Erläuterungen Allgemeiner Teil

Mit dem vorliegenden Entwurf einer eHealth-Verordnung (eHealthV) sollen die Bestimmungen des 2. Unterabschnitts des 5. Abschnitts des Gesundheitstelematikgesetzes 2012 (GTelG 2012), Bundesgesetzblatt Teil eins, Nr. 111 aus 2012,, betreffend den Elektronischen Impfpass konkretisiert bzw. operationalisiert werden. Vor dem Flächenrollout (Übergang in den Vollbetrieb) des Elektronischen Impfpasses soll eine funktional, regional, zeitlich und nach Rollen begrenzte Pilotierung erfolgen. Vor dem Hintergrund der COVID-19-Pandemie soll es bei der Pilotierung keine Einschränkung auf Kinder geben, sondern der Fokus Richtung Influenza- und Pneumokokkenimpfungen und – in Erwartungen eines entsprechenden Impfstoffes – ab Frühjahr 2021 auf COVID-19-Impfungen gehen. Die daraus gewonnen Informationen sollen zur Unterstützung der Maßnahmen zur Verhinderung der Ausbreitung des Erregers SARS-CoV-2 (COVID-19) beitragen. Vom Funktionsumfang soll sich die Pilotierung auf die grundlegenden Funktionen des Elektronischen Impfpasses beschränken: Elektronische Impfdokumentation (speichern, aktualisieren und stornieren sowie nachtragen von Impfdaten), Lesen der zusammenfassenden Darstellung der im zentralen Impfregister gespeicherten Daten, Kalenderfunktion (Berechnung der nächsten Impftermine), Integration in Arztpraxissysteme und bestehende Impfsysteme sowie die Integration in das Zugangsportal. Erst auf Grundlage der Evaluierungsergebnisse des Pilotprojekts soll der Flächenrollout erfolgen. In Durchführung der gesetzlichen Bestimmungen soll daher in einem ersten Schritt mit dieser Verordnung nur die Pilotierungsphase des Elektronischen Impfpasses geregelt werden (und erst in einem späteren, zweiten Schritt der Flächenrollout und Vollbetrieb).

Besonderer Teil Zu Paragraph 2, („Standards für Inhalt, Struktur und Format“)

Ziel des Implementierungsleitfadens ist die Beschreibung von Standards für Inhalt, Struktur und Format der gemäß Paragraph 24 c, Absatz 2, Ziffer 2, GTelG 2012 im zentralen Impfregister zu speichernden Angaben sowie der in der zusammenfassenden Darstellung gemäß Paragraph 24 d, Absatz 2, Ziffer eins, GTelG 2012 ersichtlichen Daten, indem er speziell nur für den Elektronischen Impfpass gültige Vorgaben definiert (Absatz eins,).

Die Konformitätskriterien „Mandatory“ (M), „Required“ (R) und „Fixed“ (F) beschreiben zwingend erforderliche Felder. Die Kardinalität beschreibt, wie oft ein Element innerhalb einer Struktur auftreten kann oder muss; sie wird durch ein Intervall zwischen der minimalen und maximalen Anzahl angegeben (Absatz 2,).

Durch den vorgeschlagenen Absatz 3, soll die Möglichkeit geschaffen werden, kurzfristige Anpassungen und rasche Aktualisierungen bei der technischen Umsetzung durchzuführen, weswegen eine Aktualisierung des Implementierungsleitfadens gemäß Absatz eins, mit Verordnung kundzumachen ist; dies allerdings nur so weit, als es sich dabei um eine „Hauptversion“ handelt, also um eine Aktualisierung, die ein Pflichtfeld betrifft. Solche Aktualisierungen können einerseits Abänderungen (im engeren Sinn), andererseits auch der Entfall bestehender oder die Ergänzung neuer Pflichtfelder sein. Wenn also mindestens ein Pflichtfeld geändert, aufgehoben oder eingeführt wird, liegt eine Hauptversion vor; in allen anderen Fällen liegt eine Nebenversion vor. Hauptversionen bedürfen immer der Kundmachung in einer Verordnung gemäß Paragraph 28, Absatz 2 a, Ziffer 2, Litera a und sind ab dem gemäß Paragraph 28, Absatz 2 a, Ziffer 2, Litera h, Sub-Litera, b, b, festgelegten Zeitpunkt zu verwenden. Nebenversionen dürfen ohne Kundmachung in einer Verordnung unter www.gesundheit.gv.at veröffentlicht und sodann verwendet werden, da diese sich bloß auf die optionalen Teile beziehen und keine bestehende rechtliche Verpflichtung ändern. Nebenversionen werden in der Praxis vor allem Rechtschreibfehler, Formatierungsfehler, lexikalische Fehler (unbekannter Bezug), syntaktische Fehler (vergessenes Semikolon), semantische Fehler (falsche Deklaration), andere Redaktionsversehen oder auch neue optionale Elemente betreffen.

Aus Gründen der Benutzerfreundlichkeit sollen der Implementierungsleitfaden gemäß Absatz eins, sowie dessen Aktualisierungen gemäß Absatz 3, – leicht zugänglich – zusätzlich unter www.gesundheit.gv.at veröffentlicht werden (Absatz 4,).

Zu Paragraph 3, („Standards für Terminologien“)

Die Aktualisierung von Terminologien soll insbesondere in Zusammenhang mit der Aktualisierung des Implementierungsleitfadens gemäß Paragraph 2, Absatz 3, erfolgen oder auf Anforderung der betroffenen Gesundheitsdiensteanbieter möglich sein.

Zu Paragraph 4, („Pilotierungsphase“)

Da die Teilnahme der Gesundheitsdiensteanbieter an der Pilotierung freiwillig erfolgt und die Verpflichtung zur Speicherung der Impfdaten nur diese Gesundheitsdiensteanbieter trifft, handelt es sich bei der in Absatz eins, vorgeschlagenen Bestimmung um keine eigentliche rechtliche Verpflichtung, sondern vielmehr um die für die Datenverarbeitung durch Gesundheitsdiensteanbieter erforderliche datenschutzrechtliche Grundlage im erheblichen öffentlichen Interesse gemäß Artikel 9, Absatz 2, Litera g bis j der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), Amtsblatt Nummer L 119 vom 04.05.2016 Seite 1 (im Folgenden: DSGVO). Die Angabe eines konkreten Datums für den Beginn der Pilotierungsphase ist zum jetzigen Zeitpunkt unmöglich, zumal die Begutachtung dieser Verordnung aufgrund der dreimonatigen Stillhaltefrist im Rahmen des Notifikationsverfahrens (siehe Paragraph 6,) sehr frühzeitig erfolgen musste. Jedenfalls gilt es, die mit dieser Verordnung zu schaffenden, für die Pilotierung erforderlichen Rechtsgrundlagen spätestens zu Beginn der Pilotierungsphase sicherzustellen, sodass diese Verordnung – auf Grundlage der bereits in Paragraph 29, GTelG 2012 getroffenen Vorkehrungen – zum frühestmöglichen Zeitpunkt in Kraft treten soll (siehe dazu die Erläuterungen zu Paragraph 5,).

Für den Pilotbetrieb des Elektronischen Impfpasses sind die ELGA GmbH und der jeweilige, am Pilotbetrieb teilnehmende Gesundheitsdiensteanbieter gemeinsam für die Verarbeitung Verantwortliche im Sinne des Artikel 26, DSGVO. Wiewohl die Teilnahme an der Pilotierung durch die einzelnen Gesundheitsdiensteanbieter und Bürger/innen freiwillig erfolgt, haben die an der Pilotierung teilnehmenden Gesundheitsdiensteanbieter die Bestimmungen des GTelG 2012 sowie dieser Verordnung einschließlich ihrer technisch-organisatorischen Spezifikationen gemäß Paragraph 2 und Paragraph 3, einzuhalten (Absatz 2,).

Um die Verfolgung der in Paragraph 24 b, GTelG 2012 genannten Ziele, für die ein vollständiges zentrales Impfregister unumgänglich ist, zu gewährleisten, ist die ELGA GmbH gemäß Paragraph 27, Absatz 17, GTelG 2012 dazu verpflichtet, sämtliche in der Pilotierungsphase entstandenen und für den Vollbetrieb erforderlichen Daten an den für das Gesundheitswesen zuständigen Bundesminister (als dem ab Übergang in den Vollbetrieb Verantwortlichen) zu portieren. Mit der in Absatz 3, vorgeschlagenen Bestimmung verpflichtet der für das Gesundheitswesen zuständige Bundesminister die ELGA GmbH, die Daten direkt an den oder die von ihm festgelegten Auftragsverarbeiter zu portieren und dabei auch einen reibungslosen Wechsel des Auftragsverarbeiters für die an der Pilotierung teilnehmenden Gesundheitsdiensteanbieter sicherzustellen. Die Portierung (Migration) umfasst jedenfalls den Sourcecode der Anwendung Elektronischer Impfpass, die Schnittstellendefinitionen, die Datenbankspezifikationen für das Impfregister, die während des Pilotprojekts im Impfregister gespeicherten Daten und die dazugehörigen Dokumentationen. Ferner umfasst die Portierung allfällige Nachjustierungen auf Basis der Evaluierungsergebnisse und die Mitwirkung bei den für den Übergang (Freigabe) in den Vollbetrieb notwendigen Tests. Ohne ordnungsgemäße Portierung ist eine zweckmäßige Aufnahme des Vollbetriebs nicht möglich. Die diesbezüglichen Details, insbesondere die dabei einzuhaltenden Datensicherheitsmaßnahmen, sind in einer Vereinbarung nach Artikel 28, DSGVO vorzusehen, die zwischen der ELGA GmbH und dem von ihr betrauten Auftragsverarbeiter zu schließen ist.

Zu Paragraph 5, („Inkrafttreten“)

Gemäß Paragraph 29, Absatz eins, GTelG 2012 dürfen Verordnungen aufgrund des GTelG 2012 bereits von dem Tag an erlassen werden, der der Kundmachung der durchzuführenden Gesetzesbestimmungen folgt; sie dürfen jedoch nicht vor den durchzuführenden Gesetzesbestimmungen in Kraft treten. Gemäß Paragraph 29, Absatz 2, GTelG 2012 dürfen Verordnungen aufgrund des Paragraph 28, Absatz 2 a, GTelG 2012 bereits vor dessen Inkrafttreten erlassen, jedoch frühestens zugleich in Kraft gesetzt werden. Daher soll diese Verordnung mit Ablauf des Tages ihrer Kundmachung im Bundesgesetzblatt, frühestens jedoch zugleich mit Paragraph 28, Absatz 2 a, GTelG 2012, in Kraft treten.