SGB V - Gesetzliche Krankenversicherung / 2.2 Notwendigkeit und Verhältnismäßigkeit (Artikel 35 Absatz 7 Buchstabe b DSGVO)

Im Rahmen der Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge müssen nach den ErwGen 90 und 96, nach Artikel 35 Absatz 7 Buchstabe b und d DSGVO sowie nach den "Leitlinien zur Datenschutz-Folgenabschätzung (DSFA) und Beantwortung der Frage, ob eine Verarbeitung im Sinne der Verordnung 2016/679 ,wahrscheinlich ein hohes Risiko mit sich bringt‘" der Artikel-29-Datenschutzgruppe (WP 248) Maßnahmen zur Einhaltung der Verordnung bestimmt werden, wobei Folgendes berücksichtigt werden muss:

Maßnahmen im Sinne der Verhältnismäßigkeit und Notwendigkeit der Verarbeitung (Artikel 5 und 6 DSGVO) sowie

Maßnahmen im Sinne der Rechte der Betroffenen (Artikel 12 bis 21, 28, 36 und Kapitel V DSGVO).

Kriterium	Beschreibung
Festgelegter Zweck: (Artikel 5 Absatz 1 Buchstabe b DSGVO)	Kategorie 1: Der Zweck ist die Weiterleitung der Daten ohne sonstige Verarbeitung der Daten. Kategorie 2: Der Zweck ist durch die Funktionen Ver- bzw. Entschlüsselung und Signatur festgelegt. Kategorie 3: Die Zwecke der Anwendungen dieser Kategorie sind gesetzlich im SGB V festgelegt.
Eindeutiger Zweck: (Artikel 5 Absatz 1 Buchstabe b DSGVO)	Die Zwecke sind eindeutig. Für die Anwendungen nach den §§ 291b, 334 und 311 SGB V sind die Zwecke im SGB V eindeutig festgelegt; eine zweckfremde Verarbeitung unterliegt den Straf- und Bußgeldvorschriften der §§ 397 und 399 SGB V.
Legitimer Zweck: (Artikel 5 Absatz 1 Buchstabe b DSGVO)	Kategorie 1: Die Verarbeitung in der dezentralen Infrastruktur der TI erfolgt im Rahmen einer Anwendung, die der Leistungserbringer über die dezentrale Infrastruktur technisch erreicht. Im Rahmen der Nutzung dieser Anwendung (die selbst einem legitimen Zweck unterliegen muss) ist die Weiterleitung der Daten durch die dezentrale Infrastruktur nur ein technisches Hilfsmittel zur Nutzung der vom Leistungserbringer gewählten Anwendung und für die Nutzung der Anwendung erforderlich. Kategorie 2: Der Leistungserbringer verarbeitet die Daten für seine eigenen Zwecke. Er bestimmt den Zeitpunkt der Ver- bzw. Entschlüsselung bzw. Signatur und die Daten, die ver- bzw. entschlüsselt bzw. signiert werden sollen. Kategorie 3: Die Zwecke der Verarbeitung der Daten in den Anwendungen dieser Kategorie sind legitim, da sie der Verbesserung der Wirtschaftlichkeit, der Qualität und der Transparenz der Versorgung im deutschen Gesundheitswesen dienen.
Rechtmäßigkeit der Verarbeitung: (Artikel-29-Datenschutzgruppe, WP 248, 21 i.V.m. Artikel 6 DSGVO	Kategorie 1: Die Rechtmäßigkeit basiert auf der Rechtmäßigkeit der Verarbeitung der Daten in der Anwendung, die der Leistungserbringer nutzt und an die die dezentrale Infrastruktur der TI die Daten technisch weiterleitet. Kategorie 2: Der Leistungserbringer verarbeitet die Daten für seine eigenen Zwecke, wobei es sich regelmäßig um Behandlungszwecke handelt, deren gesetzliche Verarbeitungsgrundlagen sich in § 22 Absatz 1 BDSG bzw. – im Falle der Verarbeitung durch Krankenhäuser oder Landeseinrichtungen – in speziellen Rechtsgrundlagen finden. Der Leistungserbringer bestimmt den Zeitpunkt der Ver- bzw. Entschlüsselung bzw. Signatur und die Daten, die ver- bzw. entschlüsselt bzw. signiert werden sollen. Kategorie 3: Die Rechtmäßigkeit ergibt sich aus Artikel 6 Absatz 1 Buchstabe c DSGVO i.V.m. § 291b SGB V beim Versichertenstammdatenmanagement bzw. der gesetzlichen Befugnis zur Verarbeitung nach § 339 Absatz 1 für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich als Verarbeitungsgrundlage im Recht eines Mitgliedstaats im Sinne von Artikel 9 Absatz 2 Buchstabe h in Verbindung mit Artikel 9 Absatz 3 DSGVO bei Anwendungen nach § 334 SGB V vorbehaltlich eines Widerspruchs des Versicherten nach § 339 Absatz 1, nach § 353 Absatz 1 und 2 bzw.[1] [Bis 25.03.2024: einer Einwilligung des Versicherten nach Artikel 9 Absatz 2 Buchstabe a DSGVO und § 339 SGB V bei Anwendungen nach § 334 SGB V.] einer Einwilligung des Versicherten nach Artikel 9 Absatz 2 Buchstabe a DSGVO und nach § 339 Absatz 1a, § 353 Absatz 3 bis 6 SGB V bei Anwendungen nach § 334 SGB V.[2]
Angemessenheit und Erheblichkeit der Verarbeitung, Beschränktheit der Verarbeitung auf das notwendige Maß: (Artikel-29-Datenschutzgruppe, WP 248, 21 i.V.m. Artikel 5 Absatz 1 Buchstabe c DSGVO)	Kategorie 1: Die Verarbeitung ist auf die Weiterleitung von Daten an die vom Leistungserbringer gewünschte Empfängerkomponente beschränkt. Eine weitere Verarbeitung der Daten erfolgt nicht. Die Weiterleitung der Daten ist notwendig, damit der Leistungserbringer die zur Empfängerkomponente gehörende Anwendung nutzen kann. Da neben der Weiterleitung keine weitere Verarbeitung der Daten in den Komponenten der dezentralen Infrastruktur erfolgt, ist die Verarbeitung mit Blick auf ihren Zweck minimal. Kategorie 2: Um Daten ver- bzw. ...