Erster Abschnitt - Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (SGB V)

Artikel 1 G. v. 20.12.1988 BGBl. I S. 2477, 2482; zuletzt geändert durch Artikel 35 G. v. 27.03.2024 BGBl. 2024 I Nr. 108
Geltung ab 01.01.1989; FNA: 860-5 Sozialgesetzbuch

Elftes Kapitel Telematikinfrastruktur

Erster Abschnitt Anforderungen an die Telematikinfrastruktur

§ 306 Telematikinfrastruktur

(1) ¹Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, der Spitzenverband Bund der Krankenkassen, die Kassenärztliche Bundesvereinigung, die Kassenzahnärztliche Bundesvereinigung, die Bundesärztekammer, die Bundeszahnärztekammer, die Deutsche Krankenhausgesellschaft sowie die für die Wahrnehmung der wirtschaftlichen Interessen gebildete maßgebliche Spitzenorganisation der Apotheker auf Bundesebene schaffen die Telematikinfrastruktur. ²Die Telematikinfrastruktur ist die interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient und insbesondere

1. erforderlich ist für die Nutzung der elektronischen Gesundheitskarte und der Anwendungen der Telematikinfrastruktur,

2. geeignet ist

a) für die Nutzung weiterer Dienste und Anwendungen der Telematikinfrastruktur ohne Nutzung der elektronischen Gesundheitskarte nach § 327 und

b) für die Verwendung für Zwecke der Gesundheits- und pflegerischen Forschung.

³Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in Satz 1 genannten Spitzenorganisationen nehmen die Aufgabe nach Satz 1 nach Maßgabe des § 310 durch eine Gesellschaft für Telematik wahr.

(2) Die Telematikinfrastruktur umfasst

1. eine dezentrale Infrastruktur bestehend aus Komponenten zur Authentifizierung, zur elektronischen Signatur, zur Verschlüsselung sowie Entschlüsselung und zur sicheren Verarbeitung von Daten in der zentralen Infrastruktur,

2. eine zentrale Infrastruktur bestehend aus

a) sicheren Zugangsdiensten als Schnittstelle zur dezentralen Infrastruktur und

b) einem gesicherten Netz einschließlich der für den Betrieb notwendigen Dienste sowie

3. eine Anwendungsinfrastruktur bestehend aus Diensten für die Anwendungen nach diesem Kapitel.

(3) Für die Verarbeitung der zu den besonderen Kategorien im Sinne von Artikel 9 der Verordnung (EU) 2016/679 gehörenden personenbezogenen Daten in der Telematikinfrastruktur gilt ein dem besonderen Schutzbedarf entsprechendes hohes Schutzniveau, dem durch entsprechende technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung (EU) 2016/679 Rechnung zu tragen ist.

(4) ¹Anwendungen im Sinne von Absatz 2 Nummer 3 sind nutzerbezogene Funktionalitäten auf der Basis von nach § 325 zugelassenen Diensten und Komponenten zur Verarbeitung von Gesundheitsdaten in der Telematikinfrastruktur. ²Dienste im Sinne von Satz 1 sind zentral bereitgestellte und in der Telematikinfrastruktur betriebene technische Systeme, die einzelne Funktionalitäten der Telematikinfrastruktur umsetzen. ³Komponenten sind dezentrale technische Systeme oder deren Bestandteile.

Text in der Fassung des Artikels 1 Digital-Gesetz (DigiG) G. v. 22. März 2024 BGBl. 2024 I Nr. 101, 101a m.W.v. 26. März 2024

§ 307 Datenschutzrechtliche Verantwortlichkeiten

(1) ¹Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1 liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und elektronischen Signatur sowie zur Verschlüsselung, Entschlüsselung und sicheren Verarbeitung von Daten in der zentralen Infrastruktur nutzen, soweit sie über die Mittel der Datenverarbeitung mitentscheiden. ²Die Verantwortlichkeit nach Satz 1 erstreckt sich insbesondere auf die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten. ³Für die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1 durch Verantwortliche nach Satz 1 erfolgt in der Anlage 2 zu diesem Gesetz eine Datenschutz-Folgenabschätzung nach Artikel 35 Absatz 10 der Verordnung (EU) 2016/679. ⁴Soweit eine Datenschutz-Folgenabschätzung nach Satz 3 erfolgt, gilt für die Verantwortlichen nach Satz 1 Artikel 35 Absatz 1 bis 7 der Verordnung (EU) 2016/679 sowie § 38 Absatz 1 Satz 2 des Bundesdatenschutzgesetzes nicht.

(2) ¹Der Betrieb der durch die Gesellschaft für Telematik spezifizierten und zugelassenen Zugangsdienste nach § 306 Absatz 2 Nummer 2 Buchstabe a liegt in der Verantwortung des jeweiligen Anbieters des Zugangsdienstes. ²Der Anbieter eines Zugangsdienstes darf personenbezogene Daten der Versicherten ausschließlich für Zwecke des Aufbaus und des Betriebs seines Zugangsdienstes verarbeiten. ³§ 3 des Telekommunikation-Telemedien-Datenschutz-Gesetzes ist entsprechend anzuwenden.

(3) ¹Die Gesellschaft für Telematik erteilt einen Auftrag nach § 323 Absatz 2 Satz 1 zum alleinverantwortlichen Betrieb des gesicherten Netzes nach § 306 Absatz 2 Nummer 2 Buchstabe b, einschließlich der für den Betrieb notwendigen Dienste. ²Der Anbieter des gesicherten Netzes ist innerhalb des gesicherten Netzes verantwortlich für die Übertragung von personenbezogenen Daten, insbesondere von Gesundheitsdaten der Versicherten, zwischen Leistungserbringern, Kostenträgern sowie Versicherten und für die Übertragung im Rahmen der Anwendungen der elektronischen Gesundheitskarte. ³Der Anbieter des gesicherten Netzes darf die Daten ausschließlich zum Zweck der Datenübertragung verarbeiten. ⁴§ 3 des Telekommunikation-Telemedien-Datenschutz-Gesetzes ist entsprechend anzuwenden.

(4) ¹Der Betrieb der Dienste der Anwendungsinfrastruktur nach § 306 Absatz 2 Nummer 3 erfolgt durch den jeweiligen Anbieter. ²Die Anbieter sind für die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten der Versicherten, zum Zweck der Nutzung des jeweiligen Dienstes der Anwendungsinfrastruktur verantwortlich.

(5) ¹Die Gesellschaft für Telematik ist Verantwortliche für die Verarbeitung personenbezogener Daten in der Telematikinfrastruktur, soweit sie im Rahmen ihrer Aufgaben nach § 311 Absatz 1 die Mittel der Datenverarbeitung bestimmt und insoweit keine Verantwortlichkeit nach den vorstehenden Absätzen begründet ist. ²Die Gesellschaft für Telematik richtet für die Betroffenen eine koordinierende Stelle ein. ³Die koordinierende Stelle erteilt den Betroffenen allgemeine Informationen zur Telematikinfrastruktur sowie Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur, insbesondere zur datenschutzrechtlichen Verantwortlichkeit nach dieser Vorschrift.

Text in der Fassung des Artikels 1 Krankenhaustransparenzgesetz G. v. 22. März 2024 BGBl. 2024 I Nr. 105 m.W.v. 28. März 2024

§ 308 Vorrang von technischen Schutzmaßnahmen

(1) ¹Die Rechte der betroffenen Person nach den Artikeln 12 bis 22 der Verordnung (EU) 2016/679 sind gegenüber den Verantwortlichen nach § 307 ausgeschlossen, soweit diese Rechte von dem Verantwortlichen nach § 307 und dessen Auftragsverarbeiter nicht oder nur unter Umgehung von Schutzmechanismen wie insbesondere der Verschlüsselung oder der Anonymisierung gewährleistet werden können. ²Ist es einem Verantwortlichen nach § 307 nur unter Umgehung von Schutzmechanismen wie insbesondere der Verschlüsselung oder der Anonymisierung, die eine Kenntnisnahme oder Identifizierung ausschließen, möglich, Rechte der betroffenen Person zu befriedigen, so ist der Verantwortliche nicht verpflichtet, zur bloßen Einhaltung datenschutzrechtlicher Betroffenenrechte zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten oder Sicherheitsvorkehrungen aufzuheben.

(2) Absatz 1 gilt nicht, wenn die Datenverarbeitung unrechtmäßig ist oder berechtigte Zweifel an der behaupteten Unmöglichkeit nach Absatz 1 bestehen.

Text in der Fassung des Artikels 1 Patientendaten-Schutz-Gesetz (PDSG) G. v. 14. Oktober 2020 BGBl. I S. 2115 m.W.v. 20. Oktober 2020

§ 309 Protokollierung

(1) Die Verantwortlichen nach § 307 haben durch geeignete technische Maßnahmen sicherzustellen, dass für Zwecke der Datenschutzkontrolle bei Anwendungen nach den §§ 327 und 334 Absatz 1 nachträglich für den Zeitraum der regelmäßigen dreijährigen Verjährungsfrist nach § 195 des Bürgerlichen Gesetzbuchs die Zugriffe und die versuchten Zugriffe auf personenbezogene Daten der Versicherten in diesen Anwendungen überprüft werden können und festgestellt werden kann, ob, von wem und welche Daten des Versicherten in dieser Anwendung verarbeitet worden sind.

(2) Eine Verwendung der Protokolldaten nach Absatz 1 für andere als die dort genannten Zwecke ist unzulässig.

(3) Die Protokolldaten sind nach Ablauf der in Absatz 1 genannten Frist unverzüglich zu löschen.

(4) Die Verantwortlichen nach § 307 haben durch geeignete technische Maßnahmen in den Anwendungen nach den §§ 327 und 334 Absatz 1 sicherzustellen, dass ab dem 1. Januar 2030 die Zugriffe und die versuchten Zugriffe auf personenbezogene Daten der Versicherten personenbeziehbar protokolliert werden.

Text in der Fassung des Artikels 1 Digital-Gesetz (DigiG) G. v. 22. März 2024 BGBl. 2024 I Nr. 101, 101a m.W.v. 26. März 2024