Textgegenüberstellung

Artikel 1

Änderung des Gesundheitstelematikgesetzes 2012

Geltende Fassung

Vorgeschlagene Fassung

Inhaltsverzeichnis
12	Grundlagen der grenzüberschreitenden Gesundheitsversorgung
6. Abschnitt: Schlussbestimmungen
25	Verwaltungsstrafbestimmungen
26	Inkrafttreten
27	Übergangsbestimmungen
28	Verordnungsermächtigungen und Weisungsrechte
28c	Anhörung und Weisungsrechte
29	Erlassung und Inkrafttreten von Verordnungen
30	Verweisungen
31	Vollziehung
32	Notifikationshinweis

Inhaltsverzeichnis

6. Abschnitt: Grenzüberschreitende Gesundheitsversorgung

1. Unterabschnitt:
Allgemeine Bestimmungen zu MyHealth@EU

24i

Allgemeine Bestimmungen zur grenzüberschreitenden Gesundheitsversorgung

24j

Nationale Kontaktstelle für digitale Gesundheit

24k

Grundsätze der Datenverarbeitung

24l

Überprüfung der Identität von natürlichen Personen im grenzüberschreitenden Kontext

24m

Überprüfung der Identität von Gesundheitsdiensteanbietern im grenzüberschreitenden Kontext

24n

Rechte natürlicher Personen

2. Unterabschnitt
Elektronische Verschreibungen und elektronische Abgaben (EU-Rezept)

24o

Allgemeine Bestimmungen zum EU-Rezept

24p

Österreich als Herkunftsmitgliedstaat

24q

Österreich als Behandlungsmitgliedstaat

24r

Grundsätze der Datenverarbeitung

3. Unterabschnitt
EU-Patientenkurzakte

24s	Allgemeine Bestimmungen zur EU-Patientenkurzakte
24t	Österreich als Behandlungsmitgliedstaat
24u	Grundsätze der Datenverarbeitung

7. Abschnitt: Schlussbestimmungen

Verwaltungsstrafbestimmungen

Inkrafttreten

Übergangsbestimmungen

Verordnungsermächtigungen und Weisungsrechte

28c

Verordnungsermächtigungen für den 6. Abschnitt

28d

Anhörung und Weisungsrechte

Erlassung und Inkrafttreten von Verordnungen

Verweisungen

Vollziehung

Notifikationshinweis

Text

1. Abschnitt

Allgemeine Bestimmungen

Gegenstand

§ 1. (1) Gegenstand dieses Bundesgesetzes ist die Verarbeitung (Art. 4 Z 2 der Verordnung [EU] 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG [Datenschutz-Grundverordnung], ABl. Nr. L 119 vom 04.05.2016 S. 1 [im Folgenden: DSGVO]) personenbezogener elektronischer Gesundheitsdaten und genetischer Daten (Art. 4 Z 15 und Z 13 DSGVO) durch die Gesundheitsdiensteanbieter gemäß § 2 Z 2.

(2) Ziele dieses Bundesgesetzes sind:

1. durch bundeseinheitliche Mindeststandards die Datensicherheit bei Verarbeitung elektronischer Gesundheitsdaten und genetischer Daten in der gerichteten und ungerichteten Kommunikation auszubauen und Datenmissbrauch zu verhindern (2. Abschnitt),

2. die für die Entwicklung und Steuerung der Gesundheitstelematik notwendigen Informationsgrundlagen zu schaffen und zu verbreitern (3. Abschnitt),

3. einheitliche Regelungen für die ungerichtete Kommunikation elektronischer Gesundheitsdaten und genetischer Daten, insbesondere in ELGA (§ 2 Z 6), unter besonderer Berücksichtigung der:

a) Teilnehmer/innen/rechte (§ 16), wie insbesondere der Selbstbestimmung der ELGA-Teilnehmer/innen,

b) Überprüfung der Identität von Teilnehmer/inne/n (§ 18),

c) Überprüfung der Identität von ELGA-Gesundheitsdiensteanbietern (§ 19),

d) individuellen und generellen Zugriffsberechtigungen (§ 21) sowie

e) Dokumentation und Nachvollziehbarkeit der Verarbeitung von ELGA-Gesundheitsdaten (§ 22)

zu schaffen (4. Abschnitt) sowie

zu schaffen (4. Abschnitt),

4. einheitliche Regelungen für die gerichtete oder ungerichtete Kommunikation elektronischer Gesundheitsdaten und genetischer Daten im Rahmen von spezifischen eHealth-Anwendungen zu schaffen (5. Abschnitt)

5. einheitliche Regelungen für die ungerichtete Kommunikation elektronischer Gesundheitsdaten und genetischer Daten im Rahmen von spezifischen Anwendungen der grenzüberschreitenden Gesundheitsversorgung zu schaffen (6. Abschnitt).

(3) Sofern dieses Bundesgesetz keine besonderen Bestimmungen enthält, bleiben andere Rechtsvorschriften unberührt.

Begriffsbestimmungen

§ 2. Im Sinne dieses Bundesgesetzes bedeuten

1. „Gesundheitsdaten“: Gesundheitsdaten gemäß Art. 4 Z 15 DSGVO.

1a. „Genetische Daten“: Genetische Daten gemäß Art. 4 Z 13 DSGVO.

2. „Gesundheitsdiensteanbieter“: Verantwortlicher oder Auftragsverarbeiter (Art. 4 Z 7 und 8 DSGVO), die regelmäßig in einer Rolle nach der gemäß § 28 Abs. 1 Z 1 erlassenen Verordnung Gesundheitsdaten oder genetische Daten in elektronischer Form zu folgenden Zwecken verarbeiten:

2. „Gesundheitsdiensteanbieter“: Verantwortlicher oder Auftragsverarbeiter (Art. 4 Z 7 und 8 DSGVO), die regelmäßig in einer Rolle nach der gemäß § 28 Abs. 1 Z 1 erlassenen Verordnung , oder in einem anderen Behandlungsmitgliedstaat gemäß Z 20, Gesundheitsdaten oder genetische Daten in elektronischer Form zu folgenden Zwecken verarbeiten:

a) medizinische Behandlung oder Versorgung oder

b) pflegerische Betreuung oder

c) Verrechnung von Gesundheitsdienstleistungen oder

d) Versicherung von Gesundheitsrisiken oder

e) Wahrnehmung von Patient/inn/en/rechten

e) Wahrnehmung von Patient/inn/en/rechten oder

f) Unterstützung der grenzüberschreitenden Gesundheitsversorgung

3. „IT-Sicherheitskonzept“: Summe aller Datensicherheitsmaßnahmen eines Gesundheitsdiensteanbieters, die zum Schutz von personenbezogenen Daten, insbesondere von besonderen Kategorien personenbezogener Daten, notwendig und angemessen im Sinne des Art. 32 DSGVO sind.

4. „Registrierungsstellen“: jene Stellen, die die Verzeichnisse gemäß § 9 Abs. 3 Z 1 führen oder in § 9 Abs. 3 Z 2 und 3 angeführt sind.

5. „Rolle“: Klassifizierung von Gesundheitsdiensteanbietern nach der Art ihres Aufgabengebietes, ihrer Erwerbstätigkeit, ihres Betriebszweckes oder ihres Dienstleistungsangebotes.

6. „Elektronische Gesundheitsakte“ („ELGA“): ein Informationssystem, das allen berechtigten ELGA-Gesundheitsdiensteanbietern (Z 10) und ELGA-Teilnehmer/inne/n ELGA-Gesundheitsdaten (Z 9) in elektronischer Form orts- und zeitunabhängig (ungerichtete Kommunikation) zur Verfügung stellt.

7. „Datenspeicher“ („Repository“): technische Infrastruktur, die der Speicherung von ELGA-Gesundheitsdaten dient.

8. „elektronische Verweise auf ELGA-Gesundheitsdaten“: elektronische Informationen in ELGA zu Art und Speicherort von ELGA-Gesundheitsdaten.

9. „ELGA-Gesundheitsdaten“: Folgende personenbezogene Daten, die zur weiteren Behandlung, Betreuung oder Sicherung der Versorgungskontinuität von ELGA-Teilnehmer/inne/n wesentlich sein könnten und in ELGA verarbeitet werden dürfen:

a) medizinische Dokumente einschließlich allfälliger Bilddaten in standardisierter Form gemäß § 28 Abs. 2 Z 1, die Gesundheitsdaten gemäß Z 1 oder genetische Daten gemäß Z 1a, mit Ausnahme von Daten, die ausschließlich die Verrechnung von Gesundheitsdienstleistungen oder gesundheitsbezogenen Versicherungsdienstleistungen betreffen, enthalten, wie:

aa) Entlassungsbriefe gemäß § 24 Abs. 2 des Krankenanstalten- und Kuranstaltengesetzes (KAKuG), BGBl. Nr. 1/1957,

bb) Laborbefunde,

cc) Befunde der bildgebenden Diagnostik sowie

dd) weitere medizinische Befunde in Struktur und Format gemäß § 28 Abs. 2 Z 3 lit. a,

b) Medikationsdaten gemäß Z 1 betreffend verschreibungspflichtige sowie nicht verschreibungspflichtige Arzneimittel („e-Medikation“),

c) Patientenverfügungen (§ 2 Abs. 1 des Patientenverfügungs-Gesetzes, BGBl. I Nr. 55/2006),

d) Vorsorgevollmachten (§ 260 des Allgemeinen bürgerlichen Gesetzbuches, JGS. Nr. 946/1811),

e) Daten aus den Registern gemäß den §§ 45 und 46 des Medizinproduktegesetzes 2021 (MPG 2021), BGBl. I Nr. 122/2021, sowie

f) Patientendaten gemäß Art. 14 Abs. 2 lit. b sublit. i der Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung (im Folgenden: Patientenmobilitätsrichtlinie),

wobei Geheimnisse gemäß § 10 Abs. 4 KAKuG, Daten dieser Art, wenn sie von anderen Gesundheitsdiensteanbietern verwendet werden, sowie Aufzeichnungen über Ergebnisse gemäß § 71a Abs. 2 des Gentechnikgesetzes (GTG), BGBl. Nr. 510/1994, keinesfalls ELGA-Gesundheitsdaten sind.

10. „ELGA-Gesundheitsdiensteanbieter“ sind die folgenden Gesundheitsdiensteanbieter (Z 2):

a) Angehörige des ärztlichen Berufes gemäß § 3 des Ärztegesetzes 1998 (ÄrzteG 1998), BGBl. I Nr. 169/1998, auch bei Ausübung des ärztlichen Berufes in der Form einer Zusammenarbeit als selbstständig berufsbefugte Gruppenpraxis, ausgenommen:

aa) Ärzte und Ärztinnen, die Aufgaben des chef- und kontrollärztlichen Dienstes der Sozialversicherungsträger erfüllen,

bb) Ärzte und Ärztinnen, die die Grundlagen von Versicherungsverhältnissen sowie daraus resultierende Ansprüche zu beurteilen haben,

cc) Arbeitsmediziner/innen (§ 81 des ArbeitnehmerInnenschutzgesetzes, BGBl. Nr. 450/1994),

dd) Amtsärzte und Amtsärztinnen (§ 41 ÄrzteG 1998),

ee) Ärzte und Ärztinnen, die an der Feststellung der Eignung zum Wehrdienst mitwirken, sowie

ff) Schulärzte und Schulärztinnen (§ 66 des Schulunterrichtsgesetzes, BGBl. Nr. 472/1986),

b) Angehörige des zahnärztlichen Berufes (§ 5 des Zahnärztegesetzes [ZÄG], BGBl. I Nr. 126/2005), auch bei Ausübung des zahnärztlichen Berufes in der Form einer Zusammenarbeit als selbstständig berufsbefugte Gruppenpraxis, ausgenommen:

aa) Dentisten und Dentistinnen (§ 60 ZÄG),

bb) Amtszahnärzte und Amtszahnärztinnen (§ 32 ZÄG),

cc) Zahnärzte und Zahnärztinnen, die Aufgaben des chef- und kontrollärztlichen Dienstes der Sozialversicherungsträger erfüllen sowie

dd) Zahnärzte und Zahnärztinnen, die die Grundlagen von Versicherungsverhältnissen sowie daraus resultierende Ansprüche zu beurteilen haben,

c) Apotheken gemäß § 1 des Apothekengesetzes, RGBl. Nr. 5/1907,

d) Krankenanstalten gemäß § 1 KAKuG, ausgenommen selbstständige Ambulatorien (§ 2 Abs. 1 Z 5 KAKuG) im Aufgabenbereich der Arbeitsmedizin sowie

e) Einrichtungen der Pflege, deren Betrieb einer Melde-, Anzeige- oder Bewilligungspflicht nach bundes- oder landesgesetzlichen Vorschriften sowie der behördlichen Aufsicht oder Kontrolle unterliegt.

11. „ELGA-Systempartner“: der Bund, die Länder sowie der Dachverband der Sozialversicherungsträger (im Folgenden: Dachverband).

12. „ELGA-Teilnehmer/innen“: natürliche Personen, die die Teilnahmevoraussetzungen des § 15 erfüllen und für die daher elektronische Verweise auf sie betreffende ELGA-Gesundheitsdaten (Z 9) aufgenommen werden dürfen.

13. „Verweisregister“ („Registry“): ein Register, das im Rahmen von ELGA der Aufnahme von elektronischen Verweisen auf ELGA-Gesundheitsdaten (Z 9) dient.

14. „ELGA-Ombudsstelle“: jene Stelle, die ELGA-Teilnehmer/innen bei der Wahrnehmung und Durchsetzung ihrer Rechte in Angelegenheiten von ELGA und in Angelegenheiten des Datenschutzes, Bürger/innen darüber hinaus in Angelegenheiten von eHealth-Anwendungen, berät und unterstützt sowie die ELGA-Systempartner bei der Weiterentwicklung der Teilnehmer/innen/rechte und des Datenschutzes unterstützt.

15. „Widerspruchstellen“: jene Stellen, gegenüber denen ein genereller Widerspruch von ELGA-Teilnehmer/inne/n schriftlich abgegeben werden kann.

16. „ELGA-Anwendung“: die auf einen bestimmten Zweck gerichtete Verwendung von ELGA durch ELGA-Gesundheitsdiensteanbieter und ELGA-Teilnehmer/innen gemäß dem 4. Abschnitt.

17. „eHealth-Anwendung:“ die auf einen bestimmten Zweck gerichtete Verwendung von ELGA-Komponenten durch Bürger/innen und Gesundheitsdiensteanbieter gemäß dem 5. Abschnitt.

20. „MyHealth@EU-Mitgliedstaat“: ein Mitgliedstaat der Europäischen Union oder des Europäischen Wirtschaftsraums mit bestehender Anbindung an MyHealth@EU mit aufrechter Verbindung zur österreichischen Nationalen Kontaktstelle für digitale Gesundheit.

21. „Herkunftsmitgliedstaat“: ein Mitgliedstaat, in dem natürliche Personen anderer Mitgliedstaaten ihren Wohnsitz haben oder sozialversichert sind.

22. Gesundheitsversorgung“: Gesundheitsversorgung gemäß Art. 3 lit. a der Patientenmobilitätsrichtlinie.

22a. „Behandlungsmitgliedstaat“: Behandlungsmitgliedstaat gemäß Art. 3 lit. d Patientenmobilitätsrichtlinie.

22b. „grenzüberschreitende Gesundheitsversorgung“: grenzüberschreitende Gesundheitsversorgung gemäß Art. 3 lit. e der Patientenmobilitätsrichtlinie

23. „MyHealth@EU:“ die grenzüberschreitende Infrastruktur zur Verarbeitung von ELGA-Gesundheitsdaten gemäß Z 9 im Falle Österreichs als Herkunftsmitgliedstaat gemäß Z 21 sowie Daten aus anderen Mitgliedstaaten im Falle Österreichs als Behandlungsmitgliedstaat gemäß Z 22a für Zwecke der grenzüberschreitenden Gesundheitsversorgung.

24. „Nationale Kontaktstelle für digitale Gesundheit:“ ein organisatorisches und technisches Zugangstor zur Verarbeitung von ELGA-Gesundheitsdaten gemäß Z 9 im Falle Österreichs als Herkunftsmitgliedstaat gemäß Z 21 sowie Daten aus anderen Mitgliedstaaten im Falle Österreichs als Behandlungsmitgliedstaat gemäß Z 22 für Zwecke der grenzüberschreitenden Gesundheitsversorgung.

25. „Elektronische Verschreibung:“ Verschreibung für ein Arzneimittel im Sinne von Art. 3 lit. k der Patientenmobilitätsrichtlinie.

26. „Elektronische Abgabe:“ Informationen über die Abgabe eines Arzneimittels an eine natürliche Person durch eine Apotheke auf der Grundlage einer elektronischen Verschreibung.

27. „EU-Rezept“: grenzüberschreitende Gesundheitsanwendung, die sowohl in Österreich ausgestellte, elektronische Verschreibungen, die in Apotheken anderer MyHealth@EU-Mitgliedstaaten eingelöst werden (Österreich als Herkunftsmitgliedstaat), als auch in anderen MyHealth@EU-Mitgliedstaaten ausgestellte, elektronische Verschreibungen für natürliche Personen des jeweiligen MyHealth@EU-Mitgliedstaats, die in österreichischen Apotheken gemäß § 1 des Apothekengesetzes (im Folgenden Apotheken) eingelöst werden (Österreich als Behandlungsmitgliedstaat), umfasst.“

28. „EU-Patientenkurakte“: grenzüberschreitende Gesundheitsanwendung, die wichtige klinische Fakten in Bezug auf eine bestimmte natürliche Person enthält und für eine sichere und effiziente Gesundheitsversorgung dieser Person unerlässlich ist, ausschließlich im Falle Österreichs als Behandlungsmitgliedstaat.“

2. Abschnitt

Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten (Art. 4 Z 15 und Z 13 DSGVO)

Grundlagen der grenzüberschreitenden Gesundheitsversorgung

§ 12. Der für das Gesundheitswesen zuständige Bundesminister hat die Kontinuität der Behandlung und der Patient/inn/en/sicherheit grenzüberschreitend zu unterstützen und die dafür erforderlichen, insbesondere technischen Grundlagen, zu schaffen.

Öffentliches Gesundheitsportal Österreichs

§ 12a. (1) Der für das Gesundheitswesen zuständige Bundesminister darf zur Bereitstellung qualitätsgesicherter gesundheitsbezogener Informationen für die Bevölkerung ein öffentlich zugängliches Gesundheitsportal betreiben.

(2) Dieses Gesundheitsportal hat den Zugang (§ 23) zu

1. ELGA,

2. dem Elektronischen Impfpass (eImpfpass),

3. dem eHVD‑Webservice gemäß § 10 Abs. 7 sowie

3. dem eHVD‑Webservice gemäß § 10 Abs. 7,

(Anm: Z 4 aufgehoben durch Art. 1 Z 33, BGBl. I Nr. 105/2024)

4a. Anwendungen der grenzüberschreitenden Gesundheitsversorgung (6. Abschnitt) sowie

5. dem eEltern-Kind-Pass-Portal gemäß § 8 Abs. 1 Z 1 des eEltern-Kind-Pass-Gesetzes (EKPG), BGBl. I Nr. 82/2023,

5. dem eEltern-Kind-Pass-Portal gemäß § 8 Abs. 1 Z 1 des eEltern-Kind-Pass-Gesetzes (EKPG), BGBl. I Nr. 82/2023.

anzubieten und die Überprüfung der Identität der betroffenen Personen gemäß § 4 Abs. 3 in Verbindung mit § 18 Abs. 4 Z 2 zu gewährleisten.

Plattform für Gesundheitsdiensteanbieter

§ 12b. (1) Der für das Gesundheitswesen zuständige Bundesminister hat eine Plattform zur Verfügung zu stellen, die es Gesundheitsdiensteanbietern ermöglicht, im Rahmen ihrer gesetzlichen Verpflichtungen personenbezogene Daten

1. im zentralen Impfregister (§ 24c),

2. im Sterbeverfügungsregister (§ 9 des Sterbeverfügungsgesetzes [StVfG], BGBl. I Nr. 242/2021),

3. bei der Gesundheitsvorsorge für die schulbesuchende Jugend (§ 66a des Schulunterrichtsgesetzes [SchUG], BGBl. Nr. 472/1986) sowie

3. bei der Gesundheitsvorsorge für die schulbesuchende Jugend (§ 66a des Schulunterrichtsgesetzes [SchUG], BGBl. Nr. 472/1986),

4. im Elektronischen Eltern-Kind-Pass (§ 4 Abs. 2 und 3 EKPG)

4. im Elektronischen Eltern-Kind-Pass (§ 4 Abs. 2 und 3 EKPG) sowie

5. im Rahmen der grenzüberschreitenden Gesundheitsversorgung (6. Abschnitt)

zu erfassen.

(2) bis (3)

Allgemeine Bestimmungen zur Elektronischen Gesundheitsakte

§ 13. (1) und (2)

(3) Zur Sicherstellung der in Abs. 1 genannten Ziele sind in ELGA ab den in § 27 Abs. 2 bis 6 und 18 genannten Zeitpunkten oder ab dem Zeitpunkt gemäß § 28a Abs. 1 Z 3, spätestens aber ab 1. Jänner 2026 zu speichern:

(3) Zur Sicherstellung der in Abs. 1 genannten Ziele sind in ELGA ab den § 27 Abs. 2 bis 6 und 18 genannten Zeitpunkten oder ab dem Zeitpunkt gemäß § 28a Abs. 1 Z 3, spätestens aber ab 1. Jänner 2026 zu speichern:

1. Entlassungsbriefe (§ 2 Z 9 lit. a sublit. aa) durch Krankenanstalten (§ 2 Z 10 lit. d,

1. Entlassungsbriefe (§ 2 Z 9 lit. a sublit. bb) durch Krankenanstalten (§ 2 Z 10 lit. d,

2. Laborbefunde (§ 2 Z 9 lit. a sublit. bb) durch Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a), sofern diese Fachärzte und Fachärztinnen der Sonderfächer Medizinisch-Chemische Labordiagnostik oder Klinische Hygiene und Mikrobiologie sind, sowie durch Krankenanstalten (§ 2 Z 10 lit. d),

3. Befunde der bildgebenden Diagnostik durch Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a), sofern diese Fachärzte und Fachärztinnen des Sonderfaches Radiologie sind, sowie durch Krankenanstalten (§ 2 Z 10 lit. d),

4. Medikationsdaten (§ 2 Z 9 lit. b), insoweit sich diese auf Handelsnamen bzw. Wirksstoff beziehen, durch Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a), bei der Verordnung,

4. Medikationsdaten (§ 2 Z 9 lit. b), insoweit sich diese auf Handelsnamen bzw. Wirksstoff beziehen, durch Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a), sowie durch Krankenanstalten gemäß § 2 Z 10 lit. d GTelG 2012, bei der Verordnung,

5. Medikationsdaten (§ 2 Z 9 lit. b), insoweit sich diese auf Handelsname bzw. Wirkstoff beziehen, durch Apotheken (§ 2 Z 10 lit. c) und hausapothekenführende Ärzte und Ärztinnen bei der Abgabe,

6. Pflegesituationsbericht (§ 2 Z 9 lit. a sublit. dd) durch Einrichtungen der Pflege (§ 2 Z 10 lit. e),

7. weitere Befunde (§ 2 Z 9 lit. a sublit. dd) gemäß § 28 Abs. 1 Z 2 und 3 durch die dort genannten ELGA-Gesundheitsdiensteanbieter; für diese weiteren Befunde darf mittels Verordnung durch den für das Gesundheitswesen zuständigen Bundesminister oder die zuständige Bundesministerin ein Verpflichtungstermin nach dem 1. Jänner 2026 vorgesehen werden.

(3a) bis (7)

4. Abschnitt

Elektronische Gesundheitsakte (ELGA)

Überprüfung der Identität von ELGA-Teilnehmer/inne/n

§ 18. (1) Der Dachverband hat im übertragenen Wirkungsbereich einen Patient/inn/enindex einzurichten und zu betreiben. Dieser dient:

1. der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen sowie

1. der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen und Anwendungen gemäß dem 6. Abschnitt sowie

2. der Lokalisierung von Verweisregistern, in denen sich Verweise auf ELGA-Gesundheitsdaten dieser natürlichen Personen befinden können.

(2) bis (4)

(4a) Im Rahmen von eHealth-Anwendungen gemäß dem 5. Abschnitt darf die Erhebung der Identitätsdaten der betroffenen Personen, wenn eine Identifikation gemäß Abs. 4 Z 1 bis 4 nicht möglich ist, auch durch Aus- oder Ablesen

(4a) Im Rahmen von eHealth-Anwendungen und Anwendungen gemäß dem 6. Abschnitt darf die Erhebung der Identitätsdaten der betroffenen Personen, wenn eine Identifikation gemäß Abs. 4 Z 1 bis 4 nicht möglich ist, auch durch Aus- oder Ablesen

1. von Name und Sozailversicherungsnummer von der e-card der betroffenen Person, soweit es sich um die eHealth-Anwendung eImpfpass handelt, oder

1. von Namen und Sozialversicherung von der e-card der betroffenen Person, soweit es sich um die eHealth-An

2. unter den Voraussetzungen des Abs. 4b, von Name, Geburtsdatum und Pass- oder Personalausweisnummer („demographische Daten“) von einem gültigen österreichischen Reisedokument gemäß § 2 des Passgesetzes 1992, BGBl. Nr. 839/1992, oder eines gültigen Personalausweises, oder

2. unter den Voraussetzungen des Abs. 4b, von Name, Geburtsdatum und Pass- oder Personalausweisnummer („demographische Daten“) von einem gültigen Reisepass im Sinne des Passgesetzes 1992, BGBl. Nr. 839/1992, ausgenommen eines Reisepasses gemäß § 4a des Passgesetzes 1992, oder eines gültigen Personalausweises, oder

3. bei Personen, die Staatsangehörige einer Vertragspartei des Abkommens über den Europäischen Wirtschaftsraum sind, von Name und Geburtsdatum von einem amtlichen Lichtbildausweis, wobei als amtlicher Lichtbildausweis in diesem Sinne von einer staatlichen Behörde ausgestellte Dokumente, die mit einem nicht austauschbaren erkennbaren Kopfbild der betreffenden Person versehen sind, und den Namen, das Geburtsdatum und die Unterschrift der Person sowie die ausstellende Behörde enthalten, gelten, oder

4. bei betroffenen Persinen, die nicht Staatsangehörige einer Vertragspartei des Abkommens über den Europäischen Wirtschaftsraum sind, von Name und Geburtsdatum von einem gültigen Reisedokument

erfolgen, sofern ein Behandlungs- oder Betreuungszusammenhang zwischen betroffener Person und dem Gesundheitsdiensteanbieter besteht.

(4b) Die Erhebung der Identitätsdaten gemäß Abs. 4a Z 2 ist unter folgenden Voraussetzungen zulässig:

1. Reisepässe gemäß § 4a und Passersätze gemäß § 18 Passgesetz 1992 dürfen nicht für die Erhebung der Identitätsdaten der betroffenen Personen herangezogen werden.

1. Reisepässe gemäß § 4a und Übernahmserklärungen für Staatsbürger gemäß § 18 Passgesetz 1992 dürfen nicht für die Erhebung der Identitätsdaten der betroffenen Personen herangezogen werden.

2. Die demographischen Daten sind mit der Zentralen Evidenz gemäß § 22b Abs. 4 Passgesetz 1992 abzugleichen. Zu diesem Zweck haben die Gesundheitsdiensteanbieter die demographischen Daten mittels einer von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin zur Verfügung gestellten Anwendung an diesen oder diese zu übermitteln, der oder die diese Daten abgleicht.

3. Zum Zwecke der Überprüfung der Identität von Bürger/inne/n sowie der eindeutigen Zuordnung von Dokumenten hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin das bereichsspezifische Personenkennzeichen Gesundheit (bPK‑GH) für diese Zwecke zu verwenden.

4. Der Gesundheitsdiensteanbieter hat nach dem erfolgten Abgleich den Name und das Geburtsdatum der betroffenen Person anhand des von der betroffenen Person vorgelegten gültigen Reisedokuments gemäß § 2 Passgesetz oder dem vorgelegten gültigen Personalausweis zu überprüfen.

4. Der Gesundheitsdiensteanbieter hat nach dem erfolgten Abgleich den Name und das Geburtsdatum der betroffenen Person anhand des von der betroffenen Person vorgelegten gültigen Reisepasses im Sinne des Passgesetzes 1992, ausgenommen eines Reisepassen gemäß § 4a des Passgesetzes oder dem vorgelegten gültigen Personalausweis zu überprüfen.

(5) bis (9)

Berechtigungssystem

§ 21. (1) Das Berechtigungssystem ist von den ELGA-Systempartnern einzurichten und zu betreiben. Es dient der Verwaltung der generellen und individuellen Zugriffsberechtigungen auf ELGA und der Steuerung der Zugriffe auf ELGA-Gesundheitsdaten. Darüber hinaus dient es der Verwaltung der spezifischen Zugriffberechtigungen und Steuerung der Zugriffe auf eHealth-Anwendungen. Ohne Zugriffsberechtigung auf ELGA dürfen weder ELGA-Gesundheitsdaten noch Verweise darauf angezeigt werden.

§ 21. (1) Das Berechtigungssystem ist von den ELGA-Systempartnern einzurichten und zu betreiben. Es dient der Verwaltung der generellen und individuellen Zugriffsberechtigungen auf ELGA und der Steuerung der Zugriffe auf ELGA-Gesundheitsdaten. Darüber hinaus dient es der Verwaltung der spezifischen Zugriffberechtigungen und Steuerung der Zugriffe auf eHealth-Anwendungen und Anwendungen gemäß dem 6. Abschnitt. Ohne Zugriffsberechtigung auf ELGA dürfen weder ELGA-Gesundheitsdaten noch Verweise darauf angezeigt werden.

(2) Aufgrund der generellen Zugriffsberechtigungen auf ELGA, die festlegen, welche standardmäßigen Zugriffe auf ELGA zulässig sind, dürfen:

1. Angehörige des ärztlichen Berufes (§ 2 Z 10 lit. a) auf alle ELGA-Gesundheitsdaten (§ 2 Z 9),

2. Angehörige des zahnärztlichen Berufes (§ 2 Z 10 lit. b) auf ELGA-Gesundheitsdaten gemäß § 2 Z 9 lit. a und b,

3. Apotheken (§ 2 Z 10 lit. c) auf Medikationsdaten gemäß § 2 Z 9 lit. b,

4. Krankenanstalten (§ 2 Z 10 lit. d) auf alle ELGA-Gesundheitsdaten (§ 2 Z 9),

5. Einrichtungen der Pflege (§ 2 Z 10 lit. e) auf alle ELGA-Gesundheitsdaten (§ 2 Z 9),

6. Vertreter/innen gemäß § 14 Abs. 2 Z 2 lit. b auf alle ELGA-Gesundheitsdaten (§ 2 Z 9) sowie

7. Mitarbeiter/innen der ELGA-Ombudsstelle auf alle ELGA-Gesundheitsdaten (§ 2 Z 9)

zugreifen.

(3) ELGA-Teilnehmer/innen dürfen mittels individueller Zugriffsberechtigungen auf ELGA:

1. im Rahmen der generellen Zugriffsberechtigungen elektronische Verweise und ELGA-Gesundheitsdaten einschließlich Medikationsdaten für ELGA-Gesundheitsdiensteanbieter ein- oder ausblenden sowie löschen, falls das Löschen aufgrund anderer gesetzlicher Dokumentationsverpflichtungen oder gemäß § 22 Abs. 5 Z 1 ausgeschlossen ist, sind die Verweise für ELGA unzugänglich zu machen, oder

2. Zeiträume für bestehende Zugriffsberechtigungen gemäß § 18 Abs. 6 verkürzen oder

3. einen ELGA-Gesundheitsdiensteanbieter des besonderen Vertrauens mit dessen Zustimmung gemäß § 18 Abs. 7 festlegen.

(4) Aufgrund von spezifischen Zugriffsberechtigungen dürfen Gesundheitsdiensteanbieter gemäß § 2 Z 2 auf eHealth-Anwendungen gemäß dem 5. Abschnitt zugreifen. Gesundheitsdiensteanbieter, die keine Berechtigung nach Abs. 2 haben, dürfen nicht auf ELGA zugreifen.

(4) Aufgrund von spezifischen Zugriffsberechtigungen dürfen Gesundheitsdiensteanbieter gemäß § 2 Z 2 auf eHealth-Anwendungen und Anwendungen gemäß dem 6. Abschnitt zugreifen. Gesundheitsdiensteanbieter, die keine Berechtigung nach Abs. 2 haben, dürfen nicht auf ELGA zugreifen.

Protokollierungssystem

§ 22. (1) Das Protokollierungssystem ist von den ELGA-Systempartnern einzurichten und zu betreiben. Das Protokollierungssystem dient der Dokumentation und Nachvollziehbarkeit der Verarbeitung von ELGA-Gesundheitsdaten gemäß den folgenden Absätzen sowie von Gesundheitsdaten und genetischen Daten in eHealth-Anwendungen gemäß den Bestimmungen des 5. Abschnitts.

§ 22. (1) Das Protokollierungssystem ist von den ELGA-Systempartnern einzurichten und zu betreiben. Das Protokollierungssystem dient der Dokumentation und Nachvollziehbarkeit der Verarbeitung von ELGA-Gesundheitsdaten gemäß den folgenden Absätzen sowie von Gesundheitsdaten und genetischen Daten in eHealth-Awendungen und in Anwendungen gemäß dem 6. Abschnitt.

(2) bis (4)

Zugangsportal

§ 23. (1) Der für das Gesundheitswesen zuständige Bundesminister hat ein Zugangsportal zu

1. ELGA und

1. ELGA,

2. eHealth-Anwendungen nach Maßgabe des 5. Abschnitts

2. eHealth-Anwendungen und

3. Anwendungen gemäß dem 6. Abschnitt

zur Verfügung zu stellen, das die eindeutige Identifizierung von Gesundheitsdiensteanbietern gemäß § 12b Abs. 2 und die eindeutige Identifizierung von betroffenen Personen gemäß § 18 Abs. 4 Z 2 ermöglicht. Dieses Zugangsportal bietet Funktionen zur Wahrung der Teilnehmer/innen/rechte gemäß §§ 15 und 16 an.

(2) Der Zugriff auf das Zugangsportal darf ausschließlich über Portale erfolgen,

1. die von einer Gebietskörperschaft oder einer öffentlich-rechtlichen Körperschaft betrieben werden und

2. die die Überprüfung der eindeutigen Identität gemäß § 18 Abs. 4 Z 2 gewährleisten.

6. Abschnitt:

Grenzüberschreitende Gesundheitsversorgung

1. Unterabschnitt
Allgemeine Bestimmungen zu MyHealth@EU

Allgemeine Bestimmungen zur grenzüberschreitenden Gesundheitsversorgung

§ 24i. (1) Die grenzüberschreitende Gesundheitsversorgung über MyHealth@EU ist für Zwecke der Gesundheitsvorsorge sowie aus Gründen des öffentlichen Interesses im Bereich öffentliche Gesundheit erforderlich gemäß Art. 9 Abs. 2 lit. h und i DSGVO. Dies ergibt sich insbesondere aus

1. der Sicherstellung der Kontinuität der Gesundheitsversorgung durch eine verbesserte, schnellere Verfügbarkeit medizinischer Informationen, die zu einer Qualitätssteigerung diagnostischer und therapeutischer Entscheidungen sowie der Behandlung und Betreuung führt,

2. der Erhöhung der Patient/inn/ensicherheit,

3. der Steigerung der Prozess- und Ergebnisqualität von Gesundheitsdienstleistungen,

4. der Aufrechterhaltung einer qualitativ hochwertigen, ausgewogenen und allgemein zugänglichen Gesundheitsversorgung sowie

5. der Stärkung der Patient/inn/enrechte, insbesondere in Bezug auf die Verfügbarkeit ihrer elektronischen Gesundheitsdaten und ihre Kontrolle über diese Daten,

jeweils auf grenzüberschreitender Ebene.

(2) Die Teilnahme an MyHealth@EU ist für in Österreich wohnhafte oder sozialversicherte natürliche Personen freiwillig und unentgeltlich. Sie setzt das erklärte Einverständnis der Teilnehmenden voraus, welches jederzeit zurückgezogen werden kann (Opt-in). Das Einverständnis (Opt‑in) stellt keine Einwilligung iSd Art. 9 Abs. 2 lit. a DSGVO dar und erfüllt daher keine dementsprechende Rechtswirkung.

(3) Sozialversicherungsrechtliche Vorschriften bleiben von diesem Abschnitt unberührt.

Nationale Kontaktstelle für digitale Gesundheit

§ 24j. (1) Zur Sicherstellung der in § 24i genannten Ziele ist von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als datenschutzrechtlich Verantwortlichem oder Verantwortlicher (Art. 4 Z 7 DSGVO) die nationale Kontaktstelle für digitale Gesundheit einzurichten und zu betreiben. Sie ist Teil der öffentlichen Gesundheitstelematik-Infrastruktur gemäß § 3 Z 15 des Bundesgesetzes zur partnerschaftlichen Zielsteuerung-Gesundheit, BGBl. I Nr. 26/2017 in der jeweils geltenden Fassung.

(2) Aufgabne der nationalen Kontaktstelle sind die Kommunikation mit den ELGA-Komponenten gemäß § 24k Abs. 3 sowie anwendungsbezogenen Komponenten gemäß den folgenden Unterabschnitten und die Kommunikation mit den Kontaktstellen anderer MyHealth@EU-Mitgliedstaaten.

(3) Die von der Nationalen Kontaktstelle gespeicherten Protokolldaten haben neben nicht-personenbezogenen Meta-Daten auch Angaben zur betroffenen Person (MyHealth@EU-ID gemäß § 24l Abs. 2) sowie zur Identität des Gesundheitsdiensteanbieters (§ 24m) zu enthalten sind spätestens 10 Jahre nach Abschluss der jeweiligen, ursprünglichen Verarbeitung für die Zwecke der Anwendungen der folgenden Unterabschnitte zu löschen.

Grundsätze der Datenverarbeitung

§ 24k. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von durch MyHealth@EU verfügbar gemachten Daten ist nur zulässig, wenn

1. die in Österreich wohnhafte oder sozialversicherte natürliche Person ihr Einverständnis zur Datenverarbeitung gemäß § 24i Abs. 2 erklärt haben,

2. die natürliche Person gemäß § 24l eindeutig identifiziert wurden,

3. die nationale Kontaktstelle oder die ELGA- und eHealth-Supporteinrichtung gemäß § 24m eindeutig identifiziert wurde und gemäß Abs. 2 zur Verarbeitung der Daten berechtigt ist sowie

4. die gemäß den folgenden Unterabschnitten beteiligten Gesundheitsdiensteanbieter gemäß § 24m eindeutig identifiziert wurden und gemäß dem jeweiligen Unterabschnitt zur Verarbeitung der Daten berechtigt sind.

(2) Die durch MyHealth@EU verfügbar gemachten Daten dürfen ausschließlich

1. für Zwecke der grenzüberschreitenden Gesundheitsversorgung von

a) der nationalen Kontaktstelle

b) Gesundheitsdiensteanbietern, die eine natürliche Person anderer MyHealth@EU-Mitgliedstaaten in Österreich gemäß den folgenden Unterabschnitten behandeln oder betreuen sowie

2. zum Zwecke der Wahrnehmung der Rechte der natürlichen Person gemäß § 24n Abs. 1 von

a) der natürlichen Person selbst,

b) gesetzlichen oder bevollmächtigten Vertreter/inne/n der natürlichen Person,

c) der ELGA- und eHealth-Supporteinrichtung sowie

d) der nationalen Kontaktstelle

verarbeitet werden.

(3) Für die Zwecke des Abs. 2 dürfen die folgenden ELGA-Komponenten verwendet werden:

1. der Patient/inn/enindex gemäß § 18,

2. der Gesundheitsdiensteanbieterindex gemäß § 19,

3. das Berechtigungssystem gemäß § 21,

4. das Protokollierungssystem gemäß § 22 sowie

5. das Zugangsportal gemäß § 23.

Überprüfung der Identität von natürlichen Personen im grenzüberschreitenden Kontext

§ 24l. (1) Im Falle Österreichs als Herkunftsmitgliedstaat hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin eine E-ID taugliche Anwendung gemäß den §§ 4 ff E GovG bereitzustellen, die es natürlichen Personen ermöglicht, sich auf Basis der Verwendung der Funktion E-ID im jeweiligen Behandlungsmitgliedstaat zu identifizieren. Nach erfolgter eindeutiger Identifikation der natürlichen Person unter Verwendung der Funktion E-ID hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin ein eindeutiges Identifizierungsmerkmal zu erstellen und so anzuzeigen, dass der behandelnde Gesundheitsdiensteanbieter eine Überprüfung dieser Daten vornehmen kann. § 18 Abs. 4a Z 2 bleibt hiervon unberührt.

(2) Zum Zwecke der Überprüfung der Identität von natürlichen Personen sowie der eindeutigen Zuordnung von Dokumenten ist der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin ermächtigt, das bereichsspezifische Personenkennzeichen Gesundheit (bPK-GH) für die Zwecke dieses Abschnitts zu verwenden, und auf den Patient/inn/enindex gemäß § 18 zuzugreifen. Zur Übermittlung personenbezogener Daten an die nationale Kontaktstelle eines MyHealth@EU-Mitgliedstaats hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin das bPK-GH durch eine als „MyHealth@EU-ID“ zu bezeichnende, kryptographische Ableitung zu ersetzen. Eine Zuordnung der MyHealth@EU-ID zu einem bPK-GH darf ausschließlich für die Zwecke dieses Abschnitts erfolgen.

(3) Natürliche Personen anderer MyHealth@EU-Mitgliedstaaten sind von österreichischen Gesundheitsdiensteanbietern mittels der vom jeweiligen Herkunftsmitgliedstaat vorgegebenen Identifikationsmittel eindeutig zu identifizieren. Zu diesem Zweck dürfen Gesundheitsdiensteanbieter insbesondere die folgenden Daten der natürlichen Personen verarbeiten:

1. Angaben zur Person (Anrede, akademische Titel, Vor- und Nachname(n), Geburtsdatum, Geschlecht)

2. Angaben zum Wohnort (Wohnsitzstaat, Adresse)

3. Angaben zum Identitätsnachweis (Reisepass- und Personalausweis-Nummern, Sozialversicherungsnummer, sonstige numerische oder alphanumerische Identifikatoren)

Überprüfung der Identität von Gesundheitsdiensteanbietern im grenzüberschreitenden Kontext

§ 24m. (1) Nachweis und Prüfung der eindeutigen Identität von Gesundheitsdiensteanbietern in Österreich haben

1. gemäß § 4 Abs. 4 und

2. für die Zwecke des § 2 Z 2 lit. a bis d mittels Zwei-Faktor-Authentifizierung der natürlichen Person zu erfolgen.

Rechte der natürlichen Personen

§ 24n. (1) In Österreich wohnhafte oder sozialversicherte natütliche Personen sowie deren gesetzliche oder bevollmächtigte Vertreter/innen haben das Recht, im Wege des Zugangsportals (§ 23) oder gegenüber der ELGA- und eHealth-Supporteinrichtung (§ 17) die folgenden Rechte geltend zu machen:

1. Wahrnehmung der Betroffenenrechte gemäß dem Kapitel III der DSGVO,

2. Abgabe oder Zurückziehung des Einverständnisses zur Teilnahme (Opt-in) gemäß § 24i Abs. 2.

(2) Die für die Wahrnehmung der Rechte erforderliche Entscheidungsfähigkeit (§ 24 Abs. 2 ABGB) wird im Zweifel ab Vollendung des 14. Lebensjahres (mündige Minderjährige) vermutet.

(3) Natürliche Personen anderer MyHealth@EU-Mitgliedstaaten haben das Recht, ihre Betroffenenrechte gemäß Abs. 1 Z 1 auch gegenüber den in Abs. 1 angeführten Stellen auszuüben. Falls kein Verantwortlicher iSd Art. 4 Z 7 DSGVO seinen Sitz in Österreich hat, ist die Anfrage an die zuständige nationale Kontaktstelle für digitale Gesundheit weiterzuleiten.

2. Unterabschnitt
Elektronische Verschreibungen und elektronische Abgaben (EU-Rezept)

Allgemeine Bestimmungen zum EU‑Rezept

§ 24o. (1) Der Dachverband hat im übertragenen Wirkungsbereich gemäß Artikel 120b Abs. 2 Bundes-Verfassungsgesetz, BGBl. Nr. 1/1930 in der jeweils geltenden Fassung, des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin das EU‑Rezept gemäß § 2 Abs. 2 Z 27 einzurichten und zu betreiben. Das EU-Rezept ist Teil der öffentlichen Gesundheitstelematik-Infrastruktur gemäß § 3 Z 15 des Bundesgesetzes zur partnerschaftlichen Zielsteuerung-Gesundheit.

(2) Zum Zwecke der Erstellung des EU-Rezepts darf der Dachverband neben den ELGA-Komponenten gemäß § 24k Abs. 3 die Anwendung „e-Rezept“ des elektronischen Verwaltungssystems des Dachverbands der Sozialversicherungsträger gemäß § 31a ASVG und die Verordnungsdaten des jeweiligen e-Rezepts heranziehen. Sozialversicherungsrechtliche Vorschriften bleiben von diesem Abschnitt unberührt.

(3) Die Nationale Kontaktstelle hat ihre Aufgaben gemäß § 24j Abs. 3 für das EU-Rezept zu erfüllen.

Österreich als Herkunftsmitgliedstaat

§ 24p. Zum Zwecke der Abgabe von in Österreich elektronisch verschriebenen Arzneimitteln durch Gesundheitsdiensteanbieter in einem anderen MyHealth@EU-Mitgliedstaat hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin die Daten des EU-Rezepts gemäß § 24o Abs. 2 unter Verwendung der nationalen Kontaktstelle gemäß § 24j auf Anfrage an die nationale Kontaktstelle im jeweiligen Behandlungsmitgliedstaat zu übermitteln. Zu diesem Zwecke ist den Gesundheitsdiensteanbietern der anderen MyHealth@EU-Mitgliedstaaten die Überprüfung der Identität der natürlichen Person gemäß § 24l zu ermöglichen.

Österreich als Behandlungsmitgliedstaat

§ 24q. (1) Apotheken dürfen auf elektronische Verschreibungen, die ihnen aus anderen MyHealth@EU-Mitgliedstaaten über MyHealth@EU von der nationalen Kontaktstelle gemäß § 24j übermittelt werden, zugreifen und derart verschriebene Arzneimittel abgeben. Geben Apotheken Arzneimittel auf der Grundlage einer solchen Verschreibung ab, so haben sie die Abgabe dem MyHealth@EU-Mitgliedstaat, der die Verschreibung ausgestellt hat, über MyHealth@EU an die nationale Kontaktstelle zu melden (elektronische Abgabe).

(2) Die Erfüllung der in § 24m genannten Voraussetzungen in Apotheken hat mittels geeigneter elektronischer Identifikation (z.B. mittels Identifikationskarte) der dort beschäftigten natürlichen Personen zu erfolgen.

Grundsätze der Datenverarbeitung

§ 24r. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von über das EU‑Rezept verfügbar gemachten Daten gemäß § 24p sowie über MyHealth@EU verfügbar gemachten Daten gemäß § 24q ist nur zulässig, wenn die Grundsätze gemäß § 24k eingehalten werden.

(2) Gemeinsame Verantwortliche des EU-Rezepts im Sinne des Art. 4 Z 7 in Verbindung mit Art. 26 DSGVO sind:

1. im Falle Österreichs als Herkunftsmitgliedstaat:

a) der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin und

b) der jeweils behandelnde Arzt oder die jeweils behandelnde Ärztin.

2. im Falle Österreichs als Behandlungsmitgliedstaat

a) der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin sowie

b) die jeweils abgebende Apotheke,

wobei die Festlegung der datenschutzrechtlichen Pflichten im Sinne des Art. 26 DSGVO durch Verordnung des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin zu erfolgen hat.

3. Unterabschnitt

EU-Patientenkurzakte

Allgemeine Bestimmungen zur EU-Patientenkurzakte

§ 24s. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat eine grenzüberschreitende Anwendung zum Abruf der EU-Patientenkurzakte gemäß § 2 Abs. 2 Z 28 einzurichten und zu betreiben. Die grenzüberschreitende Anwendung zum Abruf der EU-Patientenkurzakte ist Teil der öffentlichen Gesundheitstelematik-Infrastruktur gemäß § 3 Z 15 des Bundesgesetzes zur partnerschaftlichen Zielsteuerung-Gesundheit.

(2) Die Nationale Kontaktstelle hat ihre Aufgaben gemäß § 24j Abs. 3 für den Abruf der EU-Patientenkurzakte zu erfüllen.

(3) Im Rahmen der EU-Patientenkurzakte dürfen (sofern vorhanden und zutreffend) die folgenden Datenarten verarbeitet werden:

1. Angaben zur natürlichen Person (inklusive Identitätsdaten, Kontaktsdaten, Angaben zur Versicherung),

2. Allergien,

3. Medizinische Warnungen,

4. Informationen über Impfungen/Prophylaxen, gegenbenenfalls in Form eines Impfausweises,

5. Medizinische Probleme (aktuelle, gelöste, abgeschlossene oder inaktive Probleme, auch in einer internationalen Kodierung zur Klassifizierung),

6. Informationen in Textform zur medizinischen Vorgeschichte,

7. Medizinprodukte und Implantate,

8. Medizinische Verfahren oder Pflegeverfahren,

9. Funktionszustand,

10. Derzeitige und frühere Medikation,

11. Gesundheitsrelevante Beobachtungen zum sozialen Hintergrund (Konsum von Alkohol, Tabak, etc.),

12. Schwangerschaftshistorie,

13. von der natürlichen Person selbst zur Verfügung gestellte Daten,

14. Beobachteter Gesundheitszustand,

15. der aktuelle Versorgungsplan,

16. Angaben zu seltenen Krankheiten (zum Beispiel Einzelheiten über die Auswirkungen oder Merkmale der Krankheit, etc.) und

17. Ergebnisse von Untersuchungen.

Österreich als Behandlungsmitgliedstaat

§ 24t. (1) Gesundheitsdiensteanbieter im Sinne des 3. Unterabschnitts (im Folgenden „Gesundheitsdiensteanbieter“) sind ELGA-Gesundheitsdiensteanbieter im Sinne des § 2 Z 10 lit. a und b.

(2) Gesundheitsdiensteanbieter dürfen auf die EU-Patientenkurzakte, die ihnen aus anderen MyHealth@EU-Mitgliedstaaten mittels der grenzüberschreitenden Anwendung gemäß § 24s Abs. 1 über MyHealth@EU von der nationalen Kontaktstelle gemäß § 24j übermittelt wird, zugreifen

(3) Die Identifikation des Gesundheitsdiensteanbieters als natürliche Person oder der von ihm beschäftigten natürlichen Personen hat gemäß § 24m zu erfolgen.

Grundsätze der Datenverarbeitung

§ 24u. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von über MyHealth@EU verfügbar gemachten Daten gemäß § 24t ist nur zulässig, wenn die Grundsätze gemäß § 24k eingehalten werden.

(2) Gemeinsame Verantwortliche der EU-Patientenkurzakte im Sinne des Art. 4 Z 7 in Verbindung mit Art. 26 DSGVO sind:

1. im Falle Österreichs als Behandlungsmitgliedstaat

a) der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin sowie

b) der Gesundheitsdiensteanbieter,

6. Abschnitt

7. Abschnitt

§ 26 (1) bis (18)

(19) Die Einträge im Inhaltsverzeichnis zum 6. und 7. Abschnitt sowie zu § 28c und § 28d, § 1 Abs. 2 Z 3 bis 5, § 2 Z 2 Einleitungsteil sowie lit. e und f, § 2 Z 20 bis 27, § 12a Abs. 2 Z 3 und 4, § 12b Abs. 1 Z 3 bis 5, § 18 Abs. 1 Z 1, Abs. 4a Einleitungsteil sowie Z 2, Abs. 4b Z 1 und 4, § 21 Abs. 1 und 4, § 22 Abs. 1, § 23 Abs. 1 Z 1 bis 3, der 6. Abschnitt, die Abschnittsbezeichnung des 7. Abschnitts § 28c und § 28d in der Fassung des Bundesgesetzes BGBl. Nr. I xx/2025 treten mit 15. Feburar 2026 in Kraft. § 2 Z 9 lit. f, § 12 samt Eintrag im Inhaltsverzeichnis und Überschrift treten mit 15. Februar 2026 außer Kraft.

(20) § 13 Abs. 3 Z 4 und § 28a Abs. 1 Z 3 in der Fassung des Bundesgesetzes BGBl. Nr. I xx/2025 treten mit dem der Kundmachung folgenden Tag in Kraft.“.

Verordnungsermächtigung für den 4. Abschnitt (ELGA)

§ 28a (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 4. Abschnitts mit Verordnung Folgendes festzulegen:

1. die in ELGA zu verwendenden Standards für Inhalt, Struktur und Format gemäß § 27 Abs. 7, 8 und 9 für

a) Entlassungsbriefe gemäß § 2 Z 9 lit. a sublit. aa,

b) Laborbefunde gemäß § 2 Z 9 lit. a sublit. bb,

c) Befunde der bildgebenden Diagnostik einschließlich allfälliger Bilddaten gemäß § 2 Z 9 lit. a sublit. cc sowie

d) Medikationsdaten gemäß § 2 Z 9 lit. b,

2. die in ELGA zu verwendenden Standards für Struktur und Format, für

a) folgende Befundarten (§ 2 Z 9 lit. a sublit. dd):

aa) Pathologiebefunde durch Fachärzte und Fachärztinnen für Pathologie und Krankenanstalten und

bb) sonstige fachärztiche Befunde im Rahmen ambulanter Behandlungen (Spitalsambulanz, selbständige Ambulatorien, niedergelassener Facharztbereich) sowie

b) automationsunterstützt erstellte Angaben gemäß Art. 14 Abs. 2 lit. b sublit. i der Richtlinie 2011/24/EU über die Ausübung der Patient/inn/enrechte in der grenzüberschreitenden Gesundheitsversorgung (§ 2 Z 9 lit. f),

3. den jeweiligen Zeitpunkt, ab dem die in Z 1 und 2 genannten Daten in ELGA gemäß § 13 Abs. 2 und 3 in Verbindung mit Abs. 1 Z 1 zu speichern und zu erheben sind,

3. den jeweiligen Zeitpunkt, ab dem die in Z 1 und 2 genannten Daten in ELGA gemäß § 13 Abs. 2 und 3 in Verbindung mit Abs. 1 Z 1 zu speichern und zu erheben sind sowie den jeweiligen Zeitpunkt ab dem die Nutzung der ELGA-Komponenten (§ 24 GTelG 2012) zur Verarbeitung von ELGA-Gesundheitsdaten technisch sichergestellt sein muss,

4. die zu erfassenden wechselwirkungsrelevanten, nicht verschreibungspflichtigen Arzneimittel gemäß § 2 Z 9 lit. b,

5. Standards der für ELGA verwendenden Komponenten für

a) die Suchfunktion gemäß § 13 Abs. 5

b) die zeitliche Verfügbarkeit,

c) die Sicherheitsanforderungen, wie insbesondere Regelungen zum Risikomanagement, und

d) den Zugriffschutz,

wobei sichergestellt sein muss, dass Wartungsareiten protokolliert werden und dabei entweder nur verschlüsselte Daten eingesehen werden können oder ein Vier-Augen-Prinzip sichergestellt ist,

6. für den Aushang gemäß § 16 Abs. 4

a) den Umfang und Detaillierungsgrad der Information und

b) die Mindestanforderungen an den Inhalt,

7. die Einrichtung der ELGA- und eHealth-Supporteinrichtung gemäß § 17 sowie die von den einzelnen Bereichen wahrzunehmenden Aufgaben,

8. den Zeitpunkt, ab dem eine einheitliche Nomenklatur für ELGA-Gesundheitsdaten (§ 2 Z 9) zu verwenden ist,

9. den Auftragsverarbeiter (Art. 4 Z 8 DSGVO) des Berechtigungssystems gemäß § 21 und des Protokollierungssystem gemäß § 22

10. den Beginn und das Ende von Testphasen für ELGA in Verbindung mit Z 1 bis 3 samt einer allfälligen, unabhängigen Evaluierung sowie

11. allenfalls weitere Zugriffsberechtigungen auf ELGA-Gesundheitsdaten gemäß § 21 Abs. 2.

(2) bis (4)

Anhörung und Weisungsrechte

§ 28c. (1) bis (4).

§ 28d. (1) bis (4).

Verordnungsermächtigungen für den 6. Abschnitt

§ 28c. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 6. Abschnittes mit Verordnung die datenschutzrechtlichen Pflichten im Sinne des Art. 26 DSGVO für die gemeinsamen Verantwortlichen des EU-Rezepts (§ 24r Abs. 2) festzulegen.

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 6. Abschnittes mit Verordnung die datenschutzrechtlichen Pflichten im Sinne des Art. 26 DSGVO für die gemeinsamen Verantwortlichen der EU-Patientenkurzakte (§ 24u Abs. 2) festzulegen.

Artikel 2

Änderung des Allgemeinen Sozialversicherungsgesetzes

Grundlagen des Elektronischen Verwaltungssystems (ELSY)	Grundlagen des Elektronischen Verwaltungssystems (ELSY)
§ 31a. (1) bis (3)	§ 31a. (1) bis (3)
(4) Bestandteile des ELSY dürfen für andere als Sozialversicherungszwecke nur mit bundesgesetzlicher Ermächtigung und nur so weit verarbeitet werden, als dies mit dem Zweck des ELSY nicht unvereinbar (Art. 5 Abs. 1 lit. b DSGVO) ist. Zu Fragen der Unvereinbarkeit neuer Verarbeitungszwecke sowie zu Fragen der Speicherung von personenbezogenen Daten auf den innerhalb des ELSY zu verwendenden Chipkarten ist der Datenschutzrat unter Setzung einer angemessenen Frist anzuhören. Bestandteile des ELSY dürfen jedenfalls für folgende andere als Sozialversicherungszwecke verarbeitet werden:	(4) Bestandteile des ELSY dürfen für andere als Sozialversicherungszwecke nur mit bundesgesetzlicher Ermächtigung und nur so weit verarbeitet werden, als dies mit dem Zweck des ELSY nicht unvereinbar (Art. 5 Abs. 1 lit. b DSGVO) ist. Zu Fragen der Unvereinbarkeit neuer Verarbeitungszwecke sowie zu Fragen der Speicherung von personenbezogenen Daten auf den innerhalb des ELSY zu verwendenden Chipkarten ist der Datenschutzrat unter Setzung einer angemessenen Frist anzuhören. Bestandteile des ELSY dürfen jedenfalls für folgende andere als Sozialversicherungszwecke verarbeitet werden:
1. Prüfung von Ansprüchen gegen und Teilnahme an ELSY durch Krankenfürsorgeeinrichtungen nach § 2 Abs. 1 Z 2 B-KUVG;	1. Prüfung von Ansprüchen gegen und Teilnahme an ELSY durch Krankenfürsorgeeinrichtungen nach § 2 Abs. 1 Z 2 B-KUVG;
2. Prüfung von Ansprüchen gegen Sozialhilfeträger nach landesgesetzlichen Vorschriften;	2. Prüfung von Ansprüchen gegen Sozialhilfeträger nach landesgesetzlichen Vorschriften;
3. Auslesen der auf der e-card nach § 31a Abs. 3 Z 1 lit. a gespeicherten Daten;	3. Auslesen der auf der e-card nach § 31a Abs. 3 Z 1 lit. a gespeicherten Daten;
4. Dokumentation eines Anspruches auf eine Pension aus einer gesetzlichen Pensionsversicherung oder einen Ruhe- und Versorgungsgenuss;	4. Dokumentation eines Anspruches auf eine Pension aus einer gesetzlichen Pensionsversicherung oder einen Ruhe- und Versorgungsgenuss;
5. technische Unterstützung von Sicherheitsmaßnahmen (zB durch kryptografische Schlüssel) im Zusammenhang mit der Verarbeitung von Gesundheitsdaten im Sinne des Art. 4 Z 15 DSGVO;	5. technische Unterstützung von Sicherheitsmaßnahmen (zB durch kryptografische Schlüssel) im Zusammenhang mit der Verarbeitung von Gesundheitsdaten im Sinne des Art. 4 Z 15 DSGVO;
6. ärztliche Verschreibung von Heilmitteln, die nicht auf Rechnung des Krankenversicherungsträgers bezogen werden;	6. ärztliche Verschreibung von Heilmitteln, die nicht auf Rechnung des Krankenversicherungsträgers bezogen werden;
7. die Umsetzung und laufende Bereitstellung der elektronischen Eltern-Kind-Pass-Anwendung nach dem eEltern-Kind-Pass-Gesetz (EKPG), BGBl. I Nr. 82/2023;	7. die Umsetzung und laufende Bereitstellung der elektronischen Eltern-Kind-Pass-Anwendung nach dem eEltern-Kind-Pass-Gesetz (EKPG), BGBl. I Nr. 82/2023;
8. Übermittlung von Daten nach § 6 Abs. 3 und 4 des Bundesgesetzes über die Dokumentation im Gesundheitswesen;	8. Übermittlung von Daten nach § 6 Abs. 3 und 4 des Bundesgesetzes über die Dokumentation im Gesundheitswesen;
9. Speicherung von ELGA-Gesundheitsdaten nach § 2 Z 9 GTelG 2012.	9. Speicherung von ELGA-Gesundheitsdaten nach § 2 Z 9 GTelG 2012;
	10. Erstellung von EU-Rezepten nach § 24o GTelG 2012.
Der durch die Verarbeitung von Bestandteilen des ELSY für diese Zwecke entstehende Aufwand ist dem Dachverband jeweils nach Maßgabe einer vertraglichen Regelung zu vergüten.	Der durch die Verarbeitung von Bestandteilen des ELSY für diese Zwecke entstehende Aufwand ist dem Dachverband jeweils nach Maßgabe einer vertraglichen Regelung zu vergüten.

(5) bis (12)	(5) bis (12)
Elektronische Gesundheitsakte (ELGA)	Elektronische Gesundheitsakte (ELGA)
§ 31d. (1) und (2)	§ 31d. (1) und (2)
(3) Der Dachverband hat im übertragenen Wirkungsbereich	(3) Der Dachverband hat im übertragenen Wirkungsbereich
1. die Widerspruchsstelle (§ 17 Abs. 2 Z 3 GTelG 2012)	1. die Widerspruchsstelle (§ 17 Abs. 2 Z 3 GTelG 2012)
2. die Serviceline (§ 17 Abs. 2 Z 4 GTelG 2012) und	2. die Serviceline (§ 17 Abs. 2 Z 4 GTelG 2012) und
3. bis zum 31. Dezember 2025 die Funktionen des Zugangsportals von ELGA, insbesondere jene zur Wahrung der ELGA Teilnehmer/innenrechte gemäß § 23 Abs. 1 GTelG 2012,	3. bis zum 31. Dezember 2026 die Funktionen des Zugangsportals von ELGA, insbesondere jene zur Wahrung der ELGA Teilnehmer/innenrechte gemäß § 23 Abs. 1 GTelG 2012,
bereit zu stellen und zu betreiben oder betreiben zu lassen. Er ist dabei an die Weisungen des für das Gesundheitswesen zuständigen Bundesministers gebunden. Die Kundmachung der techisch-organisatorischen Spezifikationen nach § 28a GTelG 2012 darf rechtswirksam auch im Internet erfolgen.	bereit zu stellen und zu betreiben oder betreiben zu lassen. Er ist dabei an die Weisungen des für das Gesundheitswesen zuständigen Bundesministers gebunden. Die Kundmachung der techisch-organisatorischen Spezifikationen nach § 28a GTelG 2012 darf rechtswirksam auch im Internet erfolgen.
(4) Zur Sicherstellung der korrekten Ausübung der Widerspruchs- sowie Widerrufsrechte nach § 15 GTelG 2012 sowie der Teilnehmer/innen/rechte nach § 16 GTelG 2012 darf auch die Sozialversicherungsnummer verwendet werden.	(4) Zur Sicherstellung der korrekten Ausübung der Widerspruchs- sowie Widerrufsrechte nach § 15 GTelG 2012 sowie der Teilnehmer/innen/rechte nach § 16 GTelG 2012 darf auch die Sozialversicherungsnummer verwendet werden.