Verordnung der Bundesministerin für Gesundheit, Familie und Jugend, mit der die für den elektronischen Gesundheitsdatenaustausch in Betracht kommenden Rollen sowie die qualitativen Mindestanforderungen für Verschlüsselung und elektronische Signaturen festgelegt werden - Gesundheitstelematikverordnung (GTelV)

Geltender Text a fecha 2008-12-31

Präambel/Promulgationsklausel

Auf Grund der §§ 5 Abs. 1, 7 Abs. 5 und 9 Abs. 6 des Gesundheitstelematikgesetzes (GTelG), BGBl. I Nr. 179/2004, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 23/2008, wird verordnet:

Abschnitt

Datensicherheit

Identität

§ 1. (1) Nachweis und Prüfung der Identität von Gesundheitsdiensteanbietern haben

durch Verwendung elektronischer Signaturen, die auf qualifizierte Zertifikate rückführbar sein müssen sowie bereichsspezifischer Personenkennzeichen (§ 9 E Government-Gesetz, BGBl. I Nr. 10/2004 in der Fassung des Bundesgesetzes BGBl. I Nr. 59/2008) oder

durch Einsichtnahme in den eHealth-Verzeichnisdienst (§§ 9 ff GTelG)

(2) Nachweis und Prüfung der Identität von Gesundheitsdiensteanbietern dürfen abweichend von Abs. 1 auch auf andere Art und Weise erfolgen, wenn

der elektronische Gesundheitsdatenaustausch gemäß § 3 Abs. 1 stattfindet,

die Verbindung der Gesundheitsdaten, die im Rahmen des elektronischen Gesundheitsdatenaustausches übermittelt werden und der Identitätsdaten nicht oder nicht spurlos verändert werden kann und

eine Verwechslung von Gesundheitsdiensteanbietern ausgeschlossen werden kann.

Abs. 3 tritt sechs Monate nach Veröffentlichung dieser

Schnittstellenspezifikation in Kraft (vgl. § 8 Abs. 3).

Rollen

§ 2. (1) Im Rahmen des elektronischen Gesundheitsdatenaustausches haben Gesundheitsdiensteanbieter ausschließlich die Rollen gemäß Anlage 1 zu verwenden.

(2) Bei der Aufnahme eines Gesundheitsdiensteanbieters in den eHealth-Verzeichnisdienst hat die Zuordnung einer Rolle zu einem Gesundheitsdiensteanbieter für

die in den Z 1 bis 3 der Anlage 1 genannten Rollen durch die Österreichische Ärztekammer,

die in den Z 4 und 5 der Anlage 1 genannten Rollen durch die Österreichische Zahnärztekammer,

die in der Z 10 der Anlage 1 genannte Rolle durch das Österreichische Hebammengremium,

die in der Z 26 der Anlage 1 genannte Rolle durch die Österreichische Apothekerkammer,

die in der Z 38 der Anlage 1 genannte Rolle durch den Hauptverband der österreichischen Sozialversicherungsträger sowie

in allen anderen Fällen durch den Bundesminister für Gesundheit, Familie und Jugend

(3) Die in Abs. 2 Z 1 bis 5 genannten Stellen haben dem Bundesminister für Gesundheit, Familie und Jugend alle verfügbaren Daten gemäß § 10 Abs. 1 GTelG

sowie das Geburtsdatum der Gesundheitsdiensteanbieter,

nicht jedoch

a. die eindeutige elektronische Identifikation gemäß § 10 Abs. 1 Z 1 GTelG und

b. die Angaben des § 10 Abs. 1 Z 3 und 7 GTelG

(4) Der Bundesminister für Gesundheit, Familie und Jugend hat auf Grund der gemäß Abs. 3 zur Verfügung gestellten Daten die bereichsspezifischen Personenkennzeichen (bPK) für den eHealth-Verzeichnisdienst von der Stammzahlenregisterbehörde errechnen zu lassen. Soweit die gemäß Abs. 3 zur Verfügung gestellten Daten nicht zur Errechnung der bPK ausreichen, sind dem Bundesminister für Gesundheit, Familie und Jugend zusätzlich

der Geburtsort,

das Geschlecht und

die Staatsangehörigkeit

(5) Nachweis und Prüfung der Rollen von Gesundheitsdiensteanbietern haben durch Abfrage de eHealth-Verzeichnisdienstes (§§ 9 ff GTelG) zu erfolgen.

Rollen

§ 2. (1) Im Rahmen des elektronischen Gesundheitsdatenaustausches haben Gesundheitsdiensteanbieter ausschließlich die Rollen gemäß Anlage 1 zu verwenden.

(2) Bei der Aufnahme eines Gesundheitsdiensteanbieters in den eHealth-Verzeichnisdienst hat die Zuordnung einer Rolle zu einem Gesundheitsdiensteanbieter für

die in den Z 1 bis 3 der Anlage 1 genannten Rollen durch die Österreichische Ärztekammer,

die in den Z 4 und 5 der Anlage 1 genannten Rollen durch die Österreichische Zahnärztekammer,

die in der Z 10 der Anlage 1 genannte Rolle durch das Österreichische Hebammengremium,

die in der Z 26 der Anlage 1 genannte Rolle durch die Österreichische Apothekerkammer,

die in der Z 38 der Anlage 1 genannte Rolle durch den Hauptverband der österreichischen Sozialversicherungsträger sowie

in allen anderen Fällen durch den Bundesminister für Gesundheit

(3) Die in Abs. 2 Z 1 bis 5 genannten Stellen haben dem Bundesminister für Gesundheit alle verfügbaren Daten gemäß § 10 Abs. 1 GTelG

sowie das Geburtsdatum der Gesundheitsdiensteanbieter,

nicht jedoch

a. die eindeutige elektronische Identifikation gemäß § 10 Abs. 1 Z 1 GTelG und

b. die Angaben des § 10 Abs. 1 Z 3 und 7 GTelG

(4) Der Bundesminister für Gesundheit hat auf Grund der gemäß Abs. 3 zur Verfügung gestellten Daten die bereichsspezifischen Personenkennzeichen (bPK) für den eHealth-Verzeichnisdienst von der Stammzahlenregisterbehörde errechnen zu lassen. Soweit die gemäß Abs. 3 zur Verfügung gestellten Daten nicht zur Errechnung der bPK ausreichen, sind dem Bundesminister für Gesundheit, zusätzlich

der Geburtsort,

das Geschlecht und

die Staatsangehörigkeit

(5) Nachweis und Prüfung der Rollen von Gesundheitsdiensteanbietern haben durch Abfrage de eHealth-Verzeichnisdienstes (§§ 9 ff GTelG) zu erfolgen.

Vertraulichkeit

§ 3. (1) Die Vertraulichkeit beim elektronischen Gesundheitsdatenaustausch ist dadurch sicherzustellen, dass

der elektronische Gesundheitsdatenaustausch über Netzwerke durchgeführt wird, die entsprechend dem Stand der Netzwerksicherheit hinreichend gegenüber unbefugten Zugriffen abgesichert sind, indem sie zumindest

a. die kryptographische Absicherung des Datenverkehrs,

b. den Netzzugang ausschließlich für eine geschlossene oder abgrenzbare Benutzergruppe sowie

c. die Authentifizierung der Benutzer

Protokolle und Verfahren verwendet werden, die

a. die vollständige Verschlüsselung der Gesundheitsdaten ermöglichen und

b. deren kryptographische Algorithmen in der Anlage 2 angeführt sind.

(2) Beim elektronischen Gesundheitsdatenaustausch gemäß Abs. 1 Z 2 dürfen die allenfalls von der Verschlüsselung ausgenommenen Informationen weder Hinweise auf die Betroffenen (§ 4 Z 3 Datenschutzgesetz 2000, BGBl. I Nr. 165/1999 in der Fassung des Bundesgesetzes BGBl. I Nr. 2/2008), deren Gesundheitsdaten verwendet werden, noch auf allfällige Authentifizierungsdaten enthalten.

Integrität

§ 4. (1) Nachweis und Prüfung der Integrität von Gesundheitsdaten, die im Rahmen des elektronischen Gesundheitsdatenaustausches übermittelt werden, haben durch die Verwendung elektronischer Signaturen, die auf qualifizierte Zertifikate rückführbar sein müssen, zu erfolgen.

(2) Nachweis und Prüfung der Integrität von Gesundheitsdaten, die im Rahmen des elektronischen Gesundheitsdatenaustausches übermittelt werden, dürfen abweichend von Abs. 1 auch auf andere Art und Weise erfolgen, wenn

der elektronische Gesundheitsdatenaustausch gemäß § 3 Abs. 1 stattfindet und

die Gesundheitsdaten nicht oder nicht spurlos verändert werden können.

Dokumentationspflichten

§ 5. (1) Gesundheitsdiensteanbieter haben

alle Maßnahmen, mit denen die Anforderungen der §§ 1 Abs. 2, 3 Abs. 1 Z 2 oder 4 Abs. 2 erfüllt werden,

die Kontaktaufnahme und Änderung der Kontaktdaten gemäß § 6 Abs. 2 und 3 sowie

die Prüfung der Rufnummern gemäß § 7 Z 2

(2) Die Dokumentation gemäß Abs. 1 Z 1 und 3 ist auf Verlangen dem Bundesminister für Gesundheit, Familie und Jugend zu übermitteln.

Dokumentationspflichten

§ 5. (1) Gesundheitsdiensteanbieter haben alle Maßnahmen, mit denen die Anforderungen gemäß § 1 Abs. 2, § 3 Abs. 1 Z 1 oder § 4 Abs. 2 erfüllt werden, zu dokumentieren.

(2) Die Dokumentation gemäß Abs. 1 ist auf Verlangen dem Bundesminister für Gesundheit zu übermitteln.

Abschnitt

Übergangs- und Schlussbestimmungen

Erleichterte Voraussetzungen des Identitäts-, Rollen- undIntegritätsnachweises

§ 6. (1) Sind Nachweis oder Prüfung von Identität, Rollen oder Integrität nach den Bestimmungen des 1. Abschnitts nicht möglich, darf ein elektronischer Gesundheitsdatenaustausch nur erfolgen, wenn zumindest die Identitäten und maßgeblichen Rollen der am elektronischen Gesundheitsdatenaustausch beteiligten Gesundheitsdiensteanbieter gegenseitig durch

persönlichen Kontakt oder

telephonischen Kontakt oder

Vertragsbestimmungen zur elektronischen Erreichbarkeit oder

Abfrage elektronischer Verzeichnisse der Stellen gemäß § 2 Abs. 2 Z 1 bis 5

(2) In den Fällen des Abs. 1 Z 1 und 2 sind vor dem erstmaligen elektronischen Gesundheitsdatenaustausch zwischen den beteiligten Gesundheitsdiensteanbietern

Datum und Art der Kontaktaufnahme,

die vollständigen Namen und maßgeblichen Rollen der am elektronischen Gesundheitsdatenaustausch beteiligten Gesundheitsdiensteanbieter,

die Angaben zur elektronischen Erreichbarkeit der Gesundheitsdiensteanbieter sowie

die an der Kontaktaufnahme beteiligten natürlichen Personen

(3) Änderungen der Daten gemäß Abs. 2 Z 2 und 3 sind zu dokumentieren.

Erleichterte Voraussetzungen der Vertraulichkeit

§ 7. Abweichend von § 3 darf der elektronische Gesundheitsdatenaustausch auch per Fax erfolgen, wenn

die Faxgeräte vor unbefugtem Zugang und Gebrauch geschützt sind,

die Rufnummern, insbesondere die verspeicherten Rufnummern, mindestens alle zwei Monate nachweislich auf ihre Aktualität geprüft werden,

automatische Weiterleitungen, außer an den Gesundheitsdiensteanbieter selbst, deaktiviert sind,

alle vom Gerät unterstützten Sicherheitsmaßnahmen genützt werden und

allenfalls verfügbare Fernwartungsfunktionen nur für die vereinbarte Dauer der Fernwartung aktiviert sind.

Schlussbestimmungen

§ 8. (1) Personenbezogene Bezeichnungen beziehen sich auf Frauen und Männer in gleicher Weise.

(2) Diese Verordnung tritt mit Ausnahme des § 2 Abs. 3 mit 1. Jänner 2009 in Kraft.

(3) Der Bundesminister für Gesundheit, Familie und Jugend hat die technische Spezifikation der Schnittstelle gemäß § 2 Abs. 3 unter der Adresse http://www.ehvd.at im Internet zu veröffentlichen. § 2 Abs. 3 tritt sechs Monate nach Veröffentlichung dieser Schnittstellenspezifikation in Kraft.

(4) Bis zum Ablauf des 31. Dezember 2010 darf der elektronische Gesundheitsdatenaustausch unter den erleichterten Bedingungen der §§ 6 und 7 erfolgen, wobei die Abfrage elektronischer Verzeichnisse gemäß § 6 Abs. 1 Z 4 nur bis zum In-Kraft-Treten des § 2 Abs. 3 zulässig ist. Bis zum Ablauf des 31. Dezember 2010 dürfen Gesundheitsdiensteanbieter,

die Gesundheitsdaten in Übereinstimmung mit dieser Verordnung verwenden oder

deren Rollen nicht in der Anlage 1 angeführt sind,

Schlussbestimmungen

§ 8. (1) Personenbezogene Bezeichnungen beziehen sich auf Frauen und Männer in gleicher Weise.

(2) Diese Verordnung tritt mit Ausnahme des § 2 Abs. 3 mit 1. Jänner 2009 in Kraft.

(2a) § 2 Abs. 2 Z 6, Abs. 3 und 4, § 5 sowie § 8 Abs. 3 und 4 in der Fassung der Verordnung, BGBl. II Nr. 464/2010, treten mit 1. Jänner 2011 in Kraft. Die §§ 6 und 7 in der Fassung der Verordnung, BGBl. II Nr. 451/2008, treten mit Ablauf des 31. Dezember 2010 außer Kraft.

die Gesundheitsdaten in Übereinstimmung mit dieser Verordnung verwenden oder

deren Rollen nicht in der Anlage 1 angeführt sind,

Schlussbestimmungen

§ 8. (1) Personenbezogene Bezeichnungen beziehen sich auf Frauen und Männer in gleicher Weise.

(2) Diese Verordnung tritt mit Ausnahme des § 2 Abs. 3 mit 1. Jänner 2009 in Kraft.

(3) Der Bundesminister für Gesundheit, hat die technische Spezifikation der Schnittstelle gemäß § 2 Abs. 3 unter der Adresse http://www.ehvd.at im Internet zu veröffentlichen. § 2 Abs. 3 tritt sechs Monate nach Veröffentlichung dieser Schnittstellenspezifikation in Kraft.

(4) Die Abfrage elektronischer Verzeichnisse der Stellen gemäß § 2 Abs. 2 Z 1 bis 5 ist bis zum In-Kraft-Treten des § 2 Abs. 3 zulässig.

Anlage 1: Rollen

Approbierte Ärztin/Approbierter Arzt

Ärztin/Arzt für Allgemeinmedizin

Fachärztin/Facharzt, unter Beifügung des Wortes “für” und des folgenden, jeweils zutreffenden Sonderfachs

Anästhesiologie und Intensivmedizin

Anatomie

Arbeitsmedizin

Augenheilkunde und Optometrie

Blutgruppenserologie und Transfusionsmedizin

Chirurgie

Frauenheilkunde und Geburtshilfe

Gerichtsmedizin

Hals-, Nasen- und Ohrenkrankheiten

Haut- und Geschlechtskrankheiten

Herzchirurgie

Histologie und Embryologie

Hygiene und Mikrobiologie

Immunologie

Innere Medizin

Kinder- und Jugendchirurgie

Kinder- und Jugendheilkunde

Kinder- und Jugendpsychiatrie

Lungenkrankheiten

Medizinische Biophysik

Medizinische Genetik

Medizinische und Chemische Labordiagnostik

Medizinische Leistungsphysiologie

Mund-, Kiefer- und Gesichtschirurgie

Neurobiologie

Neurochirurgie

Neurologie

Neuropathologie

Nuklearmedizin

Orthopädie und Orthopädische Chirurgie

Pathologie

Pathophysiologie

Pharmakologie und Toxikologie

Physikalische Medizin und Allgemeine Rehabilitation

Physiologie

Plastische, Ästhetische und Rekonstruktive Chirurgie

Psychiatrie

Psychiatrie und Psychotherapeutische Medizin

Radiologie

Sozialmedizin

Spezifische Prophylaxe und Tropenmedizin

Strahlentherapie-Radioonkologie

Thoraxchirurgie

Unfallchirurgie

Urologie

Virologie

Zahnärztin/Zahnarzt

Dentistin/Dentist

Psychotherapeutin/Psychotherapeut

Klinischer Psychologe/Klinische Psychologin

Gesundheitspsychologin/Gesundheitspsychologe

Musiktherapeutin/Musiktherapeut

10.

Hebamme

11.

Physiotherapeutin/Physiotherapeut

12.

Biomedizinische Analytikerin/Biomedizinischer Analytiker

13.

Radiologietechnologin/Radiologietechnologe

14.

Diätologin/Diätologe

15.

Ergotherapeutin/Ergotherapeut

16.

Logopädin/Logopäde

17.

Orthoptistin/Orthoptist

18.

Diplomierte Gesundheits- und Krankenschwester/Diplomierter Gesundheits- und Krankenpfleger

19.

Diplomierte Kinderkrankenschwester/Diplomierter Kinderkrankenpfleger

20.

Diplomierte psychiatrische Gesundheits- und Krankenschwester/Diplomierter psychiatrischer Gesundheits- und Krankenpfleger

21.

Heilmasseurin/Heilmasseur

22.

Krankenanstalt (§ 2 Abs. 1 Z 1 bis 6 KAKuG)

23.

Selbständiges Ambulatorium (§ 2 Abs. 1 Z 7 KAKuG)

24.

Einrichtung des Strafvollzugs

25.

Kuranstalt (§ 42a KAKuG)

26.

Öffentliche Apotheke

27.

Gewebebank

28.

Blutspendeeinrichtung

29.

Untersuchungsanstalt

30.

Augenoptik

31.

Kontaktlinsenoptik

32.

Bandagist

33.

Hörgeräteakustik

34.

Orthopädietechnik

35.

Rettung

36.

Patiententransport

37.

Hauptverband der österreichischen Sozialversicherungsträger

38.

Versicherungsträger

39.

Krankenfürsorgeeinrichtung

40.

Privatkrankenanstaltenfinanzierungsfonds

41.

Personenversicherung Gesundheitsrisiken

42.

Krankenanstaltenträger

43.

Kuranstaltenträger

44.

Gesundheitsverwaltung

45.

Patientenvertretung (§ 11e KAKuG)

46.

Dienstleister Gesundheitswesen

Anlage 2: Zulässige Algorithmen

Alle Verfahren, die im Anhang der Signaturverordnung 2008 (SigV 2008), BGBl. II Nr. 3/2008 angeführt sind, sind zulässig.

Als symmetrische Verfahren sind geeignet, wobei eine effektive Schlüssellänge von mindestens 100 Bit gegeben sein muss:

Advanced Encryption Standard (AES) [FIPS197]

TripleDES [ANSI X9.52]

Abkürzungen (zitierte Referenzen):

[ANSI X9.52]	„Triple Data Encryption Algorithm Modes of Operation“, American National Standards Institute, ANSI X9.52, 1998.
[FIPS197]	„Advanced Encryption Standard (AES)“, National Institute of Standards and Technology (NIST), Federal Information Processing Standards Publication, FIPS 197, November 2001.
[NIST 800-38A]	M. Dworkin: „Recommendation for Block Cipher Modes of Operation“, National Institute of Standards and Technology, NIST Special Publication 800-38A, 2001.