Beschreibung

Bewertung

Risiken

Abhilfemaßnahmen

DS-Interessen

Art der Verarbeitung

festgelegter Zweck

Schäden

Minimierung

Datenschutzbeauftragter

Umfang der Verarbeitung

eindeutiger Zweck

Kontrollverlust

Pseudonymisierung

betroffene Personen

Kontext der Verarbeitung

legitimer Zwecke

Diskriminierung

Transparenz

Zweck der Verarbeitung

Rechtmäßigkeit

Identitätsdiebstahl & -betrug

Überwachung

personenbezogene Daten

Angemessenheit

finanzielle Verluste

Datensicherheits-maßnahmen

Empfänger/innen

Erheblichkeit

unbef Aufhebung Pseudonymisierung

Speicherdauer

Beschränktheit auf notwendiges Maß

Rufschädigung

funktionelle Beschreibung

Speicherbegrenzung

Verlust Berufsgeheimnisse

Hard- und Software

generelle Informationen

gesellschaftliche Nachteile

Verhaltensregeln

Informationen (Art 13 DSGVO)

Informationen (Art 14 DSGVO)

Auskunft & Daten-übertragbarkeit

Berichtigung & Löschung

Widerspruch & Einschränkung

Auftrags-
verarbeiter/innen

Legende

erfüllt

Übermittlung in Drittländer

erfüllbar

vorherige Konsultation

nicht erfüllt

SYSTEMATISCHE BESCHREIBUNG
der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen

Die Beschreibung hat nach Erwägungsgrund 90 sowie Art. 25 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Leitlinien zur Datenschutz-Folgenabschätzung (DSFA) und Beantwortung der Frage, ob eine Verarbeitung im Sinne der Verordnung 2016/679 „wahrscheinlich ein hohes Risiko mit sich bringt“ der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten.

Art der Verarbeitung

^{(EG 90 DSGVO; WP 248 Rev.01, 21 und 28)}

Die Verarbeitung erfolgt elektronisch im Rahmen einer Server-Client-Applikation.

Aus Gründen der Datensicherheit gemäß Art. 32 DSGVO unterbleibt an dieser Stelle eine genaue Beschreibung der technischen Umsetzung, um potentielle Angreifer/innen nicht mit wertvollen Informationen über potentielle Schwachstellen (Art-29-Datenschutzgruppe, WP 248 Rev.01, 8) zu versorgen.

Gemeinsam Verantwortliche im Sinne des Art. 4 Nr. 7 in Verbindung mit Art. 26 DSGVO sind

Im Falle des EU-Rezepts:

der   für das Gesundheitswesen Bundesminister oder die zuständige Bundesministerin,

die   Apotheken (§ 24r Abs. 2 GTelG 2012).

Im Falle der EU-Patientenkurzakte:

der   für das Gesundheitswesen Bundesminister oder die zuständige Bundesministerin, sowie

der   jeweils behandelnde Gesundheitsdiensteanbieter (§ 24u Abs. 2 GTelG 2012)

Die Anforderung “Beschreibung der Art der Verarbeitung” ist aufgrund der angeführten Beschreibung als erfüllt anzusehen.

Umfang der Verarbeitung

^{(EG 90 DSGVO; WP 248 Rev.01, 21 und 28)}

Das EU-Rezept umfasst potenziell alle Personen, die mit dem österreichischen Gesundheitswesen – egal in welcher Rolle – in Berührung kommen. Es werden Gesundheitsdaten (Art. 4 Nr. 15 DSGVO) und die erforderlichen Identitäts- bzw. Metadaten jener natürlichen Personen verarbeitet, die

Im Patientenindex gemäß § 18 GTelG 2012 erfasst sind und somit jedenfalls jener Personen, die in den Datenverarbeitungen des Dachverbandes oder dem Ergänzungsregister gemäß § 6 Abs. 4 E-GovG erfasst sind, sowie

Personen für die in ihrem Herkunftsland eine Verschreibung ausgestellt wurde, welche in Österreich im Rahmen des EU-Rezepts zu den vom jeweiligen Herkunftsstaat festgelegten Bedingungen einlöst werden sollen.

Die EU-Patientenkurzakte umfasst potenziell alle Personen, für die in ihrem Herkunftsland eine Patientenkurzakte erstellt wurde, welche in Österreich im Rahmen der EU-Patientenkurzakte zu den vom jeweiligen Herkunftsstaat festgelegten Bedingungen lesend abgerufen werden soll.

In inhaltlicher Sicht umfasst die gegenständliche Verarbeitung sämtliche Daten, die in den zentralen ELGA-Komponenten gemäß § 24k Abs. 3 GTelG 2012 aufgezählt sind sowie (im Falle des EU-Rezepts) Daten der Anwendung „e-Rezept“ im elektronischen Verwaltungssystem des Dachverbands gemäß § 31a Abs. 4 Z 10 ASVG verarbeitet werden (siehe näher dazu, unten Feld „BESCHREIBUNG / Personenbezogene Daten“).

In geografischer Sicht umfassen die Anwendungen das gesamte Gebiet der Europäischen Union. Sie stellen bereits aufgrund des geographischen Ausmaßes einen großen Umfang im Sinne der Art-29-Datenschutzgruppe (WP 248, 11) dar. Dies ist jedoch darauf beschränkt, dass ein Bürger oder eine Bürgerin tatsächlich die Einlösung eines österreichischen EU-Rezepts oder den Abruf der EU-Patientenkurzakte in einem Behandlungsmitgliedstaat anstößt, andernfalls keine (vor allem grenzüberschreitende) Datenverarbeitung erfolgt.

Die Anforderung “Beschreibung des Umfangs der Verarbeitung” ist aufgrund der angeführten Beschreibung als erfüllt anzusehen.

^{Kontext der Verarbeitung}

^{(EG 90 DSGVO; WP 248 Rev.01, 21 und 28)}

Die Verarbeitung erfolgt im Kontext der Zwecke des Art. 9 Abs. 2 Buchstabe g bis j DSGVO, genauer gesagt der grenzüberschreitenden Gesundheitsversorgung (zur rechtlichen Begründung – siehe unten: Feld „BEWERTUNG / Rechtsgrundlage“). Mit dem vorgeschlagenen Abschnitt 5 soll die grenzüberschreitende Gesundheitsversorgung eingeführt werden, die ein erhebliches öffentliches Interesse gemäß Art. 9 Abs. 2 Buchstaben g bis j DSGVO erfüllt.

Die Anforderung “Beschreibung des Kontexts der Verarbeitung” ist aufgrund der angeführten Beschreibung als erfüllt anzusehen.

^{Zweck der Verarbeitung}

^{(EG 90 sowie Art. 35 Abs. 7 Buchstabe a DSGVO; WP 248 Rev.01, 21 und 28)}

Die Verarbeitung dient der grenzüberschreitenden Gesundheitsversorgung, die u.a. den freien Personenverkehr fördert, in dem die medizinische Versorgung im EU-Ausland erleichtert wird. Durch die Teilnahme an der MyHealth@EU-Infrastruktur sowie die Semantik-Services, werden vor allem Übersetzungs- und Kommunikationsfehler, die im grenzüberschreitenden Verkehr noch häufiger sind, vermieden, insbesondere im Vergleich zum aktuellen Prozess der Papierrezepte (Sprachbarrieren, Gefahr der Mehrfach-Abgabe, etc.). Außerdem hilft das EU-Rezept Kosten zu sparen, weil nicht vor Ort neue Rezepte ausgestellt werden müssen, sondern die „originalen“ Rezepte unmittelbar eingelöst werden können. Im Falle der EU-Patientenkurzakte kann der für die Anamnese notwendige Zeit- und Personalaufwand drastisch reduziert werden. Die Steigerung der Prozess- und Ergebnisqualität von grenzüberschreitenden Gesundheitsdienstleistungen wird damit ebenso ermöglicht, wie eine verbesserte Behandlungskontinuität sowie integrierte Versorgung über die Landesgrenzen hinweg.

Dass Verarbeitungen auch mehreren Zwecken gleichzeitig dienen, ist in Übereinstimmung mit der Datenschutz-Grundverordnung (Erwägungsgrund 32 DSGVO).

Die Anforderung “Beschreibung des Zwecks der Verarbeitung” ist aufgrund der angeführten Beschreibung als erfüllt anzusehen.

Personenbezogene Daten

^{(WP 248 Rev.01, 21 und 28)}

Die im Rahmen der Verarbeitungstätigkeit „EU-Rezept“ verarbeiteten Daten umfassen:

Medikationsdaten, d.h. Daten zu Verschreibungen und Abgaben von verschreibungspflichtigen und nicht verschreibungspflichtigen Arzneimitteln (§ 31a ASVG, insbesondere dessen Abs. 1 [bezüglich der Versicherten verschriebenen Heilmittel] in Verbindung mit dessen Abs. 4 Z 10 [bezüglich der Nichtversicherten verschriebenen Heilmittel] sowie § 2 Z 9 lit. b GTelG 2012);

Identitätsdaten, d.h. Daten zur Identifikation der betroffenen Personen gemäß § 24k Abs. 3 Z 1 und 2 in Verbindung mit § 18 Abs. 2 GTelG 2012, d.h.:

Namensangaben (Vorname[n], Familienname, Geburtsname, akademische Grade), Personenmerkmale (Geburtsdatum, Geburtsort [soweit verfügbar], Geschlecht, Sterbedatum [soweit verfügbar], Staatsangehörigkeit), Adressdaten, Identitätsdaten (Sozialversicherungsnummer, lokale Patient/inn/en/kennungen, bPK-GH, ID Austria);

Metadaten, d.h. insbesondere Berechtigungsdaten sowie Protokollierungsdaten (§ 24k Abs. 3 Z 3 und 4 in Verbindung mit §§ 21 und 22 GTelG 2012), die zwar keine personenbezogenen Daten darstellen, aber der Vollständigkeit halber angeführt werden.

Die im Rahmen der Verarbeitungstätigkeit „EU-Patientenkurzakte“ verarbeiteten Daten umfassen jene Daten, welche im jeweiligen Herkunftsmitgliedstaat gemäß deren Vorgaben in der EU-Patientenkurzakte verarbeitet werden. Entsprechend den Umsetzungsrichtlinien des zugrundeliegenden EU-Projekts kann es sich hierbei maximal um die folgenden Datenarten handeln:

1. Angaben zur natürlichen Person (inklusive Identitätsdaten, Kontaktdaten, Angaben zur Versicherung),

2. Allergien,

3. Medizinische Warnungen,

4. Informationen über Impfungen/Prophylaxen, gegebenenfalls in Form eines Impfausweises,

5. Medizinische Probleme (aktuelle, gelöste, abgeschlossene oder inaktive Probleme, auch in einer internationalen Kodierung zur Klassifizierung),

6. Informationen in Textform zur medizinischen Vorgeschichte,

7. Medizinprodukte und Implantate,

8. Medizinische Verfahren oder Pflegeverfahren,

9. Funktionszustand,

10 Derzeitige und frühere Medikation,

11. Gesundheitsrelevante Beobachtungen zum sozialen Hintergrund (Konsum von Alkohol, Tabak, etc.),

12. Schwangerschaftshistorie,

13. von der natürlichen Person selbst zur Verfügung gestellte Daten,

14. Beobachteter Gesundheitszustand,

15. der aktuelle Versorgungsplan,

16. Angaben zu seltenen Krankheiten (zum Beispiel Einzelheiten über die Auswirkungen oder Merkmale der Krankheit, etc.) und

17. Ergebnisse von Untersuchungen.

Der Umfang der Datenarten und deren Befüllungsgrad hängt daher im jeweiligen Einzelfall davon ab, welche Datenarten generell vom jeweiligen Herkunftsmitgliedstaat vorgegeben werden, und welche dieser Daten in der EU-Patientenkurzakte der jeweiligen Person tatsächlich befüllt sind.

Die Anforderung “Beschreibung der personenbezogenen Daten” ist aufgrund der gesetzlichen Determinierung im Gesundheitstelematikgesetz 2012, insbesondere dessen 4. und 5. Abschnitt, als erfüllt anzusehen.

Empfänger/innen

^{(EG 90 DSGVO; WP 248 Rev.01, 21 und 28)}

Die zulässigen Empfänger/innen sind:

Im Fall des EU-Rezepts:

Gesundheitsdiensteanbieter gemäß § 2 Z 2 GTelG 2012 (§ 24k Abs. 2 Z 1 lit. b GTelG 2012);

Apotheken gemäß § 1 des Apothekengesetzes, RGBl. Nr. 5/1907 (§ 24r Abs. 2 Z 2 lit. b GTelG 2012);

der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin als Nationale Kontaktstelle für digitale Gesundheit gemäß § 24j GTelG 2012 (§ 24r Abs. 2 Z 1 lit. a sowie Z 2 lit. a GTelG 2012) bzw. ELGA- und eHealth-Supporteinrichtung gemäß § 17 GTelG 2012 (§ 24k Abs. 2 Z 2 lit. c GTelG 2012);

der Dachverband der österreichischen Sozialversicherungsträger gemäß § 30 ASVG (§ 24r Abs. 2 GTelG 2012);

gesetzliche und bevollmächtigte Vertreter/innen der Bürger/innen (§ 24k Abs. 2 Z 2 lit. b GTelG 2012);

von den Verantwortlichen gegebenenfalls herangezogene Auftragsverarbeiter/innen gemäß Art. 28 DSGVO.

Im Fall der EU-Patientenkurzakte:

Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. a und b GTelG 2012 (§ 24k Abs. 2 lit. b GTelG 2012);

der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin als Nationale Kontaktstelle für digitale Gesundheit gemäß § 24j GTelG 2012 (§ 24r Abs. 2 Z 1 lit. a sowie Z 2 lit. a GTelG 2012) bzw. ELGA- und eHealth-Supporteinrichtung gemäß § 17 GTelG 2012 (§ 24k Abs. 2 Z 2 lit. c GTelG 2012);

von den Verantwortlichen gegebenenfalls herangezogene Auftragsverarbeiter/innen gemäß Art. 28 DSGVO.

Die Anforderung “Beschreibung der Empfänger/innen” ist aufgrund der angeführten Beschreibung als erfüllt anzusehen.

Speicherdauer

^{(WP 248 Rev.01, 21 und 28)}

Vorweg ist festzuhalten, dass aufgrund der Reduktion der Verarbeitung auf die Weiterleitung („Kommunikation“) der Medikationsdaten gemäß § 24j Abs. 2 GTelG 2012 keine Gesundheitsdaten bei der Nationalen Kontaktstelle gespeichert werden, sondern nur Protokollierungsdaten. Für diese gilt auch die in § 24j Abs. 3 GTelG 2012 vorgesehene Löschfrist.

Eine Mindestspeicherdauer ist gesetzlich nicht vorgesehen. Die Löschfrist – bei der Nationalen Kontaktstelle – beträgt gemäß § 24j Abs. 3 GTelG 2012 10 Jahre. Die Frist beginnt nach Abschluss der Verarbeitung zu laufen, also sobald das EU-Rezept im Ausland erfolgreich eingelöst und die elektronische Abgabe erfolgreich rückübermittelt wurde, oder sobald die Abgabe durch eine österreichische Apotheke erfolgreich in den Herkunftsmitgliedstaat übermittelt wurde. Im Falle der EU-Patientenkurzakte beginnt die Frist ab Abruf der EU-Patientenkurzakte aus dem Herkunftsland der jeweiligen Person durch den Gesundheitsdiensteanbieter.

Die Löschpflicht des § 24j Abs. 3 GTelG 2012 sorgt also dafür, dass die Nationalen Kontaktstellen nicht zu Datenfriedhöfen werden. Sollten Daten zu einem späteren Zeitpunkt – aufgrund einer neuerlichen Anforderung einer Nationalen Kontaktstelle eines anderen Mitgliedstaates – wieder benötigt werden, dürfen die erforderlichen Daten (siehe oben: Feld „SYSTEMATISCHE BESCHREIBUNG / Personenbezogene Daten“) erneut angefordert werden.

Die Anforderung “Beschreibung der Speicherdauer” ist aufgrund der angeführten Beschreibung als erfüllt anzusehen.

Funktionelle Beschreibung der Verarbeitungsvorgänge

^{(WP 248 Rev.01, 21 und 28)}

Die Verarbeitungstätigkeit „EU-Rezept“ umfasst folgende Funktionen:

Verschreibung eines österreichischen ELGA-GDA in e-Rezept speichern: Im Zuge einer ärztlichen Behandlung in Österreich werden für alle ELGA-Teilnehmer/innen, die nicht gemäß § 16 Abs. 2 Z 2 GTelG 2012 situativ widersprochen haben, Verschreibungen von Arzneimitteln, d.h. Medikationsdaten im Sinne des § 2 Z 9 lit. b GTelG 2012, gespeichert (§ 13 Abs. 3 Z 4 GTelG 2012). Die Speicherung erfolgt zentral im Informationssystem „e-Rezept“, das vom Dachverband im übertragenen Wirkungsbereich betrieben wird. Diese Funktion stellt für sich alleine betrachtet keine grenzüberschreitende Bereitstellung von Medikationsdaten (§ 2 Z 9 lit. b GTelG 2012) dar, ist aber eine conditio sine qua non für bestimmte Fälle der grenzüberschreitenden Gesundheitsversorgung, wenn nämlich in Österreich verschriebene Arzneimittel in anderen Mitgliedstaaten abgegeben werden sollen. Über die Ermächtigung des Dachverbandes zur Heranziehung der ELGA-Komponenten gemäß § 24k Abs. 3 GTelG 2012 in § 24o Abs. 2 GTelG 2012 ist die gegenständliche Funktion als Bestandteil der gegenständlichen Verarbeitungstätigkeit festgelegt.

Verschreibung einer österreichischen ELGA-GDA/in für die Abgabe in anderem Mitgliedstaat bereitstellen: Soll die Abgabe von in Österreich verschriebenen Arzneimitteln in anderen Mitgliedstaaten erfolgen, fordert die Nationale Kontaktstelle des anderen Mitgliedstaats bei der österreichischen Nationalen Kontaktstelle die Bereitstellung der entsprechenden Verschreibungen an. Die österreichische Nationale Kontaktstelle leitet diese Anforderung – technisch oder organisatorisch – an den Dachverband als Betreiber des Informationssystems ELSY, und damit der Anwendung „e-Rezept“, weiter und stellt die vom Dachverband bereitgestellten Verschreibungen der anfordernden Nationalen Kontaktstelle des anderen Mitgliedstaats bereit, die diese Verschreibungen wiederum den behandelnden Gesundheitsdienstleistern (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU), wie etwa Apotheken, in ihrem Mitgliedstaat für Zwecke der grenzüberschreitenden Gesundheitsversorgung bereitstellt.

Verschreibung einer Gesundheitsdienstleister/in eines anderen Mitglied-staats für die Abgabe in Österreich bereitstellen: Soll die Abgabe von in anderen Mitgliedstaaten verschriebenen Arzneimitteln in Österreich erfolgen, so fordert die ELGA-Gesundheitsdiensteanbieter/in (§ 2 Z 10 GTelG 2012), die die Arzneimittel abgeben will, die Verschreibung aus dem anderen Mitgliedstaat an und erhält diese im Wege der Nationalen Kontaktstellen von Österreich bzw. des anderen Mitgliedstaats.

Abgabe in Österreich für anderen Mitgliedstaat bereitstellen: Nach Abgabe von Arzneimitteln durch eine ELGA-Gesundheitsdiensteanbieter/in in Österreich wird die Abgabe der verschriebenen Arzneimittel im Wege der Nationalen Kontaktstellen von Österreich bzw. des anderen Mitgliedstaats der entsprechenden Anwendung des anderen Mitgliedstaats bereitgestellt.

Die Verarbeitungstätigkeit „EU-Patientenkurzakte“ umfasst folgende Funktionen:

Abruf der EU-Patientenkurzakte: Soll im Zuge einer ärztlichen Behandlung in Österreich die EU-Patientenkurzakte einer Person durch einen Gesundheitsdiensteanbieter abgerufen werden, fordert die österreichische Nationale Kontaktstelle die EU-Patientenkurzakte bei der Nationalen Kontaktstelle des anderen Mitgliedstaats an. Die Nationale Kontaktstelle leitetet sodann die erhaltene EU-Patientenkurzakte der Person an den behandelnden Gesundheitsdiensteanbieter weiter, welcher einen lesenden Zugriff auf diese erhält.

Die Anforderung “Funktionelle Beschreibung der Verarbeitungsvorgänge” ist aufgrund der angeführten Beschreibung als erfüllt anzusehen.

Beschreibung der Hard- und Software bzw. sonstigen Infrastruktur

^{(WP 248 Rev.01, 21 und 28)}

Da die Verarbeitungstätigkeiten „EU-Rezept“ und „EU-Patientenkurzakte noch einzurichten ist, sind hinsichtlich der genauen Beschreibung der Infrastruktur noch allfällige Ausschreibungen abzuwarten.

Die Anforderung “Beschreibung der Hard- und Software bzw. sonstigen Infrastruktur” ist aufgrund der angeführten Beschreibung als erfüllbar anzusehen.

Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln

^{(Art. 35 Abs. 8 DSGVO; WP 248 Rev.01, 21 und 28)}

Das Instrument der Verhaltensregeln ist für Behörden und öffentliche Stellen nicht anwendbar (Art. 41 Abs. 6 DSGVO bzw. mwN Schweinoch/Will in Ehmann/Selmayr, DSGVO² Art. 40 Rn. 10).

Die Anforderung “Beschreibung der eingehaltenen, gemäß Art 40 genehmigten Verhaltensregeln” ist aufgrund der angeführten Beschreibung als erfüllbar anzusehen.

BEWERTUNG

der Notwendigkeit und Verhältnismäßigkeit

Die Bewertung hat nach Erwägungsgründen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Leitlinien zur Datenschutz-Folgenabschätzung (DSFA) und Beantwortung der Frage, ob eine Verarbeitung im Sinne der Verordnung 2016/679 „wahrscheinlich ein hohes Risiko mit sich bringt“ (WP 248) auf Maßnahmen

– betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie

– zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO)

abzustellen.

^{Festgelegter Zweck}

^{(EG 90 und Art. 35 Abs. 7 Buchstabe b DSGVO; WP 248 Rev.01, 21 und 28)}

Die Zwecke der Verarbeitung sind in § 24i Abs. 1 GTelG 2012 sowie § 24k Abs. 2 GTelG 2012 wie folgt festgelegt:

die Sicherstellung der Kontinuität der grenzüberschreitenden Gesundheitsversorgung durch eine verbesserte, schnellere Verfügbarkeit medizinischer Informationen, die zu einer Qualitätssteigerung diagnostischer und therapeutischer Entscheidungen sowie der Behandlung und Betreuung führt,

die Erhöhung der Patient/innensicherheit in der grenzüberschreitenden Gesundheitsversorgung,

die Steigerung der Prozess- und Ergebnisqualität von Gesundheitsdienstleistungen in der grenzüberschreitenden Gesundheitsversorgung,

die Aufrechterhaltung einer qualitativ hochwertigen, ausgewogenen und allgemein zugänglichen grenzüberschreitenden Gesundheitsversorgung sowie

der Stärkung der Patient/innenrechte, insbesondere in Bezug auf die Verfügbarkeit ihrer elektronischen Gesundheitsdaten und ihre Kontrolle über diese Daten in der grenzüberschreitenden Gesundheitsversorgung.

Die Anforderung “Bewertung der Festlegung des Zwecks” ist aufgrund der ausdrücklichen, gesetzlichen Festlegung der Zwecke in § 24i Abs. 1 GTelG 2012 sowie § 24k Abs. 2 GTelG 2012 als erfüllt anzusehen.

^{Eindeutiger Zweck}

^{(Art. 35 Abs. 7 Buchstabe b iVm Art. 5 Abs. 1 Buchstabe b DSGVO; WP 248 Rev.01, 21 und 28)}

Die Zwecke sind in § 24i Abs. 1 GTelG 2012 sowie § 24k Abs. 2 GTelG 2012 eindeutig festgelegt. In Zusammenschau mit den noch zu veröffentlichenden Datenschutzerklärungen, Vereinbarungen gemäß Art. 26 DSGVO sowie der Verordnung gemäß § 24r Abs. 2 und § 24u Abs. 2 bzw. § 28c GTelG 2012 können betroffene Personen vorhersehen, wie ihre Daten verarbeitet werden.

Die Anforderung “Bewertung der Eindeutigkeit des Zwecks” ist aufgrund der ausdrücklichen, gesetzlichen Festlegung der Zwecke in § 24i Abs. 1 GTelG 2012 sowie § 24k Abs. 2 GTelG 2012 als erfüllt anzusehen.

^{Legitimer Zweck}

^{(Art. 35 Abs. 7 Buchstabe b iVm Art. 5 Abs. 1 Buchstabe b DSGVO; WP 248 Rev.01, 21 und 28)}

Die eindeutig festgelegten Zwecke sind zudem legitim. Dies zeigt sich bereits auf unionsrechtlicher Ebene: Danach steht gemäß Art. 168 Abs. 7 AEUV die Verantwortung für die Festlegung ihrer Gesundheitspolitik sowie für die Organisation des Gesundheitswesens und der medizinischen Versorgung den Mitgliedstaaten zu. Dies umfasst auch die Verwaltung des Gesundheitswesens und der medizinischen Versorgung sowie die Zuweisung der dafür bereitgestellten Mittel. Auf verfassungsrechtlicher Ebene ergibt sich die Legitimität der Zwecke vor allem aus Art. 10 Abs. 1 Z 12 B‑VG, wonach dem Bund die – grundsätzliche – Kompetenz im Gesundheitswesen zukommt. Es gibt somit einen klaren verfassungsrechtlichen Gestaltungsauftrag hinsichtlich des Gesundheitswesens.

Die Anforderung “Bewertung der Legitimität des Zwecks” ist aufgrund des Art. 168 Abs. 7 AEUV, des Art. 10 Abs. 1 Z 12 B-VG, der umfangreichen, ausdrücklichen, gesetzlichen Regelung zur Gesundheitsversorgung in Österreich sowie im Lichte der einschlägigen EuGH- und VfGH-Judikatur, als erfüllt anzusehen.

^{Rechtmäßigkeit der Verarbeitung}

^{(Art. 35 Abs. 7 Buchstabe b iVm Art. 6 und 9 DSGVO; WP 248 Rev.01, 21 und 28)}

Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 9 Abs. 2 Buchstaben h und i DSGVO, weil die Verarbeitung für die grenzüberschreitende Gesundheitsversorgung erforderlich ist. Die in § 24i Abs. 2 GTelG 2012 verlangte Freiwilligkeit ist keine Einwilligung im Sinne des Art. 9 Abs. 2 Buchstabe a DSGVO, sondern eine zusätzliche Maßnahme mit der sichergestellt werden soll, dass sich die Patient/innen der Konsequenzen ihrer Handlungen bewusst sind.

Rechtsgrundlage der grenzüberschreitenden Gesundheitsversorgung sind auf unionsrechtlicher Ebene vor allem Art. 168 und 114 AEUV, die Bestimmungen der Patientenmobilitätsrichtlinie 2011/24/EU sowie Art. 9 Abs. 2 Buchstaben h und i DSGVO.

Dabei handelt es sich um eine Aufgabe, die zu einem „funktionierenden Gesundheitswesen“ beiträgt, d.h. im wichtigen öffentlichen Interesse liegt (VfSlg. 20.556/2022).

Die Anforderung “Bewertung der Rechtmäßigkeit der Verarbeitung” ist somit, insbesondere aufgrund der in Art. 9 Abs. 2 DSGVO enthaltenen Erlaubnistatbestände zur Gesundheitsversorgung sowie im Lichte der einschlägigen VfGH-Judikatur, als erfüllt anzusehen.

^{Angemessenheit der Verarbeitung}

^{(Art. 35 Abs. 7 Buchstabe b iVm Art. 5 Abs. 1 Buchstabe c DSGVO; WP 248 Rev.01, 21 und 28)}

Die Verarbeitung ist vor allem deswegen angemessen, weil die Verarbeitung der grenzüberschreitenden Gesundheitsversorgung dient und damit im wichtigen öffentlichen Interesse liegt (siehe oben: Feld „BEWERTUNG / Rechtmäßigkeit der Verarbeitung“).

Außerdem dürfen Daten (siehe oben Feld „SYSTEMATISCHE BESCHREIBUNG / Personenbezogene Daten“) nur verarbeitet werden, wenn es die Behandlung oder Ausübung der Rechte der betroffenen Personen erfordert (§ 24k Abs. 2 GTelG 2012). Die Initiative geht auch in allen Fällen von den betroffenen Personen aus: entweder suchen sie ELGA-Gesundheitsdiensteanbieter/innen (in Österreich) oder Gesundheitsdienstleister gemäß Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie (in anderen Mitgliedstaaten) auf, um behandelt zu werden oder wenden sich an die ELGA- und eHealth-Supporteinrichtung bzw. rufen das Zugangsportal auf, um ihre Rechte wahrzunehmen. In beiden Fällen ist die Verarbeitung ihrer personenbezogenen Daten erforderlich, um ihren eigenen Wünschen entsprechen zu können. Was aber von den betroffenen Personen selbst verlangt wird, hat – nach dem Prinzip „volenti non fit iniuria“ – zumindest die Vermutung der Angemessenheit für sich (vgl. Schlussanträge zu C-693/22 Rn 65 bzw. C-667/21 Rn 102; VfSlg. 3424/1958).

Die Anforderung “Bewertung der Angemessenheit der Verarbeitung” ist insbesondere aufgrund des gesetzlich verpflichtenden Einsatzes von bereichsspezifischen Personenkennzeichen sowie des strafrechtlichen Schutzes vor Missbrauch, als erfüllt anzusehen.

Erheblichkeit der Verarbeitung

^{(Art. 35 Abs. 7 Buchstabe b iVm Art. 5 Abs. 1 Buchstabe c DSGVO; WP 248 Rev.01, 21 und 28)}

Die Verarbeitung ist erheblich, weil die vorgesehene Verarbeitung conditio sine qua non für eine grenzüberschreitende Gesundheitsversorgung ist. Dabei handelt es sich um eine Aufgabe, die zu einem „funktionierenden Gesundheitswesen“ beiträgt, d.h. im wichtigen öffentlichen Interesse liegt (VfSlg. 20.556/2022).

Die Anforderung “Bewertung der Erheblichkeit der Verarbeitung” ist als erfüllt anzusehen, weil die Verarbeitungstätigkeit conditio sine qua non für eine grenzüberschreitende Gesundheitsversorgung ist.

^{Beschränktheit der Verarbeitung auf das notwendige Maß}

^{(Art. 35 Abs. 7 Buchstabe b iVm Art. 5 Abs. 1 Buchstabe c DSGVO; WP 248 Rev.01, 21 und 28)}

Die bloße Weiterleitung der Gesundheitsdaten an Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie) in anderen Mitgliedstaaten für Zwecke der grenzüberschreitenden Gesundheitsversorgung ist als auf das notwendige Maß beschränkt anzusehen (siehe oben auf Feld „BEWERTUNG / Erheblichkeit der Verarbeitung“), weil durch die Reduktion der Verarbeitung auf die Weiterleitung („Kommunikation“) der Medikationsdaten (EU-Rezepts) bzw. anderer relevanter Gesundheitsdaten (EU-Patientenkurzakte) gemäß § 24j Abs. 2 GTelG 2012 keine Gesundheitsdaten bei der Nationalen Kontaktstelle gespeichert werden, sondern nur Protokollierungsdaten. Für diese gilt auch die in § 24j Abs. 3 GTelG 2012 vorgesehene Löschfrist.

Die Anforderung “Bewertung der Beschränktheit der Verarbeitung auf das notwendige Maß” ist als erfüllt anzusehen, insbesondere weil es zu keiner doppelten bzw. mehrfachen Speicherung der Daten – und damit einer Verarbeitung über das notwendige Maß hinaus – kommt.

^{Speicherbegrenzung}

^{(Art. 5 Abs. 1 Buchstabe e DSGVO; WP 248 Rev.01, 21 und 28)}

Wie bereits oben im Feld „SYSTEMATISCHE BESCHREIBUNG / Speicherdauer“ ausgeführt, ist die Löschfrist in § 24j Abs. 3 GTelG 2012 so angegeben, dass die über die Nationale Kontaktstelle ausgetauschten Daten spätestens 10 Jahre nach Abschluss der Verarbeitung, also im Falle des EU-Rezepts nachdem die elektronische Abgabe an die Nationale Kontaktstelle für digitale Gesundheit im Behandlungsmitgliedstaat übermittelt oder von dieser erhalten wurde bzw. im Falle der EU-Patientenkurzakte nachdem die EU-Patientenkurzakte aus dem Herkunftsland der Person durch die Nationale Kontaktstelle abgerufen und vom behandelnden Gesundheitsdiensteanbieter erhalten wurde, zu löschen sind.

Durch diese ausdrückliche Löschpflicht ist die Anforderung “Bewertung der Speicherbegrenzung” als erfüllt anzusehen, weil Maßnahmen zur Begrenzung der Speicherdauer gesetzlich vorgeschrieben sind.

^{Generelle Information der betroffenen Personen}

^{(Art. 12 DSGVO; WP 248 Rev.01, 21 und 28)}

Eine Datenschutzerklärung ist für die gegenständliche Verarbeitung in Ausarbeitung und wird als Patient Information Notice (PIN) den Bürger/innen zur Verfügung gestellt werden.

Die Anforderung “Bewertung der Information der betroffenen Personen bei Erhebung” ist aufgrund der grundsätzlichen Machbarkeit einer solchen Information als erfüllbar anzusehen.

^{Information der betroffenen Personen bei Erhebung}

^{(Art. 13 DSGVO; WP 248 Rev.01, 21 und 28)}

Eine Datenschutzerklärung liegt für die gegenständliche Verarbeitung noch nicht vor.

Zur Einhaltung der klaren und einfachen Sprache – siehe oben: Feld „BEWERTUNG / Generelle Informationen der betroffenen Personen“.

Die Anforderung “Bewertung der Information der betroffenen Personen bei Erhebung” ist aufgrund der grundsätzlichen Machbarkeit einer solchen Information als erfüllbar anzusehen.

^{Information der betroffenen Personen, wenn die Daten nicht bei ihnen erhoben werden}

^{(Art. 14 DSGVO; WP 248 Rev.01, 21 und 28)}

Siehe oben: Feld „BEWERTUNG / Information der betroffenen Personen bei Erhebung“.

Die Anforderung “Bewertung der Information der betroffenen Personen, wenn die Daten nicht bei ihnen erhoben werden” ist aufgrund der grundsätzlichen Machbarkeit einer solchen Information als erfüllbar anzusehen.

^{Auskunftsrecht der betroffenen Personen und Recht auf Datenübertragbarkeit}

^{(Art. 15 und 20 DSGVO; WP 248 Rev.01, 21 und 28)}

Das Recht auf Auskunft kann elektronisch durch einen Zugang über das des Zugangsportals (§ 23 GTelG 2012) oder postalisch, physisch sowie elektronisch gegenüber der ELGA- und eHealth-Supporteinrichtung (§ 17 GTelG 2012) wahrgenommen werden. Elektronisch kann das Auskunftsrecht jederzeit, weltweit durch Einloggen mit der E-ID (ID Austria) und Aufruf der Seite https://www.elga-online.gv.at/web-gui/protected/protokolle.xhtml wahrgenommen werden. Bei der ELGA- und eHealth-Supporteinrichtung kann das Auskunftsrecht physisch an den unter https://www.gesundheit.gv.at/gesundheitsleistungen/elga/elga-ombudsstelle.html angegeben Standorten während der angeführten Öffnungszeiten wahrgenommen werden. Voraussetzung ist der Identitätsnachweis mittels amtlichem Lichtbildausweis sowie eine dokumentierte Vollmacht zur Wahrnehmung dieses Rechts gemäß Kapitel III DSGVO.

Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Buchstabe a DSGVO nicht zu, weil die Verarbeitung

weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO)

noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO),

sondern aufgrund des Rechts eines Mitgliedstaats, nämlich des Gesundheitstelematikgesetzes 2012 erfolgt.

Die Anforderung “Bewertung des Auskunftsrechts der betroffenen Personen und ihres Rechts auf Datenübertragbarkeit” ist aufgrund der elektronischen und physischen Infrastruktur, insbesondere des Zugangsportals (§ 23 GTelG 2012) sowie der ELGA- und eHealth-Supporteinrichtung (§ 17 GTelG 2012), als erfüllt anzusehen.

^{Recht auf Berichtigung und Löschung}

^{(Art. 16, 17 und 19, WP 248 Rev.01, 21 und 28)}

Das Recht auf Berichtigung kann postalisch, physisch sowie elektronische gegenüber der ELGA- und eHealth-Supporteinrichtung (§ 17 GTelG 2012) wahrgenommen werden. Bei der ELGA- und eHealth-Supporteinrichtung kann das Recht auf Berichtigung physisch an den unter https://www.gesundheit.gv.at/gesundheitsleistungen/elga/elga-ombudsstelle.html angegeben Standorten während der angeführten Öffnungszeiten wahrgenommen werden. Voraussetzung ist der Identitätsnachweis mittels amtlichem Lichtbildausweis sowie eine dokumentierte Vollmacht zur Wahrnehmung dieses Rechts gemäß Kapitel III DSGVO.

Das Recht auf Löschung steht gemäß Art. 17 Abs. 3 Buchstabe b DSGVO nicht zu, weil die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, der – zumindest die innerstaatlichen – Verantwortlichen unterliegen, erforderlich ist. Die rechtlichen Verpflichtungen nach dem Recht eines Mitgliedstaats sind die Bestimmungen des 6. Abschnitts des Gesundheitstelematikgesetzes 2012 über die grenzüberschreitende Gesundheitsversorgung.

Die Anforderung “Bewertung des Rechts auf Berichtigung und Löschung” ist aufgrund der elektronischen und physischen Infrastruktur, insbesondere des Zugangsportals (§ 23 GTelG 2012) sowie der ELGA- und eHealth-Supporteinrichtung (§ 17 GTelG 2012), als erfüllt anzusehen.

^{Widerspruchsrecht und Recht auf Einschränkung der Verarbeitung}

^{(Art. 18, 19 und 21; WP 248 Rev.01, 21 und 28)}

Das Widerspruchsrecht steht nicht zu, weil die Verarbeitung weder aufgrund öffentlicher Interessen (Art. 6 Abs. 1 Buchstabe e DSGVO) noch aufgrund berechtigter Interessen (Art. 6 Abs. 1 Buchstabe f DSGVO) noch zu Zwecken der Direktwerbung oder der Statistik erfolgt. Die Verarbeitung erfolgt – wie oben in Feld „BEWERTUNG / Rechtmäßigkeit der Verarbeitung“ näher ausgeführt – aufgrund von Art. 9 Abs. 2 Buchstaben g, h und i DSGVO, d.h. ist aufgrund „des Rechts eines Mitgliedstaats [...] aus Gründen eines erheblichen öffentlichen Interesses erforderlich“, „für [...] die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich [...] erforderlich“ oder „aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit [...] erforderlich“.

Das Recht auf Einschränkung der Verarbeitung kann postalisch, physisch sowie elektronisch gegenüber der ELGA- und eHealth-Supporteinrichtung (§ 17 GTelG 2012) wahrgenommen werden. Bei der ELGA- und eHealth-Supporteinrichtung kann das Recht auf Berichtigung physisch an den unter https://www.gesundheit.gv.at/gesundheitsleistungen/elga/elga-ombudsstelle.html angegeben Standorten während der angeführten Öffnungszeiten wahrgenommen werden. Voraussetzung ist der Identitätsnachweis mittels amtlichem Lichtbildausweis sowie eine dokumentierte Vollmacht zur Wahrnehmung dieses Rechts gemäß Kapitel III DSGVO.

Die Anforderung “Bewertung des Widerspruchsrechts und des Rechts auf Einschränkung der Verarbeitung” ist aufgrund der elektronischen und physischen Infrastruktur, insbesondere des Zugangsportals (§ 23 GTelG 2012) sowie der ELGA- und eHealth-Supporteinrichtung (§ 17 GTelG 2012), als erfüllt anzusehen.

^{Verhältnis zu Auftragsverarbeiter/innen}

^{(Art. 28 DSGVO; WP 248 Rev.01, 21 und 28)}

Da das EU-Rezept noch umzusetzen bzw. zu errichten ist und zwar Anfang 2026 (siehe: Allgemeiner Teil der Erläuterungen), sind hinsichtlich der genauen Festlegung der Auftragsverarbeiter/innen noch allfällige Ausschreibungen abzuwarten. Dabei sind die Anforderungen des Art. 28 DSGVO einzuhalten. Da es kein „anderes Rechtsinstrument nach dem Unionsrecht oder dem Recht eines Mitgliedstaates“ (Art. 28 Abs. 3 DSGVO), d.h. insbesondere keine Bestimmung im Gesundheitstelematikgesetz 2012 oder in einer darauf basierenden Verordnung, gibt, die die Anforderungen des Art. 28 Abs. 3 DSGVO erfüllt, sind Auftragsverarbeitungsvereinbarungen abzuschließen. Dies hat gemäß Art. 28 Abs. 9 DSGVO schriftlich zu erfolgen. Die Verantwortung für den Abschluss der Auftragsverarbeitungsvereinbarungen tragen die Verantwortlichen.

Gleiches gilt für die Anwendung „EU-Patientenkurzakte“, die ebenso Anfang 2026 umzusetzen ist.

Die Anforderung “Bewertung des Verhältnisses zu Auftragsverarbeiterinnen und Auftragsverarbeitern” ist aufgrund der grundsätzlichen Umsetzbarkeit als erfüllbar anzusehen.

^{Schutzmaßnahmen bei der Übermittlung in Drittländer}

^{(Kapitel V DSGVO; WP 248 Rev.01, 21 und 28)}

Eine Übermittlung in Drittländer ist nicht vorgesehen. Es sind daher keine spezifischen Schutzmaßnahmen für die Übermittlung in Drittländer vorgesehen.

Die Anforderung “Bewertung der Schutzmaßnahmen bei der Übermittlung in Drittländer” ist aufgrund der nicht vorgesehenen Übermittlung in Drittländer als erfüllt anzusehen.

^{Vorherige Konsultation}

^{(Art. 36 und EG 96 DSGVO; WP 248 Rev.01, 21 und 28)}

Die vorherige Konsultation der Datenschutzbehörde ist nicht erforderlich, weil folgende Maßnahmen zur Eindämmung der Risiken getroffen wurden:

die Sicherstellung der Freiwilligkeit der Teilnahme (§ 24i Abs. 2 GTelG 2012);

die ausdrückliche Einschränkung der erlaubten Zwecke auf grenzüberschreitende Gesundheitsversorgung und die Wahrnehmung der Bürger/innenrechte, d.h. insbesondere der Betroffenenrechte gemäß Kapitel III DSGVO (§ 24k Abs. 2 Z 1 GTelG 2012);

die Regelung einer ausdrücklichen Löschfrist für die Nationale Kontaktstelle (§ 24j Abs. 3 GTelG 2012);

Art. 25 DSGVO, der zum Schutz der betroffenen Personen verlangt, dass „geeignete technische und organisatorische Maßnahmen“ zu treffen sind;

Art. 32 DSGVO, wonach Verantwortliche und Auftragsverarbeiter/innen für „ein dem Risiko angemessenes Schutzniveau“ zu sorgen haben und der – zumindest im privaten Bereich – mit Geldstrafen bis 10 Mio. EUR sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO);

Art. 82 DSGVO, wonach auch immaterielle Schäden, ohne Erheblichkeitsschwelle und zwar auch gegenüber öffentlichen Stellen verschuldensunabhängig ersatzfähig sind;

strafrechtliche Bestimmungen zur „Verletzung von Berufsgeheimnissen“ (§ 121 StGB), „Amtsmissbrauch“ (§ 302 StGB) oder „Verletzung eines Amtsgeheimnisses“ (§ 310 StGB);

das für Beamt/innen bei den beteiligten öffentlichen Stellen, wie etwa der Nationalen Kontaktstelle, geltende Disziplinarrecht;

das für Ärzt/innen geltende Standesrecht;

die Bestimmungen des 2. Abschnittes des Gesundheitstelematikgesetzes 2012 zur Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten, wie insbesondere § 3 Abs. 4 GTelG 2012, wonach Gesundheitsdaten nur dann übermittelt werden dürfen, wenn

die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

die Identität der Patient/innen nachgewiesen ist,

die Identität der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen ist,

die Rollen der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen sind und

Vertraulichkeit und Integrität der übermittelten Gesundheitsdaten gewährleistet sind;

die verpflichtende eindeutige Identifikation von betroffenen Personen (§ 24k Abs. 1 Z 1 in Verbindung mit § 24l GTelG 2012) und involvierten Gesundheitsdiensteanbietern (§ 24k Abs. 1 Z 3 in Verbindung mit § 24m GTelG 2012);

Einsatz der höchsten Qualität von Identifikatoren in Form bereichsspezifischer Personenkennzeichen gemäß den §§ 9 ff des E‑Government-Gesetzes sowie § 4 Abs. 6 GTelG 2012;

die verpflichtende, namentliche Protokollierung sämtlicher Verarbeitungsvorgänge (§ 24k Abs. 3 Z 4 in Verbindung mit § 22 GTelG 2012);

weitere umfangreiche Sicherheitsmaßnahmen, wie etwa

die Sicherheitsüberprüfung der IT-Administrator/innen (SIKO, 16);

die Einschränkung von Drittkomponenten (SIKO, 33);

Prüfung- und Validierungsverfahren (SIKO, 34);

Passwortsicherheit (SIKO, 39);

Systemtrennung (SIKO, 41);

Systemhärtung (SIKO, 41);

Systemisolierung (SIKO, 44);

Update- und Patch-Management (SIKO, 45);

Transportverschlüsselung (SIKO, 49);

Datensicherung (SIKO, 52);

sicherheitsrelevante Abnahmekriterien und Tests (SIKO, 57);

System- und Prozessaudits (SIKO, 60);

starke Authentifizierung für Fernwartungszugänge (SIKO, 62);

Meldung von Sicherheitsvorfällen und Datenschutzverletzungen (SIKO, 65).

Die Anforderung “Bewertung der vorherigen Konsultation” ist aufgrund der durchgeführten vorherigen Konsultation als erfüllt anzusehen.

RISIKEN

Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt:

^{Physische, materielle oder immaterielle Schäden}

^{(EG 90 iVm 85 DSGVO; WP 248 Rev.01, 21 und 28)}

Im Fall des EU-Rezepts:

Ursache: Physische, materielle oder immaterielle Schäden können für die betroffenen Personen durch

das Bekanntwerden bzw. Offenlegen von – aus den Medikationsdaten ableitbaren – Krankheiten sowie

die Änderung bzw. Löschung von Medikationsdaten

entstehen.

Im Fall der EU-Patientenkurzakte:

Ursache: Physische, materielle oder immaterielle Schäden können für die betroffenen Personen durch das Bekanntwerden bzw. Offenlegen von aus der EU-Patientenkurzakte abgelesenen oder ableitbaren Krankheiten oder sonstigen personenbezogenen Daten entstehen.

In beiden Fällen:

Art: Physische Schäden sind insbesondere bei Änderung der Medikationsdaten zu erwarten. Vor allem Änderungen in der Dosierung können zu physischen Schäden, d.h. Beeinträchtigungen der Gesundheit bis hin zum Tod führen, weil derartige Änderungen leichter übersehen werden können, als beispielsweise Änderungen, die den Namen des verschriebenen Arzneimittels betreffen und daher leichter auffallen. Als materielle Schäden können finanzielle Verluste etwa aufgrund des Verlust des Arbeitsplatzes oder sonstiger beruflicher bzw. geldwerter Chancen, etwa auf Versicherungs-, Miet- oder sonstige Vertragsverhältnisse auftreten. An immateriellen Schäden in Folge entdeckter Krankheiten sind vor allem Ängste vor den negativen Auswirkungen der Offenlegung, Änderung oder Löschung von Medikationsdaten zu erwarten. Immaterielle Schäden sind insbesondere auch aufgrund der Angst vor weiteren Datenschutzverletzungen (“Vertrauensverlust”) sowie vor Stigmatisierung oder anderen Formen der Diskriminierung denkbar.

Im Falle der EU-Patientenkurzakte ist dieses spezifische Risiko mangels schreibenden Zugriff nicht gegeben.

Besonderheit: Das gegenständliche Risiko für physische, materielle oder immaterielle Schäden weist folgende Besonderheiten auf:

Mit Medikationsdaten und der EU-Patientenkurzakte werden welche der sensibelsten Daten überhaupt verarbeitet. Die Liste der verschriebenen und verabreichten Arzneimittel stellt eine Zusammenfassung des Gesundheitszustands der betreffenden Person dar, aus der – bei entsprechender Medikation mit Psychopharmaka – sogar psychische Beeinträchtigungen abgelesen werden können.

Durch den grenzüberschreitenden Charakter besteht ein geographisch außerordentlich großer Umfang der Verarbeitung, der sogar das Bundesgebiet übersteigt.

Der grenzüberschreitende Charakter bedingt nicht nur einen ungewöhnlich großen (geographischen) Umfang der Verarbeitung, sondern erfordert auch das Zusammenspiel vieler unterschiedlicher technischer Systeme in zumindest zwei Mitgliedstaaten.

Als weitere Besonderheit ist das gemäß § 54 des Ärztegesetzes 1998 sowie gemäß § 121 des Strafgesetzbuches besonders geschützte Vertrauensverhältnis zwischen Ärzt/innen und Patient/innen („ärztliche Schweigepflicht“) zu nennen.

Schwere: Fehlerhafte Medikationsdaten oder fehlende oder falsche Daten in der EU-Patientenkurzakte können mitunter zu schweren physischen Schäden, d.h. Beeinträchtigungen der Gesundheit bis hin zum Tod führen. Auch die materiellen Schäden können beträchtlich und mit langfristigen negativen Konsequenzen für die betroffenen Personen verbunden sein. Auch die immateriellen Schäden können erheblich sein, weil betroffene Personen keine Angst vor der Verarbeitung ihrer Gesundheitsdaten haben sollten, sondern sich ohne Angst auf die notwendige Behandlung konzentrieren können sollten.

Eintrittswahrscheinlichkeit: Es ist nicht zu erwarten, dass es zu den angeführten Schäden für die betroffenen Personen kommt (die bereits jetzt bestehen und durch die Anwendungen des 2. und 3. Abschnitts durchwegs gemindert statt erhöht werden), weil es strenge Vorkehrungen und Maßnahmen gibt, die vor einer fehlerhaften bzw. missbräuchlichen Verarbeitung schützen sollen, wie insbesondere:

die Sicherstellung der Freiwilligkeit der Teilnahme (§ 24i Abs. 2 GTelG 2012);

die ausdrückliche Einschränkung der erlaubten Zwecke auf grenzüberschreitende Gesundheitsversorgung und die Wahrnehmung der Bürger/innenrechte, d.h. insbesondere der Betroffenenrechte gemäß Kapitel III DSGVO (§ 24k Abs. 2 Z 1 GTelG 2012);

die Regelung einer ausdrücklichen Löschfrist für die Nationale Kontaktstelle (§ 24j Abs. 3 GTelG 2012);

Art. 25 DSGVO, der zum Schutz der betroffenen Personen verlangt, dass „geeignete technische und organisatorische Maßnahmen“ zu treffen sind;

Art. 32 DSGVO, wonach Verantwortliche und Auftragsverarbeiter/innen für „ein dem Risiko angemessenes Schutzniveau“ zu sorgen haben und der – zumindest im privaten Bereich – mit Geldstrafen bis 10 Mio. EUR sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO);

Art. 82 DSGVO, wonach auch immaterielle Schäden, ohne Erheblichkeitsschwelle und zwar auch gegenüber öffentlichen Stellen verschuldensunabhängig ersatzfähig sind;

strafrechtliche Bestimmungen zur „Verletzung von Berufsgeheimnissen“ (§ 121 StGB), „Amtsmissbrauch“ (§ 302 StGB) oder „Verletzung eines Amtsgeheimnisses“ (§ 310 StGB);

das für Beamt/innen bei den beteiligten öffentlichen Stellen, wie etwa der Nationalen Kontaktstelle, geltende Disziplinarrecht;

das für Ärzt/innen geltende Standesrecht;

die Bestimmungen des 2. Abschnittes des Gesundheitstelematikgesetzes 2012 zur Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten, wie insbesondere § 3 Abs. 4 GTelG 2012, wonach Gesundheitsdaten nur dann übermittelt werden dürfen, wenn

die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

die Identität der Patient/innen nachgewiesen ist,

die Identität der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen ist,

die Rollen der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen sind und

Vertraulichkeit und Integrität der übermittelten Gesundheitsdaten gewährleistet sind;

die verpflichtende eindeutige Identifikation von betroffenen Personen (§ 24k Abs. 1 Z 1 in Verbindung mit § 24l GTelG 2012) und involvierten Gesundheitsdiensteanbietern (§ 24k Abs. 1 Z 3 in Verbindung mit § 24m GTelG 2012);

Einsatz der höchsten Qualität von Identifikatoren in Form bereichsspezifischer Personenkennzeichen gemäß den §§ 9 ff des E‑Government-Gesetzes sowie § 4 Abs. 6 GTelG 2012;

die verpflichtende, namentliche Protokollierung sämtlicher Verarbeitungsvorgänge (§ 24k Abs. 3 Z 4 in Verbindung mit § 22 GTelG 2012);

die Heranziehung der BRZ GmbH als Ausfallrechenzentrum zur Sicherstellung der Verfügbarkeit, wobei die BRZ GmbH über Zertifizierungen gemäß ISO 27001, 22301 und 9001 verfügt (siehe BMSGPK-Sicherheitskonzept vom 7.6.2024 [in der Folge: SIKO], 16);

weitere umfangreiche Sicherheitsmaßnahmen, wie etwa

die Sicherheitsüberprüfung der IT-Administrator/innen (SIKO, 16);

die Einschränkung von Drittkomponenten (SIKO, 33);

Prüfung- und Validierungsverfahren (SIKO, 34);

Passwortsicherheit (SIKO, 39);

Systemtrennung (SIKO, 41);

Systemhärtung (SIKO, 41);

Systemisolierung (SIKO, 44);

Update- und Patch-Management (SIKO, 45);

Transportverschlüsselung (SIKO, 49);

Datensicherung (SIKO, 52);

sicherheitsrelevante Abnahmekriterien und Tests (SIKO, 57);

System- und Prozessaudits (SIKO, 60);

starke Authentifizierung für Fernwartungszugänge (SIKO, 62);

Meldung von Sicherheitsvorfällen und Datenschutzverletzungen (SIKO, 65).

Aufgrund der Rahmenbedingungen, insbesondere der bereits bestehenden strengen rechtlichen Konsequenzen bei Verstößen sowie der Heranziehung von nach internationalen Standards zertifizierten Auftragsverarbeitern ist nicht von einem substanziellen Risiko für das Auftreten physischer, materieller und immaterieller Schäden auszugehen, womit die gegenständliche Anforderung als erfüllt angesehen werden kann.

^{Verlust der Kontrolle über personenbezogene Daten}

^{(EG 90 iVm 85 DSGVO; WP 248 Rev.01, 21 und 28)}

Ursache: Der Verlust der Kontrolle über personenbezogene Daten kann für die betroffenen Personen grundsätzlich durch jede Verarbeitung entstehen und ist bei gesetzlich vorgesehenen Verarbeitungen höher als bei Verarbeitungen aufgrund von Einwilligungen, weil bei gesetzlich vorgesehenen Verarbeitungen die Mitwirkung der betroffenen Personen oftmals nicht erforderlich bzw. vorgesehen ist.

Art: Beim Verlust der Kontrolle über personenbezogene Daten haben die betroffenen Personen keinerlei Möglichkeit auf die Verarbeitung Einfluss zu nehmen und sind ihrer Betroffenenrechte beraubt.

Besonderheit: Die Besonderheit des gegenständlichen Risikos für den Verlust der Kontrolle über personenbezogene Daten ergibt sich vor allem aus dem Umfang der verarbeiteten Daten. Dass die gesetzliche vorgesehene Verarbeitung aber nicht unzulässig ist, zeigen die Rechtsgrundlagen (siehe oben Feld „BEWERTUNG / Rechtmäßigkeit der Verarbeitung“) sowie die Öffnungsklauseln in der Datenschutz-Grundverordnung, die die Verarbeitung aufgrund nationaler Bestimmungen erlauben.

Schwere: Von ihrer Schwere ist der Verlust der Kontrolle über personenbezogene Daten nicht von vergleichbaren Risiken aufgrund anderer gesetzlich vorgesehener Verarbeitungen zu unterscheiden.

Eintrittswahrscheinlichkeit: Es ist nicht zu erwarten, dass es zum Verlust der Kontrolle über personenbezogene für die betroffenen Personen kommt, weil es zahlreiche Vorkehrungen gibt, die die Transparenz der Verarbeitung, die Wahrung der Betroffenenrechte sowie den (datenschutzrechtlichen) Rechtsschutz der betroffenen Personen sicherstellen, wie etwa:

die Veröffentlichung des 6. Abschnitts des Gesundheitstelematikgesetzes 2012 sowie der darauf basierenden Verordnungen im Rahmen des Rechtsinformationssystems des Bundes im Internet;

die Veröffentlichung der zugrundeliegenden, parlamentarischen Materialien auf dem Server des Parlaments;

die umfassende Möglichkeit zur Wahrnehmung der Betroffenenrechte gemäß § 24n GTelG 2012;

die Sicherstellung der Freiwilligkeit der Teilnahme durch § 24i Abs. 2 GTelG 2012.

Aufgrund der gegenständlichen Verarbeitung, insbesondere der vorgesehenen Maßnahmen zur Einhaltung der Transparenz und Sicherstellung der Betroffenenrechte ist nicht von einem nennenswerten Risiko für den Verlust der Kontrolle über personenbezogene Daten auszugehen, womit die gegenständliche Anforderung als erfüllt angesehen werden kann.

^{Diskriminierung}

^{(EG 90 iVm 85 DSGVO; WP 248 Rev.01, 21 und 28)}

Ursache: Nachteile aus Diskriminierung können für die betroffenen Personen grundsätzlich durch jede Verarbeitung personenbezogener Daten entstehen, weil die (automationsunterstützte) Verarbeitung personenbezogener Daten die Filterung nach gewissen Merkmalen erlaubt und für die so durch Filterung ermittelten betroffenen Personen (rechtswidriger Weise) negative Konsequenzen entstehen können. Ursache für Nachteile aus Diskriminierung sind einerseits technischer Natur, wenn es beispielsweise zu Datenschutzverletzungen kommt, und andererseits gesellschaftlicher Natur, wenn die Daten wegen fehlendem Verständnis oder aufgrund bestimmter Vorurteile zum Nachteil der betroffenen Person eingesetzt werden.

Art: Denkbar sind Nachteile aus Diskriminierung insbesondere am Arbeitsplatz, wenn Arbeitnehmer/innen aufgrund ihrer Gesundheitsdaten bei Beförderungen oder Einstellungen benachteiligt oder ihre Arbeitsverhältnisse ungerechtfertigter Weise gekündigt werden. Auch Nachteile bei Versicherungen sind dankbar, etwa in Form höherer Prämien oder verweigerter Leistungen oder Versicherungsabschlüsse. Schließlich könnten betroffene Personen aufgrund bestimmter Diagnosen – insbesondere betreffend Psychopharmaka – sozial ausgegrenzt werden.

Besonderheit: Das gegenständliche Risikos für Diskriminierungen weist folgende Besonderheiten auf:

Mit Medikationsdaten werden eine der sensibelsten Daten überhaupt verarbeitet. Die Liste der verschriebenen und verabreichten Arzneimittel stellt eine Zusammenfassung des Gesundheitszustands der betreffenden Person dar, aus der – bei entsprechender Medikation mit Psychopharmaka – sogar psychische Beeinträchtigungen abgelesen werden können.

Durch den grenzüberschreitenden Charakter besteht ein geographisch außerordentlich großer Umfang der Verarbeitung, der sogar das Bundesgebiet übersteigt.

Der grenzüberschreitende Charakter bedingt nicht nur einen ungewöhnlich großen (geographischen) Umfang der Verarbeitung, sondern erfordert auch das Zusammenspiel vieler unterschiedlicher technischer Systeme in zumindest zwei Mitgliedstaaten.

Als weitere Besonderheit ist das gemäß § 54 des Ärztegesetzes 1998 sowie gemäß § 121 des Strafgesetzbuches besonders geschützte Vertrauensverhältnis zwischen Ärzt/innen und Patient/innen („ärztliche Schweigepflicht“) zu nennen.

Schwere: Es sind leichte und schwere Fälle denkbar. Leichte Fälle können subtile Formen der Benachteiligung, wie zum Beispiel Ausschluss von bestimmten beruflichen Weiterbildungen, umfassen. Schwere Fälle können soziale Stigmatisierung und Isolation, Jobverlust oder Verlust des Versicherungsschutzes umfassen.

Eintrittswahrscheinlichkeit: Es ist nicht zu erwarten, dass es zu den angeführten Schäden für die betroffenen Personen kommt, weil es strenge Vorkehrungen und Maßnahmen gibt, die vor einer fehlerhaften bzw. missbräuchlichen Verarbeitung schützen sollen, wie insbesondere:

die Sicherstellung der Freiwilligkeit der Teilnahme (§ 24i Abs. 2 GTelG 2012);

die ausdrückliche Einschränkung der erlaubten Zwecke auf grenzüberschreitende Gesundheitsversorgung und die Wahrnehmung der Bürger/innenrechte, d.h. insbesondere der Betroffenenrechte gemäß Kapitel III DSGVO (§ 24k Abs. 2 Z 1 GTelG 2012);

die Regelung einer ausdrücklichen Löschfrist für die Nationale Kontaktstelle (§ 24j Abs. 3 GTelG 2012);

Art. 25 DSGVO, der zum Schutz der betroffenen Personen verlangt, dass „geeignete technische und organisatorische Maßnahmen“ zu treffen sind;

Art. 32 DSGVO, wonach Verantwortliche und Auftragsverarbeiter/innen für „ein dem Risiko angemessenes Schutzniveau“ zu sorgen haben und der – zumindest im privaten Bereich – mit Geldstrafen bis 10 Mio. EUR sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO);

Art. 82 DSGVO, wonach auch immaterielle Schäden, ohne Erheblichkeitsschwelle und zwar auch gegenüber öffentlichen Stellen verschuldensunabhängig ersatzfähig sind;

strafrechtliche Bestimmungen zur „Verletzung von Berufsgeheimnissen“ (§ 121 StGB), „Amtsmissbrauch“ (§ 302 StGB) oder „Verletzung eines Amtsgeheimnisses“ (§ 310 StGB);

das für Beamt/innen bei den beteiligten öffentlichen Stellen, wie etwa der Nationalen Kontaktstelle, geltende Disziplinarrecht;

das für Ärzt/innen geltende Standesrecht;

die Bestimmungen des 2. Abschnittes des Gesundheitstelematikgesetzes 2012 zur Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten, wie insbesondere § 3 Abs. 4 GTelG 2012, wonach Gesundheitsdaten nur dann übermittelt werden dürfen, wenn

die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

die Identität der Patient/innen nachgewiesen ist,

die Identität der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen ist,

die Rollen der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen sind und

Vertraulichkeit und Integrität der übermittelten Gesundheitsdaten gewährleistet sind;

die verpflichtende eindeutige Identifikation von betroffenen Personen (§ 24k Abs. 1 Z 1 in Verbindung mit § 24l GTelG 2012) und involvierten Gesundheitsdiensteanbietern (§ 24k Abs. 1 Z 3 in Verbindung mit § 24m GTelG 2012);

Einsatz der höchsten Qualität von Identifikatoren in Form bereichsspezifischer Personenkennzeichen gemäß den §§ 9 ff des E‑Government-Gesetzes sowie § 4 Abs. 6 GTelG 2012;

die verpflichtende, namentliche Protokollierung sämtlicher Verarbeitungsvorgänge (§ 24k Abs. 3 Z 4 in Verbindung mit § 22 GTelG 2012);

die Heranziehung der BRZ GmbH als Ausfallrechenzentrum zur Sicherstellung der Verfügbarkeit, wobei die BRZ GmbH über Zertifizierungen gemäß ISO 27001, 22301 und 9001 verfügt (siehe BMSGPK-Sicherheitskonzept vom 7.6.2024 [in der Folge: SIKO], 16);

weitere umfangreiche Sicherheitsmaßnahmen, wie etwa

die Sicherheitsüberprüfung der IT-Administrator/innen (SIKO, 16);

die Einschränkung von Drittkomponenten (SIKO, 33);

Prüfung- und Validierungsverfahren (SIKO, 34);

Passwortsicherheit (SIKO, 39);

Systemtrennung (SIKO, 41);

Systemhärtung (SIKO, 41);

Systemisolierung (SIKO, 44);

Update- und Patch-Management (SIKO, 45);

Transportverschlüsselung (SIKO, 49);

Datensicherung (SIKO, 52);

sicherheitsrelevante Abnahmekriterien und Tests (SIKO, 57);

System- und Prozessaudits (SIKO, 60);

starke Authentifizierung für Fernwartungszugänge (SIKO, 62);

Meldung von Sicherheitsvorfällen und Datenschutzverletzungen (SIKO, 65).

Aufgrund der gegenständlichen Verarbeitung, insbesondere der geltenden, strengen Strafdrohungen ist nicht von einem substanziellen Risiko für Diskriminierung der betroffenen Personen auszugehen, womit die gegenständliche Anforderung als erfüllt angesehen werden kann.

^{Identitätsdiebstahl oder -betrug}

^{(EG 90 iVm 85 DSGVO; WP 248 Rev.01, 21 und 28)}

Ursache: Identitätsdiebstahl oder -betrug treten typischerweise in der Folge von Datenschutzverletzungen (Art. 4 Nr. 12 DSGVO) auf, wenn personenbezogene Daten, wie insbesondere Personenkennzeichen, E-Mail-Adressen, Nutzerkennungen, Passwörter oder Kreditkarteninformationen gestohlen oder offengelegt werden. Ursache für Datenschutzverletzungen können Schwachstellen in der IT-Sicherheit, wie ungenügende Verschlüsselung oder schlecht gesicherte Datenbanken sein, die es Hacker/innen erleichtern, Zugriff auf sensible Daten zu erlangen. Auch menschliches Fehlverhalten kann zu Datenschutzverletzungen führen, weshalb in sensiblen Bereichen (der Systemadministration) jedenfalls ein 4-Augen-Prinzip erforderlich ist.

Art: Identitätsdiebstahl oder -betrug können zu hohen, finanziellen Schäden bei den betroffenen Personen führen, insbesondere wenn mit den gestohlenen Identitäten kostenpflichtige Services (im Internet) in Anspruch genommen werden. Die betroffenen Personen entdecken den Identitätsdiebstahl oder -betrug oft erst, wenn ihnen nicht bezogene Leistungen in Rechnung gestellt werden. Es sind aber nicht nur finanzielle Schäden für die betroffenen Personen, sondern auch für Dritte denkbar, wenn beispielsweise mit gestohlenen Identitäten nicht zustehende Gesundheits- bzw. Versicherungsleistungen abgerufen werden. Nicht nur aus diesem Grund ist es daher im eigenen, vitalen Interesse der Verantwortlichen, für eine entsprechende Datensicherheit zu sorgen.

Besonderheit: Die Besonderheit des gegenständlichen Risikos für Identitätsdiebstahl oder -betrug ergibt sich vor allem aus der gesetzlichen Regelung, die der Verarbeitungstätigkeit „EU-Rezept“ zugrunde liegt, dem großen Umfang, der Komplexität der zugrundeliegenden IT-Systeme sowie der potentiellen Mächtigkeit gestohlener Identitäten. Die Aussicht in den Genuss gesetzlicher Sozialversicherungsleistungen zu kommen, könnte einen erheblichen Anreiz für Identitätsdiebstahl und -betrug darstellen. Eine weitere Besonderheit ist, dass – vor allem der medizinische Identitätsdiebstahl oder -betrug, lange Zeit oft nicht erkannt werden kann, weil anders als beim finanziellen Identitätsdiebstahl oder -betrug monatliche Abrechnungen, wie etwa Kreditkartenabrechnungen, und deren Kontrolle nicht gängige Praxis sind.

Schwere: Identitätsdiebstahl oder -betrug können – wie bereits ausgeführt – zu hohen, finanziellen Schäden führen. Verlust der Kreditwürdigkeit und hohe Schulden durch rechtswidrige Transaktionen können auf Seiten der betroffenen Personen und hohe, ungerechtfertigte Transferleistungen können auf Seiten der Verantwortlichen nicht ausgeschlossen werden. Nicht unerwähnt bleiben sollen medizinische Risiken, wenn es durch Identitätsdiebstahl oder -betrug möglicherweise zu Fehlbehandlungen kommt.

Eintrittswahrscheinlichkeit: Datenschutzverletzungen können nie zur Gänze ausgeschlossen werden. Es ist daher wichtig durch geeignete Prozesse sicherzustellen, dass sie soweit als möglich verhindert werden bzw. im Fall des Falles rasch reagiert wird. Insbesondere sollen typische technische und organisatorische Maßnahmen zur Sicherheit der Datenverarbeitung gemäß Art. 32 DSGVO vorgesehen werden, wie etwa

zur zeitlichen Verfügbarkeit,

zu Sicherheitsanforderungen und Zugriffsschutz,

zu Beauftragten für die Informationssicherheit,

zum Risikomanagement,

zu Sicherheitsanforderungen an Prozesse,

zu technische Sicherheitsanforderungen,

zu Sicherheitsanforderungen an die Authentifizierung,

zu Sicherheitsanforderungen für Testumgebungen,

zu baulichen Sicherheitsanforderungen sowie

zu Sicherheitsanforderungen an das Personal.

Dass weder Passwörter noch Nutzerkennungen oder Kreditkarteninformationen verarbeitet werden, senkt das Risiko für Identitätsdiebstahl oder -betrug.

Auch durch die folgenden bereits im Entwurf enthaltenen technischen und organisatorischen Maßnahmen soll die Sicherheit der Verarbeitung erhöht und das Risiko für Identitätsdiebstahl oder -betrug gesenkt werden:

die ausdrückliche Einschränkung der erlaubten Zwecke auf grenzüberschreitende Gesundheitsversorgung und die Wahrnehmung der Bürger/innenrechte, d.h. insbesondere der Betroffenenrechte gemäß Kapitel III DSGVO (§ 24k Abs. 2 Z 1 GTelG 2012);

die Regelung einer ausdrücklichen Löschfrist für die Nationale Kontaktstelle (§ 24j Abs. 3 GTelG 2012);

Art. 25 DSGVO, der zum Schutz der betroffenen Personen verlangt, dass „geeignete technische und organisatorische Maßnahmen“ zu treffen sind;

Art. 32 DSGVO, wonach Verantwortliche und Auftragsverarbeiter/innen für „ein dem Risiko angemessenes Schutzniveau“ zu sorgen haben und der – zumindest im privaten Bereich – mit Geldstrafen bis 10 Mio. EUR sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO);

Art. 82 DSGVO, wonach auch immaterielle Schäden, ohne Erheblichkeitsschwelle und zwar auch gegenüber öffentlichen Stellen verschuldensunabhängig ersatzfähig sind;

strafrechtliche Bestimmungen zur „Verletzung von Berufsgeheimnissen“ (§ 121 StGB), „Amtsmissbrauch“ (§ 302 StGB) oder „Verletzung eines Amtsgeheimnisses“ (§ 310 StGB);

das für Beamt/innen bei den beteiligten öffentlichen Stellen, wie etwa der Nationalen Kontaktstelle, geltende Disziplinarrecht;

das für Ärzt/innen geltende Standesrecht;

die Bestimmungen des 2. Abschnittes des Gesundheitstelematikgesetzes 2012 zur Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten, wie insbesondere § 3 Abs. 4 GTelG 2012, wonach Gesundheitsdaten nur dann übermittelt werden dürfen, wenn

die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

die Identität der Patient/innen nachgewiesen ist,

die Identität der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen ist,

die Rollen der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen sind und

Vertraulichkeit und Integrität der übermittelten Gesundheitsdaten gewährleistet sind;

die verpflichtende eindeutige Identifikation von betroffenen Personen (§ 24k Abs. 1 Z 1 in Verbindung mit § 24l GTelG 2012) und involvierten Gesundheitsdiensteanbietern (§ 24k Abs. 1 Z 3 in Verbindung mit § 24m GTelG 2012);

Einsatz der höchsten Qualität von Identifikatoren in Form bereichsspezifischer Personenkennzeichen gemäß den §§ 9 ff des E‑Government-Gesetzes sowie § 4 Abs. 6 GTelG 2012;

die verpflichtende, namentliche Protokollierung sämtlicher Verarbeitungsvorgänge (§ 24k Abs. 3 Z 4 in Verbindung mit § 22 GTelG 2012);

die Heranziehung der BRZ GmbH als Ausfallrechenzentrum zur Sicherstellung der Verfügbarkeit, wobei die BRZ GmbH über Zertifizierungen gemäß ISO 27001, 22301 und 9001 verfügt (siehe BMSGPK-Sicherheitskonzept vom 7.6.2024 [in der Folge: SIKO], 16);

weitere umfangreiche Sicherheitsmaßnahmen, wie etwa

die Sicherheitsüberprüfung der IT-Administrator/innen (SIKO, 16);

die Einschränkung von Drittkomponenten (SIKO, 33);

Prüfung- und Validierungsverfahren (SIKO, 34);

Passwortsicherheit (SIKO, 39);

Systemtrennung (SIKO, 41);

Systemhärtung (SIKO, 41);

Systemisolierung (SIKO, 44);

Update- und Patch-Management (SIKO, 45);

Transportverschlüsselung (SIKO, 49);

Datensicherung (SIKO, 52);

sicherheitsrelevante Abnahmekriterien und Tests (SIKO, 57);

System- und Prozessaudits (SIKO, 60);

starke Authentifizierung für Fernwartungszugänge (SIKO, 62);

Meldung von Sicherheitsvorfällen und Datenschutzverletzungen (SIKO, 65).

Aufgrund der gegenständlichen Verarbeitung, insbesondere der geltenden, strengen Strafdrohungen ist nicht von einem substanziellen Risiko für Identitätsdiebstahl oder -betrug auszugehen, womit die gegenständliche Anforderung als erfüllt angesehen werden kann.

Finanzielle Verluste

^{(EG 90 iVm 85 DSGVO; WP 248 Rev.01, 21 und 28)}

Ursache: Auch finanzielle Verluste treten typischerweise in der Folge von Datenschutzverletzungen (Art. 4 Nr. 12 DSGVO) auf, wenn personenbezogene Daten, wie insbesondere Personenkennzeichen, E-Mail-Adressen, Nutzerkennungen, Passwörter oder Kreditkarteninformationen gestohlen oder offengelegt werden. Finanzielle Verluste können sich aber auch als nachteilige Folgen von Diskriminierung ergeben.

Art: Finanzielle Verluste sind geldwerte Schäden und können insbesondere im Entgang von Verdienstmöglichkeiten liegen.

Besonderheit: Die Besonderheit des gegenständlichen Risikos für finanzielle Verluste ergibt sich vor allem aus der gesetzlichen Regelung, die der Verarbeitungstätigkeit „EU-Rezept“ zugrunde liegt, dem großen Umfang, der Komplexität der zugrundeliegenden IT-Systeme sowie der potentiellen Mächtigkeit gestohlener Identitäten. Die Aussicht in den Genuss gesetzlicher Sozialversicherungsleistungen zu kommen, könnte einen erheblichen Anreiz für Hacking bieten.

Schwere: Identitätsdiebstahl oder -betrug sowie Diskriminierung können – wie bereits oben ausgeführt – zu hohen, finanziellen Schäden bei den betroffenen Personen führen.

Eintrittswahrscheinlichkeit: Es ist nicht zu erwarten, dass es zu finanziellen Verlusten für die betroffenen Personen kommt, weil zahlreiche Vorkehrungen bestehen, die die Rechtmäßigkeit der Verarbeitung sicherstellen sollen, wie etwa:

die Sicherstellung der Freiwilligkeit der Teilnahme (§ 24i Abs. 2 GTelG 2012);

die ausdrückliche Einschränkung der erlaubten Zwecke auf grenzüberschreitende Gesundheitsversorgung und die Wahrnehmung der Bürger/innenrechte, d.h. insbesondere der Betroffenenrechte gemäß Kapitel III DSGVO (§ 24k Abs. 2 Z 1 GTelG 2012);

die Regelung einer ausdrücklichen Löschfrist für die Nationale Kontaktstelle (§ 24j Abs. 3 GTelG 2012);

Art. 25 DSGVO, der zum Schutz der betroffenen Personen verlangt, dass „geeignete technische und organisatorische Maßnahmen“ zu treffen sind;

Art. 32 DSGVO, wonach Verantwortliche und Auftragsverarbeiter/innen für „ein dem Risiko angemessenes Schutzniveau“ zu sorgen haben und der – zumindest im privaten Bereich – mit Geldstrafen bis 10 Mio. EUR sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO);

Art. 82 DSGVO, wonach auch immaterielle Schäden, ohne Erheblichkeitsschwelle und zwar auch gegenüber öffentlichen Stellen verschuldensunabhängig ersatzfähig sind;

strafrechtliche Bestimmungen zur „Verletzung von Berufsgeheimnissen“ (§ 121 StGB), „Amtsmissbrauch“ (§ 302 StGB) oder „Verletzung eines Amtsgeheimnisses“ (§ 310 StGB);

das für Beamt/innen bei den beteiligten öffentlichen Stellen, wie etwa der Nationalen Kontaktstelle, geltende Disziplinarrecht;

das für Ärzt/innen geltende Standesrecht;

die Bestimmungen des 2. Abschnittes des Gesundheitstelematikgesetzes 2012 zur Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten, wie insbesondere § 3 Abs. 4 GTelG 2012, wonach Gesundheitsdaten nur dann übermittelt werden dürfen, wenn

die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

die Identität der Patient/innen nachgewiesen ist,

die Identität der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen ist,

die Rollen der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen sind und

Vertraulichkeit und Integrität der übermittelten Gesundheitsdaten gewährleistet sind;

die verpflichtende eindeutige Identifikation von betroffenen Personen (§ 24k Abs. 1 Z 1 in Verbindung mit § 24l GTelG 2012) und involvierten Gesundheitsdiensteanbietern (§ 24k Abs. 1 Z 3 in Verbindung mit § 24m GTelG 2012);

Einsatz der höchsten Qualität von Identifikatoren in Form bereichsspezifischer Personenkennzeichen gemäß den §§ 9 ff des E‑Government-Gesetzes sowie § 4 Abs. 6 GTelG 2012;

die verpflichtende, namentliche Protokollierung sämtlicher Verarbeitungsvorgänge (§ 24k Abs. 3 Z 4 in Verbindung mit § 22 GTelG 2012);

die Heranziehung der BRZ GmbH als Ausfallrechenzentrum zur Sicherstellung der Verfügbarkeit, wobei die BRZ GmbH über Zertifizierungen gemäß ISO 27001, 22301 und 9001 verfügt (siehe BMSGPK-Sicherheitskonzept vom 7.6.2024 [in der Folge: SIKO], 16);

weitere umfangreiche Sicherheitsmaßnahmen, wie etwa

die Sicherheitsüberprüfung der IT-Administrator/innen (SIKO, 16);

die Einschränkung von Drittkomponenten (SIKO, 33);

Prüfung- und Validierungsverfahren (SIKO, 34);

Passwortsicherheit (SIKO, 39);

Systemtrennung (SIKO, 41);

Systemhärtung (SIKO, 41);

Systemisolierung (SIKO, 44);

Update- und Patch-Management (SIKO, 45);

Transportverschlüsselung (SIKO, 49);

Datensicherung (SIKO, 52);

sicherheitsrelevante Abnahmekriterien und Tests (SIKO, 57);

System- und Prozessaudits (SIKO, 60);

starke Authentifizierung für Fernwartungszugänge (SIKO, 62);

Meldung von Sicherheitsvorfällen und Datenschutzverletzungen (SIKO, 65).

Aufgrund der gegenständlichen Verarbeitung, insbesondere der geltenden, strengen Strafdrohungen ist nicht von finanziellen Verlusten für die betroffenen Personen auszugehen, womit die gegenständliche Anforderung als erfüllt angesehen werden kann.

Unbefugte Aufhebung der Pseudonymisierung

_{(EG 90 iVm 85 DSGVO; WP 248 Rev.01, 21 und 28)}

Eine Pseudonymisierung ist für die gegenständliche Verarbeitungstätigkeit nicht vorgesehen, da für die vorgesehenen Zwecke nicht praxistauglich, weshalb dieses Kriterium nicht anwendbar ist.

Die Anforderung “Unbefugte Aufhebung der Pseudonymisierung” ist aufgrund der angeführten Beschreibung als erfüllbar anzusehen.

Rufschädigung

^{(EG 90 iVm 85 DSGVO; WP 248 Rev.01, 21 und 28)}

Ursache: Nachteile aus Rufschädigung sind theoretisch und – wie viele andere Risiken auch – als Folge von Datenschutzverletzungen, etwa durch Hacking oder menschliches Fehlverhalten denkbar.

Art: Nachteile aus Rufschädigung können sich für betroffene Personen als auch die Verantwortlichen selbst ergeben.

Besonderheit: Die Besonderheit des gegenständlichen Risikos für Rufschädigungen ergibt sich vor allem aus der gesetzlichen Regelung, die der Verarbeitungstätigkeit „EU-Rezept“ zugrunde liegt, dem großen Umfang, der Komplexität der zugrundeliegenden IT-Systeme sowie der potentiellen Mächtigkeit gestohlener Identitäten. Die Aussicht in den Genuss gesetzlicher Sozialversicherungsleistungen zu kommen, könnte einen erheblichen Anreiz für Hacking – und damit Datenschutzverletzungen – bieten.

Schwere: Die Schwere des Risikos kann theoretisch – je nach Art der potentiellen Rufschädigung – auch hoch sein.

Eintrittswahrscheinlichkeit: Nachteile durch Rufschädigung sind eher nicht zu erwarten, weil den typischerweise mit einer Rufschädigung verbundenen Nachteilen durch technische und organisatorische Maßnahmen zur Sicherstellung der Vertraulichkeit und insbesondere Minimierung der Daten begegnet wird. Zu diesen Maßnahmen zählen etwa:

die ausdrückliche Einschränkung der erlaubten Zwecke auf grenzüberschreitende Gesundheitsversorgung und die Wahrnehmung der Bürger/innenrechte, d.h. insbesondere der Betroffenenrechte gemäß Kapitel III DSGVO (§ 24k Abs. 2 Z 1 GTelG 2012);

die Regelung einer ausdrücklichen Löschfrist für die Nationale Kontaktstelle (§ 24j Abs. 3 GTelG 2012);

Art. 25 DSGVO, der zum Schutz der betroffenen Personen verlangt, dass „geeignete technische und organisatorische Maßnahmen“ zu treffen sind;

Art. 32 DSGVO, wonach Verantwortliche und Auftragsverarbeiter/innen für „ein dem Risiko angemessenes Schutzniveau“ zu sorgen haben und der – zumindest im privaten Bereich – mit Geldstrafen bis 10 Mio. EUR sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO);

Art. 82 DSGVO, wonach auch immaterielle Schäden, ohne Erheblichkeitsschwelle und zwar auch gegenüber öffentlichen Stellen verschuldensunabhängig ersatzfähig sind;

strafrechtliche Bestimmungen zur „Verletzung von Berufsgeheimnissen“ (§ 121 StGB), „Amtsmissbrauch“ (§ 302 StGB) oder „Verletzung eines Amtsgeheimnisses“ (§ 310 StGB);

das für Beamt/innen bei den beteiligten öffentlichen Stellen, wie etwa der Nationalen Kontaktstelle, geltende Disziplinarrecht;

das für Ärzt/innen geltende Standesrecht;

die Bestimmungen des 2. Abschnittes des Gesundheitstelematikgesetzes 2012 zur Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten, wie insbesondere § 3 Abs. 4 GTelG 2012, wonach Gesundheitsdaten nur dann übermittelt werden dürfen, wenn

die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

die Identität der Patient/innen nachgewiesen ist,

die Identität der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen ist,

die Rollen der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen sind und

Vertraulichkeit und Integrität der übermittelten Gesundheitsdaten gewährleistet sind;

die verpflichtende eindeutige Identifikation von betroffenen Personen (§ 24k Abs. 1 Z 1 in Verbindung mit § 24l GTelG 2012) und involvierten Gesundheitsdiensteanbietern (§ 24k Abs. 1 Z 3 in Verbindung mit § 24m GTelG 2012);

Einsatz der höchsten Qualität von Identifikatoren in Form bereichsspezifischer Personenkennzeichen gemäß den §§ 9 ff des E‑Government-Gesetzes sowie § 4 Abs. 6 GTelG 2012;

die verpflichtende, namentliche Protokollierung sämtlicher Verarbeitungsvorgänge (§ 24k Abs. 3 Z 4 in Verbindung mit § 22 GTelG 2012);

die Heranziehung der BRZ GmbH als Ausfallrechenzentrum zur Sicherstellung der Verfügbarkeit, wobei die BRZ GmbH über Zertifizierungen gemäß ISO 27001, 22301 und 9001 verfügt (siehe BMSGPK-Sicherheitskonzept vom 7.6.2024 [in der Folge: SIKO], 16);

weitere umfangreiche Sicherheitsmaßnahmen, wie etwa

die Sicherheitsüberprüfung der IT-Administrator/innen (SIKO, 16);

die Einschränkung von Drittkomponenten (SIKO, 33);

Prüfung- und Validierungsverfahren (SIKO, 34);

Passwortsicherheit (SIKO, 39);

Systemtrennung (SIKO, 41);

Systemhärtung (SIKO, 41);

Systemisolierung (SIKO, 44);

Update- und Patch-Management (SIKO, 45);

Transportverschlüsselung (SIKO, 49);

Datensicherung (SIKO, 52);

sicherheitsrelevante Abnahmekriterien und Tests (SIKO, 57);

System- und Prozessaudits (SIKO, 60);

starke Authentifizierung für Fernwartungszugänge (SIKO, 62);

Meldung von Sicherheitsvorfällen und Datenschutzverletzungen (SIKO, 65).

Aufgrund der gegenständlichen Verarbeitung, insbesondere der geltenden, strengen Strafdrohungen ist nicht von einer Rufschädigung für betroffene Personen auszugehen, womit die gegenständliche Anforderung als erfüllt angesehen werden kann.

Verlust der Vertraulichkeit bei Berufsgeheimnissen

^{(EG 90 iVm 85 DSGVO; WP 248 Rev.01, 21 und 28)}

Ursache: Der Verlust der Vertraulichkeit bei Berufsgeheimnissen ist theoretisch denkbar, wenn es zu Offenlegung durch Personen, die etwa dem Amts- oder einem anderen Berufsgeheimnis unterliegen, kommt. Vor allem mangelnde Abschreckung von Sanktionen begünstigen derartiges Verhalten. Abgesehen davon ist aber auch die rechtswidrige Offenlegung im Zuge von Datenschutzverletzungen, etwas aufgrund von Sicherheitslücken, denkbar.

Art: Der Verlust der Vertraulichkeit bei Berufsgeheimnissen kann andere Risiken, wie etwa finanzielle Verluste oder Nachteile aus Diskriminierung zur Folge haben.

Besonderheit: Die Besonderheit des gegenständlichen Risikos für den Verlust der Vertraulichkeit von Berufsgeheimnissen ergibt sich vor allem aus der gesetzlichen Regelung, die der Verarbeitungstätigkeit zugrunde liegt, dem großen Umfang, der Komplexität der zugrundeliegenden IT-Systeme sowie der potentiellen Mächtigkeit gestohlener Identitäten. Die Aussicht in den Genuss gesetzlicher Sozialversicherungsleistungen zu kommen, könnte einen erheblichen Anreiz für Hacking – und damit Datenschutzverletzungen – bieten.

Schwere: Die Schwere des Risikos ergibt sich vor allem aus den anschließenden Risiken, wie etwa finanziellen Verlusten oder Nachteilen aus Diskriminierung.

Eintrittswahrscheinlichkeit: Den typischerweise mit dem Verlust der Vertraulichkeit bei Berufsgeheimnissen verbundenen Nachteilen ist durch technische und organisatorische Maßnahmen zur Sicherstellung der Vertraulichkeit zu begegnen. Zu diesen Maßnahmen zählen etwa:

die ausdrückliche Einschränkung der erlaubten Zwecke auf grenzüberschreitende Gesundheitsversorgung und die Wahrnehmung der Bürger/innenrechte, d.h. insbesondere der Betroffenenrechte gemäß Kapitel III DSGVO (§ 24k Abs. 2 Z 1 GTelG 2012);

die Regelung einer ausdrücklichen Löschfrist für die Nationale Kontaktstelle (§ 24j Abs. 3 GTelG 2012);

Art. 25 DSGVO, der zum Schutz der betroffenen Personen verlangt, dass „geeignete technische und organisatorische Maßnahmen“ zu treffen sind;

Art. 32 DSGVO, wonach Verantwortliche und Auftragsverarbeiter/innen für „ein dem Risiko angemessenes Schutzniveau“ zu sorgen haben und der – zumindest im privaten Bereich – mit Geldstrafen bis 10 Mio. EUR sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO);

Art. 82 DSGVO, wonach auch immaterielle Schäden, ohne Erheblichkeitsschwelle und zwar auch gegenüber öffentlichen Stellen verschuldensunabhängig ersatzfähig sind;

strafrechtliche Bestimmungen zur „Verletzung von Berufsgeheimnissen“ (§ 121 StGB), „Amtsmissbrauch“ (§ 302 StGB) oder „Verletzung eines Amtsgeheimnisses“ (§ 310 StGB);

das für Beamt/innen bei den beteiligten öffentlichen Stellen, wie etwa der Nationalen Kontaktstelle, geltende Disziplinarrecht;

das für Ärzt/innen geltende Standesrecht;

die Bestimmungen des 2. Abschnittes des Gesundheitstelematikgesetzes 2012 zur Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten, wie insbesondere § 3 Abs. 4 GTelG 2012, wonach Gesundheitsdaten nur dann übermittelt werden dürfen, wenn

die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

die Identität der Patient/innen nachgewiesen ist,

die Identität der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen ist,

die Rollen der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen sind und

Vertraulichkeit und Integrität der übermittelten Gesundheitsdaten gewährleistet sind;

die verpflichtende eindeutige Identifikation von betroffenen Personen (§ 24k Abs. 1 Z 1 in Verbindung mit § 24l GTelG 2012) und involvierten Gesundheitsdiensteanbietern (§ 24k Abs. 1 Z 3 in Verbindung mit § 24m GTelG 2012);

Einsatz der höchsten Qualität von Identifikatoren in Form bereichsspezifischer Personenkennzeichen gemäß den §§ 9 ff des E‑Government-Gesetzes sowie § 4 Abs. 6 GTelG 2012;

die verpflichtende, namentliche Protokollierung sämtlicher Verarbeitungsvorgänge (§ 24k Abs. 3 Z 4 in Verbindung mit § 22 GTelG 2012);

die Heranziehung der BRZ GmbH als Ausfallrechenzentrum zur Sicherstellung der Verfügbarkeit, wobei die BRZ GmbH über Zertifizierungen gemäß ISO 27001, 22301 und 9001 verfügt (siehe BMSGPK-Sicherheitskonzept vom 7.6.2024 [in der Folge: SIKO], 16);

weitere umfangreiche Sicherheitsmaßnahmen, wie etwa

die Sicherheitsüberprüfung der IT-Administrator/innen (SIKO, 16);

die Einschränkung von Drittkomponenten (SIKO, 33);

Prüfung- und Validierungsverfahren (SIKO, 34);

Passwortsicherheit (SIKO, 39);

Systemtrennung (SIKO, 41);

Systemhärtung (SIKO, 41);

Systemisolierung (SIKO, 44);

Update- und Patch-Management (SIKO, 45);

Transportverschlüsselung (SIKO, 49);

Datensicherung (SIKO, 52);

sicherheitsrelevante Abnahmekriterien und Tests (SIKO, 57);

System- und Prozessaudits (SIKO, 60);

starke Authentifizierung für Fernwartungszugänge (SIKO, 62);

Meldung von Sicherheitsvorfällen und Datenschutzverletzungen (SIKO, 65).

Aufgrund der gegenständlichen Verarbeitung, insbesondere der geltenden, strengen Strafdrohungen ist nicht von einem Verlust der Vertraulichkeit bei Berufsgeheimnissen auszugehen, womit die gegenständliche Anforderung als erfüllt angesehen werden kann.

Erhebliche wirtschaftliche oder gesellschaftliche Nachteile

^{(EG 90 iVm 85 DSGVO; WP 248 Rev.01, 21 und 28)}

Ursache: Erhebliche wirtschaftliche oder gesellschaftliche Nachteile sind theoretisch und – wie viele andere Risiken auch – als Folge von Datenschutzverletzungen, etwa durch Hacking oder menschliches Fehlverhalten denkbar.

Art: Wirtschaftliche Nachteile können für die betroffenen Personen vor allem in Kosten durch Identitätsdiebstahl und -betrug (siehe oben Felder „RISIKEN / Identitätsdiebstahl und -betrug“ bzw. „RISIKEN / Finanzielle Verluste“) bestehen. Für die Verantwortlichen können Kosten durch Betrugsfälle, Haftungsschäden und Wiederherstellung der Datensicherheit aufgrund von Datenschutzverletzungen entstehen. Gesellschaftliche Nachteile sind insbesondere als Vertrauensverlust in das Gesundheitssystem, Diskriminierung von betroffenen Personen (siehe oben Feld „RISIKEN / Diskriminierung“) und generelle Ängste und Unsicherheiten der betroffenen Personen denkbar.

Besonderheit: Die Besonderheit des gegenständlichen Risikos für erhebliche wirtschaftliche oder gesellschaftliche Nachteile ergibt sich vor allem aus der gesetzlichen Regelung, die der Verarbeitungstätigkeit zugrunde liegt, dem großen Umfang, der Komplexität der zugrundeliegenden IT-Systeme sowie der potentiellen Mächtigkeit gestohlener Identitäten bzw. Daten, die als großer Anreiz für Hacking dienen können.

Schwere: Die Schwere des Risikos kann theoretisch – je nach Art der potentiellen, erheblichen wirtschaftlichen oder gesellschaftlichen Nachteile – auch hoch sein.

Eintrittswahrscheinlichkeit: Es ist nicht zu erwarten, dass es zu erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen für die betroffenen Personen kommt, weil zahlreiche technische und organisatorische Maßnahmen vorgesehen sind, die die Vertraulichkeit der Verarbeitung sicherstellen sollen, wie etwa:

die ausdrückliche Einschränkung der erlaubten Zwecke auf grenzüberschreitende Gesundheitsversorgung und die Wahrnehmung der Bürger/innenrechte, d.h. insbesondere der Betroffenenrechte gemäß Kapitel III DSGVO (§ 24k Abs. 2 Z 1 GTelG 2012);

die Regelung einer ausdrücklichen Löschfrist für die Nationale Kontaktstelle (§ 24j Abs. 3 GTelG 2012);

Art. 25 DSGVO, der zum Schutz der betroffenen Personen verlangt, dass „geeignete technische und organisatorische Maßnahmen“ zu treffen sind;

Art. 32 DSGVO, wonach Verantwortliche und Auftragsverarbeiter/innen für „ein dem Risiko angemessenes Schutzniveau“ zu sorgen haben und der – zumindest im privaten Bereich – mit Geldstrafen bis 10 Mio. EUR sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO);

Art. 82 DSGVO, wonach auch immaterielle Schäden, ohne Erheblichkeitsschwelle und zwar auch gegenüber öffentlichen Stellen verschuldensunabhängig ersatzfähig sind;

strafrechtliche Bestimmungen zur „Verletzung von Berufsgeheimnissen“ (§ 121 StGB), „Amtsmissbrauch“ (§ 302 StGB) oder „Verletzung eines Amtsgeheimnisses“ (§ 310 StGB);

das für Beamt/innen bei den beteiligten öffentlichen Stellen, wie etwa der Nationalen Kontaktstelle, geltende Disziplinarrecht;

das für Ärzt/innen geltende Standesrecht;

die Bestimmungen des 2. Abschnittes des Gesundheitstelematikgesetzes 2012 zur Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten, wie insbesondere § 3 Abs. 4 GTelG 2012, wonach Gesundheitsdaten nur dann übermittelt werden dürfen, wenn

die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

die Identität der Patient/innen nachgewiesen ist,

die Identität der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen ist,

die Rollen der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen sind und

Vertraulichkeit und Integrität der übermittelten Gesundheitsdaten gewährleistet sind;

die verpflichtende eindeutige Identifikation von betroffenen Personen (§ 24k Abs. 1 Z 1 in Verbindung mit § 24l GTelG 2012) und involvierten Gesundheitsdiensteanbietern (§ 24k Abs. 1 Z 3 in Verbindung mit § 24m GTelG 2012);

Einsatz der höchsten Qualität von Identifikatoren in Form bereichsspezifischer Personenkennzeichen gemäß den §§ 9 ff des E‑Government-Gesetzes sowie § 4 Abs. 6 GTelG 2012;

die verpflichtende, namentliche Protokollierung sämtlicher Verarbeitungsvorgänge (§ 24k Abs. 3 Z 4 in Verbindung mit § 22 GTelG 2012);

die Heranziehung der BRZ GmbH als Ausfallrechenzentrum zur Sicherstellung der Verfügbarkeit, wobei die BRZ GmbH über Zertifizierungen gemäß ISO 27001, 22301 und 9001 verfügt (siehe BMSGPK-Sicherheitskonzept vom 7.6.2024 [in der Folge: SIKO], 16);

weitere umfangreiche Sicherheitsmaßnahmen, wie etwa

die Sicherheitsüberprüfung der IT-Administrator/innen (SIKO, 16);

die Einschränkung von Drittkomponenten (SIKO, 33);

Prüfung- und Validierungsverfahren (SIKO, 34);

Passwortsicherheit (SIKO, 39);

Systemtrennung (SIKO, 41);

Systemhärtung (SIKO, 41);

Systemisolierung (SIKO, 44);

Update- und Patch-Management (SIKO, 45);

Transportverschlüsselung (SIKO, 49);

Datensicherung (SIKO, 52);

sicherheitsrelevante Abnahmekriterien und Tests (SIKO, 57);

System- und Prozessaudits (SIKO, 60);

starke Authentifizierung für Fernwartungszugänge (SIKO, 62);

Meldung von Sicherheitsvorfällen und Datenschutzverletzungen (SIKO, 65).

Aufgrund der gegenständlichen Verarbeitung, insbesondere der geltenden, strengen Strafdrohungen ist nicht von erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen für die betroffenen Personen auszugehen, womit die gegenständliche Anforderung als erfüllt angesehen werden kann.

ABHILFEMASSNAHMEN

Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt:

^{Minimierung der Verarbeitung personenbezogener Daten}

^{(EG 78 und Art. 35 Abs. 7 Buchstabe d DSGVO; WP 248 Rev.01, 21 und 29)}

Die Minimierung der Daten erfolgt im Fall des EU-Rezepts insbesondere durch die Beschränkung der Datenarten gemäß § 24o Abs. 2 GTelG 2012, wonach nicht mehr als die in den ELGA-Komponenten und dem elektronischen Verwaltungssystem des Dachverbands enthaltenen Daten zu Verschreibungen aus dem e-Rezept verarbeitet werden dürfen sowie die Beschränkung der Verarbeitungsdauer durch § 24j Abs. 3 GTelG 2012. Im Falle der EU-Patientenkurzakte beschränken sich die Datenarten auf jene, die im jeweiligen Herkunftsmitgliedstaat vorgesehen sind und in der jeweiligen EU-Patientenkurzakte auch tatsächlich eingetragen sind. Außerdem dürfen die Daten nur für die Zwecke grenzüberschreitenden Gesundheitsversorgung sowie der Wahrnehmung der Bürger/innenrechte verarbeitet werden.

Die Anforderung “Abhilfe durch Minimierung der Verarbeitung personenbezogener Daten” ist insbesondere aufgrund der Beschränkung auf in ELGA vorhandene Daten sowie die Zweckbeschränkung als erfüllt anzusehen.

^{Schnellstmögliche Pseudonymisierung personenbezogener Daten}

^{(EG 28 und 78 sowie Art. 35 Abs. 7 Buchstabe d DSGVO; WP 248 Rev.01, 21 und 29)}

Die Pseudonymisierung ist für die (grenzüberschreitende) Gesundheitsversorgung nicht möglich, weil eine konkrete natürliche Person behandelt werden soll bzw. muss.

Die Anforderung “Abhilfe durch schnellstmögliche Pseudonymisierung” ist – aufgrund der notwendigerweise personenbezogenen Gesundheitsversorgung – für die gegenständliche Verarbeitungstätigkeit nicht anwendbar und daher bloß als erfüllbar anzusehen.

^{Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten}

^{(EG 78 DSGVO und Art. 35 Abs. 7 Buchstabe d DSGVO; WP 248 Rev.01, 21 und 29)}

Durch die Publikation der vorgeschlagenen Novelle als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe von der Öffentlichkeit kostenlos nachvollzogen werden. Außerdem wird die erforderliche Datenschutzerklärung im Internet zur Verfügung gestellt werden. Auch die allfällige Einrichtung einer Anlaufstelle gemäß Art. 26 DSGVO iVm § 24r Abs. 2 GTelG 2012 und § 24u Abs. 2 GTelG 2012 würde die Transparenz für die betroffenen Personen erhöhen.

Die Anforderung “Abhilfe durch Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten” ist aufgrund der bereits im Gesetzgebungsprozess bereitzustellenden Informationen bzw. der grundsätzlichen Machbarkeit einer zukünftigen Datenschutzerklärung jedenfalls als erfüllbar anzusehen.

^{Überwachung der Verarbeitung personenbezogener Daten durch die betroffenen Personen}

^{(EG 78 DSGVO und Art. 35 Abs. 7 Buchstabe d DSGVO; WP 248 Rev.01, 21 und 29)}

Auf Grundlage der Datenschutz-Grundverordnung stehen den betroffenen Personen bezüglich der gegenständlichen Verarbeitung folgende Rechte gegenüber den gemeinsamen Verantwortlichen zu:

das Recht auf Auskunft (Art. 15 DSGVO),

das Recht auf Berichtigung (Art. 16 DSGVO),

das Recht auf Löschung (Art. 17 DSGVO),

das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie

die Pflicht zur Mitteilung (Art. 19 DSGVO).

Diese Rechte können durch einen Zugang über das Zugangsportals bzw. gegenüber der ELGA- und eHealth-Supporteinrichtung geltend gemacht werden (§ 24n Abs. 1 GTelG 2012).

Die Anforderung “Abhilfe durch Überwachung der Verarbeitung personenbezogener Daten durch die betroffenen Personen” ist aufgrund der grundsätzlichen Machbarkeit als erfüllbar anzusehen.

^{Datensicherheitsmaßnahmen}

^{(EG 78 und 83 DSGVO sowie Art. 35 Abs. 7 Buchstabe d DSGVO; WP 248 Rev.01, 21 und 29)}

Aufgrund des BMSGPK-Sicherheitskonzepts sind unter anderem folgende technische und organisatorische Maßnahmen vorgesehen bzw. bereits umgesetzt:

die im 2. Abschnittes des Gesundheitstelematikgesetzes 2012 vorgesehenen Maßnahmen zur Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten, wie insbesondere § 3 Abs. 4 GTelG 2012, wonach Gesundheitsdaten nur dann übermittelt werden dürfen, wenn

die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

die Identität der Patient/innen nachgewiesen ist,

die Identität der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen ist,

die Rollen der an der Übermittlung beteiligten Gesundheitsdienstleister (Art. 3 Buchstabe g der Patientenmobilitätsrichtlinie 2011/24/EU) nachgewiesen sind und

Vertraulichkeit und Integrität der übermittelten Gesundheitsdaten gewährleistet sind;

die verpflichtende eindeutige Identifikation von betroffenen Personen (§ 24k Abs. 1 Z 1 in Verbindung mit § 24l GTelG 2012) und involvierten Gesundheitsdiensteanbietern (§ 24k Abs. 1 Z 3 in Verbindung mit § 24m GTelG 2012);

Einsatz der höchsten Qualität von Identifikatoren in Form bereichsspezifischer Personenkennzeichen gemäß den §§ 9 ff des E‑Government-Gesetzes sowie § 4 Abs. 6 GTelG 2012;

die verpflichtende, namentliche Protokollierung sämtlicher Verarbeitungsvorgänge (§ 24k Abs. 3 Z 4 in Verbindung mit § 22 GTelG 2012);

die Heranziehung der BRZ GmbH als Ausfallrechenzentrum zur Sicherstellung der Verfügbarkeit, wobei die BRZ GmbH über Zertifizierungen gemäß ISO 27001, 22301 und 9001 verfügt (siehe BMSGPK-Sicherheitskonzept vom 7.6.2024 [in der Folge: SIKO], 16);

weitere umfangreiche Sicherheitsmaßnahmen, wie etwa

die Sicherheitsüberprüfung der IT-Administrator/innen (SIKO, 16);

die Einschränkung von Drittkomponenten (SIKO, 33);

Prüfung- und Validierungsverfahren (SIKO, 34);

Passwortsicherheit (SIKO, 39);

Systemtrennung (SIKO, 41);

Systemhärtung (SIKO, 41);

Systemisolierung (SIKO, 44);

Update- und Patch-Management (SIKO, 45);

Transportverschlüsselung (SIKO, 49);

Datensicherung (SIKO, 52);

sicherheitsrelevante Abnahmekriterien und Tests (SIKO, 57);

System- und Prozessaudits (SIKO, 60);

starke Authentifizierung für Fernwartungszugänge (SIKO, 62);

Meldung von Sicherheitsvorfällen und Datenschutzverletzungen (SIKO, 65).

Die Anforderung “Abhilfe durch Datensicherheitsmaßnahmen” ist aufgrund der umfangreichen geplanten sowie bereits umgesetzten Datensicherheitsmaßnahmen jedenfalls als erfüllbar anzusehen.

BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN

Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören:

^{Stellungnahme des Datenschutzbeauftragten}

^{(Art. 35 Abs. 2 DSGVO; WP 248 Rev.01, 21 und 29)}

Die datenschutzbeauftragten Personen der Verantwortlichen sind eingeladen zum vorgeschlagenen Entwurf Stellung zu nehmen.

Die Anforderung “Stellungnahme des Datenschutzbeauftragten” ist aufgrund der grundsätzlichen Machbarkeit jedenfalls als erfüllbar anzusehen.

^{Stellungnahme betroffener Personen}

^{(Art. 35 Abs. 9 DSGVO; WP 248 Rev.01, 21 und 29)}

Betroffene Personen werden im Rahmen einer noch einzurichtenden zentralen Anlaufstelle (§ 24r Abs. 2 und § 24 Abs. 2 in Verbindung mit § 28c GTelG 2012 sowie Art. 26 Abs. 1 DSGVO) die Möglichkeit haben zu der vorliegenden Verarbeitungstätigkeit Stellung zu nehmen.

Die Anforderung “Stellungnahme betroffener Personen” ist aufgrund der grundsätzlichen Machbarkeit der Einholung von Stellungnahmen jedenfalls als erfüllbar anzusehen.