CELEX: 
Language: de
Date: 2019-07-26 00:00:00
Title: DURCHFÜHRUNGSBESCHLUSS (EU) …/… DER KOMMISSION zur Änderung des Durchführungsbeschlusses 2014/287/EU der Kommission zur Festlegung von Kriterien für die Einrichtung europäischer Referenznetzwerke, für die Evaluierung dieser Netzwerke und ihrer Mitglieder und zur Erleichterung des Austauschs von Informationen und Fachwissen in Bezug auf die Einrichtung und Evaluierung solcher Netzwerke

DURCHFÜHRUNGSBESCHLUSS (EU) …/… DER KOMMISSION
            
            
               vom 26.7.2019
            
            
               zur Änderung des Durchführungsbeschlusses 2014/287/EU der Kommission zur Festlegung von Kriterien für die Einrichtung europäischer Referenznetzwerke, für die Evaluierung dieser Netzwerke und ihrer Mitglieder und zur Erleichterung des Austauschs von Informationen und Fachwissen in Bezug auf die Einrichtung und Evaluierung solcher Netzwerke
            
            
               (Text von Bedeutung für den EWR)
            
            
               DIE EUROPÄISCHE KOMMISSION —
            
            
               gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
            
            
               gestützt auf die Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates vom 9. März 2011 über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung
                  1
               , insbesondere auf Artikel 12 Absatz 4 Buchstaben b und c,
            
            
               in Erwägung nachstehender Gründe:
            
            
               (1)Im Durchführungsbeschluss 2014/287/EU der Kommission
                  2
                sind Kriterien für die Einrichtung europäischer Referenznetzwerke, für die Evaluierung dieser Netzwerke und ihrer Mitglieder und zur Erleichterung des Austauschs von Informationen und Fachwissen in Bezug auf die Einrichtung und Evaluierung solcher Netzwerke festgelegt. Gemäß Artikel 6 des genannten Beschlusses sind die Mitgliedstaaten aufgefordert, ein Gremium der Mitgliedstaaten einzurichten, das über die Genehmigung von Vorschlägen für Netzwerke und deren Mitgliedschaft und über die Auflösung von Netzwerken entscheidet. Die Mitgliedstaaten haben das Gremium der Mitgliedstaaten eingerichtet; dieses hat im Dezember 2016 23 europäische Referenznetzwerke (im Folgenden „ERN“) und im Februar 2017 ein weiteres genehmigt. Alle Netzwerke haben 2017 die Arbeit aufgenommen.
            
            
               (2)Um die Effizienz der europäischen Referenznetzwerke zu steigern, sollte das Gremium der Mitgliedstaaten zum Forum für den Austausch von Informationen und Fachwissen werden, um die Entwicklung der ERN zu steuern, den Netzwerken und den Mitgliedstaaten Leitlinien an die Hand zu geben und die Kommission in Fragen zu beraten, die mit der Einrichtung der Netzwerke zusammenhängen. Zur Förderung des Erfahrungsaustauschs und zur Erleichterung eines Prozesses, der mit dem anderweitigen grenzüberschreitenden Austausch von Gesundheitsdaten im Einklang steht, sollte das Gremium eine enge Zusammenarbeit mit dem eHealth-Netz vorsehen, um nach Möglichkeit gemeinsame Konzepte, Datenstrukturen und Leitlinien zu entwickeln, die einen transparenten Zugang zu verschiedenen Diensten erleichtern und die für die Gesundheitsdienstleister geltenden Regeln straffen. Das Gremium sollte auch die Diskussion mit anderen einschlägigen Foren der EU (z. B. mit der Lenkungsgruppe für Gesundheitsförderung, Krankheitsprävention und Management von nicht übertragbaren Krankheiten) auf Gebieten von gemeinsamem Interesse fördern.
            
            
               (3)In Anbetracht der heutigen Erfahrungen mit den 24 bestehenden ERN ist es zur Gewährleistung eines wirksamen Funktionierens der einzelnen Netzwerke angezeigt, dass deren Mitglieder bei der Wahrnehmung ihrer Aufgaben eng zusammenarbeiten, beispielsweise durch den wirksamen und sicheren Austausch von Gesundheitsdaten für die Zwecke von Diagnose und Behandlung für Patienten, durch Beiträge zu wissenschaftlichen Forschungsarbeiten und zur Entwicklung medizinischer Leitlinien. Eine enge Zusammenarbeit erfordert wechselseitiges Vertrauen unter den Mitgliedern der einzelnen Netzwerke und die gegenseitige Anerkennung insbesondere von Fachwissen und Kompetenz, der Qualität der jeweiligen klinischen Versorgung sowie der spezifischen Personal-, Struktur- und Ausrüstungsressourcen, wie in Anhang II Nummer 2 des Delegierten Beschlusses 2014/286/EU der Kommission
                  3
                vorgesehen.
            
            
               (4)Wechselseitiges Vertrauen und gegenseitige Anerkennung durch Fachkollegen sind gleichermaßen wichtig, wenn sich Gesundheitsdienstleister einem bestehenden Netzwerk anschließen möchten, da sie die richtigen Voraussetzungen für eine künftige Zusammenarbeit innerhalb des Netzwerkes schaffen. Bewirbt sich ein Gesundheitsdienstleister um die Mitgliedschaft in einem Netzwerk und gibt dessen Vorstand – auf der Grundlage einer gemäß den in Anhang II Nummer 2 des Delegierten Beschlusses 2014/286/EU festgelegten Kriterien und Bedingungen durchgeführten Peer Review – eine befürwortende Stellungnahme ab, so sollte diese einem solchen Antrag bei seiner Vorlage vor der von der Kommission benannten unabhängigen Bewertungsstelle beigefügt sein. Damit der Gesundheitsdienstleister seinen Standpunkt zu der Stellungnahme des Vorstands des Netzwerkes zum Ausdruck bringen kann, sollte er Anmerkungen zum Entwurf der Stellungnahme innerhalb von einem Monat nach dessen Eingang übermitteln dürfen.
            
            
               (5)Es sollten angemessene Fristen für den Vorstand des Netzwerkes hinsichtlich des Entwurfs und der endgültigen Stellungnahme festgelegt werden. Entsprechend sollte die Frist für die endgültige Stellungnahme grundsätzlich auf vier Monate festgesetzt werden. Falls der Gesundheitsdienstleister jedoch Anmerkungen zum Entwurf der Stellungnahme des Vorstands des Netzwerkes übermittelt, sollte die Frist von vier Monaten für die Abgabe der endgültigen Stellungnahme um einen Monat verlängert werden, damit der Vorstand des Netzwerkes die eingegangenen Anmerkungen berücksichtigen kann. Aus Gründen der Rechtssicherheit sollte die endgültige Stellungnahme als befürwortend gelten, wenn der Vorstand des Netzwerkes den Entwurf einer Stellungnahme oder die endgültige Stellungnahme nicht innerhalb der gesetzten Fristen übermittelt.  
            
            
               (6)Wird eine Bewerbung um Mitgliedschaft vom Vorstand des Netzwerks, dem sich der Gesundheitsdienstleister anschließen möchte, ablehnend beschieden, war diese jedoch in Form einer schriftlichen Erklärung des Mitgliedstaats der Niederlassung des Gesundheitsdienstleisters gebilligt worden, so sollte dieser Mitgliedstaat die Möglichkeit haben, das Gremium der Mitgliedstaaten aufzufordern, auf der Grundlage der in Anhang II Nummer 2 des Delegierten Beschlusses 2014/286/EU festgelegten Kriterien und Bedingungen zu entscheiden, ob die Bewerbung nicht trotzdem bei der Kommission eingereicht werden kann.
            
            
               (7)Zur Unterstützung einer räumlich entfernten Zusammenarbeit der Angehörigen der Gesundheitsberufe in den ERN bei der Diagnose und Behandlung für Patienten mit komplexen Erkrankungen oder Gesundheitsproblemen, die selten sind oder eine niedrige Prävalenz aufweisen, über nationale Grenzen hinweg und zur Vereinfachung der wissenschaftlichen Erforschung solcher Erkrankungen oder Gesundheitsprobleme hat die Kommission für die ERN das „Clinical Patient Management System“ (System für das klinische Patientenmanagement, im Folgenden „CPMS“) entwickelt, um die Einrichtung und das Funktionieren der ERN gemäß Artikel 12 Absatz 4 Buchstabe c der Richtlinie 2011/24/EU zu erleichtern. 
            
            
               (8)Das CPMS sollte eine gemeinsame Infrastruktur für Angehörige der Gesundheitsberufe bieten, damit diese innerhalb der ERN bei der Diagnose und Behandlung für Patienten mit komplexen Erkrankungen oder Gesundheitsproblemen, die selten sind oder eine niedrige Prävalenz aufweisen, zusammenarbeiten können. Es sollte die Mittel bereitstellen, mit denen der Austausch von Informationen und Fachwissen über derartige Krankheiten innerhalb der ERN am wirksamsten stattfinden kann. 
            
            
               (9)Das CPMS sollte daher aus einer sicheren IT-Infrastruktur bestehen, die eine gemeinsame Schnittstelle bietet, über die Gesundheitsdienstleister, die ERN-Mitglieder, assoziierte Partner
                  4
                oder Gastnutzer sind (im Folgenden „CPMS-zugangsberechtigte Gesundheitsdienstleister“)‚ Informationen innerhalb des Netzwerkes über die betreffenden Patienten austauschen können, damit deren Zugang zu einer sicheren und hochwertigen Gesundheitsversorgung vereinfacht und die wirksame Zusammenarbeit zwischen den Mitgliedstaaten auf dem Gebiet der Gesundheitsversorgung durch den Austausch einschlägiger Informationen erleichtert wird. 
            
            
               (10)Um die Einhaltung der Datenschutzvorschriften zu gewährleisten und die Nutzung einer wirksamen und sicheren Umgebung für den elektronischen Austausch personenbezogener Patientendaten zwischen Gesundheitsdienstleistern innerhalb der ERN für die in Artikel 12 Absatz 2 der Richtlinie 2011/24/EU genannten Zwecke sicherzustellen‚ sollte dieser Austausch nur auf der Grundlage der ausdrücklichen Einwilligung der Patienten und nur über das CPMS erfolgen. Die Gesundheitsdienstleister sind verantwortlich für die Sicherheit der Daten, die sie außerhalb des CPMS zwecks Aufnahme in das CPMS verarbeiten, der Daten, die nicht in das CPMS eingegeben, sondern von ihnen im Zusammenhang mit dem CPMS verarbeitet werden (z. B. die Einwilligungsformulare), sowie der Daten, die sie vom CPMS herunterladen und außerhalb des CPMS verarbeiten.
            
            
               (11)Im CPMS werden sensible Daten über Patienten verarbeitet, die unter komplexen Erkrankungen leiden, die selten sind oder eine niedrige Prävalenz aufweisen. Diese Daten werden ausschließlich zu dem Zweck verarbeitet, die Diagnose und Behandlung für Patienten zu erleichtern, sie in die einschlägigen Register oder andere Datenbanken für komplexe Erkrankungen, die selten sind und eine niedrige Prävalenz aufweisen, aufzunehmen, die der wissenschaftlichen Forschung bzw. klinischen oder gesundheitspolitischen Zwecken dienen, sowie für die Kontaktaufnahme mit potenziellen Teilnehmern wissenschaftlicher Forschungsinitiativen. Gesundheitsdienstleister innerhalb der ERN sollten in der Lage sein, die Patientendaten im Rahmen des CPMS zu verarbeiten, sobald sie die freiwillige, aufgeklärte Einwilligung der Patienten für den konkreten Fall in Bezug auf drei mögliche Verwendungen ihrer Daten erhalten haben (medizinische Bewertung des Dossiers zwecks Beratung zu Diagnose und Behandlung, Eingabe der Daten in Register seltener Erkrankungen oder andere Datenbanken für komplexe Erkrankungen, die selten sind und eine niedrige Prävalenz aufweisen, sowie die Möglichkeit für Patienten, zwecks Teilnahme an einer wissenschaftlichen Forschungsinitiative kontaktiert zu werden). Die Einwilligung sollte für jeden dieser drei Zwecke getrennt eingeholt werden. In diesem Beschluss sollten die Zwecke und Garantien für die Verarbeitung solcher Daten im CPMS festgelegt werden. Insbesondere sollte die Kommission die allgemeinen Funktionen des CPMS in Bezug auf jedes Netzwerk bereitstellen, für die erforderliche sichere IT-Infrastruktur sorgen, diese pflegen und ihr technisches Funktionieren und ihre Sicherheit gewährleisten. Im Einklang mit dem Grundsatz der Datenminimierung sollte die Kommission nur personenbezogene Daten verarbeiten, wenn dies unbedingt notwendig ist, um die Verwaltung des CPMS in Bezug auf jedes Netzwerk zu gewährleisten, und sollte daher keinen Zugang zu Gesundheitsdaten von Patienten haben, die in den ERN ausgetauscht werden, es sei denn, dies ist unbedingt erforderlich, um ihren Verpflichtungen als gemeinsam für die Verarbeitung Verantwortliche nachkommen zu können. 
            
         
         
            
               (12)Dieser Durchführungsbeschluss sollte nur für die Verarbeitung personenbezogener Daten im CPMS, insbesondere von Kontaktdaten und Gesundheitsdaten, innerhalb der ERN gelten. 
            
            
               (13)Artikel 26 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates
                  5
                und Artikel 28 der Verordnung (EU) 2018/1725
                  6
                verpflichten die gemeinsam für die Verarbeitung personenbezogener Daten Verantwortlichen, in transparenter Form festzulegen, wer von ihnen welche Verpflichtung gemäß diesen Verordnungen erfüllt. Ferner ist darin die Möglichkeit vorgesehen, dass die Verantwortlichkeiten durch Rechtsvorschriften der Union oder der Mitgliedstaaten festgelegt werden, denen die Verantwortlichen unterliegen.
            
            
               (14)Der Durchführungsbeschluss 2014/287/EU sollte daher entsprechend geändert werden.
            
            
               (15)Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 angehört und hat am 13. September 2018 eine Stellungnahme abgegeben.
            
            
               (16)Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des gemäß Artikel 16 der Richtlinie 2011/24/EU eingesetzten Ausschusses — 
            
            
               HAT FOLGENDEN BESCHLUSS ERLASSEN:
            
            
               Artikel 1
            
            
               Der Durchführungsbeschluss 2014/287/EU wird wie folgt geändert:
            
            
               (1)Folgender Artikel 1a wird eingefügt:
            
            
               „Artikel 1a
                  Begriffsbestimmungen
            
            
               Im Sinne dieses Durchführungsbeschlusses bezeichnet der Ausdruck:
            
            
               a)„Koordinator/in eines europäischen Referenznetzwerkes“ die Person, die von dem als koordinierendes Mitglied im Sinne von Erwägungsgrund 3 und Artikel 4 des Delegierten Beschlusses 2014/286/EU fungierenden Mitglied eines europäischen Referenznetzwerkes zum Koordinator bzw. zur Koordinatorin des Netzwerkes benannt wurde;
            
            
               b)„Vorstand des Netzwerkes“ ein Gremium, das für die Leitung des Netzwerkes zuständig ist und aus Vertretern jedes Mitglieds des Netzwerkes im Sinne von Erwägungsgrund 3 und Anhang I Nummer 1 Buchstabe b Ziffer ii des Delegierten Beschlusses 2014/286/EU besteht;
            
            
               (c)„assoziierte Partner“ assoziierte nationale Zentren, kooperierende nationale Zentren und nationale Koordinierungsstellen im Sinne von Erwägungsgrund 14 und Anhang I Nummer 7 Buchstabe c des Delegierten Beschlusses 2014/286/EU und der Erklärung des Gremiums der Mitgliedstaaten vom 10. Oktober 2017; 
            
            
               (d)„Gastnutzer“ einen Gesundheitsdienstleister, der weder ein Mitglied noch ein assoziierter Partner ist und der nach der Genehmigung des zuständigen Koordinators bzw. der zuständigen Koordinatorin des europäischen Referenznetzwerkes befristet berechtigt ist, Patienten in das CPMS einzutragen und an dem Panel für diesen Patienten/diese Patientin oder als Sachverständiger an einem bestimmten Panel teilzunehmen.“
            
            
               (2)In Artikel 8 werden die folgenden Absätze 4, 5 und 6 eingefügt:
            
            
               „(4)Kommt die Kommission zu dem Schluss, dass die Anforderungen des Artikels 8 Absätze 2 und 3 erfüllt sind, gibt der Vorstand des Netzwerkes, dem sich der Gesundheitsdienstleister anschließen möchte, auf der Grundlage einer gemäß den in Anhang II Nummer 2 des Delegierten Beschlusses 2014/286/EU festgelegten Kriterien und Bedingungen durchgeführten Peer Review eine Stellungnahme zu der Bewerbung um Mitgliedschaft ab. 
            
            
               (5)
                     Vor Abgabe der in Absatz 4 genannten Stellungnahme und innerhalb von drei Monaten ab dem Zeitpunkt, zu dem die Kommission bestätigt hat, dass die Anforderungen des Artikels 8 Absätze 2 und 3 erfüllt sind, übermittelt der Vorstand des Netzwerkes dem sich bewerbenden Gesundheitsdienstleister einen Entwurf der Stellungnahme; dieser kann innerhalb eines Monats nach Erhalt des Entwurfs der Stellungnahme dem Netzwerk Anmerkungen übermitteln.  Erhält der Vorstand des Netzwerkes keine Anmerkungen zu diesem Entwurf, gibt er innerhalb von vier Monaten ab dem Zeitpunkt, zu dem die Kommission bestätigt hat, dass die Anforderungen des Artikels 8 Absätze 2 und 3 erfüllt sind, eine endgültige Stellungnahme  zu der Bewerbung um Mitgliedschaft ab. 
            
            
               Erhält der Vorstand des Netzwerkes Anmerkungen zu diesem Entwurf, wird die Frist für die Abgabe der Stellungnahme auf fünf Monate ab dem Zeitpunkt verlängert, zu dem die Kommission bestätigt hat, dass die Anforderungen des Artikels 8 Absätze 2 und 3 erfüllt sind. Nach Eingang solcher Anmerkungen ändert der Vorstand des Netzwerkes seine Stellungnahme und legt dar, ob diese Anmerkungen eine Änderung der Bewertung rechtfertigen oder nicht. Die endgültige Stellungnahme gilt als befürwortend, wenn der Vorstand des Netzwerkes den Entwurf einer Stellungnahme oder die endgültige Stellungnahme nicht innerhalb der gesetzten Fristen übermittelt. 
            
            
               (6)Im Falle einer ablehnenden Stellungnahme des Vorstands des Netzwerkes kann das Gremium der Mitgliedstaaten auf Antrag des Mitgliedstaats, in dem der Gesundheitsdienstleister seinen Sitz hat, nach erneuter Prüfung des Antrags auf der Grundlage der in Anhang II Nummer 2 des Delegierten Beschlusses 2014/286/EU festgelegten Kriterien und Bedingungen eine befürwortende Stellungnahme abgeben. Diese befürwortende Stellungnahme wird dem Antrag beigefügt.“ 
            
         
         
            
               (3)Artikel 9 Absatz 1 erhält folgende Fassung: 
            
            
               „(1)Wird eine befürwortende Stellungnahme im Einklang mit Artikel 8 Absatz 5 oder 6 abgegeben, benennt die Kommission eine Stelle, die die Bewerbung um Mitgliedschaft, der diese Stellungnahme beigefügt ist, bewertet.“ 
            
            
               (4)In Kapitel IV wird der folgende Artikel 15a eingefügt:
            
            
               „Artikel 15a
                  Austausch von Informationen und Fachwissen zwischen den Mitgliedstaaten
            
            
               Die Mitgliedstaaten sind aufgefordert, Informationen und Fachwissen im Gremium der Mitgliedstaaten auszutauschen, um die Entwicklung der europäischen Referenznetzwerke zu steuern, den Netzwerken und den Mitgliedstaaten Leitlinien an die Hand zu geben und die Kommission in Fragen zu beraten, die mit der Einrichtung der Netzwerke zusammenhängen.“
            
            
               (5)Folgender Artikel 16a wird eingefügt:
            
            
               „Artikel 16a
                  System für das klinische Patientenmanagement
            
            
               (1)Hiermit wird ein System für das klinische Patientenmanagement (Clinical Patient Management System – CPMS) zum elektronischen Austausch von personenbezogenen Patientendaten zwischen CPMS-zugangsberechtigten Gesundheitsdienstleistern innerhalb der europäischen Referenznetzwerke eingerichtet.
            
            
               (2)Das CPMS besteht aus einem sicheren IT-Tool, das von der Kommission für gemeinsame Nutzung und Hosting von Patientendaten und für die Echtzeitkommunikation über Patientenfälle innerhalb der europäischen Referenznetzwerke bereitgestellt wird.
            
            
               (3)Es umfasst unter anderem einen Viewer für medizinische Bilder, Datenmeldungskapazitäten, benutzerdefinierte Datensätze und ist mit angemessenen Datenschutzgarantien gemäß Anhang I ausgestattet.“
            
            
               (6)Folgender Artikel 16b wird eingefügt:
            
            
               „Artikel 16b
                  Im CPMS verarbeitete personenbezogene Daten
            
            
               (1)Personenbezogene Patientendaten, die aus Namen, Geschlecht, Geburtsdatum und -ort sowie sonstigen personenbezogenen Daten bestehen, die für die Diagnose und Behandlung erforderlich sind, werden innerhalb der europäischen Referenznetzwerke ausschließlich über das CPMS ausgetauscht und verarbeitet. Die Verarbeitung beschränkt sich darauf, die medizinische Bewertung eines Patientendossiers für Diagnose und Behandlung zu erleichtern, die Daten in Register und andere Datenbanken für komplexe Erkrankungen, die selten sind und eine niedrige Prävalenz aufweisen, aufzunehmen, die der wissenschaftlichen Forschung bzw. klinischen oder gesundheitspolitischen Zwecken dienen, sowie auf die Kontaktaufnahme mit potenziellen Teilnehmern wissenschaftlicher Forschungsinitiativen. Sie beruht auf einer im Einklang mit Anhang IV erteilten Einwilligung.
            
            
               (2)Die Kommission gilt als Verantwortliche für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Verwaltung von Zugangsrechten und verarbeitet diese Daten auf der Grundlage der ausdrücklichen Einwilligung der von den Gesundheitsdienstleistern als Nutzer identifizierten und vom betreffenden europäischen Referenznetzwerk befugten Personen, soweit dies erforderlich ist, um sicherzustellen, dass
            
            
               a)diesen Personen Zugangsrechte gewährt werden,
            
            
               b)diese Personen ihre Rechte ausüben und ihren Verpflichtungen nachkommen können, und
            
            
               c)sie ihren Verpflichtungen als für die Verarbeitung Verantwortliche nachkommen kann.
            
            
               (3)Die Kommission greift nicht auf personenbezogene Patientendaten zu, es sei denn, dies ist zur Erfüllung ihrer Verpflichtungen als gemeinsam für die Verarbeitung Verantwortliche unbedingt notwendig. 
            
            
               (4)Nur Personen, die von europäischen Referenznetzen befugt wurden und zu den Personalgruppen und anderen Personen gehören, die mit den CPMS-zugangsberechtigten Gesundheitsdienstleistern assoziiert sind, dürfen Zugang zu personenbezogenen Patientendaten im CPMS erhalten.
            
            
               (5)Der Name des Patienten/der Patientin sowie Geburtsort und genaues Geburtsdatum werden im CPMS verschlüsselt und pseudonymisiert. Weitere personenbezogene Daten, die für die Diagnose und Behandlung erforderlich sind, werden pseudonymisiert. CPMS-Nutzern anderer Gesundheitsdienstleister werden nur pseudonymisierte Daten für Paneldiskussionen und die Bewertung von Patientendossiers zur Verfügung gestellt.
            
         
         
            
               (6)Die Kommission stellt die sichere Übermittlung und das sichere Hosting personenbezogener Daten sicher.
            
            
               (7)CPMS-zugangsberechtigte Gesundheitsdienstleister löschen Daten, die nicht mehr erforderlich sind. Personenbezogene Daten von Patienten werden nur so lange gespeichert, wie dies im Interesse der Patientenversorgung, der Diagnose von Erkrankungen oder der Sicherstellung der Betreuung von Familienangehörigen des Patienten/der Patientin innerhalb eines europäischen Referenznetzwerkes erforderlich ist. Jeder CPMS-zugangsberechtigte Gesundheitsdienstleister prüft mindestens alle fünfzehn Jahre die Notwendigkeit der Aufbewahrung der Patientendaten, für die er verantwortlich ist. 
            
            
               (8)Die Wirksamkeit technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit bei der Verarbeitung personenbezogener Daten im CPMS wird von der Kommission und den CPMS-zugangsberechtigten Gesundheitsdienstleistern regelmäßig geprüft, beurteilt und bewertet.“
            
            
               (7)Folgender Artikel 16c wird eingefügt:
            
            
               „Artikel 16c
                  Gemeinsame Verantwortung für die Verarbeitung personenbezogener Patientendaten im CPMS 
            
            
               (1)Jeder Gesundheitsdienstleister, der Patientendaten im CPMS verarbeitet, und die Kommission übernehmen gemeinsam die Verantwortung für die Verarbeitung dieser Daten im CPMS. 
            
            
               (2)Für die Zwecke des Absatzes 1 werden die Verpflichtungen gemäß Anhang III zwischen den gemeinsam für die Verarbeitung Verantwortlichen aufgeteilt.
            
            
               (3)Jeder der gemeinsam für die Verarbeitung Verantwortlichen befolgt die einschlägigen Rechtsvorschriften der Union und die nationalen Rechtsvorschriften, denen der jeweilige für die Verarbeitung Verantwortliche unterliegt.“
            
            
               (8)Ein neuer Anhang III wird hinzugefügt, dessen Wortlaut in Anhang I des vorliegenden Beschlusses aufgeführt ist.
            
            
               (9)Ein neuer Anhang IV wird hinzugefügt, dessen Wortlaut in Anhang II des vorliegenden Beschlusses aufgeführt ist.
            
            
               Artikel 2
            
            
               Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
            
            
               Brüssel, den 26.7.2019
            
            
               
                     Für die Kommission
               
               
                     Der Präsident
                     Jean-Claude JUNCKER
               
               
            
         
         
            
                  
                     (1)
                  
                        ABl. L 88 vom 4.4.2011, S 45.
               
               
                  
                     (2)
                  
                        Durchführungsbeschluss 2014/287/EU der Kommission vom 10. März 2014 zur Festlegung von Kriterien für die Einrichtung europäischer Referenznetzwerke, für die Evaluierung dieser Netzwerke und ihrer Mitglieder und zur Erleichterung des Austauschs von Informationen und Fachwissen in Bezug auf die Einrichtung und Evaluierung solcher Netzwerke (ABl. L 147 vom 17.5.2014, S. 79).
               
               
                  
                     (3)
                  
                        Delegierter Beschluss der Kommission 2014/286/EU vom 10. März 2014 über die Kriterien und Bedingungen, die Europäische Referenznetzwerke und Gesundheitsdienstleister, die sich einem Europäischen Referenznetzwerk anschließen möchten, erfüllen müssen (ABl. L 147 vom 17.5.2014, S. 71).
               
               
                  
                     (4)
                  
                        Vergleiche Erwägungsgrund 14 und Anhang I Nummer 7 Buchstabe c des Delegierten Beschlusses 2014/286/EU und die Erklärung des Gremiums der Mitgliedstaaten vom 10. Oktober 2017, abrufbar unter 
                  https://ec.europa.eu/health/sites/health/files/ern/docs/boms_affiliated_partners_en.pdf
                  .
               
               
                  
                     (5)
                  
                        Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).
               
               
                  
                     (6)
                  
                        Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG.
               
            
      
    ---documentbreak--- 
      
         
         
            
               ANHANG I
            
            
               ANHANG III 
               
                  AUFTEILUNG DER VERPFLICHTUNGEN ZWISCHEN DEN GEMEINSAM FÜR DIE VERARBEITUNG VERANTWORTLICHEN
            
            
               (1)Die Kommission ist zuständig
            
            
               i)für Einrichtung, Betrieb und Verwaltung des CPMS;
            
            
               ii)dafür, den Gesundheitsdienstleistern die technischen Mittel bereitzustellen, damit sie die Patienten in die Lage versetzen können, ihre Rechte über das CPMS gemäß der Verordnung (EU) 2018/1725
                  1
                geltend zu machen, und Anträge betroffener Personen zu beantworten sowie Ersuchen nachzukommen, wenn dies nach den geltenden Rechtsvorschriften erforderlich ist;
            
            
               iii)dafür, sicherzustellen, dass das CPMS den Anforderungen an Kommunikations- und Informationssysteme der Kommission
                  2
                genügt;
            
            
               iv)für die Festlegung und den Einsatz der technischen Mittel, die es den Patienten ermöglichen, ihre Rechte im Einklang mit der Verordnung (EU) 2018/1725 geltend zu machen; 
            
            
               v)für die Benachrichtigung der Gesundheitsdienstleister über etwaige Verletzungen des Schutzes personenbezogener Daten im Rahmen des CPMS; 
            
            
               vi)den Export von Sätzen personenbezogener Daten aus dem CPMS im Falle eines Wechsels des Verarbeiters der personenbezogenen Daten; 
            
            
               vii)für die Identifizierung der Personalgruppen und anderen Personen, die mit den CPMS-zugangsberechtigten Gesundheitsdienstleistern assoziiert sind und denen der Zugang zum CPMS gewährt werden kann;
            
            
               viii)dafür, sicherzustellen, dass der Name und der Geburtsort der Patienten (sofern nicht für die Diagnose und Behandlung erforderlich) und das genaue Geburtsdatum verschlüsselt und pseudonymisiert und die weiteren personenbezogenen Daten, die für die Diagnose und Behandlung erforderlich sind, im CPMS pseudonymisiert werden; 
            
            
               ix)für die Schaffung geeigneter Garantien zur Gewährleistung der Sicherheit und Vertraulichkeit der über das CPMS verarbeiteten personenbezogenen Patientendaten.
            
            
               (2)Jeder CPMS-zugangsberechtigte Gesundheitsdienstleister ist zuständig
            
            
               i)für die Auswahl der Patienten, deren personenbezogene Daten über das CPMS verarbeitet werden;
            
            
               ii)für die Einholung und Aufrechterhaltung einer ausdrücklichen, aufgeklärten, freiwillig für den konkreten Fall erteilten Einwilligung der Patienten, deren Daten über das CPMS im Einklang mit den verbindlichen Mindestanforderungen an das Einwilligungsformular gemäß Anhang IV verarbeitet werden; 
            
            
               iii)dafür, als Kontaktstelle für ihre Patienten zu fungieren, u. a. in Fällen, in denen diese ihre Rechte geltend machen, indem er Ersuchen von Patienten oder ihrer Vertreter nachkommt und sicherstellt, dass Patienten, deren Daten über das CPMS verarbeitet werden, in die Lage versetzt werden, ihre Rechte gemäß den Datenschutzvorschriften geltend zu machen, indem er erforderlichenfalls die von der Kommission gemäß Nummer 1 Ziffer ii zur Verfügung gestellten technischen Mittel verwendet;
            
            
               iv)dafür, mindestens alle fünfzehn Jahre die Notwendigkeit zu prüfen, spezifische personenbezogene Patientendaten über das CPMS zu verarbeiten; 
            
            
               v)dafür, Sicherheit und Vertraulichkeit bei der internen Verarbeitung personenbezogener Patientendaten außerhalb des CPMS sicherzustellen, wenn diese Daten für Zwecke oder im Zusammenhang mit der Verarbeitung personenbezogener Patientendaten über das CPMS verarbeitet werden; 
            
            
               vi)für die Benachrichtigung der Kommission, der zuständigen Aufsichtsbehörden und, soweit erforderlich, der Patienten über Verletzungen des Schutzes personenbezogener Daten in Bezug auf über das CPMS verarbeitete Patientendaten gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder auf Verlangen der Kommission;
            
         
         
            
               vii)für die Identifizierung des Personals und anderer Personen, die mit den CPMS-zugangsberechtigten Gesundheitsdienstleistern assoziiert sind und denen der Zugang zu personenbezogenen Patientendaten im CPMS gemäß den Zugangskriterien nach Nummer 1 Ziffer vii dieses Anhang gewährt wird, sowie für die entsprechende Mitteilung an die Kommission;
            
            
               viii)dafür, zu gewährleisten, dass sein Personal und die anderen Personen, die mit ihm assoziiert sind und Zugang zu personenbezogenen Patientendaten im CPMS haben, entsprechend geschult werden, damit sichergestellt wird, dass sie ihre Aufgaben im Einklang mit den für den Schutz personenbezogener Daten geltenden Vorschriften erfüllen, und dass sie der Geheimhaltungspflicht gemäß Artikel 9 Absatz 3 der Verordnung (EU) 2016/679 unterworfen werden.
            
            
               ANHANG II
            
            
               ANHANG IV 
               
                  VERBINDLICHEN MINDESTANFORDERUNGEN AN DAS VON CPMS-ZUGANGSBERECHTIGTEN GESUNDHEITDIENSTLEISTERN VORZULEGENDE EINWILLIGUNGSFORMULAR
            
            
               (1)Das Einwilligungsformular muss eine Beschreibung der Rechtsgrundlage und der Rechtmäßigkeit der Verarbeitung, des Konzepts und des Zwecks der europäischen Referenznetzwerke (im Folgenden „ERN“) gemäß der Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung enthalten. Es muss über die spezifischen Verarbeitungsvorgänge und die jeweiligen Rechte der betroffenen Person gemäß den geltenden Datenschutzvorschriften informieren. Darin ist zu erläutern, dass die Netzwerke aus Mitgliedern bestehen, bei denen es sich um hochspezialisierte Gesundheitsdienstleister handelt, und dass ihr Zweck darin besteht, dass Angehörige der Gesundheitsberufe zusammenarbeiten können, um Patienten mit komplexen Erkrankungen oder Gesundheitsproblemen, die selten sind oder eine niedrige Prävalenz aufweisen und eine hochspezialisierte Gesundheitsversorgung erfordern, zu unterstützen.
            
            
               (2)Mit dem Einwilligungsformular wird der Patient/die Patientin um seine/ihre ausdrückliche Einwilligung darin gebeten, dass seine/ihre personenbezogenen Daten einem oder mehreren ERN übermittelt werden, und zwar ausschließlich zu dem Zweck, seinen/ihren Zugang zu Diagnose und Behandlung und zu einer hochwertigen Gesundheitsversorgung zu verbessern. Zu diesem Zweck ist darin Folgendes zu erklären:
            
            
               a)Nach Erteilung der Einwilligung werden die personenbezogenen Daten der Patienten von den CPMS-zugangsberechtigten Gesundheitsdienstleistern unter folgenden Bedingungen verarbeitet:
            
            
               i)Der Name des Patienten/der Patientin sowie Geburtsort und genaues Geburtsdatum werden nicht ausgetauscht; die eine Identifizierung ermöglichenden Patientendaten werden durch ein individuelles Kennzeichen ersetzt, sodass eine Identifizierung durch niemanden außer dem Gesundheitsdienstleister möglich ist (Pseudonymisierung).
            
            
               ii)Es werden nur Daten, die für Diagnose- und Behandlungszwecke relevant sind, ausgetauscht; hierzu können Geburts- und Wohnregion, Geschlecht, Geburtsjahr und Geburtsmonat, medizinische Bilder, Laborberichte sowie biologische Stichproben gehören. Außerdem können Schreiben und Berichte anderer Angehöriger der Gesundheitsberufe, die den Patienten/die Patientin in der Vergangenheit versorgt haben, dazu gehören. 
            
            
               iii)Die Patientendaten werden über das „Clinical Patient Management System“ (System für das klinische Patientenmanagement, im Folgenden „CPMS“), ein sicheres elektronisches Informationssystem, ausgetauscht.
            
            
               iv)Nur Angehörige der Gesundheitsberufe und andere mit solchen Gesundheitsdienstleistern assoziierte Personen, die dem Berufsgeheimnis unterliegen und die zum Zugang zu Patientendaten in den Netzwerken befugt sind, haben Zugang zu den Patientendaten.
            
            
               v)Angehörige der Gesundheitsberufe und andere mit solchen Gesundheitsdienstleistern assoziierte Personen, die zum Zugang zu Patientendaten befugt sind, dürfen Abfragen im CPMS durchführen und Berichte erstellen, um ähnliche Patientenfälle zu ermitteln.
            
            
               b)Wird die Einwilligung nicht erteilt, wirkt sich dies in keiner Weise auf die Versorgung des Patienten/der Patientin durch den jeweiligen Gesundheitsdienstleister aus.
            
            
               (3)Mit dem Einwilligungsformular kann auch um die zusätzliche Einwilligung des Patienten/der Patientin darin nachgesucht werden, dass seine/ihre Daten in Register oder andere Datenbanken für komplexe Erkrankungen, die selten sind und eine niedrige Prävalenz aufweisen, eingegeben werden, die der wissenschaftlichen Forschung bzw. klinischen oder politischen Zwecken dienen. Wird um Einwilligung zu diesem Zweck nachgesucht, so ist im Einwilligungsformular das Konzept und der Zweck der Register oder Datenbanken für seltene Erkrankungen zu beschreiben und Folgendes zu erläutern:
            
            
               a)Nach Erteilung der Einwilligung werden die personenbezogenen Daten des Patienten/der Patientin von den CPMS-zugangsberechtigten Gesundheitsdienstleistern unter den folgenden Bedingungen verarbeitet:
            
            
               i)Zum Gesundheitszustand des Patienten werden nur relevante Daten ausgetauscht.
            
            
               ii)Angehörige der Gesundheitsberufe und andere mit solchen Gesundheitsdienstleistern assoziierte Personen, die zum Zugang zu Patientendaten befugt sind, dürfen Abfragen im CPMS durchführen und Berichte erstellen, um ähnliche Patientenfälle zu ermitteln.
            
            
               b)Wird die Einwilligung nicht erteilt, wirkt sich dies in keiner Weise auf die Versorgung des Patienten/der Patientin durch den jeweiligen Gesundheitsdienstleister oder darauf aus, dass das Netzwerk auf Anfrage des Patienten/der Patientin Beratung zu Diagnose und Behandlung bereitstellt.
            
            
               (4)Mit dem Einwilligungsformular kann auch um die zusätzliche Einwilligung des Patienten/der Patientin darin nachgesucht werden, von einem Netzwerkmitglied kontaktiert zu werden, das den Patienten/die Patientin als geeignet für eine wissenschaftliche Forschungsinitiative, ein spezifisches wissenschaftliches Forschungsprojekt oder Teile eines wissenschaftlichen Forschungsprojekts betrachtet. Wird um eine Einwilligung zu diesem Zweck nachgesucht, ist in dem Einwilligungsformular zu erläutern, dass die Erteilung der Einwilligung, für wissenschaftliche Forschungszwecke kontaktiert zu werden, in diesem Stadium weder eine Einwilligung in die Nutzung von Patientendaten für eine spezifische wissenschaftliche Forschungsinitiative bedeutet, noch, dass der Patient/die Patientin auf jeden Fall in Verbindung mit einem spezifischen wissenschaftlichen Forschungsprojekt kontaktiert wird oder Teil eines solchen Projekts sein wird; ferner ist Folgendes zu erläutern:
            
            
               a)Nach Erteilung der Einwilligung werden die personenbezogenen Daten des Patienten/der Patientin von den CPMS-zugangsberechtigten Gesundheitsdienstleistern unter den folgenden Bedingungen verarbeitet:
            
         
         
            
               i)Angehörige der Gesundheitsberufe und andere mit solchen Gesundheitsdienstleistern assoziierte Personen, die zum Zugang zu Patientendaten befugt sind, dürfen Abfragen im CPMS durchführen und Berichte erstellen, um ähnliche Patientenfälle zu ermitteln.
            
            
               ii)Wird die Erkrankung oder das Gesundheitsproblem des Patienten/der Patientin als für ein spezifisches wissenschaftliches Forschungsprojekt relevant betrachtet, kann diese/r zwecks Einwilligung in die Nutzung seiner/ihrer Daten für dieses wissenschaftliche Forschungsprojekt kontaktiert werden.
            
            
               b)Wird die Einwilligung nicht erteilt, wirkt sich dies in keiner Weise auf die Versorgung des Patienten/der Patientin durch den jeweiligen Gesundheitsdienstleister oder darauf aus, dass das Netzwerk auf Anfrage des Patienten/der Patientin Beratung zu Diagnose und Behandlung bereitstellt.
            
            
               (5)Im Einwilligungsformular sind die Rechte des Patienten/der Patientin im Hinblick auf seine/ihre Einwilligung(en) in den Austausch personenbezogener Daten zu erläutern; insbesondere ist darüber zu informieren, dass der Patient/die Patientin:
            
            
               a)das Recht hat, die Einwilligung zu erteilen oder zu verweigern, und dass dies keinen Einfluss auf seine/ihre Versorgung hat;
            
            
               b)eine in der Vergangenheit erteilte Einwilligung jederzeit widerrufen kann;
            
            
               c)das Recht hat zu erfahren, welche Daten in einem Netzwerk ausgetauscht werden, sowie Zugang zu über ihn/sie ausgetauschte Daten zu erhalten und Fehler korrigieren zu lassen;
            
            
               d)die Sperrung oder Löschung seiner/ihrer personenbezogenen Daten verlangen kann und ein Recht auf Datenübertragbarkeit hat.
            
            
               (6)Mit dem Einwilligungsformular ist der Patient/die Patientin darüber zu informieren, dass der Gesundheitsdienstleister die personenbezogenen Daten nur so lange speichern wird, wie es für den Zweck erforderlich ist, in den der Patient/die Patientin eingewilligt hat, wobei mindestens alle fünfzehn Jahre die Notwendigkeit einer Speicherung spezifischer personenbezogener Daten des Patienten/der Patientin im CPMS zu prüfen ist.
            
            
               (7)Mit dem Einwilligungsformular ist der Patient/die Patientin über den Namen und die Kontaktdaten der für die Verarbeitung Verantwortlichen zu informieren, wobei klar anzugeben ist, dass die Kontaktstelle zur Geltendmachung der Patientenrechte der jeweilige CPMS-zugangsberechtigte Gesundheitsdienstleister ist, sowie über die Kontaktdaten der Datenschutzbeauftragten, gegebenenfalls über die verfügbaren Rechtsbehelfe im Zusammenhang mit dem Datenschutz und über die Kontaktdaten der nationalen Datenschutzbehörde.
            
            
               (8)Auf dem Einwilligungsformular ist die Einwilligung in jede der drei verschiedenen Formen des Datenaustauschs für den konkreten Fall, ausdrücklich und unmissverständlich wie folgt einzeln zu verzeichnen:
            
            
               a)Die Einwilligung muss durch eine eindeutige bestätigende Handlung zum Ausdruck gebracht werden, z. B. durch Anklicken eines Kästchens und durch eine Unterschrift auf dem Formular;
            
            
               b)es sind beide Optionen (die Erteilung oder die Verweigerung der Einwilligung) anzubieten.
            
         
         
            
                  
                     (1)
                  
                        Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG.
               
               
                  
                     (2)
                  
                        Beschluss (EU, Euratom) 2017/46 der Kommission vom 10. Januar 2017 über die Sicherheit von Kommunikations- und Informationssystemen in der Europäischen Kommission und Beschluss der Kommission vom 13. Dezember 2017 zur Festlegung der Durchführungsbestimmungen zu den Artikeln 3, 5, 7, 8, 9, 10, 11, 12, 14 und 15 des Beschlusses (EU, Euratom) 2017/46 über die Sicherheit von Kommunikations- und Informationssystemen in der Europäischen Kommission.