BUNDESGESETZBLATT
FÜR DIE REPUBLIK ÖSTERREICH

Jahrgang 2008

Ausgegeben am 9. Dezember 2008

Teil römisch zwei

451. Verordnung:

Gesundheitstelematikverordnung (GTelV)

451. Verordnung der Bundesministerin für Gesundheit, Familie und Jugend, mit der die für den elektronischen Gesundheitsdatenaustausch in Betracht kommenden Rollen sowie die qualitativen Mindestanforderungen für Verschlüsselung und elektronische Signaturen festgelegt werden – Gesundheitstelematikverordnung (GTelV)

Auf Grund der Paragraphen 5, Absatz eins, 7, Absatz 5 und 9 Absatz 6, des Gesundheitstelematikgesetzes (GTelG), Bundesgesetzblatt Teil eins, Nr. 179 aus 2004,, zuletzt geändert durch das Bundesgesetz Bundesgesetzblatt Teil eins, Nr. 23 aus 2008,, wird verordnet:

1. Abschnitt, Datensicherheit

Identität

Paragraph eins,

  1. Absatz eins,Nachweis und Prüfung der Identität von Gesundheitsdiensteanbietern haben
    1. Ziffer eins
      durch Verwendung elektronischer Signaturen, die auf qualifizierte Zertifikate rückführbar sein müssen sowie bereichsspezifischer Personenkennzeichen (Paragraph 9, E-Government-Gesetz, Bundesgesetzblatt Teil eins, Nr. 10 aus 2004, in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 59 aus 2008,) oder
    2. Ziffer 2
      durch Einsichtnahme in den eHealth-Verzeichnisdienst (Paragraphen 9, ff GTelG)
    zu erfolgen.
  2. Absatz 2,Nachweis und Prüfung der Identität von Gesundheitsdiensteanbietern dürfen abweichend von Absatz eins, auch auf andere Art und Weise erfolgen, wenn
    1. Ziffer eins
      der elektronische Gesundheitsdatenaustausch gemäß Paragraph 3, Absatz eins, stattfindet,
    2. Ziffer 2
      die Verbindung der Gesundheitsdaten, die im Rahmen des elektronischen Gesundheitsdatenaustausches übermittelt werden und der Identitätsdaten nicht oder nicht spurlos verändert werden kann und
    3. Ziffer 3
      eine Verwechslung von Gesundheitsdiensteanbietern ausgeschlossen werden kann.

Rollen

Paragraph 2,

  1. Absatz eins,Im Rahmen des elektronischen Gesundheitsdatenaustausches haben Gesundheitsdiensteanbieter ausschließlich die Rollen gemäß Anlage 1 zu verwenden.
  2. Absatz 2,Bei der Aufnahme eines Gesundheitsdiensteanbieters in den eHealth-Verzeichnisdienst hat die Zuordnung einer Rolle zu einem Gesundheitsdiensteanbieter für
    1. Ziffer eins
      die in den Ziffer eins, bis 3 der Anlage 1 genannten Rollen durch die Österreichische Ärztekammer,
    2. Ziffer 2
      die in den Ziffer 4, und 5 der Anlage 1 genannten Rollen durch die Österreichische Zahnärztekammer,
    3. Ziffer 3
      die in der Ziffer 10, der Anlage 1 genannte Rolle durch das Österreichische Hebammengremium,
    4. Ziffer 4
      die in der Ziffer 26, der Anlage 1 genannte Rolle durch die Österreichische Apothekerkammer,
    5. Ziffer 5
      die in der Ziffer 38, der Anlage 1 genannte Rolle durch den Hauptverband der österreichischen Sozialversicherungsträger sowie
    6. Ziffer 6
      in allen anderen Fällen durch den Bundesminister für Gesundheit, Familie und Jugend
    zu erfolgen.
  3. Absatz 3,Die in Absatz 2, Ziffer eins bis 5 genannten Stellen haben dem Bundesminister für Gesundheit, Familie und Jugend alle verfügbaren Daten gemäß Paragraph 10, Absatz eins, GTelG
    1. Ziffer eins
      sowie das Geburtsdatum der Gesundheitsdiensteanbieter,
    2. Ziffer 2
      nicht jedoch
      1. Litera a
        die eindeutige elektronische Identifikation gemäß Paragraph 10, Absatz eins, Ziffer eins, GTelG und
      2. Litera b
        die Angaben des Paragraph 10, Absatz eins, Ziffer 3 und 7 GTelG
    über eine elektronische Schnittstelle laufend aktualisiert zur Verfügung zu stellen.
  4. Absatz 4,Der Bundesminister für Gesundheit, Familie und Jugend hat auf Grund der gemäß Absatz 3, zur Verfügung gestellten Daten die bereichsspezifischen Personenkennzeichen (bPK) für den eHealth-Verzeichnisdienst von der Stammzahlenregisterbehörde errechnen zu lassen. Soweit die gemäß Absatz 3, zur Verfügung gestellten Daten nicht zur Errechnung der bPK ausreichen, sind dem Bundesminister für Gesundheit, Familie und Jugend zusätzlich
    1. Ziffer eins
      der Geburtsort,
    2. Ziffer 2
      das Geschlecht und
    3. Ziffer 3
      die Staatsangehörigkeit
    des betreffenenden Gesundheitsdiensteanbieters zur Verfügung zu stellen.
  5. Absatz 5,Nachweis und Prüfung der Rollen von Gesundheitsdiensteanbietern haben durch Abfrage des eHealth-Verzeichnisdienstes (Paragraphen 9, ff GTelG) zu erfolgen.

Vertraulichkeit

Paragraph 3,

  1. Absatz eins,Die Vertraulichkeit beim elektronischen Gesundheitsdatenaustausch ist dadurch sicherzustellen, dass
    1. Ziffer eins
      der elektronische Gesundheitsdatenaustausch über Netzwerke durchgeführt wird, die entsprechend dem Stand der Netzwerksicherheit hinreichend gegenüber unbefugten Zugriffen abgesichert sind, indem sie zumindest
      1. Litera a
        die kryptographische Absicherung des Datenverkehrs,
      2. Litera b
        den Netzzugang ausschließlich für eine geschlossene oder abgrenzbare Benutzergruppe sowie
      3. Litera c
        die Authentifizierung der Benutzer
      vorsehen, oder
    2. Ziffer 2
      Protokolle und Verfahren verwendet werden, die
      1. Litera a
        die vollständige Verschlüsselung der Gesundheitsdaten ermöglichen und
      2. Litera b
        deren kryptographische Algorithmen in der Anlage 2 angeführt sind.
  2. Absatz 2,Beim elektronischen Gesundheitsdatenaustausch gemäß Absatz eins, Ziffer 2, dürfen die allenfalls von der Verschlüsselung ausgenommenen Informationen weder Hinweise auf die Betroffenen (Paragraph 4, Ziffer 3, Datenschutzgesetz 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 2 aus 2008,), deren Gesundheitsdaten verwendet werden, noch auf allfällige Authentifizierungsdaten enthalten.

Integrität

Paragraph 4,

  1. Absatz eins,Nachweis und Prüfung der Integrität von Gesundheitsdaten, die im Rahmen des elektronischen Gesundheitsdatenaustausches übermittelt werden, haben durch die Verwendung elektronischer Signaturen, die auf qualifizierte Zertifikate rückführbar sein müssen, zu erfolgen.
  2. Absatz 2,Nachweis und Prüfung der Integrität von Gesundheitsdaten, die im Rahmen des elektronischen Gesundheitsdatenaustausches übermittelt werden, dürfen abweichend von Absatz eins, auch auf andere Art und Weise erfolgen, wenn
    1. Ziffer eins
      der elektronische Gesundheitsdatenaustausch gemäß Paragraph 3, Absatz eins, stattfindet und
    2. Ziffer 2
      die Gesundheitsdaten nicht oder nicht spurlos verändert werden können.

Dokumentationspflichten

Paragraph 5,

  1. Absatz eins,Gesundheitsdiensteanbieter haben
    1. Ziffer eins
      alle Maßnahmen, mit denen die Anforderungen der Paragraphen eins, Absatz 2, 3, Absatz eins, Ziffer 2, oder 4 Absatz 2, erfüllt werden,
    2. Ziffer 2
      die Kontaktaufnahme und Änderung der Kontaktdaten gemäß Paragraph 6, Absatz 2 und 3 sowie
    3. Ziffer 3
      die Prüfung der Rufnummern gemäß Paragraph 7, Ziffer 2
    zu dokumentieren.
  2. Absatz 2,Die Dokumentation gemäß Absatz eins, Ziffer eins und 3 ist auf Verlangen dem Bundesminister für Gesundheit, Familie und Jugend zu übermitteln.

2. Abschnitt, Übergangs- und Schlussbestimmungen

Erleichterte Voraussetzungen des Identitäts-, Rollen- und Integritätsnachweises

Paragraph 6,

  1. Absatz eins,Sind Nachweis oder Prüfung von Identität, Rollen oder Integrität nach den Bestimmungen des 1. Abschnitts nicht möglich, darf ein elektronischer Gesundheitsdatenaustausch nur erfolgen, wenn zumindest die Identitäten und maßgeblichen Rollen der am elektronischen Gesundheitsdatenaustausch beteiligten Gesundheitsdiensteanbieter gegenseitig durch
    1. Ziffer eins
      persönlichen Kontakt oder
    2. Ziffer 2
      telephonischen Kontakt oder
    3. Ziffer 3
      Vertragsbestimmungen zur elektronischen Erreichbarkeit oder
    4. Ziffer 4
      Abfrage elektronischer Verzeichnisse der Stellen gemäß Paragraph 2, Absatz 2, Ziffer eins bis 5
    bestätigt sind.
  2. Absatz 2,In den Fällen des Absatz eins, Ziffer eins und 2 sind vor dem erstmaligen elektronischen Gesundheitsdatenaustausch zwischen den beteiligten Gesundheitsdiensteanbietern
    1. Ziffer eins
      Datum und Art der Kontaktaufnahme,
    2. Ziffer 2
      die vollständigen Namen und maßgeblichen Rollen der am elektronischen Gesundheitsdatenaustausch beteiligten Gesundheitsdiensteanbieter,
    3. Ziffer 3
      die Angaben zur elektronischen Erreichbarkeit der Gesundheitsdiensteanbieter sowie
    4. Ziffer 4
      die an der Kontaktaufnahme beteiligten natürlichen Personen
    zu dokumentieren.
  3. Absatz 3,Änderungen der Daten gemäß Absatz 2, Ziffer 2 und 3 sind zu dokumentieren.

Erleichterte Voraussetzungen der Vertraulichkeit

Paragraph 7,

Abweichend von Paragraph 3, darf der elektronische Gesundheitsdatenaustausch auch per Fax erfolgen, wenn

  1. Ziffer eins
    die Faxgeräte vor unbefugtem Zugang und Gebrauch geschützt sind,
  2. Ziffer 2
    die Rufnummern, insbesondere die verspeicherten Rufnummern, mindestens alle zwei Monate nachweislich auf ihre Aktualität geprüft werden,
  3. Ziffer 3
    automatische Weiterleitungen, außer an den Gesundheitsdiensteanbieter selbst, deaktiviert sind,
  4. Ziffer 4
    alle vom Gerät unterstützten Sicherheitsmaßnahmen genützt werden und
  5. Ziffer 5
    allenfalls verfügbare Fernwartungsfunktionen nur für die vereinbarte Dauer der Fernwartung aktiviert sind.

Schlussbestimmungen

Paragraph 8,

  1. Absatz eins,Personenbezogene Bezeichnungen beziehen sich auf Frauen und Männer in gleicher Weise.
  2. Absatz 2,Diese Verordnung tritt mit Ausnahme des Paragraph 2, Absatz 3, mit 1. Jänner 2009 in Kraft.
  3. Absatz 3,Der Bundesminister für Gesundheit, Familie und Jugend hat die technische Spezifikation der Schnittstelle gemäß Paragraph 2, Absatz 3, unter der Adresse http://www.ehvd.at im Internet zu veröffentlichen. Paragraph 2, Absatz 3, tritt sechs Monate nach Veröffentlichung dieser Schnittstellenspezifikation in Kraft.
  4. Absatz 4,Bis zum Ablauf des 31. Dezember 2010 darf der elektronische Gesundheitsdatenaustausch unter den erleichterten Bedingungen der Paragraphen 6 und 7 erfolgen, wobei die Abfrage elektronischer Verzeichnisse gemäß Paragraph 6, Absatz eins, Ziffer 4, nur bis zum In-Kraft-Treten des Paragraph 2, Absatz 3, zulässig ist. Bis zum Ablauf des 31. Dezember 2010 dürfen Gesundheitsdiensteanbieter,
    1. Ziffer eins
      die Gesundheitsdaten in Übereinstimmung mit dieser Verordnung verwenden oder
    2. Ziffer 2
      deren Rollen nicht in der Anlage 1 angeführt sind,
    nicht gemäß Paragraph 17, Absatz eins, GTelG bestraft werden.

Kdolsky