COVID-19-Intensivregisterverordnung

Vereinfachte wirkungsorientierte Folgenabschätzung

Einbringende Stelle: | BMSGPK
Vorhabensart: | Verordnung
Laufendes Finanzjahr: | 2020

Inkrafttreten/
Wirksamwerden:

2020

Vorblatt

Problemanalyse
Die COVID-19-Pandemie stellt alle Staaten vor bisher unvorstellbare Herausforderungen. Aufgrund der rasanten Ausbreitung wurden in Österreich sehr rasch drastische Eindämmungsmaßnahmen ergriffen, vor allem um die medizinische Versorgung aufrechterhalten und insbesondere um die intensivmedizinische Behandlung der schwer erkrankten Personen gewährleisten zu können.
Die Herausforderung liegt unter anderem darin, den Entscheidungsträgerinnen und Entscheidungsträgern Informationen zur Verfügung zu stellen. In Österreich stehen im Gegensatz zu anderen Ländern bislang keine demographischen, klinischen und Behandlungsdaten zu COVID-19-IntensivpatientInnen zur Verfügung bzw. können diese aus anderen vorliegenden Informationen (z.B. Abrechnungsdaten) nicht in entsprechender Form angeleitet werden. Diese sind aber für verschiedene Zwecke von hoher Relevanz.
So spielen die Datengenerierung und das Monitoring insbesondere von Infektionsdaten, Kapazitäten und Leistungsdaten der Krankenhäuser eine entscheidende Rolle für die Planung und Qualitätssicherung. Darüber hinaus ist neben dem Monitoring die wissenschaftliche Aufarbeitung von COVID-19 bedeutend.
In diesem Zusammenhang ist es auch erforderlich, aus den bisherigen Verläufen von Behandlungen von Covid-19-Fällen entsprechende Erfahrungen zu generieren, die für die weiteren Planungen, ein qualitätsgesichertes Vorgehen sowie die wissenschaftliche Aufarbeitung der bisherigen Behandlungsverläufe von großer Bedeutung sind.
Ziel(e)
Erfassung von Daten zur Behandlung von COVID-19-Patientinnen und -Patienten auf Intensiveinrichtungen zur Planung, Qualitätssicherung und für wissenschaftliche Zwecke.
Inhalt
Das Vorhaben umfasst hauptsächlich folgende Maßnahme(n):
Einrichtung eines COVID-19-Intensivregisters in der Gesundheit Österreich GmbH (GÖG) sowie Festlegung der zu erfassenden Daten
Beitrag zu Wirkungsziel oder Maßnahme im Bundesvoranschlag
Das Vorhaben trägt dem Wirkungsziel "Im Rahmen der Gesundheitsstrukturpolitik, Sicherstellung einer auf höchstem Niveau qualitätsgesicherten, flächendeckenden, leicht zugänglichen und solidarisch finanzierten integrierten Gesundheitsversorgung für die Bevölkerung, ohne Unterscheidung beispielsweise nach Bildung, Status und Geschlecht." der Untergliederung 24 Gesundheit im Bundesvoranschlag des Jahres 2020 bei.
Aus der gegenständlichen Maßnahme ergeben sich keine finanziellen Auswirkungen auf den Bund, die Länder, die Gemeinden oder auf die Sozialversicherungsträger, da die abgefragten Informationen standardmäßig Teil einer Intensivdokumentation sind (entsprechend den gesetzlichen Vorschriften zur Führung von Krankengeschichten gemäß § 10 Krankenanstalten- und Kuranstaltengesetz).
Verhältnis zu den Rechtsvorschriften der Europäischen Union
Die vorgesehenen Regelungen fallen nicht in den Anwendungsbereich europarechtlicher Vorschriften.
Besonderheiten des Normerzeugungsverfahrens
Keine
Datenschutz-Folgenabschätzung gem. Art 35 EU-Datenschutz-Grundverordnung
Im Rahmen des mit dem gegenständlichen Regelungsvorhaben einzurichtenden COVID-19-Registers werden auch personenbezogene Daten (ausschließlich in pseudonymisierter Form) verarbeitet, um Behandlungsverläufe, insbesondere allfällige Aufenthalte auf verschiedenen Intensiveinrichtungen, analysieren zu können.
Da im Rahmen des Registers besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (Gesundheitsdaten) verarbeitet werden, ist die Bestimmung für öffentliche Register unter DSFA-AV06 der Verordnung der Datenschutzbehörde über die Ausnahmen von der Datenschutz-Folgenabschätzung (DSFA-AV) nicht anwendbar. Es wird daher im Folgenden geprüft, ob im konkreten Regelungsvorhaben eine Datenschutzfolgeabschätzung durchzuführen ist.
Eine Datenschutz-Folgenabschätzung (DSFA) ist nur dann erforderlich, wenn die Verarbeitung "wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt" (Art. 35 Abs. 1 DSGVO). Für die Prüfung, ob ein solches Risiko vorliegt, sind die Kriterien gemäß § 2 Abs. 3 Verordnung der Datenschutzbehörde über Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung durchzuführen ist (DSFA-V), heranzuziehen.
Zwar werden im konkreten Fall Gesundheitsdaten verarbeitet, jedoch muss es sich darüber hinaus um eine umfangreiche Verarbeitung handeln (§ 2 Abs. 3 Z 1 DSFA-V).
Gemäß Working Paper (WP) 243 der Artikel-29-Datenschutzgruppe stellt die Verarbeitung von Patientendaten im gewöhnlichen Geschäftsbetrieb eines Krankenhauses eine umfangreiche Datenverarbeitung dar, während die Verarbeitung von Patientendaten durch einen einzelnen Arzt nicht als solche zu qualifizieren ist. In WP 248 der Artikel-29-Datenschutzgruppe werden folgende ausschlaggebende Kriterien für eine umfangreiche Datenverarbeitung genannt, von denen zumindest zwei gegeben sein müssen:
-	Zahl der Betroffenen, entweder als konkrete Anzahl oder als Anteil der entsprechenden Bevölkerungsgruppe;
-	verarbeitete Datenmenge bzw. Bandbreite der unterschiedlichen verarbeiteten Datenelemente;
-	Dauer oder Dauerhaftigkeit der Datenverarbeitung;
-	geografisches Ausmaß der Datenverarbeitung.
Da ausschließlich Daten von COVID-19-Patientinnen und -Patienten auf Intensivstationen (von März bis September 2020 insgesamt circa 700) umfasst sind, handelt es sich um eine sehr geringe Anzahl von Betroffenen. Weiters betrifft die Verarbeitung nur Datenkategorien, die im Zusammenhang mit der Behandlung von COVID-19-Fällen auf Intensiveinrichtungen stehen, und die Verarbeitung ist nur für die Dauer der COVID-19-Pandemie von Relevanz. Vor diesem Hintergrund ist nicht von einer umfangreichen Verarbeitung auszugehen.
Darüber hinaus liegt auch kein anderes Kriterium gemäß § 2 Abs. 3 DSFA-V vor. Die Datenverarbeitungsprozesse im Rahmen des Registers sehen zwar die Zusammenführung von Datensätzen vor (§ 2 Abs. 3 Z 5 DSFA-V), jedoch handelt es sich nicht um eine „Datenverarbeitung, die über die von einer betroffenen Person üblicherweise zu erwartenden Verarbeitungen hinausgeht“, da die Grundlage für diese Verarbeitung bereits in § 15a Abs. 1 und 2 GÖGG festgelegt ist.
Vor diesem Hintergrund ist für die gegenständliche Verordnung keine DSFA durchzuführen.

Diese Folgenabschätzung wurde mit der Version 5.8 des WFA – Tools erstellt (Hash-ID: 1509951442).

Erläuterungen
Allgemeiner Teil:
Die COVID-19-Pandemie stellt alle Staaten vor bisher unvorstellbare Herausforderungen. Aufgrund der rasanten Ausbreitung wurden in Österreich sehr rasch drastische Eindämmungsmaßnahmen ergriffen, vor allem um die medizinische Versorgung aufrechterhalten und insbesondere um die intensivmedizinische Behandlung der schwer erkrankten Personen gewährleisten zu können.
Die Herausforderung liegt unter anderem darin, den Entscheidungsträgerinnen und Entscheidungsträgern Informationen zur Verfügung zu stellen. In Österreich stehen im Gegensatz zu anderen Ländern bislang keine demographischen, klinischen und Behandlungsdaten zu COVID-19-IntensivpatientInnen zur Verfügung bzw. können diese aus anderen vorliegenden Informationen (z.B. Abrechnungsdaten) nicht in entsprechender Form angeleitet werden. Diese sind aber für verschiedene Zwecke von hoher Relevanz.
So spielen die Datengenerierung und das Monitoring insbesondere von Infektionsdaten, Kapazitäten und Leistungsdaten der Krankenhäuser eine entscheidende Rolle für die Planung und Qualitätssicherung. Darüber hinaus ist neben dem Monitoring die wissenschaftliche Aufarbeitung von COVID-19 bedeutend.
In diesem Zusammenhang ist es auch erforderlich, aus den bisherigen Verläufen von Behandlungen von Covid-19-Fällen entsprechende Erfahrungen zu generieren, die für die weiteren Planungen, ein qualitätsgesichertes Vorgehen sowie die wissenschaftliche Aufarbeitung der bisherigen Behandlungsverläufe von großer Bedeutung sind.
Ebenso wesentlich für eine nachhaltige Bekämpfung der COVID-19-Pandemie ist die Zurverfügungstellung von Daten insbesondere betreffend die durchgeführten Behandlungen von COVID-19-Patientinnen und -Patienten, das Ergebnis dieser Behandlungen, Vorerkrankungen und allfällige Komplikationen.
Daher soll in der Gesundheit Österreich GmbH (GÖG) auf Basis des § 15a des Bundesgesetzes über die Gesundheit Österreich GmbH, BGBl. I Nr. 132/2006 idgF. (GÖGG) ein Register zur Qualitätssicherung bei der Behandlung von COVID-19-Patientinnen und -Patienten auf Intensiveinrichtungen in landesgesundheitsfondsfinanzierten Krankenanstalten eingerichtet und betrieben werden. Dieses Register umfasst somit ausschließlich Daten über Patientinnen und Patienten, die mit der Diagnose „COVID-19“ auf einer Intensiveinrichtung einer landesgesundheitsfondsfinanzierten Krankenanstalt behandelt wurden.
Diese Daten sollen einerseits für die Zwecke der Planung, Qualitätssicherung und Qualitätsberichterstattung im österreichischen Gesundheitswesen und andererseits für wissenschaftliche Zwecke verwendet werden.
Besonderer Teil:
Zu § 1:
Mit dieser Bestimmung wird gemäß § 15a Abs. 3 GÖGG die Einrichtung eines Qualitätsregisters für die Qualitätssicherung der Behandlung von COVID-19-Patientinnen und -Patienten auf Intensiveinrichtungen von landesgesundheitsfondsfinanzierten Krankenanstalten eingerichtet. Weiters wird festgelegt, dass dieses Register gemäß § 4 Abs. 2 Z 3 GÖGG von der GÖG (Geschäftsbereich BIQG) geführt wird.
Zu § 2:
Es wird festgelegt, dass das einzurichtende Register der Erfassung von Daten im Zusammenhang mit der Behandlung von COVID-19-Patientinnen und -Patienten auf Intensiveinrichtungen von landesgesundheitsfondsfinanzierten Krankenanstalten als Grundlage für Planung, Qualitätssicherung unter Einbindung der Qualitätsmessung auf Grundlage von A-IQI (Austrian Inpatient Quality Indicators) und Qualitätsberichterstattung in der österreichischen Gesundheitsversorgung sowie für wissenschaftliche Zwecke (z.B. Analyse der Behandlungsprozesse und -ergebnisse bei intensivmedizinisch betreuten COVID-19-Fällen, Analyse von Spätfolgen von COVID-19-Infektionen) dient.
Zu § 3:
Das Register umfasst ausschließlich Daten über Patientinnen und Patienten, die mit der Diagnose „COVID-19“ auf einer Intensiveinrichtung einer landesgesundheitsfondsfinanzierten Krankenanstalt behandelt wurden.
Gemäß § 15a GÖGG hat die GÖG zur Sicherstellung des Datenschutzes bei der Dokumentation und Verarbeitung der Daten im Zusammenhang mit dem Qualitätsregister für die Qualitätssicherung der Behandlung von COVID-19-Patientinnen und -Patienten auf Intensiveinrichtungen von landesgesundheitsfondsfinanzierten Krankenanstalten insbesondere folgende Vorkehrungen zu treffen: 
	1.	Gewährleistung der Vertraulichkeit der Datenübermittlung durch dem Stand der Technik entsprechende verschlüsselte Übermittlungsverfahren,
	2.	Sicherstellung, dass
	a)	die eindeutige Identität und Rolle der Zugriffsberechtigten bei jedem Zugriff dem Stand der Technik entsprechend nachgewiesen und protokolliert werden,
	b)	eine Vernichtung oder Veränderung der Daten durch Programmstörungen (Viren) sowie eine Vernichtung, Veränderung oder Abfrage der Daten des Registers durch unberechtigte Benutzer oder Systeme durch geeignete, dem jeweiligen Stand der Technik entsprechende Vorkehrungen verhindert werden,
	c)	alle durchgeführten Verarbeitungsvorgänge nachvollziehbar sind,
	3.	Erstellung eines für die Mitarbeiterinnen und Mitarbeiter der GÖG verbindlichen Datensicherheitskonzepts,
	4.	individuelle Zuweisung der Zugriffsberechtigung für die einzelnen Benutzer der GÖG und Belehrung der Zugriffsberechtigten über das Datensicherheitskonzept sowie 
	5.	Sicherstellung, dass jeder Zugriff auf die im Register verarbeiteten oder zu verarbeitenden Daten durch die GÖG nur für Zwecke des § 2 dieser Verordnung erfolgen.
Zu Z 1:
Um Behandlungsverläufe, insbesondere allfällige Aufenthalte auf verschiedenen Intensiveinrichtungen, analysieren zu können, bedarf es der Zusammenführung der eine Person betreffenden Datensätze durch ein nicht rückführbares Pseudonym. Dies erfolgt durch die GÖG im Wege des bereichsspezifischen Personenkennzeichens Gesundheit (bPK GH), das die GÖG gemäß § 15a Abs. 5 GÖGG unter den dort genannten Bedingungen generieren und verwenden darf. Die zum Zweck der Pseudonymisierung gemäß Art. 4 Z 5 DSGVO getrennt aufbewahrten und besonders gesicherten zusätzlichen Daten sind zu löschen, sobald sie für die Zwecke nach § 2 dieser Verordnung nicht mehr erforderlich sind (§ 15a Abs. 6 GÖGG und § 6 dieser Verordnung).
Die Gesundheit Österreich GmbH ist gemäß § 15a Abs. 5 GÖGG berechtigt, bei der Bundesanstalt Statistik Österreich Informationen zum Todeszeitpunkt und zur Todesursache von Personen anzufordern, deren Daten in einem Register verarbeitet sind. Für diesen Abgleich ist das verschlüsselte bereichsspezifische Personenkennzeichen Amtliche Statistik (bPK AS) erforderlich. Ein Abgleich mit der Todesursachenstatistik ist gerade bei COVID-19-Fällen von besonderer Bedeutung, da es auch darum geht, Spätfolgen von COVID-19-Infektionen analysieren zu können.
Zu Z 2:
Die Daten gemäß Z 2 (Strukturinformationen über die behandelnde landesgesundheitsfondsfinanzierte Krankenanstalt) werden von der GÖG als Daten ohne Bezug zu natürlichen Personen von der GÖG in das COVID-19-Intensivregister eingepflegt. Diese Daten werden vom für das Gesundheitswesen zuständigen Bundesministerium zur Verfügung gestellt.
Zu Z 3 bis 5:
Die weiteren Daten (Z 3 bis 5) sind von den Krankenanstalten im Wege einer webbasierten Anwendung zu ergänzen.
Die Daten gemäß Z 3 bis 5 sind insbesondere wesentlich für Analysen des bisherigen Behandlungsgeschehens, um daraus Erkenntnisse über den Erfolg der bisherigen Behandlungsmethoden zu gewinnen. So gibt es nach den ersten Monaten der COCID-19-Pandemie bereits ein mehrfach von verschiedener Seite vorgebrachtes Verlangen, entsprechende Daten über bisherige Behandlungsverläufe zu erheben und für wissenschaftliche Zwecke zur Verfügung zu stellen.
Zu § 4:
Mit dieser Bestimmung werden die Träger von landesgesundheitsfondsfinanzierten Krankenanstalten in Umsetzung der DGSVO ermächtigt, die Daten gemäß § 3 monatlich, bei Bedarf auch in kürzeren Abständen, an die GÖG im Wege einer geschützten webbasierten Eingabemaske zu übermitteln.
Zu § 5:
Es wird festgelegt, dass die GÖG berechtigt ist, für Zwecke gemäß § 2 Z 1 in pseudonymisierter Form, und für wissenschaftliche Zwecke gemäß § 2 Z 2 in anonymisierter Form auf die im Register enthaltenen Daten zuzugreifen und diese zu verarbeiten.
Die Rechtsträger der an dem Register teilnehmenden Krankenanstalten sind berechtigt, auf die von ihnen übermittelten Daten im Register zuzugreifen, um diese erforderlichenfalls zu korrigieren bzw. zu löschen.
Damit wird rechtlich sichergestellt, dass ausschließlich die GÖG und die Rechtsträger der an dem Register teilnehmenden Krankenanstalten Zugriff auf die im Register enthaltenen Daten haben.
Zu § 6:
Mit dieser Bestimmung wird die GÖG berechtigt, den Angehörigen von in Betracht kommenden gesetzlich geregelten Gesundheitsberufen für wissenschaftliche Zwecke sowie der Bundesgesundheitsagentur und den Landesgesundheitsfonds für die in § 2 genannten Zwecke in anonymisierter Form zur Verfügung zu stellen.