Sommer, SGB V § 361 Zugriff auf ärztliche Verordnungen i ... / 2 Rechtspraxis

2.1 Zugriffsberechtigte Personen (Abs. 1)

Rz. 3

Einen Zugriff auf vertragsärztliche elektronische Verordnungen haben bestimmte Berufsgruppen. Sie benötigen dazu die Einwilligung des Versicherten. Für den Zugriff sind ein Heilberufs- oder Berufsausweis sowie eine zusätzliche technische Komponente zur Authentifizierung der Leistungserbringerinstitution (z. B. Praxis, Apotheke, Krankenhaus oder Organisationseinheit eines Krankenhauses) erforderlich. Für die Nutzung elektronischer Verordnungen in der Telematikinfrastruktur sind nicht zwingend Vorgaben im Sinne eines Schriftformerfordernisses (vgl. § 3a Abs. 2 Verwaltungsverfahrensgesetz bzw. § 126a BGB) erforderlich. Es soll eine formoffene und flexible Verfahrensweise ermöglicht werden. Die verbindlichen Formvorgaben für eine elektronische Verordnung bleiben hiervon unberührt (z. B. § 2 Abs. 1 Nr. 10 Arzneimittelverschreibungsverordung).

Zugriffsberechtigte Personen

Ärzte, Zahnärzte sowie Psychotherapeuten	Verarbeitung von Daten, die vom Leistungserbringer initial nach § 360 übermittelt wurden
berufsmäßige Gehilfen oder Auszubildende	Zugriff unter Aufsicht eines zugriffsberechtigten Arztes, Zahnarztes oder Psychotherapeuten
Apotheker	im Rahmen der Versorgung mit verordneten Arzneimitteln
pharmazeutisches Personal einer Apotheke	unter Aufsicht eines Apothekers (soweit gesetzlich vorgeschrieben)
sonstige Erbringer ärztlich verordneter Leistungen ("nichtverkammerte Berufe"; z. B. Physiotherapeuten und Hörgeräteakustiker)	Zugangsdaten des Versicherten nach § 360 Abs. 4 erforderlich

Auf Dispensierinformationen (§ 360 Abs. 11) dürfen nur die Versicherten zugreifen (Satz 2). Dispensierinformationen (§ 360 Abs. 11) sind nicht Teil der initial erstellten ärztlichen Verordnungen, sondern enthalten Informationen zu den auf der Grundlage ärztlicher Verordnungen tatsächlich abgegebenen Arzneimitteln, deren Chargennummern, Dosierangaben, Hinweise zur Anwendung sowie weitere Informationen, die dem Versicherten im Zusammenhang mit seiner elektronischen Verordnung zur Verfügung zu stellen sind. Diese Informationen sind ausschließlich für die Versicherten bestimmt. Es ist dabei sicherzustellen, dass sie hierauf auch barrierefrei zugreifen können.

2.2 Voraussetzungen des Zugriffs (Abs. 2)

Rz. 4

Auf die Daten dürfen Berechtigte (Abs. 1) nur mittels eines elektronischen Heilberufsausweises, eines elektronischen Berufsausweises oder einer digitalen Identität (§ 340 Abs. 6) zugreifen. Zusätzlich wird eine Komponente zur Authentifizierung von Leistungserbringerinstitutionen benötigt. Die Zugriffe werden elektronisch protokolliert (Satz 2). Die Protokollierungspflicht gewährleistet die Rechte der Versicherten im Rahmen der Patientensouveränität, die wahrgenommen und kontrolliert werden können. Die Protokolldaten enthalten die zugreifende Institution, den Zugriffszeitpunkt und die verarbeiteten Daten (BT-Drs. 19/18793 S. 130). Die Institution selbst protokolliert intern und nachprüfbar, welche Person für sie tätig wird. Dem Versicherten ist auf Anfrage entsprechende Auskunft zu geben. Die Daten sind nach der regelmäßigen Verjährungsfrist des BGB nach 3 Jahren durch die Verantwortlichen zu löschen. Versicherten können diese Daten darüber hinaus auf eigenen Speichermedien vorhalten.

2.3 Personen ohne Heilberufsausweis oder Berufsausweis (Abs. 3)

Rz. 5

Zugriffsberechtigte Personen (Abs. 1) ohne eigenen Heilberufsausweis oder Berufsausweis (z. B. pharmazeutisches Personal einer Apotheke) dürfen auf die Daten zugreifen, wenn

• sie durch eine Person mit einem Heilberufsausweis oder einem Berufsausweis dazu autorisiert sind und
• der Zugriff elektronisch protokolliert wird (zugreifende und autorisierende Person).

2.4 Funktionen des Heilberufsausweises oder Berufsausweises (Abs. 4)

Rz. 6

Der elektronische Heilberufsausweis und der elektronische Berufsausweis müssen die sichere Authentifizierung und eine qualifizierte elektronische Signatur ermöglichen. Die aktuellen Versionen der Ausweise entsprechen diesen Anforderungen.

2.5 Grenzüberschreitender Austausch von Gesundheitsdaten (Abs. 5)

Rz. 7

Die Verarbeitung von Daten der elektronischen Verordnung (Abs. 2) zum grenzüberschreitenden Austausch von Gesundheitsdaten über die jeweiligen nationalen eHealth-Kontaktstellen an einen in einem anderen Mitgliedstaat der Europäischen Union berechtigten Leistungserbringer ist zulässig, wenn der Versicherte vor der Übermittlung seine Einwilligung in die Nutzung des Übermittlungsverfahrens erteilt hat und durch eine eindeutige technische Autorisierung die Übermittlung der Daten durch die nationale eHealth-Kontaktstelle zum Zeitpunkt der Einlösung der Verordnung freigegeben hat (Satz 1 und 2). Abweichend von den Abs. 1 bis 4 sowie § 339 finden für die Verarbeitung der Daten durch einen Leistungserbringer in einem der übrigen Mitgliedstaaten der Europäischen Union die gesetzlichen Regelungen des Mitgliedstaates Anwendung, in dem die Verordnung eingelöst wird (Satz 3). Hierbei sind die gemeinsamen europäischen Vereinbarungen zu berücksichtigen (Satz 4). Der Spitzenverband Bund der Krankenkassen, Deutsche Verbindungsstelle Krankenversicherung – Ausland hat den Versicherten alle notwendigen Informationen zum grenzüberschreitenden Austausch von Gesundheitsdaten zur Verfügung zu stellen (Satz 5).