Source: http://docplayer.org/603023-Schutz-der-patientendaten-und-schutz-der-versicherten-bericht-des-bundesrates-in-erfuellung-des-postulates-heim-08-3493.html
Timestamp: 2017-05-22 23:58:21
Document Index: 203240886

Matched Legal Cases: ['Art. 42', 'Art. 42', 'Art. 56', 'Art. 57', 'Art. 58', 'Art. 59', 'Art. 84', 'Art. 4', 'Art. 4', 'Art. 17', 'Art. 84', 'Art. 4', 'Art. 14', 'Art. 3', 'Art. 3', 'Art. 4', 'Art. 4', 'Art. 5', 'Art. 5', 'Art. 8', 'Art. 11', 'Art. 16', 'Art. 11', 'Art. 92', 'Art. 9', 'Art. 32', 'Art. 33', 'Art. 84', 'Art. 42', 'Art. 59', 'Art. 33', 'Art. 92', 'Art. 21', 'Art. 11', 'Art. 84', 'Art. 21', 'Art. 84', 'Art. 11', 'Art. 11', 'Art. 10', 'Art. 57', 'Art. 57', 'Art. 42', 'Art. 16', 'Art. 11', 'Art. 4', 'Art. 59', 'Art. 42', 'Art. 59', 'BGE', 'EuG', 'Art. 11', 'Art. 21', 'Art. 2', 'Art. 11', 'Art. 8', 'Art. 11', 'Art. 21', 'Art. 1', 'Art. 1', 'Art. 28']

Schutz der Patientendaten und Schutz der Versicherten. Bericht des Bundesrates in Erfüllung des Postulates Heim ( ) - PDF
Schutz der Patientendaten und Schutz der Versicherten. Bericht des Bundesrates in Erfüllung des Postulates Heim ( )
Download "Schutz der Patientendaten und Schutz der Versicherten. Bericht des Bundesrates in Erfüllung des Postulates Heim (08.3493)"
1 Schutz der Patientendaten und Schutz der Versicherten Bericht des Bundesrates in Erfüllung des Postulates Heim ( ) vom 18. Dezember2 Inhalt 1 Ausgangslage Postulat Heim ( ) "Schutz der Patientendaten und Schutz der Versicherten" Datenschutzvorgaben und Datenbearbeitungsgrundsätze für die KVG-Versicherer Ergebnisse der ersten Datenschutzerhebung ( ) Massnahmen des Bundesamtes für Gesundheit (BAG) seit der ersten Erhebung von Kreisschreiben 7.1 vom 25. August 2011 betreffend die datenschutzkonforme Organisation und Prozesse der KVG-Versicherer (aktualisiert am 17. Juni 2013) Zweite Datenschutzerhebung von betreffend die datenschutzkonforme Organisation und Prozesse der KVG-Versicherer Prüfung vor Ort (Audit/Schwerpunkt 2012) Prüfung der allgemeinen und speziellen Versicherungsbedingungen der KVG-Versicherer Ergebnisse der zweiten Datenschutzerhebung von Datenschutz- und Datensicherheitskonzepte der KVG-Versicherer Datenbearbeitungsreglemente und Konzepte für Zugriffsberechtigungen Register der Datensammlungen Outsourcing Vertrauensarzt und vertrauensärztlicher Dienst Betrieblicher Datenschutzverantwortlicher Datenschutzmanagementsystem und Datenschutzzertifizierungen Datenaustausch bei der Durchführung besonderer Versicherungsformen (HMO- und Hausarztmodelle (Ärztenetzwerke/HAM) sowie Versicherungsmodell mit telemedizinischer Beratung) Case Management Vollmachten und Einwilligungserklärungen Datenübermittlung der Spitäler an die KVG-Versicherer im Falle eines Vergütungsmodells vom Typus DRG Fazit Beilagenverzeichnis 23 23 1 Ausgangslage 1.1 Postulat Heim ( ) "Schutz der Patientendaten und Schutz der Versicherten" Der Bundesrat wurde durch das überwiesene Postulat Heim ( Schutz der Patientendaten und Schutz der Versicherten) beauftragt, in einem Bericht aufzuzeigen, welche Massnahmen gegen die Diskriminierung einzelner Patientengruppen durch neue besondere Versicherungsmodelle und zum Schutz der Patientendaten bei den Krankenversicherern geplant sind. Angesichts der Resultate einer ersten grossen Datenschutzerhebung bei den KVG-Versicherern, welche zwischen dem 4. Dezember 2007 und 16. Juni 2009 stattfand, und der Bedeutung dieses Themas für die involvierten Fachkreise und die Bevölkerung, hat sich der Bundesrat bereit erklärt, über die bereits getroffenen und zusätzlich noch zu treffenden Massnahmen zum Schutze der Patientendaten der Versicherten zu berichten. (vgl. Beilage 1 : Wortlaut Po , Begründung und Stellungnahme Bundesrat). Der vorliegende Bericht berücksichtigt folgende Vorarbeiten: Erste Datenschutzerhebung des Bundesamtes für Gesundheit (BAG) mit dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) bei den KVG-Versicherern ( ). Zweite Datenschutzerhebung des BAG ( ) nach Erlass des Kreisschreibens 7.1. am 25. August 2011 betreffend die datenschutzkonforme Organisation und Prozesse der KVG-Versicherer. Die Ergebnisse dieser Erhebungen stützen sich mehrheitlich auf Angaben der KVG- Versicherer. Austausche mit anderen sich mit dem Datenschutz der KVG-Versicherer befassenden Stellen (andere Aufsichtsbehörden [EDÖB, Eidgenössische Finanzmarktaufsicht], Branchenverbände [santésuisse, RVK-Verband der kleinen und mittleren Krankenversicherer, RVK], Datenschutzzertifizierungsstelle [KPMG Schweiz]), Rückfragen beim Ombudsman der Krankenversicherung. Laufende Datenschutzkontrollen (Stichproben) vor Ort bei den KVG-Versicherern durch die Sektion Audit des BAG. Überprüfung der von den KVG-Versicherern angegebenen Datenschutz- und Datensicherheitsmassnahmen durch den IT-Sicherheitsbeauftragten des BAG). Weitere seit 2008 eingegangene parlamentarische Vorstösse zum Schutz der Patientendaten sind in der Beilage 2 aufgeführt. 1.2 Datenschutzvorgaben und Datenbearbeitungsgrundsätze für die KVG-Versicherer Die KVG-Versicherer müssen zahlreiche Datenschutzbestimmungen hauptsächlich in folgenden Bundeserlassen beachten: Bundesgesetz vom 6. Oktober 2000 über den Allgemeinen Teil des Sozialversicherungsrechts (ATSG, SR 830.1) Verordnung vom 11. September 2002 über den Allgemeinen Teil des Sozialversicherungsrechts (ATSV, SR ) Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG, SR ) Verordnung vom 27. Juni 1995 über die Krankenversicherung (KVV, SR ) Verordnung vom 12. April 1995 über den Risikoausgleich in der Krankenversicherung (VORA, SR ) Verordnung vom 14. Februar 2007 über die Versichertenkarte für die obligatorische Krankenpflegeversicherung (VVK; SR ) 34 Verordnung des EDI vom 29. September 1995 über Leistungen in der obligatorischen Krankenpflegeversicherung (KLV, SR ) Verordnung des Eidgenössischen Departements des Innern (EDI) vom 20. März 2008 über die technischen und grafischen Anforderungen an die Versichertenkarte für die obligatorische Krankenpflegeversicherung (VVK-EDI, SR ) Verordnung des EDI vom 13. November 2012 über den Datenaustausch für die Prämienverbilligung (VDPV-EDI, SR ) Verordnung des EDI vom 20. November 2012 über die Datensätze für die Datenweitergabe zwischen Leistungserbringern und Versicherern (SR ) Bundesgesetz vom 19. Juni 1992 über den Datenschutz (DSG, SR 235.1) Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz (VDSG, SR ) Verordnung vom 28. September 2007 über die Datenschutzzertifizierungen (VDSZ, SR ) Die KVG-Versicherer nehmen als private Unternehmen mit der Durchführung der sozialen Krankenversicherung eine öffentliche Aufgabe des Bundes wahr. Deshalb gelten für sie strengere Regeln als für Unternehmen, die keine solche Aufgabe ausüben: KVG-Versicherer sind nur im Rahmen der gesetzlichen Bestimmungen befugt, besonders schützenswerte Personendaten 1 und Persönlichkeitsprofile 2 der Versicherten zu bearbeiten oder bearbeiten zu lassen (z. B. gestützt auf Art. 42 Abs. 3-5, Art. 42a, Art. 56, Art. 57 Abs. 4, 6 und 7, Art. 58 Abs. 3, Art. 59, Art , Art. 84a und 84b KVG). Dabei sind sie an die datenschutzrechtlichen Grundsätze wie das Legalitätsprinzip, das Verhältnismässigkeitsprinzip, das Zweckbindungsgebot, den Grundsatz von Treu und Glauben, das Transparenzprinzip, die Datenrichtigkeit und die Datensicherheit gebunden (Art. 4, 5, 7 DSG). Das Legalitätsprinzip, welchem sie als Unternehmen mit der Aufgabe, die soziale Krankenversicherung durchzuführen, gemäss Artikel 2 Absatz 1 Buchstabe b und Artikel 3 Buchstabe h DSG unterstellt sind, sieht Folgendes vor: Werden Personendaten durch die KVG-Versicherer bearbeitet, ist eine gesetzliche Grundlage nötig. Besonders schützenswerte Personendaten und Persönlichkeitsprofile im Sinn von Artikel 3 DSG dürfen nur bearbeitet werden, wenn ein formelles Gesetz dies ausdrücklich vorsieht. Im Einzelfall und nur ausnahmsweise können solche Daten auch bearbeitet werden, wenn die betroffene Person eingewilligt oder ihre Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat (Art. 4 Abs. 1 und Art. 17 Abs. 2 Bst. c DSG). Im KVG bildet insbesondere Artikel 84 die formellgesetzliche Grundlage für die Datenbearbeitung. Demnach dürfen die Versicherer Personendaten nur im Rahmen der ihnen nach dem KVG übertragenen Aufgaben bearbeiten (Art. 84 KVG, wobei die dortige Liste der Durchführungsaufgaben nicht abschliessend ist. Die Bearbeitungszwecke sind aber im KVG abschliessend geregelt). Der Grundsatz der Bearbeitung nach Treu und Glauben (Art. 4 Abs. 2 DSG) erfordert, dass die Datenbearbeitung für die betroffene Person transparent sein muss, d.h. dass eine Datenbeschaffung und jede weitere Datenbearbeitung für die betroffene Person erkennbar sein muss, die betroffene Person also aus den Umständen heraus damit rechnen musste oder sie entsprechend informiert bzw. aufgeklärt wird. Die betroffenen Personen sind über die Beschaffung und Bearbeitung von besonders schützenswerten Personendaten und von Persönlichkeitsprofilen zu informieren (Art. 14 DSG). 1 Art. 3 DSG: Besonders schützenswerte Personendaten sind Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten, die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit, Massnahmen der sozialen Hilfe, administrative oder strafrechtliche Verfolgungen und Sanktionen. 2 Art. 3 DSG: Ein Persönlichkeitsprofil ist eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt. 45 Das Verhältnismässigkeitsprinzip verlangt, dass nur diejenigen Personendaten beschafft und bearbeitet werden, welche für einen bestimmten Zweck objektiv tatsächlich benötigt und geeignet sind (Art. 4 Abs. 2 DSG). Daten dürfen nicht über den gesetzlich zugelassenen Umfang und die gesetzlich zulässige Dauer aufbewahrt werden. Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist (Zweckbindungsgebot; Art. 4 Abs. 3 DSG). Die Personendaten dürfen nicht für andere als die ursprünglichen Zwecke bearbeitet werden. Wer Daten bearbeitet, hat sich zu vergewissern, dass diese richtig sind (Wahrheitsgebot; Art. 5 Abs. 1 DSG) und die von der Datenbearbeitung betroffenen Personen haben das Recht, eine Berichtigung von unrichtigen Daten zu verlangen (Art. 5 Abs. 2 DSG). Weiter haben diese das Recht, über alle diese Daten Auskunft zu verlangen (Art. 8 DSG). Die versicherte Person hat somit das Recht, eine Kopie des gesamten Dossiers des Versicherers unter Vorbehalt der Dauer der Aufbewahrungspflicht des Versicherers zu erhalten. Die Krankenversicherer müssen ein Verzeichnis sämtlicher Datensammlungen führen und diese beim EDÖB zur Registrierung anmelden (Art. 11a DSG, Art. 16 VDSG). Sie sind von dieser Verpflichtung befreit, wenn sie eine für den betrieblichen Datenschutz verantwortliche Person bezeichnet haben, die unabhängig die betriebsinterne Einhaltung der Datenschutzvorschriften überwacht und ein Verzeichnis der Datensammlungen führt, oder wenn sie aufgrund eines Zertifizierungsverfahrens nach Artikel 11 DSG ein Datenschutz-Qualitätszeichen erworben und das Ergebnis der Bewertung dem EDÖB mitgeteilt haben (Art. 11a Abs. 2 und 5 Bst. e und f DSG). Das Personal der KVG-Versicherer untersteht gemäss Artikel 33 ATSG der Schweigepflicht. Ein Verstoss gegen diese Norm stellt ein Vergehen dar und hat strafrechtliche Konsequenzen zur Folge (Art. 92 Bst. c KVG). Zudem ist der Zugriff der berechtigten Angestellten des KVG- Versicherers auf diejenigen Personendaten zu beschränken, welche diese zur Erfüllung ihrer klar umschriebenen Aufgaben benötigen (Art. 9 Abs. 1 Bst. g VDVG). Zusätzlich sind die Vertrauensärztin oder der Vertrauensarzt und ihr/sein Hilfspersonal an die Schweigepflicht gemäss Artikel 321 des Strafgesetzbuchs (StGB; SR 311.0) und somit an das Patientengeheimnis gebunden. Die Weitergabe von Personendaten an externe Stellen ist nur in einem sehr beschränkten Rahmen zulässig. Zu beachten sind dabei die Artikel 84a KVG (Datenbekanntgabe) in Abweichung von Artikel 33 ATSG (Schweigepflicht) und Artikel 82 KVG (besondere Amts- und Verwaltungshilfe) ebenfalls in Abweichung zu Artikel 33 ATSG, Artikel 120 KVV (Informationspflicht der Krankenversicherer über die Datenbekanntgabe und geleistete Amts- und Verwaltungshilfe), Art. 32 Abs. 2 ATSG (Amts- und Verwaltungshilfe) sowie Artikel 47 ATSG (Akteneinsicht). Artikel 84a KVG regelt, unter welchen abschliessenden Voraussetzungen die in dieser Bestimmung genannten Organe (und nur diese) in Abweichung von der Schweigepflicht (Art. 33 ATSG) Personendaten genau definierten Dritten offenbaren dürfen. Eine andere Versicherungsgesellschaft, die die Versicherungen nach dem Bundesgesetz vom 2. April 1908 über den Versicherungsvertrag (VVG; SR ) anbietet, ist eine Dritte im Sinn von Art. 84a Abs. 5 KVG. Bietet der KVG-Versicherer selber solche Versicherungen nach VVG an, gelten die ob genannten Grundsätze, so insbesondere die Bearbeitung nach Treu und Glauben und das Zweckbindungsgebot. Dort, wo gleiche (automatisierte) Informationsflüsse für Personendaten aus der obligatorischen Krankenpflegeversicherung und den VVG-Versicherungen ein Datenmissbrauchspotential bergen, müssen getrennte Bearbeitungswege gewählt werden. Auch im Rahmen von Artikel 84a KVG sind, soweit das KVG keine Ausnahme vorsieht, die obgenannten Regeln des DSG zu beachten. 56 1.3 Ergebnisse der ersten Datenschutzerhebung ( ) Die erste flächendeckende Datenschutzerhebung des BAG mit dem EDÖB (4. Dezember Juni 2009) hat gezeigt, dass die Krankenversicherer für die Datenschutzproblematik sensibilisiert sind, und dass der Schutz der Daten trotz sehr unterschiedlicher Organisationsstrukturen über weite Strecken sichergestellt ist. Mit der Erhebung wurde aber auch festgestellt, dass in einigen sensiblen Bereichen noch Verbesserungspotential besteht. Mit der Veröffentlichung der Ergebnisse der Datenschutzerhebung am 16. Juni 2009 wurden sinngemäss folgende Empfehlungen abgegeben: BAG und EDÖB empfehlen den KVG-Versicherern, ein Datenschutzkonzept zu erarbeiten. Die KVG-Versicherer sind verpflichtet, ein Verzeichnis der Datensammlungen zu unterhalten. Für jede Datensammlung mit besonders schützenswerten Personendaten ist ein Bearbeitungsreglement zu unterhalten (insbesondere Beschreibung der Prozesse inkl. Verantwortlichkeiten, Berechtigungen, Datenfluss sowie der technischen Massnahmen zur Datensicherheit). BAG und EDÖB empfehlen den KVG-Versicherern, eine verantwortliche Person für den Datenschutz zu bezeichnen. Die Aufgaben dieses Verantwortlichen sind in einem Pflichtenheft zu umschreiben. Datenschutzverantwortliche müssen über die erforderlichen Fachkenntnisse verfügen. Es sollen von einer dafür spezialisierten Stelle regelmässig externe Datenschutzaudits durchgeführt und die Resultate den Aufsichtsbehörden unterbreitet werden. Die Ergebnisse der ersten Datenschutzerhebung (Bericht und Zusammenfassung) sind unter folgenden Link veröffentlicht: 2 Massnahmen des Bundesamtes für Gesundheit (BAG) seit der ersten Erhebung von Kreisschreiben 7.1 vom 25. August 2011 betreffend die datenschutzkonforme Organisation und Prozesse der KVG-Versicherer (aktualisiert am 17. Juni 2013) Obwohl das BAG festgestellt hat, dass die KVG-Versicherer im Anschluss an diese Empfehlungen verschiedene Massnahmen zur Verbesserung der Datenschutzkonformität ihrer Organisation und ihrer Prozesse eingeleitet haben, hat es am 25. August 2011 ein detailliertes Kreisschreiben an diese verschickt, um diese Entwicklung zu verstärken. Das am 1. September 2011 in Kraft getretene Kreisschreiben 7.1 schreibt den KVG-Versicherern nochmals vor, welche verschiedenen Vorkehrungen sie zum Schutz der Personendaten und namentlich der besonders schützenswerten Personendaten (insbesondere Gesundheitsdaten) der Versicherten treffen müssen. Allerdings enthielt damals das Kreisschreiben noch keine detaillierten Vorgaben, wie die KVG-Versicherer den Datenschutz und die Datensicherheit in Zusammenhang mit den Datenlieferungen der Leistungserbringer nach Einführung des Fallpauschalensystems SwissDRG sicherzustellen haben, weil die Regelung für die Übermittlung der abrechnungsrelevanten medizinischen Daten zu jenem Zeitpunkt noch offen war. Inzwischen wurde das Kreisschreiben 7.1 an diese neue Regelung (Art. 42 Abs. 3bis und 4 KVG, Art. 59ff KVV) angepasst und am 17. Juni 2013 den KVG-Versicherern zugestellt (Inkrafttreten am 1. Juli 2013). Das Kreisschreiben 7.1 empfiehlt den KVG-Versicherern - sofern sie noch keines haben - ein umfassendes ganzheitliches Datenschutz- und Sicherheitskonzept zu erarbeiten, es schreibt ihnen vor, Bearbeitungsreglemente für jede Datensammlung ab dem 1. Januar 2012 dem EDÖB unaufgefordert zur Beurteilung vorzulegen, und wo nötig, die noch fehlenden Datensammlungen oder die für den betrieblichen Datenschutz verantwortlichen Personen ebenfalls beim EDÖB anzumelden. Es erinnert die KVG-Versicherer an die zu beachtenden Regeln bei der Auslagerung von Dienstleistungen und wid- 67 met ein ganzes Kapitel der Unabhängigkeit des vertrauensärztlichen Dienstes der KVG-Versicherer. In weiteren sieben (neu acht) Anhängen zum Kreisschreiben 7.1 werden technische Fragen zum Datenschutz beantwortet (Rechtsgrundlagen, massgebende Datenschutzbestimmungen, Inhalt des Pflichtenheftes eines/einer Datenschutzverantwortlichen und Hinweise für freiwillige Datenschutzmanagementsysteme und -zertifizierungen, Aufnahme- und Vollmachtsformulare [zur Entbindung von der Schweigepflicht bzw. vom Arztgeheimnis], neu im Anhang 8 Vorgaben zur zertifizierten Datenannahmestelle). Gleichzeitig kündigte das BAG den KVG-Versichern an, sie einige Monate später gestützt auf das Kreisschreiben zu befragen, welche Vorkehrungen sie getroffen hätten und noch treffen würden. Wo nötig, würden entsprechende Korrekturen angeordnet und deren Umsetzung kontrolliert. Die Vorgaben des Kreisschreibens würden namentlich im Rahmen regelmässiger Kontrollen und Stichproben durch die Sektion Audit des BAG geprüft. Ausserdem wurden die KVG-Versicherer im Kreisschreiben unmissverständlich darauf hingewiesen, dass die Verletzung der Schweigepflicht (Art. 33 ATSG) durch deren Mitarbeitende als Vergehen und strafbares Verhalten geahndet würde (Art. 92 Bst. c KVG) und dass die Missachtung gesetzlicher Datenschutzvorschriften Sanktionen wie die Wiederherstellung des gesetzmässigen Zustandes auf Kosten des Versicherers, eine Verwarnung und Ordnungsbusse, einen Bewilligungsentzug und eine Veröffentlichung dieser Massnahmen nach sich ziehen könne (Art. 21 Abs. 5 und 5bis KVG). Das Kreisschreiben 7.1 vom 25. August 2011 ist mit Begleitschreiben und den sieben Anhängen in der Beilage 3 aufgeführt. Das Kreisschreiben 7.1 vom 17. Juni 2013 ist mit Begleitschreiben und den acht Anhängen in der Beilage 4 aufgeführt. 2.2 Zweite Datenschutzerhebung von betreffend die datenschutzkonformen Organisation und Prozesse der KVG-Versicherer Am 13. Dezember 2011 erhielten alle KVG-Versicherer einen umfangreichen Fragebogen für die Kontrolle der Umsetzung des Kreisschreibens 7.1 zu folgenden Punkten: Stand der Datenschutz- und Datensicherheitskonzepte, Stand der Datenbearbeitungsreglemente, aktuelle Verzeichnisse der Datensammlungen und deren Registrierung beim EDÖB, ausgelagerte Dienstleistungen und datenschutzkonforme Datenbearbeitung durch die Dienstleister, strukturelle Unabhängigkeit des Vertrauensärztlichen Dienstes, verantwortliche Stelle für den betrieblichen Datenschutz und Datenschutzschulungen im Betrieb, Datenschutzmanagementsysteme und -zertifizierungen, Case Management und Inhalt der Vollmachten und Einwilligungserklärungen der Versicherten für die Weitergabe medizinischer Angaben an Dritte. Weitere Fragen mit Bezug zum Postulat Heim betrafen den Datenaustausch zwischen den bei besonderen Versicherungsmodellen involvierten Stellen. Fragen zur Sicherstellung des Datenschutzes und der Datensicherheit in Zusammenhang mit den Datenlieferungen der Leistungserbringer nach Einführung des Fallpauschalensystems SwissDRG wurden von dieser zweiten Erhebung ausgeklammert, weil die Regelung für die Übermittlung der abrechnungsrelevanten medizinischen Daten zu jenem Zeitpunkt noch offen war. Alle Versicherer, welche die obligatorische Krankenpflegeversicherung durchführen, beantworteten den Fragebogen innert der gesetzten bzw. verlängerten Frist. Auf Antrag wurden einzelne reine Taggeldkassen von dieser Aufgabe befreit. Für die Auswertung der eingegangenen Antworten wurden aber sämtliche KVG-Versicherer (67, wovon sechs Taggeldkassen) berücksichtigt. Der Fragebogen ist mit dem Begleitschreiben vom 13. Dezember 2011 in der Beilage 5 aufgeführt. 78 2.3 Prüfung vor Ort (Audit/Schwerpunkt 2012) Im Rahmen seiner Aufsichtsfunktion führt das BAG gezielte Kontrollen und Stichproben am Standort der KVG-Versicherer durch. Ziel und Zweck dieser regelmässigen Audits ist die Überwachung des Vollzugs des KVG und dessen Verordnungen sowie der vom BAG erteilten Weisungen. Das Prüfprogramm beinhaltet je nach den beurteilten Risiken die Bereiche Organisation und Unternehmensführung, Versicherungsleistungen und regelmässig den Datenschutz sowie Dienstleistungen und Finanzen. Das Audit erfolgt durch prozess- und ergebnisorientierte Kontrollen. Das BAG prüft bereits seit 2009 die Einhaltung der Datenschutzbestimmungen bei den Versicherern vor Ort. Seit 2012 stellt die Überprüfung des Datenschutzes eines der Schwerpunkthemen der Audits dar. Die Grundlage der Audit-Prüfung ist das vom BAG erstellte Kreisschreiben 7.1 vom 25. August 2011, in Kraft seit dem 1. September 2011 (aktualisiert am 17. Juni 2013 mit Inkrafttreten am 1. Juli 2013). Dabei wird ermittelt, ob der KVG-Versicherer über eine datenschutzkonforme Organisation verfügt und ob die Abwicklung des Datenschutzes bei der Bearbeitung und Aufbewahrung von Daten und Akten (insbesondere im vertrauensärztlichen Dienst) nach definierten Prozessen und entsprechend den gesetzlichen Bestimmungen nach ATSG, KVG sowie DSG erfolgt. Die Kontrolle vor Ort durch das BAG ersetzt in keiner Weise eine Zertifizierung nach Art. 11 DSG und stellt keine Grundlage zu dieser Zertifizierung dar. Das BAG hat seit dem 1. Januar 2009 gestützt auf ihre 38 reguläre Audits 24 Weisungen zur datenschutzkonformen Organisation, zu den Datenbearbeitungsreglementen, zur Aufbewahrung (zahn)medizinischer und vertrauensärztlicher Dossiers, zur Aufbewahrung von diagnosebezogenen Daten, welche namentlich von DRG-Rechnungen stammen an kleine, mittlere und grosse Krankenversicherer erteilt. Am Häufigsten erfolgten die Weisungen in den drei zuletzt genannten Bereichen. Überdies erfolgten 25 Empfehlungen an die Krankenversicherer zur Erarbeitung eines Datenschutzkonzeptes und Datenbearbeitungsreglements, zur Anmeldung der Datensammlungen beim EDÖB, zur Meldung eines betrieblichen Datenschutzverantwortlichen an den EDÖB, zur Regelung der Zugriffsrechte auf Personal- und Leistungsdaten der Mitarbeitenden, zur Aufbewahrung vertrauensärztlicher Dossiers, zu kasseninternen Datenschutzkontrollmassnahmen, zur schriftlichen Regelung der Kompetenzen der Hilfspersonen des Vertrauensarztes und zur Einschränkung der Zugriffe im Case Management. Die Weisungen stützen sich auf eine gesetzliche Grundlage und deren Umsetzung kann vom Versicherer verlangt werden. Dies im Gegensatz zu den Empfehlungen. 2.4 Prüfung der allgemeinen und speziellen Versicherungsbedingungen der KVG-Versicherer Obwohl die allgemeinen und speziellen Versicherungsbedingungen der KVG-Versicherer der Genehmigung der Aufsichtsbehörde nicht bedürfen, prüft sie das BAG sporadisch. Wenn ein KVG- Versicherer neue Versicherungsbedingungen erlässt, legt er sie dem BAG vor. Eine gezielte Prüfung der allgemeinen und speziellen Versicherungsbedingungen der KVG-Versicherer ergab, dass v.a. die Erlasse für die besonderen Versicherungsformen (HMO- und Hausarztmodelle sowie Versicherungsmodell mit telemedizinischer Beratung) die wesentlichen, jedoch sehr allgemein formulierten Datenschutzgrundsätze und/oder einen Verweis auf die entsprechenden gesetzlichen Bestimmungen enthalten. Speziell geregelt ist z.b. der Zweck der Datenbearbeitung durch den KVG-Versicherer, das mit Einverständnis der versicherten Person mögliche Einsichtsrecht des koordinierenden Arztes bzw. der koordinierenden Ärztin in die für das besondere Versicherungsmodell notwendigen Diagnose-, Behandlungs- und Rechnungsdaten oder bei einem Arztwechsel, und die Weitergabe der notwendigen medizinischen Daten an den neuen koordinierenden Arzt bzw. die neue koordinierende Ärztin. 89 3. Ergebnisse der zweiten Datenschutzerhebung von Datenschutz- und Datensicherheitskonzepte der KVG-Versicherer Das Datenschutz- und Datensicherheitskonzept ist ein Instrument, mit dem die Versicherer die Grundsätze für die Beschaffung, Bearbeitung, Aufbewahrung, Bewirtschaftung und Bekanntgabe der Daten festlegen. Im Konzept sind unter anderem die Art und der Umfang der Daten definiert, die der Versicherer benötigt, um die ihm vom Gesetz übertragenen Aufgaben wahrzunehmen, der Zweck der Datenbearbeitung sowie die technischen und organisatorischen Massnahmen, die der Versicherer umsetzen muss, um die Einhaltung der Datenschutzvorschriften zu gewährleisten. Das Konzept gibt einen Rahmen vor für die Erarbeitung von Datenbearbeitungsreglementen (Art. 84b KVG; Art. 21 VDSG), Richtlinien zuhanden der Mitarbeitenden und der erforderlichen Massnahmen im Informatikbereich. Es dient als Grundlage, um die Aufgaben der mit dem Datenschutz beauftragten Personen, den Inhalt der Datensammlungen, die Rechte der Personen, deren Daten bearbeitet werden (versicherte Personen), und die Massnahmen zum Schutz unberechtigter Zugriffe auf die Personendaten festzulegen. Als autonome juristische Einheiten sind die Versicherer für die Erarbeitung ihres Datenschutz- und Datensicherheitskonzepts zuständig. Darin definiert sind die rechtlichen Datenschutzgrundsätze, die der Versicherer einhalten muss. Das Datenschutz- und Datensicherheitskonzept ist zwar gesetzlich nicht vorgeschrieben, aber das BAG empfiehlt, ein solches zu erarbeiten (siehe Kreisschreiben 7.1 vom 25. August 2011, Seite 2, im Anhang 3). Die durchgeführte Datenschutzerhebung (Frage 1.1) hat Folgendes ergeben: Mehr als die Hälfte der Versicherer (59%) haben ein Datenschutz- und Datensicherheitskonzept erarbeitet. Das sind gleich viele wie bei der ersten Erhebung Es haben mehr grosse als kleine Versicherer ein solches Konzept erarbeitet: 48% der Versicherer mit bis zu 10'000 Versicherten (kleine Versicherer), 67% der Versicherer mit 10'001 bis 150'000 Versicherten (mittlere Versicherer) und 74% der Versicherer mit mehr als 150'000 Versicherten (grosse Versicherer) verfügen über ein Datenschutz- und Datensicherheitskonzept. Die Mehrheit der Versicherer erarbeiteten dieses Konzept zwischen 2007 und Da es sich v.a. um Datenschutz- und Datensicherheitskonzepte handelt, die für besondere Bereiche erstellt wurden (Frage 1.2), betreffen sie vor allem den Informatiksektor und die Tätigkeiten der Vertrauensärztin oder des Vertrauensarztes. 3.2 Datenbearbeitungsreglemente und Konzepte für Zugriffsberechtigungen Artikel 21 VDSG schreibt den KVG-Versicherern vor, für automatisierte Datensammlungen, die besonders schützenswerte Daten und Persönlichkeitsprofile enthalten, oder mit anderen Datensammlungen verknüpft sind, ein Bearbeitungsreglement zu erstellen. Dieses Reglement beinhaltet Angaben über die interne Organisation des Krankenversicherers, sowie über die Struktur, in welcher die Datensammlung oder das automatisierte Bearbeitungssystem eingebettet ist. Es beschreibt die Datenbearbeitungs- und Kontrollprozeduren und enthält eine Auflistung aller Unterlagen über die Planung, Realisierung und den Betrieb der Datensammlung und der eingesetzten Informatikmittel. Es regelt namentlich Art und Umfang der Zugriffsberechtigung auf Personendaten. Das Reglement muss regelmässig angepasst bzw. nachgeführt werden und dem EDÖB in verständlicher Form jederzeit zur Verfügung stehen. Das Sicherstellen der Vollständigkeit und der Aktualität der Bearbeitungsreglemente ist eine Hauptaufgabe der/des Datenschutzbeauftragten des KVG-Versicherers und dient als eigentliche Grundlage für den gesetzeskonformen Betrieb bzw. die gesetzeskonforme Nutzung einer Datensammlung mit schützenswerten Personendaten. 910 Artikel 84b KVG wiederholt und verdeutlicht diese bereits gemäss VDSG bestehenden Verpflichtungen der KVG-Versicherer, präzisiert jedoch zusätzlich, dass ab dem 1. Januar 2012 die Bearbeitungsreglemente dem EDÖB unaufgefordert zur Beurteilung vorzulegen und zu veröffentlichen sind. Das Bearbeitungsreglement ist aber bereits gültig, wenn der Krankenversicherer es für verbindlich erklärt hat. Ein Bearbeitungsreglement kann für mehrere Datensammlungen gültig sein, wenn das Reglement tatsächlich für die bezeichneten Datensammlungen zur Anwendung gelangt und für jede betreffende Datensammlung die Erfordernisse von Artikel 21 Absatz 2 VDSG erfüllt. Im Rahmen der zweiten Erhebung geben fast 2/3 der Versicherer (63%) an, für jede automatisierte Datensammlung, die besonders schützenswerte Daten oder Persönlichkeitsprofile enthält oder mit anderen Datensammlungen verknüpft ist, ein Bearbeitungsreglement gemäss Artikel 21 VDSG erstellt zu haben. Mit der Grösse der Versicherer steigt auch die Anzahl derjenigen unter ihnen, welche die geforderten Bearbeitungsreglemente erstellt haben (44% der kleinen Versicherer, 67% der mittleren Versicherer und 95% der grossen Versicherer). Dabei gibt die Mehrheit der Versicherer (66%) an, dies für alle Datensammlungen getan zu haben. Bei den grossen Versicherern sind es fast alle (95%) (Frage 2.1). Gemäss der ersten Datenschutzerhebung verfügten hingegen erst 26% der KVG-Versicherer über Bearbeitungsreglemente zu ihren schützenswerten Datensammlungen. Das BAG stellt daher eine positive Entwicklung in diesem Gebiet fest. Gemäss ihren Angaben haben 73% der KVG-Versicherer ein Konzept für die Zugriffsberechtigungen ihrer Mitarbeitenden erstellt. Auch hier sind die grossen und mittleren Versicherer führend (90% der grossen Versicherer, 83% der mittleren Versicherer und 56% der kleinen Versicherer) (Frage 2.2). Ein spezifisches Bearbeitungsreglement für die Datenbearbeitung durch den Vertrauensarzt und den vertrauensärztlichen Dienst haben erst 67% der KVG-Versicherer erstellt (28% haben eigene interne Bearbeitungsreglemente formuliert, für 39% der Versicherer gilt ein Bearbeitungsreglement des mit ihnen zusammenarbeitenden Verbandes der kleinen und mittleren Krankenversicherer RVK. Hier schneiden die kleinen und mittleren Versicherer dank ihrer engen Zusammenarbeit mit dem RVK besser ab (Frage 2.3). Die Mehrheit der KVG-Versicherer (57%) kontrolliert die Bearbeitungsreglemente auf Aktualität und Vollständigkeit jährlich. Die Quote der kleinen (61%) und mittleren Versicherer (67%) ist dabei höher als diejenige der grossen Versicherer (55 %), weil ersteren auch hier die Zusammenarbeit mit dem RVK zugute kommt (Frage 2.4). Der EDÖB überprüft gegenwärtig die ihm zur Beurteilung vorgelegten Bearbeitungsreglemente. Leider hat nur etwa ein gutes Drittel der KVG-Versicherer (36%) vor, die Bearbeitungsreglemente - wie in Art. 84b KVG vorgeschrieben - zu veröffentlichen. Die Versicherer können Geschäftsgeheimnisse von der Veröffentlichung der Unterlagen ausnehmen. Die bei einem knappen Drittel der KVG- Versicherer (28%) vorgesehene Bekanntgabe auf Anfrage entspricht nicht der gesetzlichen Vorgabe (Frage 2.5). Die Veröffentlichung der Bearbeitungsreglemente wird deshalb noch bei einem Grossteil der KVG-Versicherer (64%), auch der grossen Versicherer, gestützt auf Artikel 21 Absätze 2 und 5 KVG mittels Weisungen und allenfalls der Androhung von Sanktionen (Verwarnung und Ordnungsbusse) durchgesetzt werden müssen. Einige diesbezügliche Weisungen wurden bereits erlassen. 3.3 Register der Datensammlungen Das DSG ermöglicht die Selbstregulierung der Unternehmen im Bereich Datenschutz: Es liegt in der Verantwortung des KVG-Versicherers, dafür zu sorgen, dass die Grundsätze und Vorgaben der Datenschutzgesetzgebung eingehalten werden. Der Krankenversicherer ist als Inhaber der Datensammlung von der Pflicht zur Anmeldung der Datensammlungen befreit, wenn er eine für den betrieblichen Datenschutz verantwortliche Person bezeichnet hat, die unabhängig die betriebsinterne Ein- 1011 haltung der Datenschutzvorschriften überwacht sowie Verzeichnisse der Datensammlungen führt, und wenn der Versicherer diese Person dem EDÖB gemeldet hat (Art. 11a Abs. 5 Bst. e DSG). Dasselbe gilt, wenn er aufgrund eines erfolgreichen Zertifizierungsverfahrens gemäss Artikel 11 DSG ein Datenschutz-Qualitätszeichen erworben und das Ergebnis der Bewertung dem EDÖB mitgeteilt hat (Art. 11a Abs. 5 Bst. f DSG). Erfreulicherweise führt die grosse Mehrheit der KVG-Versicherer (79%) ein Verzeichnis sämtlicher personenbezogenen Datensammlungen gemäss Artikel 11a DSG und Artikel 16 VDSG. Je grösser die Kasse, umso professioneller werden diese gehandhabt (95% der grossen Versicherer, 89% der mittleren Versicherer und 69% der kleinen Versicherer). Bei 6% der Kassen ist ein solches noch in Erarbeitung (Frage 3.1). Ebenfalls positiv ist, dass mehr als 2/3 der KVG-Versicherer (71%) angeben, dieses Verzeichnis in den letzten drei Jahren zum letzten Mal aktualisiert zu haben (65% der kleinen Versicherer, 89% der mittleren Versicherer und 74% der grossen Versicherer) (Frage 3.2). Mehr als 1/3 der KVG-Versicherer (36%) gibt an, sämtliche Datensammlungen beim EDÖB angemeldet zu haben. Fast alle (92% derjenigen), die dies nicht getan haben, haben aber einen betrieblichen Datenschutzverantwortlichen bezeichnet. Bei den mittleren und grossen Kassen haben dies alle Krankenversicherer getan, welche die Datensammlungen nicht beim EDÖB angemeldet haben (Frage 3.3). 3.4 Outsourcing Outsourcing umfasst die Auslagerung von Dienstleistungen, die bisher von den Krankenversicherern selber erbracht wurden, sowie Dienstleistungen, welche die Krankenversicherer bisher selber nicht erbracht haben und die sie neu von einem Dienstleister beziehen. Das Bearbeiten von Personendaten kann durch Vereinbarung oder Gesetz Dritten übertragen werden, wenn die Daten nur so bearbeitet werden, wie es der Krankenversicherer selber tun dürfte und keine gesetzliche oder vertragliche Geheimhaltungspflicht dies verbietet (Art. 10a DSG). Artikel 84 KVG erlaubt den Krankenversicherern, Personendaten einschliesslich besonders schützenswerter Daten und Persönlichkeitsprofile durch Dritte bearbeiten zu lassen. Das Kreisschreiben 7.1 enthält zahlreiche Vorgaben an die KVG-Versicherer, welche beim Outsourcing zu beachten sind (vgl. Kreisschreiben 7.1, Ziff. 5 in der Beilage 3). Die Versicherer machen häufig von der Auslagerung von Aufgaben Gebrauch. Nur vier gaben an, keine Aufgaben auszulagern. Mit der Aufgabenübertragung lassen sich die Ressourcen rationalisieren, was sich insbesondere auf die Verwaltungskosten der Krankenkasse positiv auswirkt. Zudem ist es für die kleinen und mittleren Versicherer interessant, den vertrauensärztlichen Dienst des RVK zu beauftragen, statt eigene Vertrauensärzte zu beschäftigen. Die Einsparungen bei den Verwaltungskosten wirken sich letztendlich ebenfalls auf die Prämien aus, was auch im Interesse der Versicherten liegt. Aus der letzten Erhebung geht hervor, dass die von den Krankenkassen ausgelagerten Aufgaben folgenden Anteilen entsprechen (Frage 4.1): 46.3% der Versicherer (31) übertragen Aufgaben aus dem Informatikbereich 41.8% der Versicherer (28) übertragen Aufgaben an den RVK 28.4% der Versicherer (19) übertragen Aufgaben an santésuisse (SASIS) und an die Gemeinsame Einrichtung KVG 35.8% der Versicherer (24) übertragen Aufgaben an den Schadenservice Schweiz, SIZ AG und an Avus AG 31.3% der Versicherer (21) übertragen Aufgaben an Medgate 16.4% der Versicherer (11) übertragen Aufgaben an Inkassogesellschaften 1112 55.2% der Versicherer (37) übertragen Aufgaben an verschiedene Organisationen 7.5% der Versicherer (5) übertragen Aufgaben an Dritte im Leistungsbereich Je nach Grösse der Versicherer variiert der Anteil der an die verschiedenen Beauftragten ausgelagerten Aufgaben: Beauftragte Versicherer bis 10'000 Versicherer zwischen Versicherer über Versicherte 10'001 und 15' '000 Versicherte Versicherten IT (Informatik-Firmen, 30.4% (7 Versicherer) 61.1% (11 Versicherer) 65% (13 Versicherer) unter anderem Centris, RR Donnelley, BBT Software, Secon AG, MediData, Bambus, AC Services, IT Surplus...) RVK 69.6% (16 Versicherer) 55.6% (10 Versicherer) 10% (2 Versicherer) santésuisse (SASIS) 13% (3 Versicherer) 44.4% (8 Versicherer) 35% (7 Versicherer) Gemeinsame Einrichtung Schadenservice 26.1% (6 Versicherer) 44.4% (8 Versicherer) 40% (8 Versicherer) Schweiz, SIZ AG, Avus AG Inkassogesellschaften 8.7% (2 Versicherer) 16.7% (3 Versicherer) 25% (5 Versicherer) im Leistungsbereich 4.3% (1 Versicherer) 11.1% (2 Versicherer) 10% (2 Versicherer) beauftragte Dritte Medgate 13% (3 Versicherer) 38.9% (7 Versicherer) 50% (10 Versicherer) Verschiedene 30.4% (7 Versicherer) 61.1% (11 Versicherer) 85% (17 Versicherer) 24 Versicherer beauftragen ausländische Dienstleister in Europa, Nordafrika und den USA (Frage 4.2). Diese werden hauptsächlich mit folgenden Aufgaben betraut: Hilfe im Ausland, Abklärungen im Zusammenhang mit im Ausland erbrachten Leistungen, Forderungsinkasso, Versichertenkarte, Telefonumfragen zur Zufriedenheit der Versicherten. Die Mehrheit der Versicherer überprüft mit folgenden Mitteln, dass die Datenbearbeitung durch beauftragte Dritte der Datenschutzgesetzgebung entspricht (Frage 4.4): Audits Zertifizierung der beauftragten Organisation Kontrolle durch den Datenschutzbeauftragten Zusammenarbeitsverträge Instruktionen der Mitarbeitenden der beauftragten Organisation Kontrolle vor Ort, durch Stichproben. Aufgrund des Ausmasses der Auslagerungen der Dienstleistungen der Krankenversicherer auf externe und z.t. ausländische Dienstleister kann mittels Stichproben die Einhaltung der spezifischen Vorgaben gemäss Kreisschreiben 7.1, Ziff. 5 überprüft werden. 3.5 Vertrauensarzt und vertrauensärztlicher Dienst Die Vertrauensärztin oder der Vertrauensarzt gemäss Artikel 57 KVG ist ein besonderes Organ der sozialen Krankenversicherung. Ihre/seine Aufgaben werden in Artikel 57 Absätze 4 und 5 KVG um- 1213 schrieben. Danach berät sie/er den Versicherer in medizinischen Fachfragen sowie in Fragen der Vergütung und der Tarifanwendung. Zudem kommt ihr/ihm eine Überwachungs- und Kontrollfunktion zu. Sie/er überprüft die Voraussetzungen der Leistungspflicht des Versicherers (Art. 57 Abs. 4 KVG). Ihr/ihm obliegt die Kontrolle der Wirksamkeit, Zweckmässigkeit und Wirtschaftlichkeit der Behandlung im Sinn der Artikel 32 und 56 KVG. Ihre/Seine Kompetenz beschränkt sich auf die Beantwortung medizinischer Fachfragen. In fachlicher Hinsicht kann ihr/ihm der Versicherer nichts vorschreiben. In ihrem/seinem Urteil unabhängig, darf sie/er den zuständigen Stellen der Versicherer nur diejenigen Angaben weitergeben, die notwendig sind, um über die Leistungspflicht zu entscheiden, die Vergütung festzusetzen, den Risikoausgleich zu berechnen oder eine Verfügung zu begründen. Dabei wahrt sie/er die Persönlichkeitsrechte der Versicherten (Art. 57 Abs. 7 KVG). Der Leistungserbringer ist in begründeten Fällen berechtigt und auf Verlangen der versicherten Person in jedem Fall verpflichtet, medizinische Angaben nur der Vertrauensärztin oder dem Vertrauensarzt bekannt zu geben (Art. 42 Abs. 5 KVG). Die gesetzlich vorgeschriebene Unabhängigkeit der Vertrauensärztin oder des Vertrauensarztes muss sich auch in der Organisation des vertrauensärztlichen Dienstes niederschlagen. Räumlich müssen Lokale des vertrauensärztlichen Dienstes genügend abgetrennt und abschliessbar sein. Die Post darf nur durch Stellen des vertrauensärztlichen Dienstes geöffnet werden und es muss jederzeit sichergestellt sein, dass besonders schützenswerte Personendaten den vertrauensärztlichen Dienst nicht verlassen können. Ein unabhängiges Telefon- und Telefaxnetz ist unabdingbar. Das Informatiksystem muss physisch so organisiert werden, dass die vom vertrauensärztlichen Dienst erstellten Dokumente nur auf eigenen Speichermedien archiviert werden, die wiederum nur den Mitarbeitenden des vertrauensärztlichen Dienstes zugänglich sind. Der Vertrauensärztin oder dem Vertrauensarzt muss zudem die Kompetenz zur Anstellung ihres/seines Hilfspersonals zukommen. Sie/er hat darauf zu achten, dass die Stellen der Hilfspersonen bezüglich ihrer fachlichen und organisatorischen Unterstellung sowie ihres Beschäftigungsgrades für den vertrauensärztlichen Dienst so konzipiert sind, dass sich daraus keine Interessenkonflikte für die Hilfspersonen ergeben. Die Hilfspersonen dürfen nicht mit verschiedenen Aufgaben betraut werden, die miteinander nicht kompatibel sind (z. B. für den vertrauensärztlichen Dienst und die Leistungsabteilung). Gemäss der zweiten Erhebung verfügen fast die Hälfte der KVG-Versicherer (46%) über externe Vertrauensärzte bzw. einen ausgelagerten vertrauensärztlichen Dienst. In den meisten Fällen nimmt der RVK diese Aufgabe wahr. 77% der kleinen Versicherer und 47% der mittleren Versicherer lagern diese Aufgabe aus. Bei den grossen Versicherern sind es hingegen nur 12%. Die innerhalb der Versichererorganisation tätigen Vertrauensärzte sind unabhängig von der Kassengrösse organisationsmässig hauptsächlich der Direktion unterstellt oder in der Leistungsabteilung angesiedelt (Frage 5.1). Bei knapp mehr als der Hälfte der Krankenversicherer (53%) arbeiten die Hilfspersonen des Vertrauensarztes nur für ihn. Bei den mittleren und grossen Versicherern ist dies bei 56% bzw. 60% von ihnen der Fall. Bei den anderen Versicherern nehmen die Hilfspersonen des Vertrauensarztes noch andere Aufgaben wahr (Frage 5.2). Bei 77% der KVG-Versicherer (die ausgelagerten vertrauensärztlichen Dienste eingerechnet) bzw. 82% der kleinen Versicherer, 78% der mittleren Versicherer und 70% der grossen Versicherer, verfügen die Hilfspersonen des Vertrauensarztes über ein schriftliches Pflichtenheft. In 85 % der Fälle (94% der kleinen Versicherer, 72% der mittleren Versicherer, 86% der grossen Versicherer) entsprechen die eingereichten Pflichtenhefte den Erwartungen des BAG (Frage 5.3). Die an den Vertrauensarzt gerichtete Brief- und elektronische Post gelangt bei praktisch allen Krankenversicherern (bei sämtlichen kleinen und mittleren Versicherern sowie bei 95% der grossen Versicherer) direkt an den Vertrauensarzt (Frage 5.4). Bei über 90% der KVG-Versicherer aller Versichertenkategorien wird die Briefpost nur durch den Vertrauensarzt und/oder seinen Hilfspersonen geöffnet (Frage 5.5). 1314 Bei 96% der kleinen Versicherer, 100% der mittleren Versicherer und 95% der grossen Versicherer haben nur der Vertrauensarzt und oder seine Hilfspersonen Zugriff auf die elektronische Post des Vertrauensarztes (Frage 5.6). Bei einem der übrigen Versicherer wird die Post vom Geschäftsführer geöffnet. Sechs der übrigen Versicherer haben die Frage nicht beantwortet. Ausserdem geben 85% der KVG-Versicherer an, die für den Vertrauensarzt bestimmte Post, welche versehentlich von einer anderen kasseninternen Stelle geöffnet wird, unverzüglich dem Vertrauensarzt bzw. dem vertrauensärztlichen Dienst weiterzuleiten. Bei den grossen Versicherern ist dies ausnahmslos der Fall (bei mittleren Versicherern 95%, bei kleinen Versicherern 79%) (Frage 5.7). Bei 96 % der kleinen Versicherer, 100% der mittleren Versicherer, und 95% der grossen Versicherer sind die Räumlichkeiten des Vertrauensarztes bzw. des vertrauensärztlichen Dienstes in Bezug auf den Datenschutz und die Datensicherheit so ausgestaltet, dass sie den DSG-Vorgaben entsprechen. Der von den kleinen und mittleren Kassen mehrheitlich beim RVK ausgelagerte vertrauensärztliche Dienst ist organisatorisch, räumlich und in Bezug auf die IT-Struktur autonom. Bei den anderen Versicherern hat der vertrauensärztliche Dienst eigene Räumlichkeiten bzw. der Zugang ist gesichert (Frage 5.8). Die Ablage der besonders schützenswerten Daten beim vertrauensärztlichen Dienst entspricht bei 100% der kleinen und mittleren Versicherer und 95% der grossen Versicherer den DSG-Vorgaben. Die diesbezügliche Organisation fällt je nach Grösse des Krankenversicherers unterschiedlich aus. Die grossen Versicherer, beispielweise, haben einen vertrauensärztlichen Dienst eingerichtet, bei welchem die besonders schützenswerten Daten verwaltet und abgelegt sind (Papier- und/oder eingescannte Dokumente). Über die gleiche Organisation verfügt auch der vom RVK angebotene ausgelagerte vertrauensärztliche Dienst. Bei den Versicherern, welche über einen externen Vertrauensarzt und/oder über keinen vertrauensärztlichen Dienst als solchen verfügen, werden die besonders schützenswerten Daten entsprechend in geschlossenen Schränken aufbewahrt und/oder nach dem Einscannen vernichtet, oder beim externen Vertrauensarzt gelagert. Zugriff zu diesen Daten haben nur die Hilfspersonen des Vertrauensarztes, welche als solche vom Vertrauensarzt bezeichnet wurden (Frage 5.9). Die Zugriffe zu den besonders schützenswerten Personendaten (Papier- und gescannte Dokumente) des vertrauensärztlichen Dienstes sind verschieden geregelt: Bei 30% der KVG-Versicherer hat nur der Vertrauensarzt Zugriff. Bei 26% der Versicherer sind es der Vertrauensarzt und seine Hilfspersonen, bei 5% der Versicherer sind es der Vertrauensarzt und Personen mit leitenden Funktionen, bei weiteren 5% sind es der Vertrauensarzt, seine Hilfspersonen und Personen mit leitenden Funktionen, bei weiteren 16% der Versicherer sind es der Vertrauensarzt, seine Hilfspersonen und der Rechtsdienst und bei 12% sind es der Vertrauensarzt, seine Hilfspersonen und weitere Personen (Frage 5.10). Die restlichen Versicherer (drei Taggeldkassen und eine sehr kleine Kasse) haben die Frage nicht beantwortet. 91% der kleinen Versicherer, 95% der mittleren Versicherer und 95% der grossen Versicherer geben an, die Umsetzung von Artikel 57 Absatz 7 KVG zu gewährleisten, indem der Vertrauensarzt und der vertrauensärztliche Dienst nur die für einen Entscheid unerlässlichen Angaben an die Kassenverwaltung weiterleiten. Allerdings geben nur 28% von ihnen (19% der kleinen Versicherer, 30% der mittleren Versicherer, 37% der grossen Versicherer) an, dies auch mittels Kontrollmassnahmen sicherzustellen (Frage 5.11). 3.6 Betriebliche/r Datenschutzverantwortliche/r Wie bereits unter Ziff. 3.3 erwähnt, ist der KVG-Versicherer als Inhaber der Datensammlung von der Pflicht zur Anmeldung der Datensammlungen beim EDÖB befreit, wenn er eine für den betrieblichen Datenschutz verantwortliche Person bezeichnet hat, die unabhängig die betriebsinterne Einhaltung der Datenschutzvorschriften überwacht, Verzeichnisse der Datensammlungen führt und wenn der Versicherer diese Person dem EDÖB gemeldet hat. 1415 Die für den betrieblichen Datenschutz verantwortliche Person ist entgegen der Bezeichnung nicht verantwortlich für den Datenschutz im Betrieb, sondern hat die Rolle einer Beraterin oder eines Beraters, bzw. einer Aufsichtsstelle (vgl. die französische Version im DSG: conseiller à la protection des données). Die Verantwortung für die Einhaltung der Bestimmungen zum Datenschutz bleibt in jedem Fall beim Inhaber der Datensammlung, also beim Krankenversicherer bzw. bei dessen leitendem Organ (Art. 16 Abs. 1 DSG). Die oder der Datenschutzverantwortliche muss ihre/seine Funktion organisatorisch und fachlich unabhängig ausüben können, und ein möglicher Interessenkonflikt muss bereits durch ihre/seine organisatorische Stellung vermieden werden. Deshalb sollte ihre/seine Stelle ausserhalb der Linienverantwortlichkeit stehen. Empfohlen wird eine Stabstelle, eine Stelle in der Rechtsabteilung oder in der IT- Abteilung oder eine externe Stelle. Die Rolle und Funktion der für den Datenschutz verantwortlichen Person ist in einem Pflichtenheft zu definieren. Aus der zweiten Erhebung geht hervor, dass mittlerweile 88% der KVG-Versicherer mindestens eine für den betrieblichen Datenschutz verantwortliche Person gemäss Artikel 11a Absatz 5 Buchstabe e DSG bezeichnet haben. Bei den grossen Versicherern sind es 95% (Frage 6.1). Anlässlich der ersten Erhebung von verfügten erst 80% der KVG-Versicherer über eine/n Datenschutzverantwortliche/n. Das BAG stellt daher eine positive Entwicklung auf diesem Gebiet fest. Diese Stelle ist in vielen Fällen der Direktion untergeordnet (40% der Versicherer) und in 19% der Fälle im Rechtsdienst (bei den grossen Versicherern sogar in 42%) untergebracht. Lediglich 15% der KVG-Versicherer (33% der kleinen Versicherer, 19% der mittleren Versicherer und keine grossen Versicherer) haben eine externe Stelle mit dieser Aufgabe betraut, was gemäss Artikel 12a Absatz 2 VDSG ebenfalls zulässig ist. Die grossen Versicherer haben jedoch nur interne Mitarbeiter dafür bezeichnet (Frage 6.3). Die kleinen und mittleren Versicherer setzen dafür mehrheitlich (62%) zwischen 0% und 100% Stellenprozente für diese Aufgabe ein, die grossen Versicherer setzen hingegen mehrheitlich (63%) zwischen 50% und mehr als 100% Stellenprozente dafür ein (Frage 6.4). Dabei üben in 93% der Fälle die für den Datenschutz verantwortlichen Personen noch andere Aufgaben aus. Bei den grossen Versicherern ist dies immer der Fall. Es handelt sich dabei in vielen Fällen um Aufgaben des Direktions- oder IT-Bereichs (Frage 6.5). 69% der KVG-Versicherer (62% der kleinen Versicherer, 81% der mittleren Versicherer und 69% der grossen Versicherer) haben die für den Datenschutz verantwortlichen Personen dem EDÖB gemeldet (Frage 6.6). In 75% der Fälle (57% der kleinen Versicherer, 88% der mittleren Versicherer, 84% der grossen Versicherer) verfügen die Datenschutzverantwortlichen über ein schriftliches Pflichtenheft. Bei über 90% der Krankenversicherer (100% der kleinen und grossen Versicherer, 79% der mittleren Versicherer) entspricht dessen Inhalt den Erwartungen des BAG. Bei weiteren 8% der Versicherer (19% der kleinen Versicherer, 0% der mittleren Versicherer, 5% der grossen Versicherer) ist ein solches Pflichtenheft noch in Erarbeitung (Frage 6.7). Bei der ersten Erhebung von verfügten erst 47% der Datenschutzverantwortlichen über ein schriftliches Pflichtenheft. Bei 75% der KVG-Versicherer (67% der kleinen Versicherer, 75% der mittleren Versicherer, 79% der grossen Versicherer), welche einen Datenschutzverantwortlichen bezeichnet haben, haben diese Personen eine datenschutzspezifische Ausbildung absolviert (Frage 6.8). Zudem bilden sich bei 95% dieser Versicherer (bei 95% der kleinen Versicherer, 94% der mittleren Versicherer, 100% der grossen Versicherer) die Datenschutzverantwortlichen laufend weiter (Frage 6.9). Die Datenschutzver- 1516 antwortlichen verfügen heute über mehr Qualifikationen als anlässlich der ersten Erhebung von Bei 80% der KVG-Versicherer (bei 67% der kleinen Versicherer, 81% der mittleren Versicherer, 90% der grossen Versicherer), welche einen Datenschutzverantwortlichen bezeichnet haben, führen diese Spezialisten Datenschutzschulungen für die Mitarbeitenden durch. Bei 37% der Versicherer (bei 52% der kleinen Versicherer, 33% der mittleren Versicherer, 30% der grossen Versicherer) ist die Teilnahme an den Schulungen für alle Mitarbeitenden des Unternehmens obligatorisch und bei 39% von ihnen (bei 18% der kleinen Versicherer, 45% der mittleren Versicherer, 65% der grossen Versicherer) sind die Schulungen lediglich für neue Mitarbeitende oder einzelne Bereiche z.b. für den Leistungsbereich vorgesehen (Frage 6.10). 3.7 Datenschutzmanagementsystem und Datenschutzzertifizierungen Die Krankenversicherer können bezüglich der Bearbeitung von Personendaten ihre Datenschutzmanagementsysteme (DSMS) einer Bewertung durch anerkannte unabhängige Zertifizierungsstellen unterziehen (Art. 11 DSG). Aus der durchgeführten Erhebung geht hervor, dass lediglich 10% aller KVG-Versicherer ihre Organisation als Ganzes haben zertifizieren lassen, davon die kleinen (9%) und die mittelgrossen (28%) KVG-Versicherer. Allerdings ist hervorzuheben, dass eine Zertifizierung nach Artikel 11 DSG nur bei zwei mittelgrossen KVG-Versicherern durchgeführt wurde. Bei den anderen Versicherern handelt es sich nicht um eine Zertifizierung nach Artikel 11 DSG. Als Begründung für eine Nicht-Zertifizierung führen 20% aller KVG-Versicherer die Grösse der Kasse (Ressourcen) und/oder die Investitionskosten des Zertifikationsverfahrens (33% der kleinen Versicherer und 34% der mittleren Versicherer) an. Weiter prüfen 44% der KVG-Versicherer (48% der kleinen Versicherer, 33% der mittleren Versicherer und 8% der grossen Versicherer) die Durchführung einer Zertifizierung nach Artikel 11 DSG. Schliesslich teilen 20% der befragten KVG-Versicherer, vorwiegend grosse Versicherer, mit, dass sie sich im Bereich Datenschutz selbst organisiert haben (Frage 7.1). Von den Versicherern, welche ihre Organisation als Ganzes nicht zertifizieren liessen, haben 11 KVG- Versicherer, davon acht grosse Versicherer, nur einen Teil ihrer Systeme und/oder Verfahren zertifizieren lassen. Gemäss den erhaltenen Angaben sind nur die IT-Abteilungen sowie der vertrauensärztliche Dienst zertifiziert. Die vertrauensärztlichen Dienste verfügen über eine Zertifikation nach Artikel 11 DSG und die IT-Abteilungen über eine IQNet-Zertifikation. Daraus resultiert, dass der vertrauensärztliche Dienst von fünf Versicherern (zwei mittelgrosse Versicherer und drei grosse Versicherer) nach Artikel 11 DSG zertifiziert wurde (Frage 7.2). Erfreulicherweise kann mit der neuen Erhebung festgestellt werden, dass mehr als 3/4 der KVG-Versicherer (81%) die Einhaltung der Datenschutzbestimmungen innerhalb der Firma kontrollieren (74% der kleinen Versicherer, 94% der mittleren Versicherer und 90% der grossen Versicherer) (Frage 7.3). Sechs von neun Versicherern, welche nicht explizit angeben, die Einhaltung der Datenschutzbestimmungen innerhalb der Firma zu kontrollieren, haben jedoch einen Datenschutzbeauftragten bezeichnet, welcher diese Aufgabe abdecken dürfte. Bei ca. 2/3 der KVG-Versicherer (63%), welche die Einhaltung der Datenschutzbestimmungen prüfen, werden die Prüfungen durch die interne oder externe Revision und/oder durch den internen Datenschutzverantwortlichen durchgeführt (52% der kleinen Versicherer, 67% der mittleren Versicherer und 85% der grossen Versicherer). Bei 18% der KVG-Versicherer, vorwiegend bei kleinen (22%) oder mittelgrossen (28%) Versicherern, werden diese Prüfungen durch die Direktion oder die Abteilungschefs durchgeführt. Grösstenteils erfolgt die Prüfung der Einhaltung der Datenschutzbestimmungen durch interne Audits. Weiter werden die Prüfungen durch Kontrollprogramme durchgeführt oder sind diese im internen Kontrollsystem (IKS) integriert. In 80% der Fälle finden diese Prüfungen jährlich 1617 statt. Bei 5% der KVG-Versicherer wird diese Prüfung mit einem Intervall von zwei Jahren oder mehr vorgenommen (Frage 7.4). Auftraggeber für die Prüfung der Einhaltung der Datenschutzbestimmungen ist bei 3/4 der KVG-Versicherer die Geschäftsführung, der Verwaltungsrat, bzw. Vorstand oder das Audit Komitee (70% der kleinen und mittleren Versicherer und 82% der grossen Versicherer). Bei knapp 1/4 der KVG-Versicherer liegt dies in den Kompetenzen des internen Datenschutzverantwortlichen. Grundsätzlich werden die Prüfungsergebnisse dem Auftraggeber schriftlich mitgeteilt (Frage 7.5). Die bei der ersten Erhebung festgestellten Ergebnisse, dass die klare Mehrheit der Krankenversicherer bereit waren, sich einem Datenschutz-Audit zu unterziehen oder sich einzelne Krankenversicherer einer Zertifizierung nach unterziehen wollen, haben sich somit mit der durchgeführten zweiten Erhebung bestätigt. 3.8 Datenaustausch bei der Durchführung besonderer Versicherungsformen (HMO- und Hausarztmodelle (Ärztenetzwerke/HAM) sowie Versicherungsmodell mit telemedizinischer Beratung) Die Urheberin des Postulats befürchtet, dass mit den für die Rechnungs- und Wirtschaftlichkeitsprüfung von Spitalrechnungen verlangten ärztlichen Berichten die KVG-Versicherer Risikoprofile der betroffenen Versicherten anfertigen und diese Versicherten von (prämiengünstigen) besonderen Versicherungsmodellen der obligatorischen Krankenpflegeversicherung abhalten könnten. Das KVG sieht jedoch einen diskriminierungsfreien Zugang zu den besonderen Versicherungsformen der obligatorischen Krankenpflegeversicherung vor, und alle in der Schweiz wohnhaften Versicherten können ungeachtet ihres Alters und Gesundheitszustandes auf Beginn eines Kalenderjahres eine besondere Versicherungsform abschliessen, sofern ihr Krankenversicherer diese besondere Versicherungsform in ihrer Wohnregion anbietet. Dennoch wurde den im Postulat geäusserten Bedenken in der zweiten Erhebung des BAG Rechnung getragen. So wurde bei denjenigen KVG-Versicherern, welche HMO- und Hausarztmodelle sowie Versicherungsmodelle mit telemedizinischer Beratung anbieten, untersucht, welche technischen und organisatorischen datensichernden Massnahmen sie für den Datenaustausch zwischen den involvierten Stellen (Gatekeeper/koordinierende Leistungserbringer, beauftragte Dritte [Dienstleister] und internen Kassenstellen inkl. vertrauensärztlicher Dienst) getroffen haben. Es stellte sich heraus, dass in 91% der Fälle die Informationskanäle mit Verschlüsselungsprotokollen gesichert und mit Passwörtern geschützt sind [Frage 8.1]). Bestimmte Daten werden zwischen den involvierten Stellen ausgetauscht. Es handelt sich vor allem um administrative Daten, um Verstösse gegen die Bestimmungen in den Modellen der eingeschränkten Wahl der Leistungserbringer zu erkennen. Für die Prüfung der Überweisung des Gatekeepers werden die erfassten Leistungs- und Bestandesdaten, welche im IT-System der Versicherer registriert sind, berücksichtigt (Frage 8.2). Nachstehend wird für zwei Modelle grob aufgeführt, welche Daten zwischen den involvierten Stellen ausgetauscht werden: Beim Hausarztmodell werden Versicherten-Bestände und deren Bruttoleistungskosten monatlich den HAM/HMO geliefert. Die HAM/HMO können die Datenentgegennahme/-Verarbeitung an eine externe Gesellschaft delegieren (z. B. Bluecare AG oder RVK). Jede Betriebsgesellschaft wird individuell beliefert, sodass sie nur die Daten ihrer angeschlossenen Ärztinnen und Ärzte erhält. Der Datenaustausch zwischen den involvierten Stellen findet über gesicherte Kanäle statt (z.b. SFTP-Verbindung [Secure File Transfer Protocol: ein verschlüsselter, Passwort geschützter Datentransfer] oder mit Benutzerzertifikat [bestätigt und sichert mit kryptographischen Verfahren Authentizität und Integrität von Identitäten und Objekten]). Bei den Leistungsdaten handelt es sich um Leistungspositionen, die nach SASIS-Datenpool-Leistungsarten gruppiert wurden. Es sind nur abrechnungsrelevante Angaben vorhanden (keine TARMED-Positionen oder Diagnose-Details). Nebst den Leistungs- und Bestandesda- 1718 ten werden Ärztelisten, Überweisungsmeldungen und Rechnungskopien ausgetauscht. Diese Angaben sind erforderlich, um die Einhaltung der Bestimmungen in den Modellen der eingeschränkten Wahl der Leistungserbringer zu überprüfen. Beim Versicherungsmodell mit telemedizinischer Beratung, wie z.b. Medi 24, erfolgt der Datenaustausch auf gesichertem Weg mittel Secure- (entspricht einem Transfer via SFTP). Eine Gesamtstatistik z.b. hinsichtlich das gesamte Anrufvolumen, die Verteilung Männer/Frauen, die totale Nutzungsrate und den erreichten Service Level (keine personifizierten Daten) wird vom Versicherer geliefert. Zudem werden ebenfalls einzelne Anrufdaten (personifizierte Daten), wie z.b. Partner-Nr. der betreffenden Person, Datum, Uhrzeit, Dauer des Gesprächs, Anruf-Typ, wer hat angerufen (betroffene Person oder andere Person), Typ des AnIiegens (Triage, Medinfo), Dringlichkeitsstufe der Triage, Call-ID geliefert. In diesem Modell werden keine medizinischen Daten ausgetauscht. Das heisst, die besprochenen medizinischen Anliegen zwischen der Patientin/dem Patienten und dem medizinischen Call Center sind für die Mitarbeitenden des Versicherers nicht ersichtlich. Dem Versicherer wird lediglich mitgeteilt, wer wann angerufen hat. 63% der KVG-Versicherer, welche HMO- und Hausarztmodelle sowie Versicherungsmodelle mit telemedizinischer Beratung anbieten, geben an, keinen Zugriff auf die Patientendossiers zu haben, in den übrigen Fällen sind die Zugriffe mit ganz wenigen Ausnahmen technisch beschränkt. Überdies sind die Zugriffe der Gatekeeper bzw. der koordinierenden Leistungserbringer auf die Patientendossiers in mehr als 3/4 der Fälle ebenfalls technisch beschränkt (Frage 8.3). Zum Beispiel sind die Zugriffsberechtigungen bei den koordinierenden Leistungserbringern wie folgt beschränkt: Authentifizierung mittels FMH-HPC-Karte (hcardmanager von H-Net) um sicherzustellen, dass der Hausarzt nur auf die Daten seiner Patienten Zugriff erhält. Abwicklung über gesicherte Plattformen, wie AVM-Infonet für den Datenaustausch mit Ärztenetzwerken Anbieter für Telemedizin-Beratung werden an das gesicherte HIN-Netzwerk angeschlossen (Health Info Net: stellt allen Partnern im Schweizer Gesundheitswesen eine gesicherte Plattform für den -Verkehr und Anwendungen zur Verfügung). Gesundheitszentren, wie Santémed, verfügen über ein eigenes Softwareprogramm Die Versicherer haben keinen Zugriff auf Patientendossiers (medizinische Daten). An dieser Stelle sei auch folgender Fall erwähnt: Im Jahre 2010 hat das BAG aufgrund einer Anzeige bei der Vertragsauflösung eines grossen Versicherers mit koordinierenden Leistungserbringern kontrolliert, wie die betroffenen Versicherten in die ordentliche Grundversicherung und in ein anderes Hausarztmodell umgeteilt worden sind. Eine Risikoselektion konnte bei der Triage nicht nachgewiesen werden. Vielmehr erfolgten die Einteilungsvorschläge nach dem Zufallsprinzip und die Hochkostenfälle, das Durchschnittsalter und die durchschnittlichen Leistungskosten der Versicherten in beiden Gruppen erlaubten keine Hinweise auf eine Risikoselektion. 3.9 Case Management Das Case Management ist im KVG nicht explizit geregelt. Mit der Einführung des Case Managements als Massnahme zur Optimierung der Leistungen, zur Kostenkontrolle und zur Kostenminimierung sind die Krankenversicherer bemüht, die Vorgaben für eine Kostenübernahme aufgrund der Kriterien von Artikel 32 KVG, wonach die Leistung wirksam, zweckmässig und wirtschaftlich sein muss, umfassend zu erfüllen. Dieses kostenbewusste Vorgehen, namentlich bezüglich der Zweckmässigkeit einer Behandlung, steht in einem Spannungsverhältnis zu den einschlägigen Datenschutzbestimmungen, welche auch in diesem Bereich anwendbar sind. Das BAG lässt das Case Management bei den KVG- Versicherern zu. Es verlangt jedoch von ihnen, dass sie die Datenschutzgrundsätze der Zweckbindung und Transparenz besonders gewissenhaft beachten. 1819 Aufgrund der zweiten Erhebung ergibt sich, dass 60% der Krankenversicherer ein Case Management betreiben. Bei den grossen Versicherern sind es 75%. Bei den KVG-Versicherern, welche über ein Case Management verfügen, befindet sich dieses bei 55% in der Leistungsabteilung, in 45% der Fälle haben sie es ausgelagert. Bei den grossen Versicherern ist das Case Management immer in der Leistungsabteilung untergebracht (Frage 9.1). Alle 40 KVG-Versicherer, welche über ein Case Management verfügen, konnten anders als dies noch anlässlich der ersten Erhebung der Fall war den Prozessablauf eines Case Managements verständlich beschreiben. Fast alle haben die dafür nötige Einwilligungserklärung (der versicherten Person) zugestellt. In gut 2/3 der Fälle ist diese Einwilligungserklärung aus Sicht des BAG korrekt, in 20% entspricht sie nur teilweise den Anforderungen, z. B. fehlt die Rückzugsklausel. In 7% der Fälle handelt es sich um eine ungültige Generalvollmacht (Frage 9.2). Überall wo jetzt ein Case Management besteht, sind die Zugriffe eingeschränkt. In den meisten Fällen haben nur der Case Manager, seine Stellvertretung sowie der Vertrauensarzt bzw. die Vertrauensärztin und seine/ihre Hilfspersonen Zugriff auf das Patientendossier (Frage 9.3) Vollmachten und Einwilligungserklärungen Gemäss Artikel 33 ATSG haben die Versicherer gegenüber Dritten Verschwiegenheit zu bewahren. In Artikel 84a KVG sind die Bedingungen, unter welchen die Versichertendaten bekannt gegeben werden dürfen, abschliessend aufgelistet. Artikel 84a Absatz 5 Buchstabe b KVG sieht insbesondere vor, dass Versichertendaten an Dritte nur bekannt gegeben werden dürfen, sofern die betroffene Person im Einzelfall schriftlich eingewilligt hat. Die Bearbeitung von Daten der versicherten Person ist also nur mit deren freien und aufgeklärten Einwilligung zulässig. Die Einwilligung ist aufgeklärt, wenn die Person zum Zeitpunkt der Einwilligung angemessen informiert worden ist, das heisst, wenn sie in der Lage ist, die Tragweite ihrer Einwilligung abzuschätzen, bzw. wenn sie erkennen kann, welche Daten weitergegeben werden können, welcher Personenkreis diese Informationen weitergeben darf und/oder welchem Personenkreis diese Informationen weitergegeben werden dürfen und was der Zweck der Datenweitergabe ist. Gesundheitsbezogene Daten sind besonders schützenswerte Personendaten im Sinne von Artikel 3 Buchstabe c Ziffer 2 DSG. Ihre Bearbeitung erfordert folglich die ausdrückliche Einwilligung der versicherten Person (Art. 4 Abs. 5 DSG). Einige Krankenversicherer haben in ihrem Beitrittsformular eine Klausel eingefügt, mit der die zu versichernde Person den KVG-Versicherer ermächtigt, Daten bekannt zu geben und Informationen bei anderen Personen einzuholen. Das BAG überprüft regelmässig die Beitrittsformulare der Versicherer und verlangt von ihnen, dass sie die Fragen und Klauseln, die nicht den gesetzlichen Bestimmungen entsprechen, korrigieren. Die versicherte Person wird manchmal auch aufgefordert, eine Vollmacht zugunsten des Versicherers im Fall von Leistungsfällen zu unterzeichnen. Der Versicherer muss tatsächlich Informationen von Dritten einholen können (z.b. von Leistungserbringern), damit er seine Leistungspflicht überprüfen kann. Gestützt auf Artikel 28 Absatz 3 ATSG muss sich die Vollmacht immer auf einen bestimmten Leistungsfall beziehen. Eine für zukünftige Leistungsfälle ausgestellte Vollmacht ist nicht gültig. Die durchgeführte Erhebung hat gezeigt, dass die Vollmachtsklauseln in den KVG-Beitrittsformularen und meistens auch jene im Zusammenhang mit Leistungsfällen den Datenschutzbestimmungen entsprechen. Das Gleiche gilt für die Einwilligungsklauseln des RVK für das Case Management. Die Situation ist komplexer, wenn es um die Einwilligungsklausen auf den Fragebogen für die Zusatzversicherungen geht. Die Versicherer, welche Zusatzversicherungen durchführen, unterstehen dem VVG und damit der Aufsicht der Eidg. Finanzmarktaufsicht (FINMA). Nach Auffassung des BAG fällt die Prüfung dieser Fragebogen somit in den Zuständigkeitsbereich der FINMA. Doch die in einzelnen Fragebogen enthaltene Einwilligungsklausel betrifft auch das KVG, weil sie vorsieht, dass der Versi- 1920 cherungsnehmer/die Versicherungsnehmerin den KVG-Versicherer ermächtigt, dem VVG-Versicherer Informationen über seinen/ihren Gesundheitszustand bekannt zu geben. Teilweise wird in dieser Klausel darauf hingewiesen, dass die Weitergabe der Daten dazu dient, den Versicherungsantrag und die künftigen Leistungsfälle zu beurteilen. Andere Klauseln enthalten keine Angaben zum Zweck der Datenbeschaffung. Wie oben ausgeführt, müssen die Versicherungsnehmer vollständig und transparent informiert werden, bevor sie ihre aufgeklärte Einwilligung geben. Es liegt die Vermutung nahe, dass die Versicherungsnehmer ausgehend vom Text der meisten Einwilligungsklauseln häufig nicht in der Lage sind, die Tragweite ihrer Einwilligung abzuschätzen, bzw. zu erkennen, welche Daten weitergegeben werden können und was der Zweck der Datenweitergabe ist. Eine Pauschalermächtigung für künftige Leistungsfälle verstösst auch gegen Artikel 28 Absatz 3 ATSG. Da es keine Kompetenzen gegenüber den VVG-Versicherern hat, ist das BAG mit der FINMA zusammengetroffen, um diese Frage zu diskutieren. Die beiden Behörden bemühen sich Lösungen zu finden, die die Regeln sowohl der sozialen Krankenversicherung als auch der Privatversicherungen erfüllen. 4. Datenübermittlung der Spitäler an die KVG-Versicherer im Falle eines Vergütungsmodells vom Typus DRG Am 23. Dezember 2011 hat das Parlament gestützt auf die parlamentarische Initiative Tarmed. Subsidiäre Kompetenz des Bundesrates (BBl ) einen neuen Artikel 42 Absatz 3bis im KVG verabschiedet. Dieser Absatz sieht vor, dass die Leistungserbringer auf der Rechnung die Diagnosen und Prozeduren nach den aktuellen Klassifikationen kodiert aufführen. Anschliessend hat der Bundesrat am 4. Juli 2012 die Modalitäten der Datenweitergabe festgelegt (Art. 59a KVV), damit das Verhältnismässigkeitsprinzip gewahrt wird. Spätestens ab 2014 sollen die Spitäler die administrativen und medizinischen Angaben bei der Rechnungsstellung systematisch an eine vom KVG-Versicherer eingerichtete zertifizierte Datenannahmestelle übermitteln. Die Versicherer haben nun bis Ende 2013 Zeit, eine Datenannahmestelle einzurichten und diese gemäss Artikel 11 DSG zertifizieren zu lassen. Die Zertifizierung wird vom EDÖB überwacht, der die Liste der zertifizierten Datenannahmestellen veröffentlicht. In der Übergangszeit können die medizinischen Angaben einzig zuhanden des Vertrauensarztes systematisch übermittelt werden. Überdies hat das EDI am 20. November 2012 die gesamtschweizerisch einheitliche Struktur der Datensätze in Form einer Verordnung (Verordnung des EDI über die Datensätze für die Datenweitergabe zwischen Leistungserbringern und Versicherern) festgelegt. Damit sind die Datensätze mit den administrativen und medizinischen Angaben schweizweit einheitlich definiert. Damit ist auch die Frage der Datenübermittlung im Rahmen der Rechnungsstellung zwischen KVG-Versicherern und Spitälern definitiv geregelt. Die entsprechenden Änderungen des KVG (Art. 42 Abs. 3bis und 4) und der KVV (Art. 59ff) sowie die EDI-Verordnung sind per 1. Januar 2013 in Kraft getreten. Das BAG und der EDÖB begleiten die Umsetzung dieser Bestimmungen durch die KVG-Versicherer. 20 Mehr anzeigen
Krankenkasse Simplon Bearbeitungsreglement extern Ausgabe 2014 Inhaltsverzeichnis 1. Allgemeines 1 1.1. Rechtliche Grundlagen 1 1.2. Ziel des Bearbeitungsreglements 1 2. Kurzbeschreibung Krankenkasse Mehr BEARBEITUNGSREGLEMENT EXTERN. Geschäftsleitung Mitarbeiter Homepage
BEARBEITUNGSREGLEMENT EXTERN Verteiler: Vorstand Geschäftsleitung Mitarbeiter Homepage Dokument: QzDAS-006/Bearbeitungsreglement extern Geändert am: 12:00:00 AM Freigegeben am: 12/22/2015 Seite 2 von 8 Mehr SWICA Datenschutzreglement DS-01
DS-01 SWICA bearbeitet Informationen über versicherten Personen in komplexen organisatorischen Prozessen und mit anspruchsvollen technischen Einrichtungen. Dieses Reglement basiert auf dem Grundkonzept Mehr Schweizerisches Bundesverwaltungsrecht
Prof. Dr. Felix Uhlmann Lehrstuhl für Staats- und Verwaltungsrecht sowie Rechtsetzungslehre Universität Zürich Prof. Dr. Felix Uhlmann 1 Datenschutz Leseplan: Skript 36 BGE 138 II 346 ff. EuGH, Urteil Mehr Bearbeitungsreglement. Extern
Bearbeitungsreglement Extern Ausgabe 2014 Inhaltsverzeichnis 1. Allgemeines 1 1.1. Rechtliche Grundlage 1 1.2. Ziel des Bearbeitungsreglementes 1 2. Kurzbeschreibung Krankenkasse Birchmeier 1 3. Organisation Mehr Probleme des Datenschutzes in der Versicherungsmedizin
Probleme des Datenschutzes in der Versicherungsmedizin Ursula Uttinger, lic. iur., MBA HSG, Präsidentin Datenschutz-Forum Schweiz 1 Hauptprinzipien Transparenz Informationelle Selbstbestimmung 2 Geltungsbereich Mehr Datenschutz und Archivierung
Datenschutz und Archivierung www.datenschutz-sz-ow-nw.ch 1 Ziele Aufgabe und Organisation der Datenschutzstelle bekannt WesentlicheGrundsätze des neuen Datenschutzgesetzes bekannt Bezug und Zusammenhang Mehr Endgültige Vernichtung von Daten Risiken und rechtliche Anforderungen
Endgültige Vernichtung von Daten Risiken und rechtliche Anforderungen Security Zone 2010 Themen Müssen Daten und Dokumente vernichtet werden? Informationssicherheit Geheimhaltungspflichten Datenschutzrecht Mehr Muster-Bearbeitungsreglement (öffentlich) für die Krankenversicherer des RVK
Muster-Bearbeitungsreglement (öffentlich) für die Krankenversicherer des RVK 1. BESCHREIBUNG DES UNTERNEHMENS Die sodalis gesundheitsgruppe ist eine Krankenversicherung gemäss KVG. Ausserdem werden diverse Mehr Schweizerisches Bundesverwaltungsrecht
Prof. Dr. Felix Uhlmann Lehrstuhl für Staats- und Verwaltungsrecht sowie Rechtsetzungslehre Universität Zürich Prof. Dr. Felix Uhlmann 1 Datenschutz Leseplan: Skript 35 Hintergrund Steuerstreit CH USA Mehr AUFTRAG (Outsourcing)
Autorité cantonale de surveillance en matière de protection des données Kantonale Aufsichtsbehörde für Datenschutz CANTON DE FRIBOURG / KANTON FREIBURG La Préposée Die Beauftragte Merkblatt Nr. 5 Grand-Rue Mehr Verordnung über die Datenschutzzertifizierungen
Verordnung über die Datenschutzzertifizierungen (VDSZ) 235.13 vom 28. September 2007 (Stand am 1. April 2010) Der Schweizerische Bundesrat, gestützt auf Artikel 11 Absatz 2 des Bundesgesetzes vom 19. Juni Mehr Daten-Bearbeitungsreglement
Daten-Bearbeitungsreglement 1. BESCHREIBUNG DES UNTERNEHMENS Krankenversicherung mit Tätigkeitsgebiet Deutschschweiz und den Geschäftsfeldern obligatorische Krankenpflegeversicherung und Krankengeldversicherung Mehr 07.404 s Parlamentarische Initiative. Übertragung der Aufgaben der zivilen Nachrichtendienste an ein Departement (Hofmann Hans)
Ständerat Sommersession 008 e-parl 6.06.008 - - 5:0 07.404 s Parlamentarische Initiative. Übertragung der Aufgaben der zivilen Nachrichtendienste an ein Departement (Hofmann Hans) Entwurf der Geschäftsprüfungskommission Mehr Bearbeitungsreglement betreffend Datenschutz
Bearbeitungsreglement betreffend Datenschutz rhenusana heinrich-wild-strasse 210 9435 heerbrugg Tel. 071 727 88 00 Fax 071 727 88 99 e-mail: info@rhenusana.ch Ausgabe 01.12.2013 Ausgangslage Dieses Dokument Mehr DATENSCHUTZ. Dr. med. Christian A. Ludwig, M.H.A. Universität Bern
VERSICHERUNGSMEDIZIN DATENSCHUTZ Dr. med. Christian A. Ludwig, M.H.A. Universität Bern Lernziele Legal aspects of working as a physician C PH 85 Physicians' obligations: to treat, to protect confidential Mehr 04.061 s Bundesgesetz über die Krankenversicherung. Teilrevision. Spitalfinanzierung (Differenzen)
Wintersession 007 e-parl 18.1.007 09:08 04.061 s Bundesgesetz über die Krankenversicherung. Teilrevision. Spitalfinanzierung (Differenzen) für soziale Sicherheit und Gesundheit des es Bundesgesetz über Mehr Bericht und Antrag des Regierungsrats an den Landrat
Bericht und Antrag des Regierungsrats an den Landrat 28. November 2013 Nr. 2013-716 R-721-11 Bericht und Antrag des Regierungsrats an den Landrat zur Änderung der Verordnung zum Bundesgesetz über die Krankenversicherung; Mehr BBT Bearbeitungsreglement zdas extern Versionsliste
Bearbeitungsreglement zdas extern Versionsliste Datum Version Kommentar Autor 13.01.2014 1.0 Erstellung buk 26.08.2014 1.1 Organigramm angepasst gip 28.08.2014 1.2 Organigramm nochmals angepasst gip Seite Mehr Bundesgesetz über das elektronische Patientendossier (EPDG)
(EPDG) vom Die Bundesversammlung der Schweizerischen Eidgenossenschaft, gestützt auf die Artikel 95 Absatz 1 und 122 Absatz 1 der Bundesverfassung 1, nach Einsicht in die Botschaft des Bundesrats vom... Mehr Gesetzlicher Rahmen für die Datenübermittlung in einem DRG-System
Gesetzlicher Rahmen für die Datenübermittlung in einem DRG-System MediData EDI-Podium, 21. Juni 2013 in Luzern Sandra Schneider, lic. iur. RA Leiterin der Abteilung Leistungen Leiterin a.i. des Direktionsbereichs Mehr Gesetz über den Schutz von Personendaten (Datenschutzgesetz)
Datenschutzgesetz 236.1 Gesetz über den Schutz von Personendaten (Datenschutzgesetz) (vom 6. Juni 1993) 1 I. Allgemeine Bestimmungen 1. Dieses Gesetz dient dem Schutz der Grundrechte von Personen, über Mehr BRENNPUNKT ARZTZEUGNIS
BRENNPUNKT ARZTZEUGNIS PROBLEMERHEBUNG UND LÖSUNGSANSÄTZE FÜR PATIENT, ARZT, ARBEITGEBENDE, VERSICHERUNG 07. 08. Juni 2013 (1070.) Zentrum Paul Klee, Monument im Fruchtland 3, Bern PATIENT/ANWALT-ARZT-ARBEITGEBENDE- Mehr Datenschutz-Forum HSW. Dienstag, 5. Juni 2007, Luzern. Ursula Sury, Rechtsanwältin, Prof. an der FHZ für Informatikrecht
Datenschutz-Forum Dienstag, 5. Juni 2007, Luzern Hochschule für Wirtschaft, HSW Ursula Sury, Rechtsanwältin, Prof. an Underwriting Vertragsabschluss Neue Offerte Schaden Schadenbehebung Fallablage Underwriting Mehr Bearbeitungsreglement für die Datensammlungen der Aquilana Versicherungen Ausgabe 2015
Bearbeitungsreglement für die Datensammlungen der Aquilana Versicherungen Ausgabe 2015 1. Allgemeine Bestimmungen 1.1 Rechtliche Grundlage Gestützt auf Art. 11 & Art. 21 der Verordnung zum Bundesgesetz Mehr Big Data Was ist erlaubt - wo liegen die Grenzen?
Big Data Was ist erlaubt - wo liegen die Grenzen? mag. iur. Maria Winkler Themen Kurze Einführung ins Datenschutzrecht Datenschutzrechtliche Bearbeitungsgrundsätze und Big Data Empfehlungen für Big Data Mehr «Zertifizierter» Datenschutz
«Zertifizierter» Datenschutz Dr.iur. Bruno Baeriswyl Datenschutzbeauftragter des Kantons Zürich CH - 8090 Zürich Tel.: +41 43 259 39 99 datenschutz@dsb.zh.ch Fax: +41 43 259 51 38 www.datenschutz.ch 6. Mehr Bearbeitungsreglement für die Datensammlungen der sodalis gesundheitsgruppe
Bearbeitungsreglement für die Datensammlungen der sodalis gesundheitsgruppe Inhaltsverzeichnis 1. Allgemeines 1.1. Rechtliche Grundlagen 1.2. Ziel des Bearbeitungsreglements 1.3. Zweck der Datenbearbeitung Mehr Leitlinie Datenschutz
Legal & Compliance Datenschutz Leitlinie Datenschutz Dokumenten-Nr. [1] Autor Dr. Alexander Lacher Dokumenten-Eigner BDSV Dokumenten-Bereich/Art Legal & Compliance Dokumenten-Status Final Klassifizierung Mehr Art. 2 Der Geltungsbereich dieser Verordnung bestimmt sich nach 2 des Gesetzes über die Information und den Datenschutz (IDG, LS 170.4).
6.00 Datenschutzverordnung (DSV) Gemeinderatsbeschluss vom 5. Mai 0 Der Gemeinderat erlässt gestützt auf 8 des Gesetzes über die Information und den Datenschutz (IDG), 7 der Verordnung über die Information Mehr Bekanntgabe des Zugangscodes an die Vorstandsmitglieder und Überwachung der Angestellten durch den Arbeitgeber
Autorité cantonale de la transparence et de la protection des données ATPrD Kantonale Behörde für Öffentlichkeit und Datenschutz ÖDSB Kantonale Datenschutzbeauftragte Chorherrengasse 2, 1700 Freiburg Kantonale Mehr Verordnung über den Risikoausgleich in der Krankenversicherung
Verordnung über den Risikoausgleich in der Krankenversicherung (VORA) Änderung vom 27. Februar 2013 Der Schweizerische Bundesrat verordnet: I Die Verordnung vom 12. April 1995 1 über den Risikoausgleich Mehr Rechtliche Aspekte von Informationssicherheitsmessungen
iimt information security brush-up workshop 11/02/2003 measuring information security state of the art and best practices Rechtliche Aspekte von Informationssicherheitsmessungen Dr. Wolfgang Straub Überblick Mehr Allgemeine Versicherungsbedingungen (AVB) für die Hausarztversicherung Ausgabe 01.01.2009
Allgemeine Versicherungsbedingungen (AVB) für die Hausarztversicherung Ausgabe 01.01.2009 Einleitung Alle personenbezogenen Begriffe sind geschlechtsneutral zu verstehen. Unter der Bezeichnung Krankenkasse Mehr Bearbeitungsreglement. für die KRANKENKASSE SLKK. Bearbeitungsreglement KRANKENKASSE SLKK_01.06.2013 Seite 1 von 13
Bearbeitungsreglement für die KRANKENKASSE SLKK 2013 Bearbeitungsreglement KRANKENKASSE SLKK_01.06.2013 Seite 1 von 13 1. 1. ALLGEMEINE BESTIMMUNGEN 1.1 1.1 RECHTLICHE GRUNDLAGE Gestützt auf Art. 11 und Mehr Verordnung über den Schutz von Personendaten (Kantonale Datenschutzverordnung)
74.0 Verordnung über den Schutz von Personendaten (Kantonale Datenschutzverordnung) vom 8. Februar 995 Der Regierungsrat des Kantons Schaffhausen, gestützt auf Art. 8 Abs., 6 Abs. und des Gesetzes über Mehr 1 Zum Schutz der Persönlichkeit regelt dieses Gesetz die Bearbeitung von Daten durch öffentliche Organe.
70.7 Gesetz über den Datenschutz vom 9. November 987 ) I. Allgemeine Bestimmungen Zum Schutz der Persönlichkeit regelt dieses Gesetz die Bearbeitung von Daten durch öffentliche Organe. Die Bestimmungen Mehr VERNEHMLASSUNGSBERICHT DER REGIERUNG BETREFFEND DIE ABÄNDERUNG DES GESETZES ÜBER DIE KRANKENVERSICHERUNG (KVG)
VERNEHMLASSUNGSBERICHT DER REGIERUNG BETREFFEND DIE ABÄNDERUNG DES GESETZES ÜBER DIE KRANKENVERSICHERUNG (KVG) Ressort Gesundheit Vernehmlassungsfrist: 7. April 2006 1 INHALTSVERZEICHNIS Seite Zusammenfassung... Mehr Gesetzlicher Rahmen für die Datenübermittlung in einem DRG-System
Gesetzlicher Rahmen für die Datenübermittlung in einem DRG-System Gemeinsame Veranstaltung von SGMC und SGfM Herbstmeeting vom 23. Oktober 2012 in Bern Sandra Schneider, lic. Iur. RA Leiterin der Abteilung Mehr Verordnung über die Versichertenkarte für die obligatorische Krankenpflegeversicherung
Ständerat Wintersession 007 e-parl 0..007 3:4 04.06 s Bundesgesetz über die Krankenversicherung. Teilrevision. Spitalfinanzierung Geltendes Recht Entwurf der Kommission für soziale Sicherheit und Gesundheit Mehr Datenschutz-Management-System Datenschutzpolitik (13/20)
Gemeindeverwaltung Worb, Präsidialabteilung, Bärenplatz 1, Postfach, 3076 Worb Telefon 031 838 07 00, Telefax 031 838 07 09, www.worb.ch Datenschutz-Management-System Datenschutzpolitik (13/20) Autorin/Autor: Mehr Datenschutz; Weisungen
Datenschutz; Weisungen - Beschluss durch Gemeinderat am 05. Juli 2010 - Gültig seit 06. Juli 2010 - Ressort Präsidiales, Organisation - Kontaktstelle Abteilung Präsidiales, Geschäftsleitung Gemeinde - Mehr Pflichtenheft Betrieblicher Datenschutz-Verantwortlicher (BDSV)
Legal & Compliance Datenschutz Pflichtenheft Betrieblicher Datenschutz-Verantwortlicher (BDSV) Dokumenten-Nr. Autor Dokumenten-Eigner Dokumenten-Bereich/Art Dokumenten-Status Klassifizierung Geltungsbereich Mehr Datenschutzrecht. Informations- und Kommunikationsrecht HS 2012. PD Dr. Simon Schlauri, Rechtsanwalt. Datenschutzrecht
1 Vorlesung Veranstaltungen 19. September: 26. September: Urheberrecht 3. Oktober: Patent- und Markenrecht 10. Oktober: Kartell- und Lauterkeitsrecht 17. Oktober: Telekommunikationsrecht 24. Oktober: Grundtypen Mehr Reglement über die Bearbeitung von personenbezogenen Daten. Datum des in-kraft-tretens : 01.09.2014
Reglement über die Bearbeitung von personenbezogenen Daten Datum des in-kraft-tretens : 01.09.2014 Inhaltsverzeichnis INHALTSVERZEICHNIS 2 PRÄAMBEL 4 1. RECHTSGRUNDLAGEN, GELTUNGSBEREICH UND DEFINITIONEN Mehr Bearbeitungsreglement: KLuG Krankenversicherung
Bearbeitungsreglement: KLuG Krankenversicherung Inhalt: 1. Kurzbeschreibung der KLuG Krankenversicherung 2. Rechtliche Grundlagen 3. Interne Organisatin 4. IT-Struktur 5. Zugriffe 6. Datensicherheit 7. Mehr PUBLIC Seite 1 von 10
PUBLIC Seite 1 von 10 1. ALLGEMEINE BESTIMMUNGEN 1.1 RECHTLICHE GRUNDLAGE Gestützt auf Art. 11 und Art. 21 der Verordnung zum Bundesgesetz über den Datenschutz (VDSG) in Verbindung mit Artikel 84b des Mehr Bundesgesetz über die Krankenversicherung
Bundesgesetz über die Krankenversicherung (KVG) Entwurf Änderung vom... Die Bundesversammlung der Schweizerischen Eidgenossenschaft, nach Einsicht in die Botschaft des Bundesrates vom 1, beschliesst: I Mehr Wir danken Ihnen für die Möglichkeit der Stellungnahme zu den beiden oben erwähnten Verordnungen.
Bundesamt für Justiz 3003 Bern Zürich, 8. Mai 2007 Entwurf zu einer Änderung der Verordnung zum Bundesgesetz über den Datenschutz (VDSG, 235.11) und zu einer Verordnung über die Datenschutzzertifizierung Mehr Daten-Bearbeitungsreglement
Daten-Bearbeitungsreglement Version 1.2 16. Juni 2014 1 Inhaltsverzeichnis 1. Ausgangslage... 3 2. Dokumentation der vom System betroffenen Organisationseinheiten... 3 3. Schnittstellenbeschreibung... Mehr Datenschutz und Qualitätssicherung
Datenschutz und Qualitätssicherung AQC-Tagung 2015 David Rosenthal 19. November 2015 1 Datenschutz? Personendaten? Jede Angabe, die sich auf eine bestimmte oder bestimmbare Person bezieht. Bestimmbarkeit? Mehr Merkblatt zum betrieblichen Datenschutzbeauftragten nach 4f, 4g BDSG
Merkblatt zum betrieblichen Datenschutzbeauftragten nach 4f, 4g BDSG Wann ist das Bundesdatenschutzgesetz anwendbar? Das Bundesdatenschutzgesetz (BDSG) gilt gemäß 1 Abs. 2 Nr. 3 BDSG für alle nicht öffentlichen Mehr Interpellation der SVP-Fraktion betreffend Krankenversicherung und Zugang zur Gesundheitsversorgung der SansPapiers (Vorlage Nr. 2162.
Seite 1/5 Vorlage Nr. Laufnummer 14186 Interpellation der SVP-Fraktion betreffend Krankenversicherung und Zugang zur Gesundheitsversorgung der SansPapiers (Vorlage Nr. 2162.1-14107) Antwort des Regierungsrates Mehr Mittagsinfo zum Thema
Mittagsinfo zum Thema Datenschutz und Datensicherheit in Non-Profit Profit-Organisationen 6. September 2007 Folie 1 Agenda I. Überblick über Datenschutzgesetzgebung und die Datenschutzaufsichtstellen II. Mehr Datenschutz-Politik der MS Direct AG
Datenschutz-Politik der MS Direct AG 1/5 MS Direct AG Telefon +41 44 925 36 36 Datenschutz-Politik General Wille-Strasse 144 meilen@ms-direct.ch CH-8706 Meilen www.ms-direct.ch 25. Juni 2015 Inhaltsverzeichnis Mehr Rechtliche Herausforderungen für IT-Security-Verantwortliche
Rechtliche Herausforderungen für IT-Security-Verantwortliche lic. iur. David Rosenthal ETH Life 2 Handelsblatt 3 SDA 4 5 20 Minuten/Keystone Die Folgen - Image- und Vertrauensschaden - Umsatzausfälle - Mehr GEMEINDE GEBENSTORF DATENSCHUTZREGLEMENT. 1 Zweck
GEMEINDE GEBENSTORF DATENSCHUTZREGLEMENT 1 Zweck Dieses Reglement dient dem Schutz natürlicher und juristischer Personen vor einem allfälligen Missbrauch von Daten; die durch die Gemeindeverwaltung über Mehr Verordnung über die Klassifizierung, die Veröffentlichung. und Archivierung von Dokumenten zu Regierungsratsgeschäften
5.7. März 0 Verordnung über die Klassifizierung, die Veröffentlichung und die Archivierung von n zu Regierungsratsgeschäften (Klassifizierungsverordnung, KRGV) Der Regierungsrat des Kantons Bern, gestützt Mehr Richtlinie zur Festlegung von Verantwortlichkeiten im Datenschutz
Reglement über den Datenschutz in der Gemeindeverwaltung Würenlos vom 1. Juni 2015 Inhaltsverzeichnis I. Zugang zu amtlichen Dokumenten 1 Anwendbares Recht 2 Entgegennahme des Gesuches 3 Gesuchsbehandlung Mehr Konkretisierung Vereinbarung Kundenwerbung
Übersicht Schwerpunktthema Konkretisierung Vereinbarung Kundenwerbung (ersetzt Version vom 31.03.2011) Dr. Stefan Holenstein, Projektleiter Kundenwerbung Forum der Krankenversicherer santésuisse Datum: Mehr Regierungs- und Verwaltungsorganisationsgesetz
Vorlage der Redaktionskommission für die Schlussabstimmung Regierungs- und Verwaltungsorganisationsgesetz (RVOG) () Änderung vom 1. Oktober 2010 Die Bundesversammlung der Schweizerischen Eidgenossenschaft, Mehr Risiken und Haftungsfragen für Sicherheits- und Führungskräfte
Risiken und Haftungsfragen für Sicherheits- und Führungskräfte mag. iur. Maria Winkler Geschäftsführerin der IT & Law Consulting GmbH SSI-Fachtagung vom 28.10.2010 Unternehmenssicherheit - Neue Herausforderungen Mehr Organisationsreglement
Verein swissdec swissdec, 6002 Luzern www.swissdec.ch Organisationsreglement Inhaltsverzeichnis I Vorstand... 4 1 Zusammensetzung... 4 2 Rechnungsführer... 4 II Organisationseinheiten des Vereins... 4 Mehr 1. Zweck, Begriffe, Gegenstand KANTON ZÜRICH. 1.1 Zweck
KANTON ZÜRICH Allgemeine Geschäftsbedingungen über die Geheimhaltung, den Datenschutz und die Daten- und Informationssicherheit bei der Erbringung von Informatikdienstleistungen AGB Sicherheit (September Mehr Anlage zum Vertrag vom. Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag
Anlage zum Vertrag vom Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag O durch Wartung bzw. O Fernwartung *Zutreffendes bitte ankreuzen Diese Anlage konkretisiert die datenschutzrechtlichen Mehr FachInfo Dezember 2012
FachInfo Dezember 2012 Datenschutz in der Asylsozialhilfe Inhaltsverzeichnis 1. Einleitung... 2 2. Grundsätze des Datenschutzes... 2 2.1 Verhältnismässigkeit...2 2.2 Zweckbindung...2 2.3 Richtigkeit und Mehr Datenschutzrechtliche Vereinbarung nach 11 BDSG zur Verarbeitung personenbezogener Daten
Datenschutzrechtliche Vereinbarung nach 11 BDSG zur Verarbeitung personenbezogener Daten Auftraggeber: Auftragnehmer: 1. Gegenstand der Vereinbarung Der Auftragnehmer erhebt / verarbeitet / nutzt personenbezogene Mehr Vernehmlassung betreffend Neues Bundesgesetz über das elektro-nische Patientendossier
Demokratische Juristinnen und Juristen der Schweiz Schwanengasse 9 Juristes Démocrates de Suisse 3011 Bern Giuristi e Giuriste Democratici Svizzeri Tel 031 312 83 34 Giuristas e Giurists Democratics Svizzers Mehr Bestellungsvertrag für eine(n) externe(n) Datenschutzbeauftragte(n)
Bestellungsvertrag für eine(n) externe(n) Datenschutzbeauftragte(n) Vertrag über Dienstleistungen einer/eines externen Datenschutzbeauftragten nach 4f Bundesdatenschutzgesetz -"BDSG"- zwischen vertreten Mehr Allgemeine Versicherungsbedingungen (AVB) für Medicasa, Hausarztversicherung für das Oberw allis
Allgemeine Versicherungsbedingungen (AVB) für Medicasa, Hausarztversicherung für das Oberw allis I nhaltsverzeichnis 1. Grundsätze 1.1. Versicherungsform 1.2. Ärzteliste 1.3. Behandlung, Qualität, Versorgung Mehr Datenschutzgesetz (DSchG)
GEMEINDE METTAUERTAL KANTON AARGAU Reglement über den Datenschutz (Datenschutzreglement) 6. Januar 2015/me Inhaltsverzeichnis A. Zugang zu amtlichen Dokumenten... 3 1 Anwendbares Recht... 3 2 Entgegennahme Mehr Verordnung über die elektronische Geschäftsverwaltung in der Bundesverwaltung
Verordnung über die elektronische Geschäftsverwaltung in der Bundesverwaltung (GEVER-Verordnung) 172.010.441 vom 30. November 2012 (Stand am 1. Juli 2014) Der Schweizerische Bundesrat, gestützt auf Artikel Mehr HEUKING KÜHN LÜER WOJTEK Datenschutz bei Portfoliotransfers in der Schweiz. Zürich, 28. März 2014 René Schnichels
HEUKING KÜHN LÜER WOJTEK Datenschutz bei Portfoliotransfers in der Schweiz Zürich, 28. März 2014 René Schnichels I Wann spielt Datenschutz eine Rolle? 1. Vorbereitung der Bestandsübertragung: Due Diligence, Mehr BEKANNTGABE VON DATEN INS AUSLAND Informationsblatt zur Datenübermittlung ins Ausland
Autorité cantonale de la transparence et de la protection des données ATPrD Kantonale Behörde für Öffentlichkeit und Datenschutz ÖDSB Kantonale Datenschutzbeauftragte Chorherrengasse 2, 1700 Freiburg Kantonale Mehr Allgemeine Datenschutzverordnung der Stadt Zürich (ADSV)
STADT ZÜRICH 6.00 Allgemeine Datenschutzverordnung der Stadt Zürich (ADSV) Gemeinderatsbeschluss vom 5. November 997 mit Änderung vom 7. April 004 I. Zweck und Geltungsbereich Art. Zweck Diese Verordnung Mehr Informationssicherheitspolitik der EGK-Gesundheitskasse
Seite 1 von 5 Informationssicherheitspolitik der Die umfasst die Partnerstiftungen EGK Grundversicherungen Seite 2 von 5 Wichtige Informationen zum Dokument Dokumentenklasse: IT-Rahmendokumentation Dokumententitel: Mehr Einführung ins Datenschutzrecht
Workshop vom 6. Dezember 2004 Einführung ins Datenschutzrecht Dr. Wolfgang Straub Überblick Wozu Datenschutz? Grundlagen Grundsätze der Datenbearbeitung Rechte der Betroffenen Anwendungsbeispiele 2 1 Rechtsquellen Mehr Anschlussvertrag (Stand 1. Januar 2016)
Anschlussvertrag (Stand. Januar 06) für das Vorsorgewerk Trasse Schweiz AG (VW Trasse) vom. August 05 Gestützt auf Artikel des PUBLICA-Gesetzes vom 0. Dezember 006 schliesst Trasse Schweiz AG Schwarztorstrasse, Mehr Gesetz über den Datenschutz (Datenschutzgesetz)
Vorlage des Regierungsrats 22.07.14 vom 24. September 2007 Gesetz über den Datenschutz (Datenschutzgesetz) vom... Der Kantonrat des Kantons Obwalden, in Ausführung des Bundesgesetzes über den Datenschutz Mehr Pensionskasse des Bundes Caisse fédérale de pensions Holzikofenweg 36 Cassa pensioni della Confederazione
Compliance-Reglement 1. Grundsätze und Ziele Compliance ist die Summe aller Strukturen und Prozesse, die sicherstellen, dass und ihre Vertreter/Vertreterinnen alle relevanten Gesetze, Vorschriften, Codes Mehr Datenannahmestelle der CSS Gruppe
Datenannahmestelle der CSS Gruppe Luzern, Juni 2013 Stefan Wülser Leiter Leistungsabwicklung CSS Versicherung - INTRAS - ARCOSANA Inhaltsverzeichnis Ausgangslage Der aktuelle Eingang von DRG-Rechnungen Mehr «Hose abelaa!» Datenschutz im Einbürgerungsverfahren
«Hose abelaa!» Datenschutz im Einbürgerungsverfahren Erfahrungsaustausch Bürgerrecht vom 29. Oktober 2015 1 Öffentlichkeits- und Datenschutzbeauftragter Rechtsgrundlage Gesetz über die Öffentlichkeit der Mehr Verordnung zum Bundesgesetz über den Datenschutz
Verordnung zum Bundesgesetz über den Datenschutz (VDSG) 235.11 vom 14. Juni 1993 (Stand am 1. Dezember 2010) Der Schweizerische Bundesrat, gestützt auf die Artikel 6 Absatz 3, 7 Absatz 2, 8, 11a Absatz Mehr Vertrag Stillberatung SBK. Tarifvertrag. zwischen dem. Schweizer Berufsverband der Krankenschwestern und Krankenpfleger. und dem
Tarifvertrag zwischen dem Schweizer Berufsverband der Krankenschwestern und Krankenpfleger (SBK) und dem Konkordat der Schweizerischen Krankenversicherer (KSK) Art. 1. Gegenstand Der vorliegende Vertrag, Mehr «Stärkung der Aufsicht über die soziale Krankenversicherung und Korrektur der Prämien der Vergangenheit.»
RVK-ImPuls Freitag, Hotel Astoria, Luzern Referat Helga Portmann Leiterin Abteilung Versicherungsaufsicht, Bundesamt für Gesundheit «Stärkung der Aufsicht über die soziale Krankenversicherung und Korrektur Mehr SwissDRG. Bearbeitungsreglement SwissDRG
Bearbeitungsreglement Versionskontrolle Datum Version Name Beschreibung 20.03.2014 12.05.2014 1.0 1.1 Andrea Müller Wolfgang Schwarz Erstellung Scope, Lenkung des DSMS, Auskunftsrecht MCD s, Interessenskonflikt Mehr vom 15. März 2005 Art. 1 Gegenstand und Zweck
832.101.4 Liechtensteinisches Landesgesetzblatt Jahrgang 2005 Nr. 55 ausgegeben am 22. März 2005 Verordnung vom 15. März 2005 über die Krankenversicherungskarte (Kranken- versicherungskartenverordnung; Mehr Änderungs- und Ergänzungsvorschläge der deutschen gesetzlichen Krankenkassen
Einwilligung in die Erhebung und Verwendung von Gesundheitsdaten und Schweigepflichtentbindungserklärung* Die Regelungen des Versicherungsvertragsgesetzes, des Bundesdatenschutzgesetzes sowie anderer Datenschutzvorschriften Mehr Verordnung über die Krankenversicherung
Verordnung über die Krankenversicherung (KVV) Änderung vom Der Schweizerische Bundesrat verordnet: I Die Verordnung vom 27. Juni 1995 1 über die Krankenversicherung wird wie folgt geändert: Art. 28 Daten Mehr Verpflichtung auf das Datengeheimnis
Datenschutzvereinbarung Vereinbarung zum Datenschutz und zur Datensicherheit in Auftragsverhältnissen nach 11 BDSG zwischen dem Nutzer der Plattform 365FarmNet - nachfolgend Auftraggeber genannt - und Mehr Bundesgesetz über die Unfallversicherung
Bundesgesetz über die Unfallversicherung (UVG) (Organisation und Nebentätigkeiten der SUVA) Änderung vom... (Entwurf vom 29. Mai 2008) Die Bundesversammlung der Schweizerischen Eidgenossenschaft, nach Mehr auf Antrag der Finanzdirektion und der Staatskanzlei, die für die öffentlich zugänglichen Websites des Staates gelten.
Verordnung vom 3. Mai 2005 Inkrafttreten: 01.07.2005 über die Websites des Staates Der Staatsrat des Kantons Freiburg gestützt auf den Artikel 9 Bst. c des Gesetzes vom 16. Oktober 2001 über die Organisation Mehr Rundschreiben 2008/7 Outsourcing Banken
Häufig gestellte Fragen (FAQ) Rundschreiben 2008/7 Outsourcing Banken (Letzte Änderung vom 6. Februar 2015) 1. Nach welchen Kriterien beurteilt sich die Anwendbarkeit des Rundschreibens 2008/7? Ein Outsourcing Mehr 2017 © DocPlayer.org Datenschutzbestimmungen | Nutzungsbedingungen | Feedback