§ 11 Plattform zur gemeinsamen Sekundärnutzung von Daten aus dem Gesundheitsbereich — G-ZG

(1) Die folgenden Verantwortlichen haben als gemeinsam Verantwortliche (Art. 26 DSGVO) eine Plattform entsprechend den folgenden Bestimmungen einzurichten und zu betreiben:

1. Bund,

2. Länder und Landesgesundheitsfonds sowie

3. Dachverband der Sozialversicherungsträger und die ihm angehörenden Sozialversicherungsträger.

(2) Zweck der Plattform ist eine gemeinsame Sekundärnutzung von Primärdaten (§ 3 Z 9) durch die Verantwortlichen gemäß Abs. 1

1. zur Steuerung von Struktur, Organisation, Qualität und Finanzierung der österreichischen Gesundheitsversorgung durch

a) langfristige Beobachtung von gesundheitspolitisch relevanten epidemiologischen Entwicklungen (Erkrankungen, Morbidität und Mortalität) und von krankheitsfallbezogenen Versorgungsabläufen zur Steigerung der Prozess- und Ergebnisqualität,

b) Durchführung einer am Patientenbedarf ausgerichteten integrierten Gesundheitsstrukturplanung, die alle Ebenen und Teilbereiche der Gesundheitsversorgung und angrenzender Bereiche umfasst,

c) Weiterentwicklung von Finanzierungs- und Verrechnungsmechanismen insbesondere für sektorenübergreifende Leistungsverschiebungen,

2. für die Evaluierung von gesundheitspolitischen und Public Health Aktivitäten,

3. für die Arbeiten zum Aufbau, zur Weiterentwicklung, Sicherung und Evaluierung eines flächendeckenden, sektorenübergreifenden österreichischen Qualitätssystems insbesondere im Bereich der Ergebnisqualität, insbesondere zur Umsetzung von § 7 Abs. 2,

4. für die Implementierung, Durchführung und Beobachtung (Monitoring) der partnerschaftlichen Zielsteuerung-Gesundheit sowie

5. für das Management von außergewöhnlichen Ereignissen wie beispielsweise Pandemien und Epidemien.

(3) Die Verantwortlichen gemäß Abs. 1 haben das Recht, von der Plattform Auswertungen zu Zwecken des Abs. 2 auf Basis der bei den Verantwortlichen gemäß Abs. 1 sowie der Bundesanstalt „Statistik Österreich“ verarbeiteten Primärdaten (§ 3 Z 9) zu verlangen. Die Verantwortlichen gemäß Abs. 1 und die Bundesanstalt „Statistik Österreich“ haben die erforderlichen Primärdaten samt Metadaten und Dokumentation den Verantwortlichen gemäß Abs. 1 zur wechselseitigen Nutzung bereitzustellen. In anderen Bundesgesetzen enthaltene Beschränkungen der Verarbeitung von Primärdaten können dieser Bereitstellung nicht entgegengehalten werden.

(4) Die von der Plattform umzusetzenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO haben jedenfalls zu umfassen:

1. eine Verschwiegenheitspflicht für alle an der Verarbeitung beteiligten Personen;

2. die Sicherstellung, dass personenbezogene Daten ausschließlich in pseudonymisierter Form unter Verwendung bereichsspezifischer Personenkennzeichen gemäß (§ 8 E GovG) bzw. abgeleiteter Objektidentifikatoren (OID) gemäß § 10 Abs. 1 Z 6 des Gesundheitstelematikgesetzes 2012 (GTelG 2012) verarbeitet werden;

3. die Sicherstellung, dass Auswertungen nur in anonymisierter Form, Primärdaten nur in pseudonymisierter Form sowie nur den Verantwortlichen gemäß Abs. 1 und ausschließlich zur Erreichung der in Abs. 2 angeführten Zwecke bereitgestellt werden;

4. die Sicherstellung, dass die von der Plattform verarbeiteten Primärdaten nach Erstellung der Auswertung gelöscht werden;

5. eine Protokollierung der einzelnen Verarbeitungsschritte.

(5) Bei der/dem für das Gesundheitswesen zuständigen Bundesministerin/Bundesminister ist ein Gremium zur Weiterentwicklung der gemeinsamen Nutzung von Primärdaten aus dem Gesundheitsbereich und Erörterung von wechselseitigen Nutzungen, die aufgrund einer gesetzlichen Verpflichtung in Übereinstimmung mit Art. 6 oder 9 DSGVO vorgesehen sind, einzurichten. Das Gremium besteht ausschließlich aus Vertreterinnen und Vertretern der Verantwortlichen gemäß Abs. 1. Die Bundes-Zielsteuerungskommission hat eine Geschäftsordnung für das Gremium zu beschließen.

(6) Die Aufgaben des Gremiums gemäß Abs. 5 sind

1. die Erstellung von Richtlinien und Standards für den Austausch, die Qualität, die Interoperabilität und den Schutz der Primärdaten,

2. die Ermittlung der technischen Voraussetzungen und Standards, die benötigt werden, um die IT Systeme der Zielsteuerungspartner koordiniert ansprechen und nutzen zu können,

3. die Ermittlung der vorhandenen Verarbeitungstätigkeiten, insbesondere auf Basis der bei den Zielsteuerungspartnern vorhandenen Verzeichnisse gemäß Art. 30 DSGVO,

4. die Erörterung von wechselseitigen Nutzungen, die aufgrund einer gesetzlichen Verpflichtung in Übereinstimmung mit Art. 6 oder 9 DSGVO vorgesehen sind und Diskussion über verpflichtend vorzulegende Berichte (Initialbericht und Zwischen- bzw. Endbericht) über Datenverarbeitungsvorhaben von einem oder mehreren Verantwortlichen,

5. die Genehmigung von wechselseitigen Nutzungen, die nicht aufgrund einer gesetzlichen Verpflichtung in Übereinstimmung mit Art. 6 oder 9 DSGVO vorgesehen sind,

6. die Beschlussfassung und Koordinierung in Angelegenheiten der gemeinsamen Verarbeitung gemäß Art. 26 DSGVO,

7. Erarbeitung von Beschlussvorlagen für die Bundes-Zielsteuerungskommission bzgl. eines Jahresarbeitsprogramms und eines allfälligen Budgetierungsbedarfs/Aufteilungsschlüssel der gemeinsamen Projekte,

8. die Durchführung eines Qualitätsmanagements, um sicherstellen zu können, dass der Austausch, die Qualität, die Interoperabilität und der Schutz der Primärdaten dem Stand der Technik sowie den jeweils aktuellen rechtlichen Anforderungen entspricht,

9. das Knowledge-Management, um den Austausch von Fachwissen und Best Practices zwischen Bund, Ländern und Sozialversicherung zu fördern, sowie

10. die Ausarbeitung von Vorschlägen an Bund, Länder und Sozialversicherung zur Weiterentwicklung der gemeinsamen Sekundärnutzung.

(7) Die/Der für das Gesundheitswesen zuständige Bundesministerin/Bundesminister kann durch Verordnung

1. welche Primärdaten und in welcher Gliederung gemäß Abs. 6 auf Grundlage der vom Gremium veröffentlichten Standards bereitzustellen sind,

2. ab welchem Zeitpunkt die Primärdaten nach Z 1 bereitzustellen sind,

3. über Abs. 4 hinausgehende Anforderungen an die Informationssicherheit und die Interoperabilität der sicheren Verarbeitungsumgebungen sowie

4. nähere Vorgaben zur zeitlichen und inhaltlichen Verfügbarkeit der Bereitstellungen gemäß Abs. 3

erlassen.

(8) Das Gremium gemäß Abs. 5 ist vorab über Nutzungen aufgrund einer gesetzlichen Verpflichtung in Übereinstimmung mit Art. 6 oder 9 DSGVO (Abs. 6 Z 4) zu informieren und Berichte (Initialbericht und Zwischen- bzw. Endbericht) über die entsprechenden Vorhaben sind dem Gremium vorzulegen. Ein Widerspruch durch das Gremium oder einzelne Mitglieder können die Nutzung nicht beeinträchtigen. Ein solcher Widerspruch gilt als Nachweis für den ablehnenden Verantwortlichen gemäß Abs. 1, dass sie für den Umstand, durch den allfällige Schäden eingetreten sind, nicht verantwortlich sind (Art. 82 Abs. 3 DSGVO).

(9) Ende 2028 hat die Plattform technisch umgesetzt zu sein (Projektstart 2024).