Sommer, SGB V § 361 Zugriff auf ärztliche Verordnungen in der Telematikinfrastruktur

0 Rechtsentwicklung

Rz. 1

Die Vorschrift wurde durch Art. 1 Nr. 31 des Gesetzes zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutz-Gesetz – PDSG) v. 14.10.2020 (BGBl. I S. 2115) mit Wirkung zum 20.10.2020 in das SGB V eingefügt. Das PDSG hat mit den neuen Kapiteln 11 und 12 die bisherigen Regelungen zur Telematikinfrastruktur übernommen und umfassend neu strukturiert. Ferner werden sie weiterentwickelt und im Hinblick auf die datenschutzrechtlichen Vorgaben differenziert ausgestaltet. § 361 regelt die Zugriffsrechte auf elektronische Verordnungen.

Rz. 1a

Art. 1 Nr. 60 des Gesetzes zur digitalen Modernisierung von Versorgung und Pflege (Digitale-Versorgung-und-Pflege-Modernisierungs-Gesetz – DVPMG) v. 3.6.2021 (BGBl. I S. 1309) hat mit Wirkung zum 9.6.2021 Abs. 1 Satz 1 geändert, Abs. 1 Satz 2 angefügt, Abs. 2 Satz 1 geändert, und Abs. 5 angefügt. Die Änderungen in Abs. 1 und 2 haben überwiegend klarstellenden Charakter. Abs. 5 regelt den grenzüberschreitenden Austausch von Gesundheitsdaten.

1 Allgemeines

Rz. 2

Die Vorschrift regelt die Zugriffsrechte auf elektronische Verordnungen (www.kbv.de/media/sp/Praxisinformation_eRezept.pdf, www.gematik.de/media/gematik/Medien/E-Rezept/Dokumente/gematik_Anleitung_e_Rezept_Apothekenpersonal_V05.pdf; zuletzt abgerufen: 12.8.2022). Die Versicherten erteilen dazu ihre Einwilligung gegenüber dem zugriffsberechtigten Leistungserbringer. Der Kreis der Zugriffsberechtigten ist auf bestimmte Berufsgruppen festgelegt. Die Zugriffe werden protokolliert. Die Zugriffsdaten werden nach der regelmäßigen Verjährungsfrist des Bürgerlichen Gesetzbuchs nach 3 Jahren gelöscht. Der Versicherte kann die Daten weiterhin auf eigenen Medien vorhalten.

2 Rechtspraxis

2.1 Zugriffsberechtigte Personen (Abs. 1)

Rz. 3

Einen Zugriff auf vertragsärztliche elektronische Verordnungen haben bestimmte Berufsgruppen. Sie benötigen dazu die Einwilligung des Versicherten. Für den Zugriff sind ein Heilberufs- oder Berufsausweis sowie eine zusätzliche technische Komponente zur Authentifizierung der Leistungserbringerinstitution (z. B. Praxis, Apotheke, Krankenhaus oder Organisationseinheit eines Krankenhauses) erforderlich. Für die Nutzung elektronischer Verordnungen in der Telematikinfrastruktur sind nicht zwingend Vorgaben im Sinne eines Schriftformerfordernisses (vgl. § 3a Abs. 2 Verwaltungsverfahrensgesetz bzw. § 126a BGB) erforderlich. Es soll eine formoffene und flexible Verfahrensweise ermöglicht werden. Die verbindlichen Formvorgaben für eine elektronische Verordnung bleiben hiervon unberührt (z. B. § 2 Abs. 1 Nr. 10 Arzneimittelverschreibungsverordung).

Zugriffsberechtigte Personen

Ärzte, Zahnärzte sowie Psychotherapeuten	Verarbeitung von Daten, die vom Leistungserbringer initial nach § 360 übermittelt wurden
berufsmäßige Gehilfen oder Auszubildende	Zugriff unter Aufsicht eines zugriffsberechtigten Arztes, Zahnarztes oder Psychotherapeuten
Apotheker	im Rahmen der Versorgung mit verordneten Arzneimitteln
pharmazeutisches Personal einer Apotheke	unter Aufsicht eines Apothekers (soweit gesetzlich vorgeschrieben)
sonstige Erbringer ärztlich verordneter Leistungen ("nichtverkammerte Berufe"; z. B. Physiotherapeuten und Hörgeräteakustiker)	Zugangsdaten des Versicherten nach § 360 Abs. 4 erforderlich

Auf Dispensierinformationen (§ 360 Abs. 11) dürfen nur die Versicherten zugreifen (Satz 2). Dispensierinformationen (§ 360 Abs. 11) sind nicht Teil der initial erstellten ärztlichen Verordnungen, sondern enthalten Informationen zu den auf der Grundlage ärztlicher Verordnungen tatsächlich abgegebenen Arzneimitteln, deren Chargennummern, Dosierangaben, Hinweise zur Anwendung sowie weitere Informationen, die dem Versicherten im Zusammenhang mit seiner elektronischen Verordnung zur Verfügung zu stellen sind. Diese Informationen sind ausschließlich für die Versicherten bestimmt. Es ist dabei sicherzustellen, dass sie hierauf auch barrierefrei zugreifen können.

2.2 Voraussetzungen des Zugriffs (Abs. 2)

Rz. 4

Auf die Daten dürfen Berechtigte (Abs. 1) nur mittels eines elektronischen Heilberufsausweises, eines elektronischen Berufsausweises oder einer digitalen Identität (§ 340 Abs. 6) zugreifen. Zusätzlich wird eine Komponente zur Authentifizierung von Leistungserbringerinstitutionen benötigt. Die Zugriffe werden elektronisch protokolliert (Satz 2). Die Protokollierungspflicht gewährleistet die Rechte der Versicherten im Rahmen der Patientensouveränität, die wahrgenommen und kontrolliert werden können. Die Protokolldaten enthalten die zugreifende Institution, den Zugriffszeitpunkt und die verarbeiteten Daten (BT-Drs. 19/18793 S. 130). Die Institution selbst protokolliert intern und nachprüfbar, welche Person für sie tätig wird. Dem Versicherten ist auf Anfrage entsprechende Auskunft zu geben. Die Daten sind nach der regelmäßigen Verjährungsfrist des BGB nach 3 Jahren durch die Verantwortlichen zu löschen. Versicherten können diese Daten darüber hinaus auf eigenen Speichermedien vorhalten.

2.3 Personen ohne Heilberufsausweis oder Berufsausweis (Abs. 3)

Rz. 5

Zugriffsberechtigte Personen (Abs. 1) ohne eigenen Heilberufsausweis oder Berufsausweis (z. B. pharmazeutisches Perso...