Schloss-Symbol für Datenschutz bzw Sicherheit.

1. Datenschutz

1.1 Gemeinsame Verantwortliche

Datenschutzrechtlich verantwortlich für die eHealth-Anwendung „Elektronischer Impfpass“ sind gemäß Artikel 4 Nummer 7 der Datenschutz-Grundverordnung (DSGVO) sowie § 27 Absatz 17 des Gesundheitstelematikgesetzes 2012 (GTelG 2012):

ELGA GmbH
Treustraße 35-43/ Stg. 4/ 1. Stock
1200 Wien

die jeweils impfenden Gesundheitsdiensteanbieter*innen (wie etwa Ärzt*innen)

sowie

die ELGA-Systempartner (Bund, Länder und Dachverband der Sozialversicherungsträger).

1.2 Datenschutzbeauftragter

Die ELGA GmbH hat

Dr. Sebastian Reimer

als Datenschutzbeauftragten bestellt. Er steht Ihnen für Ihre Fragen zum Datenschutz unter

Datenschutz
ELGA GmbH
Treustraße 35-43/ Stg. 4/ 1. Stock
1200 Wien

oder

via E-Mail an datenschutz@elga.gv.at

zur Verfügung.

1.3 Zweck der Verarbeitung

Mit der eHealth-Anwendung „elektronischer Impfpass“ sollen vor allem folgende Zwecke erreicht werden:

  • bessere Versorgung der Bevölkerung, beispielsweise durch Erhöhung von

    • Durchimpfungsraten sowie
    • Arzneimittel- und Patient*innensicherheit,

  • bessere Reaktionsmöglichkeiten bei Ausbruch von Krankheiten sowie
  • geringerer Aufwand für Patient*innen und Ärzt*innen.

1.4 Verarbeitete Daten

Bei einer Impfung werden folgende Daten („Impfdaten“) erfasst und direkt an das zentrale Impfregister übermittelt:

  • Angaben zum Impfstoff (Klassifikation, Handelsname, Hersteller, Zulassungsnummer, Chargennummer, Verfallsdatum, Serialisierungsnummer, Pharmazentralnummer und anatomisch-therapeutisch-chemische Zuordnung),
  • Angaben zur verabreichten Impfung (Datum der Verabreichung, Dosierung und Dosis, angewandtes Impfschema, Impfempfehlung und Zuordnung zu Impfprogrammen),
  • Angaben zur Patient*in (Name, Geburtsdatum, Geschlecht, Wohnadresse, Angaben zur Erreichbarkeit, Angaben zu einer allfälligen Vertretung, Sozialversicherungsnummer, bereichsspezifisches Personenkennzeichen Gesundheit, Gemeindecode, Titerbestimmung, impfrelevante Vorerkrankungen und besondere Impfindikationen) sowie
  • Angaben zur Ärzt*in (Name, Rolle, Berufsadresse und Datum der Speicherung).

Es werden keine Impfdaten direkt auf dem Gerät (Computer, Mobilgerät, …) gespeichert.

Für die Übermittlung der Impfdaten werden eingeschränkte Informationen über das Gerät(Computer, Mobilgerät, …), von dem aus die Impfdaten übermittelt werden, an den Auftragsverarbeiter „Dachverband der Sozialversicherungsträger“ übermittelt. Zu diesen Daten gehören die IP-Adresse, Browsertyp und Betriebssystem („Log-Daten“). Diese Daten werden nicht gespeichert.

Zur Dokumentation und Nachvollziehbarkeit der Verarbeitung der im zentralen Impfregister gespeicherten Daten werden Protokollierungsdaten (Datum, Zeit und Art des Zugriffs, eindeutige Protokoll-Transaktionsnummer, eindeutige elektronische Identität der zugreifenden Gesundheitsdiensteanbieter*innen [wie etwa Ärzt*innen, Krankenanstalten, ...], Namen der zugreifenden natürlichen Personen, eindeutigen Kennung der Impfdaten, Abfragekriterien sowie allfällige Fehlermeldungen) im Protokollierungssystem gespeichert.

1.5 Herkunft der Daten

Die Impfdaten werden von Gesundheitsdiensteanbieter*innen (wie etwa Ärzt*innen) erhoben. Durch den Einsatz von Sozialversicherungsnummer bzw. bereichsspezifischen Personenkennzeichen (e-Card) ist die eindeutige Identität der Patient*innen sichergestellt. Die Übermittlung der Impfdaten an das zentrale Impfregister über Schnittstellen, die in der Arzt- bzw. Krankenhaus-Software integriert sind, Weboberflächen im Rahmen der e-Card-Verwaltung oder die e-Impfpass-App.

Die Log-Daten werden von dem jeweiligen Gerät (Computer, Mobilgerät, …) erhoben, das für die Übermittlung der Impfdaten an das zentrale Impfregister verwendet wird.

Die Protokollierungsdaten werden beim Zugriff auf das zentrale Impfregister automatisch generiert.

1.6 Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage des Gesundheitstelematikgesetzes 2012, insbesondere dessen §§ 17, 22, 23 und 24b bis 24g. Dabei handelt es sich um ein Gesetz im Sinne des Artikel 9 Absatz 2 Buchstabe g bzw. i DSGVO.

1.7 Empfänger*innen

Empfänger*innen der Impfdaten sind:

Darüber hinaus können Empfänger*innen von Impfdaten sein:

  • andere Gesundheitsdiensteanbieter (d.h. vor allem andere Ärzt*innen und Apotheken),
  • gesetzlich oder bevollmächtigte Vertreter*innen,
  • die ELGA-Ombudsstelle,
  • das Gesundheitsministerium sowie
  • Landeshauptleute und Bezirksverwaltungsbehörden.

Empfänger*innen der Log-Daten sind der Dachverband der Sozialversicherungsträger als Auftragsverarbeiter (Artikel 28 DSGVO) sowie die IT-Services der Sozialversicherung GmbH als Sub-Auftragsverarbeiter (Artikel 28 Absatz 4 DSGVO).

Näheres zum Datenschutz in der Sozialversicherung sowie die Kontaktdaten der jeweiligen Datenschutzbeauftragten finden Sie hier.

Empfänger*innen der Protokollierungsdaten können Gerichte, Verwaltungsstrafbehörden, Patient*innenschiedsstellen der Ärztekammern, Patient*innenentschädigungsfonds, die betroffenen Personen (Patient*innen, Ärzt*innen, …) sowie ELGA-Systempartner (Bund, Länder und Dachverband der Sozialversicherungsträger) sein.

Darüber hinaus erfolgt keine Weitergabe von personenbezogenen Daten.

1.8 Keine Übermittlung aus der EU

Eine Übermittlung in Drittländer ist im Zuge dieser Verarbeitung nicht vorgesehen, d.h. die personenbezogenen Daten bleiben immer im Schutzbereich der Datenschutz-Grundverordnung.

1.9 Dauer der Datenspeicherung

Die im zentralen Impfregister gespeicherten Impfdaten sind 10 Jahre nach Sterbedatum, spätestens jedoch 120 Jahre nach der Geburt der jeweiligen Patient*in zu löschen (§ 24c Absatz 6 GTelG 2012).

Die Log-Daten werden nicht gespeichert.

Die Protokollierungsdaten sind 3 Jahre nach Protokollierung (d.h. dem erfolgten Zugriff) zu löschen (§ 24f Absatz 5 GTelG 2012).

1.10 Datenschutzrechte

Aufgrund der Datenschutz-Grundverordnung steht betroffenen Personen, d.h. in der Regel Patient*innen,

zu.

Das Recht auf Auskunft steht Patient*innen elektronisch im ELGA-Portal oder schriftlich gegenüber der ELGA-Ombudsstelle (siehe Kontaktdaten zu den Standorten der ELGA-Ombudsstelle) zu. Für statistische Auswertungen besteht kein Auskunftsrecht (§ 24g Absatz 3 GTelG 2012). Ärzt*innen und Personen, die in Apotheken arbeiten, kommt das Recht auf Auskunft gegenüber den ELGA-Systempartnern zu. Für die Richtigkeit der Impfdaten sind die einzelnen schreibberechtigten Gesundheitsdiensteanbieter*innen (wie etwa Ärzt*innen) als Verantwortliche nach Artikel 4 Nummer 7 DSGVO zuständig. Das Recht auf Berichtigung steht Patienten*innen gegenüber den Gesundheitsdiensteanbieter*innen (wie etwa Ärzt*innen) zu, die die Impfdaten im zentralen Impfregister gespeichert haben. Sollten diese Gesundheitsdiensteanbieter*innen (wie etwa Ärzt*innen) nicht mehr verfügbar sein, steht das Recht auf Berichtigung gegenüber der Bezirksverwaltungsbehörde zu. Für statistische Auswertungen besteht kein Recht auf Berichtigung (§ 24g Absatz 3 GTelG 2012). Ärzt*innen und Personen, die in Apotheken arbeiten, kommt das Recht auf Berichtigung gegenüber den ELGA-Systempartnern zu. Das Recht auf Einschränkung der Verarbeitung steht Patient*innen zu, wenn diese der Ansicht sind, dass ihre Daten unrichtig sind, und zwar für die Dauer der Überprüfung. Wenn über die Berichtigung sofort entschieden wird, ist das Recht auf Einschränkung nicht mehr anwendbar. Für statistische Auswertungen besteht kein Recht auf Einschränkung der Verarbeitung (§ 24g Absatz 3 GTelG 2012). Ärzt*innen und Personen, die in Apotheken arbeiten, kommt gegenüber den ELGA-Systempartnern das Recht auf Einschränkung der Verarbeitung zu, wenn Ärzt*innen bzw. Personen, die in Apotheken arbeiten, der Ansicht sind, dass ihre Daten unrichtig sind, und zwar für die Dauer der Überprüfung. Wenn über die Berichtigung sofort entschieden wird, ist das Recht auf Einschränkung nicht mehr anwendbar. Das Recht auf Beschwerde steht Patient*innen und Ärzt*innen sowie Personen, die in Apotheken arbeiten, gegenüber der Österreichischen Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, zu, wenn sie der Ansicht sind, dass die Verarbeitung ihrer Daten gegen die Datenschutz-Grundverordnung verstößt.

Die Verarbeitung ist gesetzlich vorgesehen. Daher stehen folgende Rechte nicht zu:

Außerdem steht das Widerspruchsrecht nicht zu, weil die Verarbeitung weder

erfolgt und hinsichtlich der Verarbeitung zu Zwecken der Wissenschaft, Forschung und Statistik (Artikel 21 Absatz 5 DSGVO) das Widerspruchsrecht gesetzlich ausgeschlossen ist (§ 24g Absatz 3 GTelG 2012).

1.11 Pflicht zur Bereitstellung der Daten und Folgen der Weigerung

Die Übermittlung der Impfdaten an das zentrale Impfregister ist gesetzlich, verpflichtend vorgesehen (§ 24c Absatz 2 GTelG 2012).

Damit verbunden ist auch eine Übermittlung der technisch erforderlichen Log-Daten.

Die Erzeugung der Protokollierungsdaten ist gesetzlich, verpflichtend vorgesehen (§ 24f Absatz 5 GTelG 2012).

1.12 Weder automatisierte Entscheidungsfindung noch Profiling

Im Zuge der Verarbeitung kommt es weder zur automatisierten Entscheidungsfindung, d.h. der alleinigen Entscheidung eines Algorithmus über rechtliche oder vergleichbare Angelegenheiten einer betroffenen Person, noch zu Profiling.

 

2. Erbringung von Serviceleistungen

2.1 Zweck der Verarbeitung

Zweck der Verarbeitung ist

  • die Bearbeitung von allgemeinen Anfragen,
  • das Vertragsmanagement, insbesondere für Vereinbarungen gemäß Artikel 26 DSGVO mit Gesundheitsdiensteanbietern, sowie
  • das Erbringen jeglicher anderen Serviceleistungen auf dem Gebiet der Daseinsvorsorge im Bereich von e-Health zur Einführung und Implementierung der elektronischen Gesundheitsakte („ELGA“).

2.2 Verarbeitete Daten

Verarbeitet werden:

  • Angaben zur Person („Serviceempfänger*in“) (Name, Anschrift, Telefonnummer, E-Mail-Adresse bzw. sonstige Angaben zur elektronischen Erreichbarkeit; für Zwecke des Vertragsmanagements kann auch die Rolle als Gesundheitsdiensteanbieter im Sinne des § 2 des Gesundheitstelematikgesetzes 2012 (GTelG 2012), BGBl. I Nr. 111/2012 erforderlich sein),
  • Angaben zum Kontakt (Datum, Art, Ansprechpartner und Gegenstand des Kontakts),
  • Kommunikationsdaten (E-Mails, Briefe, Gesprächsnotizen, SMS, Chatverläufe oder sonstige Informationen, die die Kommunikation zwischen ELGA-GmbH und Serviceempfänger*in sowie insbesondere deren Absicherung [etwa durch kryptographische Daten zur Verschlüsselung oder Authentifizierung] betreffen) sowie
  • Informationen zur Serviceleistung (Dokumente sowie andere von der ELGA GmbH oder der Serviceempfänger*in zur Verfügung gestellte Informationen).

2.3 Herkunft der Daten

Die Angaben zur Person werden von den anfragenden Personen zur Verfügung gestellt. Bei Erfüllung rechtlicher Pflichten – wie etwa des gemäß Artikel 26 DSGVO in Verbindung mit § 24c Absatz 3 oder § 27 Absatz 17 des Gesundheitstelematikgesetzes 2012 erforderlichen Vertragsmanagements – können die Angaben zur Person auch von Dritten, wie etwa dem Gesundheitsministerium als Betreiber des eHealth-Verzeichnisdienstes, eingeholt werden.

Die Angaben zum Kontakt werden seitens der ELGA-GmbH im Zuge des Kontakts erhoben und gespeichert.

Die Kommunikationsdaten werden von der ELGA-GmbH und den Serviceempfänger*innen zur Verfügung gestellt.

Die Informationen zur Serviceleistung werden von der ELGA-GmbH und den Serviceempfänger*innen zur Verfügung gestellt.

2.4 Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage der Vereinbarung gemäß Art 15a B-VG über die Organisation und Finanzierung des Gesundheitswesens, BGBl. I Nr. 98/2017, sowie des Gesundheitstelematikgesetzes 2012. Dabei handelt es sich um rechtliche Verpflichtungen im Sinne des Artikel 6 Absatz 1 Buchstabe c DSGVO sowie ein Gesetz im Sinne des Artikel 9 Absatz 2 Buchstabe g bzw. i DSGVO.

2.5 Empfänger*innen

Es erfolgt keine Weitergabe von personenbezogenen Daten.

2.6 Keine Übermittlung aus der EU

Eine Übermittlung in Drittländer ist im Zuge dieser Verarbeitung nicht vorgesehen.

2.7 Dauer der Datenspeicherung

Die Löschfristen ergeben sich aus den jeweiligen Bestimmungen zur Erbringung von Serviceleistung.

2.8 Datenschutzrechte

Aufgrund der Datenschutz-Grundverordnung steht betroffenen Personen, d.h. in der Regel Patient*innen,

zu.

Die genannten Rechte stehen gegenüber der ELGA-GmbH zu. Das Recht auf Beschwerde steht Patient*innen und Ärzt*innen sowie Personen, die in Apotheken arbeiten, gegenüber der Österreichischen Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, zu, wenn sie der Ansicht sind, dass die Verarbeitung ihrer Daten gegen die Datenschutz-Grundverordnung verstößt.

Die Verarbeitung ist gesetzlich vorgesehen. Daher stehen folgende Rechte nicht zu:

Außerdem steht das Widerspruchsrecht nicht zu, weil die Verarbeitung weder

erfolgt und hinsichtlich der Verarbeitung zu Zwecken der Wissenschaft, Forschung und Statistik (Artikel 21 Absatz 5 DSGVO) das Widerspruchsrecht gesetzlich ausgeschlossen ist (§ 24g Absatz 3 GTelG 2012).

2.9 Pflicht zur Bereitstellung der Daten und Folgen der Weigerung

Wenn die Daten nicht bereitgestellt werden, kann es sein, dass die Serviceleistungen nicht erbracht werden können. Im Falle des Vertragsmanagements gemäß Artikel 26 DSGVO besteht eine Pflicht zur Bereitstellung der Daten, weil anders die Vereinbarungen gemäß Artikel 26 DSGVO bzw den Bestimmungen des Gesundheitstelematikgesetzes 2020 nicht abgeschlossen werden können.

2.10 Weder automatisierte Entscheidungsfindung noch Profiling

Im Zuge der Verarbeitung kommt es weder zur automatisierten Entscheidungsfindung, d.h. der alleinigen Entscheidung eines Algorithmus über rechtliche oder vergleichbare Angelegenheiten einer betroffenen Person, noch zu Profiling.

 

3. Website / Logfiles

Beim Aufruf der Website „elga.gv.at“ werden eine Reihe von allgemeinen Daten und Informationen erfasst. Diese allgemeinen Daten und Informationen werden in den Logfiles des Servers gespeichert („Server-Logfiles“). 

3.1 Zweck der Verarbeitung

Die Server-Logfiles werden benötigt, um

  • die Inhalte der Website „elga.gv.at“ korrekt auszuliefern,
  • die Inhalte der Website „elga.gv.at“ zu optimieren sowie
  • die dauerhafte Funktionsfähigkeit der IT-Systeme und der Technik der Website „elga.gv.at“ zu gewährleisten.

Bei der Nutzung der Server-Logfiles werden keine Rückschlüsse auf die betroffenen Personen, d.h. die Besucher*innen der Website, gezogen.

3.2 Verarbeitete Daten

Beim Aufruf der Website „elga.gv.at“ können folgende Daten erhoben werden:

  • die verwendeten Browsertypen und Versionen,
  • das vom zugreifenden System verwendete Betriebssystem,
  • die Website, von der ein zugreifendes System auf die Website gelangt (sogenannte Referrer),
  • die Unterwebseiten, die über ein zugreifendes System auf die Website angesteuert werden,
  • aufgerufene URL und Status des Aufrufs,
  • das Datum und die Uhrzeit eines Zugriffs auf die Website,
  • Menge der gesendeten Daten in Byte,
  • verwendete Internet-Protokoll-Adresse (IP-Adresse),
  • der Internet-Service-Provider des zugreifenden Systems sowie
  • sonstige ähnliche Daten und Informationen, die der Gefahrenabwehr im Falle von Angriffen auf die IT-Systeme der ELGA-GmbH dienen.

3.3 Herkunft der Daten

Die verarbeiteten Daten werden bei Ihnen erhoben, wenn Sie eine der oben genannten Webseiten mit Ihrem Browser aufrufen.

3.4 Rechtsgrundlage der Verarbeitung

Die Rechtsgrundlage für die Verarbeitung Ihrer Daten besteht in den berechtigten Interessen der ELGA-GmbH im Sinne des Artikel 6 Absatz 1 Buchstabe f DSGVO.

3.5 Empfänger*innen / Kategorien von Empfänger*innen

Soweit dies zur Sicherstellung der Funktionsfähigkeit und IT-Sicherheit der IT-Systeme der ELGA-GmbH und erforderlich ist, werden die Daten an externe Dienstleister*innen übermittelt.

3.6 berechtigte Interessen der ELGA-GmbH

Die berechtigten Interessen der ELGA-GmbH bestehen darin einen funktionierenden Internetauftritt zu haben. Dafür ist es unerlässlich die eingesetzten (Web-)Services technisch zu überwachen, um Fehlfunktionen zu vermeiden und eine hohe Sicherheit zu erzielen. Damit kommt die ELGA-GmbH insbesondere ihrer Pflicht gemäß Artikel 32 Absatz 1 DSGVO nach, wonach „geeignete technische und organisatorische Maßnahmen [getroffen werden müssen], um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Müssen Daten aus Beweisgründen aufgehoben werden, sind sie solange von der Löschung ausgenommen bis der Vorfall endgültig geklärt ist.

3.7 Keine Übermittlung in Drittländer

Eine Übermittlung in Drittländer, d.h. ein Datenexport aus der Europäischen Union, ist im Zuge dieser Verarbeitung nicht vorgesehen.

3.8 Dauer der Datenspeicherung

Die Speicherdauer beträgt 99 Tage.

3.9 Ihre Rechte aufgrund der DSGVO in Bezug auf die Server-Logfiles

Aufgrund der Datenschutz-Grundverordnung steht Ihnen

  • das Recht auf Auskunft,
  • das Recht auf Berichtigung,
  • das Recht auf Widerspruch,
  • das Recht auf Beschwerde bei der Datenschutzbehörde, wenn Sie der Ansicht sind, dass die Verarbeitung von Log-Files in Bezug auf Ihre Person gegen die DSGVO verstößt,

zu.

Das Recht auf Löschung steht Ihnen nicht zu, weil die ELGA-GmbH mit der serverseitigen Protokollierung der Zugriffe insbesondere ihrer Pflicht gemäß Artikel 32 DSGVO zur Einhaltung der Sicherheit der Verarbeitung nachkommt, womit das Recht auf Löschung nicht zukommt (Artikel 17 Absatz 3 Buchstabe b DSGVO). Aus diesem Grund steht Ihnen auch das Recht auf Einschränkung der Verarbeitung nicht zu (Artikel 18 Absatz 2 DSGVO). Da die Rechtsgrundlage nicht in einer Einwilligung besteht, gibt es – mangels Einwilligung – auch kein Recht auf jederzeitigen Widerruf der erteilten Einwilligung. Hinsichtlich des Rechts auf Widerspruch ist von zwingend schutzwürdigen Gründen für die Verarbeitung im Sinne des Artikels 21 Absatz 1 DSGVO auszugehen, weil – wie bereits oben erwähnt – Artikel 32 DSGVO eine technische Überwachung von Webservern aus Gründen der Datensicherheit nahelegt. Das Recht auf Datenübertragbarkeit besteht nicht, weil die Verarbeitung weder auf einer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a DSGVO noch auf einem Vertrag gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO beruht.

Das datenschutzrechtliche Beschwerderecht steht Ihnen bei der österreichischen Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, zu.

3.10 Pflicht zur Bereitstellung der Daten und Folgen der Weigerung

Es besteht weder eine Pflicht zur Bereitstellung Ihrer Daten noch ist eine Weigerung möglich, wenn Sie die Website „elga.gv.at“ im Browser ansurfen.

3.11 Weder automatisierte Entscheidungsfindung noch Profiling

Im Zuge der Verarbeitung kommt es weder zur automatisierten Entscheidungsfindung noch zu Profiling.