Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (Artikel 1 des Gesetzes v. 20. Dezember 1988, BGBl. I S. 2477) (SGB 5) : Anforderungen an die Telematikinfrastruktur

Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (Artikel 1 des Gesetzes v. 20. Dezember 1988, BGBl. I S. 2477): Inhaltsverzeichnis

Elftes Kapitel
Telematikinfrastruktur

Erster Abschnitt
Anforderungen an die Telematikinfrastruktur

§ 306 Telematikinfrastruktur

wird zitiert von: 2 Paragraphen.

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, der Spitzenverband Bund der Krankenkassen, die Kassenärztliche Bundesvereinigung, die Kassenzahnärztliche Bundesvereinigung, die Bundesärztekammer, die Bundeszahnärztekammer, die Deutsche Krankenhausgesellschaft sowie die für die Wahrnehmung der wirtschaftlichen Interessen gebildete maßgebliche Spitzenorganisation der Apotheker auf Bundesebene schaffen die Telematikinfrastruktur. Die Telematikinfrastruktur ist die interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient und insbesondere

1.
erforderlich ist für die Nutzung der elektronischen Gesundheitskarte und der Anwendungen der Telematikinfrastruktur,
2.
geeignet ist
a)
für die Nutzung weiterer Anwendungen der Telematikinfrastruktur ohne Nutzung der elektronischen Gesundheitskarte nach § 327

(1) Für weitere Anwendungen ohne Nutzung der elektronischen Gesundheitskarte nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a darf die Telematikinfrastruktur nur verwendet werden, wenn

1.
es sich um eine Anwendung des Gesundheitswesens, der Rehabilitation, der Pflege oder um eine Anwendung zum Zwecke der Gesundheits- und Pflegeforschung handelt,
2.
die Wirksamkeit der Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit sowie die Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur nicht beeinträchtigt werden,
3.
im Fall der Verarbeitung personenbezogener Daten die dafür geltenden Vorschriften zum Datenschutz eingehalten und die erforderlichen technischen und organisatorischen Maßnahmen entsprechend dem Stand der Technik getroffen werden, um die Anforderungen an die Sicherheit der Anwendung im Hinblick auf die Schutzbedürftigkeit der Daten zu gewährleisten und
4.
bei den dafür erforderlichen technischen Systemen und Verfahren Barrierefreiheit für den Versicherten gewährleistet ist.

(2) Weitere Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a bedürfen zur Nutzung der Telematikinfrastruktur der Bestätigung durch die Gesellschaft für Telematik. Die Gesellschaft für Telematik legt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit das Nähere zu den erforderlichen Voraussetzungen für die Nutzung der Telematikinfrastruktur fest und veröffentlicht diese Voraussetzungen auf ihrer Internetseite.

(3) Die Erfüllung der Voraussetzungen muss der Anbieter einer Anwendung in einem Bestätigungsverfahren nachweisen. Das Bestätigungsverfahren wird auf Antrag eines Anbieters einer Anwendung durchgeführt. Die Bestätigung kann mit Nebenbestimmungen versehen werden.

(4) Die Einzelheiten des Bestätigungsverfahrens nach Absatz 2 sowie die dazu erforderlichen Prüfkriterien legt die Gesellschaft für Telematik im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht sie auf ihrer Internetseite.

(5) Die Gesellschaft für Telematik veröffentlicht eine Liste mit den bestätigten Anwendungen auf ihrer Internetseite.

(6) Für Leistungserbringer in der gesetzlichen Kranken- und Pflegeversicherung, die die Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a nutzen wollen und für die noch keine sicheren Authentisierungsverfahren nach § 311 Absatz 1 Satz 1 Nummer 1 Buchstabe e festgelegt sind, legt die Gesellschaft für Telematik diese Verfahren im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht diese auf ihrer Internetseite.

(7) Die für die Wahrnehmung von Aufgaben nach Absatz 2 beim Bundesamt für Sicherheit in der Informationstechnik sowie bei der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit entstehenden Kosten sowie die für die Wahrnehmung von Aufgaben nach den Absätzen 4 und 6 beim Bundesamt für Sicherheit in der Informationstechnik entstehenden Kosten sind durch die Gesellschaft für Telematik zu erstatten. Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung jeweils im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik sowie der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit fest.

(8) Für die Nutzung der Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a kann die Gesellschaft für Telematik von dem jeweiligen Anbieter Entgelte verlangen. Die Nutzung ist unentgeltlich, sofern die Anwendungen in diesem, im Elften Buch oder im Implantateregistergesetz geregelt sind oder zur Erfüllung einer gesetzlichen Verpflichtung, insbesondere gesetzlicher Meldepflichten im Gesundheitswesen, genutzt werden. Davon unberührt bleibt die Verpflichtung eines Anbieters von Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a, die Kosten für seinen Anschluss an die zentrale Telematikinfrastruktur zu tragen.

und
b)
für die Verwendung für Zwecke der Gesundheits- und pflegerischen Forschung.
Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in Satz 1 genannten Spitzenorganisationen nehmen die Aufgabe nach Satz 1 nach Maßgabe des § 310

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in § 306 Absatz 1 Satz 1 genannten Spitzenorganisationen sind Gesellschafter der Gesellschaft für Telematik.

(2) Die Geschäftsanteile entfallen

1.
zu 51 Prozent auf die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit,
2.
zu 24,5 Prozent auf den Spitzenverband Bund der Krankenkassen und
3.
zu 24,5 Prozent auf die anderen in § 306 Absatz 1 Satz 1 genannten Spitzenorganisationen.

(3) Die Gesellschafter können den Beitritt weiterer Spitzenorganisationen der Leistungserbringer auf Bundesebene und des Verbandes der Privaten Krankenversicherung auf deren Wunsch beschließen. Im Fall eines Beitritts sind die Geschäftsanteile innerhalb der Gruppen der Kostenträger und Leistungserbringer entsprechend anzupassen.

(4) Unbeschadet zwingender gesetzlicher Mehrheitserfordernisse entscheiden die Gesellschafter mit der einfachen Mehrheit der sich aus den Geschäftsanteilen ergebenden Stimmen.

durch eine Gesellschaft für Telematik wahr.

(2) Die Telematikinfrastruktur umfasst

1.
eine dezentrale Infrastruktur bestehend aus Komponenten zur Authentifizierung und zur sicheren Übermittlung von Daten in die zentrale Infrastruktur,
2.
eine zentrale Infrastruktur bestehend aus
a)
sicheren Zugangsdiensten als Schnittstelle zur dezentralen Infrastruktur und
b)
einem gesicherten Netz einschließlich der für den Betrieb notwendigen Dienste sowie
3.
eine Anwendungsinfrastruktur bestehend aus Diensten für die Anwendungen nach diesem Kapitel.

(3) Für die Verarbeitung der zu den besonderen Kategorien im Sinne von Artikel 9 der Verordnung (EU) 2016/679 gehörenden personenbezogenen Daten in der Telematikinfrastruktur gilt ein dem besonderen Schutzbedarf entsprechendes hohes Schutzniveau, dem durch entsprechende technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung (EU) 2016/679 Rechnung zu tragen ist.

(4) Anwendungen im Sinne dieses Kapitels sind nutzerbezogene Funktionalitäten auf der Basis von nach § 325

(1) Die Komponenten und Dienste der Telematikinfrastruktur bedürfen der Zulassung durch die Gesellschaft für Telematik.

(2) Die Gesellschaft für Telematik lässt die Komponenten und Dienste der Telematikinfrastruktur auf Antrag der Anbieter zu, wenn die Komponenten und Dienste funktionsfähig, interoperabel und sicher sind. Die Zulassung kann mit Nebenbestimmungen versehen werden.

(3) Die Gesellschaft für Telematik prüft die Funktionsfähigkeit und Interoperabilität von Komponenten und Diensten der Telematikinfrastruktur auf der Grundlage der von ihr veröffentlichten Prüfkriterien. Der Nachweis der Sicherheit erfolgt durch eine Sicherheitszertifizierung nach den Vorgaben des Bundesamtes für Sicherheit in der Informationstechnik. Abweichend von Satz 2 kann die Gesellschaft für Telematik im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik eine andere Form des Nachweises der Sicherheit festlegen, wenn eine Sicherheitszertifizierung auf Grund des geringen Gefährdungspotentials der zu prüfenden Dienste und Komponenten nicht erforderlich ist oder der hierfür erforderliche Aufwand außer Verhältnis steht und die andere Form des Nachweises die Sicherheit gleichwertig gewährleistet. Die Vorgaben müssen geeignet sein, abgestuft im Verhältnis zum Gefährdungspotential Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der Dienste und Komponenten sicherzustellen. Das Nähere zum Zulassungsverfahren und zu den Prüfkriterien wird von der Gesellschaft für Telematik im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik festgelegt.

(4) Die Gesellschaft für Telematik kann eine befristete Genehmigung zur Verwendung von nicht zugelassenen Komponenten und Diensten in der Telematikinfrastruktur erteilen, wenn dies zur Aufrechterhaltung der Funktionsfähigkeit, der Sicherheit der Telematikinfrastruktur oder wesentlicher Teile hiervon erforderlich ist. Soweit die befristete Genehmigung der Aufrechterhaltung der Sicherheit dient, ist die Genehmigung im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik zu erteilen.

(5) Die Gesellschaft für Telematik veröffentlicht eine Liste mit den zugelassenen Komponenten und Diensten auf ihrer Internetseite.

(6) Die für die Aufgaben nach Absatz 3 Satz 2 und 4 sowie nach Absatz 4 Satz 2 beim Bundesamt für Sicherheit in der Informationstechnik entstehenden Kosten sind diesem durch die Gesellschaft für Telematik zu erstatten. Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest.

zugelassenen Diensten und Komponenten zur Verarbeitung von Gesundheitsdaten in der Telematikinfrastruktur sowie weitere nutzerbezogene Funktionalitäten nach § 327

(1) Für weitere Anwendungen ohne Nutzung der elektronischen Gesundheitskarte nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a darf die Telematikinfrastruktur nur verwendet werden, wenn

1.
es sich um eine Anwendung des Gesundheitswesens, der Rehabilitation, der Pflege oder um eine Anwendung zum Zwecke der Gesundheits- und Pflegeforschung handelt,
2.
die Wirksamkeit der Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit sowie die Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur nicht beeinträchtigt werden,
3.
im Fall der Verarbeitung personenbezogener Daten die dafür geltenden Vorschriften zum Datenschutz eingehalten und die erforderlichen technischen und organisatorischen Maßnahmen entsprechend dem Stand der Technik getroffen werden, um die Anforderungen an die Sicherheit der Anwendung im Hinblick auf die Schutzbedürftigkeit der Daten zu gewährleisten und
4.
bei den dafür erforderlichen technischen Systemen und Verfahren Barrierefreiheit für den Versicherten gewährleistet ist.

(2) Weitere Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a bedürfen zur Nutzung der Telematikinfrastruktur der Bestätigung durch die Gesellschaft für Telematik. Die Gesellschaft für Telematik legt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit das Nähere zu den erforderlichen Voraussetzungen für die Nutzung der Telematikinfrastruktur fest und veröffentlicht diese Voraussetzungen auf ihrer Internetseite.

(3) Die Erfüllung der Voraussetzungen muss der Anbieter einer Anwendung in einem Bestätigungsverfahren nachweisen. Das Bestätigungsverfahren wird auf Antrag eines Anbieters einer Anwendung durchgeführt. Die Bestätigung kann mit Nebenbestimmungen versehen werden.

(4) Die Einzelheiten des Bestätigungsverfahrens nach Absatz 2 sowie die dazu erforderlichen Prüfkriterien legt die Gesellschaft für Telematik im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht sie auf ihrer Internetseite.

(5) Die Gesellschaft für Telematik veröffentlicht eine Liste mit den bestätigten Anwendungen auf ihrer Internetseite.

(6) Für Leistungserbringer in der gesetzlichen Kranken- und Pflegeversicherung, die die Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a nutzen wollen und für die noch keine sicheren Authentisierungsverfahren nach § 311 Absatz 1 Satz 1 Nummer 1 Buchstabe e festgelegt sind, legt die Gesellschaft für Telematik diese Verfahren im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht diese auf ihrer Internetseite.

(7) Die für die Wahrnehmung von Aufgaben nach Absatz 2 beim Bundesamt für Sicherheit in der Informationstechnik sowie bei der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit entstehenden Kosten sowie die für die Wahrnehmung von Aufgaben nach den Absätzen 4 und 6 beim Bundesamt für Sicherheit in der Informationstechnik entstehenden Kosten sind durch die Gesellschaft für Telematik zu erstatten. Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung jeweils im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik sowie der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit fest.

(8) Für die Nutzung der Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a kann die Gesellschaft für Telematik von dem jeweiligen Anbieter Entgelte verlangen. Die Nutzung ist unentgeltlich, sofern die Anwendungen in diesem, im Elften Buch oder im Implantateregistergesetz geregelt sind oder zur Erfüllung einer gesetzlichen Verpflichtung, insbesondere gesetzlicher Meldepflichten im Gesundheitswesen, genutzt werden. Davon unberührt bleibt die Verpflichtung eines Anbieters von Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a, die Kosten für seinen Anschluss an die zentrale Telematikinfrastruktur zu tragen.

. Dienste im Sinne von Satz 1 sind zentral bereitgestellte und in der Telematikinfrastruktur betriebene technische Systeme, die einzelne Funktionalitäten der Telematikinfrastruktur umsetzen. Komponenten sind dezentrale technische Systeme oder deren Bestandteile.

§ 307 Datenschutzrechtliche Verantwortlichkeiten

(1) Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, der Spitzenverband Bund der Krankenkassen, die Kassenärztliche Bundesvereinigung, die Kassenzahnärztliche Bundesvereinigung, die Bundesärztekammer, die Bundeszahnärztekammer, die Deutsche Krankenhausgesellschaft sowie die für die Wahrnehmung der wirtschaftlichen Interessen gebildete maßgebliche Spitzenorganisation der Apotheker auf Bundesebene schaffen die Telematikinfrastruktur. Die Telematikinfrastruktur ist die interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient und insbesondere

1.
erforderlich ist für die Nutzung der elektronischen Gesundheitskarte und der Anwendungen der Telematikinfrastruktur,
2.
geeignet ist
a)
für die Nutzung weiterer Anwendungen der Telematikinfrastruktur ohne Nutzung der elektronischen Gesundheitskarte nach § 327 und
b)
für die Verwendung für Zwecke der Gesundheits- und pflegerischen Forschung.
Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in Satz 1 genannten Spitzenorganisationen nehmen die Aufgabe nach Satz 1 nach Maßgabe des § 310 durch eine Gesellschaft für Telematik wahr.

(2) Die Telematikinfrastruktur umfasst

1.
eine dezentrale Infrastruktur bestehend aus Komponenten zur Authentifizierung und zur sicheren Übermittlung von Daten in die zentrale Infrastruktur,
2.
eine zentrale Infrastruktur bestehend aus
a)
sicheren Zugangsdiensten als Schnittstelle zur dezentralen Infrastruktur und
b)
einem gesicherten Netz einschließlich der für den Betrieb notwendigen Dienste sowie
3.
eine Anwendungsinfrastruktur bestehend aus Diensten für die Anwendungen nach diesem Kapitel.

(3) Für die Verarbeitung der zu den besonderen Kategorien im Sinne von Artikel 9 der Verordnung (EU) 2016/679 gehörenden personenbezogenen Daten in der Telematikinfrastruktur gilt ein dem besonderen Schutzbedarf entsprechendes hohes Schutzniveau, dem durch entsprechende technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung (EU) 2016/679 Rechnung zu tragen ist.

(4) Anwendungen im Sinne dieses Kapitels sind nutzerbezogene Funktionalitäten auf der Basis von nach § 325 zugelassenen Diensten und Komponenten zur Verarbeitung von Gesundheitsdaten in der Telematikinfrastruktur sowie weitere nutzerbezogene Funktionalitäten nach § 327. Dienste im Sinne von Satz 1 sind zentral bereitgestellte und in der Telematikinfrastruktur betriebene technische Systeme, die einzelne Funktionalitäten der Telematikinfrastruktur umsetzen. Komponenten sind dezentrale technische Systeme oder deren Bestandteile.

liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und zur sicheren Verarbeitung von Daten über die zentrale Infrastruktur nutzen, soweit sie über die Mittel der Datenverarbeitung mit entscheiden. Dies gilt für die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten.

(2) Der Betrieb der durch die Gesellschaft für Telematik spezifizierten und zugelassenen Zugangsdienste nach § 306 Absatz 2 Nummer 2

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, der Spitzenverband Bund der Krankenkassen, die Kassenärztliche Bundesvereinigung, die Kassenzahnärztliche Bundesvereinigung, die Bundesärztekammer, die Bundeszahnärztekammer, die Deutsche Krankenhausgesellschaft sowie die für die Wahrnehmung der wirtschaftlichen Interessen gebildete maßgebliche Spitzenorganisation der Apotheker auf Bundesebene schaffen die Telematikinfrastruktur. Die Telematikinfrastruktur ist die interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient und insbesondere

1.
erforderlich ist für die Nutzung der elektronischen Gesundheitskarte und der Anwendungen der Telematikinfrastruktur,
2.
geeignet ist
a)
für die Nutzung weiterer Anwendungen der Telematikinfrastruktur ohne Nutzung der elektronischen Gesundheitskarte nach § 327 und
b)
für die Verwendung für Zwecke der Gesundheits- und pflegerischen Forschung.
Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in Satz 1 genannten Spitzenorganisationen nehmen die Aufgabe nach Satz 1 nach Maßgabe des § 310 durch eine Gesellschaft für Telematik wahr.

(2) Die Telematikinfrastruktur umfasst

1.
eine dezentrale Infrastruktur bestehend aus Komponenten zur Authentifizierung und zur sicheren Übermittlung von Daten in die zentrale Infrastruktur,
2.
eine zentrale Infrastruktur bestehend aus
a)
sicheren Zugangsdiensten als Schnittstelle zur dezentralen Infrastruktur und
b)
einem gesicherten Netz einschließlich der für den Betrieb notwendigen Dienste sowie
3.
eine Anwendungsinfrastruktur bestehend aus Diensten für die Anwendungen nach diesem Kapitel.

(3) Für die Verarbeitung der zu den besonderen Kategorien im Sinne von Artikel 9 der Verordnung (EU) 2016/679 gehörenden personenbezogenen Daten in der Telematikinfrastruktur gilt ein dem besonderen Schutzbedarf entsprechendes hohes Schutzniveau, dem durch entsprechende technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung (EU) 2016/679 Rechnung zu tragen ist.

(4) Anwendungen im Sinne dieses Kapitels sind nutzerbezogene Funktionalitäten auf der Basis von nach § 325 zugelassenen Diensten und Komponenten zur Verarbeitung von Gesundheitsdaten in der Telematikinfrastruktur sowie weitere nutzerbezogene Funktionalitäten nach § 327. Dienste im Sinne von Satz 1 sind zentral bereitgestellte und in der Telematikinfrastruktur betriebene technische Systeme, die einzelne Funktionalitäten der Telematikinfrastruktur umsetzen. Komponenten sind dezentrale technische Systeme oder deren Bestandteile.

Buchstabe a liegt in der Verantwortung des jeweiligen Anbieters des Zugangsdienstes. Der Anbieter eines Zugangsdienstes darf personenbezogene Daten der Versicherten ausschließlich für Zwecke des Aufbaus und des Betriebs seines Zugangsdienstes verarbeiten. § 88

(1) Dem Fernmeldegeheimnis unterliegen der Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere die Tatsache, ob jemand an einem Telekommunikationsvorgang beteiligt ist oder war. Das Fernmeldegeheimnis erstreckt sich auch auf die näheren Umstände erfolgloser Verbindungsversuche.

(2) Zur Wahrung des Fernmeldegeheimnisses ist jeder Diensteanbieter verpflichtet. Die Pflicht zur Geheimhaltung besteht auch nach dem Ende der Tätigkeit fort, durch die sie begründet worden ist.

(3) Den nach Absatz 2 Verpflichteten ist es untersagt, sich oder anderen über das für die geschäftsmäßige Erbringung der Telekommunikationsdienste einschließlich des Schutzes ihrer technischen Systeme erforderliche Maß hinaus Kenntnis vom Inhalt oder den näheren Umständen der Telekommunikation zu verschaffen. Sie dürfen Kenntnisse über Tatsachen, die dem Fernmeldegeheimnis unterliegen, nur für den in Satz 1 genannten Zweck verwenden. Eine Verwendung dieser Kenntnisse für andere Zwecke, insbesondere die Weitergabe an andere, ist nur zulässig, soweit dieses Gesetz oder eine andere gesetzliche Vorschrift dies vorsieht und sich dabei ausdrücklich auf Telekommunikationsvorgänge bezieht. Die Anzeigepflicht nach § 138 des Strafgesetzbuches hat Vorrang.

(4) Befindet sich die Telekommunikationsanlage an Bord eines Wasser- oder Luftfahrzeugs, so besteht die Pflicht zur Wahrung des Geheimnisses nicht gegenüber der Person, die das Fahrzeug führt oder gegenüber ihrer Stellvertretung.

des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(3) Die Gesellschaft für Telematik erteilt einen Auftrag nach § 323 Absatz 2 Satz 1

(1) Betriebsleistungen sind auf der Grundlage der von der Gesellschaft für Telematik nach Maßgabe des § 306 Absatz 3 festzulegenden Rahmenbedingungen zu erbringen.

(2) Zur Durchführung des Betriebs der Telematikinfrastruktur vergibt die Gesellschaft für Telematik Aufträge oder erteilt in einem transparenten und diskriminierungsfreien Verfahren Zulassungen. Sind nach § 311 Absatz 5 einzelne Gesellschafter oder Dritte beauftragt worden, so sind die Beauftragten für die Vergabe und für die Erteilung der Zulassung zuständig; § 311 Absatz 7 gilt entsprechend.

zum alleinverantwortlichen Betrieb des gesicherten Netzes nach § 306 Absatz 2 Nummer 2

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, der Spitzenverband Bund der Krankenkassen, die Kassenärztliche Bundesvereinigung, die Kassenzahnärztliche Bundesvereinigung, die Bundesärztekammer, die Bundeszahnärztekammer, die Deutsche Krankenhausgesellschaft sowie die für die Wahrnehmung der wirtschaftlichen Interessen gebildete maßgebliche Spitzenorganisation der Apotheker auf Bundesebene schaffen die Telematikinfrastruktur. Die Telematikinfrastruktur ist die interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient und insbesondere

1.
erforderlich ist für die Nutzung der elektronischen Gesundheitskarte und der Anwendungen der Telematikinfrastruktur,
2.
geeignet ist
a)
für die Nutzung weiterer Anwendungen der Telematikinfrastruktur ohne Nutzung der elektronischen Gesundheitskarte nach § 327 und
b)
für die Verwendung für Zwecke der Gesundheits- und pflegerischen Forschung.
Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in Satz 1 genannten Spitzenorganisationen nehmen die Aufgabe nach Satz 1 nach Maßgabe des § 310 durch eine Gesellschaft für Telematik wahr.

(2) Die Telematikinfrastruktur umfasst

1.
eine dezentrale Infrastruktur bestehend aus Komponenten zur Authentifizierung und zur sicheren Übermittlung von Daten in die zentrale Infrastruktur,
2.
eine zentrale Infrastruktur bestehend aus
a)
sicheren Zugangsdiensten als Schnittstelle zur dezentralen Infrastruktur und
b)
einem gesicherten Netz einschließlich der für den Betrieb notwendigen Dienste sowie
3.
eine Anwendungsinfrastruktur bestehend aus Diensten für die Anwendungen nach diesem Kapitel.

(3) Für die Verarbeitung der zu den besonderen Kategorien im Sinne von Artikel 9 der Verordnung (EU) 2016/679 gehörenden personenbezogenen Daten in der Telematikinfrastruktur gilt ein dem besonderen Schutzbedarf entsprechendes hohes Schutzniveau, dem durch entsprechende technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung (EU) 2016/679 Rechnung zu tragen ist.

(4) Anwendungen im Sinne dieses Kapitels sind nutzerbezogene Funktionalitäten auf der Basis von nach § 325 zugelassenen Diensten und Komponenten zur Verarbeitung von Gesundheitsdaten in der Telematikinfrastruktur sowie weitere nutzerbezogene Funktionalitäten nach § 327. Dienste im Sinne von Satz 1 sind zentral bereitgestellte und in der Telematikinfrastruktur betriebene technische Systeme, die einzelne Funktionalitäten der Telematikinfrastruktur umsetzen. Komponenten sind dezentrale technische Systeme oder deren Bestandteile.

Buchstabe b, einschließlich der für den Betrieb notwendigen Dienste. Der Anbieter des gesicherten Netzes ist innerhalb des gesicherten Netzes verantwortlich für die Übertragung von personenbezogenen Daten, insbesondere von Gesundheitsdaten der Versicherten, zwischen Leistungserbringern, Kostenträgern sowie Versicherten und für die Übertragung im Rahmen der Anwendungen der elektronischen Gesundheitskarte. Der Anbieter des gesicherten Netzes darf die Daten ausschließlich zum Zweck der Datenübertragung verarbeiten. § 88

(1) Dem Fernmeldegeheimnis unterliegen der Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere die Tatsache, ob jemand an einem Telekommunikationsvorgang beteiligt ist oder war. Das Fernmeldegeheimnis erstreckt sich auch auf die näheren Umstände erfolgloser Verbindungsversuche.

(2) Zur Wahrung des Fernmeldegeheimnisses ist jeder Diensteanbieter verpflichtet. Die Pflicht zur Geheimhaltung besteht auch nach dem Ende der Tätigkeit fort, durch die sie begründet worden ist.

(3) Den nach Absatz 2 Verpflichteten ist es untersagt, sich oder anderen über das für die geschäftsmäßige Erbringung der Telekommunikationsdienste einschließlich des Schutzes ihrer technischen Systeme erforderliche Maß hinaus Kenntnis vom Inhalt oder den näheren Umständen der Telekommunikation zu verschaffen. Sie dürfen Kenntnisse über Tatsachen, die dem Fernmeldegeheimnis unterliegen, nur für den in Satz 1 genannten Zweck verwenden. Eine Verwendung dieser Kenntnisse für andere Zwecke, insbesondere die Weitergabe an andere, ist nur zulässig, soweit dieses Gesetz oder eine andere gesetzliche Vorschrift dies vorsieht und sich dabei ausdrücklich auf Telekommunikationsvorgänge bezieht. Die Anzeigepflicht nach § 138 des Strafgesetzbuches hat Vorrang.

(4) Befindet sich die Telekommunikationsanlage an Bord eines Wasser- oder Luftfahrzeugs, so besteht die Pflicht zur Wahrung des Geheimnisses nicht gegenüber der Person, die das Fahrzeug führt oder gegenüber ihrer Stellvertretung.

des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(4) Der Betrieb der Dienste der Anwendungsinfrastruktur nach § 306 Absatz 2 Nummer 3

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, der Spitzenverband Bund der Krankenkassen, die Kassenärztliche Bundesvereinigung, die Kassenzahnärztliche Bundesvereinigung, die Bundesärztekammer, die Bundeszahnärztekammer, die Deutsche Krankenhausgesellschaft sowie die für die Wahrnehmung der wirtschaftlichen Interessen gebildete maßgebliche Spitzenorganisation der Apotheker auf Bundesebene schaffen die Telematikinfrastruktur. Die Telematikinfrastruktur ist die interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient und insbesondere

1.
erforderlich ist für die Nutzung der elektronischen Gesundheitskarte und der Anwendungen der Telematikinfrastruktur,
2.
geeignet ist
a)
für die Nutzung weiterer Anwendungen der Telematikinfrastruktur ohne Nutzung der elektronischen Gesundheitskarte nach § 327 und
b)
für die Verwendung für Zwecke der Gesundheits- und pflegerischen Forschung.
Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in Satz 1 genannten Spitzenorganisationen nehmen die Aufgabe nach Satz 1 nach Maßgabe des § 310 durch eine Gesellschaft für Telematik wahr.

(2) Die Telematikinfrastruktur umfasst

1.
eine dezentrale Infrastruktur bestehend aus Komponenten zur Authentifizierung und zur sicheren Übermittlung von Daten in die zentrale Infrastruktur,
2.
eine zentrale Infrastruktur bestehend aus
a)
sicheren Zugangsdiensten als Schnittstelle zur dezentralen Infrastruktur und
b)
einem gesicherten Netz einschließlich der für den Betrieb notwendigen Dienste sowie
3.
eine Anwendungsinfrastruktur bestehend aus Diensten für die Anwendungen nach diesem Kapitel.

(3) Für die Verarbeitung der zu den besonderen Kategorien im Sinne von Artikel 9 der Verordnung (EU) 2016/679 gehörenden personenbezogenen Daten in der Telematikinfrastruktur gilt ein dem besonderen Schutzbedarf entsprechendes hohes Schutzniveau, dem durch entsprechende technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung (EU) 2016/679 Rechnung zu tragen ist.

(4) Anwendungen im Sinne dieses Kapitels sind nutzerbezogene Funktionalitäten auf der Basis von nach § 325 zugelassenen Diensten und Komponenten zur Verarbeitung von Gesundheitsdaten in der Telematikinfrastruktur sowie weitere nutzerbezogene Funktionalitäten nach § 327. Dienste im Sinne von Satz 1 sind zentral bereitgestellte und in der Telematikinfrastruktur betriebene technische Systeme, die einzelne Funktionalitäten der Telematikinfrastruktur umsetzen. Komponenten sind dezentrale technische Systeme oder deren Bestandteile.

erfolgt durch den jeweiligen Anbieter. Die Anbieter sind für die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten der Versicherten, zum Zweck der Nutzung des jeweiligen Dienstes der Anwendungsinfrastruktur verantwortlich.

(5) Die Gesellschaft für Telematik ist Verantwortliche für die Verarbeitung personenbezogener Daten in der Telematikinfrastruktur, soweit sie im Rahmen ihrer Aufgaben nach § 311 Absatz 1

(1) Im Rahmen des Auftrags nach § 306 Absatz 1 hat die Gesellschaft für Telematik nach Maßgabe der Anforderungen gemäß § 306 Absatz 3 folgende Aufgaben:

1.
zur Schaffung der Telematikinfrastruktur:
a)
Erstellung der funktionalen und technischen Vorgaben einschließlich eines Sicherheitskonzepts,
b)
Festlegung von Inhalt und Struktur der Datensätze für deren Bereitstellung und Nutzung, soweit diese Festlegung nicht nach § 355 durch die Kassenärztliche Bundesvereinigung oder die Deutsche Krankenhausgesellschaft erfolgt,
c)
Erstellung von Vorgaben für den sicheren Betrieb der Telematikinfrastruktur und Überwachung der Umsetzung dieser Vorgaben,
d)
Sicherstellung der notwendigen Test-, Bestätigungs- und Zertifizierungsmaßnahmen und
e)
Festlegung von Verfahren einschließlich der dafür erforderlichen Authentisierungsverfahren zur Verwaltung
aa)
der Zugriffsberechtigungen nach dem Fünften Abschnitt und
bb)
der Steuerung der Zugriffe auf Daten nach § 334 Absatz 1 Satz 2,
2.
Aufbau der Telematikinfrastruktur und insoweit Festlegung der Rahmenbedingungen für Betriebsleistungen sowie Vergabe von Aufträgen für deren Erbringung an Anbieter von Betriebsleistungen oder Zulassung von Betriebsleistungen,
3.
Betrieb des elektronischen Verzeichnisdienstes nach § 313,
4.
Zulassung der Komponenten und Dienste der Telematikinfrastruktur einschließlich der Verfahren zum Zugriff auf diese Komponenten und Dienste,
5.
Zulassung der sicheren Dienste für Verfahren zur Übermittlung medizinischer und pflegerischer Dokumente über die Telematikinfrastruktur,
6.
Festlegung der Voraussetzungen für die Nutzung der Telematikinfrastruktur für weitere Anwendungen und für Zwecke der Gesundheitsforschung nach § 306 Absatz 1 Satz 2 Nummer 2 und Durchführung der Verfahren zur Bestätigung des Vorliegens dieser Voraussetzungen,
7.
Gewährleistung einer diskriminierungsfreien Nutzung der Telematikinfrastruktur für weitere Anwendungen und für Zwecke der Gesundheitsforschung nach § 306 Absatz 1 Satz 2 Nummer 2 unter vorrangiger Berücksichtigung der elektronischen Anwendungen, die der Erfüllung von gesetzlichen Aufgaben der Kranken- und Pflegeversicherung, der Rentenversicherung und der Unfallversicherung dienen,
8.
Aufbau, Pflege und Betrieb des Interoperabilitätsverzeichnisses nach § 384,
9.
Koordinierung der Ausgabeprozesse der in der Telematikinfrastruktur genutzten Identifikations- und Authentifizierungsmittel, insbesondere der Karten und Ausweise gemäß den §§ 291 und 340, im Benehmen mit den Kartenherausgebern, Überwachung der Ausgabeprozesse und Vorgabe von verbindlichen Maßnahmen, die bei Sicherheitsmängeln zu ergreifen sind,
10.
Entwicklung und Zurverfügungstellung der Komponenten der Telematikinfrastruktur, die den Zugriff der Versicherten auf die Anwendung zur Übermittlung ärztlicher Verordnungen nach § 334 Absatz 1 Satz 2 Nummer 6 nach Maßgabe des § 360 Absatz 5 ermöglichen, als Dienstleistungen von allgemeinem wirtschaftlichem Interesse und
11.
Unterstützung des Robert Koch-Instituts bei der Entwicklung und dem Betrieb des elektronischen Melde- und Informationssystems nach § 14 des Infektionsschutzgesetzes.

(2) Die Gesellschaft für Telematik hat Festlegungen und Maßnahmen nach Absatz 1 Nummer 1, die Fragen der Datensicherheit berühren, im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik zu treffen und Festlegungen und Maßnahmen nach Absatz 1 Nummer 1, die Fragen des Datenschutzes berühren, im Einvernehmen mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu treffen. Bei der Gestaltung der Verfahren nach Absatz 1 Nummer 1 Buchstabe e berücksichtigt die Gesellschaft für Telematik, dass die Telematikinfrastruktur schrittweise ausgebaut wird und die Zugriffsberechtigungen künftig auf weitere Leistungserbringergruppen ausgedehnt werden können.

(3) Die Gesellschaft für Telematik nimmt auf europäischer Ebene, insbesondere im Zusammenhang mit dem grenzüberschreitenden Austausch von Gesundheitsdaten, Aufgaben wahr. Dabei hat sie darauf hinzuwirken, dass einerseits die auf europäischer Ebene getroffenen Festlegungen mit den Vorgaben für die Telematikinfrastruktur und ihre Anwendungen vereinbar sind und dass andererseits die Vorgaben für die Telematikinfrastruktur und ihre Anwendungen mit den europäischen Vorgaben vereinbar sind. Die Gesellschaft für Telematik hat die für den grenzüberschreitenden Austausch von Gesundheitsdaten erforderlichen Festlegungen zu treffen und hierbei die auf europäischer Ebene hierzu getroffenen Festlegungen zu berücksichtigen. Die Datensicherheit ist dabei nach dem Stand der Technik zu gewährleisten.

(4) Bei der Wahrnehmung ihrer Aufgaben hat die Gesellschaft für Telematik die Interessen von Patienten zu wahren und die Einhaltung der Vorschriften zum Schutz personenbezogener Daten sowie zur Barrierefreiheit sicherzustellen. Sie hat Aufgaben nur insoweit wahrzunehmen, als dies zur Schaffung einer interoperablen, kompatiblen und sicheren Telematikinfrastruktur erforderlich ist.

(5) Mit Teilaufgaben der Gesellschaft für Telematik können einzelne Gesellschafter mit Ausnahme der Bundesrepublik Deutschland oder Dritte beauftragt werden. Hierbei hat die Gesellschaft für Telematik die Interoperabilität, die Kompatibilität und das notwendige Sicherheitsniveau der Telematikinfrastruktur zu gewährleisten.

(6) Die Gesellschaft für Telematik legt in Abstimmung mit dem Bundesamt für Sicherheit in der Informationstechnik und mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit sichere Verfahren zur Übermittlung medizinischer Daten über die Telematikinfrastruktur fest. Die festgelegten Verfahren veröffentlicht die Gesellschaft für Telematik auf ihrer Internetseite. Der Anbieter eines Dienstes für ein Übermittlungsverfahren muss die Anwendung der festgelegten Verfahren gegenüber der Gesellschaft für Telematik in einem Zulassungsverfahren nachweisen. Die Kassenärztlichen Bundesvereinigungen können Anbieter eines zugelassenen Dienstes für ein sicheres Verfahren zur Übermittlung medizinischer Dokumente nach Satz 1 sein, sofern der Dienst nur Kassenärztlichen Vereinigungen sowie deren Mitgliedern zur Verfügung gestellt wird. Für das Zulassungsverfahren nach Satz 3 gilt § 325. Die für das Zulassungsverfahren erforderlichen Festlegungen hat die Gesellschaft für Telematik zu treffen und auf ihrer Internetseite zu veröffentlichen. Die Kosten, die nach diesem Absatz bei dem Bundesamt für Sicherheit in der Informationstechnik und bei der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit entstehen, sind durch die Gesellschaft für Telematik zu erstatten. Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung einvernehmlich mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit und dem Bundesamt für Sicherheit in der Informationstechnik fest.

(7) Bei der Vergabe von Aufträgen durch die Gesellschaft für Telematik ist unterhalb der Schwellenwerte nach § 106 des Gesetzes gegen Wettbewerbsbeschränkungen die Unterschwellenvergabeordnung in der Fassung der Bekanntmachung vom 2. Februar 2017 (BAnz. AT 07.02.2017 B1; BAnz. AT 07.02.2017 B2) anzuwenden. Für die Verhandlungsvergabe von Leistungen gemäß § 8 Absatz 4 Nummer 17 der Unterschwellenvergabeordnung werden die Ausführungsbestimmungen vom Bundesministerium für Gesundheit festgelegt. Teil 4 des Gesetzes gegen Wettbewerbsbeschränkungen bleibt unberührt.

die Mittel der Datenverarbeitung bestimmt und insoweit keine Verantwortlichkeit nach den vorstehenden Absätzen begründet ist. Die Gesellschaft für Telematik richtet für die Betroffenen eine koordinierende Stelle ein. Die koordinierende Stelle erteilt den Betroffenen allgemeine Informationen zur Telematikinfrastruktur sowie Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur, insbesondere zur datenschutzrechtlichen Verantwortlichkeit nach dieser Vorschrift.

§ 308 Vorrang von technischen Schutzmaßnahmen

(1) Die Rechte der betroffenen Person nach den Artikeln 12 bis 22 der Verordnung (EU) 2016/679 sind gegenüber den Verantwortlichen nach § 307

(1) Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1 liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und zur sicheren Verarbeitung von Daten über die zentrale Infrastruktur nutzen, soweit sie über die Mittel der Datenverarbeitung mit entscheiden. Dies gilt für die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten.

(2) Der Betrieb der durch die Gesellschaft für Telematik spezifizierten und zugelassenen Zugangsdienste nach § 306 Absatz 2 Nummer 2 Buchstabe a liegt in der Verantwortung des jeweiligen Anbieters des Zugangsdienstes. Der Anbieter eines Zugangsdienstes darf personenbezogene Daten der Versicherten ausschließlich für Zwecke des Aufbaus und des Betriebs seines Zugangsdienstes verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(3) Die Gesellschaft für Telematik erteilt einen Auftrag nach § 323 Absatz 2 Satz 1 zum alleinverantwortlichen Betrieb des gesicherten Netzes nach § 306 Absatz 2 Nummer 2 Buchstabe b, einschließlich der für den Betrieb notwendigen Dienste. Der Anbieter des gesicherten Netzes ist innerhalb des gesicherten Netzes verantwortlich für die Übertragung von personenbezogenen Daten, insbesondere von Gesundheitsdaten der Versicherten, zwischen Leistungserbringern, Kostenträgern sowie Versicherten und für die Übertragung im Rahmen der Anwendungen der elektronischen Gesundheitskarte. Der Anbieter des gesicherten Netzes darf die Daten ausschließlich zum Zweck der Datenübertragung verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(4) Der Betrieb der Dienste der Anwendungsinfrastruktur nach § 306 Absatz 2 Nummer 3 erfolgt durch den jeweiligen Anbieter. Die Anbieter sind für die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten der Versicherten, zum Zweck der Nutzung des jeweiligen Dienstes der Anwendungsinfrastruktur verantwortlich.

(5) Die Gesellschaft für Telematik ist Verantwortliche für die Verarbeitung personenbezogener Daten in der Telematikinfrastruktur, soweit sie im Rahmen ihrer Aufgaben nach § 311 Absatz 1 die Mittel der Datenverarbeitung bestimmt und insoweit keine Verantwortlichkeit nach den vorstehenden Absätzen begründet ist. Die Gesellschaft für Telematik richtet für die Betroffenen eine koordinierende Stelle ein. Die koordinierende Stelle erteilt den Betroffenen allgemeine Informationen zur Telematikinfrastruktur sowie Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur, insbesondere zur datenschutzrechtlichen Verantwortlichkeit nach dieser Vorschrift.

ausgeschlossen, soweit diese Rechte von dem Verantwortlichen nach § 307

(1) Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1 liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und zur sicheren Verarbeitung von Daten über die zentrale Infrastruktur nutzen, soweit sie über die Mittel der Datenverarbeitung mit entscheiden. Dies gilt für die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten.

(2) Der Betrieb der durch die Gesellschaft für Telematik spezifizierten und zugelassenen Zugangsdienste nach § 306 Absatz 2 Nummer 2 Buchstabe a liegt in der Verantwortung des jeweiligen Anbieters des Zugangsdienstes. Der Anbieter eines Zugangsdienstes darf personenbezogene Daten der Versicherten ausschließlich für Zwecke des Aufbaus und des Betriebs seines Zugangsdienstes verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(3) Die Gesellschaft für Telematik erteilt einen Auftrag nach § 323 Absatz 2 Satz 1 zum alleinverantwortlichen Betrieb des gesicherten Netzes nach § 306 Absatz 2 Nummer 2 Buchstabe b, einschließlich der für den Betrieb notwendigen Dienste. Der Anbieter des gesicherten Netzes ist innerhalb des gesicherten Netzes verantwortlich für die Übertragung von personenbezogenen Daten, insbesondere von Gesundheitsdaten der Versicherten, zwischen Leistungserbringern, Kostenträgern sowie Versicherten und für die Übertragung im Rahmen der Anwendungen der elektronischen Gesundheitskarte. Der Anbieter des gesicherten Netzes darf die Daten ausschließlich zum Zweck der Datenübertragung verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(4) Der Betrieb der Dienste der Anwendungsinfrastruktur nach § 306 Absatz 2 Nummer 3 erfolgt durch den jeweiligen Anbieter. Die Anbieter sind für die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten der Versicherten, zum Zweck der Nutzung des jeweiligen Dienstes der Anwendungsinfrastruktur verantwortlich.

(5) Die Gesellschaft für Telematik ist Verantwortliche für die Verarbeitung personenbezogener Daten in der Telematikinfrastruktur, soweit sie im Rahmen ihrer Aufgaben nach § 311 Absatz 1 die Mittel der Datenverarbeitung bestimmt und insoweit keine Verantwortlichkeit nach den vorstehenden Absätzen begründet ist. Die Gesellschaft für Telematik richtet für die Betroffenen eine koordinierende Stelle ein. Die koordinierende Stelle erteilt den Betroffenen allgemeine Informationen zur Telematikinfrastruktur sowie Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur, insbesondere zur datenschutzrechtlichen Verantwortlichkeit nach dieser Vorschrift.

und dessen Auftragsverarbeiter nicht oder nur unter Umgehung von Schutzmechanismen wie insbesondere der Verschlüsselung oder der Anonymisierung gewährleistet werden können. Ist es einem Verantwortlichen nach § 307

(1) Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1 liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und zur sicheren Verarbeitung von Daten über die zentrale Infrastruktur nutzen, soweit sie über die Mittel der Datenverarbeitung mit entscheiden. Dies gilt für die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten.

(2) Der Betrieb der durch die Gesellschaft für Telematik spezifizierten und zugelassenen Zugangsdienste nach § 306 Absatz 2 Nummer 2 Buchstabe a liegt in der Verantwortung des jeweiligen Anbieters des Zugangsdienstes. Der Anbieter eines Zugangsdienstes darf personenbezogene Daten der Versicherten ausschließlich für Zwecke des Aufbaus und des Betriebs seines Zugangsdienstes verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(3) Die Gesellschaft für Telematik erteilt einen Auftrag nach § 323 Absatz 2 Satz 1 zum alleinverantwortlichen Betrieb des gesicherten Netzes nach § 306 Absatz 2 Nummer 2 Buchstabe b, einschließlich der für den Betrieb notwendigen Dienste. Der Anbieter des gesicherten Netzes ist innerhalb des gesicherten Netzes verantwortlich für die Übertragung von personenbezogenen Daten, insbesondere von Gesundheitsdaten der Versicherten, zwischen Leistungserbringern, Kostenträgern sowie Versicherten und für die Übertragung im Rahmen der Anwendungen der elektronischen Gesundheitskarte. Der Anbieter des gesicherten Netzes darf die Daten ausschließlich zum Zweck der Datenübertragung verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(4) Der Betrieb der Dienste der Anwendungsinfrastruktur nach § 306 Absatz 2 Nummer 3 erfolgt durch den jeweiligen Anbieter. Die Anbieter sind für die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten der Versicherten, zum Zweck der Nutzung des jeweiligen Dienstes der Anwendungsinfrastruktur verantwortlich.

(5) Die Gesellschaft für Telematik ist Verantwortliche für die Verarbeitung personenbezogener Daten in der Telematikinfrastruktur, soweit sie im Rahmen ihrer Aufgaben nach § 311 Absatz 1 die Mittel der Datenverarbeitung bestimmt und insoweit keine Verantwortlichkeit nach den vorstehenden Absätzen begründet ist. Die Gesellschaft für Telematik richtet für die Betroffenen eine koordinierende Stelle ein. Die koordinierende Stelle erteilt den Betroffenen allgemeine Informationen zur Telematikinfrastruktur sowie Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur, insbesondere zur datenschutzrechtlichen Verantwortlichkeit nach dieser Vorschrift.

nur unter Umgehung von Schutzmechanismen wie insbesondere der Verschlüsselung oder der Anonymisierung, die eine Kenntnisnahme oder Identifizierung ausschließen, möglich, Rechte der betroffenen Person zu befriedigen, so ist der Verantwortliche nicht verpflichtet, zur bloßen Einhaltung datenschutzrechtlicher Betroffenenrechte zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten oder Sicherheitsvorkehrungen aufzuheben.

(2) Absatz 1 gilt nicht, wenn die Datenverarbeitung unrechtmäßig ist oder berechtigte Zweifel an der behaupteten Unmöglichkeit nach Absatz 1 bestehen.

§ 309 Protokollierung

(1) Die Verantwortlichen nach § 307

(1) Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1 liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und zur sicheren Verarbeitung von Daten über die zentrale Infrastruktur nutzen, soweit sie über die Mittel der Datenverarbeitung mit entscheiden. Dies gilt für die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten.

(2) Der Betrieb der durch die Gesellschaft für Telematik spezifizierten und zugelassenen Zugangsdienste nach § 306 Absatz 2 Nummer 2 Buchstabe a liegt in der Verantwortung des jeweiligen Anbieters des Zugangsdienstes. Der Anbieter eines Zugangsdienstes darf personenbezogene Daten der Versicherten ausschließlich für Zwecke des Aufbaus und des Betriebs seines Zugangsdienstes verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(3) Die Gesellschaft für Telematik erteilt einen Auftrag nach § 323 Absatz 2 Satz 1 zum alleinverantwortlichen Betrieb des gesicherten Netzes nach § 306 Absatz 2 Nummer 2 Buchstabe b, einschließlich der für den Betrieb notwendigen Dienste. Der Anbieter des gesicherten Netzes ist innerhalb des gesicherten Netzes verantwortlich für die Übertragung von personenbezogenen Daten, insbesondere von Gesundheitsdaten der Versicherten, zwischen Leistungserbringern, Kostenträgern sowie Versicherten und für die Übertragung im Rahmen der Anwendungen der elektronischen Gesundheitskarte. Der Anbieter des gesicherten Netzes darf die Daten ausschließlich zum Zweck der Datenübertragung verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(4) Der Betrieb der Dienste der Anwendungsinfrastruktur nach § 306 Absatz 2 Nummer 3 erfolgt durch den jeweiligen Anbieter. Die Anbieter sind für die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten der Versicherten, zum Zweck der Nutzung des jeweiligen Dienstes der Anwendungsinfrastruktur verantwortlich.

(5) Die Gesellschaft für Telematik ist Verantwortliche für die Verarbeitung personenbezogener Daten in der Telematikinfrastruktur, soweit sie im Rahmen ihrer Aufgaben nach § 311 Absatz 1 die Mittel der Datenverarbeitung bestimmt und insoweit keine Verantwortlichkeit nach den vorstehenden Absätzen begründet ist. Die Gesellschaft für Telematik richtet für die Betroffenen eine koordinierende Stelle ein. Die koordinierende Stelle erteilt den Betroffenen allgemeine Informationen zur Telematikinfrastruktur sowie Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur, insbesondere zur datenschutzrechtlichen Verantwortlichkeit nach dieser Vorschrift.

haben durch geeignete technische Maßnahmen sicherzustellen, dass für Zwecke der Datenschutzkontrolle bei Anwendungen nach den §§ 327

(1) Für weitere Anwendungen ohne Nutzung der elektronischen Gesundheitskarte nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a darf die Telematikinfrastruktur nur verwendet werden, wenn

1.
es sich um eine Anwendung des Gesundheitswesens, der Rehabilitation, der Pflege oder um eine Anwendung zum Zwecke der Gesundheits- und Pflegeforschung handelt,
2.
die Wirksamkeit der Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit sowie die Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur nicht beeinträchtigt werden,
3.
im Fall der Verarbeitung personenbezogener Daten die dafür geltenden Vorschriften zum Datenschutz eingehalten und die erforderlichen technischen und organisatorischen Maßnahmen entsprechend dem Stand der Technik getroffen werden, um die Anforderungen an die Sicherheit der Anwendung im Hinblick auf die Schutzbedürftigkeit der Daten zu gewährleisten und
4.
bei den dafür erforderlichen technischen Systemen und Verfahren Barrierefreiheit für den Versicherten gewährleistet ist.

(2) Weitere Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a bedürfen zur Nutzung der Telematikinfrastruktur der Bestätigung durch die Gesellschaft für Telematik. Die Gesellschaft für Telematik legt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit das Nähere zu den erforderlichen Voraussetzungen für die Nutzung der Telematikinfrastruktur fest und veröffentlicht diese Voraussetzungen auf ihrer Internetseite.

(3) Die Erfüllung der Voraussetzungen muss der Anbieter einer Anwendung in einem Bestätigungsverfahren nachweisen. Das Bestätigungsverfahren wird auf Antrag eines Anbieters einer Anwendung durchgeführt. Die Bestätigung kann mit Nebenbestimmungen versehen werden.

(4) Die Einzelheiten des Bestätigungsverfahrens nach Absatz 2 sowie die dazu erforderlichen Prüfkriterien legt die Gesellschaft für Telematik im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht sie auf ihrer Internetseite.

(5) Die Gesellschaft für Telematik veröffentlicht eine Liste mit den bestätigten Anwendungen auf ihrer Internetseite.

(6) Für Leistungserbringer in der gesetzlichen Kranken- und Pflegeversicherung, die die Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a nutzen wollen und für die noch keine sicheren Authentisierungsverfahren nach § 311 Absatz 1 Satz 1 Nummer 1 Buchstabe e festgelegt sind, legt die Gesellschaft für Telematik diese Verfahren im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht diese auf ihrer Internetseite.

(7) Die für die Wahrnehmung von Aufgaben nach Absatz 2 beim Bundesamt für Sicherheit in der Informationstechnik sowie bei der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit entstehenden Kosten sowie die für die Wahrnehmung von Aufgaben nach den Absätzen 4 und 6 beim Bundesamt für Sicherheit in der Informationstechnik entstehenden Kosten sind durch die Gesellschaft für Telematik zu erstatten. Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung jeweils im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik sowie der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit fest.

(8) Für die Nutzung der Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a kann die Gesellschaft für Telematik von dem jeweiligen Anbieter Entgelte verlangen. Die Nutzung ist unentgeltlich, sofern die Anwendungen in diesem, im Elften Buch oder im Implantateregistergesetz geregelt sind oder zur Erfüllung einer gesetzlichen Verpflichtung, insbesondere gesetzlicher Meldepflichten im Gesundheitswesen, genutzt werden. Davon unberührt bleibt die Verpflichtung eines Anbieters von Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a, die Kosten für seinen Anschluss an die zentrale Telematikinfrastruktur zu tragen.

und 334 Absatz 1

(1) Die Anwendungen der Telematikinfrastruktur dienen der Verbesserung der Wirtschaftlichkeit, der Qualität und der Transparenz der Versorgung. Anwendungen sind:

1.
die elektronische Patientenakte nach § 341,
2.
Erklärungen der Versicherten zur Organ- und Gewebespende (elektronische Erklärung zur Organ- und Gewebespende) und Hinweise der Versicherten auf das Vorhandensein und den Aufbewahrungsort von Erklärungen zur Organ- und Gewebespende,
3.
Hinweise der Versicherten auf das Vorhandensein und den Aufbewahrungsort von Vorsorgevollmachten oder Patientenverfügungen nach § 1901a des Bürgerlichen Gesetzbuchs,
4.
der Medikationsplan nach § 31a einschließlich Daten zur Prüfung der Arzneimitteltherapiesicherheit (elektronischer Medikationsplan),
5.
medizinische Daten, soweit sie für die Notfallversorgung erforderlich sind (elektronische Notfalldaten) sowie
6.
elektronische Verordnungen.

(2) Die Anwendungen nach Absatz 1 Satz 2 Nummer 1 bis 5 werden von der elektronischen Gesundheitskarte unterstützt.

(3) Die Gesellschaft für Telematik kann über die in Absatz 1 genannten Anwendungen hinaus bereits Festlegungen und Maßnahmen zu zusätzlichen Anwendungen der Telematikinfrastruktur treffen, die insbesondere dem weiteren Ausbau des elektronischen Austausches von Befunden, Diagnosen, Therapieempfehlungen, Behandlungsberichten, Formularen, Erklärungen und Unterlagen dienen. Die Zulassung gemäß § 325 Absatz 1 darf erst erfolgen, wenn die insoweit erforderlichen gesetzlichen Rahmenbedingungen, wie insbesondere die Bestimmung als Anwendung der Telematikinfrastruktur in Absatz 1 sowie die Zugriffsberechtigungen auf Daten der Anwendung, in Kraft getreten sind.

(4) Beim Bundesinstitut für Arzneimittel und Medizinprodukte wird zum 1. Januar 2021 eine Meldestelle für die Nutzer von Anwendungen nach Absatz 1 eingerichtet, die versorgungsrelevante Fehlerkonstellationen bei der Nutzung dieser Anwendungen im medizinischen Versorgungsalltag in nicht personenbezogener Form erfasst und systematisch bewertet. Das Bundesinstitut für Arzneimittel und Medizinprodukte übermittelt seine Bewertung der Gesellschaft für Telematik, die diese bei der Weiterentwicklung der Anwendungen nach Absatz 1 zu berücksichtigen hat.

nachträglich für den Zeitraum der regelmäßigen dreijährigen Verjährungsfrist nach § 195 des Bürgerlichen Gesetzbuchs die Zugriffe und die versuchten Zugriffe auf personenbezogene Daten der Versicherten in diesen Anwendungen überprüft werden können und festgestellt werden kann, ob, von wem und welche Daten des Versicherten in dieser Anwendung verarbeitet worden sind.

(2) Eine Verwendung der Protokolldaten nach Absatz 1 für andere als die dort genannten Zwecke ist unzulässig.

(3) Die Protokolldaten sind nach Ablauf der in Absatz 1 genannten Frist unverzüglich zu löschen.

Referenzen

§ 306 Telematikinfrastruktur

(1) Für weitere Anwendungen ohne Nutzung der elektronischen Gesundheitskarte nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a darf die Telematikinfrastruktur nur verwendet werden, wenn

1.
es sich um eine Anwendung des Gesundheitswesens, der Rehabilitation, der Pflege oder um eine Anwendung zum Zwecke der Gesundheits- und Pflegeforschung handelt,
2.
die Wirksamkeit der Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit sowie die Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur nicht beeinträchtigt werden,
3.
im Fall der Verarbeitung personenbezogener Daten die dafür geltenden Vorschriften zum Datenschutz eingehalten und die erforderlichen technischen und organisatorischen Maßnahmen entsprechend dem Stand der Technik getroffen werden, um die Anforderungen an die Sicherheit der Anwendung im Hinblick auf die Schutzbedürftigkeit der Daten zu gewährleisten und
4.
bei den dafür erforderlichen technischen Systemen und Verfahren Barrierefreiheit für den Versicherten gewährleistet ist.

(2) Weitere Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a bedürfen zur Nutzung der Telematikinfrastruktur der Bestätigung durch die Gesellschaft für Telematik. Die Gesellschaft für Telematik legt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit das Nähere zu den erforderlichen Voraussetzungen für die Nutzung der Telematikinfrastruktur fest und veröffentlicht diese Voraussetzungen auf ihrer Internetseite.

(3) Die Erfüllung der Voraussetzungen muss der Anbieter einer Anwendung in einem Bestätigungsverfahren nachweisen. Das Bestätigungsverfahren wird auf Antrag eines Anbieters einer Anwendung durchgeführt. Die Bestätigung kann mit Nebenbestimmungen versehen werden.

(4) Die Einzelheiten des Bestätigungsverfahrens nach Absatz 2 sowie die dazu erforderlichen Prüfkriterien legt die Gesellschaft für Telematik im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht sie auf ihrer Internetseite.

(5) Die Gesellschaft für Telematik veröffentlicht eine Liste mit den bestätigten Anwendungen auf ihrer Internetseite.

(6) Für Leistungserbringer in der gesetzlichen Kranken- und Pflegeversicherung, die die Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a nutzen wollen und für die noch keine sicheren Authentisierungsverfahren nach § 311 Absatz 1 Satz 1 Nummer 1 Buchstabe e festgelegt sind, legt die Gesellschaft für Telematik diese Verfahren im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht diese auf ihrer Internetseite.

(7) Die für die Wahrnehmung von Aufgaben nach Absatz 2 beim Bundesamt für Sicherheit in der Informationstechnik sowie bei der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit entstehenden Kosten sowie die für die Wahrnehmung von Aufgaben nach den Absätzen 4 und 6 beim Bundesamt für Sicherheit in der Informationstechnik entstehenden Kosten sind durch die Gesellschaft für Telematik zu erstatten. Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung jeweils im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik sowie der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit fest.

(8) Für die Nutzung der Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a kann die Gesellschaft für Telematik von dem jeweiligen Anbieter Entgelte verlangen. Die Nutzung ist unentgeltlich, sofern die Anwendungen in diesem, im Elften Buch oder im Implantateregistergesetz geregelt sind oder zur Erfüllung einer gesetzlichen Verpflichtung, insbesondere gesetzlicher Meldepflichten im Gesundheitswesen, genutzt werden. Davon unberührt bleibt die Verpflichtung eines Anbieters von Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a, die Kosten für seinen Anschluss an die zentrale Telematikinfrastruktur zu tragen.

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in § 306 Absatz 1 Satz 1 genannten Spitzenorganisationen sind Gesellschafter der Gesellschaft für Telematik.

(2) Die Geschäftsanteile entfallen

1.
zu 51 Prozent auf die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit,
2.
zu 24,5 Prozent auf den Spitzenverband Bund der Krankenkassen und
3.
zu 24,5 Prozent auf die anderen in § 306 Absatz 1 Satz 1 genannten Spitzenorganisationen.

(3) Die Gesellschafter können den Beitritt weiterer Spitzenorganisationen der Leistungserbringer auf Bundesebene und des Verbandes der Privaten Krankenversicherung auf deren Wunsch beschließen. Im Fall eines Beitritts sind die Geschäftsanteile innerhalb der Gruppen der Kostenträger und Leistungserbringer entsprechend anzupassen.

(4) Unbeschadet zwingender gesetzlicher Mehrheitserfordernisse entscheiden die Gesellschafter mit der einfachen Mehrheit der sich aus den Geschäftsanteilen ergebenden Stimmen.

(1) Die Komponenten und Dienste der Telematikinfrastruktur bedürfen der Zulassung durch die Gesellschaft für Telematik.

(2) Die Gesellschaft für Telematik lässt die Komponenten und Dienste der Telematikinfrastruktur auf Antrag der Anbieter zu, wenn die Komponenten und Dienste funktionsfähig, interoperabel und sicher sind. Die Zulassung kann mit Nebenbestimmungen versehen werden.

(3) Die Gesellschaft für Telematik prüft die Funktionsfähigkeit und Interoperabilität von Komponenten und Diensten der Telematikinfrastruktur auf der Grundlage der von ihr veröffentlichten Prüfkriterien. Der Nachweis der Sicherheit erfolgt durch eine Sicherheitszertifizierung nach den Vorgaben des Bundesamtes für Sicherheit in der Informationstechnik. Abweichend von Satz 2 kann die Gesellschaft für Telematik im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik eine andere Form des Nachweises der Sicherheit festlegen, wenn eine Sicherheitszertifizierung auf Grund des geringen Gefährdungspotentials der zu prüfenden Dienste und Komponenten nicht erforderlich ist oder der hierfür erforderliche Aufwand außer Verhältnis steht und die andere Form des Nachweises die Sicherheit gleichwertig gewährleistet. Die Vorgaben müssen geeignet sein, abgestuft im Verhältnis zum Gefährdungspotential Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der Dienste und Komponenten sicherzustellen. Das Nähere zum Zulassungsverfahren und zu den Prüfkriterien wird von der Gesellschaft für Telematik im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik festgelegt.

(4) Die Gesellschaft für Telematik kann eine befristete Genehmigung zur Verwendung von nicht zugelassenen Komponenten und Diensten in der Telematikinfrastruktur erteilen, wenn dies zur Aufrechterhaltung der Funktionsfähigkeit, der Sicherheit der Telematikinfrastruktur oder wesentlicher Teile hiervon erforderlich ist. Soweit die befristete Genehmigung der Aufrechterhaltung der Sicherheit dient, ist die Genehmigung im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik zu erteilen.

(5) Die Gesellschaft für Telematik veröffentlicht eine Liste mit den zugelassenen Komponenten und Diensten auf ihrer Internetseite.

(6) Die für die Aufgaben nach Absatz 3 Satz 2 und 4 sowie nach Absatz 4 Satz 2 beim Bundesamt für Sicherheit in der Informationstechnik entstehenden Kosten sind diesem durch die Gesellschaft für Telematik zu erstatten. Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest.

(1) Für weitere Anwendungen ohne Nutzung der elektronischen Gesundheitskarte nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a darf die Telematikinfrastruktur nur verwendet werden, wenn

1.
es sich um eine Anwendung des Gesundheitswesens, der Rehabilitation, der Pflege oder um eine Anwendung zum Zwecke der Gesundheits- und Pflegeforschung handelt,
2.
die Wirksamkeit der Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit sowie die Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur nicht beeinträchtigt werden,
3.
im Fall der Verarbeitung personenbezogener Daten die dafür geltenden Vorschriften zum Datenschutz eingehalten und die erforderlichen technischen und organisatorischen Maßnahmen entsprechend dem Stand der Technik getroffen werden, um die Anforderungen an die Sicherheit der Anwendung im Hinblick auf die Schutzbedürftigkeit der Daten zu gewährleisten und
4.
bei den dafür erforderlichen technischen Systemen und Verfahren Barrierefreiheit für den Versicherten gewährleistet ist.

(2) Weitere Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a bedürfen zur Nutzung der Telematikinfrastruktur der Bestätigung durch die Gesellschaft für Telematik. Die Gesellschaft für Telematik legt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit das Nähere zu den erforderlichen Voraussetzungen für die Nutzung der Telematikinfrastruktur fest und veröffentlicht diese Voraussetzungen auf ihrer Internetseite.

(3) Die Erfüllung der Voraussetzungen muss der Anbieter einer Anwendung in einem Bestätigungsverfahren nachweisen. Das Bestätigungsverfahren wird auf Antrag eines Anbieters einer Anwendung durchgeführt. Die Bestätigung kann mit Nebenbestimmungen versehen werden.

(4) Die Einzelheiten des Bestätigungsverfahrens nach Absatz 2 sowie die dazu erforderlichen Prüfkriterien legt die Gesellschaft für Telematik im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht sie auf ihrer Internetseite.

(5) Die Gesellschaft für Telematik veröffentlicht eine Liste mit den bestätigten Anwendungen auf ihrer Internetseite.

(6) Für Leistungserbringer in der gesetzlichen Kranken- und Pflegeversicherung, die die Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a nutzen wollen und für die noch keine sicheren Authentisierungsverfahren nach § 311 Absatz 1 Satz 1 Nummer 1 Buchstabe e festgelegt sind, legt die Gesellschaft für Telematik diese Verfahren im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht diese auf ihrer Internetseite.

(7) Die für die Wahrnehmung von Aufgaben nach Absatz 2 beim Bundesamt für Sicherheit in der Informationstechnik sowie bei der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit entstehenden Kosten sowie die für die Wahrnehmung von Aufgaben nach den Absätzen 4 und 6 beim Bundesamt für Sicherheit in der Informationstechnik entstehenden Kosten sind durch die Gesellschaft für Telematik zu erstatten. Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung jeweils im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik sowie der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit fest.

(8) Für die Nutzung der Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a kann die Gesellschaft für Telematik von dem jeweiligen Anbieter Entgelte verlangen. Die Nutzung ist unentgeltlich, sofern die Anwendungen in diesem, im Elften Buch oder im Implantateregistergesetz geregelt sind oder zur Erfüllung einer gesetzlichen Verpflichtung, insbesondere gesetzlicher Meldepflichten im Gesundheitswesen, genutzt werden. Davon unberührt bleibt die Verpflichtung eines Anbieters von Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a, die Kosten für seinen Anschluss an die zentrale Telematikinfrastruktur zu tragen.

§ 307 Datenschutzrechtliche Verantwortlichkeiten

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, der Spitzenverband Bund der Krankenkassen, die Kassenärztliche Bundesvereinigung, die Kassenzahnärztliche Bundesvereinigung, die Bundesärztekammer, die Bundeszahnärztekammer, die Deutsche Krankenhausgesellschaft sowie die für die Wahrnehmung der wirtschaftlichen Interessen gebildete maßgebliche Spitzenorganisation der Apotheker auf Bundesebene schaffen die Telematikinfrastruktur. Die Telematikinfrastruktur ist die interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient und insbesondere

1.
erforderlich ist für die Nutzung der elektronischen Gesundheitskarte und der Anwendungen der Telematikinfrastruktur,
2.
geeignet ist
a)
für die Nutzung weiterer Anwendungen der Telematikinfrastruktur ohne Nutzung der elektronischen Gesundheitskarte nach § 327 und
b)
für die Verwendung für Zwecke der Gesundheits- und pflegerischen Forschung.
Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in Satz 1 genannten Spitzenorganisationen nehmen die Aufgabe nach Satz 1 nach Maßgabe des § 310 durch eine Gesellschaft für Telematik wahr.

(2) Die Telematikinfrastruktur umfasst

1.
eine dezentrale Infrastruktur bestehend aus Komponenten zur Authentifizierung und zur sicheren Übermittlung von Daten in die zentrale Infrastruktur,
2.
eine zentrale Infrastruktur bestehend aus
a)
sicheren Zugangsdiensten als Schnittstelle zur dezentralen Infrastruktur und
b)
einem gesicherten Netz einschließlich der für den Betrieb notwendigen Dienste sowie
3.
eine Anwendungsinfrastruktur bestehend aus Diensten für die Anwendungen nach diesem Kapitel.

(3) Für die Verarbeitung der zu den besonderen Kategorien im Sinne von Artikel 9 der Verordnung (EU) 2016/679 gehörenden personenbezogenen Daten in der Telematikinfrastruktur gilt ein dem besonderen Schutzbedarf entsprechendes hohes Schutzniveau, dem durch entsprechende technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung (EU) 2016/679 Rechnung zu tragen ist.

(4) Anwendungen im Sinne dieses Kapitels sind nutzerbezogene Funktionalitäten auf der Basis von nach § 325 zugelassenen Diensten und Komponenten zur Verarbeitung von Gesundheitsdaten in der Telematikinfrastruktur sowie weitere nutzerbezogene Funktionalitäten nach § 327. Dienste im Sinne von Satz 1 sind zentral bereitgestellte und in der Telematikinfrastruktur betriebene technische Systeme, die einzelne Funktionalitäten der Telematikinfrastruktur umsetzen. Komponenten sind dezentrale technische Systeme oder deren Bestandteile.

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, der Spitzenverband Bund der Krankenkassen, die Kassenärztliche Bundesvereinigung, die Kassenzahnärztliche Bundesvereinigung, die Bundesärztekammer, die Bundeszahnärztekammer, die Deutsche Krankenhausgesellschaft sowie die für die Wahrnehmung der wirtschaftlichen Interessen gebildete maßgebliche Spitzenorganisation der Apotheker auf Bundesebene schaffen die Telematikinfrastruktur. Die Telematikinfrastruktur ist die interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient und insbesondere

1.
erforderlich ist für die Nutzung der elektronischen Gesundheitskarte und der Anwendungen der Telematikinfrastruktur,
2.
geeignet ist
a)
für die Nutzung weiterer Anwendungen der Telematikinfrastruktur ohne Nutzung der elektronischen Gesundheitskarte nach § 327 und
b)
für die Verwendung für Zwecke der Gesundheits- und pflegerischen Forschung.
Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in Satz 1 genannten Spitzenorganisationen nehmen die Aufgabe nach Satz 1 nach Maßgabe des § 310 durch eine Gesellschaft für Telematik wahr.

(2) Die Telematikinfrastruktur umfasst

1.
eine dezentrale Infrastruktur bestehend aus Komponenten zur Authentifizierung und zur sicheren Übermittlung von Daten in die zentrale Infrastruktur,
2.
eine zentrale Infrastruktur bestehend aus
a)
sicheren Zugangsdiensten als Schnittstelle zur dezentralen Infrastruktur und
b)
einem gesicherten Netz einschließlich der für den Betrieb notwendigen Dienste sowie
3.
eine Anwendungsinfrastruktur bestehend aus Diensten für die Anwendungen nach diesem Kapitel.

(3) Für die Verarbeitung der zu den besonderen Kategorien im Sinne von Artikel 9 der Verordnung (EU) 2016/679 gehörenden personenbezogenen Daten in der Telematikinfrastruktur gilt ein dem besonderen Schutzbedarf entsprechendes hohes Schutzniveau, dem durch entsprechende technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung (EU) 2016/679 Rechnung zu tragen ist.

(4) Anwendungen im Sinne dieses Kapitels sind nutzerbezogene Funktionalitäten auf der Basis von nach § 325 zugelassenen Diensten und Komponenten zur Verarbeitung von Gesundheitsdaten in der Telematikinfrastruktur sowie weitere nutzerbezogene Funktionalitäten nach § 327. Dienste im Sinne von Satz 1 sind zentral bereitgestellte und in der Telematikinfrastruktur betriebene technische Systeme, die einzelne Funktionalitäten der Telematikinfrastruktur umsetzen. Komponenten sind dezentrale technische Systeme oder deren Bestandteile.

(1) Dem Fernmeldegeheimnis unterliegen der Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere die Tatsache, ob jemand an einem Telekommunikationsvorgang beteiligt ist oder war. Das Fernmeldegeheimnis erstreckt sich auch auf die näheren Umstände erfolgloser Verbindungsversuche.

(2) Zur Wahrung des Fernmeldegeheimnisses ist jeder Diensteanbieter verpflichtet. Die Pflicht zur Geheimhaltung besteht auch nach dem Ende der Tätigkeit fort, durch die sie begründet worden ist.

(3) Den nach Absatz 2 Verpflichteten ist es untersagt, sich oder anderen über das für die geschäftsmäßige Erbringung der Telekommunikationsdienste einschließlich des Schutzes ihrer technischen Systeme erforderliche Maß hinaus Kenntnis vom Inhalt oder den näheren Umständen der Telekommunikation zu verschaffen. Sie dürfen Kenntnisse über Tatsachen, die dem Fernmeldegeheimnis unterliegen, nur für den in Satz 1 genannten Zweck verwenden. Eine Verwendung dieser Kenntnisse für andere Zwecke, insbesondere die Weitergabe an andere, ist nur zulässig, soweit dieses Gesetz oder eine andere gesetzliche Vorschrift dies vorsieht und sich dabei ausdrücklich auf Telekommunikationsvorgänge bezieht. Die Anzeigepflicht nach § 138 des Strafgesetzbuches hat Vorrang.

(4) Befindet sich die Telekommunikationsanlage an Bord eines Wasser- oder Luftfahrzeugs, so besteht die Pflicht zur Wahrung des Geheimnisses nicht gegenüber der Person, die das Fahrzeug führt oder gegenüber ihrer Stellvertretung.

(1) Betriebsleistungen sind auf der Grundlage der von der Gesellschaft für Telematik nach Maßgabe des § 306 Absatz 3 festzulegenden Rahmenbedingungen zu erbringen.

(2) Zur Durchführung des Betriebs der Telematikinfrastruktur vergibt die Gesellschaft für Telematik Aufträge oder erteilt in einem transparenten und diskriminierungsfreien Verfahren Zulassungen. Sind nach § 311 Absatz 5 einzelne Gesellschafter oder Dritte beauftragt worden, so sind die Beauftragten für die Vergabe und für die Erteilung der Zulassung zuständig; § 311 Absatz 7 gilt entsprechend.

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, der Spitzenverband Bund der Krankenkassen, die Kassenärztliche Bundesvereinigung, die Kassenzahnärztliche Bundesvereinigung, die Bundesärztekammer, die Bundeszahnärztekammer, die Deutsche Krankenhausgesellschaft sowie die für die Wahrnehmung der wirtschaftlichen Interessen gebildete maßgebliche Spitzenorganisation der Apotheker auf Bundesebene schaffen die Telematikinfrastruktur. Die Telematikinfrastruktur ist die interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient und insbesondere

1.
erforderlich ist für die Nutzung der elektronischen Gesundheitskarte und der Anwendungen der Telematikinfrastruktur,
2.
geeignet ist
a)
für die Nutzung weiterer Anwendungen der Telematikinfrastruktur ohne Nutzung der elektronischen Gesundheitskarte nach § 327 und
b)
für die Verwendung für Zwecke der Gesundheits- und pflegerischen Forschung.
Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in Satz 1 genannten Spitzenorganisationen nehmen die Aufgabe nach Satz 1 nach Maßgabe des § 310 durch eine Gesellschaft für Telematik wahr.

(2) Die Telematikinfrastruktur umfasst

1.
eine dezentrale Infrastruktur bestehend aus Komponenten zur Authentifizierung und zur sicheren Übermittlung von Daten in die zentrale Infrastruktur,
2.
eine zentrale Infrastruktur bestehend aus
a)
sicheren Zugangsdiensten als Schnittstelle zur dezentralen Infrastruktur und
b)
einem gesicherten Netz einschließlich der für den Betrieb notwendigen Dienste sowie
3.
eine Anwendungsinfrastruktur bestehend aus Diensten für die Anwendungen nach diesem Kapitel.

(3) Für die Verarbeitung der zu den besonderen Kategorien im Sinne von Artikel 9 der Verordnung (EU) 2016/679 gehörenden personenbezogenen Daten in der Telematikinfrastruktur gilt ein dem besonderen Schutzbedarf entsprechendes hohes Schutzniveau, dem durch entsprechende technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung (EU) 2016/679 Rechnung zu tragen ist.

(4) Anwendungen im Sinne dieses Kapitels sind nutzerbezogene Funktionalitäten auf der Basis von nach § 325 zugelassenen Diensten und Komponenten zur Verarbeitung von Gesundheitsdaten in der Telematikinfrastruktur sowie weitere nutzerbezogene Funktionalitäten nach § 327. Dienste im Sinne von Satz 1 sind zentral bereitgestellte und in der Telematikinfrastruktur betriebene technische Systeme, die einzelne Funktionalitäten der Telematikinfrastruktur umsetzen. Komponenten sind dezentrale technische Systeme oder deren Bestandteile.

(1) Dem Fernmeldegeheimnis unterliegen der Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere die Tatsache, ob jemand an einem Telekommunikationsvorgang beteiligt ist oder war. Das Fernmeldegeheimnis erstreckt sich auch auf die näheren Umstände erfolgloser Verbindungsversuche.

(2) Zur Wahrung des Fernmeldegeheimnisses ist jeder Diensteanbieter verpflichtet. Die Pflicht zur Geheimhaltung besteht auch nach dem Ende der Tätigkeit fort, durch die sie begründet worden ist.

(3) Den nach Absatz 2 Verpflichteten ist es untersagt, sich oder anderen über das für die geschäftsmäßige Erbringung der Telekommunikationsdienste einschließlich des Schutzes ihrer technischen Systeme erforderliche Maß hinaus Kenntnis vom Inhalt oder den näheren Umständen der Telekommunikation zu verschaffen. Sie dürfen Kenntnisse über Tatsachen, die dem Fernmeldegeheimnis unterliegen, nur für den in Satz 1 genannten Zweck verwenden. Eine Verwendung dieser Kenntnisse für andere Zwecke, insbesondere die Weitergabe an andere, ist nur zulässig, soweit dieses Gesetz oder eine andere gesetzliche Vorschrift dies vorsieht und sich dabei ausdrücklich auf Telekommunikationsvorgänge bezieht. Die Anzeigepflicht nach § 138 des Strafgesetzbuches hat Vorrang.

(4) Befindet sich die Telekommunikationsanlage an Bord eines Wasser- oder Luftfahrzeugs, so besteht die Pflicht zur Wahrung des Geheimnisses nicht gegenüber der Person, die das Fahrzeug führt oder gegenüber ihrer Stellvertretung.

(1) Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, der Spitzenverband Bund der Krankenkassen, die Kassenärztliche Bundesvereinigung, die Kassenzahnärztliche Bundesvereinigung, die Bundesärztekammer, die Bundeszahnärztekammer, die Deutsche Krankenhausgesellschaft sowie die für die Wahrnehmung der wirtschaftlichen Interessen gebildete maßgebliche Spitzenorganisation der Apotheker auf Bundesebene schaffen die Telematikinfrastruktur. Die Telematikinfrastruktur ist die interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient und insbesondere

1.
erforderlich ist für die Nutzung der elektronischen Gesundheitskarte und der Anwendungen der Telematikinfrastruktur,
2.
geeignet ist
a)
für die Nutzung weiterer Anwendungen der Telematikinfrastruktur ohne Nutzung der elektronischen Gesundheitskarte nach § 327 und
b)
für die Verwendung für Zwecke der Gesundheits- und pflegerischen Forschung.
Die Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Gesundheit, und die in Satz 1 genannten Spitzenorganisationen nehmen die Aufgabe nach Satz 1 nach Maßgabe des § 310 durch eine Gesellschaft für Telematik wahr.

(2) Die Telematikinfrastruktur umfasst

1.
eine dezentrale Infrastruktur bestehend aus Komponenten zur Authentifizierung und zur sicheren Übermittlung von Daten in die zentrale Infrastruktur,
2.
eine zentrale Infrastruktur bestehend aus
a)
sicheren Zugangsdiensten als Schnittstelle zur dezentralen Infrastruktur und
b)
einem gesicherten Netz einschließlich der für den Betrieb notwendigen Dienste sowie
3.
eine Anwendungsinfrastruktur bestehend aus Diensten für die Anwendungen nach diesem Kapitel.

(3) Für die Verarbeitung der zu den besonderen Kategorien im Sinne von Artikel 9 der Verordnung (EU) 2016/679 gehörenden personenbezogenen Daten in der Telematikinfrastruktur gilt ein dem besonderen Schutzbedarf entsprechendes hohes Schutzniveau, dem durch entsprechende technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung (EU) 2016/679 Rechnung zu tragen ist.

(4) Anwendungen im Sinne dieses Kapitels sind nutzerbezogene Funktionalitäten auf der Basis von nach § 325 zugelassenen Diensten und Komponenten zur Verarbeitung von Gesundheitsdaten in der Telematikinfrastruktur sowie weitere nutzerbezogene Funktionalitäten nach § 327. Dienste im Sinne von Satz 1 sind zentral bereitgestellte und in der Telematikinfrastruktur betriebene technische Systeme, die einzelne Funktionalitäten der Telematikinfrastruktur umsetzen. Komponenten sind dezentrale technische Systeme oder deren Bestandteile.

(1) Im Rahmen des Auftrags nach § 306 Absatz 1 hat die Gesellschaft für Telematik nach Maßgabe der Anforderungen gemäß § 306 Absatz 3 folgende Aufgaben:

1.
zur Schaffung der Telematikinfrastruktur:
a)
Erstellung der funktionalen und technischen Vorgaben einschließlich eines Sicherheitskonzepts,
b)
Festlegung von Inhalt und Struktur der Datensätze für deren Bereitstellung und Nutzung, soweit diese Festlegung nicht nach § 355 durch die Kassenärztliche Bundesvereinigung oder die Deutsche Krankenhausgesellschaft erfolgt,
c)
Erstellung von Vorgaben für den sicheren Betrieb der Telematikinfrastruktur und Überwachung der Umsetzung dieser Vorgaben,
d)
Sicherstellung der notwendigen Test-, Bestätigungs- und Zertifizierungsmaßnahmen und
e)
Festlegung von Verfahren einschließlich der dafür erforderlichen Authentisierungsverfahren zur Verwaltung
aa)
der Zugriffsberechtigungen nach dem Fünften Abschnitt und
bb)
der Steuerung der Zugriffe auf Daten nach § 334 Absatz 1 Satz 2,
2.
Aufbau der Telematikinfrastruktur und insoweit Festlegung der Rahmenbedingungen für Betriebsleistungen sowie Vergabe von Aufträgen für deren Erbringung an Anbieter von Betriebsleistungen oder Zulassung von Betriebsleistungen,
3.
Betrieb des elektronischen Verzeichnisdienstes nach § 313,
4.
Zulassung der Komponenten und Dienste der Telematikinfrastruktur einschließlich der Verfahren zum Zugriff auf diese Komponenten und Dienste,
5.
Zulassung der sicheren Dienste für Verfahren zur Übermittlung medizinischer und pflegerischer Dokumente über die Telematikinfrastruktur,
6.
Festlegung der Voraussetzungen für die Nutzung der Telematikinfrastruktur für weitere Anwendungen und für Zwecke der Gesundheitsforschung nach § 306 Absatz 1 Satz 2 Nummer 2 und Durchführung der Verfahren zur Bestätigung des Vorliegens dieser Voraussetzungen,
7.
Gewährleistung einer diskriminierungsfreien Nutzung der Telematikinfrastruktur für weitere Anwendungen und für Zwecke der Gesundheitsforschung nach § 306 Absatz 1 Satz 2 Nummer 2 unter vorrangiger Berücksichtigung der elektronischen Anwendungen, die der Erfüllung von gesetzlichen Aufgaben der Kranken- und Pflegeversicherung, der Rentenversicherung und der Unfallversicherung dienen,
8.
Aufbau, Pflege und Betrieb des Interoperabilitätsverzeichnisses nach § 384,
9.
Koordinierung der Ausgabeprozesse der in der Telematikinfrastruktur genutzten Identifikations- und Authentifizierungsmittel, insbesondere der Karten und Ausweise gemäß den §§ 291 und 340, im Benehmen mit den Kartenherausgebern, Überwachung der Ausgabeprozesse und Vorgabe von verbindlichen Maßnahmen, die bei Sicherheitsmängeln zu ergreifen sind,
10.
Entwicklung und Zurverfügungstellung der Komponenten der Telematikinfrastruktur, die den Zugriff der Versicherten auf die Anwendung zur Übermittlung ärztlicher Verordnungen nach § 334 Absatz 1 Satz 2 Nummer 6 nach Maßgabe des § 360 Absatz 5 ermöglichen, als Dienstleistungen von allgemeinem wirtschaftlichem Interesse und
11.
Unterstützung des Robert Koch-Instituts bei der Entwicklung und dem Betrieb des elektronischen Melde- und Informationssystems nach § 14 des Infektionsschutzgesetzes.

(2) Die Gesellschaft für Telematik hat Festlegungen und Maßnahmen nach Absatz 1 Nummer 1, die Fragen der Datensicherheit berühren, im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik zu treffen und Festlegungen und Maßnahmen nach Absatz 1 Nummer 1, die Fragen des Datenschutzes berühren, im Einvernehmen mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu treffen. Bei der Gestaltung der Verfahren nach Absatz 1 Nummer 1 Buchstabe e berücksichtigt die Gesellschaft für Telematik, dass die Telematikinfrastruktur schrittweise ausgebaut wird und die Zugriffsberechtigungen künftig auf weitere Leistungserbringergruppen ausgedehnt werden können.

(3) Die Gesellschaft für Telematik nimmt auf europäischer Ebene, insbesondere im Zusammenhang mit dem grenzüberschreitenden Austausch von Gesundheitsdaten, Aufgaben wahr. Dabei hat sie darauf hinzuwirken, dass einerseits die auf europäischer Ebene getroffenen Festlegungen mit den Vorgaben für die Telematikinfrastruktur und ihre Anwendungen vereinbar sind und dass andererseits die Vorgaben für die Telematikinfrastruktur und ihre Anwendungen mit den europäischen Vorgaben vereinbar sind. Die Gesellschaft für Telematik hat die für den grenzüberschreitenden Austausch von Gesundheitsdaten erforderlichen Festlegungen zu treffen und hierbei die auf europäischer Ebene hierzu getroffenen Festlegungen zu berücksichtigen. Die Datensicherheit ist dabei nach dem Stand der Technik zu gewährleisten.

(4) Bei der Wahrnehmung ihrer Aufgaben hat die Gesellschaft für Telematik die Interessen von Patienten zu wahren und die Einhaltung der Vorschriften zum Schutz personenbezogener Daten sowie zur Barrierefreiheit sicherzustellen. Sie hat Aufgaben nur insoweit wahrzunehmen, als dies zur Schaffung einer interoperablen, kompatiblen und sicheren Telematikinfrastruktur erforderlich ist.

(5) Mit Teilaufgaben der Gesellschaft für Telematik können einzelne Gesellschafter mit Ausnahme der Bundesrepublik Deutschland oder Dritte beauftragt werden. Hierbei hat die Gesellschaft für Telematik die Interoperabilität, die Kompatibilität und das notwendige Sicherheitsniveau der Telematikinfrastruktur zu gewährleisten.

(6) Die Gesellschaft für Telematik legt in Abstimmung mit dem Bundesamt für Sicherheit in der Informationstechnik und mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit sichere Verfahren zur Übermittlung medizinischer Daten über die Telematikinfrastruktur fest. Die festgelegten Verfahren veröffentlicht die Gesellschaft für Telematik auf ihrer Internetseite. Der Anbieter eines Dienstes für ein Übermittlungsverfahren muss die Anwendung der festgelegten Verfahren gegenüber der Gesellschaft für Telematik in einem Zulassungsverfahren nachweisen. Die Kassenärztlichen Bundesvereinigungen können Anbieter eines zugelassenen Dienstes für ein sicheres Verfahren zur Übermittlung medizinischer Dokumente nach Satz 1 sein, sofern der Dienst nur Kassenärztlichen Vereinigungen sowie deren Mitgliedern zur Verfügung gestellt wird. Für das Zulassungsverfahren nach Satz 3 gilt § 325. Die für das Zulassungsverfahren erforderlichen Festlegungen hat die Gesellschaft für Telematik zu treffen und auf ihrer Internetseite zu veröffentlichen. Die Kosten, die nach diesem Absatz bei dem Bundesamt für Sicherheit in der Informationstechnik und bei der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit entstehen, sind durch die Gesellschaft für Telematik zu erstatten. Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung einvernehmlich mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit und dem Bundesamt für Sicherheit in der Informationstechnik fest.

(7) Bei der Vergabe von Aufträgen durch die Gesellschaft für Telematik ist unterhalb der Schwellenwerte nach § 106 des Gesetzes gegen Wettbewerbsbeschränkungen die Unterschwellenvergabeordnung in der Fassung der Bekanntmachung vom 2. Februar 2017 (BAnz. AT 07.02.2017 B1; BAnz. AT 07.02.2017 B2) anzuwenden. Für die Verhandlungsvergabe von Leistungen gemäß § 8 Absatz 4 Nummer 17 der Unterschwellenvergabeordnung werden die Ausführungsbestimmungen vom Bundesministerium für Gesundheit festgelegt. Teil 4 des Gesetzes gegen Wettbewerbsbeschränkungen bleibt unberührt.

§ 308 Vorrang von technischen Schutzmaßnahmen

(1) Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1 liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und zur sicheren Verarbeitung von Daten über die zentrale Infrastruktur nutzen, soweit sie über die Mittel der Datenverarbeitung mit entscheiden. Dies gilt für die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten.

(2) Der Betrieb der durch die Gesellschaft für Telematik spezifizierten und zugelassenen Zugangsdienste nach § 306 Absatz 2 Nummer 2 Buchstabe a liegt in der Verantwortung des jeweiligen Anbieters des Zugangsdienstes. Der Anbieter eines Zugangsdienstes darf personenbezogene Daten der Versicherten ausschließlich für Zwecke des Aufbaus und des Betriebs seines Zugangsdienstes verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(3) Die Gesellschaft für Telematik erteilt einen Auftrag nach § 323 Absatz 2 Satz 1 zum alleinverantwortlichen Betrieb des gesicherten Netzes nach § 306 Absatz 2 Nummer 2 Buchstabe b, einschließlich der für den Betrieb notwendigen Dienste. Der Anbieter des gesicherten Netzes ist innerhalb des gesicherten Netzes verantwortlich für die Übertragung von personenbezogenen Daten, insbesondere von Gesundheitsdaten der Versicherten, zwischen Leistungserbringern, Kostenträgern sowie Versicherten und für die Übertragung im Rahmen der Anwendungen der elektronischen Gesundheitskarte. Der Anbieter des gesicherten Netzes darf die Daten ausschließlich zum Zweck der Datenübertragung verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(4) Der Betrieb der Dienste der Anwendungsinfrastruktur nach § 306 Absatz 2 Nummer 3 erfolgt durch den jeweiligen Anbieter. Die Anbieter sind für die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten der Versicherten, zum Zweck der Nutzung des jeweiligen Dienstes der Anwendungsinfrastruktur verantwortlich.

(5) Die Gesellschaft für Telematik ist Verantwortliche für die Verarbeitung personenbezogener Daten in der Telematikinfrastruktur, soweit sie im Rahmen ihrer Aufgaben nach § 311 Absatz 1 die Mittel der Datenverarbeitung bestimmt und insoweit keine Verantwortlichkeit nach den vorstehenden Absätzen begründet ist. Die Gesellschaft für Telematik richtet für die Betroffenen eine koordinierende Stelle ein. Die koordinierende Stelle erteilt den Betroffenen allgemeine Informationen zur Telematikinfrastruktur sowie Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur, insbesondere zur datenschutzrechtlichen Verantwortlichkeit nach dieser Vorschrift.

(1) Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1 liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und zur sicheren Verarbeitung von Daten über die zentrale Infrastruktur nutzen, soweit sie über die Mittel der Datenverarbeitung mit entscheiden. Dies gilt für die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten.

(2) Der Betrieb der durch die Gesellschaft für Telematik spezifizierten und zugelassenen Zugangsdienste nach § 306 Absatz 2 Nummer 2 Buchstabe a liegt in der Verantwortung des jeweiligen Anbieters des Zugangsdienstes. Der Anbieter eines Zugangsdienstes darf personenbezogene Daten der Versicherten ausschließlich für Zwecke des Aufbaus und des Betriebs seines Zugangsdienstes verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(3) Die Gesellschaft für Telematik erteilt einen Auftrag nach § 323 Absatz 2 Satz 1 zum alleinverantwortlichen Betrieb des gesicherten Netzes nach § 306 Absatz 2 Nummer 2 Buchstabe b, einschließlich der für den Betrieb notwendigen Dienste. Der Anbieter des gesicherten Netzes ist innerhalb des gesicherten Netzes verantwortlich für die Übertragung von personenbezogenen Daten, insbesondere von Gesundheitsdaten der Versicherten, zwischen Leistungserbringern, Kostenträgern sowie Versicherten und für die Übertragung im Rahmen der Anwendungen der elektronischen Gesundheitskarte. Der Anbieter des gesicherten Netzes darf die Daten ausschließlich zum Zweck der Datenübertragung verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(4) Der Betrieb der Dienste der Anwendungsinfrastruktur nach § 306 Absatz 2 Nummer 3 erfolgt durch den jeweiligen Anbieter. Die Anbieter sind für die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten der Versicherten, zum Zweck der Nutzung des jeweiligen Dienstes der Anwendungsinfrastruktur verantwortlich.

(5) Die Gesellschaft für Telematik ist Verantwortliche für die Verarbeitung personenbezogener Daten in der Telematikinfrastruktur, soweit sie im Rahmen ihrer Aufgaben nach § 311 Absatz 1 die Mittel der Datenverarbeitung bestimmt und insoweit keine Verantwortlichkeit nach den vorstehenden Absätzen begründet ist. Die Gesellschaft für Telematik richtet für die Betroffenen eine koordinierende Stelle ein. Die koordinierende Stelle erteilt den Betroffenen allgemeine Informationen zur Telematikinfrastruktur sowie Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur, insbesondere zur datenschutzrechtlichen Verantwortlichkeit nach dieser Vorschrift.

(1) Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1 liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und zur sicheren Verarbeitung von Daten über die zentrale Infrastruktur nutzen, soweit sie über die Mittel der Datenverarbeitung mit entscheiden. Dies gilt für die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten.

(2) Der Betrieb der durch die Gesellschaft für Telematik spezifizierten und zugelassenen Zugangsdienste nach § 306 Absatz 2 Nummer 2 Buchstabe a liegt in der Verantwortung des jeweiligen Anbieters des Zugangsdienstes. Der Anbieter eines Zugangsdienstes darf personenbezogene Daten der Versicherten ausschließlich für Zwecke des Aufbaus und des Betriebs seines Zugangsdienstes verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(3) Die Gesellschaft für Telematik erteilt einen Auftrag nach § 323 Absatz 2 Satz 1 zum alleinverantwortlichen Betrieb des gesicherten Netzes nach § 306 Absatz 2 Nummer 2 Buchstabe b, einschließlich der für den Betrieb notwendigen Dienste. Der Anbieter des gesicherten Netzes ist innerhalb des gesicherten Netzes verantwortlich für die Übertragung von personenbezogenen Daten, insbesondere von Gesundheitsdaten der Versicherten, zwischen Leistungserbringern, Kostenträgern sowie Versicherten und für die Übertragung im Rahmen der Anwendungen der elektronischen Gesundheitskarte. Der Anbieter des gesicherten Netzes darf die Daten ausschließlich zum Zweck der Datenübertragung verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(4) Der Betrieb der Dienste der Anwendungsinfrastruktur nach § 306 Absatz 2 Nummer 3 erfolgt durch den jeweiligen Anbieter. Die Anbieter sind für die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten der Versicherten, zum Zweck der Nutzung des jeweiligen Dienstes der Anwendungsinfrastruktur verantwortlich.

(5) Die Gesellschaft für Telematik ist Verantwortliche für die Verarbeitung personenbezogener Daten in der Telematikinfrastruktur, soweit sie im Rahmen ihrer Aufgaben nach § 311 Absatz 1 die Mittel der Datenverarbeitung bestimmt und insoweit keine Verantwortlichkeit nach den vorstehenden Absätzen begründet ist. Die Gesellschaft für Telematik richtet für die Betroffenen eine koordinierende Stelle ein. Die koordinierende Stelle erteilt den Betroffenen allgemeine Informationen zur Telematikinfrastruktur sowie Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur, insbesondere zur datenschutzrechtlichen Verantwortlichkeit nach dieser Vorschrift.

§ 309 Protokollierung

(1) Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur nach § 306 Absatz 2 Nummer 1 liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und zur sicheren Verarbeitung von Daten über die zentrale Infrastruktur nutzen, soweit sie über die Mittel der Datenverarbeitung mit entscheiden. Dies gilt für die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten.

(2) Der Betrieb der durch die Gesellschaft für Telematik spezifizierten und zugelassenen Zugangsdienste nach § 306 Absatz 2 Nummer 2 Buchstabe a liegt in der Verantwortung des jeweiligen Anbieters des Zugangsdienstes. Der Anbieter eines Zugangsdienstes darf personenbezogene Daten der Versicherten ausschließlich für Zwecke des Aufbaus und des Betriebs seines Zugangsdienstes verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(3) Die Gesellschaft für Telematik erteilt einen Auftrag nach § 323 Absatz 2 Satz 1 zum alleinverantwortlichen Betrieb des gesicherten Netzes nach § 306 Absatz 2 Nummer 2 Buchstabe b, einschließlich der für den Betrieb notwendigen Dienste. Der Anbieter des gesicherten Netzes ist innerhalb des gesicherten Netzes verantwortlich für die Übertragung von personenbezogenen Daten, insbesondere von Gesundheitsdaten der Versicherten, zwischen Leistungserbringern, Kostenträgern sowie Versicherten und für die Übertragung im Rahmen der Anwendungen der elektronischen Gesundheitskarte. Der Anbieter des gesicherten Netzes darf die Daten ausschließlich zum Zweck der Datenübertragung verarbeiten. § 88 des Telekommunikationsgesetzes ist entsprechend anzuwenden.

(4) Der Betrieb der Dienste der Anwendungsinfrastruktur nach § 306 Absatz 2 Nummer 3 erfolgt durch den jeweiligen Anbieter. Die Anbieter sind für die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten der Versicherten, zum Zweck der Nutzung des jeweiligen Dienstes der Anwendungsinfrastruktur verantwortlich.

(5) Die Gesellschaft für Telematik ist Verantwortliche für die Verarbeitung personenbezogener Daten in der Telematikinfrastruktur, soweit sie im Rahmen ihrer Aufgaben nach § 311 Absatz 1 die Mittel der Datenverarbeitung bestimmt und insoweit keine Verantwortlichkeit nach den vorstehenden Absätzen begründet ist. Die Gesellschaft für Telematik richtet für die Betroffenen eine koordinierende Stelle ein. Die koordinierende Stelle erteilt den Betroffenen allgemeine Informationen zur Telematikinfrastruktur sowie Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur, insbesondere zur datenschutzrechtlichen Verantwortlichkeit nach dieser Vorschrift.

(1) Für weitere Anwendungen ohne Nutzung der elektronischen Gesundheitskarte nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a darf die Telematikinfrastruktur nur verwendet werden, wenn

1.
es sich um eine Anwendung des Gesundheitswesens, der Rehabilitation, der Pflege oder um eine Anwendung zum Zwecke der Gesundheits- und Pflegeforschung handelt,
2.
die Wirksamkeit der Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit sowie die Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur nicht beeinträchtigt werden,
3.
im Fall der Verarbeitung personenbezogener Daten die dafür geltenden Vorschriften zum Datenschutz eingehalten und die erforderlichen technischen und organisatorischen Maßnahmen entsprechend dem Stand der Technik getroffen werden, um die Anforderungen an die Sicherheit der Anwendung im Hinblick auf die Schutzbedürftigkeit der Daten zu gewährleisten und
4.
bei den dafür erforderlichen technischen Systemen und Verfahren Barrierefreiheit für den Versicherten gewährleistet ist.

(2) Weitere Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a bedürfen zur Nutzung der Telematikinfrastruktur der Bestätigung durch die Gesellschaft für Telematik. Die Gesellschaft für Telematik legt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit das Nähere zu den erforderlichen Voraussetzungen für die Nutzung der Telematikinfrastruktur fest und veröffentlicht diese Voraussetzungen auf ihrer Internetseite.

(3) Die Erfüllung der Voraussetzungen muss der Anbieter einer Anwendung in einem Bestätigungsverfahren nachweisen. Das Bestätigungsverfahren wird auf Antrag eines Anbieters einer Anwendung durchgeführt. Die Bestätigung kann mit Nebenbestimmungen versehen werden.

(4) Die Einzelheiten des Bestätigungsverfahrens nach Absatz 2 sowie die dazu erforderlichen Prüfkriterien legt die Gesellschaft für Telematik im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht sie auf ihrer Internetseite.

(5) Die Gesellschaft für Telematik veröffentlicht eine Liste mit den bestätigten Anwendungen auf ihrer Internetseite.

(6) Für Leistungserbringer in der gesetzlichen Kranken- und Pflegeversicherung, die die Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a nutzen wollen und für die noch keine sicheren Authentisierungsverfahren nach § 311 Absatz 1 Satz 1 Nummer 1 Buchstabe e festgelegt sind, legt die Gesellschaft für Telematik diese Verfahren im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest und veröffentlicht diese auf ihrer Internetseite.

(7) Die für die Wahrnehmung von Aufgaben nach Absatz 2 beim Bundesamt für Sicherheit in der Informationstechnik sowie bei der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit entstehenden Kosten sowie die für die Wahrnehmung von Aufgaben nach den Absätzen 4 und 6 beim Bundesamt für Sicherheit in der Informationstechnik entstehenden Kosten sind durch die Gesellschaft für Telematik zu erstatten. Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung jeweils im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik sowie der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit fest.

(8) Für die Nutzung der Telematikinfrastruktur für Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a kann die Gesellschaft für Telematik von dem jeweiligen Anbieter Entgelte verlangen. Die Nutzung ist unentgeltlich, sofern die Anwendungen in diesem, im Elften Buch oder im Implantateregistergesetz geregelt sind oder zur Erfüllung einer gesetzlichen Verpflichtung, insbesondere gesetzlicher Meldepflichten im Gesundheitswesen, genutzt werden. Davon unberührt bleibt die Verpflichtung eines Anbieters von Anwendungen nach § 306 Absatz 1 Satz 2 Nummer 2 Buchstabe a, die Kosten für seinen Anschluss an die zentrale Telematikinfrastruktur zu tragen.

(1) Die Anwendungen der Telematikinfrastruktur dienen der Verbesserung der Wirtschaftlichkeit, der Qualität und der Transparenz der Versorgung. Anwendungen sind:

1.
die elektronische Patientenakte nach § 341,
2.
Erklärungen der Versicherten zur Organ- und Gewebespende (elektronische Erklärung zur Organ- und Gewebespende) und Hinweise der Versicherten auf das Vorhandensein und den Aufbewahrungsort von Erklärungen zur Organ- und Gewebespende,
3.
Hinweise der Versicherten auf das Vorhandensein und den Aufbewahrungsort von Vorsorgevollmachten oder Patientenverfügungen nach § 1901a des Bürgerlichen Gesetzbuchs,
4.
der Medikationsplan nach § 31a einschließlich Daten zur Prüfung der Arzneimitteltherapiesicherheit (elektronischer Medikationsplan),
5.
medizinische Daten, soweit sie für die Notfallversorgung erforderlich sind (elektronische Notfalldaten) sowie
6.
elektronische Verordnungen.

(2) Die Anwendungen nach Absatz 1 Satz 2 Nummer 1 bis 5 werden von der elektronischen Gesundheitskarte unterstützt.

(3) Die Gesellschaft für Telematik kann über die in Absatz 1 genannten Anwendungen hinaus bereits Festlegungen und Maßnahmen zu zusätzlichen Anwendungen der Telematikinfrastruktur treffen, die insbesondere dem weiteren Ausbau des elektronischen Austausches von Befunden, Diagnosen, Therapieempfehlungen, Behandlungsberichten, Formularen, Erklärungen und Unterlagen dienen. Die Zulassung gemäß § 325 Absatz 1 darf erst erfolgen, wenn die insoweit erforderlichen gesetzlichen Rahmenbedingungen, wie insbesondere die Bestimmung als Anwendung der Telematikinfrastruktur in Absatz 1 sowie die Zugriffsberechtigungen auf Daten der Anwendung, in Kraft getreten sind.

(4) Beim Bundesinstitut für Arzneimittel und Medizinprodukte wird zum 1. Januar 2021 eine Meldestelle für die Nutzer von Anwendungen nach Absatz 1 eingerichtet, die versorgungsrelevante Fehlerkonstellationen bei der Nutzung dieser Anwendungen im medizinischen Versorgungsalltag in nicht personenbezogener Form erfasst und systematisch bewertet. Das Bundesinstitut für Arzneimittel und Medizinprodukte übermittelt seine Bewertung der Gesellschaft für Telematik, die diese bei der Weiterentwicklung der Anwendungen nach Absatz 1 zu berücksichtigen hat.