(4) Die Träger von Krankenanstalten und in Betracht kommende Angehörige gesetzlich geregelter Gesundheitsberufe sind ermächtigt, die für Zwecke der Registerführung benötigten Daten der Gesundheit Österreich GmbH personenbezogen auch online zu übermitteln. Die Erteilung von Zugriffsberechtigungen für Übermittlungen und Datenverarbeitungen an die Träger der Krankenanstalten und an in Betracht kommende Angehörige von gesetzlich geregelten Gesundheitsberufen ist durch die Gesundheit Österreich GmbH nachvollziehbar zu dokumentieren.

(5) Personenbezogene Daten sind unverzüglich zu verschlüsseln. Bei der Datenverarbeitung gemäß Abs. 1 und 2 ist zur Patientenidentifikation nur die Verwendung des bereichsspezifischen Personenkennzeichens GH und AS (§ 10 Abs. 2 E Government-Gesetz, BGBl. I Nr. 10/2004) zulässig. Das bereichsspezifische Personenkennzeichen AS darf nur in verschlüsselter Form verwendet und gespeichert werden. Der Personenbezug ist unverzüglich nach Umrechnung unumkehrbar zu löschen.

(6) Die zum Zweck der Pseudonymisierung gemäß Art.4 Z 5 DSGVO getrennt aufbewahrten und besonders gesicherten zusätzlichen Daten sind zu löschen, sobald sie für die Zwecke nach Abs. 1 nicht mehr erforderlich sind. Die Gesundheit Österreich GmbH ist berechtigt, bei der Bundesanstalt Statistik Österreich Informationen zum Todeszeitpunkt und zur Todesursache von Personen anzufordern, deren Daten in einem Register verarbeitet sind.

(7) Die Vertraulichkeit der Datenübermittlung ist durch dem Stand der Technik entsprechende verschlüsselte Übermittlungsverfahren zu gewährleisten.

(8) Der Geschäftsführer der Gesundheit Österreich GmbH hat sicherzustellen, dass die eindeutige Identität und Rolle der Zugriffsberechtigten bei jedem Zugriff dem Stand der Technik entsprechend nachgewiesen und protokolliert werden. Er muss sicherstellen, dass geeignete, dem jeweiligen Stand der Technik entsprechende Vorkehrungen getroffen werden, um eine Vernichtung oder Veränderung der Daten durch Programmstörungen (Viren) zu verhindern, und um eine Vernichtung, Veränderung oder Abfrage der Daten des Registers durch unberechtigte Benutzer oder Systeme zu verhindern. Weiters muss er sicherstellen, dass alle durchgeführten Verarbeitungsvorgänge nachvollziehbar sind. Er hat ein Datensicherheitskonzept zu erstellen, das für die Mitarbeiter der Gesundheit Österreich GmbH verbindlich ist.

(9) Jeder Zugriff auf die in den Registern verarbeiteten oder zu verarbeitenden Daten durch die Gesundheit Österreich GmbH darf nur für Zwecke des Abs. 1 erfolgen.

(10) Die an den Registern teilnehmenden Krankenanstalten und Angehörige von in Betracht kommenden gesetzlich geregelten Gesundheitsberufen sowie die Länder dürfen auf Daten in den Registern für wissenschaftliche Zwecke in anonymisierter Form zugreifen.

(11) Der Geschäftsführer der Gesundheit Österreich GmbH ist verpflichtet, die Zugriffsberechtigung für die einzelnen Benutzer der Gesundheit Österreich GmbH individuell zuzuweisen. Die Zugriffsberechtigten sind über das Datensicherheitskonzept zu belehren. Diesen Zugriffsberechtigten ist ihre Zugriffsberechtigung zu entziehen, wenn sie diese zur weiteren Erfüllung der ihnen übertragenen Aufgaben nicht mehr benötigen oder sie die Daten nicht entsprechend ihrer Zweckbestimmung verarbeiten.

(Anm.: Abs. 12 und 13 aufgehoben durch Art. 64 Z 10, BGBl. I Nr. 37/2018)