Source: http://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20009157
Timestamp: 2018-03-18 10:07:33+00:00

Document:
RIS - ELGA-Verordnung 2015 - Bundesrecht konsolidiert, Fassung vom 18.03.2018
Bundesrecht konsolidiert: Gesamte Rechtsvorschrift für ELGA-Verordnung 2015, Fassung vom 18.03.2018
Verordnung der Bundesministerin für Gesundheit zur Implementierung und Weiterentwicklung von ELGA (ELGA-Verordnung 2015 – ELGA-VO 2015)
StF: BGBl. II Nr. 106/2015
BGBl. II Nr. 373/2015
BGBl. II Nr. 380/2017
einer Widerspruchstelle und einer Serviceline (2. Abschnitt),
einer ELGA-Ombudsstelle (3. Abschnitt),
von Struktur, Format und Standards von ELGA-Gesundheitsdaten (§§ 14 und 16),
der wechselwirkungsrelevanten, nicht verschreibungspflichtigen Arzneimittel (§ 15),
der Mindestanforderungen für den Inhalt eines Aushanges bei ELGA-Gesundheitsdiensteanbietern (§ 18),
der Zugriffsregeln auf ELGA für unmündige Minderjährige (§ 19) sowie
der Betreiber des Berechtigungs- und Protokollierungssystems (§ 20).
„CDA“: Clinical Document Architecture, ein internationaler, auf XML basierender Standard für die Speicherung und die Weitergabe von Gesundheitsdaten.
„ELGA-Interoperabilitätsstufe“: das Ausmaß der Standardisierung und Vereinheitlichung von ELGA-Gesundheitsdaten, wobei mit
„EIS Basic“ jene ELGA-Interoperabilitätsstufe bezeichnet wird, bei der der Kopfteil von ELGA-Gesundheitsdaten standardkonform (Z 1) gemäß § 16 Abs. 1 strukturiert und codiert ist.
„EIS Structured“ jene ELGA-Interoperabilitätsstufe bezeichnet wird, bei der der Kopfteil standardkonform (Z 1) gemäß § 16 Abs. 1 strukturiert und codiert ist und die in den Hauptteil eingebundenen ELGA-Gesundheitsdaten eine einheitliche Gliederung der Inhalte aufweisen, die mit den Vorgaben von „EIS Enhanced“ oder „EIS Full Support“ übereinstimmt.
„EIS Enhanced“ jene ELGA-Interoperabilitätsstufe bezeichnet wird, bei der sowohl Kopfteil als auch Hauptteil von ELGA-Gesundheitsdaten standardkonform (Z 1) strukturiert sind, der Hauptteil jedoch nicht oder nicht vollständig gemäß § 16 Abs. 1 codiert ist.
„EIS Full Support“ jene ELGA-Interoperabilitätsstufe bezeichnet wird, bei der sowohl Kopfteil als auch Hauptteil von ELGA-Gesundheitsdaten standardkonform (Z 1) strukturiert sind und auch die im Hauptteil enthaltenen Informationen gemäß § 16 Abs. 1 vollständig codiert sind.
„Komponentenverfügbarkeit“: die Verfügbarkeit aller Funktionen einer ELGA-Komponente am Ausgang des Rechenzentrums des Betreibers.
„Konformitätskriterium“: die in den Implementierungsleitfäden enthaltenen Angaben, ob Felder verwendet werden müssen, verwendet werden dürfen oder verboten sind, wobei mit
„Konformitätskriterium [M]“ jene Felder bezeichnet werden, für die
tatsächliche Werte angegeben werden müssen und
weder Gründe, weshalb keine tatsächlichen Werte angegeben werden können,
noch fiktive Werte angegeben werden dürfen,
„Konformitätskriterium [NP]“ jene Felder bezeichnet werden, die nicht verwendet werden dürfen, d.h. für die
weder tatsächliche Werte,
noch Gründe, weshalb keine tatsächlichen Werte angegeben werden können,
noch fiktive Werte
„Konformitätskriterium [R]“ jene Felder bezeichnet werden, für die
sollte dies nicht möglich sein, die Gründe, weshalb keine tatsächlichen Werte angegeben werden können, angegeben werden müssen, allerdings
fiktive Werte nicht angegeben werden dürfen,
„Konformitätskriterium [R2]“ jene Felder bezeichnet werden, für die
die Angabe tatsächlicher Werte empfohlen ist und
„Konformitätskriterium [O]“ jene Felder bezeichnet werden, für die
tatsächliche Werte oder
Gründe, weshalb keine tatsächlichen Werte angegeben werden können,
„Konformitätskriterium [C]“ jene Felder bezeichnet werden, deren zulässige Verwendung von weiteren, in der Folge angegebenen Voraussetzungen, abhängig ist.
„Sicherheitstoken“: indirekt personenbezogene Datenstrukturen, die die korrekte Authentifizierung
bei der Zuweisung (§ 14 Abs. 2 Z 1 lit. b GTelG 2012) oder
innerhalb eines bestimmten Zeitraumes ohne neuerliche Identitätsprüfung gemäß § 18 Abs. 4 GTelG 2012 (§ 18 Abs. 6 GTelG 2012)
„Wiederherstellungspunkt“: der Zeitpunkt einer Sicherungskopie in Bezug auf die zu sichernden Daten.
„Terminologie“: eine Sammlung von Fachausdrücken und zulässigen Werten eines Fachgebietes in einer Form, die automationsunterstützt verwendet werden kann.
„Widerspruch“ („Opt-Out“): Willenserklärung gemäß § 15 Abs. 2 des Gesundheitstelematikgesetzes 2012 (GTelG 2012), BGBl. I Nr. 111/2012, in der Fassung der DSG-Novelle 2014, BGBl. I Nr. 83/2013, ungeachtet dessen, ob sie
schriftlich vor der Widerspruchstelle oder elektronisch im Wege des Zugangsportals eingebracht wurde und
sich auf alle oder einzelne Arten von ELGA-Gesundheitsdaten (§ 2 Z 9 GTelG 2012) bezieht.
„Widerruf“: Willenserklärung gemäß § 15 Abs. 4 GTelG 2012, mit der ein Widerspruch (§ 2 Z 5) rückgängig gemacht wird, ungeachtet dessen, ob sie
sich auf den gesamten Widerspruch oder einen Teil des Widerspruchs (§ 2 Z 5) bezieht.
§ 3. (1) Gemäß § 28 Abs. 2 Z 7 GTelG 2012 wird festgelegt, dass der Hauptverband der österreichischen Sozialversicherungsträger zur Sicherstellung der Wahrnehmung der Teilnehmer/innen/rechte gemäß den §§ 15 und 16 in Verbindung mit § 23 Abs. 2 Z 2 GTelG 2012 die Funktion der Widerspruchstelle im Wege des § 31d ASVG übernimmt.
Entgegennahme und Bearbeitung von schriftlichen Widersprüchen („Opt-Out“),
Entgegennahme und Bearbeitung von schriftlichen Widerrufen gemäß § 15 Abs. 4 GTelG 2012 („Widerruf des Opt-Out“),
Zusenden einer Bestätigung, dass der Widerspruch bzw. der Widerruf des Opt-Out rechtswirksam eingetragen wurde,
Nachfrage bei Unklarheiten im Zusammenhang mit Widersprüchen bzw. Widerrufen,
elektronische Verarbeitung der Widersprüche bzw. Widerrufe für das Zugangsportal (§ 23 GTelG 2012),
Dokumentation und elektronische Archivierung der Widersprüche bzw. Widerrufe,
Unterstützung der ELGA-Systempartner bei der Verbesserung des Widerspruchverfahrens sowie
Anfragen, die nicht in den Aufgabenbereich der Widerspruchstelle fallen, an die richtige Stelle gemäß § 6 Abs. 1 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG), BGBl. I Nr. 51/1991, in der Fassung des Verwaltungsgerichtsbarkeits-Anpassungsgesetzes-Inneres, BGBl. I Nr. 161/2013, zu verweisen.
Name sowie allfällige akademische Grade der/des Erklärenden,
Geschlecht, Geburtsdatum und Geburtsort der/des Erklärenden,
Sozialversicherungsnummer der/des Erklärenden, soweit vorhanden,
Anschrift der/des Erklärenden für die Zustellung von Schriftstücken auf postalischem Weg,
Telefonnummer oder E-Mailadresse der/des Erklärenden für Rückfragen im Zusammenhang mit ihrer/seiner Willenserklärung sowie
ob sich dieser Widerspruch auf alle („generelles Opt-Out“) oder einzelne („partielles Opt-Out“) Arten von ELGA-Gesundheitsdaten gemäß § 2 Z 9 GTelG 2012 beziehen soll.
Name sowie allfällige akademische Grade der Vertreterin/des Vertreters,
Geschlecht, Geburtsdatum und Geburtsort der Vertreterin/des Vertreters,
Sozialversicherungsnummer der Vertreterin/des Vertreters, soweit vorhanden,
Anschrift der Vertreterin/des Vertreters für die Zustellung von Schriftstücken auf postalischem Weg bzw. Angaben gemäß § 33 Abs. 1 ZustG, wenn die Vertreterin/der Vertreter den Widerspruch mittels Bürgerkarte (§ 2 Z 10 des E-Government-Gesetzes [E-GovG], BGBl. I Nr. 10/2004, in der Fassung der DSG-Novelle 2014, BGBl. I Nr. 83/2013) eingebracht hat, sowie
Telefonnummer oder E-Mailadresse der Vertreterin/des Vertreters für Rückfragen im Zusammenhang mit der Willenserklärung der/des Vertretenen.
ein Nachweis der Vertretungsvollmacht bzw. der Eigenschaft als berufsmäßige Parteienvertreterin/berufsmäßiger Parteienvertreter dem Widerspruchformular, das postalisch an die Widerspruchstelle übermittelt wird, beigelegt sein,
zur eindeutigen Identifizierung der Vertreterin/des Vertreters eine Kopie ihres/seines amtlichen Lichtbildausweises beigelegt sein sowie
die Willenserklärung eigenhändig von der Vertreterin/vom Vertreter unterschrieben sein.
(6) Eine Willenserklärung, die elektronisch ohne qualifizierte Signatur gemäß § 2 Z 3a des Signaturgesetzes (SigG), BGBl. I Nr. 190/1999, in der Fassung des Bundesgesetzes BGBl. I Nr. 75/2010, abgegeben wird, ist nicht geeignet den Nachweis der eindeutigen Identität zu erbringen.
(8) Widersprüche gemäß § 15 Abs. 2 GTelG 2012 und Widerrufe gemäß § 15 Abs. 4 GTelG 2012 können nur ausdrücklich erklärt werden.
über das Zugangsportal elektronisch eingebrachten Willenserklärungen sowie
bei der Widerspruchstelle schriftlich eingebrachten Willenserklärungen.
§ 8. (1) Gemäß § 28 Abs. 2 Z 9 GTelG 2012 wird festgelegt, dass der Hauptverband der österreichischen Sozialversicherungsträger zur Sicherstellung der Wahrnehmung der Teilnehmer/innen/rechte gemäß den §§ 15 und 16 in Verbindung mit § 23 Abs. 2 Z 2 GTelG 2012 die Funktion der Serviceline („Service-Center“) im Wege des § 31d ASVG übernimmt.
Entgegennahme und Beantwortung allgemeiner Fragen zu ELGA, sowohl telefonisch, als auch schriftlich, insbesondere zu den Teilnehmer/innen/rechten (§ 16 GTelG 2012),
Entgegennahme und Beantwortung allgemeiner Fragen zu ELGA, sowohl telefonisch, als auch schriftlich für Gesundheitsdiensteanbieter,
Entgegennahme und Beantwortung von technischen Fragen im Zusammenhang mit ELGA für ELGA-Teilnehmer/innen,
Entgegennahme von technischen Fragen im Zusammenhang mit ELGA für ELGA-Gesundheitsdiensteanbieter bzw. ihre Dienstleister, Voreingrenzung technischer Probleme und gegebenenfalls elektronische Weiterleitung eines Störungstickets an den zuständigen Betreiber,
Beratung von ELGA-Teilnehmer/inne/n bei der Abgabe von Widersprüchen, insbesondere hinsichtlich der möglichen Rechtsfolgen gemäß §§ 15 Abs. 3 und 4 sowie 16 Abs. 3 GTelG 2012,
Beratung über Widerrufsmöglichkeiten,
Zusenden des Formulars zur Erklärung eines Widerspruchs bzw. Widerrufs des Widerspruchs,
Auskunftserteilung über den Bearbeitungsstatus der Willenserklärung sowie
Anfragen, die nicht in den Aufgabenbereich der Serviceline fallen, an die richtige Stelle im Sinne des § 6 Abs. 1 AVG zu verweisen.
(3) Mitarbeiter/innen der Serviceline dürfen gemäß § 14 Abs. 3 Z 1 GTelG 2012 durch ELGA verfügbar gemachte ELGA-Gesundheitsdaten weder verlangen noch auf sie zugreifen noch diese verwenden.
rechtliche Beratung der ELGA-Teilnehmer/innen im Zusammenhang mit Rechtsfragen zu deren persönlicher ELGA oder der ELGA einer von ihnen vertretenen Person in einem konkreten Anlassfall und in Angelegenheiten des Datenschutzes,
Namhaftmachung der jeweils für die Verarbeitung von ELGA-Gesundheitsdaten verantwortlichen ELGA-Gesundheitsdiensteanbieter,
Unterstützung der ELGA-Teilnehmer/innen,
Unterstützung der ELGA-Systempartner bei der Weiterentwicklung der Teilnehmer/innen/rechte und des Datenschutzes sowie
Anfragen, die nicht in den Aufgabenbereich der ELGA-Ombudsstelle fallen, an die richtige Stelle im Sinne des § 6 Abs. 1 AVG zu verweisen.
Ansprechstelle für die Angelegenheiten der ELGA-Ombudsstelle sowie
Erstellen eines jährlichen Tätigkeitsberichts für das vorangegangene Kalenderjahr.
(3) Der Tätigkeitsbericht ist den ELGA-Systempartnern (§ 2 Z 11 GTelG 2012) und den dezentralen Standorten der ELGA-Ombudsstelle zur Kenntnisnahme zu übermitteln sowie auf www.bmg.gv.at zu veröffentlichen.
ihre eindeutige Identität (§ 2 Z 2 E-GovG) festgestellt wurde,
sie durch ELGA-Teilnehmer/innen bzw. ihre Vertreter/innen beauftragt wurden, für einen konkreten Fall tätig zu werden und
eine Überprüfung der Identität gemäß § 13 erfolgte.
durch persönliche Vorsprache der ELGA-Teilnehmer/innen und Vorlage eines amtlichen Lichtbildausweises oder
durch persönliche Vorsprache von Vertreter/inne/n und Nachweis
ihrer eigenen eindeutigen Identität mittels amtlichen Lichtbildausweises,
der ihnen eingeräumten Vertretungsmacht durch Vorlage entsprechender Dokumente sowie
der eindeutigen Identität der/des Vertretenen mittels Kopie eines amtlichen Lichtbildausweises der /des Vertretenen oder
schriftlich auf dem Postweg von ELGA-Teilnehmer/inne/n durch Angabe
des Namens sowie allfälliger akademischer Grade der ELGA-Teilnehmerin/des ELGA-Teilnehmers,
des Geschlechts, des Geburtsdatums und des Geburtsortes der ELGA-Teilnehmerin/des ELGA-Teilnehmers sowie
der Telefonnummer, Anschrift oder E-Mailadresse der ELGA-Teilnehmerin/des ELGA-Teilnehmers für Rückfragen oder
schriftlich auf dem Postweg von Vertreter/inne/n durch Angabe
des Namens sowie allfälliger akademischer Grade der Vertreterin/des Vertreters,
des Geschlechts, des Geburtsdatums und des Geburtsortes der Vertreterin/des Vertreters sowie
der Telefonnummer, Anschrift oder E-Mailadresse der Vertreterin/des Vertreters für Rückfragen.
(1a) Der Anfrage, die postalisch an die ELGA-Ombudsstelle übermittelt wird, muss zur eindeutigen Identifizierung der ELGA-Teilnehmerin/des ELGA-Teilnehmers eine Kopie eines amtlichen Lichtbildausweises beigelegt werden. Die Anfrage muss darüber hinaus eigenhändig unterschrieben sein.
(1b) Im Falle der Vertretung müssen
ein Nachweis der Vertretungsvollmacht bzw. der Eigenschaft als berufsmäßige Parteienvertreterin/berufsmäßiger Parteienvertreter der Anfrage, die postalisch an die ELGA-Ombudsstelle übermittelt wird, beigelegt sein,
die Anfrage eigenhändig von der Vertreterin/vom Vertreter unterschrieben sein.
(1c) Eine Anfrage, die elektronisch ohne qualifizierte Signatur gemäß § 2 Z 3a SigG abgegeben wird, ist nicht geeignet den Nachweis der eindeutigen Identität zu erbringen.
die Identität der ELGA-Teilnehmer/innen, an die das Arzneimittel verordnet bzw. abgegeben wird, durch Verwendung entsprechender eindeutiger Identifikatoren des Patientenindex gemäß § 18 GTelG 2012,
die Identität des tatsächlich verordnenden bzw. abgebenden ELGA-Gesundheitsdiensteanbieters durch Verwendung entsprechender eindeutiger Identifikatoren des Gesundheitsdiensteanbieterindex gemäß § 19 GTelG 2012,
den Handelsnamen bzw. den Wirkstoff,
die Verordnungs-ID als eindeutigen, maschinell ermittelten und maschinell lesbaren Identifikator der Verordnung sowie
die Abgabe-ID als eindeutigen, maschinell ermittelten Identifikator der Abgabe.
bei Arzneispezialitäten mit deren ATC-Code (anatomisch-therapeutisch-chemisches Klassifikationssystem der Weltgesundheitsorganisation) und
bei magistralen Zubereitungen mit deren Bezeichnung
Angaben zur Dauer der Gültigkeit und Abgabewiederholung der Verordnung,
die Einnahmeregeln zum Zeitpunkt der Verordnung,
die verordnete Packungsanzahl sowie
nach der Art der jeweiligen Arzneimittelverordnung erforderliche, der Patientin/dem Patienten mitgeteilte Zusatzinformationen.
die Einnahmeregeln zum Zeitpunkt der Abgabe,
die abgegebene Packungsanzahl sowie
nach der Art der jeweiligen Arzneimittelabgabe erforderliche, der Patientin/dem Patienten mitgeteilte Zusatzinformationen.
Allgemeiner CDA-Implementierungsleitfaden (Version 2.06),
Implementierungsleitfaden Entlassungsbrief Ärztlich (Version 2.06),
Implementierungsleitfaden Entlassungsbrief Pflege (Version 2.06),
Implementierungsleitfaden Laborbefund (Version 2.06),
Implementierungsleitfaden Befund bildgebender Diagnostik (Version 2.06),
Implementierungsleitfaden XDS Metadaten (Version 2.06),
Implementierungsleitfaden E-Medikation (Version 2.06) sowie
Implementierungsleitfaden Pflegesituationsbericht (Version 2.06).
(2) Medizinische Dokumente und Medikationsdaten haben alle Felder zu enthalten, die in den Implementierungsleitfäden mit den Konformitätskriterien „Mandatory“ (M) „Required“ (R) bezeichnet sind. Die eingehaltene ELGA-Interoperabilitätsstufe ergibt sich aus der tatsächlichen Verwendung von Feldern, die in den Implementierungsleitfäden mit den Konformitätskriterien „Mandatory“ (M) und „Required“ (R) bezeichnet sind.
(3) Die Implementierungsleitfäden gemäß Abs. 1, deren Prüfsummen sowie ihre eindeutigen Kennungen (OID gemäß § 10 Abs. 5 GTelG 2012) sind von der Bundesministerin für Gesundheit unter www.gesundheit.gv.at zu veröffentlichen.
(4) Aktualisierungen, die Konformitätskriterien „Mandatory“ (M) und „Required“ (R) betreffen („Hauptversionen“) sind im Rahmen dieser Verordnung kundzumachen. Andere Aktualisierungen („Nebenversionen“) dürfen auch ohne Änderung dieser Verordnung unter www.gesundheit.gv.at veröffentlicht und verwendet werden. Hauptversionen und erstmalig in die Verordnung aufgenommene Implementierungsleitfäden dürfen mit Inkrafttreten dieser Verordnung verwendet werden, spätestens nach einer Übergangsfrist von 18 Monaten müssen sie verwendet werden, sofern dies gemäß Abs. 2 erforderlich ist.
(3) Sofern eine Pflicht zur Verwendung von Daten im Sinne von § 14 oder § 16 Abs. 2 besteht, sind auch die dafür erforderlichen Terminologien verpflichtend zu verwenden.
§ 17a. (1) Beim Betrieb von ELGA-Komponenten (§ 24 GTelG 2012) ist darauf zu achten, dass die Verfügbarkeit von ELGA, insbesondere auch außerhalb der Kernzeit (Abs. 2 Z 1), so hoch wie möglich ist.
(2) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben dafür zu sorgen, dass
die Komponentenverfügbarkeit (§ 2 Z 2a) während der Kernzeit, d.h. an Werktagen, die
ein Montag, Dienstag, Mittwoch oder Donnerstag sind, in der Zeit von 8:30 Uhr bis 16:30 Uhr oder
ein Freitag sind, in der Zeit von 8:30 Uhr bis 13:30 Uhr
bis auf maximal elf Stunden pro Kalendervierteljahr immer gegeben ist und
die Reaktion auf Störungen und sonstige Anfragen so schnell wie möglich zu erfolgen hat.
(3) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben dafür zu sorgen, dass der Zeitraum zwischen zwei Wiederherstellungspunkten so gering wie möglich ist, jedenfalls aber 30 Stunden nicht übersteigt.
(4) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben die Wiederherstellung gesicherter Daten mindestens einmal jährlich zu testen. Dies ist gemäß § 8 GTelG 2012 zu dokumentieren.
Sicherheitsanforderungen und Zugriffsschutz
§ 17b. (1) Zur Einhaltung der Sicherheitsanforderungen und Gewährleistung des erforderlichen Zugriffsschutzes bedarf es der Einhaltung von
organisatorischen Sicherheitsanforderungen (§§ 17c bis 17e),
technischen Sicherheitsanforderungen (§ 17f),
Sicherheitsanforderungen an die Identifikation (§ 17g),
Sicherheitsanforderungen für Testumgebungen (§ 17h),
baulichen Sicherheitsanforderungen (§ 17i) sowie
Sicherheitsanforderungen an das Personal (§ 17j).
(2) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben
die in den §§ 17c bis 17j vorgesehenen Sicherheitsanforderungen auch hinsichtlich aller Dienste, die zur Kommunikation zwischen den ELGA-Komponenten (§ 24 GTelG 2012) erforderlich sind, einzuhalten sowie
die Einhaltung der genannten Sicherheitsanforderungen laufend zu überwachen.
Beauftragte/r für die Informationssicherheit
§ 17c. (1) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben aus ihren Mitarbeiter/innen eine/n Beauftragte/n für die Informationssicherheit zu benennen.
(2) Mitarbeiter/innen haben Sicherheitszwischenfälle und -probleme, die direkt oder indirekt eine Gefährdung von ELGA bedingen können, unmittelbar der/dem Beauftragten für die Informationssicherheit zu melden, die/der diese Informationen gegebenenfalls den Beauftragten anderer Betreiber übermittelt.
(3) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) dürfen folgende Informationen auch mit Koordinationsnetzen zur IT-Sicherheit, die von Auftraggebern des öffentlichen Bereichs (§ 5 DSG 2000) betrieben werden, austauschen:
Warnungen vor Sicherheitslücken sowie
Lösungsansätze zur Schließung von Sicherheitslücken.
§ 17d. (1) Zur Einhaltung eines Risikomanagements sind alle Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) verpflichtet.
(2) Das Risikomanagement umfasst insbesondere:
die Erfassung von Sicherheitsrisiken,
die Bewertung von Sicherheitsrisiken,
die angemessene Reaktion auf Sicherheitsrisiken sowie
die Dokumentation der Reaktion gemäß § 8 GTelG 2012.
Sicherheitsanforderungen an Prozesse
§ 17e. (1) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben am Ticket-System der Serviceline (§ 8) teilzunehmen. Die Serviceline (§ 8) hat auf eine möglichst effiziente Abwicklung zu achten.
(2) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben die Betriebsprozesse zur
Erfassung von IT-Sicherheitszwischenfällen,
Reaktion auf IT-Sicherheitsprobleme,
Änderung der technischen Infrastruktur von ELGA-Komponenten,
Eingliederung und Ausrollung neuer Software,
Authentifizierung von Benutzern sowie
Aufrechterhaltung der Betriebskontinuität
gemäß § 8 GTelG 2012 zu dokumentieren.
Technische Sicherheitsanforderungen
§ 17f. (1) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben für die Aktualität der für Zwecke von ELGA eingesetzten Software zu sorgen.
(2) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben durch geeignete technische Maßnahmen dafür zu sorgen, dass die von ihnen weitergegebenen Daten frei von Viren oder anderer Schadsoftware sind.
(3) ELGA-Gesundheitsdiensteanbieter und Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) dürfen, bei der Weitergabe von Gesundheitsdaten an Betreiber von ELGA-Komponenten (§ 24 GTelG 2012), nur die von diesen Betreibern zur Verfügung gestellten Zertifikate verwenden.
(4) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben die Ausführungsbestimmungen der in Abs. 3 angeführten Zertifikate gemäß § 8 GTelG 2012 zu dokumentieren.
(5) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben die zeitliche Synchronität der ELGA-Komponenten zu gewährleisten.
(6) Zu entsorgende Datenträger und Unterlagen sind so zu zerstören, dass sie nicht mehr gelesen werden können. Die verwendete Methode ist gemäß § 8 GTelG 2012 zu dokumentieren.
(7) Endgeräte, über die ELGA genutzt werden kann, sind vor unbefugtem Zugang und Gebrauch zu schützen.
Sicherheitsanforderungen an die Authentifizierung
§ 17g. (1) Zur Sicherstellung der bereits erfolgten Authentifizierung dürfen indirekt personenbezogene Sicherheitstoken verwendet werden.
(2) Sicherheitstoken gemäß Abs. 1 dürfen folgende Datenarten umfassen:
die eindeutige Kennung des Softwareservices, das den Sicherheitstoken ausgestellt hat,
das Datum sowie den Zeitpunkt der Identitätsfeststellung,
das bereichsspezifische Personenkennzeichen „GH“ oder eine eindeutige Kennung (OID) des ELGA-Gesundheitsdiensteanbieters,
das bereichsspezifische Personenkennzeichen „GH“ oder eine eindeutige Kennung der ELGA-Teilnehmerin/des ELGA-Teilnehmers,
die Qualität der Identifikation sowie
den Status des Sicherheitstokens.
(3) Sicherheitstoken dürfen
in Netzen gemäß § 6 Abs. 1 Z 1 GTelG 2012 nicht länger als vier Stunden und
in allen andere Netzen nicht länger als 20 Minuten
Sicherheitsanforderungen für Testumgebungen
§ 17h. (1) Die Verwendung von ELGA zu Testzwecken darf nicht mit personenbezogenen Echtdaten von Personen gemäß § 15 Abs. 1 Z 1 GTelG 2012 durchgeführt werden.
(2) Testsysteme sind von Produktivsystemen zu trennen. Die Haltung von Produktivsystemen zu Zwecken der Fehlerbehebung sowie zur Sicherung der Datenqualität und Betriebsstabilität ist zulässig.
Bauliche Sicherheitsanforderungen
§ 17i. Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben dafür zu sorgen, dass
alle Zutrittsmöglichkeiten zu Räumlichkeiten, in denen sich technische Infrastruktur von ELGA-Komponenten (§ 24 GTelG 2012) befindet, dem technischen Stand entsprechend überwacht werden sowie
ein angemessener baulicher und technischer Einbruchsschutz für Räumlichkeiten im Sinne der Z 1 vorgesehen ist.
Sicherheitsanforderungen an das Personal
§ 17j. (1) Die Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) haben
ihre Mitarbeiter/innen über die einschlägigen Rechtsvorschriften zu belehren,
technisch zu gewährleisten, dass es keine Verwendung von Gesundheitsdaten außerhalb der zulässigen Rollen gibt,
bei der Vergabe von Benutzerberechtigungen sicherzustellen, dass Mitarbeiter/inne/n nicht einander ausschließende Rollen zugeteilt werden und
bei Austritt und Wechsel von Mitarbeiter/inne/n dafür zu sorgen, dass eine vollständige Rücksetzung der Berechtigungen erfolgt.
(2) Bei der Weitergabe von Authentifizierungsdaten haftet derjenige, der die Authentifizierungsdaten weitergegeben hat.
(3) Bei Beendigung der Tätigkeit sind allfällige Betriebsmittel, die ELGA-Gesundheitsdaten enthalten können, zurückzustellen.
(4) Die Mitarbeiter/innen der Betreiber von ELGA-Komponenten (§ 24 GTelG 2012) sind zur Verschwiegenheit über alle ihnen in Ausübung ihres Berufes anvertrauten oder bekannt gewordenen Tatsachen verpflichtet. Diese Pflicht besteht auch nach Beendigung ihrer Tätigkeit bei dem jeweiligen Betreiber. Insbesondere ist für die Einhaltung der Datenverwendungsgrundsätze gemäß § 6 DSG 2000 sowie der Datensicherheitsmaßnahmen gemäß § 14 DSG 2000 zu sorgen.
§ 17k. (1) Vor Aufnahme des Betriebes von Datenspeichern und Verweisregistern ist der Bundesministerin für Gesundheit eine Meldung mit folgendem Inhalt zu erstatten:
Name(n) oder Bezeichnung des Betreibers,
die Bezeichnung des Rechtsträgers, wenn der Betreiber keine natürliche Person ist,
Identifikatoren des Betreibers einschließlich der eindeutigen elektronischen Kennzeichen gemäß § 8 E-GovG,
Angaben zur beruflichen, postalischen und elektronischen Erreichbarkeit des Betreibers,
Name und Kontaktdaten der von dem Betreiber berechtigten Personen, die die Ausstellung von Zertifikaten gemäß § 17f Abs. 3 im Namen des Betreibers beantragen dürfen sowie
Angaben zur geografischen Lokalisierung des Betreibers.
(2) Der Meldung gemäß Abs. 1 ist das IT-Sicherheitskonzept gemäß § 8 GTelG 2012 beizulegen.
(3) Die Bundesministerin für Gesundheit hat Betreibern von Datenspeichern und Verweisregistern gemäß § 24 Abs. 2 GTelG 2012 den Betrieb mit Bescheid zu untersagen, wenn die Voraussetzungen dieser Verordnung nicht eingehalten werden.
(4) Auf Verfahren zur Untersagung gemäß Abs. 3 ist das Allgemeine Verwaltungsverfahrensgesetz 1991, BGBl. Nr. 51/1991, anzuwenden.
§ 18. (1) ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 GTelG 2012 haben in den Bereichen, in denen Patient/inn/en angemeldet bzw. identifiziert werden, über die gemäß § 16 GTelG 2012 gewährten Teilnehmer/innen/rechte in Form eines verständlichen, gut sichtbaren und leicht zugänglichen Aushanges zu informieren. Der Zeitpunkt, ab dem ELGA-Gesundheitsdiensteanbieter den Aushang zugänglich machen müssen, richtet sich nach den Bestimmungen des § 27 GTelG 2012 in Verbindung mit den §§ 21 und 21a.
Auskunftserteilung über die sie betreffenden ELGA-Gesundheits- und Protokolldaten über das Zugangsportal oder durch die ELGA-Ombudsstelle,
Möglichkeit, individuelle Zugriffsberechtigungen über das Zugangsportal oder durch die ELGA-Ombudsstelle festzulegen,
Option, einen ELGA-Gesundheitsdiensteanbieter des Vertrauens festzulegen, sowie
der Aufnahme von ELGA-Gesundheitsdaten gegenüber dem jeweils behandelnden bzw. betreuenden ELGA-Gesundheitsdiensteanbieter im konkreten Anlassfall situativ zu widersprechen, wobei der situative Widerspruch im Aushang ebenfalls erklärt werden muss.
(5) Die Bundesministerin für Gesundheit hat den ELGA-Gesundheitsdiensteanbietern sowie den gesetzlichen Interessenvertretungen, ausgenommen Einrichtungen der Pflege sowie deren Interessenvertretungen, gemäß Abs. 4 Muster für Aushänge gemäß der Anlagen zu dieser Verordnung zur Verfügung zu stellen.
§ 19. Obsorgeberechtigte dürfen die ELGA von Kindern, für die sie obsorgeberechtigt sind, bis zur Vollendung des 14. Lebensjahres zu den in § 14 Abs. 2 GTelG 2012 genannten Zwecken der Gesundheitsversorgung sowie der Wahrnehmung der Teilnehmer/innen/rechte verwenden.
Beginn der Speicherverpflichtung für Krankenanstalten und weitere Übergangsbestimmungen
(1a) ELGA-Gesundheitsdaten gemäß § 16 Abs. 1 Z 8 sind nicht von der Pflicht gemäß Abs. 1 umfasst.
EIS Structured ab 1. Dezember 2015,
EIS Enhanced ab 1. Jänner 2017 sowie
EIS Full Support ab 1. Jänner 2018.
(8) Bis zum Ablauf des 30. Juni 2016 gelten Meldungen gemäß § 17k Abs. 1 auch dann als vollständig, wenn sie die Voraussetzungen des § 17k Abs. 2 nicht erfüllen.
Beginn der Speicherverpflichtung für den niedergelassenen Bereich, selbstständige Ambulatorien und Apotheken
§ 21a. (1) Gemäß § 27 Abs. 3 GTelG 2012 in Verbindung mit § 13 Abs. 3 Z 4 und 5 GTelG 2012 haben Apotheken gemäß § 1 des Apothekengesetzes, RGBl. Nr. 5/1907 und, sofern sie in einem Vertragsverhältnis zu einem Träger der gesetzlichen Sozialversicherung stehen, freiberuflich tätige Ärztinnen und Ärzte gemäß § 3 des Ärztegesetzes 1998 (ÄrzteG 1998), BGBl. I Nr. 169/1998, sowie Gruppenpraxen und selbstständige Ambulatorien gemäß § 3a KAKuG, deren Leistungsspektrum Aufgaben der ärztlichen Berufe im Sinne des § 2 Z 10 GTelG 2012 umfasst, Medikationsdaten (§ 2 Z 9 lit. b GTelG 2012) zu speichern
ab dem 8. März 2018 im politischen Bezirk Deutschlandsberg;
ab dem 29. März 2018 in den politischen Bezirken Hartberg-Fürstenfeld, Leibnitz, Südoststeiermark und Weiz;
ab dem 19. April 2018 in den politischen Bezirken Bruck-Mürzzuschlag, Leoben, Liezen, Murau, Murtal und Voitsberg;
ab dem 10. Mai 2018 in den politischen Bezirken Graz-Stadt und Graz-Umgebung;
ab dem 31. Mai 2018 in den politischen Bezirken Klagenfurt, Klagenfurt-Land, St. Veit an der Glan, Völkermarkt und Wolfsberg;
ab dem 14. Juni 2018 in den politischen Bezirken Feldkirchen, Hermagor, Spittal an der Drau, Villach und Villach Land;
ab dem 27. September 2018 in den politischen Bezirken Lienz, Kitzbühel, Kufstein und Schwaz;
ab dem 18. Oktober 2018 in den politischen Bezirken Imst, Innsbruck, Innsbruck-Land, Landeck und Reutte;
ab dem 8. November 2018 in den politischen Bezirken Salzburg und Salzburg-Umgebung;
ab dem 22. November 2018 in den politischen Bezirken Hallein, St. Johann im Pongau, Tamsweg und Zell am See;
ab dem 13. Dezember 2018 in den politischen Bezirken Eferding, Freistadt, Grieskirchen, Perg, Rohrbach, Schärding und Urfahr-Umgebung;
ab dem 31. Jänner 2019 in den politischen Bezirken Braunau, Ried, Vöcklabruck, Wels und Wels-Land;
ab dem 14. Februar 2019 in den politischen Bezirken Gmunden, Kirchdorf, Steyr und Steyr-Land;
ab dem 28. Februar 2019 in den politischen Bezirken Linz und Linz-Land;
ab dem 21. März 2019 in den politischen Bezirken Bludenz, Bregenz, Dornbirn und Feldkirch;
ab dem 4. April 2019 in den politischen Bezirken Baden und Mödling;
ab dem 25. April 2019 in den politischen Bezirken Bruck/Leitha, Gänserndorf, Hollabrunn, Horn, Korneuburg, Mistelbach und Tulln;
ab dem 16. Mai 2019 in den politischen Bezirken Amstetten, Gmünd, Krems an der Donau, Krems-Land, Melk, Waidhofen/Thaya, Waidhofen/Ybbs und Zwettl;
ab dem 6. Juni 2019 in den politischen Bezirken Lilienfeld, Neunkirchen, Scheibbs, St. Pölten, St. Pölten Land, Wr. Neustadt und Wr. Neustadt Land;
ab dem 20. Juni 2019 in den politischen Bezirken Eisenstadt, Eisenstadt-Umgebung, Güssing, Jennersdorf, Mattersburg, Neusiedl am See, Oberpullendorf, Oberwart und Rust;
ab dem 11. Juli 2019 in den folgenden Wiener Gemeindebezirken: 21. Bezirk und 22. Bezirk;
ab dem 25. Juli 2019 in den folgenden Wiener Gemeindebezirken: 2. Bezirk, 10. Bezirk und 11. Bezirk;
ab dem 8. August 2019 in den folgenden Wiener Gemeindebezirken: 1. Bezirk, 3. Bezirk, 4. Bezirk, 5. Bezirk, 6. Bezirk, 7. Bezirk, 8. Bezirk, und 9. Bezirk;
ab dem 29. August 2019 in den folgenden Wiener Gemeindebezirken: 16. Bezirk, 17. Bezirk, 18. Bezirk, 19. Bezirk und 20. Bezirk;
ab dem 19. September 2019 in den folgenden Wiener Gemeindebezirken: 12. Bezirk, 13. Bezirk, 14. Bezirk, 15. Bezirk und 23. Bezirk.
(2) Der Beginn der Verpflichtungen gemäß Abs. 1 ist im Einzelfall gehemmt, solange die Nutzung der ELGA-Komponenten (§ 24 GTelG 2012) zur Verwendung von ELGA-Gesundheitsdaten technisch nicht möglich ist.
(3) Unbeschadet der Verpflichtung gemäß § 13 Abs. 3 Z 4 GTelG 2012 in Verbindung mit § 27 Abs. 3 Z 2 und 3 GTelG 2012, gelten die Verpflichtungstermine nach Abs. 1 ausschließlich für Vertragsärztinnen und Vertragsärzte (auch Vertragsgruppenpraxen), soweit sie
(4) Unbeschadet des Rechts aller ELGA-Gesundheitsanbieter, ELGA zu verwenden (§ 13 Abs. 2 GTelG 2012), erstrecken sich die Verpflichtungstermine nach Abs. 1 nicht auf Vertragsärztinnen und Vertragsärzte mit Ausnahme von Gruppenpraxen,
deren Einzelvertrag aufgrund der im anzuwendenden Gesamtvertrag festgelegten Altersgrenze innerhalb von vier Jahren ab dem gemäß Abs. 1 Z 1 bis 25 anzuwendenden Verpflichtungszeitpunkt jedenfalls endet, oder
deren Einzelvertrag aufgrund der im anzuwendenden Gesamtvertrag festgelegten Altersgrenze innerhalb von zehn Jahren ab dem gemäß Abs. 1 Z 1 bis 25 anzuwendenden Verpflichtungszeitpunkt jedenfalls endet, sofern sie sich bis zu dem gemäß Abs. 1 Z 1 bis 25 anzuwendenden Verpflichtungszeitpunkt schriftlich gegenüber dem jeweiligen Träger der Krankenversicherung verpflichten, ihren Einzelvertrag innerhalb eines Jahres ab dem gemäß Abs. 1 Z 1 bis 25 anzuwendenden Verpflichtungszeitpunkt zurückzulegen.
Für Vertragsärztinnen und Vertragsärzte, die entgegen der schriftlichen Verpflichtungserklärung gemäß Z 2 nach Ablauf der einjährigen Frist in einem aufrechten Vertragsverhältnis zu einem Träger der Krankenversicherung stehen, gilt die Speicherpflicht nach Abs. 1 ab Ende der einjährigen Frist.
(1a) § 2 Z 2a, 3a, 3b und 6, § 4 Abs. 6 und 8, § 11 Abs. 3, § 13 Abs. 1 Z 3 und 4 sowie Abs 1a bis 1c, § 16, § 17 Abs. 3, die §§ 17a bis 17k samt Überschriften, § 18 Abs. 5, § 19, § 21 Abs. 1a und 8, § 23 sowie die Anlage, in der Fassung der ELGA-Verordnungsnovelle 2015, BGBl. II Nr. 373/2015, treten mit 27. November 2015 in Kraft.
(1b) § 3 Abs. 1, § 8 Abs. 1 und 3, § 18 Abs. 5, § 21 Abs. 8, die Überschrift des § 21, § 21a sowie die Anlagen, in der Fassung der ELGA-Verordnungsnovelle 2017, BGBl. II Nr. 380/2017, treten mit dem auf den Tag der Kundmachung folgenden Tag in Kraft.
§ 23. Diese Verordnung wurde unter Einhaltung der Bestimmungen der Richtlinie 98/34/EG über ein Informationsverfahren auf dem Gebiet der Normen und technischen Vorschriften und der Vorschriften für die Dienste der Informationsgesellschaft, ABl. Nr. L 204 vom 21.07.1998 S. 37, zuletzt geändert durch die Richtlinie 2006/96/EG, ABl. Nr. L 363 vom 20.12.2006 S. 81, der Europäischen Kommission unter den Notifikationsnummern 2014/629/A und 2015/414/A, notifiziert.

References: § 16
 § 16
 § 16
 § 16
 § 18
 § 15
 § 15

§ 3
 § 28
 § 23
 § 31
 § 15
 § 6
 § 2
 § 33
 § 2
 § 15
 § 15

§ 8
 § 28
 § 23
 § 31
 § 6
 § 14
 § 6
 § 13
 § 2
 § 18
 § 19
 § 10
 § 14
 § 16

§ 17
 § 8

§ 17

§ 17

§ 17
 § 8

§ 17
 § 8

§ 17
 § 8
 § 8

§ 17
 § 6

§ 17
 § 15

§ 17

§ 17
 § 6
 § 14

§ 17
 § 8
 § 17
 § 8
 § 24

§ 18
 § 2
 § 16
 § 27

§ 19
 § 14
 § 16
 § 17
 § 17

§ 21
 § 27
 § 13
 § 1
 § 3
 § 3
 § 2
 § 13
 § 27
 § 2
 § 4
 § 11
 § 13
 § 16
 § 17
 § 18
 § 19
 § 21
 § 23
 § 3
 § 8
 § 18
 § 21
 § 21
 § 21

§ 23