§ 28a Verordnungsermächtigungen für den 4. Abschnitt (ELGA)
In Kraft seit 04. November 2025
Up-to-date
(1) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat auf Grundlage des 4. Abschnitts mit Verordnung Folgendes festzulegen:
1. die in ELGA zu verwendenden Standards für Inhalt, Struktur und Format gemäß § 27 Abs. 7, 8 und 9 für
a) Entlassungsbriefe gemäß § 2 Z 9 lit. a sublit. aa,
b) Laborbefunde gemäß § 2 Z 9 lit. a sublit. bb,
c) Befunde der bildgebenden Diagnostik einschließlich allfälliger Bilddaten gemäß § 2 Z 9 lit. a sublit. cc sowie
d) Medikationsdaten gemäß § 2 Z 9 lit. b,
2. die in ELGA zu verwendenden Standards für Struktur und Format, für
a) folgende Befundarten (§ 2 Z 9 lit. a sublit. dd):
aa) Pathologiebefunde durch Fachärzte und Fachärztinnen für Pathologie und Krankenanstalten und
bb) sonstige fachärztliche Befunde im Rahmen ambulanter Behandlungen (Spitalsambulanz, selbstständige Ambulatorien, niedergelassener Facharztbereich) sowie
b) automationsunterstützt erstellte Angaben gemäß Art. 14 Abs. 2 lit. b sublit. i der Richtlinie 2011/24/EU über die Ausübung der Patient/inn/enrechte in der grenzüberschreitenden Gesundheitsversorgung (§ 2 Z 9 lit. f),
3. den jeweiligen Zeitpunkt, ab dem die in Z 1 und 2 genannten Daten in ELGA gemäß § 13 Abs. 2 und 3 in Verbindung mit Abs. 1 Z 1 zu speichern und zu erheben sind sowie den jeweiligen Zeitpunkt, ab dem die Nutzung der ELGA-Komponenten (§ 24) zur Verarbeitung von ELGA-Gesundheitsdaten technisch sichergestellt sein muss,
4. die zu erfassenden wechselwirkungsrelevanten, nicht verschreibungspflichtigen Arzneimittel gemäß § 2 Z 9 lit. b,
5. Standards der für ELGA verwendeten Komponenten für
a) die Suchfunktion gemäß § 13 Abs. 5,
b) die zeitliche Verfügbarkeit,
c) die Sicherheitsanforderungen, wie insbesondere Regelungen zum Risikomanagement, und
d) den Zugriffsschutz,
wobei sichergestellt sein muss, dass Wartungsarbeiten protokolliert werden und dabei entweder nur verschlüsselte Daten eingesehen werden können oder ein Vier Augen-Prinzip sichergestellt ist,
6. für den Aushang gemäß § 16 Abs. 4
a) den Umfang und Detaillierungsgrad der Information und
b) die Mindestanforderungen an den Inhalt,
7. die Einrichtung der ELGA und eHealth-Supporteinrichtung gemäß § 17 sowie die von den einzelnen Bereichen wahrzunehmenden Aufgaben,
8. den Zeitpunkt, ab dem eine einheitliche Nomenklatur für ELGA Gesundheitsdaten (§ 2 Z 9) zu verwenden ist,
9. den Auftragsverarbeiter (Art. 4 Z 8 DSGVO) des Berechtigungssystems gemäß § 21 und des Protokollierungssystems gemäß § 22
10. den Beginn und das Ende von Testphasen für ELGA in Verbindung mit Z 1 bis 3 samt einer allfälligen, unabhängigen Evaluierung sowie
11. allenfalls weitere Zugriffsberechtigungen auf ELGA Gesundheitsdaten gemäß § 21 Abs. 2.
(2) Für die Festlegung der Standards gemäß Abs. 1 Z 1 hat der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin die international anerkannten Standards, die wirtschaftliche Vertretbarkeit sowie den Stand der technischen Möglichkeiten hinsichtlich des Detaillierungsgrades der Strukturen bei den jeweiligen ELGA Gesundheitsdiensteanbietern zu berücksichtigen.
(3) Die Standards gemäß Abs. 1 Z 2 sind nach Abschluss eines einheitlichen Standardisierungsverfahrens unter Mitwirkung der ELGA Systempartner sowie zuständiger gesetzlicher Interessenvertretungen nach den Kriterien des Abs. 2 festzulegen.
(4) Der für das Gesundheitswesen zuständige Bundesminister oder die zuständige Bundesministerin hat bei der Erlassung einer Verordnung gemäß Abs. 1 Z 11 folgende Kriterien einzuhalten:
1. Verantwortliche und deren Auftragsverarbeiter dürfen nur über die geringsten – für ihre Rolle (§ 2 Z 5) noch ausreichenden – Zugriffsberechtigungen verfügen.
2. Soweit unterstellte Personen im Sinne des Art. 29 DSGVO ihre Rolle eigenverantwortlich wahrnehmen, ist durch Zugriffsberechtigungen und – soweit erforderlich – neue Rollen sicherzustellen, dass auch
a) die Verantwortlichen oder Auftragsverarbeiter im Sinne des Art. 29 DSGVO sowie
b) andere unterstellte Personen im Sinne des Art. 29 DSGVO, die nicht in der Rolle tätig werden,
vom Zugriff ausgeschlossen sind.
3. Soweit in ELGA Daten aus anderen Verarbeitungstätigkeiten als ELGA bereitgestellt werden, dürfen die Zugriffsberechtigungen für diese Daten in ELGA keinen schreibenden Zugriff vorsehen.
4. Die Zugriffsberechtigungen haben alle mit einer Rolle verbundenen Verarbeitungstätigkeiten abzudecken.
5. Die von der Verordnung gemäß § 28 Abs. 1 Z 1 abweichende Einführung neuer Rollen ist zulässig, sofern die neuen Rollen Teilmengen der bestehenden Rollen sind.
6. Die Zugriffsberechtigungen haben jedenfalls zwischen schreibendem und lesendem Zugriff zu unterscheiden.
Rückverweise
Keine Verweise gefunden