Source: https://www.dkgev.de/dkg.php/cat/118/aid/3525/title/__291a_SGB_V%253A_Institutionelle_Zugriffsberechtigung_des_Krankenhauses_auf_Daten_der_elektronischen_Gesundheitskarte
Timestamp: 2018-04-27 06:52:28+00:00

Document:
§ 291a SGB V: Institutionelle Zugriffsberechtigung des Krankenhauses auf Daten der elektronischen Gesundheitskarte
Ein Zugriff auf Daten der elektronischen Gesundheitskarte darf gemäß § 291a Abs. 5 SGB V in der Regel nur in Verbindung mit einem elektronischen Heilberufsausweis bzw. Berufsausweis erfolgen. Für die im Gesetz genannten verkammerten Berufsgruppen (Ärzte, Zahnärzte, Apotheker etc.) ist das Verfahren und die Ausgabeinfrastruktur für die Ausweise im Wesentlichen über eine Einbindung der berufsständischen Kammern konzeptionell geklärt.
Für die daneben im Gesundheitswesen (und insbesondere im Krankenhaus) tätigen Angehörigen der nichtverkammerten Berufsgruppen (Krankenpflegepersonal, Funktionspersonal etc.) wurden bislang verschiedene Modelle für einen Zugriff auf die elektronische Gesundheitskarte diskutiert.
Nach einem staatlich-hoheitlichen Modell sollen die Bundesländer gemäß § 291a Abs. 5 SGB V Stellen benennen, die für die Ausgabe elektronischer Heilberufs- und Berufsausweise zuständig sind sowie Stellen, die bestätigen, dass eine Person befugt ist, einen Heilberuf auszuüben oder eine entsprechende Berufsbezeichnung zu führen.
Alternativ dazu hatte die DKG ein krankenhauszentriertes Konzept für Mitarbeiterausweise vorgeschlagen, um nicht jeweils für die betroffenen nichtärztlichen Mitarbeiter mit dem Erfordernis konfrontiert zu sein, eine behördliche Qualifikationsbestätigung einzuholen. Nach dem Mitarbeiterausweiskonzept hätte allein der Krankenhausträger für die bei ihm Beschäftigten mit Zugriffsnotwendigkeit auf die elektronische Gesundheitskarte die bloße Mitarbeitereigenschaft bestätigt und auf diesem Wege den Erwerb einer personenbezogenen elektronischen Legitimationskarte ermöglicht.
Nach ca. 1 ½ jähriger Diskussion der Vor- und Nachteile der verschiedenen Konzepte ist zwischen der Länderseite, den BMG und der DKG im März 2007 ein alternatives Modell erarbeitet und vereinbart worden. Das Modell geht von folgenden Eckpunkten aus:
- "Interne" Zugriffe auf das KIS unterliegen nicht den Vorgaben des § 291a SGB V. Hierfür gelten - wie bereits heute - lediglich die allgemeinen datenschutzrechtlichen Vorschriften. Dies gilt auch, wenn Daten der elektronischen Gesundheitskarte zuvor in das KIS "kopiert" worden sind.
- Für die in einem Krankenhaus als berufsmäßige Gehilfen oder zur Vorbereitung auf den Beruf tätigen Personen (nicht-verkammerte Berufsgruppen) kann der externe Zugriff auf Daten der elektronische Gesundheitskarte mittels des Institutionsausweises des Krankenhauses (SMC, Security Module Card) realisiert werden. Der Zugriff richtet sich nach den Vorgaben des § 291a Abs. 5 Satz 4 SGB V. Voraussetzung hierfür ist, dass der Zugriff im Rahmen der von diesen Mitarbeitern zulässigerweise zu erledigenden Tätigkeiten erforderlich ist sowie dass die zugreifende Person von einem Heilberufsausweis/Berufsausweis-Inhaber autorisiert worden ist und nachprüfbar elektronisch protokolliert wird, wer auf die Daten zugegriffen hat und von wem die zugreifende Person autorisiert wurde. Besondere Anforderungen an die Protokollierung, wie etwa eine kryptographische Absicherung, werden nicht gestellt.
- Der über die SMC vermittelte Zugriff ist nur für die im Gesetz genannten Personengruppen nach § 291a Abs. 4 Satz 1 Nr. 1 Buchstaben d und e sowie Nr. 2 Buchstaben d und e SGB V (berufsmäßige Gehilfen, sonstige Erbringer ärztlich verordneter Leistungen sowie Angehörige von Heilberufen, die für die Berufsausübung oder Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordern) möglich. Für die übrigen im Gesetz genannten Personen (Ärzte, Zahnärzte, Apotheker etc.) bleibt es bei dem Grundsatz, dass der Zugriff nur mittels eines Heilberufs- oder Berufsausweises möglich ist.
Im Ergebnis ist damit das Modell eines über eine SMC vermittelten institutionellen Zugriffs für die Angehörigen der nicht-verkammerten Berufsgruppen im Krankenhaus vereinbart worden; nur die im Gesetz aufgeführten verkammerten Berufsgruppen (Ärzte etc.) sind hiervon ausgenommen. Damit lässt sich für die "Gehilfenberufe" ohne administrativ aufwendige Kommunikation mit einem elektronischen Gesundheitsberuferegister eine praxisgerechte Lösung über das interne Identitäts- und Berechtigungsmanagement des Krankenhauses realisieren.
Die Vorgaben zur internen Protokollierung sowie der Verzicht auf eine kryptographische Absicherung der Protokollierung ergeben sich aus dem Gesetz. Da in einem Krankenhaus gemäß § 107 Abs. 1 Nr. 2 SGB V bereits qua Gesetz eine Aufsicht durch die Inhaber von Heilberufsausweisen sichergestellt ist, der Rahmen der erlaubten Tätigkeiten für die betroffenen Berufsgruppen sich aus den arbeitsvertraglichen Absprachen ergibt und die leitenden Abteilungsärzte oder der Ärztliche Direktor des Krankenhauses bei Bedarf die generelle Zugriffsnotwendigkeit auf medizinische Daten bestätigen und damit die Autorisierung erteilen können, besitzt der Krankenhausträger bei dieser Lösung weitestreichenden Gestaltungsspielraum.
Diese für den Krankenhausbereich gefundene Lösung soll nunmehr als grundlegendes Modell für ein Agieren von Institutionen im Umfeld der elektronischen Gesundheitskarte auch in anderen Bereichen diskutiert werden.
Die weiteren Einzelheiten hierzu ergeben sich aus dem als Anlage beigefügten Schriftwechsel.

References: § 291
 § 291
 § 291
 § 291
 § 291
 § 107