Rz. 2
Die Norm gibt vor, unter welchen Voraussetzungen berechtigte Dritte (z. B. Leistungserbringer) auf Daten in Anwendungen der Telematikinfrastruktur zugreifen dürfen. Die Zugriffe sind zu protokollieren. Damit kann der Versicherte seine Rechte im Rahmen der Patientensouveränität wahrnehmen und kontrollieren (BT-Drs. 19/18793 S. 110). Den Protokolldaten ist zu entnehmen, welche Institution zugegriffen hat und welche Daten verarbeitet wurden. Die zugreifende Person wird durch die Institution protokollierte und ist innerorganisatorisch nachprüfbar zu dokumentieren. Der Versicherte hat darüber einen Auskunftsanspruch. Die Daten sind nach der regelmäßigen Verjährungsfrist des Bürgerlichen Gesetzbuchs nach 3 Jahren durch die Verantwortlichen unverzüglich zu löschen. Dies schließt nicht aus, dass die Versicherten ihre Daten weiterhin auf eigenen Speichermedien vorhalten. Die durch die Norm umschriebene "Bestimmungsmacht" der Versicherten über die sie betreffenden Datensammlungen ist Ausdruck der Datenhoheit und damit des Rechts auf informationelle Selbstbestimmung (Art. 2 Abs. 1 GG i. V. m. Art. 1 Abs. 1 GG bzw. Art. 8 GRCh), womit die eigenverantwortliche und aktive Entscheidung der Versicherten in den Mittelpunkt gestellt wird (Hecheltjen, in: Schlegel/Voelzke, jurisPK-SGB V, 4. Aufl., § 339 Rz. 13 m. w. N.).
Rz. 2a
Die Zugriffsberechtigung berücksichtigt die Verordnung (EU) 2016/679 (DSGVO), insbesondere im Hinblick auf die Ausnahmevorschrift des Art. 9 Abs. 2 DSGVO zur Verarbeitung von Gesundheitsdaten der betroffenen Person (BT-Drs. 20/9048 S. 110). Die Verarbeitung ist mit Wirkung zum 15.1.2025 für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich erforderlich (Art. 9 Abs. 2 Buchst. h DSGVO). Die Beschränkung der Verarbeitungsbefugnis auf die in § 352 genannten Leistungserbringer stellt sicher, dass die Daten der Versicherten nur von Fachpersonal, das dem Berufsgeheimnis unterliegt, oder unter dessen Verantwortung verarbeitet werden (Art. 9 Abs. 2 Buchst. h i. V. m. Art. 9 Abs. 3 DSGVO).