Gesundheitstelematikgesetz 2012

Gesundheitstelematikgesetz 2012

§ 1. (1) Gegenstand dieses Bundesgesetzes ist die Verarbeitung (Art. 4 Z 2 der Verordnung [EU] 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG [Datenschutz-Grundverordnung], ABl. Nr. L 119 vom 04.05.2016 S. 1, in der Fassung der Berichtigung ABl. Nr. L 074 vom 04.03.2021 S. 35, [im Folgenden: DSGVO]) personenbezogener elektronischer Gesundheitsdaten und genetischer Daten (Art. 4 Z 15 und Z 13 DSGVO) durch die Gesundheitsdiensteanbieter gemäß § 2 Z 2.

(2) Ziele dieses Bundesgesetzes sind

(3) Sofern dieses Bundesgesetz keine besonderen Bestimmungen enthält, bleiben andere Rechtsvorschriften unberührt.

§ 2. Im Sinne dieses Bundesgesetzes bedeuten

§ 3. (1) Dieser Abschnitt gilt für alle Formen der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten (gerichtete und ungerichtete Kommunikation) durch Gesundheitsdiensteanbieter (§ 2 Z 2).

(2) Abs. 4 Z 3 bis 6, § 4 Abs. 4 und Abs. 5 Z 2 sowie die §§ 5 bis 7 sind auf Verarbeitungen nach diesem Abschnitt innerhalb eines Gesundheitsdiensteanbieters oder einer Unternehmensgruppe (Art. 4 Z 19 DSGVO) von Gesundheitsdiensteanbietern nicht anzuwenden, wenn durch effektive und dem Stand der Technik entsprechende Datensicherheits- und Kontrollmaßnahmen unbefugte Dritte vom Zugriff auf Gesundheitsdaten und genetische Daten, und somit deren Kenntnisnahme ausgeschlossen werden können.

(3) Die Zulässigkeit, Gesundheitsdaten oder genetische Daten zu verarbeiten, ist mittels Rollen abzubilden. Gesundheitsdiensteanbieter haben technisch zu gewährleisten, dass es keine Verarbeitung von Gesundheitsdaten oder genetischen Daten außerhalb der zulässigen Rollen gibt.

(4) Gesundheitsdiensteanbieter dürfen Gesundheitsdaten und genetische Daten nur dann übermitteln, wenn

§ 4. (1) Bei der Übermittlung von Gesundheitsdaten und genetischen Daten ist die Identität (§ 2 Z 1 des EGovernment-Gesetzes [E-GovG], BGBl. I Nr. 10/2004) jener Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, festzustellen.

(2) Bei ungerichteter Kommunikation haben darüber hinaus Nachweis und Prüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) von Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, zu erfolgen.

(3) Der Patient/inn/enindex gemäß § 18 kann zur Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) von Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, auch außerhalb von ELGA (4. Abschnitt) verwendet werden.

(4) Nachweis und Prüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) von Gesundheitsdiensteanbietern haben

(5) Aus Gründen der Patient/inn/en/sicherheit ist die eindeutige Identität

(6) Zur Erleichterung der Identifikation im Tätigkeitsbereich Gesundheit (§ 9 Abs. 1 E-GovG) sind die §§ 14 und 15 E-GovG über die Verwendung der Funktion E-ID im privaten Bereich nicht anzuwenden. Stattdessen sind die Bestimmungen des E-GovG, die für Verantwortliche (Art. 4 Z 7 DSGVO) des öffentlichen Bereichs gelten, wie insbesondere die §§ 8 bis 13 E-GovG, sinngemäß anzuwenden. Dadurch steht den Gesundheitsdiensteanbietern insbesondere das Recht zu, die Ausstattung ihrer Datenverarbeitungen mit bPK gemäß § 10 Abs. 2 E-GovG von der Stammzahlenregisterbehörde zu verlangen.

§ 4a. (1) Die Bezirksverwaltungsbehörden, die Landeshauptleute und der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin haben die Zugriffsberechtigungen auf eHealth-Anwendungen (§ 2 Z 17) für die einzelnen Bediensteten der jeweiligen Behörde individuell nach dem jeweiligen Aufgabenbereich festzulegen und zu dokumentieren. Zugriffsberechtigte sind von der Ausübung ihrer Zugriffsberechtigung auszuschließen, wenn sie diese zur Erfüllung der ihnen übertragenen Aufgaben nicht mehr benötigen oder sie die Daten nicht entsprechend ihrer Zweckbestimmung verarbeiten.

(2) Die in Abs. 1 genannten Behörden haben durch organisatorische und technische Vorkehrungen (§ 8) sicherzustellen, dass ein Zugriff auf eHealth-Anwendungen, insbesondere der Zutritt zu Räumen, in denen sich eine Zugriffsmöglichkeit auf eHealth-Anwendungen befindet, nur den mit Gesundheitsaufgaben betrauten Bediensteten der Behörde möglich ist. Ist es erforderlich, dass in Räumen mit einer Zugriffsmöglichkeit auf eHealth-Anwendungen Parteienverkehr stattfindet, ist jedenfalls sicherzustellen, dass eine Einsichtnahme in die Daten der eHealth-Anwendungen durch Außenstehende nicht möglich ist.

(3) Fallen für eine in Abs. 1 genannte Behörde die Voraussetzungen für die verwaltungsübergreifende Zusammenarbeit im Rahmen von eHealth-Anwendungen weg, ist sicherzustellen, dass weitere Zugriffe auf eHealth-Anwendungen durch diese Behörde ausgeschlossen sind.

§ 5. (1) Nachweis und Prüfung der Rolle von Gesundheitsdiensteanbietern haben gemäß § 4 Abs. 4 zu erfolgen.

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat gemäß § 28 Abs. 1 Z 1 mit Verordnung diese Rollen festzulegen.

§ 6. (1) Die Vertraulichkeit bei der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten ist dadurch sicherzustellen, dass entweder

(2) Bei der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten gemäß Abs. 1 Z 2 dürfen die allenfalls von der Verschlüsselung ausgenommenen Informationen weder Hinweise auf die betroffenen Personen (Art. 4 Z 1 DSGVO), deren Gesundheitsdaten oder genetische Daten übermittelt werden, noch auf allfällige Authentifizierungsdaten enthalten.

(3) Es ist sicherzustellen, dass die Speicherung von Gesundheitsdaten und genetischen Daten in Datenspeichern, die einem Verantwortlichen (Art. 4 Z 7 DSGVO) bedarfsorientiert von einem Auftragsverarbeiter (Art. 4 Z 8 DSGVO) bereitgestellt werden („Cloud Computing“), nur dann erfolgt, wenn die Gesundheitsdaten und genetischen Daten mit einem dem aktuellen Stand der Technik entsprechenden Verfahren (Abs. 1 Z 2) verschlüsselt worden sind.

§ 7. (1) Nachweis und Prüfung der Integrität elektronischer Gesundheitsdaten und genetischer Daten haben durch die Verwendung fortgeschrittener oder qualifizierter elektronischer Signaturen oder fortgeschrittener oder qualifizierter elektronischer Siegel gemäß der Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG, ABl. Nr. L 257 vom 28.08.2014 S. 73, in der Fassung der Berichtigung ABl. Nr. L 257 vom 29.01.2015 S. 19, zu erfolgen.

(2) Abs. 1 ist nicht auf die elektronische Übermittlung von Gesundheitsdaten und genetischen Daten zwischen Gesundheitsdiensteanbietern anzuwenden, wenn hiezu ein entsprechend dem Stand der Technik abgesichertes Netzwerk gemäß § 6 Abs. 1 Z 1 verwendet wird und der Zugang zu diesem Netzwerk ausschließlich für im Vorhinein bekannte Gesundheitsdiensteanbietern möglich ist.

§ 8. (1) Gesundheitsdiensteanbieter haben auf Basis eines IT-Sicherheitskonzeptes alle gemäß Art. 32 DSGVO und den Bestimmungen dieses Bundesgesetzes getroffenen Datensicherheitsmaßnahmen zu dokumentieren. Aus dieser Dokumentation muss hervorgehen, dass sowohl der Zugriff als auch die Übermittlung der Daten ordnungsgemäß erfolgt und die Daten Unbefugten nicht zugänglich sind.

(2) Die Rechtsträger von Krankenanstalten sowie die Aufsichts- oder Kontrollbehörden von Einrichtungen der Pflege, die Österreichische Ärztekammer, die Österreichische Zahnärztekammer, das Hebammengremium, die Österreichische Apothekerkammer, die Wirtschaftskammer Österreich sowie der Dachverband können standardisierte Formulare und Ausfüllhilfen für die Dokumentation gemäß Abs. 1 zur Unterstützung für jene Gesundheitsdiensteanbieter zur Verfügung stellen, für die sie als Registrierungsstelle gemäß § 2 Z 4 fungieren.

(3) Die Dokumentation gemäß Abs. 1 ist dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin auf dessen oder deren Verlangen zu übermitteln.

§ 8a. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat zur Gewährleistung der Sicherheit von Netz- und Informationssystemen im Rahmen dieses Gesetzes ein sektorenspezifisches Computer-Notfallteam für Gesundheitsdiensteanbieter, die Betreiber wesentlicher Dienste gemäß § 8 der Netz- und Informationssystemsicherheitsverordnung (NISV), BGBl. II Nr. 215/2019, sind („Austrian Health CERT“), gemäß § 14 des Netz- und Informationssicherheitsgesetzes (NISG), BGBl. I Nr. 111/2018, einzurichten und zu betreiben. Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin kann sich für die Wahrnehmung dieser Aufgabe des Austrian Health CERT eines Dienstleisters bedienen.

(2) Das Austrian Health CERT hat die Aufgaben gemäß § 14 Abs. 2 NISG gegenüber Gesundheitsdiensteanbietern, die Betreiber wesentlicher Dienste gemäß § 8 NISV sind, wahrzunehmen und dabei die Anforderungen gemäß § 15 Abs. 1 NISG mit Ausnahme von Z 3 zu erfüllen.

(3) Gesundheitsdiensteanbieter, die Betreiber wesentlicher Dienste gemäß § 8 NISV sind, haben Meldungen gemäß § 19 NISG spätestens ab 1. April 2024 an das Austrian Health CERT zu erbringen.

(4) Der Bundeskanzler oder die Bundeskanzlerin hat im Einvernehmen mit dem Bundesminister oder der Bundesministerin für Inneres festzustellen, dass das Austrian Health CERT die Anforderungen gemäß § 15 Abs. 1 NISG erfüllt und geeignet ist, die Aufgaben gemäß § 14 Abs. 2 NISG wahrzunehmen.

§ 9. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat zur

(2) Gesundheitsdiensteanbieter sind von den Registrierungsstellen in den eHVD einzutragen. Sind Gesundheitsdiensteanbieter in eine Primärversorgungseinheit gemäß Primärversorgungsgesetz (PrimVG), BGBl. I Nr. 131/2017, eingebunden, ist auch diese als „Gesundheitsdiensteanbieter“ von den Registrierungsstellen in den eHVD einzutragen.

(3) Die Eintragung der in § 10 Abs. 1 genannten Daten in den eHVD und deren Austragung aus dem eHVD erfolgt

(4) Die Erleichterung der Meldung gemäß Abs. 3 Z 2 lit. a darf von Gesundheitsdiensteanbietern, die keine natürlichen Personen sind, nur dann in Anspruch genommen werden, wenn sie ihre Organisationsstruktur intern abspeichern und gewährleistet ist, dass

(5) Die Registrierungsstellen haben die technischen und organisatorischen Voraussetzungen für

zu schaffen.

§ 10. (1) In den eHVD sind folgende Daten aufzunehmen

(2) Abweichend von Abs. 1 sind Angaben über die elektronische Erreichbarkeit (Abs. 1 Z 4) und die Angaben zu Abs. 1 Z 8 und 11 nur insoweit in den eHVD aufzunehmen, als sie von den Registrierungsstellen übermittelt werden.

(3) Die Angaben über besondere Befugnisse oder Eigenschaften gemäß Abs. 1 Z 5 und zu Abs. 1 Z 6, 9, 10, 12 und 13 sind von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin zu ergänzen.

(4) Für die eindeutige elektronische Identifikation von Gesundheitsdiensteanbietern (Abs. 1 Z 3), die natürliche Personen sind, haben Registrierungsstellen bereichsspezifische Personenkennzeichen zu verwenden. Werden die bereichsspezifischen Personenkennzeichen von den Registrierungsstellen nicht zur Verfügung gestellt, sind dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin zusätzlich zu den Angaben gemäß Abs. 1 das Geburtsdatum, das Geschlecht sowie der Geburtsort des betreffenden Gesundheitsdiensteanbieters, falls letzterer verfügbar und zu Identifikationszwecken erforderlich ist, zu übermitteln.

(5) Die eindeutige Kennung gemäß Abs. 1 Z 6 (OID und symbolischer Bezeichner) ist anhand der ÖNORM A 2642, „Informationstechnologie – Kommunikation offener Systeme, Verfahren zur Registrierung von Informationsobjekten in Österreich“ vom 1. Jänner 2011 aus der Kennung (OID) des für das Gesundheitswesen zuständigen Bundesministeriums abzuleiten. Die im Abs. 1 Z 1 bis 7, 12 und 13 bezeichneten Daten dürfen von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin einem gegebenenfalls eingerichteten System für die Vergabe und Verwaltung von Objektidentifikatoren übermittelt werden.

(6) Die im eHVD enthaltenen Daten sind mit Ausnahme der Identifikatoren und der Staatsangehörigkeit des Gesundheitsdiensteanbieters (Abs. 1 Z 3 und Z 7) und jener Daten, die aufgrund bestehender Rechtsvorschriften von einer Veröffentlichung ausgenommen sind, öffentlich zugänglich und – soweit erforderlich – auch in englischer Sprache zur Verfügung zu stellen.

(7) Der für das Gesundheitswesen zuständige Bundesminister oder der zuständigen Bundesministerin darf die im eHVD gemäß Abs. 1 Z 1 bis 6, 8, 12 und 13 gespeicherten Daten Gesundheitsdiensteanbietern oder deren Auftragsverarbeitern (Art. 4 Z 8 DSGVO) (Anm. 1) im Umfang des nachzuweisenden Bedarfs übermitteln. Die Übermittlungsempfänger dürfen die Daten ausschließlich für Zwecke gemäß § 9 Abs. 1 Z 1 verarbeiten.

(___________________

Anm. 1: Art. 69 Z 32 der Novelle BGBl. I Nr. 37/2018 lautet: „In § 10 Abs. 7 wird das Wort „Dienstleister“ durch die Wortfolge „Auftragsverarbeitern (Art. 4 Z 8 DSGVO)“ und ... ersetzt.“. Richtig wäre: „In § 10 Abs. 7 wird das Wort „Dienstleistern“ durch die Wortfolge „Auftragsverarbeitern (Art. 4 Z 8 DSGVO)“ und ... ersetzt.““, vgl. Parlamentarische Materialien – Textgegenüberstellung S. 207)

§ 11. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin kann zur Evaluierung der Nutzung und der Auswirkungen von Informations- und Kommunikationstechnologien im Gesundheitswesen – unter Bedachtnahme auf die Anforderungen des europäischen Umfeldes – ein bundesweites Berichtswesen einrichten, das auf der Basis standardisierter Vorgaben Auskünfte insbesondere über

(2) Die Art und der Umfang der damit verbundenen Erhebungen können aufgrund rollenspezifischer Besonderheiten mit unterschiedlichem Detaillierungsgrad festgelegt werden.

(3) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat den Bericht gemäß Abs. 1 dem Nationalrat vorzulegen und ist berechtigt, die Ergebnisse dieses Berichts auch für die Berichterstattung an Einrichtungen der Europäischen Union oder an andere internationale Organisationen zu verwenden.

(4) Die Gesundheitsdiensteanbieter sowie alle sonstigen Stellen, die über Informationen über den Einsatz von Informations- und Kommunikationstechnologien im Gesundheitswesen verfügen, sind verpflichtet, zur Erstellung eines Berichts gemäß Abs. 1 die erforderlichen Auskünfte zu erteilen oder die verlangten Unterlagen zur Verfügung zu stellen.

§ 12a. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat zur Bereitstellung qualitätsgesicherter gesundheitsbezogener Informationen für die Bevölkerung ein öffentlich zugängliches Gesundheitsportal zu betreiben.

(2) Dieses Gesundheitsportal hat den Zugang zu

(3) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin kann das Gesundheitsportal auch für die eindeutige Identifizierung von Gesundheitsdiensteanbietern gemäß § 12b Abs. 2 und die eindeutige Identifizierung von betroffenen Personen gemäß § 18 Abs. 4 Z 2 zur Erbringung von telemedizinischen Diensten zur Verfügung stellen.

§ 12b. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat eine Plattform zur Verfügung zu stellen, die es Gesundheitsdiensteanbietern ermöglicht, im Rahmen ihrer gesetzlichen Verpflichtungen personenbezogene Daten

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat sicherzustellen, dass Nachweis und Prüfung

(3) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin kann mittels Verordnung gemäß § 28 Abs. 1 Z 4 weitere Anwendungen vorsehen, die die Datenverarbeitung gemäß Abs. 1 ermöglichen.

§ 13. (1) Die Verwendung der Elektronischen Gesundheitsakte erfüllt ein erhebliches öffentliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j der DSGVO. Dieses erhebliche öffentliche Interesse an der Nutzung von ELGA ergibt sich insbesondere aus

(2) ELGA-Gesundheitsdiensteanbieter haben zur Erfüllung der in § 14 Abs. 2 genannten Zwecke das Recht, ELGA-Gesundheitsdaten in ELGA zu speichern und unter Berücksichtigung der jeweiligen Berufspflichten (z. B. § 49 Abs. 1 ÄrzteG 1998; § 10 Apothekenbetriebsordnung 2005, BGBl. II Nr. 65/2005) zu erheben, sofern in diesem Bundesgesetz nichts anderes, etwa durch die Ausübung von ELGATeilnehmer/innenrechten gemäß § 16, festgelegt ist.

(3) Zur Sicherstellung der in Abs. 1 genannten Ziele sind – mit Ausnahme von Pflegesituationsberichten (Z 6) – in ELGA ab den in § 27 Abs. 2 bis 6 und 18 genannten Zeitpunkten oder ab dem Zeitpunkt gemäß § 28a Abs. 1 Z 3, spätestens aber ab 1. Jänner 2026 zu speichern

(3a) Über Abs. 3 hinaus dürfen zur Sicherstellung der in Abs. 1 genannten Ziele Ergebnisberichte (§ 2 Z 9 lit. g) durch die Gesundheitsberatung 1450 (§ 2 Z 10 lit. f) unter Einhaltung des § 21 Abs. 2a gespeichert werden.

(4) Allfällige Bilddaten (§ 2 Z 9 lit. a) sind nur dann und nur in jenem Umfang in ELGA zu speichern, als dies der ELGA-Gesundheitsdiensteanbieter für erforderlich erachtet.

(5) Die ELGA-Systempartner haben unter Berücksichtigung der gebotenen Sicherheitsanforderungen ELGA so zur Verfügung zu stellen, dass die Anbindung von ELGA bei den ELGA-Teilnehmer/inne/n und den ELGA-Gesundheitsdiensteanbietern benutzer- und anwenderfreundlich, insbesondere durch einfach zu handhabende, effektive und für medizinische Kriterien optimierte Such- und Filterfunktionen, möglich ist.

(6) Die ELGA-Systempartner und die ELGA-Gesundheitsdiensteanbieter, gegebenenfalls vertreten durch die jeweilige gesetzliche Interessenvertretung, haben nach jeweiliger Zuständigkeit, unter Beachtung der wirtschaftlichen Vertretbarkeit sowie dem Stand der Technik, Parameter, die für die Benutzer- und Anwenderfreundlichkeit von wesentlicher Bedeutung sind, gemeinsam festzulegen. Die dafür relevanten und technischen Fragen und Parameter sind vor der Festlegung mit der Wirtschaftskammer Österreich abzustimmen.

(7) Ist aus Gründen, die nicht vom ELGA-Gesundheitsdiensteanbieter verschuldet sind, im konkreten Einzelfall eine Verwendung von ELGA technisch nicht möglich oder ist durch den mit der Suche verbundenen Zeitaufwand das Leben oder die Gesundheit des ELGA-Teilnehmers/der ELGA-Teilnehmerin ernstlich gefährdet, ist der ELGA-Gesundheitsdiensteanbieter nicht verpflichtet, ELGA-Gesundheitsdaten im Wege von ELGA zu erheben.

§ 14. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von ELGA-Gesundheitsdaten ist nur zulässig, wenn

(2) Die durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten dürfen personenbezogen ausschließlich

(2a) Die für die Wahrnehmung der ELGATeilnehmer/innenrechte erforderliche Entscheidungsfähigkeit (§ 24 Abs. 2 ABGB) wird im Zweifel ab Vollendung des 14. Lebensjahres (mündige Minderjährige) vermutet.

(2b) Soweit berufs- oder sozialversicherungsrechtliche Regelungen die Mitgabe von Daten gemäß § 2 Z 9 lit. a bis f vorsehen, dürfen ELGAGesundheitsdiensteanbieter zur Erfüllung dieser Pflichten diese Daten auch über ELGA zur Verfügung stellen. Auf Verlangen des ELGATeilnehmers/der ELGATeilnehmerin sind diese Daten auch auf andere geeignete Weise zur Verfügung zu stellen.

(3) Das Verlangen von, der Zugriff auf oder die Verarbeitung von durch ELGA verfügbar gemachten ELGAGesundheitsdaten sind verboten, sofern diese Vorgangsweisen nicht unionsrechtlich oder gesetzlich vorgesehen sind.

(3a) ELGA-Gesundheitsdiensteanbieter, die Arbeitgeber oder Beschäftiger und in die Behandlung oder Betreuung von ELGA-Teilnehmer/inne/n eingebunden sind, die ihre Arbeitnehmer/innen sind oder von ihnen beschäftigt werden, dürfen deren ELGA-Gesundheitsdaten nur dann verarbeiten, wenn sie

(4) ELGAGesundheitsdiensteanbieter, die ELGA und eHealth-Supporteinrichtung, deren Auftragsverarbeiter (Art. 4 Z 8 DSGVO) sowie diesen im Sinne des Art. 29 DSGVO unterstellte Personen unterliegen dem Datengeheimnis gemäß § 6 DSG.

(Anm.: Abs. 5 aufgehoben durch Art. 1 Z 46, BGBl. I Nr. 105/2024)

§ 15. (Anm.: Abs. 1 aufgehoben durch Art. 1 Z 47, BGBl. I Nr. 105/2024)

(2) Der Teilnahme an ELGA kann jederzeit widersprochen werden (Optout). Dabei ist anzugeben, ob sich dieser Widerspruch auf alle (genereller Widerspruch) oder einzelne Arten von ELGAGesundheitsdaten (partieller Widerspruch) beziehen soll. Dieser Widerspruch kann schriftlich gegenüber der ELGA und eHealth-Supporteinrichtung (§ 17 Abs. 2 Z 3) abgegeben werden oder elektronisch über das Zugangsportal (§ 23) erfolgen, jedenfalls aber so, dass sowohl die eindeutige Identität der Person, die der Teilnahme an ELGA widerspricht, als auch die Authentizität der Mitteilung geprüft werden können. Der Widerspruch ist zu bestätigen.

(3) Alle bis zum Zeitpunkt des Widerspruchs gemäß Abs. 2 in den ELGA-Verweisregistern vorhandenen und vom Widerspruch erfassten Verweise und ELGA-Gesundheitsdaten einschließlich Medikationsdaten sind zu löschen; falls das Löschen aufgrund anderer gesetzlicher Dokumentationsverpflichtungen oder § 22 Abs. 5 Z 1 ausgeschlossen ist, sind die Verweise für ELGA unzugänglich zu machen.

(4) Widersprüche (Opt-out) gemäß Abs. 2 können jederzeit widerrufen werden. Solange ein gültiger Widerspruch besteht, dürfen keine für ELGA zugänglichen Verweise auf ELGA-Gesundheitsdaten gemäß § 20 Abs. 2 erster Satz gespeichert werden. Für Zeiten eines gültigen Widerspruchs gemäß Abs. 2 oder § 16 Abs. 2 Z 2 besteht kein Rechtsanspruch auf eine nachträgliche Aufnahme von Verweisen auf ELGA-Gesundheitsdaten.

§ 16. (1) ELGA-Teilnehmer/innen haben im Wege des Zugangsportals (§ 23) oder gegenüber der ELGA-Ombudsstelle (§ 17 Abs. 2 Z 1) das Recht

(2) ELGA-Teilnehmer/innen haben gegenüber den behandelnden oder betreuenden ELGA-Gesundheitsdiensteanbietern das Recht

(3) Personen, die

(4) Die ELGA-Gesundheitsdiensteanbieter haben über die Bestimmungen der Abs. 1 bis 3 in Form eines leicht lesbaren, gut sichtbaren und zugänglichen Aushanges in ihren Räumlichkeiten zu informieren. Die gesetzlichen Interessenvertretungen für Angehörige von Gesundheitsberufen, die ihren Beruf als Gesundheitsdiensteanbieter freiberuflich ausüben, haben den Aushang im Rahmen ihres übertragenen Wirkungsbereiches den jeweiligen ELGA-Gesundheitsdiensteanbietern zur Verfügung zu stellen.

(5) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat laufend Informationen über den aktuellen Stand von ELGA zu veröffentlichen und die betroffenen Personen (Art. 4 Z 1 DSGVO) über ihre Rechte zu informieren.

§ 17. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat als datenschutzrechtlich Verantwortlicher (Art. 4 Z 7 DSGVO) zur Unterstützung von betroffenen Personen und Gesundheitsdiensteanbeitern gemäß dem 4. oder 5. Abschnitt eine ELGA und eHealth-Supporteinrichtung mit Verordnung gemäß § 28a Abs. 1 Z 7 einzurichten und zu betreiben.

(2) Diese ELGA und eHealth-Supporteinrichtung besteht aus folgenden Bereichen

(3) Die Aufgaben der jeweiligen Bereiche gemäß Abs. 2 sind von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin mit Verordnung gemäß § 28a Abs. 1 Z 7 festzulegen.

(4) Die Mitarbeiter/innen der ELGA und eHealth-Supporteinrichtung sind vor Aufnahme ihrer Tätigkeit schriftlich über das Datengeheimnis gemäß § 6 DSG zu informieren. Dieses Datengeheimnis gilt auch über die Beendigung der Tätigkeit der Mitarbeiter/innen hinaus.

§ 18. (1) Der Dachverband hat im übertragenen Wirkungsbereich einen Patient/inn/enindex einzurichten und zu betreiben. Dieser dient

(2) Im Patient/inn/enindex sind folgende Daten natürlicher Personen zu verarbeiten

(3) Die Daten gemäß Abs. 2 sind aus den Anwendungen des Dachverbandes gemäß § 30c Abs. 1 Z 2 lit. a ASVG sowie aus den für die Ermittlung der Stammzahl (§ 6 Abs. 2 EGovG) zugrunde liegenden Registern zu erheben.

(4) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (§ 14 Abs. 1 Z 1) hat in elektronischer Form unter Mitwirkung des ELGA-Teilnehmers/der ELGA-Teilnehmerin zu erfolgen. Dabei sind die im Patient/inn/enindex gespeicherten Identitätsdaten mit den im Rahmen der Identifikation erhobenen Identitätsdaten zu vergleichen. Die Erhebung der Identitätsdaten kann durch

(4a) Im Rahmen von eHealth-Anwendungen und Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt darf die Erhebung der Identitätsdaten der betroffenen Personen, wenn eine Identifikation gemäß Abs. 4 Z 1 bis 4 nicht möglich ist, auch durch Aus- oder Ablesen

(4b) Die Erhebung der Identitätsdaten gemäß Abs. 4a Z 2 ist unter folgenden Voraussetzungen zulässig

(5) Im Zuge der Erhebung der Identitätsdaten mittels e-card System (§§ 31a ff ASVG) ist im selben Arbeitsschritt, aber technisch von den Datenflüssen des ELSY (§§ 31a ff ASVG) getrennt, auch ein allfälliger Widerspruch gemäß § 16 Abs. 2 Z 2 zu dokumentieren.

(6) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (Abs. 4) darf für den Zugriff und die Verarbeitung der ELGA-Gesundheitsdaten zu den in § 14 Abs. 2 genannten Zwecken durch

(7) Abweichend von Abs. 6 kann ein ELGA-Teilnehmer/eine ELGA-Teilnehmerin einem oder mehreren ELGA-Gesundheitsdiensteanbieter des besonderen Vertrauens gemäß § 2 Z 10 lit. a, b, c und e in Verbindung mit § 21 Abs. 2, eine Frist von bis zu 365 Tagen einräumen.

(8) Abgesehen von den Fällen gemäß § 17 Abs. 4 dürfen Vertretungen von ELGA-Teilnehmer/inne/n im elektronischen Verkehr ausschließlich gemäß § 5 Abs. 1 E-GovG eingetragen werden, wobei

(9) Dreißig Jahre nach Kenntnis des Sterbedatums eines ELGA-Teilnehmers/einer ELGA-Teilnehmerin hat der Dachverband die im Patient/inn/enindex gespeicherten Daten des/der Verstorbenen automatisch zu löschen.

§ 19. (1) Zur Überprüfung der Identität von ELGA-Gesundheitsdiensteanbietern und der ELGA und eHealth-Supporteinrichtung ist von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin ein Gesundheitsdiensteanbieterindex einzurichten und zu betreiben. Die in den Gesundheitsdiensteanbieterindex aufzunehmenden Daten sind aus dem eHVD zu erheben und umfassen die Angaben gemäß § 10 Abs. 1 Z 1 bis 8.

(2) Die Identität von ELGA-Gesundheitsdiensteanbietern und der ELGA und eHealth-Supporteinrichtung ist durch Erhebung der Daten gemäß § 10 Abs. 1 Z 1 bis 8 festzustellen, wobei die Erhebung dieser Daten durch

(3) Die Überprüfung der gemäß Abs. 2 festgestellten Identität hat in elektronischer Form durch Abgleich der gemäß Abs. 2 erhobenen Daten mit den im Gesundheitsdiensteanbieterindex gespeicherten Daten zu erfolgen.

§ 20. (1) Sofern sich aus den §§ 15 Abs. 2 und 16 Abs. 2 Z 2 nichts anderes ergibt, haben ELGA-Gesundheitsdienstanbieter ELGA-Gesundheitsdaten in gemäß § 28a Abs. 1 Z 5 geeigneten Datenspeichern, die sich im Gebiet der Europäischen Union befinden müssen, zu speichern (§ 13 Abs. 3). Bereits gespeicherte ELGA-Gesundheitsdaten dürfen nicht geändert werden. Treten Umstände hervor, die eine maßgebliche Änderung des Behandlungsverlaufs bedingen können, ist zusätzlich eine aktualisierte Version zu speichern. Verantwortlicher (Art. 4 Z 7 DSGVO) für die Speicherung ist der jeweilige ELGA-Gesundheitsdiensteanbieter.

(2) Sofern sich aus den §§ 15 Abs. 2 und 16 Abs. 2 Z 2 nichts anderes ergibt, haben ELGA-Gesundheitsdienstanbieter in Verweisregistern, die sich im Gebiet der Europäischen Union befinden müssen, zu speichern (§ 13 Abs. 3). Dies gilt nicht in Fällen in denen ELGA-Teilnehmer/innen der Aufnahme von Verweisen widersprochen haben. Verantwortlicher (Art. 4 Z 7 DSGVO) für die Speicherung ist der jeweilige ELGA-Gesundheitsdiensteanbieter.

(3) ELGA-Gesundheitsdaten sowie elektronische Verweise darauf sind dezentral für dreißig Jahre, ungeachtet anderer gesetzlicher Dokumentationsverpflichtungen, zu speichern. Danach sind die elektronischen Verweise und ELGA-Gesundheitsdaten von den Auftragsverarbeitern (Art. 4 Z 8 DSGVO), die die gemäß § 28a Abs. 1 Z 5 geeigneten Datenspeicher und Verweisregister für ELGA betreiben, zu löschen; falls das Löschen aufgrund anderer gesetzlicher Dokumentationsverpflichtungen oder gemäß § 22 Abs. 5 Z 1 ausgeschlossen ist, sind die Verweise für ELGA unzugänglich zu machen.

(4) Abweichend von den Abs. 2 und 3 sind Medikationsdaten gemäß § 2 Z 9 lit. b

(5) Elektronische Verweise sind automatisch zu erstellen und haben zu enthalten

(6) Die Daten gemäß Abs. 5 dürfen von den ELGA-Systempartnern zur Optimierung und Evaluierung von ELGA verarbeitet werden. Zu diesem Zweck dürfen personenbezogene Daten

§ 20a. (1) Der Dachverband hat im übertragenen Wirkungsbereich als ELGA-Anwendung bis 31. Dezember 2014 ein Informationssystem über verordnete sowie abgegebene Arzneimittel einzurichten („eMedikation“) und ab diesem Zeitpunkt zu betreiben. Das Informationssystem hat ELGA-Teilnehmer/inne/n und ELGA-Gesundheitsdiensteanbietern gemäß § 2 Z 10 unter Wahrung der Teilnehmer/innen/rechte gemäß § 16 eine Übersicht über die für diesen ELGA-Teilnehmer/diese ELGA-Teilnehmerin verordneten sowie abgegebenen Arzneimittel anzubieten. Zu diesem Zweck haben ELGA-Gesundheitsdiensteanbieter entsprechend ihrer in diesem Bundesgesetz festgelegten Verpflichtungen die ELGA-Gesundheitsdaten gemäß § 2 Z 9 lit. b in diesem Informationssystem zu speichern, sofern dies nicht durch die Ausübung von Teilnehmer/innen/rechten ausgeschlossen ist. Die Prüfung von Wechselwirkungen erfolgt in der Eigenverantwortung der ELGA-Gesundheitsdiensteanbieter und ist nicht Gegenstand des Informationssystems.

(2) Der Betrieb des eMedikationssystems darf nicht in die Erbringung von Leistungen der Behandlung oder Betreuung von ELGA-Teilnehmer/inne/n, insbesondere in die Therapiefreiheit der Ärztinnen und Ärzte, eingreifen.

(3) Erfolgt die Identifikation des ELGA-Teilnehmers/der ELGA-Teilnehmerin gemäß § 18 Abs. 4 Z 4, ist die Verarbeitung auf die Speicherung der Medikationsdaten eingeschränkt.

§ 21. (1) Das Berechtigungssystem ist von den ELGA-Systempartnern einzurichten und zu betreiben. Es dient der Verwaltung der generellen und individuellen Zugriffsberechtigungen auf ELGA und der Steuerung der Zugriffe auf ELGA-Gesundheitsdaten. Darüber hinaus dient es der Verwaltung der spezifischen Zugriffberechtigungen und Steuerung der Zugriffe auf eHealth-Anwendungen und Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt. Ohne Zugriffsberechtigung auf ELGA dürfen weder ELGA-Gesundheitsdaten noch Verweise darauf angezeigt werden.

(2) Aufgrund der generellen Zugriffsberechtigungen auf ELGA, die festlegen, welche standardmäßigen Zugriffe auf ELGA zulässig sind, dürfen

(2a) Die Bundesländer haben durch technische und organisatorische Maßnahmen sicherzustellen, dass der Zugriff gemäß Abs. 1 Z 9 nur durch für die Gesundheitsberatung 1450 tätigen Diplomierten Gesundheits- und Krankenpfleger/innen und Angehörigen des ärztlichen Berufs erfolgt.

(3) ELGA-Teilnehmer/innen dürfen mittels individueller Zugriffsberechtigungen auf ELGA

(4) Aufgrund von spezifischen Zugriffsberechtigungen dürfen Gesundheitsdiensteanbieter gemäß § 2 Z 2 auf eHealth-Anwendungen und Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt zugreifen.

§ 22. (1) Das Protokollierungssystem ist von den ELGA-Systempartnern einzurichten und zu betreiben. Das Protokollierungssystem dient der Dokumentation und Nachvollziehbarkeit der Verarbeitung von ELGA-Gesundheitsdaten gemäß den folgenden Absätzen sowie von Gesundheitsdaten und genetischen Daten in eHealth-Anwendungen und in Anwendungen der grenzüberschreitenden Gesundheitsversorgung gemäß dem 6. Abschnitt.

(2) Jede Verarbeitung von ELGA-Gesundheitsdaten im Rahmen von ELGA ist gemäß Art. 32 DSGVO zu protokollieren mit

(3) Die Protokolldaten gemäß Abs. 2 sind drei Jahre nach Zugriff aufzubewahren und lesbar sowie verfügbar zu halten.

(4) ELGA-Teilnehmer/innen haben gemäß § 16 Abs. 1 Z 1 das Recht, Auskunft über die sich auf sie beziehenden Protokolldaten zu erhalten und diese zu verarbeiten. Die Darstellung dieser Protokolldaten hat einfach und übersichtlich zu sein.

(5) Die Protokolldaten gemäß Abs. 2 dürfen nicht personenbezogen verarbeitet werden, außer

(6) ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. a und c haben das Recht, Auskunft über die Protokolldaten zu erhalten und zu verarbeiten, die sich auf die von ihnen getätigten Verarbeitungsvorgänge beziehen.

(7) Die ELGA-Systempartner haben ELGA so zu gestalten, dass Änderungen von ELGA-Gesundheitsdaten, die eine maßgebliche Änderung des Behandlungs- oder Betreuungsverlaufs bedingen können (§ 20 Abs. 1 dritter Satz), jenen ELGA-Gesundheitsdiensteanbietern, die auf die ELGA-Gesundheitsdaten in der nicht aktualisierten Fassung zugegriffen haben, in Übereinstimmung mit § 21 Abs. 3 in ELGA zur Verfügung stehen.

§ 23. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat ein Zugangsportal zu

(2) Der Zugriff auf das Zugangsportal darf ausschließlich über Anwendungen erfolgen, die die Überprüfung der eindeutigen Identität gemäß § 18 Abs. 4 Z 2 gewährleisten.

§ 24. (1) Zur Wahrung des finanziellen Gleichgewichts des Systems der sozialen Sicherheit ist die Nutzung der ELGA-Komponenten

(2) Auftragsverarbeiter (Art. 4 Z 8 DSGVO), die Datenspeicher und Verweisregister betreiben, dürfen ungeachtet ihrer Rechtsform nicht als Auftragsverarbeiter für ELGA ausgeschlossen werden, sobald sie die Voraussetzungen des § 28a Abs. 1 erfüllen.

(3) ELGA-Gesundheitsdiensteanbieter sind nicht Verantwortliche (Art. 4 Z 7 DSGVO)

§ 24a. (1) Gesundheitsdiensteanbieter, die in eine Primärversorgungseinheit gemäß PrimVG, eingebunden sind, sind berechtigt

(2) Gesundheitsdiensteanbieter, die in eine Primärversorgungseinheit gemäß § 2 Abs. 5 Z 2 PrimVG eingebunden sind,

(3) Für Zwecke des PrimVG dürfen die ELGA-Komponenten gemäß § 24 Abs. 1 mit folgenden Maßgaben verwendet werden

§ 24b. (1) Zur Sicherstellung der in Abs. 5 genannten Ziele ist die eHealth-Anwendung eImpfpass einzurichten und zu betreiben. Der Betrieb, die Wartung und die technische Weiterentwicklung obliegen

(2) Die Zeiten von Pilot, Voll- und Übergangsbetrieb sowie die jeweils einzuhaltende Vorgehensweise sind von dem für das Gesundheitswesen zuständigen Bundesminister oder der für das Gesundheitswesen zuständigen Bundesministerin durch Verordnung gemäß § 28b Abs. 2 Z 3 festzulegen.

(3) Gemeinsam Verantwortliche im Sinne des Art. 4 Z 7 in Verbindung mit Art. 26 DSGVO des eImpfpasses sind

(4) Die gemeinsam Verantwortlichen dürfen die im zentralen Impfregister gespeicherten Daten (§ 24c Abs. 2) entsprechend ihrer gemäß § 28b Abs. 2 Z 4 festgelegten spezifischen Zugriffsberechtigungen nach den Grundsätzen gemäß § 24d Abs. 1 zu den Zwecken gemäß § 24d Abs. 2 verarbeiten.

(5) Die Verwendung des eImpfpasses erfüllt ein erhebliches öffentliches Interesse gemäß Art. 9 Abs. 2 lit. g bis j DSGVO. Dieses erhebliche öffentliche Interesse ergibt sich insbesondere aus

§ 24c. (1) Das zentrale Impfregister ist wesentlicher Bestandteil des eImpfpasses und dient der elektronischen Dokumentation aller durchgeführten Impfungen sowie impfrelevanten Informationen. Impfrelevante Informationen sind impfrelevante Vorerkrankungen, besondere Impfindikationen und die in einer Verordnung gemäß § 28b Abs. 2 Z 9 lit. a genannten oder im Einzelfall (Abs. 3) medizinisch indizierten Antikörperbestimmungen.

(2) Zur Erfüllung der in § 24d Abs. 2 genannten Zwecke haben

(3) Unabhängig von der Verabreichung einer Impfung haben

(4) eImpf-Gesundheitsdiensteanbieter gemäß § 2 Z 18 lit. a, ausgenommen diplomierte Gesundheits- und Krankenpfleger/innen sowie Apotheken gemäß § 1 des Apothekengesetzes,

(5) Für die im zentralen Impfregister gespeicherten Daten geltenden folgende Löschfristen

(6) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat

§ 24d. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von Daten im zentralen Impfregister gemäß § 24c Abs. 2 bis 5 sowie zu den in Abs. 2 und in § 24e Abs. 4 genannten Zwecken ist nur zulässig, wenn

(2) Die im Impfregister gespeicherten Daten dürfen personenbezogen insbesondere für folgende Zwecke verarbeitet werden

§ 24e. (1) Die Bürger/innen sind von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin in geeigneter Weise über die ihnen zustehenden Rechte sowie über jene Rechte des 3. Kapitels der DSGVO, die den Bürger/inne/n nicht zustehen, zu informieren. Diese Information hat auch den Hinweis zu enthalten, wem gegenüber die Bürger/innen die ihnen zustehenden Rechte geltend machen können.

(2) Die für die Wahrnehmung der Rechte erforderliche Entscheidungsfähigkeit (§ 24 Abs. 2 ABGB) wird im Zweifel ab Vollendung des 14. Lebensjahres (mündige Minderjährige) vermutet.

(3) Das Recht auf Auskunft über im zentralen Impfregister gespeicherte Daten (Art. 15 DSGVO) ist von den Bürger/inne/n gegenüber dem für das Gesundheitswesen zuständigen Bundesminister oder der für das Gesundheitswesen zuständigen Bundesministerin als ELGA und eHealth-Supporteinrichtung im Wege der eHealth-Servicestelle (§ 17 Abs. 2 Z 2) wahrzunehmen. Bürger/innen können das Recht auf Auskunft (Art. 15 DSGVO) auch elektronisch im Wege des Zugangsportals (§ 23 in Verbindung mit § 24f Abs. 6) wahrnehmen, wobei auch eine Datenkopie in Form eines ausdruckbaren PDFDokuments zur Verfügung zu stellen ist. Im Zugangsportal sind die Informationen gemäß Art. 15 Abs. 1 lit. a bis h DSGVO in geeigneter Weise bereitzuhalten.

(4) Das Recht auf Berichtigung (Art. 16 DSGVO) ist von den Bürger/inne/n gegenüber jenem eImpfGesundheitsdiensteanbieter wahrzunehmen, der die zu berichtigende Angabe im zentralen Impfregister gespeichert hat. Treten Umstände hervor, die unter Berücksichtigung der jeweiligen Berufspflichten (z. B. § 49 Abs. 1 ÄrzteG 1998) eine Berichtigung der im zentralen Impfregister gespeicherten Daten erfordern, sind diese von dem eImpfGesundheitsdiensteanbieter, der diese Daten gespeichert hat, in Form einer Aktualisierung oder Stornierung zu berichtigen. Sollte dieser eImpfGesundheitsdiensteanbieter nicht mehr verfügbar sein, so ist die Berichtigung auf Verlangen des Bürgers/der Bürgerin von einem Amtsarzt oder einer Amtsärztin vorzunehmen. Berichtigte Daten werden als solche gekennzeichnet. In Form einer Stornierung berichtigte Daten müssen und dürfen nur für den eImpfGesundheitsdiensteanbieter, der die stornierten Daten im zentralen Impfregister gespeichert hat, und für die Bürger/innen, die diese stornierten Daten betreffen, abrufbar bleiben. Über Berichtigungen sind eImpf-Gesundheitsdiensteanbieter, die auf die Daten in der nicht berichtigten Fassung zugegriffen haben, in Übereinstimmung mit § 24f Abs. 4 in Verbindung mit § 28b Abs. 2 Z 4 in geeigneter Weise zu informieren.

(5) Hinsichtlich der Verarbeitungen nach diesem Unterabschnitt besteht gemäß Art. 23 Abs. 1 lit. e DSGVO kein Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO und kein Widerspruchsrecht gemäß Art. 21 DSGVO. Das Recht auf Löschung gemäß Art. 17 DSGVO wird gemäß Art. 23 Abs. 1 lit. e DSGVO im Sinne des § 24c Abs. 5 beschränkt.

(6) Bürger/innen haben das Recht, Impfungen in das zentrale Impfregister selbst einzutragen und diese Angaben bis zur Vidierung (§ 24c Abs. 4 Z 2) selbst zu berichtigen oder zu löschen. Die Selbsteintragung der Impfungen erfolgt durch Übermittlung der einzutragenden, zu berichtigenden oder zu löschenden Daten in der mittels Verordnung gemäß § 28b Abs. 2 Z 6 festgelegten Form an den für das Gesundheitswesen zuständigen Bundesminister oder die zuständige Bundesministerin, der oder die diese übermittelten Daten in das zentrale Impfregister einzutragen, zu berichtigen oder zu löschen hat. Eine inhaltliche Prüfung der übermittelten Daten durch den für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin hat nicht zu erfolgen. Selbst eingetragene Impfungen sind von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als solche zu kennzeichnen und dienen den eImpf-Gesundheitsdiensteanbietern nur zur Information.

(7) Bürger/innen haben das Recht vom jeweils impfenden eImpfGesundheitsdiensteanbieter die Dokumentation von Impfungen im Sinne des Art. 31 der Internationalen Gesundheitsvorschriften (IGV, BGBl. III Nr. 98/2008) im internationalen Impfausweis (Internationale Bescheinigungen über Impfungen und Impfbuch der WHO) zu verlangen. Der Eintrag im internationalen Impfausweis hat in diesem Fall zusätzlich zur Speicherung gemäß § 24c Abs. 2 zu erfolgen.

(8) Bürger/innen haben das Recht, sich mit persönlichen Anliegen im Zusammenhang mit dem eImpfpass sowie mit Informationen oder Beschwerden über fehlende Einträge oder über Fehler der im zentralen Impfregister gespeicherten Daten an die ELGA und eHealth-Supporteinrichtung (§ 17 Abs. 2 Z 1 und Z 2) zu wenden.

§ 24f. (1) Die ELGA-Komponenten gemäß § 24 Abs. 3 sind nach Maßgabe der folgenden Absätze zu nutzen.

(2) Soweit der Patient/inn/enindex (§ 18) gemäß § 24d Abs. 1 Z 5 zur Überprüfung der eindeutigen Identität der Bürger/innen genutzt wird, darf die Überprüfung der eindeutigen Identität in den Fällen, in denen die eImpf-Gesundheitsdiensteanbieter oder Apotheken

(3) Der Gesundheitsdiensteanbieterindex (§ 19) dient der Überprüfung der eindeutigen Identität von Gesundheitsdiensteanbietern gemäß § 24d Abs. 1 Z 1.

(4) Das Berechtigungssystem (§ 21) dient der Verwaltung der in einer Verordnung gemäß § 28b Abs. 2 Z 4 nach den Kriterien gemäß § 28b Abs. 7 festgelegten spezifischen Zugriffsberechtigungen auf die im zentralen Impfregister gespeicherten Daten und der Steuerung der Zugriffe.

(5) Das Protokollierungssystem (§ 22) dient der Dokumentation und Nachvollziehbarkeit der Verarbeitung der im zentralen Impfregister gespeicherten Daten unter Anwendung des § 22 Abs. 3 bis 6; zu protokollieren sind gemäß Art. 32 DSGVO

(6) Das Zugangsportal (§ 23) dient der zusammenfassenden Darstellung der im zentralen Impfregister gespeicherten Daten gemäß § 24e Abs. 3.

§ 24g. Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin, die Landeshauptleute und die Bezirksverwaltungsbehörden in ihrem jeweiligen gesetzlichen Wirkungsbereich dürfen die im zentralen Impfregister gespeicherten Daten gemäß § 24c Abs. 2 im Sinne des § 11 des Gesundheits-Zielsteuerungsgesetzes (GZG), BGBl. I Nr. 26/2017, verarbeiten.

§ 24h. (1) Das Datenqualitätsmanagement umfasst die Sicherstellung von Vollständigkeit, Aktualität, Fehlerfreiheit, Konsistenz und Verfügbarkeit der im zentralen Impfregister gespeicherten Daten.

(2) Die ELGA- und eHealth-Supporteinrichtung hat im Wege der eHealth-Servicestelle (§ 17 Abs. 2 Z 2) zur Erfüllung dieser Aufgabe

(3) Werden bei der Analyse gemäß Abs. 2 Z 1 Fehler erkannt, oder wird gemäß Abs. 2 Z 5 eine Information oder Beschwerde von einem Bürger oder einer Bürgerin oder einem eImpf-Gesundheitsdiensteanbieter entgegen genommen, hat die eHealthServicestelle die Art des Fehlers sowie den jeweiligen eImpf-Gesundheitsdiensteanbieterder für die Speicherung der Daten im zentralen Impfregister verantwortlich ist, zu erheben und die Berichtigung der im zentralen Impfregister gespeicherten Daten bei diesem, oder im Falle seiner Nichtverfügbarkeit bei einem Amtsarzt oder einer Amtsärztin, zu veranlassen und die Durchführung zu überwachen. Die eImpf-Gesundheitsdiensteanbieter sowie die Amtsärzte und Amtsärztinnen haben die Berichtigung unverzüglich, längstens binnen eines Monats, vorzunehmen. Kann die eHealthServicestelle bei der Überprüfung einer Information oder Beschwerde gemäß Abs. 2 Z 5 keinen Fehler feststellen, ist der Bürger/die Bürgerin binnen eines Monats darüber zu informieren.

(4) Berichte gemäß Abs. 2 Z 3 und Informationen gemäß Abs. 2 Z 4 dürfen ausschließlich anonymisiert bereitgestellt werden. Hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin Grund zur Annahme, dass Berichte gemäß Abs. 2 Z 3 Daten enthalten, durch die Rückschlüsse auf eine natürliche Person gezogen werden können, so hat er oder sie diese Daten von einer allfälligen Veröffentlichung auszunehmen.

(5) Die zur Behebung von Fehlern im zentralen Impfregister gemäß Abs. 3 erforderlichen Daten sind von der eHealthServicestelle in personenbezogener Form bereitzustellen. Die Verarbeitung dieser Daten hat entsprechend dem Stand der Technik zu erfolgen. Im Falle einer Berichtigung aufgrund einer Analyse gemäß Abs. 2 Z 1 in Verbindung mit Abs. 3 ist der Bürger/die Bürgerin über Art, Umfang und Grund der Berichtigung zu informieren. Dieser Verpflichtung kann durch einen Protokolleintrag entsprochen werden.

§ 24i. (1) Die grenzüberschreitende Gesundheitsversorgung über MyHealth@EU ist für Zwecke der Gesundheitsvorsorge sowie aus Gründen des öffentlichen Interesses im Bereich öffentliche Gesundheit erforderlich gemäß Art. 9 Abs. 2 lit. h und i DSGVO.

(2) Die Teilnahme an MyHealth@EU ist für in Österreich wohnhafte oder sozialversicherte natürliche Personen freiwillig und unentgeltlich. Sie setzt das erklärte Einverständnis der Teilnehmenden (Opt-In) voraus, welches jederzeit zurückgezogen werden kann. Das Einverständnis (Opt-in) stellt keine Einwilligung iSd Art. 9 Abs. 2 lit. a DSGVO dar und erfüllt daher keine dementsprechende Rechtswirkung.

(3) Sozialversicherungsrechtliche Vorschriften bleiben von diesem Abschnitt unberührt.

§ 24j. (1) Zur Sicherstellung der in § 24i genannten Ziele ist von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als datenschutzrechtlich Verantwortlichem oder Verantwortlicher (Art. 4 Z 7 DSGVO) die Nationale Kontaktstelle für digitale Gesundheit einzurichten und zu betreiben. Sie ist Teil der öffentlichen Gesundheitstelematik-Infrastruktur gemäß § 3 Z 15 Gesundheits-Zielsteuerungsgesetz (G-ZG), BGBl. I Nr. 26/2017.

(2) Aufgaben der Nationalen Kontaktstelle sind die Kommunikation mit den ELGA-Komponenten gemäß § 24k Abs. 3 sowie anwendungsbezogenen Komponenten gemäß den folgenden Unterabschnitten und die Kommunikation mit den Kontaktstellen anderer MyHealth@EU-Mitgliedstaaten.

(3) Die von der Nationalen Kontaktstelle gespeicherten Protokolldaten haben neben nicht-personenbezogenen Meta-Daten auch Angaben zum Patienten oder zur Patientin (MyHealth@EU-ID gemäß § 24l Abs. 2) sowie zur Identität des Gesundheitsdiensteanbieters (§ 24m) zu enthalten und sind zur Nachvollziehbarkeit der Rechtmäßigkeit von Zugriffen spätestens 10 Jahre nach Abschluss der jeweiligen, ursprünglichen Verarbeitung für die Zwecke der Anwendungen der folgenden Unterabschnitte zu löschen.

§ 24k. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von personenbezogenen Daten gemäß folgenden Unterabschnitten ist nur zulässig, wenn

(2) Die durch MyHealth@EU verfügbar gemachten Daten dürfen ausschließlich

(3) Für die Zwecke des Abs. 2 dürfen die folgenden ELGA-Komponenten verwendet werden

§ 24l. (1) Im Falle Österreichs als Herkunftsmitgliedstaat hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin eine E-ID taugliche Anwendung gemäß den §§ 4 ff E-GovG bereitzustellen, die es natürlichen Personen ermöglicht, sich auf Basis der Verwendung der Funktion E-ID im jeweiligen Behandlungsmitgliedstaat zu identifizieren. Nach erfolgter eindeutiger Identifikation der natürlichen Person unter Verwendung der Funktion E-ID hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin ein eindeutiges Identifizierungsmerkmal zu erstellen und so anzuzeigen, dass der behandelnde Gesundheitsdiensteanbieter eine Überprüfung dieser Daten vornehmen kann. § 18 Abs. 4a Z 2 bleibt hiervon unberührt.

(2) Zum Zwecke der Überprüfung der Identität von natürlichen Personen sowie der eindeutigen Zuordnung von Dokumenten ist der für das Gesundheitswesen zuständige Bundesminister oder die für das Gesundheitswesen zuständige Bundesministerin ermächtigt, das bereichsspezifische Personenkennzeichen Gesundheit (bPK-GH) für die Zwecke dieses Abschnitts zu verwenden, und auf den Patient/inn/enindex gemäß § 18 zuzugreifen. Zur Übermittlung personenbezogener Daten an die Nationale Kontaktstelle eines MyHealth@EU-Mitgliedstaats hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin das bPK-GH durch eine als „MyHealth@EU-ID“ zu bezeichnende, kryptographische Ableitung zu ersetzen. Eine Zuordnung der MyHealth@EU-ID zu einem bPK-GH darf ausschließlich für die Zwecke dieses Abschnitts erfolgen. Die bPK-GH darf nicht an die Nationale Kontaktstelle eines anderen MyHealth@EU-Mitgliedstaats übermittelt werden, sondern lediglich die MyHealth@EU-ID.

(3) Natürliche Personen anderer MyHealth@EU-Mitgliedstaaten sind von österreichischen Gesundheitsdiensteanbietern mittels der vom jeweiligen Herkunftsmitgliedstaat vorgegebenen Identifikationsmittel eindeutig zu identifizieren. Zu diesem Zweck dürfen Gesundheitsdiensteanbieter insbesondere die folgenden Daten der natürlichen Personen verarbeiten

§ 24m. Nachweis und Prüfung der eindeutigen Identität von Gesundheitsdiensteanbietern in Österreich haben

§ 24n. (1) In Österreich wohnhafte oder sozialversicherte natürliche Personen sowie deren gesetzliche oder bevollmächtigte Vertreter/innen haben das Recht, elektronisch durch einen Zugang über das Zugangsportal (§ 23) oder direkt gegenüber dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als ELGA- und eHealth-Supporteinrichtung (§ 17) die folgenden Rechte geltend zu machen

(2) Die für die Wahrnehmung der Rechte erforderliche Entscheidungsfähigkeit (§ 24 Abs. 2 ABGB) wird im Zweifel ab Vollendung des 14. Lebensjahres (mündige Minderjährige) vermutet.

(3) Natürliche Personen anderer MyHealth@EU-Mitgliedstaaten haben das Recht, ihre Betroffenenrechte gemäß Abs. 1 Z 1 auch gegenüber den in Abs. 1 angeführten Stellen auszuüben. Falls kein Verantwortlicher iSd Art. 4 Z 7 DSGVO seinen Sitz in Österreich hat, ist die Anfrage an die zuständige Nationale Kontaktstelle für digitale Gesundheit weiterzuleiten.

§ 24o. (1) Der Dachverband der Sozialversicherungsträger hat im übertragenen Wirkungsbereich (Artikel 120b Abs. 2 Bundes-Verfassungsgesetz, BGBl. I Nr. 1/1930 in der jeweils geltenden Fassung) des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin das EURezept gemäß § 2 Abs. 2 Z 27 einzurichten und zu betreiben. Der Dachverband der Sozialversicherungsträger ist dabei an die Weisungen des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin gebunden. Das EU-Rezept ist Teil der öffentlichen Gesundheitstelematik-Infrastruktur gemäß § 3 Z 15 G-ZG.

(2) Zum Zwecke der Erstellung des EU-Rezepts darf der Dachverband der Sozialversicherungsträger neben den ELGA-Komponenten gemäß § 24k Abs. 3 die Anwendung „e-Rezept“ des elektronischen Verwaltungssystems des Dachverbands der Sozialversicherungsträger gemäß § 31a ASVG und die Verordnungsdaten des jeweiligen e-Rezeptes heranziehen. Sozialversicherungsrechtliche Vorschriften bleiben von diesem Abschnitt unberührt.

(3) Die Nationale Kontaktstelle hat ihre Aufgaben gemäß § 24j Abs. 3 für das EU-Rezept zu erfüllen.

§ 24p. Zum Zwecke der Abgabe von in Österreich elektronisch verschriebenen Arzneimitteln durch Gesundheitsdiensteanbieter in einem anderen MyHealth@EU-Mitgliedstaat hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin die Daten des EURezepts gemäß § 24o Abs. 2 als Nationale Kontaktstelle gemäß § 24j auf Anfrage an die Nationale Kontaktstelle im jeweiligen Behandlungsmitgliedstaat zu übermitteln. Zu diesem Zwecke ist den Gesundheitsdiensteanbietern der anderen MyHealth@EU-Mitgliedstaaten die Überprüfung der Identität der natürlichen Person gemäß § 24l zu ermöglichen.

§ 24q. (1) Apotheken dürfen auf elektronische Verschreibungen, die ihnen aus anderen MyHealth@EU-Mitgliedstaaten über MyHealth@EU von der Nationalen Kontaktstelle gemäß § 24j übermittelt werden, zugreifen und derart verschriebene Arzneimittel, unter Wahrung der berufsrechtlichen Bestimmungen des Apothekengesetzes, abgeben. Geben Apotheken Arzneimittel auf der Grundlage einer solchen Verschreibung ab, so haben sie die Abgabe dem MyHealth@EU-Mitgliedstaat, der die Verschreibung ausgestellt hat, über MyHealth@EU an die Nationale Kontaktstelle zu melden (elektronische Abgabe).

(2) Die Erfüllung der in § 24m genannten Voraussetzungen in Apotheken hat mittels geeigneter elektronischer Identifikation (z. B. mittels Identifikationskarten) der dort beschäftigten natürlichen Personen zu erfolgen.

§ 24r. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von über das EURezept verfügbar gemachten Daten gemäß § 24p sowie über MyHealth@EU verfügbar gemachten Daten gemäß § 24q ist nur zulässig, wenn die Grundsätze gemäß § 24k eingehalten werden.

(2) Gemeinsame Verantwortliche des EU-Rezepts im Sinne des Art. 4 Z 7 in Verbindung mit Art. 26 DSGVO sind

§ 24s. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat eine grenzüberschreitende Anwendung zum Abruf der EU-Patientenkurzakte gemäß § 2 Abs. 2 Z 28 einzurichten und zu betreiben. Die grenzüberschreitende Anwendung zum Abruf der EU-Patientenkurzakte ist Teil der öffentlichen Gesundheitstelematik-Infrastruktur gemäß § 3 Z 15 G-ZG.

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin als Nationale Kontaktstelle hat seine/ihre Aufgaben gemäß § 24j Abs. 3 für den Abruf der EU-Patientenkurzakte zu erfüllen.

(3) Im Rahmen der EU-Patientenkurzakte dürfen (sofern vorhanden und zutreffend) die folgenden Datenarten verarbeitet werden

§ 24t. (1) Gesundheitsdiensteanbieter im Sinne des 3. Unterabschnitts (im Folgenden „Gesundheitsdiensteanbieter“) sind ELGA-Gesundheitsdiensteanbieter im Sinne des § 2 Z 10 lit. a.

(2) Gesundheitsdiensteanbieter dürfen auf die EU-Patientenkurzakte, die ihnen aus anderen MyHealth@EU-Mitgliedstaaten mittels der grenzüberschreitenden Anwendung gemäß § 24s Abs. 1 über MyHealth@EU von dem für das Gesundheitswesen zuständigen Bundesminister oder der zuständigen Bundesministerin als Nationalen Kontaktstelle gemäß § 24j übermittelt wird, zugreifen.

(3) Die Identifikation des Gesundheitsdiensteanbieters als natürliche Person oder der von ihm beschäftigten natürlichen Personen hat gemäß § 24m zu erfolgen.

§ 24u. (1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von über MyHealth@EU verfügbar gemachten Daten gemäß § 24t ist nur zulässig, wenn die Grundsätze gemäß § 24k eingehalten werden.

(2) Gemeinsame Verantwortliche der EU-Patientenkurzakte im Sinne des Art. 4 Z 7 in Verbindung mit Art. 26 DSGVO sind

Dieses Gesetz wurde unter Einhaltung der Bestimmungen der Richtlinie (EU) 2015/1535 über ein Informationsverfahren auf dem Gebiet der technischen Vorschriften und der Vorschriften für die Dienste der Informationsgesellschaft (kodifizierter Text), ABl. Nr. L 241 vom 17.09.2015 S. 1, notifiziert (Notifikationsnummer: 2016/142/A).

§ 25. (1) Sofern die Tat nicht nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, wer

(2) Sofern die Tat nicht nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, wer

(3) Sofern die Tat nicht nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht ebenso eine Verwaltungsübertretung, wer es unterlässt

(4) Die Zuständigkeit der Datenschutzbehörde bleibt in den Fällen des Abs. 1 und Abs. 2 Z 2 bis 5 unberührt.

§ 26. (1) Dieses Bundesgesetz tritt mit 1. Jänner 2013 in Kraft.

(2) Das Gesundheitstelematikgesetz, BGBl. I Nr. 179/2004, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 36/2010, tritt mit Ablauf des 31. Dezember 2012 außer Kraft.

(3) § 7 Abs. 1 und § 28 Abs. 1 Z 2 in der Fassung des Bundesgesetzes BGBl. I Nr. 50/2016 treten mit 1. Juli 2016 in Kraft.

(4) § 14 Abs. 5 und 6, § 24 Abs. 3 sowie § 28 Abs. 2 Z 5 in der Fassung des Deregulierungsgesetzes 2017, BGBl. I Nr. 40/2017, treten mit dem der Kundmachung folgenden Tag in Kraft.

(5) § 9 Abs. 2, § 24a samt Überschriften, die Überschrift des 6. Abschnitts sowie § 28 Abs. 2a und 3 in der Fassung des Bundesgesetzes, BGBl. I Nr. 131/2017, treten mit dem auf den Tag der Kundmachung folgenden Tag in Kraft.

(6) Der Titel, das Inhaltsverzeichnis (Abschnittsüberschrift des 2. Abschnitts, § 14) und die § 1 Abs. 1, Abs. 2, Abs. 2 Z 1, § 2 Z 1, Z 1a, Z 2, Z 3, die Abschnittsbezeichnung des 2. Abschnitts, § 3 Abs. 1, Abs. 2, Abs. 3 und Abs. 4, § 4, § 4 Abs. 1, Abs. 2, Abs. 3, Abs. 5 Z 1 und Abs. 6, § 6 Abs. 1, Abs. 1 Z 1 lit. a, Abs. 2 und Abs. 3, § 7 Abs. 1 und Abs. 2, § 8 Abs. 1, § 9 Abs. 1 und Abs. 4, § 10 Abs. 1 Z 8 und Abs. 7, § 13 Abs. 1, Abs. 2, Abs. 6 und Abs. 7, Überschrift zu § 14, § 14 Abs. 1, Abs. 1 Z 3, Abs. 2, Abs. 3, Abs. 3a, Abs. 4 und Abs. 5, § 15 Abs. 1 Z 1, § 16 Abs. 2 Z 2 lit. c und Abs. 5, § 16a Abs. 3, § 17 Abs. 2, § 18 Abs. 3, Abs. 4, Abs. 4 Z 3 und Z 4, Abs. 5 und Abs. 6, § 19 Abs. 1, Abs. 2 und Abs. 3, § 20 Abs. 1, Abs. 2, Abs. 3 und Abs. 4 Z 2, § 22 Abs. 1, Abs. 2, Abs. 4, Abs. 5, Abs. 5 Z 5 und Abs. 6, § 23 Abs. 3, § 24 Abs. 1, Abs. 2 und Abs. 3, § 24a Abs. 1 Z 2 und Z 3, § 25, § 26 Abs. 6, § 27 Abs. 2, Abs. 3, Abs. 4, Abs. 9, Abs. 10, Abs. 11, Abs. 12, Abs. 13, Abs. 14 und Abs. 15 sowie § 28 Abs. 2 Z 1, Z 3, Z 4 und Z 11, Abs. 2a Z 1 und Abs. 4 in der Fassung des BGBl. I Nr. 37/2018 treten mit 25. Mai 2018 in Kraft.

(7) § 2 Z 9 lit. d in der Fassung des Bundesgesetzes BGBl. I Nr. 59/2018 tritt mit 1. Juli 2018 in Kraft.

(8) § 27 Abs. 12a, Abs. 12b, Abs. 13, Abs. 14, Abs. 14a, Abs. 14b, Abs. 14c und Abs. 16 in der Fassung des Bundesgesetzes BGBl. I. Nr. 16/2020 (Anm.: BGBl. I Nr. 16/2020) tritt mit dem der Kundmachung folgenden Tag in Kraft.

(9) In der Fassung des Bundesgesetzes BGBl. I. Nr. 115/2020 (Anm.: BGBl. I Nr. 115/2020) treten in Kraft

(10) § 27 Abs. 12a, 12b, 14a bis 14c sowie 16 tritt mit Ablauf des 30. Juni 2022 außer Kraft.

(11) Das Inhaltsverzeichnis, § 7 Abs. 1, § 20a samt Überschrift, § 20b samt Überschrift, § 24c Abs. 4 und 4a, § 27 Abs. 16 und 17, § 28 Abs. 2a Z 2 lit. i bis k und Abs. 5 sowie § 32 in der Fassung des Bundesgesetzes BGBl. I. Nr. 34/2021 (Anm.: BGBl. I Nr. 34/2021) treten mit dem der Kundmachung folgenden Tag in Kraft. Die Speicherung der Verordnungen gemäß § 20b Abs. 3 hat erstmals im März 2021 zu erfolgen. § 20b tritt mit Ablauf des 31. Dezembers 2021 außer Kraft.

(12) Das Inhaltsverzeichnis (Überschrift zum 2. Unterabschnitt des 5. Abschnitts, § 24b), § 2 Z 2 und Z 10, § 18 Abs. 6 Z 1, § 20b samt Überschrift, die Überschrift zum 2. Unterabschnitt des 5. Abschnitts, § 24b samt Überschrift, § 24c Abs. 1, § 24f Abs. 2, § 27 Abs. 17 und § 28 Abs. 2a Z 2 in der Fassung des Bundesgesetzes BGBl. I. Nr. 39/2022 (Anm.: BGBl. I Nr. 39/2022) treten mit 09. April 2022 in Kraft. Die Speicherung der Verordnungen gemäß § 20b Abs. 3 hat erstmals im April 2022 zu erfolgen. Der Eintrag im Inhaltsverzeichnis zu § 20b sowie § 20b treten mit Ablauf des 30. Juni 2023 außer Kraft.

(13) § 22 Abs. 2 Z 4 sowie § 27 Abs. 18 und 19 in der Fassung des Bundesgesetzes BGBl. I Nr. 102/2022 treten rückwirkend mit 1. Juli 2022 in Kraft. § 27 Abs. 18 in der Fassung dieses Bundesgesetzes tritt mit Ablauf des 31. Dezember 2022 außer Kraft.

(14) § 18 Abs. 6 Z 2, § 24c Abs. 4, § 24f Abs. 2, Abs. 4 Z 1 lit. a sowie Z 2 lit. b und c in der Fassung des Bundesgesetzes BGBl. I. Nr. 166/2022 treten am 01. Jänner 2023 in Kraft; gleichzeitig tritt § 24c Abs. 5 außer Kraft.

(15) § 27 Abs. 18 in der Fassung des Bundesgesetzes BGBl. I Nr. 206/2022 tritt mit 01. Jänner 2023 in Kraft. § 27 Abs. 18 und 19 treten mit Ablauf des 30. Juni 2023 außer Kraft.

(16) In der Fassung des Bundesgesetzes BGBl. I. Nr. 82/2023 (Anm.: BGBl. I Nr. 82/2023) treten in Kraft

(17) In der Fassung des Bundesgesetzes BGBl. I. Nr. 191/2023 (Anm.: BGBl. I Nr. 191/2023) treten in Kraft

(18) In der Fassung des Bundesgesetzes BGBl. Nr. I 105/2024 (Anm.: BGBl. I Nr. 105/2024)

(19) Die Einträge im Inhaltsverzeichnis zum 6. und 7. Abschnitt sowie zu § 28c und § 28d, § 1 Abs. 2 Z 3 bis 5, § 2 Z 2 Einleitungsteil sowie lit. e und f, § 2 Z 9 lit. e, § 2 Z 20 bis 28, § 12a Abs. 2 Z 3 und 4a, § 12b Abs. 1 Z 3 bis 5 sowie der Schlussteil und Abs. 3, § 18 Abs. 1 Z 1, § 18 Abs. 4a Einleitungsteil sowie Z 2, Abs. 4b Z 1 und 4, § 21 Abs. 1 und 4, § 22 Abs. 1, § 23 Abs. 1 Z 1 bis 3, der 6. Abschnitt, die Abschnittsbezeichnung des 7. Abschnitts, § 28 Abs. 3, § 28c und § 28d in der Fassung des Bundesgesetzes BGBl. Nr. I 71/2025 (Anm.: BGBl. I Nr. 71/2025) treten mit 15. Februar 2026 in Kraft. § 2 Z 9 lit. f, § 12 samt Eintrag im Inhaltsverzeichnis und Überschrift treten mit 15. Februar 2026 außer Kraft.

(20) § 2 Z 10 lit. e, § 13 Abs. 3 (Einleitungsteil), § 13 Abs. 3 Z 6 und § 28a Abs. 1 Z 3 in der Fassung des Bundesgesetzes BGBl. Nr. I 71/2025 (Anm.: BGBl. I Nr. 71/2025) treten mit dem der Kundmachung folgenden Tag in Kraft, § 13 Abs. 3 Z 4 in der Fassung des Bundesgesetzes BGBl. Nr. I 71/2025 (Anm.: BGBl. I Nr. 71/2025) tritt mit 1. Jänner 2027 in Kraft.

(21) § 20 Abs. 3 in der Fassung des Bundesgesetzes BGBl. I Nr. 93/2025 tritt mit 1. Dezember 2025 in Kraft. Aufgrund von § 20 Abs. 3 in der Fassung des Bundesgesetzes BGBl. I Nr. 71/2025 rechtmäßig auf ELGA unzugänglich gemachte Verweise sind von den Auftragsverarbeitern (Art. 4 Z 8 DSGVO), die die gemäß § 28a Abs. 1 Z 5 geeigneten Datenspeicher und Verweisregister für ELGA betreiben, wieder herzustellen.

(22) Das Inhaltsverzeichnis sowie § 8a samt Überschrift in der Fassung des Bundesgesetzes BGBl. I Nr. 94/2025 treten nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten in Kraft.

(__________________

Anm. 1: gemäß BGBl. II Nr. 340/2023: 5.12.2023)

§ 27. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat das Zugangsportal (§ 23), die Widerspruchstelle (§ 17 Abs. 2 Z 3) sowie die ELGA-Ombudsstelle (§ 17 Abs. Abs. 2 Z 1) nach Maßgabe der technischen Verfügbarkeit bis 31. Dezember 2013 so zu errichten und zur Verfügung zu stellen, dass die Wahrnehmung der ELGATeilnehmer/innenrechte gewährleistet ist und zeitgerecht erfolgen kann. Ab diesem Zeitpunkt kann ELGA verwendet werden.

(2) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, gilt § 13 Abs. 3 ab 1. Jänner 2015 für

(3) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, gilt ab 1. Juli 2016 § 13 Abs. 3 für

(4) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, gilt ab 1. Jänner 2017 § 13 Abs. 3 für private Krankenanstalten gemäß § 1 Abs. 2 des Privatkrankenanstalten-Finanzierungsfondsgesetzes (PRIKRAF-G), BGBl. I Nr. 165/2004.

(Anm.: Abs. 5 aufgehoben durch Art. 7 Z 18, BGBl. I Nr. 191/2023)

(6) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, gilt ab 1. Jänner 2022 § 13 Abs. 3 für

(7) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, hat spätestens mit 1. Jänner 2015 als Standard gemäß § 28a Abs. 1 Z 1 lit. a bis c eine Suche in den Dokumentenmetadaten über das Dokumentenregister jedenfalls möglich zu sein.

(8) Sofern nicht eine Verordnung gemäß § § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, ist spätestens mit 1. Jänner 2015 als Standard gemäß § 28a Abs. 1 Z 1 lit. a bis c entweder eine inhaltlich einheitliche Struktur und Gliederung, sodass Inhalte in medizinische Informationssysteme übernommen werden können, oder zumindest eine Vereinheitlichung der Gliederung der Inhalte, sicherzustellen.

(9) Sofern nicht eine Verordnung gemäß § 28a Abs. 1 Z 3 einen späteren Zeitpunkt bestimmt, hat spätestens mit 1. Jänner 2018 als Standard gemäß § 28a Abs. 1 Z 1 lit. a bis c eine Codierung der Informationen in ELGA nach einheitlichen Vorgaben zu erfolgen, die von den ELGA-Systempartnern unter Mitwirkung zuständiger gesetzlicher Interessenvertretungen erarbeitet werden.

(10) Sind Nachweis oder Prüfung von Identität, Rollen oder Integrität nach den Bestimmungen des 2. Abschnitts (gerichtete und ungerichtete Kommunikation) insbesondere mangels vorhandener technischer Infrastruktur nicht zumutbar, dürfen Gesundheitsdaten und genetische Daten nur übermittelt werden, wenn zumindest die Identitäten und maßgeblichen Rollen der an der Übermittlung beteiligten Gesundheitsdiensteanbieter gegenseitig durch

(11) In den Fällen des Abs. 10 Z 1 und 2 sind vor der erstmaligen Übermittlung der Gesundheitsdaten und genetischen Daten zwischen den beteiligten Gesundheitsdiensteanbietern

(Anm.: Abs. 12 aufgehoben durch Art. 1 Z 98, BGBl. I Nr. 105/2024)

(Anm.: Abs. 12a und 12b mit Ablauf des 30.6.2022 außer Kraft getreten)

(13) Die erleichterten Bedingungen nach Abs. 10 können nicht in Anspruch genommen werden, wenn die nach dem 2. Abschnitt erforderlichen Maßnahmen im Hinblick auf den Stand der Technik und die Implementierungskosten (Art. 32 Abs. 1 DSGVO) zumutbar sind.

(14) Bei der Übermittlung von Gesundheitsdaten und genetischen Daten gelten die erleichterten Bedingungen nach Abs. 10 für alle beteiligten Gesundheitsdiensteanbieter, wenn für zumindest einen der beteiligten Gesundheitsdiensteanbieter die jeweils erleichterten Bedingungen nach Abs. 10 bis 12b gelten.

(Anm.: Abs. 14a bis 14c mit Ablauf des 30.6.2022 außer Kraft getreten)

(15) Bis zum 30. Juni 2016 ist § 6 nicht auf die Übermittlung von Gesundheitsdaten und genetischen Daten per Funk zum Zwecke der Einsatzorganisation bei Rettungsdiensten anzuwenden.

(Anm.: Abs. 16 mit Ablauf des 30.6.2022 außer Kraft getreten)

(Anm.: Abs. 17 aufgehoben durch Art. 1 Z 101, BGBl. I Nr. 105/2024)

(18) Ab 1. Juli 2025 gilt § 13 Abs. 3 für

(19) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat bis zum 31. Dezember 2024 für Einrichtungen der Pflege und bis zum 30. Juni 2024 für die folgenden Gesundheitsdiensteanbieter die entsprechenden Schnittstellen für die technische Anbindung an den eHealth-Verzeichnisdienst (§ 9) bereitzustellen

(20) Für die Sicherstellung der Vertraulichkeit gemäß § 6 gilt bis 30. Juni 2026 Folgendes

§ 28. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 2. Abschnitts mit Verordnung Folgendes festzulegen

(2) Die Anforderungen für die Festlegung zusätzlicher Rollen sind dem/der für das Gesundheitswesen zuständigen Bundesminister/in von der jeweiligen Registrierungsstelle unter Anschluss

(3) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin kann auf Grundlage des 3. Abschnitts weitere Anwendungen vorzusehen, die die Datenverarbeitung gemäß § 12b Abs. 1 ermöglichen.

§ 28a. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 4. Abschnitts mit Verordnung Folgendes festzulegen

(2) Für die Festlegung der Standards gemäß Abs. 1 Z 1 hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin die international anerkannten Standards, die wirtschaftliche Vertretbarkeit sowie den Stand der technischen Möglichkeiten hinsichtlich des Detaillierungsgrades der Strukturen bei den jeweiligen ELGAGesundheitsdiensteanbietern zu berücksichtigen.

(3) Die Standards gemäß Abs. 1 Z 2 sind nach Abschluss eines einheitlichen Standardisierungsverfahrens unter Mitwirkung der ELGASystempartner sowie zuständiger gesetzlicher Interessenvertretungen nach den Kriterien des Abs. 2 festzulegen.

(4) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat bei der Erlassung einer Verordnung gemäß Abs. 1 Z 11 folgende Kriterien einzuhalten

§ 28b. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 5. Abschnittes mit Verordnung für die eHealth-Anwendung „Primärversorgung“ (1. Unterabschnitt) Folgendes festzulegen

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 5. Abschnittes mit Verordnung für die eHealthAnwendung „eImpfpass“ (2. Unterabschnitt) Folgendes festzulegen

(3) Für die Festlegung der Standards gemäß Abs. 1 Z 1 und Abs. 2 Z 1 hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin die international anerkannten Standards, die wirtschaftliche Vertretbarkeit sowie den Stand der technischen Möglichkeiten hinsichtlich des Detaillierungsgrades der Strukturen bei den jeweiligen Gesundheitsdiensteanbietern zu berücksichtigen.

(4) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin darf nach Erlassung einer Verordnung gemäß Abs. 2 Z 2 lit. b, aufgrund deren alle Impfungen im zentralen Impfregister zu erfassen sind, ausschließlich eine Nachtragepflicht für Impfungen gegen Masern, Röteln, Hepatitis A, Hepatitis B, Varizellen, Polio und Humane Papillomaviren (HPV) mit Verordnung gemäß Abs. 2 Z 7 vorsehen.

(5) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin darf für die Impfsettings gemäß Abs. 2 Z 8 ausschließlich folgende Bezeichnungen verwenden: „Bildungseinrichtung“, „Arbeitsplatz/Betrieb“, „Wohnbereich“, „Betreute Wohneinrichtung“, „Krankenhaus inkl. Kur- und Rehaeinrichtungen“, „Ordination“, „Öffentliche Impfstelle“ und „Öffentliche Impfstraße / Impfbus“.

(6) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin darf mit Verordnung gemäß Abs. 2 Z 9 lit. a ausschließlich Antikörperbestimmungen zu folgenden Erkrankungen festlegen: Diphtherie, Masern, Röteln, Hepatitis A, Hepatitis B, Polio, Tetanus, Varizellen und Tollwut. Andere als die genannten Antikörperbestimmungen, die zum Zeitpunkt der Erlassung dieses Bundesgesetzes im zentralen Impfregister durch eImpf-Gesundheitsdiensteanbieter gemäß § 2 Z 18 lit. b gespeichert sind, sind zu stornieren.

(7) Bei der Erlassung einer Verordnung gemäß Abs. 2 Z 4 hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin nach Maßgabe des 2. Unterabschnitts des 5. Abschnitts die in § 28a Abs. 4 genannten Kriterien einzuhalten.

§ 28c. (1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 6. Abschnittes mit Verordnung die datenschutzrechtlichen Pflichten im Sinne des Art. 26 DSGVO für die gemeinsamen Verantwortlichen des EU-Rezepts (§ 24r Abs. 2) festzulegen.

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 6. Abschnittes mit Verordnung die datenschutzrechtlichen Pflichten im Sinne des Art. 26 DSGVO für die gemeinsamen Verantwortlichen der EU-Patientenkurzakte (§ 24u Abs. 2) festzulegen.

§ 28d. (1) Vor Erlassung einer Verordnung gemäß § 28a und § 28b Abs. 1 hat jedenfalls eine Anhörung der Rechtsträger von Krankenanstalten, die über Landesgesundheitsfonds abgerechnet werden, der Allgemeinen Unfallversicherungsanstalt, soweit sie gemäß § 24 Abs. 3 Z 1 ASVG Krankenanstalten betreibt, der Österreichischen Ärztekammer, der Österreichischen Apothekerkammer, der Österreichischen Zahnärztekammer, der Wirtschaftskammer Österreich, des Dachverbandes, der Arbeitsgemeinschaft der Patientenanwälte sowie der Länder zu erfolgen.

(2) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat nach Anhörung der jeweils zuständigen gesetzlichen Interessenvertretungen, unter Berücksichtigung des § 27 Abs. 13, mit Verordnung für bestimmte Gesundheitsdiensteanbieter jeweils den Zeitpunkt festzulegen, ab dem die Übermittlung von Gesundheitsdaten und genetischen Daten unter den erleichterten Bedingungen des § 27 Abs. 10 jedenfalls nicht mehr zulässig ist.

(3) Mit der Koordinierung und Konzeption der eHealth-Anwendung „Elektronische Patientenverfügung („ePatientenverfügung“)“ ist die ELGA GmbH betraut.

(4) Bei der Vollziehung der §§ 18 und 20a ist der Dachverband an die Weisungen des für das Gesundheitswesen zuständigen Bundesministers oder der zuständigen Bundesministerin gebunden.

§ 29. (1) Verordnungen aufgrund dieses Bundesgesetzes dürfen bereits von dem Tag an erlassen werden, der der Kundmachung der durchzuführenden Gesetzesbestimmungen folgt; sie dürfen jedoch nicht vor den durchzuführenden Gesetzesbestimmungen in Kraft treten.

(2) Verordnungen aufgrund des § 28b dürfen bereits vor dessen Inkrafttreten erlassen, jedoch frühestens zugleich in Kraft gesetzt werden.

§ 30. Verweist dieses Bundesgesetz auf andere Bundesgesetze, so sind diese – soweit nicht ausdrücklich anderes angeordnet wird – in ihrer jeweils geltenden Fassung anzuwenden.

§ 31. Mit der Vollziehung dieses Bundesgesetzes ist der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin betraut.

§ 32. Dieses Gesetz wurde unter Einhaltung der Bestimmungen der Richtlinie (EU) 2015/1535 über ein Informationsverfahren auf dem Gebiet der technischen Vorschriften und der Vorschriften für die Dienste der Informationsgesellschaft, ABl. Nr. L 241 vom 17.09.2015 S. 1, notifiziert (Notifikationsnummer: 2020/422/A).