§ 5a

Bundesrecht Bundesgesetze Gesundheitsdokumentationsgesetz Hauptstück A § 5a

In Kraft bis 30. Dezember 2029

Up-to-date

(1) Der Dachverband als Auftragsverarbeiter der/des für das Gesundheitswesen zuständigen Bundesministerin/Bundesministers hat im Wege der bei ihm eingerichteten Pseudonymisierungsstelle (gemäß § 30c Abs. 1 Z 7 des Allgemeinen Sozialversicherungsgesetzes, BGBl. Nr. 189/1955, in der Fassung des Bundesgesetzes BGBl. I Nr. 100/2018)

1. innerhalb einer den Anforderungen des Datenschutzes und der Datensicherheit entsprechenden technischen Infrastruktur mittels des von der/dem für das Gesundheitswesen zuständigen Bundesministerin/Bundesminister zur Verfügung gestellten Hardware Security Moduls (HSM) aus dem bPK GH GD der Patientin/des Patienten ein nicht rückrechenbares Pseudonym zu generieren und zu verschlüsseln, wobei das bPK GH GD einem Bereich zugeordnet ist, in dem der Dachverband nicht zur Vollziehung berufen ist,

2. aus der Aufnahmezahl durch Einweg-Ableitung eine nicht rückrechenbare Datensatz ID zu bilden und

3. die folgenden Daten für das erste Quartal bis 30. Juni des laufenden Jahres, für das zweite Quartal bis 30. September des laufenden Jahres, für das dritte Quartal bis 31. Dezember des laufenden Jahres sowie für das vierte Quartal bis 31. März des folgenden Jahres an die/den für das Gesundheitswesen zuständige/n Bundesministerin/Bundesminister zu übermitteln:

a) Verschlüsselte Pseudonyme der Patientinnen/Patienten gemäß Z 1,

b) Krankenanstaltennummer,

c) Datensatz ID,

d) verschlüsseltes bPK GH der Patientinnen/Patienten, das einem Bereich zugeordnet ist, in dem der Dachverband nicht zur Vollziehung berufen ist,

e) verschlüsseltes bPK SV der Patientinnen/Patienten, das einem Bereich zugeordnet ist, in dem die/der für das Gesundheitswesen zuständige Bundesministerin/Bundesminister nicht zur Vollziehung berufen ist,

f) verschlüsseltes bPK AS der Patientinnen/Patienten, das einem Bereich zugeordnet ist, in dem die/der für das Gesundheitswesen zuständige Bundesministerin/Bundesminister nicht zur Vollziehung berufen ist.

Maßgeblich für die Zuordnung der Daten zu einer Datenmeldung ist das Aufnahmedatum.

(2) Der technische Prozess zur Generierung der Pseudonyme ist so zu gestalten, dass keine Möglichkeit des Zugriffes auf die automatisierten Verarbeitungen im HSM während des Pseudonymisierungsvorgangs gemäß Abs. 1 Z 1 besteht. Es ist sicherzustellen, dass der für die Generierung der Pseudonyme zu verwendende Algorithmus dem für das Gesundheitswesen zuständigen Bundesministerium und dem Dachverband nicht bekannt ist und an einer unabhängigen dritten Stelle sicher verwahrt wird.

(3) Die erstmalige Konfiguration des HSM hat in den Räumlichkeiten der beim Hauptverband (datenschutzrechtlicher Auftragsverarbeiter) eingerichteten Pseudonymisierungsstelle unter Anwesenheit einer Vertreterin/eines Vertreters des datenschutzrechtlichen Verantwortlichen (Bundesministeriums für Gesundheit und Frauen) (Anm. 1) und unter der Aufsicht einer Bestätigungsstelle gemäß § 7 des Signatur- und Vertrauensdienstegesetzes (SVG), BGBl. I Nr. 50/2016, zu erfolgen. Der gesamte Vorgang ist zu protokollieren.

(4) Nach der erstmaligen Konfiguration gemäß Abs. 3 ist die Sicherungskopie der verwendeten kryptografischen Schlüssel an eine Bestätigungsstelle gemäß § 7 SVG zu übergeben und von dieser sicher und geheim zu verwahren. Die Sicherungskopie darf ausschließlich zu folgenden Zwecken und nur mit Zustimmung des für das Gesundheitswesen zuständigen Bundesministeriums verwendet werden:

1. für die Wiederherstellung der Konfiguration eines HSM im Störungsfall sowie

2. für Konfigurationen zusätzlicher erforderlicher HSM (Erweiterungsfall).

Diese Konfigurationen haben in den Räumlichkeiten der beim Dachverband eingerichteten Pseudonymisierungsstelle unter Anwesenheit einer Vertreterin/eines Vertreters des für das Gesundheitswesen zuständigen Bundesministeriums und unter der Aufsicht einer Bestätigungsstelle gemäß § 7 SVG zu erfolgen. Der gesamte Vorgang ist zu protokollieren.

(5) Die Mitarbeiterinnen und Mitarbeiter der Pseudonymisierungsstelle sind zur Verschwiegenheit über alle ihnen in Ausübung ihres Berufes anvertrauten oder bekannt gewordenen Tatsachen verpflichtet. Die Pflicht besteht auch nach Beendigung ihrer Tätigkeit. Insbesondere ist für die Einhaltung der Datenverarbeitungsgrundsätze gemäß Art. 5 der DSGVO zu sorgen.

(6) Die Mitarbeiterinnen und Mitarbeiter der Pseudonymisierungsstelle müssen über ihre nach den innerorganisatorischen Datenschutzvorschriften, einschließlich der Datensicherheitsvorschriften, bestehenden Pflichten belehrt werden. Über die Verschwiegenheitsverpflichtung sind die Mitarbeiterinnen und Mitarbeiter vor Aufnahme ihrer Tätigkeit nachweislich zu informieren.

(7) Die Einhaltung des Datenschutzes im Rahmen der Pseudonymisierung und der damit zusammenhängenden Prozesse muss durch einen/eine unabhängigen/unabhängige externen/externe Gutachter/Gutachterin bei regelmäßigen Audits geprüft und bestätigt werden. Für die Durchführung der Audits gilt Folgendes:

1. Ein erstes Audit ist im Zuge der erstmaligen Konfiguration des HSM und weitere Audits sind regelmäßig, zumindest aber alle zwei Jahre durchzuführen.

2. Die beim Dachverband eingerichtete Pseudonymisierungsstelle hat die Durchführung der Audits durch eigenes Personal zu unterstützen und dafür Sorge zu tragen, dass der/die externe Gutachter/Gutachterin Zugriff auf alle für die Durchführung der Audits notwendigen Informationen erhält.

3. Die Auswahl und die Beauftragung des/der externen Gutachters/Gutachterin erfolgen durch das für das Gesundheitswesen zuständige Bundesministerium.

4. Der/Die externe Gutachter/Gutachterin darf vom verwendeten kryptografischen Schlüssel keine Kenntnis erlangen.

(_________

Anm. 1: Z 11 der DokuG-Novelle 2025, BGBl. I Nr. 116/2025 lautet: „In der jeweils grammatikalisch richtigen Form wird in den folgenden Paragraphen die Bezeichnung „das Bundesministerium für Gesundheit und Frauen“ jeweils durch die Bezeichnung „das für das Gesundheitswesen zuständige Bundesministerium“ ersetzt: § 5a Abs. 2 bis 4 [...].“. Diese Anordnung konnte nicht eingearbeitet werden.)

§ 5a

DokuG

Rückverweise

DokuG

Rückverweise