheken,

- der Landeshauptleute der einzelnen Länder und die Bezirksverwaltungsbehörden,

- der:die für das Gesundheitswesen zuständige Bundesminister:in sowie

- die ELGA GmbH.

Weitere Empfänger der im zentralen Impfregister gespeicherten Daten sind die jeweiligen allfälligen Auftragsverarbeiter.

Speicherdauer (Art-29-Datenschutzgruppe, WP 248, 21):

Die lebenslange Speicherung bis zum Sterbedatum ist nötig, weil manche Impfungen bzw. das Durchmachen gewisser impfrelevanter Vorerkrankungen eine lebenslange Immunisierung bewirken. Die Aufbewahrungsdauer von weiteren 10 Jahren nach Sterbedatum ist nötig, weil die Durchimpfungsraten auch für vorangegangene Jahre bestimmt und die Impfdaten daher so lange im zentralen Impfregister benötigt werden. Diese Aufbewahrungsdauer ist darüber hinaus im Hinblick auf die (Primär-) Dokumentation im zentralen Impfregister geboten. Spätestens 120 Jahre nach der Geburt eines:einer Bürgers:Bürgerin sind die Daten aber jedenfalls zu löschen.

Gemäß § 24c Abs. 8 Z 2 in Verbindung mit § 28b Abs. 2 Z 9 lit. b GTelG 2012 hat der:die für das Gesundheitswesen zuständige Bundesminister:in für Antikörperbestimmungen eine kürzere Löschfrist vorzusehen, wenn dies medizinisch indiziert ist. Es handelt sich hierbei um Antikörperbestimmungen, deren Nachweis keine lebenslange Immunität bewirkt.

Impferinnerungen sind 1 Jahr nach dem vorgeschlagenen Impftermin zu löschen.

Funktionelle Beschreibung der Verarbeitung (Art. 35 Abs. 7 lit. a DSGVO):

Verarbeitungen durch die Gesundheitsdiensteanbieter gemäß § 24c und § 24e:

- Impfungen speichern: Für das Speichern von Impfdaten ist eine gültige Authentifizierung erforderlich. Der Verarbeitungsvorgang beginnt mit der Erfassung der Impfdaten (z. B. des Impfstoffs) und endet mit der Speicherung dieser Daten im Impfregister. Die Datenerfassung kann sowohl manuell, als auch automatisiert mittels Scanner erfolgen, der den Code auf der Verpackung des Impfstoffes erfasst. Das Speichern einer Impfung ist namentlich zu protokollieren.

- Antikörperbestimmungen, besondere Impfindikatoren und impfrelevante Vorerkrankungen speichern: Für das Speichern dieser Angaben ist eine gültige Authentifizierung erforderlich. Der Verarbeitungsvorgang orientiert sich an der oben geschilderten Vorgehensweise. Das Speichern dieser Angaben ist namentlich zu protokollieren.

- Impfungen nachtragen: Beim Nachtragen handelt es sich um eine nachträgliche Speicherung von Impfungen (zur Speicherung siehe oben). Eine Nachtragung erfolgt entweder aufgrund einer gesetzlichen Verpflichtung (vgl. etwa § 24c Abs. 5 Z 3 GTelG 2012) oder beispielsweise, weil Impfungen im Ausland verabreicht wurden oder nur in einem Papierimpfpass dokumentiert wurden.

- Impfungen vidieren: Vidiert werden können Impfungen, die von den Bürger:inne:n selbst eingetragen wurden. Bei der Vidierung werden die Markierung, mit denen die selbsteingetragenen Impfungen gekennzeichnet sind, entfernt.

- Impfeinträge berichtigen: Berichtigung der Impfeinträge können entweder in Form einer Aktualisierung oder in Form einer Stornierung erfolgen. Bei einer Aktualisierung handelt es sich um die Berichtigung im engen Sinne, also um eine Änderung des Impfeintrages; dabei wird die ursprünglich gespeicherte Impfung (Datensatz) nicht aus dem zentralen Impfregister gelöscht, sondern eindeutig als ungültige Vorversion gekennzeichnet. Gemäß § 24e Abs. 4 GTelG 2012 dürfen bereits im zentralen Impfregister gespeicherte Daten von den Gesundheitsdiensteanbietern nicht gelöscht werden, weil die Speicherung im zentralen Impfregister auch die jeweilige berufsrechtliche Dokumentationspflicht erfüllt und daher die Abrufbarkeit auch der stornierten Daten im Sinne des Art. 9 Abs. 2 lit. f DSGVO erforderlich ist. Stornierte Impfungen werden nicht aus dem zentralen Impfregister gelöscht, sondern eindeutig als storniert gekennzeichnet und nur dem Gesundheitsdiensteanbieter, der die Daten gespeichert hat, und der betroffenen Person, die sie betreffen, angezeigt.

- Impfungen löschen: Ein aktives Löschen durch die Gesundheitsdiensteanbieter oder durch die Bürger:innen ist nicht vorgesehen (siehe oben).

Beschreibung der Anlagen (Hard- und Software bzw. sonstige Infrastruktur, Art-29-Datenschutzgruppe, WP 248, 21):

Typischerweise werden die bei den einzelnen Gesundheitsdiensteanbietern konkret zum Einsatz kommenden Hard- und Softwaresysteme nicht gesetzlich geregelt, weshalb eine Beschreibung im Rahmen einer gemäß Art. 35 Abs. 10 DSGVO vorweggenommenen Datenschutz-Folgenabschätzung nicht möglich ist. Die Gesundheitsdiensteanbieter haben jedoch die Maßnahmen gemäß Art. 25 DSGVO und die Datensicherheitsmaßnahmen gemäß den 2. Abschnitt des GTelG 2012 einzuhalten. Die Datensicherheitsmaßnahmen im 2. Abschnitt des GTelG 2012 stellen eine Konkretisierung des Art. 32 DSGVO dar, die aufgrund der Öffnungsklausel in Art. 9 Abs. 4 zulässig ist.

Für die eHealth-Anwendung Elektronischer Impfpass werden die ELGA-Komponenten gemäß § 24 Abs. 3 GTelG 2012 mit folgender Maßgabe genutzt (vgl. § 24f GTelG 2012):

- der Patient:inn:enindex (§ 18 GTelG 2012) zur Überprüfung der eindeutigen Identität der Bürger:innen, wobei die Überprüfung der eindeutigen Identität der Bürger:innen nicht länger als 28 Tage zurückliegen darf;

- der Gesundheitsdiensteanbieterindex (§ 19 GTelG 2012) zur Überprüfung der eindeutigen Identität von Gesundheitsdiensteanbietern gemäß § 24d Abs. 1 Z 1 GTelG 2012;

- das Berechtigungssystem (§ 21 GTelG 2012) zur Verwaltung der spezifischen Zugriffsberechtigungen und Steuerung der Zugriffe. Die spezifischen Zugriffsberechtigungen sind in § 24f Abs. 4 GTelG 2012 dargelegt.

- das Protokollierungssystem (§ 22 GTelG 2012) zur Dokumentation und Nachvollziehbarkeit der Verarbeitung der im zentralen Impfregister gespeicherten Daten unter sinngemäßer Anwendung des § 22 Abs. 3 bis 6 GTelG 2012, wobei gemäß Art. 32 DSGVO Datum und Zeit der Verarbeitung, die eindeutige Protokoll-Transaktionsnummer, die Art des Verarbeitungsvorgangs, die Abfragekriterien, die Fehlermeldungen bei sonstigen Abfragen, wenn sie zu Fehlermeldungen führen, die eindeutige elektronische Identität des Gesundheitsdiensteanbieters, der den Vorgang ausgelöst hat, der Name der natürlichen Person, die die im zentralen Impfregister gespeicherten Daten tatsächlich verarbeitet hat, die eindeutige Kennung der im zentralen Impfregister gespeicherten Daten zu protokollieren sind;

- das Zugangsportal (§ 23 GTelG 2012) zur zusammenfassenden Darstellung der im zentralen Impfregister gespeicherten Daten für Bürger:innen.

BEWERTUNG

der Notwendigkeit und Verhältnismäßigkeit

Festgelegter, eindeutiger und legitimer Zweck (Art. 5 Abs. 1 lit. b DSGVO):

Die Zwecke, zu denen die im zentralen Impfregister gespeicherten Daten personenbezogen verarbeitet werden dürfen, sind in § 24d Abs. 2 GTelG 2012 aufgezählt. Diese sind

- die zusammenfassende Darstellung der im zentralen Impfregister gespeicherten Daten,

- die Darstellung persönlicher Impfkalender auf Basis der im zentralen Impfregister gespeicherten Daten und des jeweils aktuellen Impfplans Österreich,

- die Erinnerung an empfohlene Impfungen gemäß dem jeweils aktuellen Impfplan Österreich auf Basis der im zentralen Impfregister gespeicherten Daten,

- das Krisenmanagement, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten gemäß § 1 EpiG, als auch im Rahmen der Pharmakovigilanz,

- die Abrechnung im Rahmen von Impfprogrammen,

- die Wahrnehmung der Rechte der Bürger:innen gemäß § 24e GTelG 2012 sowie

- das Datenqualitätsmanagement gemäß § 24i Abs. 1 Z 2 GTelG 2012.

Diese angegebenen Zwecke sind von

- Art. 9 Abs. 2 lit. g DSGVO („erhebliches öffentliches Interesse“),

- Art. 9 Abs. 2 lit. i DSGVO („öffentliches Interesse im Bereich der öffentlichen Gesundheit“) sowie

- Art. 9 Abs. 2 lit. j DSGVO („statistische Zwecke“) gedeckt und durch

- Art. 9 Abs. 2 lit. h DSGVO (Verarbeitung im Gesundheits- und Sozialbereich) gerechtfertigt.

Das erhebliche öffentliche Interesse an der Verwendung des eImpfpasses ist nicht nur dadurch gerechtfertigt, dass Schutzimpfungen zu den wichtigsten und wirksamsten präventiven Maßnahmen gehören, die in der Medizin zur Verfügung stehen und sie sohin eine der effektivsten Public Health Maßnahmen darstellen, sondern auch dadurch, dass Durchimpfungsraten der Bevölkerung besser bestimmt werden können. Durchimpfungsraten sind ein essentieller Indikator dafür, wie gut primär präventive Maßnahmen in einem Gesundheitssystem verankert sind und geben Auskunft darüber, wie die Gesundheitsversorgung einer Bevölkerung beschaffen ist. Nur mit dieser Information ist es möglich, gegebenenfalls erforderliche Maßnahmen zu setzen, um die Durchimpfungsraten gezielt zu heben.

Der Nutzen eines eImpfpasses zur Erhöhung von Durchimpfungsraten wurde in zahlreichen wissenschaftlichen Publikationen beschrieben (Crowcroft et al, Registries: An essential tool for maximising the health benefits of immunisation in the 21st century, Euro Surveill 2017, 22 (17); Derrough et al, Immunisation Information Systems – useful tools for monitoring vaccination programmes in EU/EEA countries, 2016, Euro Surveill 2017; Groom, et al, Immunization Information Systems to Increase Vaccination Rates: A Community Guide Systematic Review, J Public Health Management Practice, 2015, 21(3), 227–248) und wird von internationalen Gesundheitsorganisationen sowie medizinischen Fachgesellschaften (etwa der American Academy of Pediatrics, Immunization Reminder & Recall Systems https://www.aap.org/en-us/Documents/immunization_reminderrecall.pdf) regelmäßig empfohlen: So wurde im Rahmen der „Schlussfolgerungen des Rates der Europäischen Union zum Impfschutz von Kindern“ aus dem Jahr 2011 mehrfach gefordert, Informationssysteme und Impfregister einzuführen bzw. weiterzuentwickeln, um Impfprogramme besser überwachen zu können und den Informationsaustausch zwischen Impfstellen zu erleichtern. Die Entwicklung eines elektronischen Impf-Erfassungssystems war auch eine der Empfehlungen der WHO nach deren Site-Visit im Jahr 2015.

Überdies wurde mehrfach zur Erreichung der Eliminations- und Eradikations-Ziele die Einführung eines Elektronischen Impfregisters empfohlen; so zum Beispiel im Rahmen einer Vor-Ort-Evaluation der österreichischen Situation im Rahmen eines Masern-Ausbruchsgeschehens 2008 durch das ECDC (Strauss/Kreidl/Muscat et al, The measles situation in Austria: a rapid risk assessment by an ECDC Team and the outcome of an international meeting in Vienna, Austria. In: Eurosurveillance 13/17) und im Nationalen Aktionsplan Masern-/Röteln-Elimination (vgl Ziel 4, Elektronische und personenbezogene Impferfassung https://www.sozialministerium.at/cms/site/attachments/8/1/7/CH4054/CMS13667156944
31/nap_masernroeteln_kurzfassung_23052013_0fehler.pdf).

Rechtmäßigkeit der Verarbeitung (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 6 DSGVO):

Die Verarbeitung der Daten gemäß § 24c zu den in § 24d Abs. 2 GTelG 2012 genannten Zwecken erfüllt ein erhebliches öffentliches Interesse (vgl. § 24b GTelG 2012; siehe dazu bereits oben). Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 9 Abs. 2 lit. g bis j DSGVO.

Angemessenheit der Verarbeitung (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 lit. c DSGVO):

Die Verwendung des eImpfpass erfüllt ein erhebliches öffentliches Interesse gemäß Art. 9 Abs. 2 lit. g bis lit. j DSGVO. Die Regelungen über die Speicherung der Daten im zentralen Impfregister dienen der Verwirklichung der in § 24b GTelG 2012 genannten Ziele durch die in § 24d Abs. 2 GTelG 2012 genannten Funktionen (Zwecke).

In Österreich gibt es derzeit Impfungen gegen 23 Krankheitserreger, wovon lediglich vier Erreger nicht von Mensch zu Mensch übertragbar sind. Bei diesen vier nicht von Mensch zu Mensch übertragbaren Krankheiten handelt es sich um FSME (Frühsommer-Meningoenzephalitis), Gelbfieber, Japanische Enzephalitis und Tetanus. FSME und Gelbfieber sind gemäß § 1 EpiG anzeigepflichtig, ebenso die Japanische Enzephalitis als virusbedingte Meningoenzephalitis. Durch die bestehende Anzeigepflicht ist implizit, dass es sich um schwere Erkrankungen handelt (FSME führte beispielsweise 2018 in fünf Fällen zum Tod) und das öffentliche Interesse an einer lückenlosen digitalen Dokumentation von dagegen verabreichten Impfungen umso erheblicher ist. Aufgrund der Schwere dieser Krankheiten wäre die Ungleichbehandlung von Impfungen gegen diese Krankheiten einerseits, und Impfungen gegen von Mensch zu Mensch übertragbare Krankheiten andererseits sachlich nicht gerechtfertigt.

Es bestehen sohin keine Impfungen, für die eine verpflichtende, lückenlose und personenbezogene Erfassung für die mit dem eImpfpass verfolgten Ziele und Zwecke nicht erforderlich wäre.

Gegen den eImpfpass besteht deswegen kein Widerspruchsrecht der Bürger:innen, sondern andere angemessene und spezifischen Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Personen.

Zur Notwendigkeit der Verarbeitung der in § 24c Abs. 2 GTelG 2012 genannten Angaben siehe unten.

Erheblichkeit der Verarbeitung (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 lit. c DSGVO):

Die Verarbeitung der Daten ist erheblich, weil die Einführung eines zentralen Impfregisters und die damit verbundene Speicherung der Impfdaten in personenbezogener Form conditio sine qua non für sämtliche Zwecke iSd § 24d Abs. 2 GTelG 2012 und somit auch die in § 24b GTelG 2012 genannten, im erheblichen öffentlichen Interesse liegenden Ziele ist:

Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Impfdaten personenbezogen ausschließlich zu den in § 24d Abs. 2 genannten Zwecken verarbeitet werden dürfen.

Eine Verarbeitung ohne Personenbezug wäre zur Erreichung der einzelnen angestrebten Ziele undenkbar: Denn wenn ein personenbezogen ausgestellter Papierimpfpass durch eine idente, elektronische Version ersetzt werden soll, so wäre jede andere Lösung als die Verknüpfung von medizinischen Inhaltsdaten einerseits mit dem entsprechenden Personenbezug andererseits nicht nur zur Zweckerreichung völlig ungeeignet, sondern im Extremfall sogar lebensbedrohlich.

Das daher zu verwendende bPK-GH ist gemäß Art. 4 Z 1 DSGVO ein (pseudonymisiertes) personenbezogenes Datum. Durch die gesetzliche Einschränkung, dass nur bestimmte Akteure nur für bestimmte Zwecke zur Verwirklichung bestimmter Ziele nur auf die dafür jeweils notwendigen personenbezogenen Daten zugreifen dürfen, wird das hiefür jeweils gelindeste Mittel gewählt.

Beschränktheit der Verarbeitung auf das notwendige Maß (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 lit. c DSGVO):

Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Impfdaten personenbezogen ausschließlich zu den in § 24d Abs. 2 GTelG 2012 genannten Zwecken verarbeitet werden dürfen.

Die zu speichernden Angaben, nämlich zum Impfstoff, zur verabreichten Impfung, zum:zur Bürger:in (Impfling) sowie zum impfenden bzw. speichernden Gesundheitsdiensteanbieter, sind als Datenkategorien abschließend im Gesetz aufgezählt.

Gemäß § 24c Abs. 2 und 3 GTelG 2012 sind folgende Angaben im zentralen Impfregister zu speichern:

- zum Impfstoff: Die zu speichernden Angaben zum Impfstoff umfassen als wichtigstes Element die Klassifikation des Impfstoffes, also dessen Zuordnung zu einer Krankheit bzw. einem Erreger, sowie weiters den Handelsnamen, die Hersteller- und Zulassungsdaten, die Chargennummer und das Verfallsdatum. Auf der Zuordnung eines Impfstoffes zu einer Krankheit oder einem Erreger basiert die Information für sowohl Bürger:innen als auch Gesundheitsdiensteanbieter, welcher Impfstoff gegen welche Erkrankung schützt. Weiters anzugeben ist die Serialisierungsnummer aufgrund der Richtlinie 2011/62/EU, die einen wichtigen Beitrag dazu leistet, dass keine gefälschten Arzneimittel in Umlauf kommen oder vertrieben werden; dabei erhalten alle Medikamente eine Serialisierungsnummer, welche das Produkt gemeinsam mit dem Verfallsdatum und der Chargennummer eindeutig identifizierbar macht. Diese Nummer ist auf den Impfstoffpackungen sowie auf allen anderen Medikamentenpackungen automatisch mit Einlesen des Barcodes verfügbar und wird erfasst. Sie kann zusätzlich zur Patient:inn:ensicherheit beitragen, um zu gewährleisten, dass echte Medikamente verabreicht werden und keine Arzneimittelfälschungen. Als Angabe zum Impfstoff gilt auch die Pharmazentralnummer, eine nationale Nummer, die je Arzneimittel, somit auch für Impfstoffe, eindeutig vergeben wird und dabei hilft, die Handelsform eindeutig zu identifizieren. Sie ist wichtig für den Handel und zahlreiche weitere logistische Aspekte in Zusammenhang mit Impfungen. Ebenfalls anzugeben ist die Anatomisch-Therapeutisch-Chemische Zuordnung (ATC-Code) zu einem Impfstoff. Dabei handelt es sich um ein international anerkanntes System, in dem Arzneimittel Wirkstoffgruppen zugeordnet werden;

- zur verabreichten Impfung: Die Angaben zur verabreichten Impfung umfassen das Datum der Verabreichung, außerdem die verabreichte Dosierung (Menge) des Impfstoffes, da in manchen Anwendungsfällen die Verabreichung einer reduzierten Menge an Impfstoff indiziert ist (so etwa bei der Impfung von Kindern gegen beispielsweise Japanische Enzephalitis die halbe Erwachsenenmenge). Von der Dosierung zu unterscheiden und ebenfalls zu speichern ist die verabreichte Dosis, worunter die Angabe zu verstehen ist, um die wievielte, gemäß Impfschema chronologisch verabreichte Impfung es sich handelt, was durch einen Vermerk betreffend die Grundimmunisierung, Teilimpfung oder Auffrischung zu erfolgen hat. Der allfällige Vermerk, um welche Teilimpfung (der Grundimmunisierung oder Auffrischungsimpfung) es sich handelt, ist für die Fachlogik des eImpfpasses essentiell, um korrekte Impfintervalle berechnen und ausgeben zu können. So sind beispielsweise die Intervalle zwischen Impfungen im Rahmen der Grundimmunisierung andere als Impfintervalle zwischen einzelnen Auffrischungsimpfungen. Da für zahlreiche Impfungen mehrere verschiedene Impfschemata (z. B. Schnellimpfschemata) zur Verfügung stehen, ist für die korrekte Berechnung und Anzeige der korrekten Impfempfehlung gegebenenfalls auch die Angabe zum angewandten Impfschema erforderlich. Basierend auf den nationalen Impfempfehlungen werden im eImpfpass automatisch allgemeine Impfempfehlungen in Form einer Impfempfehlung als nächster Impftermins unter Berücksichtigung von Vorimpfungen angezeigt. Auf Grund individueller Gegebenheiten können persönliche, vom verantwortlichen Gesundheitsdiensteanbieter angepasste Impfempfehlungen erforderlich werden, welche jedoch von den allgemeinen Impfempfehlungen abweichen können, beispielsweise bei vorliegenden Antikörperbestimmungen. In solchen Fällen ist die entsprechende Impfempfehlung im eImpfpass zusätzlich zu vermerken. Zahlreiche Impfungen werden im Rahmen von Impfprogrammen, wie zum Beispiel dem kostenfreien Impfprogramm der öffentlichen Hand, oder im Rahmen von regionalen/lokalen Impfaktionen der Länder, durchgeführt und unterliegen daher teilweise anderen Abrechnungsbedingungen. Die allfällige Zuordnung zu solchen Impfprogrammen ist daher zu Abrechnungszwecken wichtig und hat zu erfolgen durch etwa die Angabe des Ortes der Impfung (sofern dieser außerhalb der Berufsadresse liegt, wie z. B. in Schule oder Kaserne) und weitere abrechnungsrelevante Angaben (d.h. ob die Impfung mit einem Bundesland abgerechnet werden kann und etwa Angabe der Nummern von Impfgutscheinen). Dies kann zukünftig ersetzen, dass beispielsweise Impfungen des kostenfreien Impfprogramms händisch und einzeln abgerechnet werden müssen, was einen enormen Zeit- und Ressourcenaufwand bedeutet und zusätzlich eine einfach vermeidbare Fehlerquelle ist, die somit ausgeschaltet wäre;

- zur:zum Bürger:in: Die Angaben zum:zur Bürger:in umfassen neben Namen, Geburtsdatum, Geschlecht und Wohnadresse auch Angaben zur Erreichbarkeit des Impflings (wie z. B. E-Mail-Adresse und Telefonnummer zur Unterstützung der Erinnerungsfunktion gemäß § 24d Abs. 2 Z 3 GTelG 2012) und die Sozialversicherungsnummer (diese wird zur Abrechnungszwecken im Zusammenhang mit Impfprogrammen, also in einem Bereich, der der Ingerenz der Sozialversicherung unterliegt, benötigt). Falls gegenüber dem:der impfenden Arzt oder Ärztin nicht der:die Bürger:in selbst sondern dessen:deren Vertreter:in handelt, so ist auch diese Angabe zu speichern, wobei hiefür sämtliche zivilrechtliche Vertretungsarten in Betracht kommen. Darüber hinaus umfasst sind Identifikatoren des Impflings wie das bereichsspezifische Personenkennzeichen Gesundheit (bPK-GH) und der Gemeindecode. Ebenfalls anzugeben sind auch Antikörperbestimmungen, um festzustellen, wie die Immunitätslage (= Abwehrlage) hinsichtlich einer bestimmten Erkrankung des Körpers ist. So können Antikörperbestimmungen einerseits zum Nachweis oder Ausschluss des Durchmachens einer Infektionskrankheit dienen, andererseits zum Nachweis oder Ausschluss schützender Antikörper gegen eine Infektionskrankheit nach Impfung. Ein Beispiel für Antikörperbestimmungen wäre klassischerweise die Bestimmung von Antikörpern gegen Hepatitis B. Diese wird bei Indikationsgruppen wie Gesundheitspersonal durchgeführt, weil ein gewisser Prozentsatz der Bevölkerung nicht oder vermindert auf die Hepatitis B-Impfung anspricht. Der Wert der Antikörperbestimmung ist ausschlaggebend dafür, wie die nächste Impfempfehlung lautet und hat somit unmittelbare Auswirkungen auf eventuelle Impferinnerungen. Um eine Verwertbarkeit der Einträge zur Antikörperbestimmung sicherzustellen, müssen diese sowohl das Untersuchungsdatum (welches nicht notwendigerweise dem Speicherdatum entspricht) als auch Angaben zur Bewertung und Interpretation des Antikörpers enthalten. Die Angaben zum Impfling umfassen weiters impfrelevante Vorerkrankungen: Das Durchmachen von gewissen Viruserkrankungen, wie beispielsweise Hepatitis A, FSME, Masern oder Varizellen, verursacht eine lebenslange Immunität. Somit ist nach der Erkrankung keine Impfung mehr notwendig und indiziert. Solch impfrelevante Vorerkrankungen müssen angegeben werden, damit das System die entsprechende Information hat, dass für durchgemachte Erkrankungen keine entsprechenden Impf-Erinnerungen mehr erfolgen. Im Gegensatz dazu ist die Impf-Erinnerung in derartigen Fällen besonders wichtig, wenn die Erkrankungen nicht durchgemacht wurden, weil sie mit zunehmendem Alter schwerer verlaufen. In diesem Zusammenhang muss zudem berücksichtigt werden, dass diese Information für die sinnvolle Berechnung von Durchimpfungsraten essentiell ist: Selbstverständlich müssen Personen, welche Masern mittels Antikörperbestimmung nachweislich durchgemacht haben, nicht gegen Masern geimpft werden. Wenn diese Personengruppe bei der Berechnung von Durchimpfungsraten jedoch nicht berücksichtigt wird, so wird man niemals ein tatsächliches Abbild der Immunitätslage der Bevölkerung gegen eine gewisse Infektionskrankheit bekommen und es wird schwierig zu beurteilen, wie es um den Schutzzustand steht und ob Maßnahmen notwendig sind oder nicht. Um bei der automatischen Anzeige von künftigen oder ausstehenden Impfterminen auch spezifische Risikogruppen, die zu einer speziellen Impfindikationen führen, berücksichtigen zu können, soll außerdem gespeichert werden, wenn der Impfling besondere Impfindikationen aufweist (z. B. Tollwut-Impfung für Veterinärmediziner:innen, Auffrischung der Hepatitis B-Impfung für medizinisches Personal, etc.);

- zum impfenden bzw. speichernden Gesundheitsdiensteanbieter: Schließlich umfasst die Speicherpflicht die Angaben zum impfenden bzw. speichernden Gesundheitsdiensteanbieter, wobei das Erfordernis der Angabe zur Berufsadresse an die jeweils einschlägigen berufsrechtlichen Vorgaben (z. B. §§ 45 ff ÄrzteG 1998) anknüpft. Durch den zusätzlichen Verweis auf speichernde Gesundheitsdiensteanbieter sollen auch jene Fälle mitumfasst werden, in welchen die Speicherung nicht durch den impfenden Gesundheitsdiensteanbieter erfolgt (dies betrifft zum Beispiel den nachtragenden oder vidierenden Gesundheitsdiensteanbieter sowie die Gesundheitsdiensteanbieter, die Antikörpertests auswerten).

Speicherbegrenzung (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 lit. e DSGVO):

Gemäß § 24c Abs. 8 Z 1 GTelG 2012 sind die im zentralen Impfregister gespeicherten Daten zu Impfungen und impfrelevanten Vorerkrankungen von dem:der für das Gesundheitswesen zuständigen Bundesminister:in 10 Jahre nach Sterbedatum, spätestens jedoch 120 Jahre nach der Geburt des:der Bürger:in zu löschen. Gemäß § 24c Abs. 8 Z 2 in Verbindung mit § 28b Abs. 2 Z 9 lit. b GTelG 2012 hat der:die für das Gesundheitswesen zuständige Bundesminister:in für Antikörperbestimmungen eine kürzere Löschfrist vorzusehen, wenn dies medizinisch indiziert ist.

Impferinnerungen sind 1 Jahr nach dem vorgeschlagenen Impftermin zu löschen.

Generelle Information der betroffenen Personen (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 12 DSGVO):

Gemäß § 24c Abs. 1 GTelG 2012 in Verbindung mit Art. 4 Z 7 und Art. 26 DSGVO sind

- der:die für das Gesundheitswesen zuständige Bundesminister:in,

- die Gesundheitsdiensteanbieter, die Impfungen durchführen,

- die Gesundheitsdiensteanbieter, die Antikörperbestimmungen auswerten,

- öffentliche Apotheken,

- die Landeshauptleute,

- die Bezirksverwaltungsbehörden sowie

- die ELGA GmbH unter den Voraussetzungen des § 27 Abs. 17 Z 1 GTelG 2012

gemeinsame Verantwortliche. Sie dürfen die im zentralen Impfregister gespeicherten Daten gemeinsam entsprechend ihrer in § 24f Abs. 4 GTelG 2012 festgelegten spezifischen Zugriffsberechtigungen nach den Grundsätzen gemäß § 24d Abs. 1 GTelG 2012 und zu den Zwecken gemäß § 24d Abs. 2 GTelG 2012 verarbeiten.

Die Aufteilung der Pflichten gemäß Art. 26 DSGVO findet sich in § 24i GTelG 2012: Gemäß dessen Abs. 2 hat der:die für das Gesundheitswesen zuständigen Bundesminister:in die betroffenen Personen gemäß Art. 13 DSGVO in geeigneter Weise zu informieren. Außerdem sind die Bürger:innen gemäß § 24e Abs. 1 GTelG 2012 von dem:der für das Gesundheitswesen zuständigen Bundesminister:in in geeigneter Weise über die ihnen zustehend Rechte sowie über jene Rechte des 3. Kapitels der DSGVO, die den Bürger:innen nicht zustehen, zu informieren.

Information der betroffenen Personen bei Erhebung (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO):

Gemäß § 24i Abs. 2 GTelG 2012 obliegt dem:der für das Gesundheitswesen zuständigen Bundesminister:in die Pflicht zur Information der betroffenen Personen gemäß Art. 13 in geeigneter Weise. Der:Die für das Gesundheitswesen zuständigen Bundesminister:in informiert die betroffenen Personen sohin

- über das Bestehen einer gemeinsamen Verantwortlichkeit sowie der Kontaktdaten seiner:ihrer Datenschutzbeauftragten,

- die Zwecke, für welche die personenbezogenen Daten verarbeitet werden sollen, und die Rechtsgrundlage für die Verarbeitung,

- die Empfänger:innen oder Kategorien von Empfänger:inne:n der personenbezogenen Daten,

- die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,

- darüber, welche Rechte den betroffenen Personen zustehen bzw. nicht zustehen (vgl. § 24e Abs. 1 GTelG 2012),

- über das Beschwerderecht bei der Datenschutzbehörde.

Die Gesundheitsdiensteanbieter, in deren berufsrechtlichen Verantwortung Impfungen durchgeführt werden, haben die betroffenen Personen auf die von dem:der für das Gesundheitswesen zuständigen Bundesminister:in zur Verfügung gestellten Datenschutzinformation in geeigneter Weise hinzuweisen.

Information der betroffenen Personen, wenn die Daten nicht bei ihnen erhoben werden (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO):

Der eImpfpass ist ein System der ungerichteten Kommunikation, das heißt, die Daten werden nicht (gerichtet) von A nach B übermittelt, sondern von A über eine Zwischeninstanz allen berechtigten Personen (vgl. § 24f Abs. 4 GTelG 2012) zur Verfügung gestellt.

Der Anwendungsfall von Art. 14 DSGVO wäre sohin eröffnet, wenn etwa ein Gesundheitsdiensteanbieter auf die bereits gespeicherten Impfdaten einer betroffenen Person zugreift, um deren Impfstatus zu überprüfen. Art. 14 DSGVO kommt dennoch nicht zur Anwendung, denn Art. 14 Abs. 5 DSGVO bestimmt in seinen lit. c und lit. d Ausnahmen von der Informationspflicht, wenn und soweit die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist (lit. c) oder die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen (lit. d). Beides ist hier der Fall: Einerseits ist die Erlangung oder Offenlegung durch Rechtsvorschriften der Mitgliedstaaten geregelt (vgl. die spezifischen Zugriffsberechtigungen in § 24f Abs. 4 GTelG 2012), andererseits unterliegen auch sämtliche zugriffsberechtigte Gesundheitsdiensteanbieter dem Berufs- oder Amtsgeheimnis.

Art. 14 DSGVO ist sohin aufgrund der in seinem Abs. 5 lit. c und d normierten Ausnahmen nicht anzuwenden.

Auskunftsrecht der betroffenen Person und Recht auf Datenübertragbarkeit (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 15 und 20 DSGVO):

Gemäß § 24e Abs. 3 in Verbindung mit § 24i Abs. 6 GTelG 2012 ist das Recht auf Auskunft über die im zentralen Impfregister gespeicherten Daten von den Bürger:innen gegenüber dem:der für das Gesundheitswesen zuständigen Bundesminister:in im Wege der eHealth-Servicestelle wahrzunehmen. Wenn die betroffene Person eine Datenkopie begehrt (Art. 15 Abs. 3 DSGVO), so ist ihr diese von der eHealth-Servicestelle neben den Informationen gemäß Art. 15 Abs. 1 lit. a bis h DSGVO zur Verfügung zu stellen.

Gemäß ErwG 63 DSGVO soll der Verantwortliche nach Möglichkeit einen Fernzugang zu einem sicheren System bereitstellen, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglicht. Diesen Fernzugang stellt das Zugangsportal (§ 23 GTelG 2012) dar, über das die betroffenen Personen ebenfalls ihr Auskunftsrecht wahrnehmen können. Eine Datenkopie ist im Zugangsportal in Form eines ausdruckbares PDFs zur Verfügung zu stellen und die Informationen gemäß Art. 15 Abs. 1 lit. a bis h DSGVO sind in geeigneter Weise bereitzuhalten.

Für die „Mein eImpfpass“-App wird erforderlichenfalls eine eigene Datenschutz-Folgenabschätzung durchgeführt werden.

Gemäß Art. 20 Abs. 1 lit. a DSGVO ist eine der Voraussetzungen des Rechts auf Datenübertragbarkeit, dass die Verarbeitung auf einer Einwilligung (Art. 6 Abs. 1 lit. a oder Art. 9 Abs. 2 lit. a DSGVO) oder auf einem Vertrag (Art. 6 Abs. 1 lit. b DSGVO) beruht. Keine der Verarbeitungstätigkeiten im Zusammenhang mit dem zentralen Impfregister erfüllt diese Voraussetzungen.

Zwischen dem Gesundheitsdiensteanbieter und der betroffenen Person kommt zwar regelmäßig ein Behandlungsvertrag zu Stande, allerdings erfolgt die Speicherung der Impfdaten im zentralen Impfregister nicht aufgrund des Behandlungsvertrags, sondern aufgrund der in § 24c Abs. 2 GTelG 2012 normierten rechtlichen Verpflichtung; ErwG 68 DSGVO stellt klar, dass Art. 20 DSGVO nicht gelten soll, wenn die Verarbeitung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung erfolgt. Die Verwendung des eImpfpasses erfüllt außerdem ein öffentliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j DSGVO und Art. 20 Abs. 3 DSGVO normiert explizit, dass das Recht auf Datenübertragbarkeit nicht für eine Verarbeitung gilt, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt.

Recht auf Berichtigung und Löschung (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 16, 17 und 19 DSGVO):

Gemäß § 24e Abs. 5 GTelG 2012 wird das Recht auf Löschung gemäß Art. 17 DSGVO gemäß Art. 23 Abs. 1 lit. e DSGVO im Sinne des § 24c Abs. 8 beschränkt:

Impferinnerungen sind 1 Jahr nach dem vorgeschlagenen Impftermin zu löschen.

Gemäß § 24e Abs. 4 GTelG 2012 ist das Recht auf Berichtigung (Art. 16 DSGVO) von den Bürger:innen gegenüber dem jeweiligen Gesundheitsdiensteanbieter gemäß § 24c Abs. 4 wahrzunehmen, in dessen berufsrechtlichen Verantwortung eine Impfung verabreicht wurde, der eine Impfung vidiert hat oder der eine Antikörperbestimmung, eine besondere Impfindikation oder eine impfrelevante Vorerkrankung im zentralen Impfregister gespeichert hat. Treten Umstände hervor, die unter Berücksichtigung der jeweiligen Berufspflichten (z. B. § 49 Abs. 1 ÄrzteG 1998) eine Berichtigung der im zentralen Impfregister gespeicherten Daten erfordern, sind diese vom Gesundheitsdiensteanbieter, der diese Daten gespeichert hat, in Form einer Aktualisierung oder Stornierung zu berichtigen. Sowohl bei der Aktualisierung als auch bei der Stornierung handelt es sich um eine Berichtigung im Sinne des Art. 16 DSGVO: Die Aktualisierung dient dazu, einzelne zu einer Impfung gespeicherte Angaben zu korrigieren, während die Stornierung zur Anwendung gelangt, wenn eine gespeicherte Impfung tatsächlich gar nicht verabreicht oder einem:einer falschen Bürger:in zugeordnet wurde. In beiden Fällen wird die ursprünglich gespeicherte Impfung nicht gelöscht, aber stornierte Daten werden nur dem speichernden Gesundheitsdiensteanbieter und der Person, die die Daten betreffen, angezeigt.

Im Falle der Nicht-Verfügbarkeit eines Gesundheitsdiensteanbieters, etwa bei dessen Ableben oder Pensionierung, können sich betroffene Personen für die Berichtigung auch an eine:n Amtsarzt:Amtsärztin wenden.

Die betroffene Person kann sich gemäß § 24e Abs. 8 GTelG 2012 mit Informationen oder Beschwerden über fehlende Einträge oder über Fehler der im zentralen Impfregister gespeicherten Daten an die eHealth-Servicestelle (§ 24i GTelG 2012) wenden. Berichtigungen im zentralen Impfregister dürfen von der eHealth-Servicestelle selbst nicht vorgenommen werden, werden von dieser aber veranlasst.

Im Zusammenspiel mit § 24e GTelG 2012 stehen den Bürger:innen für die Berichtigung ihrer im zentralen Impfregister gespeicherter Daten sohin folgende Wege offen:

- Wahrnehmung des Rechts auf Berichtigung gemäß Art. 16 DSGVO in Verbindung mit § 24e Abs. 4 GTelG 2012 gegenüber dem Gesundheitsdiensteanbieter, in dessen berufsrechtlichen Verantwortung eine Impfung verabreicht wurde, der eine Impfung vidiert hat oder der eine Antikörperbestimmung, eine besondere Impfindikation oder eine impfrelevante Vorerkrankung im zentralen Impfregister gespeichert hat;

- Wahrnehmung des Rechts auf Berichtigung gemäß Art. 16 DSGVO in Verbindung mit § 24e Abs. 4 GTelG 2012 bei einem:einer Amtsarzt:Amtsärztin bei Nichtverfügbarkeit des Gesundheitsdienstanbieters, in dessen berufsrechtlichen Verantwortung eine Impfung verabreicht wurde, der eine Impfung vidiert hat oder der eine Antikörperbestimmung, eine besondere Impfindikation oder eine impfrelevante Vorerkrankung im zentralen Impfregister gespeichert hat;

- Information oder Beschwerde bei der eHealth-Servicestelle über fehlende Einträge oder über Fehler der im zentralen Impfregister gespeicherten Daten gemäß § 24e Abs. 8 GTelG 2012.

Die Berichtigung und Löschung von selbsteingetragenen (und noch nicht vidierten) Impfungen sind von den Bürger:innen ausschließlich bei dem:der für das Gesundheitswesen zuständigen Bundesminister:in zu veranlassen.

Widerspruchsrecht und Recht auf Einschränkung der Verarbeitung (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 18, 19 und 21 DSGVO):

In Österreich gibt es derzeit Impfungen gegen 23 Krankheitserreger, wovon lediglich vier nicht von Mensch zu Mensch übertragbar sind. Bei den vier nicht von Mensch zu Mensch übertragbaren Krankheiten, gegen die in Österreich geimpft wird, handelt es sich um FSME (Frühsommer-Meningoenzephalitis), Gelbfieber, Japanische Enzephalitis und Tetanus. FSME und Gelbfieber sind gemäß § 1 EpiG anzeigepflichtig, ebenso die Japanische Enzephalitis als virusbedingte Meningoenzephalitis. Durch die bestehende Anzeigepflicht ist impliziert, dass es sich um schwere Erkrankungen handelt (FSME führte beispielsweise 2018 in fünf Fällen zum Tod) und das öffentliche Interesse an einer lückenlosen digitalen Dokumentation von dagegen verabreichten Impfungen umso erheblicher ist. Aufgrund der Schwere dieser Krankheiten wäre die Ungleichbehandlung von Impfungen gegen diese Krankheiten einerseits, und Impfungen gegen von Mensch zu Mensch übertragbare Krankheiten andererseits sachlich nicht gerechtfertigt.

Es bestehen sohin keine Impfungen, für die eine verpflichtende, lückenlose und personenbezogene Erfassung für die mit dem eImpfpass verfolgten Ziele und Zwecke nicht erforderlich wäre.

Ein Widerspruchsrecht würde die Realisierung der mit dem eImpfpass verfolgten, im erheblichen öffentlichen Interesse (insbesondere im Bereich der öffentlichen Gesundheit) liegenden Ziele geradezu verunmöglichen; vor allem die präzise und lückenlose Möglichkeit zur Evaluierung von Durchimpfungsraten. Dies wiederum ist notwendig, um aktuelle Situationen beurteilen zu können, potentiell entstehenden Risiken effektiv und effizient zu begegnen und Maßnahmen gezielt dort zu setzen, wo es notwendig ist. Somit ist die Umsetzung des eImpfpasses ohne Widerspruchsmöglichkeit der Bürger:innen „für das Erreichen dieser Zwecke im Interesse einzelner natürlicher Personen und der Gesellschaft insgesamt erforderlich“ iSd ErwG 53 DSGVO: Ein Widerspruchsrecht der Bürger:innen gegen die Speicherung ihrer Impfdaten im zentralen Impfregister liefe dem erheblichen öffentlichen Interesse der Gesellschaft insgesamt zuwider, insbesondere jenem an der verbesserten Reaktionsfähigkeit im Falle von Ausbrüchen von durch Impfung vermeidbareren Krankheiten sowie an der Einhaltung von Verpflichtungen zur Verfolgung internationaler Eliminations- und Eradikationsziele.

Aus all diesen Gründen ist gemäß § 24e Abs. 5 GTelG 2012 das Widerspruchsrecht gemäß Art. 21 DSGVO aufgrund des Art. 23 Abs. 1 lit. e DSGVO beschränkt.

Art. 18 Abs. 1 DSGVO regelt die Gründe für die Einschränkung der Verarbeitung, führt aber gleichzeitig in Abs. 2 aus, dass diese („eingeschränkten“) personenbezogenen Daten – von ihrer Speicherung abgesehen – nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden. Da die Speicherung weiterhin zulässig ist und die weitere Verarbeitung aus Gründen eines wichtigen (gemeint wohl: „erheblichen“) öffentlichen Interesses erfolgt (siehe dazu bereits umfassend oben), ergibt sich die Nicht-Anwendbarkeit bereits unmittelbar und direkt aus der DSGVO. Aus Gründen der Rechtssicherheit wird Art. 18 DSGVO gemäß Art. 23 Abs. 1 lit. e DSGVO in § 24e Abs. 5 GTelG 2012 beschränkt.

Verhältnis zu Auftragsverarbeitern (Art. 28 DSGVO):

Gemäß § 27 Abs. 17 Z 2 GTelG 2012 betreibt der:die für das Gesundheitswesen zuständige Bundesminister:in als eine:r der gemeinsamen Verantwortlichen die eHealth-Anwendung Elektronischer Impfpass gemäß § 24c Abs. 1 GTelG 2012 ab Übergang in den Vollbetrieb. Bis zur Aufnahme des Vollbetriebs ist gemäß Z 1 leg. cit. die ELGA GmbH verantwortlich für Betrieb, Wartung und technischer Weiterentwicklung der eHealth-Anwendung Elektronischer Impfpass und eine der gemeinsamen Verantwortlichen gemäß § 24c Abs. 1 GTelG 2012. Sowohl der:die für das Gesundheitswesen zuständige Bundesminister:in als auch die ELGA GmbH können jeweils einen oder mehrere Auftragsverarbeiter heranziehen. Dieser oder diese Auftragsverarbeiter sind – da es sich beim eImpfpass um eine Form der ungerichteten Kommunikation handelt – auch Auftragsverarbeiter des jeweiligen Gesundheitsdiensteanbieters gemäß § 24c Abs. 4 GTelG 2012 für die Speicherung der Angaben gemäß § 24c Abs. 2 und 3 GTelG 2012.

Mit § 28b Abs. 2 Z 5 GTelG 2012 existiert eine Verordnungsermächtigung, wonach die Details der Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO für die Speicherung, Berichtigung, Nachtragung und Vidierung der Angaben gemäß § 24c Abs. 2 GTelG 2012 im zentralen Impfregister vorgesehen werden können.

Wird diese Verordnungsermächtigung nicht genutzt, so sind die Details der Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO in einer entsprechenden Vereinbarung zwischen dem jeweiligen Gesundheitsdiensteanbieter und dem Auftragsverarbeiter zu regeln.

Schutzmaßnahmen bei der Übermittlung in Drittländer (Kapitel V DSGVO):

Aufgrund internationaler Meldeverpflichtungen erfolgt eine Übermittlung von statistisch ausgewerteten Daten (nämlich Durchimpfungsraten) an die WHO. Eine Rückführbarkeit auf die einzelne natürliche Person ist mit diesen statistisch ausgewerteten Daten nicht möglich.

Durch die Speicherung der Angaben gemäß § 24c Abs. 2 und 3 GTelG 2012 im zentralen Impfregister erfolgt keine Übermittlung dieser Daten in ein Drittland, zumal die Zwecke der Verarbeitung auf nationale Belange beschränkt sind.

Vorherige Konsultation (Art. 36 und ErwG 96 DSGVO):

Mit Bescheid vom 11. November 2020, GZ D213.1117/2020-0.677.015, sprach die Datenschutzbehörde die Warnung aus, dass die beabsichtigten Verarbeitungsvorgänge im Rahmen des „Elektronischen Impfpasses“ (5. Abschnitt, 2. Unterabschnitt Gesundheitstelematikgesetz, GTelG 2012, BGBl. I Nr. 111/2012 idF BGBl. I Nr. 115/2020) voraussichtlich gegen die Datenschutz-Grundverordnung, ABl. Nr. L 119 vom 04.05.2016 S. 1, in der Fassung der Berichtigung ABl. Nr. L 127 vom 23.05.2018 S. 2, (im Folgenden: DSGVO) verstoßen. Im Zuge der Umsetzung von DSGVO-konformen Regelungen wurde die Datenschutzbehörde gemäß § 21 DSG in Verbindung mit Art. 57 Abs. 1 lit. c DSGVO zu Rate gezogen. Eine weitere Einbeziehung der Datenschutzbehörde erfolgt gemäß § 21 Abs. 1 DSG in Verbindung mit Art. 36 Abs. 4 DSGVO im Rahmen des öffentlichen Begutachtungsverfahrens.

RISIKEN

Physische, materielle oder immaterielle Schäden (ErwG 90 iVm 85 DSGVO):

Im Falle eines Data Breach würde einem größeren Personenkreis bekannt werden, ob und dass jemand gegen einen bestimmten Erreger geimpft wurde, und allenfalls, ob Antikörper gegen bestimmte Erkrankungen vorhanden sind, ob impfrelevante Vorerkrankungen durchgemacht wurden oder ob besondere Impfindikationen vorliegen.

Mit der Information um die Tatsache, dass jemand eine Impfung erhalten hat, ist kein Nachteil verbunden, sodass Schäden nicht zu erwarten sind. Vielmehr ist es im Falle von COVID-19-Impfungen sogar so, dass die Tatsache, sie erhalten zu haben, gesamtgesellschaftlich betrachtet positiv behaftet ist.

Nach dem Schema der CNIL wäre die Schwere damit maximal als „Eingeschränkt“ zu betrachten.

Im Falle von Softwarefehlern könnten verabreichte Impfungen nicht, nur unvollständig oder anders eingetragen werden, was dazu führen würde, dass einer betroffenen Person eine notwendige Impfung (noch) nicht verabreicht würde oder sie eine nicht-notwendige Impfung erhält. Diesem Risiko soll durch den eImpfpass aber gerade begegnet werden und Gesundheitsdiensteanbieter sind nicht von ihren jeweiligen berufsrechtlichen Sorgfaltspflichten entbunden. Zudem dürfen selbst eingetragene Impfungen, sofern sie nicht vidiert sind, gemäß § 24e Abs. 6 GTelG 2012 von den Gesundheitsdiensteanbietern nur zur Information herangezogen werden.

Nach dem Schema der CNIL wäre die Schwere damit maximal als „Eingeschränkt“ zu betrachten.

Aufgrund der getroffenen Abhilfemaßnahmen lassen sich die Risiken mitigieren.

Verlust der Kontrolle über personenbezogene Daten (ErwG 90 iVm 85 DSGVO):

Ein Verlust der Kontrolle über die personenbezogenen Daten wäre denkbar, wenn kein Berechtigungskonzept besteht, beliebige Mitarbeiter:innen der jeweiligen (gemeinsamen) Verantwortlichen auf das zentrale Impfregister Zugriff haben und das zentrale Impfregister gegen Angriffe nur unzureichend abgesichert ist.

Nach dem Schema der CNIL wäre die Schwere maximal als „Eingeschränkt“ zu betrachten.

Aufgrund der getroffenen Abhilfemaßnahmen lässt sich das Risiko mitigieren.

Diskriminierung (ErwG 90 iVm 85 DSGVO):

Es bestehen weder Impfungen, für die eine verpflichtende, lückenlose und personenbezogene Erfassung für die mit dem eImpfpass verfolgten Ziele und Zwecke nicht erforderlich wäre, noch Personen(-gruppen), für die die Angaben gemäß § 24c Abs. 2 und 3 GTelG 2012 nicht im zentralen Impfregister zu speichern wären.

Eine Diskriminierung ist nahezu ausgeschlossen, sodass nach dem Schema der CNIL die Schwere als „Vernachlässigbar“ zu betrachten wäre.

Identitätsdiebstahl oder -betrug (ErwG 90 iVm 85 DSGVO):

Die Bestimmungen des E-GovG, die für Verantwortliche (Art. 4 Z 7 DSGVO) des öffentlichen Bereichs gelten, wie insbesondere die §§ 8 bis 13 E-GovG, sind für Behörden aufgrund des E-GovG direkt anzuwenden und gelten gemäß § 4 Abs. 6 GTelG 2012 sinngemäß auch für den privaten Bereich.

Durch die vorgesehene Verwendung des höchsten Sicherheitsstandards bei der Identifikation, das ist das bPK-System des E-GovG, die Pflicht zur Verschlüsselung bei der Übermittlung von Gesundheitsdaten gemäß § 6 Abs. 1 GTelG 2012 sowie allenfalls die verschlüsselte Speicherung gemäß § 6 Abs. 3 GTelG 2012 ist das Risiko eines erfolgreichen Identitätsdiebstahls oder -betrugs äußerst gering.

Nach dem Schema der CNIL wäre die Schwere als „Vernachlässigbar“ zu betrachten.

Finanzielle Verluste (ErwG 90 iVm 85 DSGVO):

Finanzielle Verluste sind nicht zu erwarten, weil im zentralen Impfregister – anders als beispielsweise im Bereich von Online-Banking – keine Finanzdaten verarbeitet werden.

Nach dem Schema der CNIL wäre die Schwere maximal als „Vernachlässigbar“ zu betrachten.

Unbefugte Aufhebung der Pseudonymisierung (ErwG 90 iVm 85 DSGVO):

Die unbefugte Aufhebung der Pseudonymisierung ist nicht zu erwarten, weil – wie bereits erwähnt – das hochqualitative bPK-System des E‑Government-Gesetzes zwingend zu verwenden ist.

Nach dem Schema der CNIL wäre die Schwere als „Vernachlässigbar“ zu betrachten.

Rufschädigung (ErwG 90 iVm 85 DSGVO):

Szenarien einer Rufschädigung sind denkbar, wenn bestimmte Informationen aus der Datenverarbeitung an unbefugte Personen geraten. Der Umstand, dass eine Person gegen eine bestimmte Krankheit geimpft oder nicht geimpft ist, ist jedoch nicht geeignet, den Ruf zu schädigen.

Nach dem Schema der CNIL wäre die Schwere maximal als „Vernachlässigbar“ zu betrachten.

Verlust der Vertraulichkeit bei Berufsgeheimnissen (ErwG 90 iVm 85 DSGVO):

Unberechtigte Personen könnten Zugriff auf die im zentralen Impfregister gespeicherten Daten erhalten. Dabei kann es sich entweder um unternehmensinterne Personen handeln (Mitarbeiter:innen) oder aber um unberechtigte Zugriffe von außen (Hacker:innenangriffe). Das Risiko des Verlusts der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten ist jedoch gering, da § 6 Abs. 1 GTelG 2012 eine spezielle Regelung vorsieht, wie die Vertraulichkeit bei der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten sicherzustellen ist. § 6 Abs. 1 GTelG 2012 ist von allen Gesundheitsdiensteanbietern gemäß § 24c Abs. 4 GTelG 2012 einzuhalten und trifft diese Gesundheitsdiensteanbieter regelmäßig auch ein Berufs- oder Amtsgeheimnis.

Nach dem Schema der CNIL wäre die Schwere maximal als „Eingeschränkt“ zu betrachten.

Aufgrund der getroffenen Abhilfemaßnahmen lässt sich das Risiko mitigieren.

Erhebliche wirtschaftliche oder gesellschaftliche Nachteile (ErwG 90 iVm 85 DSGVO):

Aufgrund des zu den Punkten „Rufschädigung“, „Diskriminierung“ und „finanzielle Verluste“ Gesagtem kann davon ausgegangen werden, dass es zu keinen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen kommt.

Nach dem Schema der CNIL wäre die Schwere als „Vernachlässigbar“ zu betrachten.

ABHILFEMASSNAHMEN

Minimierung der Verarbeitung personenbezogener Daten (ErwG 78 DSGVO):

Im zentralen Impfregister dürfen nur die Daten gemäß § 24c Abs. 2 und 3 GTelG 2012 gespeichert werden, also jene Daten, die zur Zweckerreichung unbedingt notwendig sind (siehe zur Beschränkung der Verarbeitung auf das notwendige Maß bereits oben).

Zudem ist die personenbezogene Verarbeitung der im zentralen Impfregister gespeicherten Daten auf die in § 24d Abs. 2 GTelG 2012 abschließend genannten Zwecke beschränkt.

Schnellstmögliche Pseudonymisierung personenbezogener Daten (ErwG 28 und 78 DSGVO):

Der schnellstmöglichen Pseudonymisierung personenbezogener Daten wird durch die Verwendung des bPK-Systems nach den Bestimmungen des E‑Government-Gesetzes, für den privaten Bereich unter sinngemäßer Anwendung gemäß § 4 Abs. 6 GTelG 2012, Rechnung getragen. Die Pseudonymisierung der im zentralen Impfregister gespeicherten Daten selbst ist vor dem Hintergrund der mit dem eImpfpass verfolgten Zwecke nicht zielführend, zumal im Sinne der Sicherheit der Bürger:innen auch allfällige Ausdrucke oder Downloads dieser Daten den jeweiligen Bürger:inne:n sowohl in der analogen als auch in der digitalen Welt zweifelsfrei zugeordnet werden können müssen.

Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten (ErwG 78 DSGVO):

Transparenz und genaue Information der betroffenen Personen über die Verarbeitungsvorgänge in Zusammenhang mit dem eImpfpass werden zum einen in der Datenschutzinformation gemäß Art. 13 DSGVO sichergestellt, die gemäß § 24h Abs. 2 GTelG 2012 durch den:die für das Gesundheitswesen zuständige:n Bundesminister:in in geeigneter Form zu erfolgen hat. Darüber hinaus haben die Gesundheitsdiensteanbieter gemäß § 24c Abs. 4 Z 1 GTelG 2012 die Pflicht, die betroffenen Personen auf die von dem:der für das Gesundheitswesen zuständigen Bundesminister:in zur Verfügung gestellten Datenschutzinformation hinzuweisen. Den:Die für das Gesundheitswesen zuständige:n Bundesminister:in trifft gemäß § 24e Abs. 1 GTelG 2012 auch die Pflicht, die betroffenen Personen in geeigneter Weise über die ihnen zustehend Rechte sowie über jene Rechte des 3. Kapitels der DSGVO, die den Bürger:innen nicht zustehen, zu informieren.

Überwachung der Verarbeitung personenbezogener Daten durch die betroffenen Personen (ErwG 78 DSGVO):

Gemäß § 24f Abs. 5 in Verbindung mit § 22 GTelG 2012 sind sämtliche Verarbeitungsvorgänge im zentralen Impfregister zu protokollieren. Die betroffenen Personen können entweder via eHealth-Servicestelle oder via Zugangsportal Auskunft über die sie betreffenden Protokolldaten erhalten und somit nachvollziehen, wer wann auf ihren eImpfpass zugegriffen hat.

Datensicherheitsmaßnahmen (ErwG 78 und 83 DSGVO):

Die ELGA GmbH hat gemäß § 27 Abs. 17 Z 1 lit. c GTelG 2012 ein IT-Sicherheitskonzept zu erstellen, das sie dem:der für das Gesundheitswesen zuständigen Bundesminister:in auf dessen:deren Verlangen binnen vier Wochen vorzulegen hat. Dies entsprach auch der bisher geltenden Rechtslage (vgl. § 4b Abs. 3 eHealthV idF BGBl. II Nr. 35/2021).

Aus Gründen der Datensicherheit gemäß Art. 32 DSGVO unterbleibt an dieser Stelle eine genaue Beschreibung der technischen Umsetzung, um potentielle Angreifer:innen nicht mit wertvollen Informationen über potentielle Schwachstellen (Art-29-Datenschutzgruppe, WP 248 Rev.01, 8) zu versorgen.

Allgemein ist jedoch festzuhalten, dass der 2. Abschnitt des GTelG 2012, dessen Bestimmungen sowohl für gerichtete als auch ungerichtete Kommunikation (wie den eImpfpass) gelten, eine Reihe von Datensicherheitsmaßnahmen vorsieht, die verpflichtend einzuhalten und nicht disponibel sind. Diese Datensicherheitsmaßnahmen im 2. Abschnitt des GTelG 2012 stellten eine Konkretisierung des Art. 32 DSGVO dar, die aufgrund der Öffnungsklausel in Art. 9 Abs. 4 DSGVO zulässig ist.

Zu diesen Datensicherheitsmaßnahmen gehören etwa

- die grundsätzliche Verschlüsselungspflicht bei der Übermittlung von Gesundheitsdaten und genetischen Daten gemäß § 6 GTelG 2012;

- die Pflicht zur technischen Sicherstellung des rollenbasierten Zugriffs gemäß § 3 Abs. 3 GTelG 2012 in Verbindung mit Anlage 1 GTelV 2013;

- die Pflicht zur eindeutigen Identifikation gemäß den §§ 4 f GTelG 2012;

- die Sicherstellung der Vertraulichkeit bei der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten durch speziell abgesicherte Netzwerke (§ 6 Abs. 1 Z 1 GTelG 2012) oder durch Verwenden spezieller Protokolle und Verfahren (§ 6 Abs. 1 Z 2 GTelG 2012);

- durch Verwendung fortgeschrittener oder qualifizierter elektronischer Signaturen oder fortgeschrittener oder qualifizierter elektronischer Siegel gemäß der Verordnung (EU) Nr. 910/2014 zum Nachweis und Prüfung der Integrität elektronischer Gesundheitsdaten und genetischer Daten;

- für alle Gesundheitsdiensteanbieter verpflichtende IT-Sicherheitskonzepte, die gemäß § 8 GTelG 2012 auf Verlangen dem:der für das Gesundheitswesen zuständigen Bundesminister:in jederzeit zu übermitteln sind.

Der eImpfpass fällt zwar nicht unter das Regelungsregime des 4. Abschnitts („Elektronische Gesundheitsakte [ELGA]“), allerdings werden die ELGA-Komponenten iSd § 24 Abs. 3 GTelG 2012 gemäß § 24f GTelG 2012 auch für den eImpfpass genutzt, weswegen die in den §§ 17b bis 17j ELGA-VO 2015 normierten Sicherheitsanforderungen an ELGA auch Datensicherheitsmaßnahmen für den eImpfpass darstellen. Zur Einhaltung der Sicherheitsanforderungen und Gewährleistung des erforderlichen Zugriffsschutzes bedarf es gemäß § 17b Abs. 1 ELGA-VO 2015 der Einhaltung von

- organisatorischen Sicherheitsanforderungen (§§ 17c bis 17e),

- technischen Sicherheitsanforderungen (§ 17f),

- Sicherheitsanforderungen an die Identifikation (§ 17g),

- Sicherheitsanforderungen für Testumgebungen (§ 17h),

- baulichen Sicherheitsanforderungen (§ 17i) sowie

- Sicherheitsanforderungen an das Personal (§ 17j).

Die im zentralen Impfregister gespeicherten Daten bilden die Grundlage für spätere medizinische Entscheidungen, etwa dass bzw. wann eine weitere Impfung notwendig ist oder empfohlen wird. Werden diese Entscheidungen aufgrund einer fehlerhaften Datenlage getroffen, kann sich dies auf die Bürger:innen nachteilig auswirken. Erfahrungen aus dem bisherigen Pilotbetrieb des eImpfpasses haben gezeigt, dass trotz entsprechender Sorgfalt in der Vorbereitung und Begleitung des Projekts bei der Dokumentation von Impfungen im zentralen Impfregister Fehler passieren können. Nicht alle Fehler können, etwa durch Plausibiliätsprüfungen, abgefangen werden, was dazu führt, dass etwaige Fehler – über einen mehr oder weniger langen Zeitraum – unentdeckt bleiben können. Aus diesem Grund wird als weitere Datensicherheitsmaßnahme das Datenqualitätsmanagement als Aufgabe der eHealth-Servicestelle eingerichtet (vgl. § 24i Abs. 1 Z 2 GTelG 2012). Zu den Aufgaben der eHealth-Servicestelle im Rahmen des Datenqualitätsmanagements gehört unter anderem eine proaktive und reaktive Fehlerkorrektur.

Das Recht auf Berichtigung gemäß Art. 16 DSGVO geht von einem Tätigwerden der betroffenen Person aus, jedoch kann von einem durchschnittlich gebildeten Laien nicht erwartet werden, mögliche Unrichtigkeiten in spezifisch medizinischen Belangen der Dokumentation zu erkennen und davon ausgehend eine Berichtigung von Daten zu fordern. Schon die oben dargestellte Gefahr, dass dadurch allfällige Fehler für einen längeren Zeitraum unerkannt bleiben bzw. für medizinische Entscheidungen mit vermeidbaren negativen Auswirkungen herangezogen werden können, zeigt die Wichtigkeit einer proaktiven Fehlerkorrektur. Rechtfertigen lässt sich diese durch Art. 5 Abs. 1 lit. d DSGVO, wonach ein Verantwortlicher alle angemessenen Maßnahmen zu treffen hat, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden.

BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN

Die Datenschutzbehörde wurde bereits bei Erstellung des Gesetzentwurfs gemäß § 21 DSG in Verbindung mit Art. 57 Abs. 1 lit. c DSGVO zu Rate gezogen. Darüber hinaus erfolgt ihre Konsultation gemäß Art. 36 Abs. 4 DSGVO durch die Publikation des vorliegenden Entwurfs auf der Website des Parlaments und Durchführung eines Begutachtungsverfahrens zur aktiven Mitwirkung an der Gestaltung dieses Regelungsvorhabens. Auf dieselbe Weise werden die Standpunkte betroffener Personen (Art. 35 Abs. 9 DSGVO) eingeholt. Die Einholung des Rates der Datenschutzbeauftragten (Art. 35 Abs. 2 DSGVO) des Bundesministeriums für Soziales, Gesundheit, Pflege und Konsumentenschutz erfolgte bereits bei Durchführung der Datenschutz-Folgenabschätzung.