Erster Abschnitt - Sozialgesetzbuch (SGB) Elftes Buch (XI) - Soziale Pflegeversicherung - (SGB XI)

Artikel 1 G.v. 26.05.1994 BGBl. I S. 1014, 1015; zuletzt geändert durch Artikel 35 G. v. 27.03.2024 BGBl. 2024 I Nr. 108
Geltung ab 01.06.1994; FNA: 860-11 Sozialgesetzbuch

Neuntes Kapitel Datenschutz, Statistik und Interoperabilität

Erster Abschnitt Informationsgrundlagen

Erster Titel Grundsätze der Datenverarbeitung

§ 93 Anzuwendende Vorschriften

Für den Schutz personenbezogener Daten bei der Verarbeitung in der Pflegeversicherung gelten § 35 des Ersten Buches, die §§ 67 bis 84 und § 85a des Zehnten Buches sowie die Vorschriften dieses Buches.

Text in der Fassung des Artikels 132 Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) G. v. 20. November 2019 BGBl. I S. 1626 m.W.v. 26. November 2019

§ 94 Personenbezogene Daten bei den Pflegekassen

(1) Die Pflegekassen dürfen personenbezogene Daten für Zwecke der Pflegeversicherung nur verarbeiten, soweit dies für:

1. die Feststellung des Versicherungsverhältnisses (§§ 20 bis 26) und der Mitgliedschaft (§ 49),

2. die Feststellung der Beitragspflicht und der Beiträge, deren Tragung und Zahlung (§§ 54 bis 61),

3. die Prüfung der Leistungspflicht und die Gewährung von Leistungen an Versicherte (§§ 4, 28 und 28a) sowie die Durchführung von Erstattungs- und Ersatzansprüchen,

4. die Beteiligung des Medizinischen Dienstes (§§ 18 bis 18c und 40),

5. die Abrechnung mit den Leistungserbringern und die Kostenerstattung (§§ 84 bis 91 und 105),

6. die Überwachung der Wirtschaftlichkeit, der Abrechnung und der Qualität der Leistungserbringung (§§ 79, 112, 113, 114, 114a, 115 und 117),

6a. den Abschluss und die Durchführung von Pflegesatzvereinbarungen (§§ 85, 86), Vergütungsvereinbarungen (§ 89) sowie Verträgen zur integrierten Versorgung (§ 92b),

7. die Aufklärung und Auskunft (§ 7),

8. die Koordinierung pflegerischer Hilfen (§ 12), die Pflegeberatung (§ 7a), das Ausstellen von Beratungsgutscheinen (§ 7b) sowie die Wahrnehmung der Aufgaben in den Pflegestützpunkten (§ 7c),

9. die Abrechnung mit anderen Leistungsträgern,

10. statistische Zwecke (§ 109),

10a. die Unterstützung der Versicherten bei der Durchsetzung des Herausgabeanspruchs nach § 109a Absatz 1 Satz 2 in Verbindung mit Absatz 4,

11. die Unterstützung der Versicherten bei der Verfolgung von Schadensersatzansprüchen (§ 115 Abs. 3 Satz 7),

12. Auswertungen nach § 25b des Fünften Buches

erforderlich ist.

(2) ¹Die nach Absatz 1 erhobenen und gespeicherten personenbezogenen Daten dürfen für andere Zwecke nur verarbeitet werden, soweit dies durch Rechtsvorschriften des Sozialgesetzbuches angeordnet oder erlaubt ist. ²Auf Ersuchen des Betreuungsgerichts hat die Pflegekasse diesem zu dem in § 282 Abs. 1 des Gesetzes über das Verfahren in Familiensachen und in den Angelegenheiten der freiwilligen Gerichtsbarkeit genannten Zweck das nach den §§ 18 bis 18c zur Feststellung der Pflegebedürftigkeit erstellte Gutachten einschließlich der Befunde des Medizinischen Dienstes zu übermitteln.

(3) Versicherungs- und Leistungsdaten der für Aufgaben der Pflegekasse eingesetzten Beschäftigten einschließlich der Daten ihrer mitversicherten Angehörigen dürfen Personen, die kasseninterne Personalentscheidungen treffen oder daran mitwirken können, weder zugänglich sein noch diesen Personen von Zugriffsberechtigten offenbart werden.

Text in der Fassung des Artikels 5 Gesetz zur verbesserten Nutzung von Gesundheitsdaten G. v. 22. März 2024 BGBl. 2024 I Nr. 102, 102a m.W.v. 26. März 2024

§ 95 Personenbezogene Daten bei den Verbänden der Pflegekassen

(1) Die Verbände der Pflegekassen dürfen personenbezogene Daten für Zwecke der Pflegeversicherung nur verarbeiten, soweit diese für:

1. die Überwachung der Wirtschaftlichkeit, der Abrechnung und der Qualitätssicherung der Leistungserbringung (§§ 79, 112, 113, 114, 114a, 115 und 117),

1a. die Information über die Erbringer von Leistungen der Prävention, Teilhabe sowie von Leistungen und Hilfen zur Pflege (§ 7),

2. den Abschluss und die Durchführung von Versorgungsverträgen (§§ 72 bis 74), Pflegesatzvereinbarungen (§§ 85, 86), Vergütungsvereinbarungen (§ 89) sowie Verträgen zur integrierten Versorgung (§ 92b),

3. die Wahrnehmung der ihnen nach §§ 52 und 53 zugewiesenen Aufgaben,

4. die Unterstützung der Versicherten bei der Verfolgung von Schadensersatzansprüchen (§ 115 Abs. 3 Satz 7)

erforderlich sind.

(2) § 94 Abs. 2 und 3 gilt entsprechend.

Text in der Fassung des Artikels 132 Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) G. v. 20. November 2019 BGBl. I S. 1626 m.W.v. 26. November 2019

§ 96 Gemeinsame Verarbeitung personenbezogener Daten

(1) ¹Die Pflegekassen und die Krankenkassen dürfen erhobene personenbezogene Daten, die zur Erfüllung gesetzlicher Aufgaben jeder Stelle erforderlich sind, gemeinsam verarbeiten. ²Insoweit findet § 76 des Zehnten Buches im Verhältnis zwischen der Pflegekasse und der Krankenkasse, bei der sie errichtet ist (§ 46), keine Anwendung.

(2) § 286 des Fünften Buches gilt für die Pflegekassen entsprechend.

(3) Die Absätze 1 und 2 gelten entsprechend für die Verbände der Pflege- und Krankenkassen.

Text in der Fassung des Artikels 132 Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) G. v. 20. November 2019 BGBl. I S. 1626 m.W.v. 26. November 2019

§ 97 Personenbezogene Daten beim Medizinischen Dienst

(1) ¹Der Medizinische Dienst darf personenbezogene Daten für Zwecke der Pflegeversicherung nur verarbeiten, soweit dies für die Prüfungen, Beratungen und gutachtlichen Stellungnahmen nach den §§ 18 bis 18c, 38a, 40, 112, 113, 114, 114a, 115 und 117 erforderlich ist. ²Nach Satz 1 erhobene Daten dürfen für andere Zwecke nur verarbeitet werden, soweit dies durch Rechtsvorschriften des Sozialgesetzbuches angeordnet oder erlaubt ist.

(2) Der Medizinische Dienst darf personenbezogene Daten, die er für die Aufgabenerfüllung nach dem Fünften oder Elften Buch verarbeitet, auch für die Aufgaben des jeweils anderen Buches verarbeiten, wenn ohne die vorhandenen Daten diese Aufgaben nicht ordnungsgemäß erfüllt werden können.

(3) ¹Die personenbezogenen Daten sind nach fünf Jahren zu löschen. ²§ 96 Abs. 2, § 98 und § 107 Abs. 1 Satz 2 und 3 und Abs. 2 gelten für den Medizinischen Dienst entsprechend. ³Der Medizinische Dienst hat Sozialdaten zur Identifikation des Versicherten getrennt von den medizinischen Sozialdaten des Versicherten zu speichern. ⁴Durch technische und organisatorische Maßnahmen ist sicherzustellen, dass die Sozialdaten nur den Personen zugänglich sind, die sie zur Erfüllung ihrer Aufgaben benötigen. ⁵Der Schlüssel für die Zusammenführung der Daten ist vom Beauftragten für den Datenschutz des Medizinischen Dienstes aufzubewahren und darf anderen Personen nicht zugänglich gemacht werden. ⁶Jede Zusammenführung ist zu protokollieren.

(4) Für das Akteneinsichtsrecht des Versicherten gilt § 25 des Zehnten Buches entsprechend.

Text in der Fassung des Artikels 1 Pflegeunterstützungs- und -entlastungsgesetz (PUEG) G. v. 19. Juni 2023 BGBl. 2023 I Nr. 155; zuletzt geändert durch Artikel 8w G. v. 12.12.2023 BGBl. 2023 I Nr. 359 m.W.v. 1. Oktober 2023

§ 97a Qualitätssicherung durch Sachverständige

(1) ¹Von den Landesverbänden der Pflegekassen bestellte sonstige Sachverständige (§ 114 Abs. 1 Satz 1) sind berechtigt, für Zwecke der Qualitätssicherung und -prüfung Daten nach den §§ 112, 113, 114, 114a, 115 und 117 zu verarbeiten; sie dürfen die Daten an die Pflegekassen und deren Verbände sowie an die in den §§ 112, 114, 114a, 115 und 117 genannten Stellen übermitteln, soweit dies zur Erfüllung der gesetzlichen Aufgaben auf dem Gebiet der Qualitätssicherung und Qualitätsprüfung dieser Stellen erforderlich ist. ²Die Daten sind vertraulich zu behandeln.

(2) § 107 gilt entsprechend.

Text in der Fassung des Artikels 132 Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) G. v. 20. November 2019 BGBl. I S. 1626 m.W.v. 26. November 2019

§ 97b Personenbezogene Daten bei den nach heimrechtlichen Vorschriften zuständigen Aufsichtsbehörden und den Trägern der Sozialhilfe

Die nach heimrechtlichen Vorschriften zuständigen Aufsichtsbehörden und die zuständigen Träger der Sozialhilfe sind berechtigt, die für Zwecke der Pflegeversicherung nach den §§ 112, 113, 114, 114a, 115 und 117 erhobenen personenbezogenen Daten zu verarbeiten, soweit dies zur Erfüllung ihrer gesetzlichen Aufgaben erforderlich ist; § 107 findet entsprechende Anwendung.

Text in der Fassung des Artikels 132 Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) G. v. 20. November 2019 BGBl. I S. 1626 m.W.v. 26. November 2019

§ 97c Qualitätssicherung durch den Prüfdienst des Verbandes der privaten Krankenversicherung e. V.

¹Bei Wahrnehmung der Aufgaben auf dem Gebiet der Qualitätssicherung und Qualitätsprüfung im Sinne dieses Buches durch den Prüfdienst des Verbandes der privaten Krankenversicherung e. V. gilt der Prüfdienst als Stelle im Sinne des § 35 Absatz 1 Satz 1 des Ersten Buches. ²Die §§ 97 und 97a gelten entsprechend.

Text in der Fassung des Artikels 6 Gesetz zur Änderung des Infektionsschutzgesetzes und weiterer Gesetze G. v. 28. Juli 2011 BGBl. I S. 1622; zuletzt geändert durch Artikel 7 G. v. 10.12.2015 BGBl. I S. 2229 m.W.v. 4. August 2011

§ 97d Begutachtung durch unabhängige Gutachter

(1) ¹Von den Pflegekassen gemäß § 18 Absatz 1 Satz 1 beauftragte unabhängige Gutachter sind berechtigt, personenbezogene Daten des Antragstellers zu verarbeiten, soweit dies für die Zwecke der Begutachtung gemäß der §§ 18 bis 18c erforderlich ist. ²Die Daten sind vertraulich zu behandeln. ³Durch technische und organisatorische Maßnahmen ist sicherzustellen, dass die Daten nur den Personen zugänglich sind, die sie zur Erfüllung des dem Gutachter von den Pflegekassen nach § 18 Absatz 1 Satz 1 erteilten Auftrags benötigen.

(2) ¹Die unabhängigen Gutachter dürfen das Ergebnis der Prüfung zur Feststellung der Pflegebedürftigkeit sowie die Präventions- und Rehabilitationsempfehlung gemäß den §§ 18 bis 18c an die sie beauftragende Pflegekasse übermitteln, soweit dies zur Erfüllung der gesetzlichen Aufgaben der Pflegekasse erforderlich ist; § 35 des Ersten Buches gilt entsprechend. ²Dabei ist sicherzustellen, dass das Ergebnis der Prüfung zur Feststellung der Pflegebedürftigkeit sowie die Präventions- und Rehabilitationsempfehlung nur den Personen zugänglich gemacht werden, die sie zur Erfüllung ihrer Aufgaben benötigen.

(3) ¹Die personenbezogenen Daten sind nach fünf Jahren zu löschen. ²§ 107 Absatz 1 Satz 2 gilt entsprechend.

Text in der Fassung des Artikels 1 Pflegeunterstützungs- und -entlastungsgesetz (PUEG) G. v. 19. Juni 2023 BGBl. 2023 I Nr. 155; zuletzt geändert durch Artikel 8w G. v. 12.12.2023 BGBl. 2023 I Nr. 359 m.W.v. 1. Oktober 2023

§ 98 Forschungsvorhaben

(1) Die Pflegekassen dürfen mit der Erlaubnis der Aufsichtsbehörde die Datenbestände leistungserbringer- und fallbeziehbar für zeitlich befristete und im Umfang begrenzte Forschungsvorhaben selbst auswerten und zur Durchführung eines Forschungsvorhabens über die sich aus § 107 ergebenden Fristen hinaus aufbewahren.

(2) Personenbezogene Daten sind zu anonymisieren.

Zweiter Titel Informationsgrundlagen der Pflegekassen

§ 99 Versichertenverzeichnis

¹Die Pflegekasse hat ein Versichertenverzeichnis zu führen. ²Sie hat in das Versichertenverzeichnis alle Angaben einzutragen, die zur Feststellung der Versicherungspflicht oder -berechtigung und des Anspruchs auf Familienversicherung, zur Bemessung und Einziehung der Beiträge sowie zur Feststellung des Leistungsanspruchs erforderlich sind.

§ 100 Nachweispflicht bei Familienversicherung

Die Pflegekasse kann die für den Nachweis einer Familienversicherung (§ 25) erforderlichen Daten vom Angehörigen oder mit dessen Zustimmung vom Mitglied erheben.

§ 101 Pflegeversichertennummer

¹Die Pflegekasse verwendet für jeden Versicherten eine Versichertennummer, die mit der Krankenversichertennummer ganz oder teilweise übereinstimmen darf. ²Bei der Vergabe der Nummer für Versicherte nach § 25 ist sicherzustellen, daß der Bezug zu dem Angehörigen, der Mitglied ist, hergestellt werden kann.

§ 102 Angaben über Leistungsvoraussetzungen

¹Die Pflegekasse hat Angaben über Leistungen, die zur Prüfung der Voraussetzungen späterer Leistungsgewährung erforderlich sind, zu speichern. ²Hierzu gehören insbesondere Angaben zur Feststellung der Voraussetzungen von Leistungsansprüchen und zur Leistung von Zuschüssen.

Text in der Fassung des Artikels 132 Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) G. v. 20. November 2019 BGBl. I S. 1626 m.W.v. 26. November 2019

§ 103 Kennzeichen für Leistungsträger und Leistungserbringer

(1) Die Pflegekassen, die anderen Träger der Sozialversicherung und die Vertragspartner der Pflegekassen einschließlich deren Mitglieder verwenden im Schriftverkehr und für Abrechnungszwecke untereinander bundeseinheitliche Kennzeichen.

(2) § 293 Abs. 2 und 3 des Fünften Buches gilt entsprechend.

§ 103a IT-Sicherheit der Pflegekassen

(1) Pflegekassen sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der jeweiligen Pflegekasse und die Sicherheit der verarbeiteten Versicherteninformationen maßgeblich sind.

(2) Organisatorische und technische Vorkehrungen nach Absatz 1 sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der Arbeitsprozesse der Pflegekasse oder der Sicherheit der verarbeiteten Versicherteninformationen steht.

(3) Die Pflegekassen erfüllen die Verpflichtungen nach Absatz 1, insbesondere indem sie einen branchenspezifischen Sicherheitsstandard für die informationstechnische Sicherheit der Pflegekassen in der jeweils gültigen Fassung anwenden, dessen Eignung vom Bundesamt für Sicherheit in der Informationstechnik nach § 8a Absatz 2 des BSI-Gesetzes festgestellt wurde.

(4) ¹Die Pflegekassen sind verpflichtet, repräsentiert durch ihre Verbände und den Spitzenverband der Pflegekassen, in einem gemeinsam bestehenden oder zu schaffenden Branchenarbeitskreis an der Entwicklung des branchenspezifischen Sicherheitsstandards für die informationstechnische Sicherheit der Pflegekassen im Sinne des Absatzes 3 mitzuwirken. ²Die Pflegekassen, repräsentiert durch ihre Verbände und den Spitzenverband der Pflegekassen, haben darauf hinzuwirken, dass der branchenspezifische Sicherheitsstandard auch Vorgaben enthält zu

1. geeigneten Maßnahmen zur Erhöhung der Cybersecurity-Awareness,

2. dem Einsatz von Systemen zur Angriffserkennung, die geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten, wobei diese dazu in der Lage sein sollten, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen (Maßnahmen zur Aufrechterhaltung der Betriebskontinuität),

3. an IT-Dienstleister zu stellende Sicherheitsanforderungen gemäß Absatz 6, sofern diese Leistungen für die Pflegekassen zur Wahrnehmung ihrer gesetzlichen Aufgaben erbringen.

(5) Die Verpflichtung nach Absatz 1 gilt für alle Pflegekassen, soweit sie nicht ohnehin als Betreiber Kritischer Infrastrukturen gemäß § 8a des BSI-Gesetzes angemessene organisatorische und technische Vorkehrungen zu treffen haben.

(6) Sofern eine Pflegekasse im Rahmen ihrer Aufgabenerfüllung IT-Dienstleistungen eines Dritten in Anspruch nimmt und eine Störung der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse des Dritten zu einer Beeinträchtigung der Funktionsfähigkeit der jeweiligen Pflegekasse oder der Sicherheit der verarbeiteten Versicherteninformationen führen kann, so muss die Pflegekasse durch geeignete vertragliche Vereinbarungen sicherstellen, dass die Einhaltung des branchenspezifischen Sicherheitsstandards im Sinne des Absatzes 3 durch den Dritten gewährleistet wird.

(7) ¹Der Spitzenverband der Pflegekassen legt bis einschließlich 30. Juni 2024 den branchenspezifischen Sicherheitsstandard im Sinne des Absatzes 3 in der jeweils aktuellen Fassung als Richtlinie zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse der Pflegekassen für diese verbindlich fest. ²Die Richtlinie ist jährlich an die jeweils aktuelle Fassung des branchenspezifischen Sicherheitsstandards anzupassen.

(8) ¹Der Spitzenverband der Pflegekassen berichtet dem Bundesministerium für Gesundheit und den anderen zuständigen Aufsichtsbehörden der Pflegekassen erstmals bis zum 31. Dezember 2024 und danach jährlich über den aktuellen Stand der Umsetzung der Vorgaben der Richtlinie im Sinne des Absatzes 7. ²Dabei ist für jede Pflegekasse gesondert darzustellen, ob die Vorgaben der Richtlinie im Sinne des Absatzes 7 umgesetzt und welche Maßnahmen hierzu im Einzelnen ergriffen wurden.

Text in der Fassung des Artikels 5 Digital-Gesetz (DigiG) G. v. 22. März 2024 BGBl. 2024 I Nr. 101, 101a m.W.v. 26. März 2024